IP城域网DDoS攻击的检测与封堵探讨.pdfVIP

2oo8年第3期 广西通信技术 2008年9月 IP城域网D 、 DoS攻击的检测与封堵探讨 卢 华 (中国电信股份有限公司广西分公司，广西 南宁 530022) 摘 要：近两年来，分布式拒绝服务 (DistributedDenialof~rvlce，DI)xS)攻击成为一种 日益常见的网络异常流 量，它不仅导致被攻击者的网络服务中断，还对电信运营商的IP城域骨干网的安全构成严重威胁。从 电信运营商的角度 ，分析了危害 IP城域网安全的DDoS攻击特征，在综合考虑攻击特征、技术现状、 投资成本的基础上 ，提出一种容易在 IP城域网部署的D[bS攻击检测与封堵方案。试用结果表明，该 方案可以显著提高运营商 IP城域网在DIibS攻击事件方面的响应处理能力。 关键词：IP城域网；分布式拒绝服务攻击；检测与封堵 中图分类号：TN915．08 文献标识码 ：A 文章编号：1008—3545(2008)03—0012—05 封堵，是当前各运营商关注的热点问题。 一 、 引言 二、叻 oS异常流量特征 异常流量通常是指在网络上承载的非运营商或 者最终用户所期望的各种流量，包括：拒绝服务攻 近年来，危害 IP城域网网络运营质量的DDoS 击 (DenialofSe~-ic，D[)S)份 布式拒绝服务攻击 异常流量通常具有以下特征： (DistributedDenialofService， )、病毒、垃圾 (1)攻击流的源地址分散，甚至有RFC1918规 邮件、P2P应用、非法 VolP等等。 定的 10．0．0．0／8、172．16．0．0／12、192．168．0．0／16私 DoS指攻击者使用大量的异常数据包来耗尽被 有网络地址，攻击溯源非常困难。 攻击服务器的资源，从而导致其无法提供正常的服 (2)攻击的目的地址相对集中在若干个 IP。 务。而DDoS是DoS攻击手段的升级，攻击者通过 (3)攻击的数据量非常大，主要体现在两个指 主机漏洞、病毒等方式控制了网络上大量的僵尸主 标，即bit／s和 Packet／s。用这两个指标来衡量异 机 (Zombies)，通过这些主机同时向目标发动的 常流量，又可以分为三种情况： DoS攻击称为DDoS攻击。近年来，随着计算机的 1)带宽性攻击，以bit／s为单位，表现为被攻 性能越来越高，互联网用户接人的带宽越来越大， 击者接收的攻击流量远远超过正常数据流量，在 攻击软件越来越容易获得，DDoS攻击有愈演愈烈 IP城域网的核心链路上出现 1～10Gbit／s的异常 的趋势。有记录的攻击流量甚至达 到若干个 流量，链路的带宽利用率大于 90％。常见于UDP Gbit／s，导致运营商 IP城域网这样的高带宽高速 Flood攻击，攻击包的大小可达一千多字节。 网络发生拥塞和瘫痪。如果连电信运营商都不能在 2)小包泛滥攻击，以Packet／s为单位，表现 攻击中幸免，那么作为电信运营商的用户，其网络 为被攻击者接收的攻击包个数远远超过正常数据包 服务就更没有保障了。 个数，在 IP城域网的2．5Gbit／s核心链路上出现 正因为DDoS攻击严重的影响 IP城域网的稳 100--200万 Packet的异常流量，但同时链路的 定性和用户服务质量，如何