基于主动网的SYN攻击防御.pdfVIP

第32 卷 第3 期 电 子 科 技 大 学 学 报 Vol.32 No.3 2003 年6 月 Journal of UEST of China Jun. 2003 基于主动网的SYN攻击防御 * 肖 原 王 晟 李乐民 ( 电子科技大学 宽带光纤传输与通信系统技术国家重点实验室 成都 610054) 【摘要】针对目前传统网防御TCP 同步泛滥攻击的服务器主机、路由器过滤、防火墙方法的局限性，利用主 动网的动态特性，提出一种基于主动网的同步泛滥防御机制，并通过仿真实验将它与传统网环境下的防火墙防御 进行了性能比较和分析，结果表明主动网技术为同步泛滥攻击提供了良好的防御性能。 关 键 词 同步泛滥攻击; 防御; 防火墙; 主动网 中图分类号 TN915.01 文献标识码 A Active Network Based SYN-FLOOD Defense Xiao Yuan Wang Sheng Li Lemin (State Key Laboratory of Broadband Optical Fiber Transmission and Communication Networks, UEST of China Chengdu 610054) Abstract This paper outlines the limitation of some currently schemes of defending SYN-Flood in traditional networks, and presents an active network based SYN-Flood defense mechanism, which takes advantage of the active network’s dynamic environment. In additon, we analyze the performance of our scheme via simulation experiments and compare it with the firewall based mechanism . The experiments show that active network based mechanism provides better capability for SYN-Flood defending. Key words SYN-Flood attack; defense; firewall; active network 同步泛滥(SYN-Flood)是最常用的分布式拒绝服务(distributed denial of service)攻击方法，它利用了 TCP/IP协议实现上的一个缺陷，通过向网络服务所在端口发送大量伪造的TCP连接请求，使被攻击方资源耗 尽而拒绝服务。目前，很多操作系统、防火墙、路由器的设计都加入了SYN-Flood的防御机制，但在传统网 络的环境下防御SYN-Flood攻击较困难。 主动网是一种可编程的分组交换网络,它的本质特征是动态特性[1] ：新的或修改的网络服务能够利用网 络设施动态地在网络中传播和分布，这与现有的互联网不同。在主动网中，主动节点为可执行的定制程序 提供运行平台。通过主动网提供的通用开放的网络可编程接口，应用程序可直接向节点插入定制的程序或 通过在报文分组中包含可执行的程序代码段来配置或扩展网络的核心功能，通过每跳执行的方式来配置并 优化它们的任务，提供某种定制的网络服务。主动节点收到数据后进行计算，再将数据传送到下一节点。 主动网的概念为防御SYN-Flood攻击提供了一种新的思路，本文提出了一种基于主动网的SYN-Flood攻 击防御的解决方案并通过仿真实验进行了性能分析。 1