CN101383812A

CN101383812A - 基于活动IP记录的IP欺骗DDoS攻击防御方法

Info

Publication number: CN101383812A
Application number: CNA2007100499221A
Authority: CN
Inventors: 张凤荔; 陈伟; 钟婷; 罗绪成; 钱伟中; 刘峤
Original assignee: University of Electronic Science and Technology of China
Current assignee: University of Electronic Science and Technology of China
Priority date: 2007-09-03
Filing date: 2007-09-03
Publication date: 2009-03-11

Abstract

本发明提出一种针对IP欺骗DDoS(Distributed Denial of Service)攻击的防御方法。该方法基于活动IP记录，活动IP是与系统已经或正在于系统建立连接的源IP地址，而IP欺骗DDoS攻击通常使用随机产生的IP作为数据流源地址，这些IP是非活动IP，根据该原理来自活动IP的数据流可被视为合法流量，而来自非活动IP的网络流则为可疑流量。因此位于自治系统边界的DDoS防御网关可利用活动IP记录表对进入自治系统的数据包进行匹配处理，来自活动IP的网络流直接通过，没有活动记录的IP数据包将逐渐被自治系统边界路由器或邻近边界的路由器丢弃，并发送ICMP超时差错报文通报源节点。IP不活动的IP欺骗DDoS攻击数据包将不能到达受害节点。被丢弃的合法数据包将由其源节点上层协议或应用进行重传。

Description

基于活动IP记录的IP欺骗DDoS攻击防御方法

技术领域

本发明涉及网络信息安全领域，具体涉及对利用IP欺骗的拒绝服务或分布式拒绝攻击的防御方法。

背景技术

分布式拒绝服务攻击(DDoS)是目前最流行的一种网络攻击方式，它的原理简单，易于实现，攻击破坏力极强，对当前网络的安全构成了极大的威胁。

DDoS攻击者通常控制分布于Internet中的大量安全防御级别较低的节点作为攻击傀儡机，组成多级的DDoS攻击僵尸网络，通过向僵尸网络发送远程控制命令，协同大量的傀儡机直接或间接向其攻击目标发送大量的网络分组，这些网络分组在受害端汇聚成压倒性的网络流量，耗尽受害者的网络带宽或系统资源，从而造成对合法用户的拒绝服务。

高度开放与共享的Internet加快了DDoS攻击的传播，高度智能化、集成化的DDoS攻击工具大范围扩散，攻击者不需要掌握太多的技术就可以发动大规模的DDoS攻击。DDoS攻击通常运用IP欺骗技术对攻击源地址进行伪装，增大了攻击破坏力，同时也增加了依据数据包源地址进行攻击溯源以及安全审计、取证的难度。

根据攻击原理，可以将DDoS攻击分为协议攻击和暴力攻击。协议攻击利用网络协议本身的脆弱性实施攻击，如Smurf攻击，将受害者网络地址作为源地址，向某个存在大量主机的中间网络广播ICMP Echo Request请求报文，根据ICMP协议中间网络向受害者回复大量的ICMP Echo Reply报文，使受害者严重过载甚至瘫痪；TCP SYN Flood攻击利用TCP三次握手机制的缺陷，向受害主机发送大量经过源IP欺骗的SYN连接请求报文，受害主机依据三次握手机制向不可达的SYN请求主机回应ACK报文，并分配资源维持一个半连接等待对方的ACK应答，最终系统的资源将被大量的半连接耗尽，从而无法响应合法用户的TCP连接请求。暴力攻击如UDP、TCP和ICMP Flood攻击等，向受害主机发送大量无用的网络分组，耗尽其系统资源或网络带宽，导致其无法提供正常的网络服务。

DDoS攻击的防御一直是一个难点，近年来，研究人员在该领域展开了大量深入的研究工作，提出了许多防御方法。

除了防御方法和技术外，在构造DDoS防御机制时，防御的位置也需要进行重点考虑。DDoS攻击从攻击源节点发起，经中间网络路由转发后到达受害主机端，攻击防御也可以分别在攻击源端、中间网络和受害端实施。受害端汇聚大量的DDoS攻击流量，因此利于攻击检测，但从合法流量中标识、过滤攻击流量还没有有效的方法，且在实施检测、过滤前，攻击流量可能已经消耗了大量的网络带宽资源，到达了攻击目的；在攻击源端，攻击流量还没有汇聚，从网络流量中检测攻击相对困难，但在该处检测IP欺骗比较容易，且攻击流量尚未进入核心网络，在此实施拦截、过滤比较容易、有效；中间网络由于范围分布广泛，攻击流量还没有完全汇聚，不利于实施攻击的检测和防御。

DDoS防御分类

从宏观上，可以将DDoS攻击的防御方法分为响应防御和主动防御。

响应防御方法通常基于异常检测模型，运用模式匹配或统计模型检测网络中是否存在DDoS攻击，并进行针对性地过滤或回推攻击流量，以缓解DDoS攻击对受害者的影响。DDoS攻击流量通常由合法的网络分组或无用的网络分组汇聚而成，攻击分组相对于合法分组并不存在明显的特征，因而从合法流量中准确地标识并过滤DDoS攻击流量十分困难。依赖于异常检测的DDoS攻击防御除了制肘于检测准确度外，还对攻击响应的速度提出了较高的要求，异常检测过滤必须以On Line的方式部署，不具备较高速率的检测和过滤，本身就会构成对被保护网络的拒绝服务。

被动响应式的DDoS攻击防御方法依赖于检测响应模型，在攻击的检测和过滤的速率、准确性方面都存在缺陷，没能取得理想的防御效果。因此，近年来研究学者们在设计DDoS防御方案时越来越地考虑主动防御方法。主动防御则通过减小DDoS攻击发生的可能性，确保受害节点或网络维持提供正常服务的能力。

典型的DDoS防御方法

这里分析几种具有代表性的DDoS防御方法，主要包括入口过滤、源回溯、回推等方法。

入口过滤

该DDoS防御方法在ISP边界路由器实施，对从ISP网络进入Internet的数据包进行检测过滤，拦截具有非法源IP地址的数据包。入口过滤主要针对源IP欺骗DDoS攻击，ISP网络边界路由器检查数据包源IP地址是否属于ISP网络所辖网络地址范围，丢弃源IP不属于该ISP网络的数据包。

入口过滤在攻击源端实施，是对IP欺骗DDoS攻击最简单、有效防御方法。但该防御方法在客户网络自身的路由器上实施，在牺牲路由器部分资源，影响路由转发效率的同时，却不能给ISP带来直接的利益，也不能直接对ISP网络的安全提供防护，而且需要在全网范围内大规模实施，因此入口过滤一直没有得到有效的推广和实施。

源回溯

Internet是无状态的，通信子网仅根据数据包目的地址对其进行路由转发，也不对该过程进行任何的记录。因此源地址是接受方获知数据包来源的唯一途径，而IP欺骗使数据包将无迹可寻，但数据包在网络中的传输路径却无法伪造。源回溯的基本思想是在数据包传输过程中，由路由器或其它网络组件记录或标记其所经过的全部或部分节点，接受方根据记录的节点信息重构数据包的近似传输路径。源回溯需要通信子网、ISP的支持和协作。

源回溯的方法有很多，一些需要较长的路径回溯时间，另一些则会产生额外的数据流，从而加重网络的负载。而且数据包传输节点也可能被攻击者控制，从而破坏路径回溯。另外，使用源回溯得到的攻击路径处理DDoS攻击也存在各ISP协作以及响应时间等问题。

路由回推

路由回推基于拥塞控制的思想，当某条链路流量达到该链路拥塞阈值时，路由器丢弃数据包，同时检查造成其拥塞的入口链路，并通知这些链路的上游路由器，要求其对网络流量进行相应的限制，上游路由器以同样的方式进行流量限制并回推给上游路由器。

基于路由跳数的过滤

基于路由跳数的过滤是位于受害端的DDoS攻击防御方案，基本思想是数据包从源端到目的端TTL(Tome To Live)值的变化反应了数据包从源地址到目的地址所经过的路由跳数。而经IP欺骗后的数据包TTL值变化所反应的路由跳数一般于伪造的源IP到目的IP的路由跳数不一致，因此可以作为检验数据包源IP是否经过伪造的依据。该防御方法需要维护一张较大源IP、TTL值表，在进行防御时表的查询匹配需要消耗不少的系统资源，另外，资深攻击者在进行IP欺骗的时可将与伪造IP匹配的TTL作为数据包TTL，从而躲避该防御方法。

发明内容

本发明提出了一种适用于自治系统边界的IP欺骗DDoS攻击防御方法，保障网络和系统在遭到IP欺骗DDoS攻击时仍能正常提供网络服务。该方法基于大量DDoS攻击都采用源IP欺骗这样一个事实，定义了一个活动IP记录表，活动IP是其真实性得到确认的IP，非活动IP则是真实性还没得到确认的IP，IP欺骗攻击所使用的源IP就是非活动IP。

该DDoS防御方法不依赖于攻击检测。而利用活动IP表在自治系统边界对进入其中的网络流进行限制，优先让来自活动IP的网络流通过，而对来自非活动IP的网络流并不是武断地丢弃，而是减小其TTL值让其被后面的边界或邻近边界的路由器丢弃。根据TCP/IP协议，路由器丢弃TTL超时数据包的同时，还将发送ICMP数据包超时差错报文，通知源节点。若源节点是真实的，其上层协议或应用将会对该数据包进行重传，重传后的数据包IP将被加入活动IP表，从而承认其真实性，活动IP表仅是暂时延缓了其网络流的传输，后续的网络流将被优先通过。而IP欺骗产生的IP由于不可达，因此欺骗流量就被永久地丢弃了。

该防御方法的实施位于受害端与中间网络之间的受害网络边界——自治系统边界，此时攻击流量已经汇聚到了一定规模，利于进行攻击的检测，而且在此处可以将防御任务分配到有限的多点，避免出现网络流量瓶颈的同时又提供了一定的防御缓冲，对以网络带宽为攻击目标的DDoS攻击能起到一定的防御效果。

若自治系统与Internet主干网络之间通过多条链路进行连接，则该方法可以同时在这多条链路的边界实施防御，分解攻击防御的压力。同时，该方法的多个防御节点彼此独立，不需要各个防御节点进行协作，因此不会引入实现复杂性。

如图1所示，自治系统与Internet存在两条通信链路，因此可以分别在边界路由器E4、E5前部署该防御方案，独立并行地防御DDoS攻击。当攻击发生时，来自活动IP的合法网络流将优先被DDoS攻击防御网关A、B放行，而来自非活动IP的网络流量将视被修改后的TTL值随机地被后续的路由器E5、E4、R6、R5、R3、R2、R1等丢弃。

附图说明

图1为基于活动IP记录的IP欺骗DDoS攻击防御架构；

图2为活动IP表；

图3为基于活动IP记录的IP欺骗DDoS攻击防御流程图；

具体实施方式

基于活动IP记录的IP欺骗DDoS防御方法在DDoS攻击防御网关维护一张活动IP表，保存活动IP记录。活动IP表将IP在数据包源地址中出现的频度作为该IP是否活动的准则，与自治系统建立连接或请求建立连接的IP将被判定为活动IP加入活动IP表，而IP欺骗通常随机产生IP，出现的频度较低，因此被判定为非活动IP。

活动IP表的大小用于设定防御网关所能承受的最大网络流量，可以由网络管理员手动设定，也可以在没有攻击的情况下，由程序根据通过的网络流量曲线自学习获得。

DDoS防御网关收到数据包后，将数据包源IP用于活动IP表查询，命中则直接放行数据包。而没有命中的数据包将被标记后放行，标记即对其TTL字段修改，随机改为一个较小的值0-n，其中n根据自治系统的大小而定，确保数据包在到达受害主机之前被丢弃。

活动IP表记录与系统已建立连接的IP和正在请求建立连接的IP，因此它由连接IP表和请求IP表两部分构成。

连接IP表中的IP与系统已建立连接，为真实IP地址，每个IP都对应一个时间值，表示该IP的预计存活时间T，在该时间内来自该IP的每个数据包将被放行，同时延长该IP的预计存活时间。

请求IP表用于记录正在请求与自治系统建立连接的IP。当防御网关收到来自连接IP表以外IP的数据包时，将为该IP在请求IP表中建立一个表项。这些IP地址的真实性或活动性还有待进一步的考证。同样，该表中每一IP表项也对应一个时间值——等待证实时间，在该时间内有来自该IP地址的数据包到达或来自该IP的数据包达到某个数值，则说明该IP为真实IP，该IP将被移至连接IP表中，如果连接IP表满，则放入等待队列中排队；若等待证实时间超时，没有收到来自该IP的数据包，则说明该IP不活动，将被从请求IP表中移除。

初始时活动IP表为空，在连接IP表未满的情况下，数据包到达后不进行活动IP表匹配而直接通过，同时将数据包源IP记录到连接IP表中。

连接IP表满后，数据包到达后，将首先进行源IP的连接IP表匹配，命中后放行数据包，并刷新预计存活时间。

未命中则进行请求IP表匹配，命中后检查连接IP表是否未满，未满则移至其中，否则放入连接IP表等待队列，同时放行该数据包。当连接IP表有表项超时移除时将等待队列首项移至其中。若查询请求IP表未命中，则该数据包为非活动IP数据包，将其源IP插入请求IP表，同时修改其TTL进行标记，并放行。

经标记后的非活动IP数据包在自治系统中路由转发至TTL为0后，路由器将其丢弃，并发送ICMP生命期超时差错报文通告源节点。

真实源节点收到ICMP差错报文，由上层协议或应用进行响应，重传的数据包将命中请求IP表，同时该IP将会被标记了连接IP。

Claims

1、一种基于活动IP记录的IP欺骗DDoS攻击防御方法，其特征在于：

该防御方法基于活动IP记录表；

使用该防御方法的DDoS防御网关部署于自治网络边界；

来自活动IP的数据包直接放行，而来自非活动IP的数据包将逐渐被自治网络丢弃。

2、如权利要求1所述的活动IP记录表，将IP在数据包源地址中出现的频度作为该IP是否活动的准则，与自治系统建立连接或请求建立连接的IP将被判定为活动IP加入活动IP表，活动IP记录表的大小用于设定防御网关所能承受的最大网络流量，可以由网络管理员手动设定，也可以在没有攻击的情况下，由程序根据通过的网络流量曲线自学习获得。

3、如权利要求1所述，DDoS防御网关收到数据包后，将数据包源IP用于活动IP表查询，命中则直接放行数据包。而没有命中的数据包将被标记后放行，标记即对其TTL字段修改，随机改为一个较小的值0-n，其中n根据自治系统的大小而定，确保数据包在到达受害主机之前被丢弃。

4、如权利要求2所述，活动IP表记录与系统已建立连接的IP和正在请求建立连接的IP，它由连接IP表和请求IP表两部分构成。

连接IP表中的IP是与系统已建立连接的IP地址，每个IP都对应一个预计存活时间值，在该时间内来自该IP的每个数据包将被放行，同时延长该IP的预计存活时间。

请求IP表记录正在请求与系统建立连接的IP。收到来自连接IP表以外IP的数据包将为该IP建立一个新表项。请求IP表中每一IP表项对应一个等待证实时间值，在该时间内有来自该IP地址的数据包到达或来自该IP的数据包达到某个数值，该IP将被移至连接IP表中，如果连接IP表满，则放入等待队列中排队；若等待证实时间超时，没有收到来自该IP的数据包，该IP将被从请求IP表中移除。

5、如权利要求4所述，初始时活动IP表为空，在连接IP表未满的情况下，数据包到达后不进行活动IP表匹配而直接通过，同时将数据包源IP记录到连接IP表中。

6、如权利要求5所述，经标记后的非活动IP数据包在自治系统中路由转发至TTL为0后，路由器将其丢弃，并发送ICMP生命期超时差错报文通告源节点。真实源节点将进行响应重传。

7、如权利要求1所述，该防御方法的部署于自治系统边界，若自治系统与Internet主干网络之间通过多条链路进行连接，则该方法可以同时在这多条链路的边界实施防御，多个防御节点彼此独立，不需要各个防御节点进行协作。