ddos(分布式拒绝服务攻击)分为两种直接攻击/反弹攻击(间接攻击)

ddos的实现原理是基于tcp/ip的三次握手实现的

攻击者将发送ip设置为虚假ip,受访者在进行第二次握手时,不能判断ip真伪,向源地址发送响应包,并且等待第三次握手,随时间响应丢失,却占用cpu和内存

直接攻击(控制肉鸡发送大量虚假请求)

就是通过大量的这种虚假连接，消耗主机资源，造成主机资源枯竭，从而导致正常的用户不能进行正常访问。

反弹攻击(反弹shell??)(模拟正常用户访问)

是将包含假受害者的ip数据包发送到一些反射体上，反射体收到数据包后将响应数据包直接发送到受害者，大量响应数据包将占用受害者的入口链路。

对抗技术:ip溯源

internet分为:采用IPSec方案和未采用IPSec方案
采用IPSec方案的internet可以有效防止ip欺骗(识别ddos)

ip溯源:推断出攻击报文在网络中的穿行路线，定位攻击源的位置.

技术思路

找到ip包从攻击者到受害者之间的路由器转发,复现出路径结构.

主要方法

链路测试溯源法; 登陆分析溯源法; ICMP 溯源法; 分组标记溯源法; 路由器日志记录溯源法等

链路测试溯源法(两种,缺点大实现较难)

实现手段:网管人员在每个路由器入端口设置相关过滤条件，如果过滤有效则可以确定上游链路和上游设备。

缺点:攻击结束后或间歇性攻击的情况下不易实现

0x01:输入调试

根据攻击特征设置输出端口过滤,过滤机制可追溯输入端口(上一级路由器),而后重复

缺点:工作量大,调试缓慢,需要其他IPS配合

0x02:flooding控制

通过对预先生成的网络拓扑结构相关链路强行淹没,查看攻击流量变化而确定攻击流来源

缺点:方法属于拒绝服务,算法实现难,仅适用于攻击进行时

0x03登录分析溯源法(未实用)

利用数据发掘技术,确定关键路由器上已登录数据包转发路径

优点:攻击结束后长时间可利用
缺点:需大量数据库集成

0x04icmp跟踪溯源

将信息附加在报文中

缺点:易被过滤,报文易伪造,信息不准确

分组标记溯源法

根据ip地址的序列号对ip进行标记来确定网络层的传输溯源问题

路由器日志溯源

根据路由器日子log排查结合数据挖掘技术,基于hash值的

优点是追踪速度快，可以在攻击发生以后进行溯源，没有实时性要求。

缺点:开销比较大，日志格式不统一，不同运营商日志无法共享，实际可操作性不强。

本文参考文献