CN105007271B - 一种DDoS攻击僵尸网络的识别方法及*** - Google Patents

Abstract

本发明公开了一种DDoS攻击僵尸网络的识别方法及***。通过测量各链路可用带宽，推断各域发出的攻击流量，进而识别出发动DDoS攻击的僵尸网络。本发明不依赖于具体的DDoS攻击类型，适用于各种协议，且无需对现有网络设备进行修改。

Description

一种DDoS攻击僵尸网络的识别方法及***

技术领域

本发明属于计算机网络安全技术领域，涉及网络攻击溯源，具体涉及一种DDoS攻击僵尸网络的识别方法及***。

背景技术

Botnet也是就是我们所说的僵尸网络，是指采用一种或多种传播手段，将大量主机感染bot(僵尸程序)，从而在控制者和被感染主机之间所形成的一个或一对多控制的网络。控制僵尸网络的攻击者通常利用其拥有的botnet以DDoS(Distribution DenialofService，分布式拒绝服务)攻击、银行卡密码窃取、垃圾邮件发送、敏感信息盗窃等攻击方式进行牟利。

DDoS攻击是指将多个计算机联合起来作为攻击平台，采用合理的服务请求来占用一个或多个目标服务器的大量服务资源，从而使合法用户无法得到该服务器的服务响应。

当前存在一些DDoS攻击的溯源技术，主要通过对流经路由器的数据包打标记，从而能够推断出攻击路径(攻击数据包流经过的链路和路由器)和攻击源头(攻击包流出的边界路由器)，还没有对发动DDoS攻击的僵尸网络进行识别的技术。

发明内容

本发明提供了一种DDoS攻击僵尸网络的识别方法及***。通过测量各链路可用带宽，推断各域发出的攻击流量，进而识别出发动DDoS攻击的僵尸网络。

为了实现上述目的，本发明采用以下技术方案：

一种DDoS攻击僵尸网络的识别方法，包括以下步骤：

(1)检测到DDoS攻击后，分别测量各域的数据链路的可用带宽，直至满足链路可用带宽测量精度；

(2)根据上述测量结果，结合无攻击时的可用带宽得到对应域发出的攻击流量；

(3)根据得到的攻击流量，结合僵尸主机的分布信息，识别出DDoS僵尸网络。

进一步地，采用基于熵的DDoS检测技术检测DDoS攻击。

进一步地，基于探测报文速率模型(probe rate model，PRM)测量可用带宽。

进一步地，上述“满足链路可用带宽测量精度”是指相邻两次测量结果的差别(即二者的差值除以两者中的最小值)小于一个设定阈值。具体来说，假设前一个测量得到的可用带宽是A1，接下来的一次测量得到的可用带宽是A2，则|A1-A2|/min(A1,A2)<＝设定阈值THD时可认为满足了测量的精度要求。这个设定阈值取决于具体的精度要求，比如5％或者3％。

上述僵尸主机的分布信息主要是指各僵尸网络的僵尸程序(bot)在各域中的分布比率。例如假设有M个域(多少个域这个是根据实际网络的拓扑结构来定的，以电信为例，可以视各省的电信为一个域)，一个僵尸网络在各域的bot数量是N₁,N₂,...,N_M，则在第i个域内的bot分布比率为N_i/(N₁+N₂+…+N_M)。

进一步地，根据以下方法识别DDoS僵尸网络：

(1)选取域对(d_i，d_j),要求i，j满足如果存在这样的域对，进入步骤(2)，否则进入步骤(5)，UST表示已比较过的域对集合，d_i，d_j分别表示第i个域和第j个域，b_i，b_j分别表示第i个僵尸网络和第j个僵尸网络。

(2)如果|SBS|＝1或者|UST|＝M(M-1)/2，进入步骤(5)，否则进入步骤(3)，SBS表示剩余的可疑僵尸网络集合，SBS＝BS＝{b₁,b₂,...,b_N}，BS代表含有N个僵尸网络的集合，M表示域的总个数。

(3)选取SBS中的元素b_n，要求b_n未经历过步骤(4)，如果存在这样的元素b_n，进入步骤(4)，否则UST＝UST+{(b_i，b_j)},转为步骤(1)。

(4)如果b_n满足和v_i<v_j，则SBS＝SBS-{b_n}，转入步骤(2)，b_n表示SBS的任何一个元素，分别表示第n个僵尸网络在第i个和第j个域的僵尸主机比率，Φ表示识别阈值，v_i，v_j分别表示第i个域和第j个域对应的攻击流量大小，1≤i≤M，1≤j≤M。

(5)如果|SBS|＝1，则SBS中剩余的元素就是发动攻击的僵尸网络，否则从SBS中随机选择一个元素作为发动攻击的僵尸网络。

一种DDoS攻击僵尸网络的识别***，包括：

识别器，用于识别DDoS攻击；发起链路可用带宽测量指令给测量器；以及根据测量器的返回信息，识别发动DDoS攻击的僵尸网络；

测量器，用于接受识别器的可用带宽测量指令；发起可用带宽测量指令给对应域的测量点；接受测量点发来的测量数据包，测量可用带宽；在测量结束后返回测量结果给识别器；

测量点，用于根据测量器发来的测量指令，发送测量数据包给对应的测量器，直至满足测量精度要求；

其中，识别器部署在骨干路由器上；测量器部署在链接一个域的骨干路由器上；测量点部署在一个域的边界路由器上。

本发明的有益效果如下：

本发明能够有效识别出发动DDoS攻击的僵尸网络，本发明不依赖于具体的DDoS攻击类型，适用于各种协议，且无需对现有网络设备进行修改。

附图说明

图1是本发明识别发动DDoS攻击的僵尸网络的***布署示意图，其中：I：识别器(identifier)，R：路由器(router)，M：测量器(measurer)，A：测量点(agent)，B：僵尸程序(bot)，C：客户端(client)。

图2是本发明识别发动DDoS攻击的僵尸网络的方法流程图。

具体实施方式

本发明公开了一种识别发动DDoS攻击的僵尸网络的方法及***。下面分别介绍***部署方式、***架构图、对僵尸网络的识别流程和其中的核心算法。

(1)***介绍及部署方式

***部署方式如图1所示。***包括三个部分:识别器(identifier)、测量器(measurer)和测量点(agent)。

这三个部分功能介绍如下：

识别器：识别DDoS攻击；发起链路可用带宽测量指令给测量器；根据测量器的返回信息，推断发动DDoS攻击的僵尸网络。

测量器：接受识别器的带宽测量指令；发起可用带宽测量指令给对应域的测量点；接受测量点发来的测量数据包，测量可用带宽；在测量结束后返回测量结果给识别器。

测量点：根据测量器发来的测量指令，发送测量数据包给对应的测量器，直至满足测量精度要求。

其中，识别器部署在骨干路由器上；测量器部署在链接一个域的骨干路由器上；测量点部署在一个域的边界路由器上。

域：域通常是较大的子网或者网段，如一个省份或者一个市的网络视为一个域。

(2)识别流程

本发明的识别流程如图2所示，主要包括以下步骤：

1)在线运行识别器(identifier)，检测DDoS攻击；

2)识别器(identifier)发送可用带宽测量指令给测量器(measurer)；

3)测量器(measurer)发送可用带宽测量指令给对应的测量点(agent)；

4)测量点(agent)发送测量数据包给对应的测量器(measurer)；

5)判断是否达到链路可用带宽测量精度，如果未达到，则重复步骤4)；如果已达到，则进行下一步；

6)测量器(measurer)根据测量结果，结合无攻击时的可用带宽，得到对应域发出的攻击流量；

7)测量器(measurer)返回攻击流量信息结果给识别器(identifier)；

8)识别器(identifier)根据返回结果，结合僵尸网络的僵尸主机分布信息，识别出发动DDoS攻击的僵尸网络。

本发明采用基于熵的DDoS检测技术。具体可参考IP packet size entropy-basedscheme for detection ofDoS/DDoS attacks.

(3)核心识别算法

下面介绍identifier根据僵尸主机在各个域的分布情况和各域的攻击流量，识别发动DDoS攻击的僵尸网络的算法。

1)假设共有M个域。域集合为DS＝{d₁,d₂,...,d_M}，第i个域对应的攻击流量大小为v_i(1≤i≤M)；共有N个僵尸网络，僵尸网络集合是BS＝{b₁,b₂,...,b_N}；剩余的可疑僵尸网络集合SBS＝BS；已比较过的域对集合UST＝{}。设定一个识别阈值Φ，该阈值为经验值，推荐设定为0.2或者0.5。表示第n个僵尸网络在第i个和第j个域的僵尸主机比率。

2)while|SBS|>1or|DS|<M(M-1)/2：

3)选择域对(d_i,d_j)，i，j满足

4)for SBS的任何一个元素b_n：

5)if b_n满足and v_i<v_j：

6)SBS：＝SBS-{b_n}

7)endif

8)endfor

9)UST：＝UST+{(b_i,b_j)}

10)end while

11)

12)if|SBS|＝＝1then

13)SBS中剩下的那个元素就是发动攻击的僵尸网络

14)else

15)从SBS中随机选择一个元素作为发动攻击的僵尸网络。

Claims (9)

1.一种DDoS攻击僵尸网络的识别方法，包括以下步骤：

(1)检测到DDoS攻击后，分别测量各域的数据链路的可用带宽，直至满足链路可用带宽测量精度；

(2)根据上述测量结果，结合无攻击时的可用带宽得到对应域发出的攻击流量；

(3)根据得到的攻击流量，结合僵尸主机的分布信息，识别出DDoS僵尸网络，所述僵尸主机的分布信息是指各僵尸网络的僵尸程序在各域中的分布比率；其中：根据以下方法识别DDoS僵尸网络：

1)选取域对(d_i，d_j),要求i，j满足如果存在这样的域对，进入步骤2)，否则进入步骤5)，UST表示已比较过的域对集合，d_i，d_j分别表示第i个域和第j个域，b_i，b_j分别表示第i个僵尸网络和第j个僵尸网络；

2)如果|SBS|＝1或者|UST|＝M(M-1)/2，进入步骤5)，否则进入步骤3)，SBS表示剩余的可疑僵尸网络集合，SBS＝BS＝{b₁,b₂,...,b_N}，BS代表含有N个僵尸网络的集合，M表示域的总个数；

3)选取SBS中的元素b_n，要求b_n未经历过步骤4)，如果存在这样的元素b_n，进入步骤4)，否则UST＝UST+{(b_i，b_j)},转为步骤1)；

4)如果b_n满足r_i ⁿ≥(1+Φ)r_j ⁿ和v_i＜v_j，则SBS＝SBS-{b_n}，转入步骤2)，b_n表示SBS的任何一个元素，r_i ⁿ,r_j ⁿ分别表示第n个僵尸网络在第i个和第j个域的僵尸主机比率，Φ表示识别阈值，v_i，v_j分别表示第i个域和第j个域对应的攻击流量大小，1≤i≤M，1≤j≤M；

5)如果|SBS|＝1，则SBS中剩余的元素就是发动攻击的僵尸网络，否则从SBS中随机选择一个元素作为发动攻击的僵尸网络。

2.如权利要求1所述的DDoS攻击僵尸网络的识别方法，其特征在于，采用基于熵的DDoS检测技术检测DDoS攻击。

3.如权利要求1所述的DDoS攻击僵尸网络的识别方法，其特征在于，基于探测报文速率模型测量可用带宽。

4.如权利要求1所述的DDoS攻击僵尸网络的识别方法，其特征在于，所述满足链路可用带宽测量精度是指相邻两次测量结果的差别小于一个设定阈值。

5.如权利要求4所述的DDoS攻击僵尸网络的识别方法，其特征在于，|A1-A2|/min(A1,A2)<＝THD时，则认为满足链路可用带宽测量精度要求，其中，A1表示前一个测量得到的可用带宽，A2表示接下来的一次测量得到的可用带宽，THD表示设定阈值。

6.如权利要求1所述的DDoS攻击僵尸网络的识别方法，其特征在于，所述僵尸程序在各域中的分布比率为N_i/N₁+N₂+…+N_M，i表示第i个域，M表示域的个数，N₁,N₂,...,N_M表示一个僵尸网络在各域的僵尸程序数量。

7.如权利要求1所述的DDoS攻击僵尸网络的识别方法，其特征在于，根据以下方法识别DDoS僵尸网络：

1)选取域对(d_i，d_j),要求i，j满足如果存在这样的域对，进入步骤2)，否则进入步骤5)，UST表示已比较过的域对集合，d_i，d_j分别表示第i个域和第j个域，b_i，b_j分别表示第i个僵尸网络和第j个僵尸网络；

2)如果|SBS|＝1或者|UST|＝M(M-1)/2，进入步骤5)，否则进入步骤3)，SBS表示剩余的可疑僵尸网络集合，SBS＝BS＝{b₁,b₂,...,b_N}，BS代表含有N个僵尸网络的集合，M表示域的总个数；

3)选取SBS中的元素b_n，要求b_n未经历过步骤4)，如果存在这样的元素b_n，进入步骤4)，否则UST＝UST+{(b_i，b_j)},转为步骤1)；

4)如果b_n满足r_i ⁿ≥(1+Φ)r_j ⁿ和v_i＜v_j，则SBS＝SBS-{b_n}，转入步骤2)，b_n表示SBS的任何一个元素，r_i ⁿ,r_j ⁿ分别表示第n个僵尸网络在第i个和第j个域的僵尸主机比率，Φ表示识别阈值，v_i，v_j分别表示第i个域和第j个域对应的攻击流量大小，1≤i≤M，1≤j≤M；

5)如果|SBS|＝1，则SBS中剩余的元素就是发动攻击的僵尸网络，否则从SBS中随机选择一个元素作为发动攻击的僵尸网络。

8.一种DDoS攻击僵尸网络的识别***，包括：

识别器，用于识别DDoS攻击；发起链路可用带宽测量指令给测量器；以及根据测量器的返回信息，识别发动DDoS攻击的僵尸网络，其中：根据以下方法识别DDoS僵尸网络：

1)选取域对(d_i，d_j),要求i，j满足如果存在这样的域对，进入步骤2)，否则进入步骤5)，UST表示已比较过的域对集合，d_i，d_j分别表示第i个域和第j个域，b_i，b_j分别表示第i个僵尸网络和第j个僵尸网络；

2)如果|SBS|＝1或者|UST|＝M(M-1)/2，进入步骤5)，否则进入步骤3)，SBS表示剩余的可疑僵尸网络集合，SBS＝BS＝{b₁,b₂,...,b_N}，BS代表含有N个僵尸网络的集合，M表示域的总个数；

3)选取SBS中的元素b_n，要求b_n未经历过步骤4)，如果存在这样的元素b_n，进入步骤4)，否则UST＝UST+{(b_i，b_j)},转为步骤1)；

4)如果b_n满足r_i ⁿ≥(1+Φ)r_j ⁿ和v_i＜v_j，则SBS＝SBS-{b_n}，转入步骤2)，b_n表示SBS的任何一个元素，r_i ⁿ,r_j ⁿ分别表示第n个僵尸网络在第i个和第j个域的僵尸主机比率，Φ表示识别阈值，v_i，v_j分别表示第i个域和第j个域对应的攻击流量大小，1≤i≤M，1≤j≤M；

5)如果|SBS|＝1，则SBS中剩余的元素就是发动攻击的僵尸网络，否则从SBS中随机选择一个元素作为发动攻击的僵尸网络；

测量器，用于接受识别器的可用带宽测量指令；发起可用带宽测量指令给对应域的测量点；接受测量点发来的测量数据包，测量可用带宽；在测量结束后返回测量结果给识别器；

测量点，用于根据测量器发来的测量指令，发送测量数据包给对应的测量器，直至满足测量精度要求。

9.如权利要求8所述的DDoS攻击僵尸网络的识别***，其特征在于，所述识别器部署在骨干路由器上；所述测量器部署在链接一个域的骨干路由器上；所述测量点部署在一个域的边界路由器上。