下一代网络攻击防护策略.PDFVIP

下一代网络攻击防护策略 赵洪宇 刘亚光 朱 睿 天津大学 ex1212@ 摘 要：本文从下一代网络谈起，研究 ipv4 过渡 ipv6 时的网络状态中的拒绝服务攻击方法， 深入分析了反弹全连接拒绝服务攻击（Reflection complete connection Denial of Service attACK ）在ipv6 环境下攻击原理并创造性的提出了防护原理以及防护的试验过程。 关键词：ipv4 过渡 ipv6 拒绝服务攻击 防护原理 Abstract: This paper began with the next generation Internet, and analyzed denial of service attACKs methods during the transition period from ipv4 networks to ipv6 networks, then detailed analyzed the attACK mechanism of Reflection complete connection Denial of Service attACK, and proposed a defense theory of this attACK in a creative way and introduced the process of the defense experiment. Key words: Transition from ipv4 to ipv6, Denial of Service(DoS), Defense theory 1．前言： IPv6 其设计的最初目的就是为了克服传统互联网的核心协议 IPv4 的不足之处。因此， IPv6 的主要特点体现在：IP 地址扩展到了 128 位；简化数据报文头部，减少了路由表长度， 提高了网络的整体吞吐量；改善服务质量，防止服务中断；具有更好的安全保证；支持即插 即用；可满足大规模移动用户的需求；更好地实现多播功能。不过也存在一系列安全问题： 网络窃听、电子欺骗攻击，IPv6 安全策略从 1995 年开始，IETF 着手研究制定了一套用于保 护 IP 通信的 IP 安全协议。该协议是 IPv6 的一个组成部分，也是IPv4 的一个可选扩展协议。 作为 IPv6 的一个组成部分，它只负责其下层的网络安全，并不负责其上层应用的安全，如 Web 、电子邮件和文件传输等。 拒绝服务一直是困扰 IPv4 网络环境下的不可解决的问题，其中最经典的攻击是 SYN flood 攻击，它利用 TCP/IP 协议的漏洞完成攻击。通常一次 TCP 连接的建立包括 3 个步骤， 客户端发送 SYN 包给服务器端，服务器分配一定的资源给这里连接并返回 SYN/ACK 包， 并等待连接建立的最后的 ACK 包，最后客户端发送 ACK 报文，这样两者之间的连接建立 起来，并可以通过连接传送数据了。而攻击的过程就是疯狂发送 SYN 报文，而不返回 ACK 报文，服务器占用过多资源，而导致系统资源占用过多，没有能力响应别的操作，或者不能 响应正常的网络请求。 2 ．IPv4/v6 过渡 由于从IPv4 向IPv6 的过渡需要一个相当长的过程，在此期间，必须保证 IPv4 和 IPv6 具有互操作性,互弥补行等，下面我们针对其特点进行简单的过渡技术的介绍。 SOCKS 协议是可用的功能最强大、应用最灵活、安全性较高的代理协议，我们首先介 绍一下直接在双栈主机上实现 IPv4 和 IPv6 的地址转换的BIA 技术。 ⑴ BIA 技术 BIA 技术在双栈主机的 Socket API 模块与 TCP/IP 模块之间加入一个 API 翻译器(如图 1 所示) 。API 翻译器包含三个模块：域名解析器，地址映射器和函数映射器。其中，域名解 析器负责对 IPv4 应用程序的请求域名返回一个正确的应答，地址映射器在主机内部维护一 张 IPv4 与 IPv6 地址对的表格（分配的 IPv4 地址来自 IPv4 地址池中，采用未使用的 IPv4 地址，如