基于统计特征SYN Flood检测方法.docVIP

基于统计特征SYN Flood检测方法 　　摘 要：SYN Flood是当前最流行的拒绝服务（DoS）与分布式拒绝服务（DDoS）攻击方式。从构造一个SYN攻击报文的角度分析，SYN Flood攻击会引起网络中基于IP地址、标志位、端口号、序列号的统计特征异常，因此提出一种基于统计特征的SYN Flood攻击检测的方法。该方法首先从半连接队列中获取半连接信息，从全连接队列中获取IP地址存入BloomFilter中，再分别提取其统计特征，最后使用LMBP神经网络得到检测结果。实验结果表明该算法与其他算法相比具有更好的检测效果。 　　关键词：SYNFlood检测；统计特征；BloomFilter；LMBP神经网络 　　中图分类号：TP393 文献标识码：A 　　Abstract：As the most popular attack method of denial of service （DoS） and distributed denial of service （DDoS），SYN Flood attack will cause some statistical properties abnormalities in the IP address，the TCP flag，the port number and the serial number from the perspective of constructing a SYN packet.Therefore，a SYN Flood attack detection method is proposed in this paper.Firstly，the method acquires half connection information from the half-connection queue，obtains IP addresses from the whole connection queue and puts them in Bloom Filter，then individually extracts statistical properties based on IP addresses，and finally determines whether SYN Flood attack happens by using LMBP neural networks.Experimental results show that the method could improve the effectiveness of detection. 　　Keywords：SYN flood detection；statistical properties；bloom filter；LMBP neural network 　　1 引言（Introduction） 　　SYN Flood是??前最流行的拒绝服务（DoS）与分布式拒绝服务（DDoS）攻击方式之一，也是一种非常流行的利用协议漏洞的资源匮乏型攻击，它对网络破坏力惊人[1]。因SYN Flood攻击技术操作方便、容易达到目的、更难于防范和追查，越来越成为黑客最常使用的网络攻击方式之一[2]。它主要利用TCP协议三次握手缺陷和IP欺骗技术，向目标服务器发送大量带有伪造IP地址的SYN报文，使目标服务器的TCP半连接队列被迅速占满而不能及时释放，造成无法建立正常的TCP连接，从而导致拒绝服务。 　　由于完整的TCP连接包括连接的建立和终止两个过程，在这些过程中SYN报文、ACK报文、SYN/ACK报文、FIN报文、RST报文的数量具有一定对称性。目前，针对SYN Flood攻击的检测技术主要根据这种对称性是否被破坏，以判断网络中是否存在SYN Flood攻击[3]。另外，提出一种基于重尾特性的SYN Flood检测方法，该方法将SYN报文的比重与流量的重尾特性相结合提高检测的正确率[4]。在攻击者发动SYNFlood攻击时，如果有意传送对等的SYN/ACK报文、ACK报文、RST报文、FIN报文、FIN/ACK报文，上述检测方法将失去作用。 　　2 SYNFlood攻击特征分析（SYN flood attack feature 　　analysis） 　　本文从构造一个SYN攻击报文的角度分析，SYN Flood攻击会引起网络中基于IP地址、标志位、端口号、序列号的统计特征异常。据此，提出一种基于统计特征的SYN Flood攻击检测的方法。该方法首先从半连接队列中获取半连接信息，从全连接队列中获取IP地址存储到BloomFilter中，再分别提取基于IP地址、标志位、端口号、序列号的统计特征，最后使