基于日志监视主动防御HTTP泛洪攻击①.PDF

2012 年 第 21 卷 第 5 期 计 算 机 系 统 应 用 ① 基于日志监视主动防御HTTP 泛洪攻击 袁 志 (广州大学 华软软件学院，广州 510990) 摘 要：模仿正常访问行为的 HTTP 泛洪攻击较为隐蔽，在消耗网站服务器资源的同时还带来信息安全隐患， 提出了一种主动防御方法。用 URL 重写的方法使 Web 日志记录HTTP 请求的 CookieId 和 SessionId；定时分析 Web 日志，利用 CookieId 和 SessionID 识别用户，根据请求时间特征来识别傀儡主机；对 HTTP 请求进行预处理， 拦截傀儡主机的请求。该方法成本低、便于实施，实践证明了其有效性。 关键词：分布式拒绝服务攻击；HTTP 泛洪；网站安全；Web 日志分析；主动防御 Proactive Defense Against HTTP Flood Attacks Based on Watching Web Log YUAN Zhi (South China Institute of Software Engineering, Guangzhou University, Guangzhou 510990, China) Abstract: HTTP flood attacks mimicking normal access behavior are difficult to discovered, it consumes web server’s resources and brings hidden danger on information security, a method of proactive defense against HTTP floods is provided. Rewrite URL to record CookieId and SessionId of HTTP requests into Web log; analysis Web log at regular time, identify user according CookieId and SessionId, indentify puppet computers using request time characteristic; process HTTP requests in advance to keep out the requests from the puppet computers. This method is low cost and easy to implement, practice proved its validity. Key words: distributed denial of service; HTTP flood; website security; Web log analysis; proactive defense HTTP 泛洪是分布式拒绝服务攻击(Distributed 该方法成本低、便于实现，通过实验和应用检验，验 denial of service, DDoS) 的一种常见攻击形式，其攻击 证了其有效性。 对象主要是 Web 服务器。当前的 HTTP 泛洪攻击的趋 势是模仿正常访问行为，傀儡主机在脚本的控制下向 1 防御方法及其实现 服务器大量发送貌似合法的请求，消耗服务器的 CPU、 本方法包括两个主要环节：一是用 Web 日志监视 [1] 内存、数据库等资源，同时带来信息安全问题 。 器定时分析日志，筛选出可疑用户（傀儡主机）；二是 当前区分傀儡主机与人的方法可归类为四种：图 设计一个 HTTP 模块，该模块对用户请求进行预处理， 形迷题法[2] [3]