基于網(wǎng)絡(luò)連接特征的DDoS檢測系統(tǒng)的研究與實現(xiàn).pdf

1、分布式拒絕服務(wù)(Distributed Denial of Service,DDoS)是由拒絕服務(wù)(Denial of Service,DoS)發(fā)展而來的一種攻擊手段,通過耗盡網(wǎng)絡(luò)和服務(wù)資源的方式,達到阻礙正常用戶使用服務(wù)的目的。DDoS攻擊具有突發(fā)流量大、攻擊強度高、持續(xù)時間短等特點,這些特點要求檢測方法能快速有效地檢測出攻擊,然而傳統(tǒng)的入侵檢測技術(shù)面對DDoS攻擊顯得無能為力。本文旨在尋求一種快速、高效的檢測方法,以最大限度保護網(wǎng)絡(luò)

2、和服務(wù)器安全。
　　 首先,本文從網(wǎng)絡(luò)傳輸數(shù)據(jù)包的角度出發(fā),分析網(wǎng)絡(luò)在遭受DDoS攻擊時數(shù)據(jù)包與網(wǎng)絡(luò)連接之間的關(guān)系。當(dāng)發(fā)生DDoS攻擊時,被攻擊網(wǎng)絡(luò)中存在大量與服務(wù)器無法建立正常通信的數(shù)據(jù)包--單邊連接包,單邊連接密度能直觀地體現(xiàn)當(dāng)前網(wǎng)絡(luò)中單邊連接包的量。論文采用更新丟棄法計算單邊連接密度,提高了計算實時性,為降低檢測時間奠定了基礎(chǔ)。
　　 其次,采用非參數(shù)CUSUM算法提高檢測準確性,同時改進了用于產(chǎn)生負均值序列的偏移

3、參數(shù)設(shè)置方法,使該參數(shù)能隨著單邊連接密度序列均值的變化而自動設(shè)置,增強了非參數(shù)CUSUM算法的自適應(yīng)性。在報警響應(yīng)部分中,一是引入報警可信度評估,實時地評估報警可信度以供管理員參考；二是增加報警監(jiān)控,根據(jù)原始單邊連接密度序列值的變化決定何時解除報警,實現(xiàn)了減少報警資源,反饋攻擊抑制的效果。
　　 最后,設(shè)計了檢測系統(tǒng)構(gòu)架,詳細分析了各個模塊的功能和實現(xiàn)技術(shù)。在Linux環(huán)境下實現(xiàn)該檢測系統(tǒng),并用實驗數(shù)據(jù)驗證了檢測特征和檢測算法的