论文部分内容阅读
分布式拒绝服务(DDoS)攻击是攻击发起者联合或控制网络上能够发动拒绝服务攻击的若干主机同时向被攻击者发起攻击的网络行为，为消除DDoS攻击对Internet潜在的巨大危害性，研究人员对攻击前的预防、攻击中的检测和攻击后的防御做了大量深入细致的研究，其中对基于确定性包标记的DDoS攻击源追踪策略研究已成为该领域的重点。
本文首先对基于确定性包标记的DDoS攻击源追踪的现有策略进行了深入的研究，发现现有策略中存在以下问题：(1)为恢复一个完整的攻击源地址，需收集大量报文的问题，该问题导致了恢复地址的时间间隔过长，影响追踪速度；(2)随着攻击数目的增加，地址恢复的误检率增加明显：(3)数据包在跨越不同自治系统时被重复标记的问题；(4) IPv6网络环境中目前没有有效的攻击源追踪策略。
针对以上问题，本文首先在IPv4的网络环境下提出了基于冗余数据段和合作函数的包标记策略(DPMRC)。该策略的基本思想是：边界路由器对其转发的报文记录其IP地址的部分信息，通过增加记录冗余数据来降低地址恢复过程中的误检率；通过增加合作函数来使同一个地址的部分信息有效结合，利用合作函数的计算结果来判断收集到的信息是否属于同一地址。分析计算及模拟攻击实验结果表明该策略：(1)使用更少的数据包来标记攻击源的地址，使地址恢复的速度更快；(2)随着攻击数目的增加，使地址恢复时的误检率有所降低；(3)有效解决了数据包在跨越不同自治系统时的包重复标记问题。其次，通过对IPv6报头的详细分析，把DPMRC策略稍做改进后，成功地应用于IPv6的环境下，并对其性能进行评估，取得比较好的效果。最后提出了IPv4向IPv6的过渡期的标记策略。
最后，本文对未来研究工作进行展望，并提出了建设性方案。