![点击分享此内容可以赚币 分享](/master/images/share_but.png)
应用层DDoS攻击检测技术简析.docx
《应用层DDoS攻击检测技术简析.docx》由会员分享,可在线阅读,更多相关《应用层DDoS攻击检测技术简析.docx(12页珍藏版)》请在咨信网上搜索。
1、 应用层DDoS攻击检测技术简析 宋强 文随着互联网技术的不断创新,安全成为互联网的关键问题。层出不穷的攻击手段对网络安全造成了极大的威胁,其中,DDoS 攻击因其工具免费、在线服务价格低廉,备受黑客的欢迎。据 ArborNetworks(NASDAQ:NTCT)公司公布的全球分布式拒绝服务攻击的数据报告显示,2016 年规模最大的 DDoS 攻击流量达到了 579Gb/s,较 2015 年提高了 73%。201来自WwW.lw5u.cOm6 年上半年,规模超过 100Gb/s 的 DDoS攻击就有 274 起,与 2015 年相比,平均 DDoS 攻击规模增长了 30%。这些攻击大多数针对一
2、些非法网站、在线服务(门户、新闻、生活服务)和企业网站。例如,2016 年 8 月暴雪以及英雄联盟游戏服务器遭遇大规模的 DDoS 攻击,自称是 PoodleCorp 的黑客组织袭击了暴雪在欧洲和美国的服务器以及英雄联盟的北美服务器,导致暴雪公司的技术支持服务一度中断,英雄联盟的北美服务器被突然关停,造成的损失不可估量。目前, 出现了很多专门检测DDoS攻击的产品,这些产品可有效检测出低层的 DDoS 攻击。因此,DDoS 攻击逐渐往上层转移,应用层协议较为复杂,应用层DDoS攻击就具有了更大的破坏性和攻击性。Imperva 公司 Incapsula 部门的报告显示,2016 年应用层攻击占据
3、总攻击的 60%。目前,针对应用层的DDoS 攻击的检测方法已经有了一些,但尚未有比较成熟、有效的检测方法。DDoS 攻击原理DDoS 是 DoS 的特殊形式,采用分布式、协作式的攻击手段,攻击诸如电商网站、搜索引擎大的站点,目的是消耗网络带宽、服务器系统资源等。DDoS 攻击的网络结构如图 1 所示,主要由攻击者、主控端和代理端三部分构成。攻击者控制整个攻击过程,通过 PC 端向主控端发送攻击命令。主控端执行攻击者发送的指令,并将指令发送给代理机。代理端接受并运行主控端发送的指令,实施攻击。应用层 DDoS 攻击通过请求开销较大的页面动作,如数据库查询、关键词搜索等,达到用低速率的攻击方式让
4、服务器的 CPU 满负载,从而拒绝服务的目的。根据著名的短板效应,薄弱环节是体现系统抵抗拒绝服务攻击能力的关键,因此典型的应用层 DDoS 攻击一般选择服务器中的薄弱环节发起攻击。图 2 所示为常见的网站架构,在Web 网站中,数据库就是典型的薄弱环节。据相关数据显示,应用层的 DDoS 攻击主要针对动态页面。用户在请求动态页面时,一个点击事件,可以发送无数的请求,其中涉及数据库查询、服务器端程序执行等CPU 开销较大的操作,当进行大量请求操作时,CPU 就会由于过载而导致服务器停止服务。应用层 DDoS 攻击分类应用层 DDoS 攻击分为 CC 攻击、DNS-flood 攻击、慢速连接攻击等
5、。目前出现了一些其他的攻击,包括 http慢速 post 请求、慢速的 read 请求,与慢速连接攻击有着相同的原理。CC 攻击使用僵尸网络或代理服务器群,向目标主机发起大量的真实 http 请求,消耗大量的并发资源,最终占满服务器并发连接数,使服务器拒绝服务。在发起 http请求时,若避开缓存直接读取数据库,并在读取数据库过程中,使用最消耗资源的查询方式如全表扫描,这样,少量的攻击便会起到很大的攻击效果。DNS-flood 攻击会伪造源地址,并向目标 DNS 服务器发送大批量 DNS 请求。请求发送后,DNS 服务器会先寻找是否有相对应的缓存,如果寻找不到且该域名无法由服务器直接解析时,DN
6、S 服务器会将域名信息提交到上层DNS 服务器。慢速连接攻击, 针对的是http协议。 建立http连接时,设置一个较大的 content-length。在每次发送 http 请求时,发送极少字节,让服务器误认为 http 的头部传输还未完成,因此大量的 http 请求必然会耗尽连接。其他类型的攻击包括 Javascript-based DDoS、WordPress pingback DDoS 和 Joomla 反射攻击。Javascript-based DDoS 是在大量被访问的网页中嵌入恶意 Javascript 代码,Javascript 代码指向被攻击网站,当普通用户访问被嵌入代码的网
7、页时,流量就会指向被攻击网站。WordPress pingback DDoS 是基于wordpress 搭建的 WEB 网站,网站默认开放 XML-RPC pingback 服务,当 blog 系统有文章被引用时,该服务会通知第三方网站,攻击者冒充被攻击网站的 IP 地址,给大量 wordpress 站点发送 pingback 请求,这样拥有 pingback 服务的网站就会向被攻击网站进行大量的HTTP get 请求,从而造成拒绝服务攻击。应用层 DDoS 攻击的主要模式应用层 DDoS 攻击的模式可划分为两方面:访问模式和速率模式,这两方面可相互组合,也可互相独立。攻击页面的访问模式(1)
8、对单一页面反复请求。(2)对不同页面进行遍历请求。(3)从指定的一个页面集合里,随机选择页面发送请求。攻击速率的模式(1)固定速率,如每秒钟一个页面请求。(2)随机速率,如在前后请求中间加上随机的时间长度。结合攻击页面的不同访问模式和速率模式,就制造出了不同的攻击模式。应用层 DDoS 攻击检测技术应用层 DDoS 攻击主要针对三种协议,分别是Web、DNS 及 SMTP 协议,虽然攻击者开始越来越多地针对 DNS 协议,但是针对 Web 服务器的 DDoS 攻击在应用层 DDoS 攻击中仍占据着不可忽视的比例,因此本文将针对 Web 服务器的 DDoS 攻击检测技术进行总结。应用层 DDoS
9、 攻击检测算法可以概括性地分为两类:一类是根据数据流的特征进行检测,与传统低层 DDoS 攻击的检测技术相似,依据网络流量的某些特征的统计量来检测攻击;另一类是基于用户行为的检测算法,通过分析正普通用户和 DDoS 攻击者之间的行为差异来检测攻击,检测应用层DDoS攻击的系统模块一般结构都如图3所示。基于总流量特征的检测算法应用层 DDoS 攻击会导致网络流量的某些特征在短时间内发生较大变化,但正常用户访问时,这些特征不会发生大的变化,因此,通过记录 IP 请求的平均数次或根据页面的熵值就可以有效检测。基于流量特征的检测算法有如下几种。基于一阶线性回归预测的检测算法智坚(2011)提出统计 W
10、eb 流量,依据每个 IP 请求的平均数次 ANRC 来检测攻击的检测算法。该算法采用的是 AR 线性预测模型,观察 DDoS 攻击时 ANRC 值相对于正常情况下的变化来检测攻击。在正常的情况下,ANRC 值比较平稳,且在预定的范围内波动,当遭遇DDoS 攻击时,ANRC 值会急速攀升,和预测值会有大的偏离。该算法简单、实时性好,但易将普通的网络突发流误认为是攻击。另外,该算法检测的是流量型 DDoS 攻击,而应用层中大多是低速率攻击,因此,对于低速率攻击它不能检测出来。基于请求页面熵的分布的检测方法张烜(2009)提出根据页面的熵值来检测应用层DDoS 攻击,该检测方法将请求页面当做随机信
11、源,并将网页分类,静态页面为一类,动态页面根据不同的后缀名分为 asp、jsp、cgi、php 几类,在单位时间内统计窗口中不同页面的数目。该算法的依据是:在一般情况下,普通用户请求的页面较分散,即随机性较大,则熵值较大;发生 DDoS 攻击时,服务器会收到大量来自单一页面的请求,页面的随机性较小,页面的熵值较小。因此,可根据熵值变化来检测攻击,恰当的设定阈值,便可有效判断出攻击者。该算法的优点在于简单、 计算量少、 易进行实时检测,然而,低速率的攻击并不会明显影响流量的特征,仅会导致页面幅度发生较小变化,因此阈值的设置比较困难,且该算法中的 DDoS 攻击,请求模式使用的是单一页面,但DDo
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 应用 DDoS 攻击 检测 技术
![提示](https://www.zixin.com.cn/images/bang_tan.gif)
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【丰****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【丰****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。