CERNET江苏省网边界辐射流量的获取和分析.pdfVIP

第43卷专辑 太原理 工 V01．43 大 学 学 报 Spec．Issue 2012年10月 JOURNALOFTAIYUANUNIVERSITYOFTECHN()I。()GY Oct．2012 文章编号：1007—9432(2012)S1—0067—03 CERNET江苏省网边界辐射流量的获取与分析 龚 皓，缪丽华，丁 伟 (东南大学计算机科学与工程学院，南京211189) 摘 要：介绍了IBR流量的基本原理以及产生IBR流量的主要原因。并根据IBR流量的特点， 设计和实现了一种从接入网边界的原始流量中分离出IBR流量的算法。通过将该算法应用于从 2008年到2011年的实测流量中，展现了IBR流量在时间和空间上的特性。时间上，IBR流量的总 SYN 量与在总流量中所占比例皆呈逐年增长的趋势，且主要成分从TCPSYN单包流转变为TCP +ACK单包流。空间上，IBR流量呈现了普遍性和不均匀性。 关键词：网络背景辐射；网络测量；扫描；反向散射；灰空间 中图分类号：TP393．0 文献标识码：A radiation， 背景辐射流量(internetbackground 要分离出IBR流量，首先就要定义出灰地址空 IBR)[1]是网络中的一种非正常的流量，多是由TCP 间。设g为接入网内部的一个IP地址，若其在时间 SYN+ACK单包流、TCPSYN单包流等特殊的网 段T中，不发送流量、仅接收流量，则称g为灰地 络流量构成，并且这些单包流在网络中有很高的出 址。此外，在实际网络中存在一部分地址并没有实 现频次。IBR流量产生的原因是不一而同、复杂的， 际的出流量，而是由接入网的边界防火墙代替做出 如黑客的扫描行为、DDOS攻击的反射流量、错误的应答的情况，实际上该类地址并不存在实际活跃的 路由配置等[2]。IBR流量的捕获对于发现和追踪网行为，即设，．为接入网内部的一个IP地址，若其在 络威胁[3]、解决安全隐患具有重要的价值。 时间段T内，仅发送TCPRST+ACK报文，将此 网络中的暗地址，是指全球可路由但未分配给 类地址也纳入灰空间的范围。用户A使用伪源地 活跃主机的地址[2]。发往暗地址的流量被认为是不 址情况如图1所示。 正常的流量，属于IBR流量。监测暗地址是获取 服务器S IBR流量并进行后续分析的有效方法。但是，布置 暗网需要具有一定规模且连续的1P地址块，这对于 普通的接入网并不是容易满足的条件。笔者从普通 接入网的角度，提出了一种从原始流量中分离IBR 图1 用户A便用伪源地址情况 流量的方法。实验结果表明，该方法是可行且有 由于灰空间中并没有活跃用户，因此称向灰空 效的。 间发送报文的IP为可疑IP地址，称所有可疑IP地 1 IBR流量的获取 址组成的空间为可疑空间。可疑IP地址发送的流 量并不全都是辐射流量，其中存在着部分正常交互 在TCP／IP协议中，IP层在转发报文时仅依赖 的流量，如图2所示，称可疑空间发出的单向流为 目的地址，而不检查源地址。通信对端则总是假设 IBR流量，即判定可疑IP发送的单向流为