基于半连接列表的SYN泛洪攻击检测.pdfVIP

第37卷 第 19期 计 算 机 工 程 2011年 lO月 V_01．37 No．19 ComputerEngineering October2011 · 安全技术 · 文章编号：10oo-428(2011)19__0l35—03 文献标识码：A 中圈分类号；TP3092· 基于半连接列表 的SYN泛洪攻击检测 唐欢容，曾一晶 ’ (湘潭大学信息工程学院，湖南 湘潭 411105) 摘 要：针对攻击性极大的SYN泛洪攻击，提出一种检测方法。分析SYN泛洪的攻击特征，在每个时间间隔，对服务器的半连接列表进 行统计，计算出未确认的表项数 目，采用补偿方法形成基于时间的统计序列，使用改进的变动和式累积检验 (PCUSUM)算法进行检测。实 验结果表明，该算法不仅能够实现快速检测，且与同类工作相比具有更低的误报率，检测结果更准确。 关奠诃：SYN泛洪攻击；变动和式累积检验算法；门限；半连接列表；NS2模拟 Detecti0n0fSYN FloodingAttackBased0nSemi．connectedList IAINGHuan-rong．ZENGYi-jing (InstituteofInformationEngineering，XiangtanUniversity,Xiangtan411105，China) [Abstract]ThispaperproposesaneffectivedetectionmethodagainstSYNfloodingattack．ThenaalysisisstartedfromthetraitsofSYNflooding attack．Ineverytimeperiod，htesemi—connectedlistofserveriscounted．Th enumberofunacknowledgedsegmentsiscalculated．Th estatistical sequencebasedontimecomesintobeingwiht htemethod ofcompensation．Animprovde PCUSUM algorihtm isusedtOdetectattack．Experimental resultshowshtathtealgorihtm candetectattackquicklyna dobtainlowerfalse—positiveratehtna ohtersimilarmehtods，moreaccuratedetection resultcanbeprovided． [Keywords]SYNfloodingattack；PCUSUMalgorihtm；threshold；semi—connectedlist；NS2simulation D0I：10．3969j／．issn．1000—3428．2011．19．044 l 概述 拥塞情况与DDoS攻击。 分布式拒绝服务(DistributedDenialofServlce，DDoS)攻 在 目的端主机或者 目的端网络进行检测的方法准确度最 击指借助于客户／服务器技术，将多个计算机联合起来作为攻 高。而且，攻击检测方法需要跟某种抵御方案合作才能消除 击平台，对一个或多个 目标发动DoS攻击。文献 1【】指出超过 攻击，在 目的端检测具有更好的可结合性和实时性。但是， 94％的DDoS攻击基于TCP攻击方式，UDP攻击约占2％， 在 目的端检测攻击存在如下问题 ：(1)攻击发生时受害端负载 ICMP攻击约占2％。其中基于 TCP的攻击方式最重要的是 大，对检测时间的要求较高；(2)目的端网络状况复杂，存在 SYN泛洪，约占90％，所以对 SYN泛洪攻击的检测是研究