ddos攻防與追蹤-資料下載頁(yè)
【導(dǎo)讀】數(shù)據(jù)包特征識(shí)別技術(shù)研究。大分布型的高強(qiáng)度攻擊。產(chǎn)生隨機(jī)源IP地址。數(shù)據(jù)包結(jié)構(gòu)位的隨機(jī)性。協(xié)議缺陷與系統(tǒng)處理缺陷。使用多種協(xié)議及多種形式。Syn包在Cookie表中的檢查。查詢(xún)ACK標(biāo)志包對(duì)應(yīng)的Cookie表。提高發(fā)包速率，減小checksum的計(jì)算量；現(xiàn)在的基于SYNs+TIME的特征；Watch模式下，路由器允許SYN直接達(dá)到服務(wù)。就向服務(wù)器發(fā)送RST清除該連接。Intercept模式下，TCP連接請(qǐng)求達(dá)到目標(biāo)主機(jī)。就將兩個(gè)連接進(jìn)行透明的合并。PingofDeath分片ICMP包，重組的包大。于65535，通常為65538；局限于對(duì)某種特定攻擊或者工具；太依賴(lài)于攻擊程序中的固定值；對(duì)于隨機(jī)數(shù)則無(wú)法特征化；無(wú)法普遍標(biāo)識(shí)攻擊流；數(shù)據(jù)包數(shù)量間關(guān)系的分布。從分布曲線(xiàn)對(duì)比，獲得B在A上的突變特征C；通過(guò)將具有突變特征C的數(shù)據(jù)過(guò)濾，來(lái)減少攻。擊的損失，盡可能地保證最大化的正常訪(fǎng)問(wèn)。攻擊發(fā)起的數(shù)據(jù)包與統(tǒng)計(jì)沒(méi)有關(guān)系。攻擊沒(méi)有造成網(wǎng)絡(luò)通路上的堵塞。系統(tǒng)默認(rèn)的TTL值為255、128、64、32。正常的TTL范圍：235~245、108~118、單一的TTL值255意味著TTL的統(tǒng)計(jì)分析。將影響一部分正常數(shù)據(jù)包
【正文】 distance from x to v in G extract path(Ri,...Rj) by enumerating acyclie paths in G FREE IS ALL ! 40 邊緣取樣 (Edge Sampling) ? 上面的算法表示邊緣取樣回溯 IP過(guò)程。因?yàn)榻邮諛颖镜目赡苄允桥c它同 Victim的距離成幾何遞減的，對(duì)于一個(gè)有 d級(jí)遠(yuǎn)的路由器來(lái)說(shuō)，期望值就是 1/[p(1p)(d1)] ? 要求從 Victim能重新構(gòu)建 d深度路徑的數(shù)據(jù)包數(shù) X，表達(dá)式是： E(x) ln(d)/[p(1p)(d1)] （ Ln(d)為影響因數(shù)） FREE IS ALL ! 41 邊緣取樣 (Edge Sampling) ? 缺陷 – 在邊緣取樣算法中每個(gè) IP包需要多 72bit空間； – 在包后面附加額外的數(shù)據(jù)花費(fèi)昂貴，并且不一定有足夠的空間來(lái)附加這些數(shù)據(jù)； FREE IS ALL ! 42 Compressed edge fragment sampling ? 建立在重載 16位的 IP identification域的編碼方式； ? 通過(guò)標(biāo)記邊緣的兩個(gè) IP地址進(jìn)行 XOR運(yùn)算，可以只需要一半的空間； ? 將每個(gè)邊界標(biāo)記再進(jìn)行細(xì)分成； FREE IS ALL ! 43 對(duì) IP地址進(jìn)行 XOR運(yùn)算 FREE IS ALL ! 44 將邊界標(biāo)記細(xì)分 FREE IS ALL ! 45 邊界標(biāo)記的重組判斷 FREE IS ALL ! 46 重載 IP頭的 identification域 ? 當(dāng)前統(tǒng)計(jì)表明只有 %被分片； ? 重載 IP頭部的 identification域； – 3bit的 offset（可允許 8次分片） – 5bit的 distance可以允許 31級(jí)路由 – 8bit的邊緣分片 FREE IS ALL ! 47 缺陷 ? 向后兼容性問(wèn)題； ? 分布式攻擊問(wèn)題； ? 路徑確認(rèn)問(wèn)題； FREE IS ALL ! 48 與 Traceback交叉的技術(shù)簡(jiǎn)介 ? Centerback ? Pushback FREE IS ALL ! 49 五、 DDOS監(jiān)控技術(shù) ? 反向散射分析 （分布被動(dòng)取樣監(jiān)控） Attacker Victim SYN C A B SYN+ACK SYN+ACK SYN+ACK FREE IS ALL ! 50 反向散射分析 ? 假設(shè)源地址是完全隨機(jī)產(chǎn)生的 ， 也沒(méi)有任何選擇性 。 這些源地址就覆蓋所有的 IP地址范圍 ，如果攻擊者發(fā)送了 m個(gè)攻擊包 ， 那么整個(gè)網(wǎng)絡(luò)上的主機(jī)接收到 Victim的回應(yīng)包概率就是 m/232 ? 如果監(jiān)視 n個(gè)單獨(dú)的 IP， 那么監(jiān)視到攻擊的期望值就是： E (X) = nm/232 ? 在一個(gè)足夠大的 IP范圍內(nèi)做監(jiān)控 ， 那么就能夠有效地對(duì)這些 DOS攻擊作采樣分析 。 FREE IS ALL ! 51 DDOS監(jiān)控未來(lái)的研究 ? 監(jiān)控與數(shù)據(jù)采樣； ? 數(shù)據(jù)統(tǒng)計(jì)分析； ? 付之實(shí)施吧！ FREE IS ALL ! 52 About: Xfocus’s DDOS Project ? 對(duì) DDOS現(xiàn)狀的分析； ? DDOS攻擊的分析； ? DDOS防御與追蹤研究； ? StatisticBased Fingerprint Identification ? 反向散射分析（監(jiān)控）； FREE IS ALL ! 53 Free Is All ! 謝謝大家！ FREE IS ALL ! 54
鄂ICP備17016276號(hào)-1