搜索

[611] 2018-03-23_SkyShield：基于新型Sketch的应用层DDoS攻击防御系统

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2018-03-23_SkyShield：基于新型Sketch的应用层DDoS攻击防御系统 S k y S h i e l d ： 基 于 新 型 S k e t c h 的 应 用 层 D D o S 攻 击 防 御 系 统 A r k T e a m   2 0 1 8 - 0 3 - 2 3 作 者 ： { E s i } @ A r k T e a m 原 文 作 者 ： C h e n x u   W a n g   ,   T o n y   T .   N .   M i u ,   X i a p u   L u o   ,   J i n h e   W a n g 原 文 标 题 ： S k y S h i e l d :   A   S k e t c h - B a s e d   D e f e n s e   S y s t e m   A g a i n s t   A p p l i c a t i o n   L a y e r   D D o S   A t t a c k s 原 文 会 议 ： I E E E   T R A N S A C T I O N S   O N   I N F O R M A T I O N   F O R E N S I C S   A N D   S E C U R I T Y ,   V O L .   1 3 ,   N O . 3 ,   M A R C H   2 0 1 8 针 对 W e b 服 务 器 的 应 用 层 D D o S 攻 击 迅 速 增 长 ， 已 经 严 重 威 胁 W e b 安 全 ， D D o S 攻 击 是 通 过 发 送 大 量 良 性 H T T P 请 求 来 规 避 大 多 数 入 侵 防 御 系 统 ， S k e t c h - B a s e d 数 据 结 构 可 以 通 过 将 高 维 数 据 流 聚 合 到 更 少 的 维 度 来 有 效 地 估 计 原 始 信 号 ， 因 此 非 常 适 合 D D o S 攻 击 检 测 。 但 是 由 于 S k e t c h 不 包 含 有 关 恶 意 主 机 的 直 接 信 息 ， 因 此 不 能 直 接 用 于 缓 解 攻 击 的 问 题 ， 目 前 使 用 可 逆 草 图 推 断 恶 意 主 机 的 I P 地 址 的 方 法 对 计 算 的 计 算 能 力 或 存 储 能 力 有 特 殊 要 求 ， 这 限 制 了 它 们 在 入 侵 防 御 系 统 中 的 应 用 。 为 了 解 决 上 述 问 题 ， 本 文 作 者 提 出 了 一 个 名 为 S k y S h i e l d 的 有 效 防 御 系 统 ， 它 是 一 种 新 型 S k e t c h - B a s e d 数 据 结 构 来 应 对 应 用 层 D D o S 攻 击 ， 与 之 前 的 S k e t c h 不 同 的 是 ， S k y S h i e l d 缓 解 攻 击 时 无 需 反 向 计 算 或 存 储 恶 意 主 机 ， 利 用 两 个 连 续 检 测 周 期 中 S k e t c h 的 分 散 来 检 测 异 常 ， 使 用 这 种 异 常 直 接 识 别 恶 意 主 机 ， 从 而 避 免 了 密 集 的 计 算 过 程 大 大 提 高 了 系 统 的 效 率 。 本 文 的 创 新 点 ： 1 、 为 了 减 轻 网 络 动 力 学 的 影 响 ， 作 者 提 出 了 一 种 H e l l i n g e r 距 离 的 新 变 体 来 计 算 两 个 连 续 检 测 周 期 中 草 图 之 间 的 差 异 。 2 、 为 了 有 效 识 别 恶 意 主 机 ， 作 者 使 用 从 上 一 个 检 测 周 期 中 获 取 的 异 常 草 图 来 避 免 I P 地 址 的 反 向 计 算 。 3 、 利 用 其 他 技 术 ， 包 括 b l o o m 过 滤 器 和 C A P T C H A 技 术 来 保 证 S k y S h i e l d 的 有 效 性 。 图 1   S k y S h i e l d 如 图 1 所 示 S k y S h i e l d 部 署 在 网 络 防 火 墙 后 面 ， 可 以 过 滤 畸 形 的 H T T P 请 求 ， 并 且 该 过 程 由 两 个 阶 段 组 成 ， 即 缓 解 和 检 测 。 （ 1 ） 在 缓 解 阶 段 ， S k y S h i e l d 使 用 两 个 B l o o m 过 滤 器 （ 白 名 单 B 1 和 黑 名 单 B 2 ） 来 过 滤 传 入 的 请 求 ， 剩 余 的 请 求 将 根 据 异 常 图 S 3 进 行 检 查 。 （ 2 ） 在 检 测 阶 段 ， S k y S h i e l d 利 用 两 个 草 图 S 1 和 S 2 之 间 的 分 歧 作 为 信 号 来 检 测 源 自 恶 意 主 机 的 大 量 请 求 引 起 的 异 常 情 况 。
图 2   S k y S h i e l d   识 别 过 程 流 程 图 由 于 受 感 染 的 主 机 可 能 会 变 得 正 常 ， 并 且 一 段 时 间 后 合 法 主 机 可 能 会 受 到 攻 击 者 的 控 制 ， 所 以 定 期 以 比 检 测 周 期 更 长 的 时 间 间 隔 清 除 黑 名 单 和 白 名 单 。 清 理 黑 名 单 和 白 名 单 不 会 影 响 检 测 精 度 ， 因 为 清 理 周 期 比 检 测 周 期 长 很 多 。 即 使 攻 击 持 续 时 间 超 过 了 清 理 期 ， S k y S h i e l d 也 会 重 新 夺 回 攻 击 主 机 ， 就 像 新 攻 击 开 始 时 一 样 。 图 3   数 据 集 的 请 求 率 与 时 间 的 关 系 如 图 3 所 示 ， 蓝 线 表 示 原 始 请 求 率 ， 红 色 表 示 S k y S h i e l d 过 滤 的 请 求 率 。 图 3 （ a ） 显 示 该 集 群 在 2 0 1 5 - 0 8 - 1 5   0 4 : 2 1 遭 受 了 洪 水 攻 击 ， 并 且 很 快 被 大 量 请 求 淹 没 。 图 3 （ b ） 表 示 2 0 1 5 - 0 8 - 1 5   0 4 : 0 0 至 0 6 : 0 0 的 攻 击 期 间 的 细 节 。 可 以 看 到 ， 这 一 时 期 群 集 遭 受 了 五 波 攻 击 。 对 于 所 有 的 攻 击 波 ， S k y S h i e l d 可 以 在 大 约 两 个 或 三 个 检 测 周 期 （ 即 少 于 1 分 钟 ） 内 将 压 倒 性 请 求 率 降 低 到 合 理 水 平 。 最 后 ， 作 者 使 用 S k y S h i e l d 的 原 型 ， 对 从 大 型 W e b 服 务 器 集 群 收 集 的 真 实 攻 击 数 据 评 估 其 有 效 性 。 评 估 结 果 显 示 ， S k y S h i e l d 可 以 快 速 检 测 和 缓 解 不 同 类 型 的 应 用 层 D D o S 攻 击 ， 并 不 会 对 普 通 用 户 造 成 很 大 的 影 响 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理