yy直播應(yīng)用大數(shù)據(jù)決勝安全對(duì)抗的實(shí)踐(編輯修改稿)
2025-03-31 17:39 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ， 且虛假 IP占絕大多 數(shù)下， TTL均值趨 于更大 計(jì)算單位時(shí)間窗口 內(nèi)數(shù)據(jù)包 TTL的均 值和方差 均值：約 50 多至 60多 標(biāo)準(zhǔn)差：小 于 30 均值：約 50多 至 110多 標(biāo)準(zhǔn)差：大于 30 均值：大于 200 標(biāo)準(zhǔn)差：小于 30 IP與指定相鄰 IP 間組內(nèi)距離 * 真實(shí)地址傾向頻繁 出現(xiàn)，且通常來(lái)自 相近地理位置，虛 假地址則傾向隨機(jī)， 分布不存在規(guī)律 某一源地址，計(jì)算 它與其后 N個(gè)地址 的平均距離 普遍小于 50 100上下，通 常小于 200 普遍超過(guò) 300 正常訪問(wèn)或真實(shí)地址攻擊中： 1. 2. 同一 IP總是頻繁重復(fù)出現(xiàn)，相鄰距離較多出現(xiàn) 0的情況 由于負(fù)載均衡和網(wǎng)絡(luò)加速技術(shù)，目標(biāo)服務(wù)器總是服務(wù)于相對(duì)固定區(qū)域的用戶 而虛假地址攻擊中： 1. 2. 幾乎不存在相鄰距離為 0的情況（虛假 IP不會(huì)重復(fù)出現(xiàn)） 訪問(wèn)目標(biāo)機(jī)器的 IP呈現(xiàn)隨機(jī)化 K相鄰 IP組內(nèi)距離概念 正常樣本 1. 2. 3. 4. 5. 源地址散列程度 ： 相繼同源 IP比例： 46% 發(fā)包規(guī)模： 90%以上 29個(gè)包以上 TTL均值 62，標(biāo)準(zhǔn)差 13 10個(gè)相鄰 IP間距： 79 真實(shí)地址攻擊樣本 1. 2. 3. 4. 5. 源地址散列程度 ： 相繼同源 IP比例： % 發(fā)包規(guī)模： 90%以上 22個(gè)包以上 TTL均值 51，標(biāo)準(zhǔn)差 14 10個(gè)相鄰 IP間距： 105 虛假地址攻擊樣本 1. 2. 3. 4. 5. 源地址散列程度 ： 相繼同源 IP比例： % 發(fā)包規(guī)模： 99%以上單包 TTL均值 230，標(biāo)準(zhǔn)差 34 10個(gè)相鄰 IP間距： 455 IP 相鄰間 IP距離 IP 相鄰間 IP距離 K相鄰 IP組內(nèi)距離（ K=10） 真實(shí)地址樣本 虛假地址樣本 ? 100%國(guó)內(nèi)地址 ? 超過(guò) 50%有在惡意 IP庫(kù)收錄 ? 同外掛和網(wǎng)絡(luò)代理維度匹配 ? （確認(rèn)為真實(shí)地址） ? 約 6%IP與惡意 IP庫(kù)記錄重合 ? 絕大部分海外地址 大數(shù)據(jù) IP畫(huà)像在 CC攻擊對(duì)抗中的應(yīng)用場(chǎng)景 檢測(cè)算法： （ 1）單 src_ip的連接數(shù)超過(guò)閾值（舉例： 200 QPS)； （ 2）后端業(yè)務(wù)服務(wù)器（ tomcat)響應(yīng)延時(shí)超時(shí)比例超過(guò)閾值 (舉例： 50%）； （ 3）后端業(yè)務(wù)服務(wù)器（ tomcat)響應(yīng)延時(shí)延遲比例閾值 (舉例： 8s以上 30%）； 防御算法： （ 1）人機(jī)挑戰(zhàn) (anticookiejs)； （ 2）根據(jù)當(dāng)前連接數(shù)，封 src_ip top n 的 請(qǐng)求； 應(yīng)用大數(shù)據(jù)： （ 1）計(jì)算所有后端服務(wù)器 (tomcat)響應(yīng) nginx集群的響應(yīng)的延時(shí)數(shù)學(xué)分布； （ 2）計(jì)算分析歷史單 src_ip的連接數(shù)數(shù)學(xué)分布數(shù)據(jù)； （ 3）根據(jù)當(dāng)前的連接數(shù) top n 同時(shí)結(jié)合 IP畫(huà)像庫(kù)大數(shù)據(jù)，精確度更高； 云防 DDOS 外掛對(duì)抗 WAF 防刷系統(tǒng) IP畫(huà)像數(shù)據(jù)分析 移動(dòng)安全加 固 反廣告過(guò)濾 賬號(hào)安全系 統(tǒng)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1