CERNET江苏省网边界辐射流量的获取与分析.PDF

CERNET 苏省网边界辐射流量的获取与分析 龚皓，缪丽华，丁伟 东南大学计算机科学与工程学院，南京 2 11189 摘 要： 文首先介绍了IBR 流量的基 原理以及产生IBR 流量的主要原因，并根据IBR 流量的特点，设计和实现了一种从接入网边界的原始流量中分离出 IBR 流量的算法。通过 将该算法应用于从2008 年到2011 年四年的实测流量中， 文展现了IBR 流量在时间和空间 上的特性。时间上，IBR 流量的总量与在总流量中所占比例皆呈逐年增长的趋势，且主要成 分从TCP SYN 单包流转变为TCP SYN+ACK 单包流。空间上，IBR 流量则呈现了普遍性和 不均匀性。 关键词：网络背景辐射，网络测量，扫描，反向散射，灰空间 中图分类号：TP393.0 文献标识码：A 0. 引言 IBR 流量的原因之一。伪造源地址的活动， 会使得网络流量具有不对称性（如图1 所 背景辐射流量(IBR: Internet Back- 示）。基于这种不对称性，我们就可以从原 ground Radiation)[1]是网络中的一种非 始流量中分离出IBR 流量。 正常的流量，多是由TCP SYN+ACK 单包 要分离出IBR 流量，首先就要定义出 流、TCP SYN 单包流等特殊的网络流量构 灰地址空间。设g 为接入网内部的一个IP 成的，并且这些单包流在网络中有很高的 地址，若其在时间段T 中，不发送流量、 出现频次。IBR 流量产生的原因是不一而 仅接收流量，则称g 为灰地址。此外，在 同、复杂的，例如黑客的扫描行为、DDOS 实际网络中存在一部分地址并没有实际的 攻击的反射流量、错误的路由配置等[2] 。 出流量，而是由接入网的边界防火墙代替 IBR 流量的捕获对于发现和追踪网络威胁 做出应答的情况，则实际上该类地址并不 [3]、 决安全隐患具有重要的价值。 存在实际活跃的行为。即，设r 为接入网 网络中的暗地址，是指全球可路由但 内部的一个IP 地址，若其在时间段T 内， 未分配给活跃主机的地址[2] 。发往暗地址 仅发送TCP RST+ACK 报文，将此类地址也 的流量被认为是不正常的流量，属于 IBR 纳入灰空间的范围。 流量。监测暗地址是获取IBR 流量并进行 如图1所示： 后续分析的有效方法。但是，布置暗网需 服务器S 要具有一定规模且连续的IP 地址块，对于 普通的接入网这并不是容易满足的条件。 本文从普通接入网的角度，提出了一种从 原始流量中分离IBR 流量的方法。实验结 果表明，该方法是可行且有效的。 用户A 用户B 1．IBR 流量的获取 图1 用户A 使用伪源地址情况 在TCP/IP 协议中，IP 层在转发报文 由于灰空间中并没有活跃用户，因此 时仅依赖目的地址，而不检查源地址。通 称向灰空间发送报文的IP为可疑IP地址。 信对端则总是假设 IP 报文的源地址是真 称所有可疑 IP 地址组成的空间为可疑空 实的，这使得其在回复报文时，有可能使