防拒絕服務(wù)系統(tǒng)——異常分析子系統(tǒng)的研究與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)和計(jì)算機(jī)網(wǎng)絡(luò)的普及與應(yīng)用，人們的生活和工作越來越依賴互聯(lián)網(wǎng)?；ヂ?lián)網(wǎng)的安全問題也引起了各個(gè)國(guó)家、機(jī)構(gòu)的高度重視。針對(duì)互聯(lián)網(wǎng)的攻擊手段層出不窮，而分布式拒絕服務(wù)攻(DDoS)擊由于其簡(jiǎn)單、破壞性大，正在被攻擊者廣泛使用，極大地影響著網(wǎng)絡(luò)和業(yè)務(wù)主機(jī)系統(tǒng)的有效運(yùn)行。傳統(tǒng)的DoS防范方法對(duì)迅猛發(fā)展的分布式拒絕服務(wù)攻擊已是捉襟見肘，尤其是開展網(wǎng)上交易業(yè)務(wù)或進(jìn)行關(guān)鍵、絕密信息網(wǎng)絡(luò)傳輸?shù)钠髽I(yè)及政府部門，急切需要行之有效的反大流量、防多類型Do

2、S攻擊的防拒絕服務(wù)產(chǎn)品和解決方案。因此，開發(fā)先進(jìn)的防拒絕服務(wù)產(chǎn)品具有非常重要的戰(zhàn)略意義和市場(chǎng)應(yīng)用前景。 本文研究和實(shí)現(xiàn)了防拒絕服務(wù)攻擊產(chǎn)品中的異常分析子系統(tǒng)，主要工作有以下內(nèi)容： (1)研究并提出了適用于專有網(wǎng)絡(luò)處理平臺(tái)的DDoS防御體系結(jié)構(gòu)，將此結(jié)構(gòu)與CAVIUM公司的雙核OCTEON3120網(wǎng)絡(luò)處理器相結(jié)合，實(shí)現(xiàn)了能有效檢測(cè)并防御DDoS攻擊的防拒絕服務(wù)系統(tǒng)。整個(gè)防拒絕服務(wù)系統(tǒng)作為一個(gè)軟硬件一體的專用網(wǎng)絡(luò)安全設(shè)備，充

3、分利用OCTEON3120處理器高性能的網(wǎng)絡(luò)數(shù)據(jù)包處理能力，輔以其他計(jì)算機(jī)服務(wù)器，構(gòu)成針對(duì)DDoS的防御網(wǎng)絡(luò)架構(gòu)，以隱形方式接入網(wǎng)絡(luò)，對(duì)出入受保護(hù)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量進(jìn)行實(shí)時(shí)監(jiān)控，對(duì)DDoS攻擊作出快速反應(yīng)。 (2)運(yùn)用協(xié)方差分析模型，設(shè)計(jì)并實(shí)現(xiàn)了異常流量的檢測(cè)模塊。異常檢測(cè)利用網(wǎng)絡(luò)數(shù)據(jù)包各屬性字段間的關(guān)聯(lián)，計(jì)算抽樣數(shù)據(jù)包各屬性字段的協(xié)方差矩陣，再計(jì)算此協(xié)方差矩陣與歷史協(xié)方差期望矩陣間的歐式距離，以此距離值作為判斷網(wǎng)絡(luò)是否發(fā)生異常的度

4、量值。同時(shí)，為了使異常檢測(cè)模塊具有更好的自學(xué)習(xí)性，對(duì)歷史度量值作保存和維護(hù)，以此為樣本，利用中心極限定理對(duì)度量值的置信區(qū)間進(jìn)行矩估計(jì)，實(shí)時(shí)更新此置信區(qū)間。最后，利用可信度評(píng)估算法對(duì)檢測(cè)結(jié)果的可信度進(jìn)行二次評(píng)估，減少誤報(bào)率。 (3)運(yùn)用貝葉斯基分類算法，設(shè)計(jì)并實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)數(shù)據(jù)包危險(xiǎn)等級(jí)劃分。利用遠(yuǎn)程數(shù)據(jù)庫(kù)中的抽樣流量，首先提取數(shù)據(jù)包關(guān)鍵字段，將關(guān)鍵字段等距劃分為不同類型，再利用貝葉斯公式，計(jì)算不同類型數(shù)據(jù)包為正常數(shù)據(jù)包的概率值。一