[发明专利]基于滤波器频域过滤LDDoS攻击流量的方法

说明书

技术领域

本发明涉及一种计算机网络安全技术，尤其是针对低速率拒绝服务(Low-rate Distributed Denial ofService，LDDoS)攻击的检测，可以有效检测和过滤分布在低频段的LDDoS攻击流。

背景技术

自从2001年LDDoS被发现以来，引起了世界上很多研究者的关注。在国际上，KUZMANOVIC和KNIGHT最早对LDDoS的产生原理进行了比较详细的分析，并对LDDoS的周期脉冲特性进行了深入的研究，挖掘了LDDoS攻击产生溢出的方法，提出了基于网络的防御思想；Gabriel Maciá-Fernández和Y.Zhang等比较完善的研究了在频率域检测LDDoS攻击的方法，并在NS-2环境下做了仿真试验；CHENG首先提出了在频率域(Frequency Domain)利用累计的归一化功率谱密度NCPSD(Normalized Cumulative Power Spectrum Density)检测LDDoS攻击的方法；BARFORD.P.和KLINE.J.等提出了采用信号处理的方法检测网络中异常流量的方法；Xiapu Luo和Rocky K.C.Chang对LDDoS攻击的性能方面进行了仿真和试验，并采用小波(wavelet)技术在频域中检测LDDoS攻击；Aleksandar Kuzmanovic和Edward W.Knightly对面向TCP的LDDoS攻击行为和防范策略进行了研究。目前，国际上针对LDDoS的研究大都集中在其检测和防御上。在国内，北京邮电大学信息安全中心的杨义先教授领导的研究团队研究了一种检测低速率拒绝服务攻击的方法及装置，钮心昕教授领导的研究小组研究了低速率拒绝服务攻击的三级检测算法；武汉大学计算机学院的何炎祥教授带领的研究小组开展LDDoS攻击模型等相关的研究，并提出了一种基于小波特征提取的低速率DoS检测方法；中国科技大学的研究小组研究了LDDoS针对快速TCP攻击的性能；清华大学信息网络工程研究中心的段海新教授领导的研究小组研究了DoS攻击防御实验床；清华大学信息网络工程研究中心的刘武教授研究了ICMPV6协议在DoS攻击下的脆弱性；国防科技大学计算机学院的张长旺等研究了基于拥塞参与度的分布式低速率DoS攻击检测过滤方法；浙江大学的魏蔚等研究了低速率TCP拒绝服务攻击的检测响应机制；上海交通大学研究了基于快速重传/恢复的低速拒绝服务攻击机制；在分析LDDoS攻击的原理和产生机制的基础上，针对其攻击的性能进行了研究，并在采用信号处理技术，基于功率谱密度PSD的检测和频域过滤LDDoS攻击方面取得了一些进展。

用现有的通信量分析方法，周期性LDDoS攻击脉冲很难在时间域被检测出来。这是因为平均共享的带宽并不是非常大。在分布式的情况下，成倍的傀儡机发起的攻击会更进一步降低单个通信量的速率，因此，就导致检测更加困难。分布式攻击发起者可以通过降低最高速率或者延长攻击周期来降低平均通信量。所以，用时间序列检测这类攻击是毫无效果的。目前，现有的攻击检测手段基本是基于时间序列的，对LDDoS攻击的检测是个盲点。

第一，目前入侵检测手段采用时序的方法，即在设定的检测时间内对攻击的包个数进行统计，根据统计流量的大小来判定是否存在攻击。由于LDDoS攻击脉冲的持续时间很短，远小于现有检测方法设定的平均检测时间，而且LDDoS攻击的平均流量很小，只有正常流量的10％-20％。因此，现有检测手段对于LDDoS攻击无能为力；

第二，LDDoS攻击需要的专业知识较高。一般的黑客即便掌握LDDoS攻击的产生技术，但由于攻击时间同步和流量汇聚等关键技术不能很好的解决，所以，发起LDDoS攻击的概率很小；

第三，当前，大多网络攻击是以金钱为利益驱使的。高技术、大危害度的攻击都掌握在少数技术高明的黑客手中。在有利可图的情况下，才出租攻击网络给出钱人，去破坏或者报复选定的目标。

在分布式拒绝服务DoS攻击的检测和防御研究上，目前，国际上流行采用信号处理DSP(Digital Signal Processing)的方法与网络流量数据处理技术相结合，把经典的信号检测理论和滤波器理论应用到DoS攻击流量的检测和过滤中。例如：采用归一化累计功率谱密度NCPSD作为检测LDDoS攻击的判定依据；还有采用小波分析技术在频率分量中发现攻击分量等。

发明内容