基于网络效用最大化的DDoS攻击主动防御机制研究-通信与信息系统专业论文.docxVIP

华 华 中 科 技 大 学 硕 士 学 位 论 文 I I 摘 要 在当今众多的网络安全事件中，分布式拒绝服务（DDoS Distributed Denial of Service）攻击由于其与生俱来的操作简单性、破坏严重性和防御困难性，一直以来 是网络安全面临的重大威胁之一，因此针对 DDoS 攻击防御新手段的研究有着重要 的意义。 本文首先以防御系统部署位置的不同，分三种类型介绍了当前 DDoS 攻击的防 御技术；并引入了网络效用最大化（NUM Network Utility Maximization）和对偶理论 的概念。 然后再针对当前一种危害程度较大、基于宽带的大规模 DDoS 攻击特点进行重 点分析。这种攻击可在现有的防御系统响应之前，迅速阻塞网络，瘫痪大量的网络 传输结点。在这种攻击发生的情况下，即使一些合法的访问数据流并不在直接受攻 击的范围内，但如果这些数据流的路由经过攻击流的部分路由链路，那么这些合法 的访问数据流也会受到相当严重的附带损害。鉴于上述情况，本文提出一种基于网 络效用最大化的主动防御机制（NUM－PDM Proactive Defense Mechanism based on the NUM）。此机制部署在介于攻击者源端网络和被攻击者终端网络之间的中间网络 当中，作为防御 DDoS 攻击的前沿阵线。NUM－PDM 的主要目标是通过最大化的 利用网络资源，预先为流经核心骨干网络的不同数据流提供一个宽松的隔离带宽， 使得发生 DDoS 攻击时，由攻击流对正常数据流所带来的附带损害减少到最低，并 在确定攻击流的情况下，对其进行进一步的遏制，从而实现对 DDoS 攻击的防御。 最后通过模拟真实的核心骨干网络来构建一个网络模型，并采用真实的正常业 务流和攻击流数据，从三个指标对本文提出的主动防御机制的效能进行评估，实验 数据证明了该防御机制能明显减少攻击流对正常业务流造成的附带损害。 关键词： 网络安全, 分布式拒绝服务, 主动防御机制, 网络效用最大化 II II Abstract Among mass of network security events, DDoS (Distributed Denial of Service) attacks have been one of the major threats of network security for its inherent simplicity of operation, damage severity and difficulty of defense. Therefore, the research about new means of DDoS attacks defense is significant. This paper firstly introduces three types of defense technology for DDoS attack by the difference of their deployed locations; and then introduces the concepts of the NUM (Network Utility Maximization) and duality theory. Then we focus on the broadband-based DDoS attacks which have large harm and could block the network rapidly before the defense system’s response, and paralyzed a large number of network transmission nodes. In this situation, even if some legitimate access data flows is not in the direct scope of the attack, but if they pass through some traffic route which the attack flows on, they will also be very serious damaged. Given the above, this paper proposed a proactive defense mechanism based on the network utility maximization (NUM-PDM). This proactive defense mechanism is deployed on the middle ne