咸蛋超人
博文 标签 类别
咸蛋超人

Contents

A taxonomy of DDoS attack and DDoS defense mechanisms

SuperEgg  included in  category 科研学习
     3795 words   17 minutes 
Contents

Mirkovic J, Reiher P. A taxonomy of DDoS attack and DDoS defense mechanisms[J]. ACM SIGCOMM Computer Communication Review, 2004, 34(2): 39-53.

本文不错，就是老了点，对DDoS攻击和防御做了总结和分类，而不是提供个具体的方法。

DDoS攻击总结

  1. 网络安全性高度独立
  2. 网络资源有限
  3. 攻击者协调工作
  4. 实体与网络带宽不一致，使攻击者有大量的资源可使用。
  5. 没有强制审计
  6. 网络是分布式
  7. 分布式管理，每个网络在本地管理下运行。

找slave,slave再找slave,进行spoof攻击。

威望，钱，斗争，仇。

贴上攻击分类图：

EJ7Zk9.md.png

分为手动，自动，半自动。

攻击手动扫描主机，黑它，插入恶意代码，启动，现在基本没有了。

使用handler控制agent来进行攻击。

handler与agent交流手段分：直接，间接。

需要将handler的IP写死在攻击代码中，因此一个agent被发现可能导致整个攻击的失败

间接通信，handler与agent通过IRC[19]进行交流，DDoS更稳定，攻击代码可更新，还可以定期更换IRC使其更难被发现。

全自动化，handler与agent之间不需要通信，攻击属性写死在攻击代码里。handler要做的就是启动攻击脚本。缺点：攻击系统不够灵活。

一般使用worm自动感染主机，扫描方式分很多种，下面介绍

被感染的主机使用种子随机扫描IP。这会导致大量流量，触发攻击检测系统。

每感染一个就给被感染者发送一部分感染列表。优：快速，无碰撞；劣：列表可能太长，传输流量大；列表需要事先收集。

使用被感染的主机信息对新的主机进行扫描；优：流量小；缺：慢。

所有被感染者有共同的IP表，IP对应下标。agent从随机下标开始，遇到被感染的再从随机下标开始。速度一般，有可能导致攻击检测。

该方法可附加到前面各扫描方法中，可以防炎墙内找弱机。

基于感染阶段的传播机制可分为：central source propagation,back-chaining propagation,autonomous propogation.

感染机器从中心服务器下载代码。缺：会有单点失败问题。

当前感染的机器将代码传给下一个。优：稳定。

在探索阶段注入攻击指令。优：流量小。

利用弱机已安装的协议或应用的缺点，如：TCP SYN，CGI请求攻击，NAPTHA 攻击。

发送超过弱机处理能力的大量流量。

安源地址验证类型的攻击可分：spoofed source address,valid source address

这个方法很流行

这个可以再分：routable source sdress,non-routable source address

反射攻击，如：Smurf attack

一般使用网络空间中被分配却未被使用的地址

按选欺骗地址的技术可分：random,subnet,enroute

使用随机生成的地址。缺：容易被入口过滤器丢弃。

使用agent的子网地址

有的攻击需要请求/响应，所以需要用真实的地址。

可以分为：constant rate,variable rate

agent以固定频率发包，通常是最大。缺：触发攻击检测

通过改变攻击频率的方式避免触发攻击检测

可分为：increasing rate,fluctuating rate

慢慢提高，逐渐增加耗victim的资源。可以延迟被检测

跳动攻击，可多组协作，保持有一组活跃攻击。优：难以被发现。

根据是否定制包头包内容可分：characterizable and non-characterizable attacks.

定制攻击一般用于特定主机或协议

可分：filterable and non-filterable

发畸形包给victim的非标准服务，如UDP flood,ICMP ECHO flood。缺：可由防火墙拦截。

向victim请求合法服务的攻击，如：HTTP request flood,DNS request flood。优：难解决。

使用随机生成的包。缺：攻击效果不行。

一直活跃会被检测，按Agent的持续性分：constant agent set,attack with variable agent set.

所有Agent收到的指令一致，一起开一起关。

Agent分组，组内同步，如ARD-2 RCM-2

可分为：application,host,network,infrastructure

攻击机器上的某个应用，耗尽其资源使合法用户无法使用。优：难检测

针对主机，耗尽资源使其不可用。如：TCP SYN。一般通过防火墙防御。

耗网络带宽。用防火墙容易防御。

攻击一些服务，如：DNS，ROUTER等。

可分为：disruptive,degrading

使服务不可用

可分为：revoverable,non-recoverable

当攻击停止，victim就恢复，如UDP flooding

攻击停止victim无法恢复如使其死机等

攻击只降低服务质量。这种攻击难以检测，威害巨大。

DDoS防御总结

  1. 布署
  2. 成效不好
  3. 攻击意图了解少
  4. 没有防御标准
  5. 无法进行大范围测试

贴上防御分类图

EJ79S0.md.png

可分为：preventive,reactive

通过避免攻击发生，保护主机不受攻击

可分为：attack prevention,denial of service prevention

修改系统和协议以避免攻击发生。

根据保护目标可再分为：system security,protocol security

保护主机和router使他们成为强机。

完善协议，不好的协议使Server易受攻击，如TCP-SYN

可分为：resource accounting,resource multiplication

user需要验证才会被分配资源。

用大量资源进行负载均衡，让attack耗不完。

致力于攻击发生时减小攻击的影响

可分为：pattern detection,anomaly dettection,third-party detection

将模式存于数据库，对新包匹配。缺：新的攻击不会检测到。优：FP低。

定期与正常系统行为模型比较来发现异常。

可分为：standard,trained

依靠协议标准特征进行检测，没有FP，但复杂攻击可以伪装成标准特征。

训练正常特征生成阈值来区分。缺：阈值不好定；模型更新可能会误训练。

不自已检测。

可分为：agent identification,rate-limiting,filtering,reconfiguration

使victim可以识别出Agent，结合其他策略降低攻击影响。

给恶意流限速，通常用于FP高的情况

将恶意流完全过滤。缺：攻击者可以利用它误判性来达到dos目的。

重配置TOPO，境加资源或隔离attacker.

可分为：autonomous,cooperative,interdependent

防御机制与其他实体不合作。

防御机制与其他实体协作，如：将防御决策发给router

防御机制需要依靠其他实体进行攻击阻止，攻击检测，高效响应。

可分为：victim,intermediate,source network

在victim网络布署来保护这个网络

以中件设备形式存在，保护大量主机，victim可以向其请求保护服务。 ####DL-3：Source network 在源头阻止攻击的产生。缺：谁来付错布署这个？

总结

本文是一篇不错的总结，被引用了1943次，许多参文献中都出更本文，有的文章里推荐阅读本文。本文的参考文献中有很多关于攻击的网站和资料。

Updated on 2022-08-22
 论文阅读
 | Home