网络攻击溯源技术概述

《网络攻击溯源技术概述》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络攻击溯源技术概述随着互联网覆盖面的不断扩大，网络安全的重要性不断增加。面对层出不穷的新型网络入侵技术和频率越来越高的网络入侵行为，对高级IDS（intrusiondetectionsystem）的需求日益迫切。从20世纪70年代开始了网络攻击防护措施的最初研究，本文首先分析了网络溯源面临的问题，然后述了溯源的分类和应用场景，最后介绍了多种溯源技术的优点。引言计算机网络是计算机技术和通信技术发展到一定程度相结合的产物，Intemet的出现更是将网络技术和人类社会生活予以紧密的结合。随着网络技术的飞速发展，越来越多的传统运作方式正在

2、被低耗、开放、高效的分布式网络应用所替代，网络已经成为人们日常生活中不可缺少的一部分。但是，随之而来基于网络的计算机攻击也愈演愈烈，尤其是DDoS攻击，攻击者利用网络的快速和广泛的互联性，使传统意义上的安全措施基本丧失作用，严重威胁着社会和国家的安全；而且网络攻击者大都使用伪造的IP地址，使被攻击者很难确定攻击源的位置，从而不能实施有针对性地防护策略。这些都使得逆向追踪攻击源的追踪技术成为网络主动防御体系中的重要一环，它对于最小化攻击的当前效果、威慑潜在的网络攻击都有着至关重要的作用。近年来互联网飞速发展，截至2011年6月底，中国

3、网民数量达到2.53亿，网民规模跃居世界第一位，普及率达19.1%，全球普及率已经达到21.1%。互联网已经拥有足够庞大的用户基础，网上有游戏、聊天、论坛、邮件、商场、新闻等不同的应用和服务，现实生活中存在的现象、业务、社会关系以及服务在网络上都有不同程度的体现，互联网已经成为名副其实的虚拟社会。现实生活中除了存在道德约束以外，还有法律威慑———违法犯罪活动会被追查，犯罪活动实施者为此可能付出很大的代价甚至人身自由。而与现实生活不同的是在网络虚拟社会中似乎只有类似道德约束的用户自律，却没有法律威慑。网络上大量存在DDoS攻击、木马、

4、蠕虫、僵尸网络、非授权访问、发送垃圾邮件等恶意行为，但是由于网络匿名传统以及溯源能力的缺失，上述恶意行为即使涉及现实生活的违法犯罪，也很难有效取证和追查，网络犯罪实施者因此有恃无恐，更加猖獗。近年来，随着社会生活越来越依赖互联网，互联网安全问题已经在抑制网络健康有序发展，互联网亟需建设溯源能力。目录溯源问题分析4网络溯源面临的问题5溯源的分类与应用场景8一、分类8二、网络溯源应用场景10现有技术11一、分组标记溯源法11·节点取样技术12·非IP地址标记技术12二、发送特定ICMP溯源法12·意图驱动的ICMP溯源技术13·带累积路

5、径的ICMP溯源技术13三、日志记录溯源14五、链路测试溯源法15结束语16溯源问题分析溯源通常是指寻找网络事件发起者相关信息，通常用在网络攻击时对攻击者的查找。溯源相关的事件可以是应用层事件应用层溯源，即查找业务的使用者，例如查找垃圾邮件的发送者），也可以是网络层事件（网络层溯源，即查找特定IP报的发送者，例如“pingofdeath”发起者等）。在一些情况下，将应用层D映射到IP地址后可以将应用层溯源转化为网络层溯源。事件发起者相关信息可以是用户的注册信息、发起者使用设备的接入、发起者主机相关信息等。多数传统电信网基于连接开展业

6、务，且通常是对主叫计费，因此传统电信网从设计之初就具备溯源能。通常网络设备会检查或者改写终端相关的源地址/主叫号码，因此无论是电话业务还是帧中继、ATM等分组数据业务都具备溯源能力：源地址/主叫号码都是确保真实的，运营商可以确认源地址/主叫号相关的终端接入点和所在大致位置。当然，随着当前网络IP化的进展，受IP网能力的制约，传统电信网在溯源方面也出现了漏洞，例如存在虚假主叫号码等现象。计算机网络追踪溯源技术指的是通过计算机网络定位攻击源地址的技术，它涉及到的机器包括攻击者、被攻击者、跳板、僵尸机、反射器等。其攻击模型如图1所示。图1

7、网络攻击模型攻击者(ARackerHost)指发起攻击的真正起点，也是追踪溯源希望发现的目标。被攻击者(VictimHost)指受到攻击的主机，也是攻击源追踪的起点。跳板机(SteppingStone)指已经被攻击者危及，并作为其通信管道和隐藏身份的主机。僵尸机(Zombie)指已经被攻击者危及，并被其用作发起攻击的主机。反射器(Reflector)指未被攻击者危及，但在不知情的情况下参与了攻击。网络溯源面临的问题由于当前的TCP／IP协议对IP包的源地址没有验证机制以及Internet基础设施的无状态性，使得想要追踪数据包的真实起

8、点已不容易，而要查找那些通过多个跳板或反射器等实施攻击的真实源地址就更加困难。目前，网络溯源面临的问题主要有以下几个：一、IP网络设计存在缺陷，缺乏源地址检验能力IP网络是基于连接发送数据，每个IP分组上都有源地址和目的地址息，IP网