基于GBF的追踪溯源系统设计-论文.pdf

《基于GBF的追踪溯源系统设计-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第47卷第4期通信技术Vo1．47No．42014年4月CommunicationsTechnologyApr．2014doi：10．3969／j．issn．1002-0802．2014．04．018基于GBF的追踪溯源系统设计黄宸，陈周国，郝尧，蒲石(保密通信重点实验室，四川成都610041)摘要：互联网的快速发展引发了学术界和工业界对于网络安全技术的研究热潮，网络攻击追踪溯源技术能够定位网络攻击的源头，为防御方采取有针对性的防御措施和对攻击者进行反制提供必要信息，对于网络取证也有重要意义。首先介绍网络追踪溯源的基本方法；然后，介绍了广义布隆过滤器(Genera

2、lizedBloomFilter)及其在包标记追踪溯源中的应用；接着，设计并实现基于GBF的追踪溯源系统，实验表明本系统可以成功重构攻击路径；最后，进行总结并大致描述了今后的研究方向。关键词：追踪溯源包标记广义布隆过滤器系统设计中图分类号：TP393文献标志码：A文章编号：1002—0802(2014)04—0430—05IPTracebackSystemDesignbasedonGBFHUANGChen，CHENZhou—guo，HAOYno，PUShi(ScienceandTechnologyonCommunicationSecurityLaboratory，

3、ChengduSichuan610041，China)Abstract：Withtherapiddevelopmentoflnteruet，networksecuritytechnologyrecentlyexcitesmuchinter—estinacademiaandindustry．Bytracingandlocatingthesourceofnetworkintrusion．IPtracebacktech．nologyhelpsde~ndertaketargeteddefensivemeasures，andenabletocarryoutthecounte

4、rmeasurestotheattacker．collectinformationforcyberforensics．ThispaperfirstlyintroducesthebasicmethodofIPtrace．back，thendescribesGBF(GeneralizedBloomFilter)anditsapplicationinpacketmarking．Afterthat，IPtracebacksystembasedonGBFiSdesignedandimplemented．Experimentalresultsindicatethatthesy

5、stemcouldsuccessfullyreconstructattackpath．Finally，thispapersummarizestheworkthathasbeendoneandproposestheresearchdirectioninfuture．Keywords：IPtraceback；packetmarking；GBF；systemdesign0引言络路径。追踪溯源至少具有以下三点重要意义：①从源头上遏制攻击；②指导防御方采取有针对性防随着互联网在人类政治、经济、文化、生活等各御措施；③为从司法上惩治网络罪犯提供有力证据。方面发挥越来越重要的作

6、用，互联网的安全也越发学术界对网络追踪溯源已经有了较多的研究，引起人们的关注。面对日益严峻的网络安全形势，主要包括：链路测试法、日志记录法、iTrace和数据仅仅依靠传统的部署防火墙、IDS、IPS等被动防御包标记法。链路测试法是在攻击发生时对各个方法已不足以确保组织、公司的网络安全。追踪溯源是一种主动防御方法，是在网络攻击发生时主动路由器之间的链路进行测试以确定攻击流经过的路定位网络攻击者身份或位置及其攻击路径的过程。径。链路测试法缺陷是：只能在攻击发生时应用；只身份是指攻击者的姓名、账号等能够代表攻击者的能进行自治域内的追踪；建立IPSec安全联盟需要信息，位

7、置可以是攻击者的物理位置或网络地址，攻消耗大量资源。SPIE(SourcePathIsolationEn—击路径是攻击数据流从攻击端到受害端所经过的网gine)E2]是一种典型的日志记录追踪溯源方法，该方基金项目：国家自然科学基金(No．61309034)FoundationItem：NaturalScienceFoundationofChina(No．61309034)·43O·第47卷黄宸，陈周闰，郝尧，蒲石：基于GBF的追踪溯源系统设计第4期法提取数据包的IP头同定部分与数据的前8字节g1(Y)，g2(Y)，⋯，g加(Y)被置0，h．(Y)，h2(Y)⋯进行

8、Hash运