DDoS攻击追踪

DDoS攻击追踪

        分布式拒绝服务攻击(DDoS)是因特网上的一个严重的威胁。然而，Internet路由机制的无记忆功能使得它难以追溯这些攻击的来源。因此，至今没有有效的方法来处理这个问题。

        常见的追踪DDoS攻击的方式是IP追踪，IP追踪的目的是识别产生攻击分组主机的真实IP地址。通常，可以通过检测IP分组的源IP地址来实现。但是，由于目前广

泛使用的网络协议TCP/IP协议存在安全漏洞，IP地址可以通过软件设置，因此发送者可以很容易地伪造地址，隐蔽它的身份。IP追踪技术(通过网络的路由追踪IP分组)，

能够识别攻击主机的真正IP地址，而且还可以获得有关产生攻击的机构的信息，例如它的名称和网络管理员的E-mail地址等。

        IP包在网上传输的过程中，IP协议首部的某些字段可能会被中间设备修改，比如TTL,校验和，分片以及IP选项等，到最后，受害主机收到的数据包跟攻击者发出的

攻击数据可能会有很大的不同，因此，IP追踪必须能够追踪数据包的路由信息，这样在进行IP追踪的时候才能不受接收到的数据包的限制。要在一个系统中实现IP追踪

，网络管理员必须将现有路由器上的固件更新到追踪支持版本，或者在网络中的某个位置配置特殊的追踪设备。

        大量的IP追踪方法已经被用来识别攻击源，有两种重要的IP追踪方法：基于概率的包标记（PPM）和确定性包标记（DPM）。这两种策略都需要路由器标记每个包。

确定性包标记DPM要求每个包必须有足够的空间来存储它经过的所有路由器的标记信息，这会带来非常大的空间负担。即使有足够的空间，向每个数据包中添加数据也

会造成路由器的负担过高。目前的DPM算法主要有：节点增加算法，节点采样算法和边界采样算法。概率性包标记PPM依据一定哦概率对数据包进行标记，大大减少了

路由器的计算量。目前比较成熟点哦PPM算法包括基于分片的PPM算法，基于Hash编码的PPM算法，以及基于代数编码的PPM算法。但是当前的PPM算法一般都将标

记信息存入IP头部的标示字段，由于IPv6没有这个字段，这样不可避免地造成向后兼容问题。

        2011年IEEE上发表的一篇题目为《利用熵参数来追踪DDoS攻击》，在本文中作者提出了一种新的方法。这种方法是通过路由器上熵的变化来追踪DDoS攻击，利用很多假设和数学建模，经过大量的实验模拟，得知利用熵参数来追踪DDoS攻击的方法优越于IP追踪的方法，详细内容希望读者下载论文《Traceback of DDoS Attackks Using Entropy Variations》。