资源描述：
《绝服务攻击的检测与防御》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、第38卷 第2期西 安 交 通 大 学 学 报Vol.38 №22004年2月JOURNALOFXI′ANJIAOTONGUNIVERSITYFeb.2004网络入侵检测系统的拒绝服务攻击的检测与防御孙钦东,张德运,高 鹏,张 晓(西安交通大学电子与信息工程学院,710049,西安)摘要:针对网络入侵检测系统的拒绝服务攻击(DOS)具有难于检测与防御的特点,提出了一种新颖的检测与防御算法.该算法通过分析告警的频率与分散度来检测DOS攻击,并采用分阶段切换的方式将状态检测由正常模式转为紧急模式,丢弃不属于正常TCP会话的数据包,以实现对DOS的防御.性能分析和实验
2、结果表明,该算法能够及时发现、防御DOS攻击,有效地阻止DOS攻击所造成的系统破坏.关键词:入侵检测;拒绝服务攻击;状态检则中图分类号:TP393 文献标识码:A文章编号:0253-987X(2004)02-0132-04DetectingandDefeatingDenial2of2ServiceAttacksonNetworkIntrusionDetectionSystemsSunQindong,ZhangDeyun,GaoPeng,ZhangXiao(SchoolofElectronicsandInformationEngineering,Xi′anJiao
3、tongUniversity,Xi′an710049,China)Abstract:Aimingatthecharactersticofdenial2of2service(DOS)attacks,anovelalgorithmisproposedtodetectanddefeatDOSattacks.Throughanalyzingthefrequencyanddispersionofalerts,theDOSattacksaredetect2ed.Todefeattheattacks,thestatefulinspectionisswitchedfromnor
4、malmodetoemergencymodebythestagedswitchmethodandpacketsthatdon’tbelongtoanormalTCPsessionaredropped.PerformanceanalysisandexperimentsdemonstratethatthealgorithmcandiscovertheDOSattacksintimeandeffectivelyprotectnet2workintrusiondetectionsystems.Keywords:intrusiondetection;denial2of2s
5、erviceattacks;statefulinspection 针对入侵检测系统(IDS)的缺陷,有经验的攻告警,耗尽可用资源,陷入拒绝服务状态,同时使管击者会直接对IDS进行攻击.由于网络IDS是“失理者无法分辨哪些告警是针对真正的攻击发出的,败开放”(fail2open)的,一旦网络IDS停止工作,其从而使IDS失去作用.保护的网络就会暴露在攻击者面前.因此,针对IDS与其他攻击方法相比,DOS易于实施,攻击效的攻击给网络安全带来的危害比针对普通主机的攻率高,而且难于检测与防御.目前通常使用状态检测击更为严重.来防御DOS.在具体实现中,状态检测通常有两
6、种[3]对网络IDS的攻击通常有欺骗攻击、崩溃攻击工作模式,以Snort为例,一是正常模式,状态检测[1,2]及拒绝服务攻击(DOS)等.欺骗攻击指攻击者模块对所有数据包进行状态保持;二是紧急模式,在用精心设计的报文来误导IDS,使它对所分析的报此模式下只对正常TCP会话(经过3次握手)的数文作出错误的判断.崩溃攻击指攻击者利用某种据包进行状态保持,丢弃不属于正常会话的数据包.IDS设计上的缺陷,发送针对性极强的报文致使系正常模式可以减少系统的漏报和误报,但不能防御统崩溃.针对网络IDS的DOS攻击,是指攻击者伪DOS之类的攻击;紧急模式能够防御DOS,但会造大
7、量有攻击表现的信息包,使被攻击的IDS频繁带来较高的漏报与误报.最理想的情况是,有DOS收稿日期:2003-04-23. 作者简介:孙钦东(1975～),男,博士生;张德运(联系人),男,教授,博士生导师. 基金项目:国家信息化计算机网络与信息安全基金资助项目(2001-研1-010).©1995-2004TsinghuaTongfangOpticalDiscCo.,Ltd.Allrightsreserved. 第2期 孙钦东,等:网络入侵检测系统的拒绝服务攻击的检测与防御133NN攻击时工作在紧急模式,没有时则工作在正常模式.Lth
8、rld=(∑Lnmli+
