低速率拒绝服务攻击研究综述
ＩＳＳＮ１６７３—９４１８ＣＯＤＥＮＪＫＹＴＡ８
ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ
１６７３－９４１８／２００８／０２（０１）－０００１－１９
低速率拒绝服务攻击研究综述枣
何炎祥ｔ一，刘篱“，曹强ｔ，熊ＨＥＹａｎｘｉａｎ９１”，ＬＩＵＴａ０１＋，ＣＡＯ琦ｔ，韩奕ｔ
Ｑｉａｎ９１，ＸＩＯＮＧＱｉｌ，ＨＡＮＹｉｌ
Ｅ－ｍａｉｌ：ｆｅｓｔ＠ｐｕｂｌｉｅ２．ｂｔａ．ｎｅｔ。ｃｎ
ｈｔｔｐ：ｌｌｗｗｗ．ｅｅ萄，ｏｒｇ
Ｔｅｌ：＋８６－１０—５１６１６０５６
１．武汉大学计算机学院，武汉４３００７９
２。武汉大学软件工程国家重点实验室，武汉４３００７９
ｌ。ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒ，ＷｕｈａｎＵｎｉｖｅｒｓｉｔｙ，Ｗｕｈａｎ４３００７９，Ｃｈｉｎａ
２．ＳｔａｔｅＫｅｙＬａｂｏｒａｔｏｒｙｏｆＳｏｆｔｗａｒｅＥｎｇｉｎｅｅｒｉｎｇ，ＷｕｈａｎＵｎｉｖｅｒｓｉｔｙ，Ｗｕｈａｎ４３００７９，Ｃｈｉｎａ
＋Ｃｏｒｒｅｓｐｏｎｄｉｎｇａｕｔｈｏｒ：Ｅ－ｍａｉｌ：ｌｉｕｔａｏ＿６１＠１２６。ＣＯＢ
ＨＥＹａｎｘｉａｎｇ。ＬＩＵＴａｏ，ＣＡＯＱｉａｎｇ，ｅｔａ１．ＡｓｕｒｖｅｙｏｆＬｏｗ－ｒａｔｅＤｅｎｉａｌ－ｏｆ－Ｓｅｒｖｉｃｅａｔｔａｃｋｓ．ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ，２００８，２（１）：１－１９。‘
Ａｂｓｔｒａｃｔ：Ｌｏｗ－ｒａｔｅｄｅｎｉＭ－ｏｆ－ｓｅｒｖｉｃｅａｔｔａｃｋｉｓａｎｏｖｅｌｃａｔｅｇｏｒｙｏｆａｔｔａｃｋｓｔｈａｔａｒｅａｉｍｅｄａｔｅｘｐｌｏｉｔｉｎｇｔｈｅａｄａｐｔｉｖｅｂｅｈａｖｉｏｒｅｘｈｉｂｉｔｅｄｂｙｓｅｖｅｒａｌｎｅｔｗｏｒｋａｎｄｓｙｓｔｅｍｐｒｏｔｏｃｏｌｓ．ＤｉｆｆｅｒｅｎｔｆｒｏｍｔｒａｄｉｔｉｏｎａｌＤｏＳａｔｔａｃｋｓ，ｔｈｉｓｋｉｎｄｏｆａｔｔａｃｋｓｃａｎｍａｋｅｓｅｒｉｏｕｓｄｅｓｔｒｏｙｏｎｔｈｅｖｉｃｔｉｍｓｂｙｕｓｉｎｇｐｅｒｉｏｄｉｃａｌｌｙｎｏｎ－ｓｕｓｐｉｃｉｏｕｓｌｏｗ－ｒａｔｅａｔｔａｃｋｓｔｒｅａｍｓ．Ｓｉｎｃｅｔｈｅｙｈａｖｅｂｅｅｎｂｒｏｕｇｈｔｆｏｒｗａｒｄ，ｔｈｅｓｅｎｅｗａｔｔａｃｋｓｈａｖｅｃａｕｓｅｄｓｐｅｃｉａｌｃｏｎｃｅｒｎ；ｔｈｅｐｒｏｂｌｅｍｓｏｆｄｅｔｅｃｔｉｎｇａｎｄｄｅｆｅｎｄｉｎｇｔｏｗａｒｄｓｔｈｅｍｈａｖｅｇｒａｄｕａｌｌｙｂｅｃｏｍｅｉｍｐｏｒｔａｎｔｒｅｓｅａｒｃｈｉｓｓｕｅｓｉｎｔｈｅｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙａｒｅａ。Ｉｎｔｈｅｐａｐｅｒ，ｔｈｅｏｒｅｔｉｃａｌａｎａｌｙｓｅｓ，ｍｏｄｅｌｉｎｇａｎｄｓｉｍｕｌａｔｉｏｎｓｏｆｖａｒｉｏｕｓＬＤｏＳａｔｔａｃｋｓａｒｅｐｒｅｓｅｎｔｅｄ，ｔｈｅｄｉｆｆｉｃｕｌｔｉｅｓｏｆｄｅｆｅｎｄｉｎｇａｎｄｃｕｒｒｅｎｔｓｏｌｕｔｉｏｎｓａｒｅｄｉｓｃｕｓｓｅｄ．Ａｔｔｈｅｅｎｄｏｆｔｈｅｐａｐｅｒ，ｓｅｖｅｒａｌｐｒｏｂｌｅｍｓｗｈｉｃｈｎｅｅｄｆｕｒｔｈｅｒｒｅｓｅａｒｃｈｅｓａｒｅｐｕｔｆｏｒｗａｒｄ，ｉｎｏｒｄｅｒｔｏｐｒｏｖｉｄｅｒｅｆｅｒｅｎｃｅｔｏｔｈｅｆｕｔｕｒｅｒｅｓｅａｒｃｈｗｏｒｋｏｎｔｈｅｄｅｆｅｎｄｉｎｇｏｆｔｈｉｓｋｉｎｄｏｆａｔｔａｃｋｓ。
Ｋｅｙｗｏｒｄｓ：ｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙ；Ｌｏｗ－ｒａｔｅＤｏＳ（ＬＤｏＳ）ａｔｔａｃｋｓ；ＴＣＰｃｏｎｇｅｓｔｉｏｎｃｏｎｔｒｏｌ；ＡＱＭ；ａｔｔａｃｋｄｅｆｅｎｓｅ
摘要：低速率拒绝服务攻击是近年来提出的一类新型攻击，其不同手传统洪泛式ＤｏＳ攻击，主要是利用端系统或网络中常见的自适应机制所存在的安全漏洞，通过低速率周期性攻击流，以更高的攻击效率对受害者进行破坏盈不易被发现。ＬＤｏＳ攻击毒提交缓来便得到了研究者锅酌充分重视，葵硬去特强分析与检测防范方法逐渐成为网络安全领域的一个重要研究课题。首先对目前已提出的各种ＬＤｏＳ攻击方式进行了分类描述和建横，并在ＮＳ２乎台上进行了嶷验验证，接着对ＬＤｏＳ攻击的捡测防范罐点进行了讨论并对已有的各种检测防范方
＋ｔｈｅＮａｔｉｏｎａｌＮａｔｕｒａｌＳｃｉｅｎｃｅＦｏｕｎｄａｔｉｏｎｏｆＣｈｉｎａｕｎｄｅｒＧｒａｎｔＮｏ．６０６４２００６，６０７７３００８（国家自然科学基金）Ｒｅｃｅｉｖｅｄ２００７－０９。Ａｃｃｅｐｔｅｄ２００７—１１．
２ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
案进行了小结，最后指出了有待进一步研究的几个问题，以期为今后此类攻击检测防范研究工作提供参考。
关键词：网络安全；低速率拒绝服务攻击；ＴＣＰ拥塞控制；ＡＱＭ；攻击防范
文献标识码：Ａ中图分类号：ＴＰ３０９
１引言
拒绝服务攻击（Ｄｅｎｉａｌ—ｏｆ—Ｓｅｒｖｉｃｅ，ＤｏＳ）一直是Ｉｎｔｅｒｎｅｔ面临的最为严峻的威胁之一，其主要通过连续向攻击目标发送超出其处理能力的过量数据，消耗其有限的网络链路或操作系统资源，使之无法为合法用户提供有效服务。许多著名的网站，如Ｙａｈｏｏ、Ａｍａｚｏｎ及ＣＮＮ等都曾因ＤｏＳ攻击导致网站关闭…。过去的几年中，ＤｏＳ攻击技术不断发展，造成的破坏性也越来越大。特别是近年来，出现了一类低速率拒绝服务攻击（Ｌｏｗ—ｒａｔｅＤｏＳ，ＬＤｏＳ）ｔ２－ｓｌ，比传统ＤｏＳ攻击更具威胁性。
对于传统的ＤｏＳ攻击，尽管其破坏性很大，但是其攻击原理致使其存在一个共同特点——需要攻击者采取一种压力（ｓｌｅｄｇｅ—ｈａｍｍｅｒ）方式向被攻击者发送大量攻击包，即要求攻击者维持一个高频、高速率的攻击流。正是这种特征，使得各种传统ＤｏＳ攻击与正常网络流量相比都具有一种异常统计特性，使得对其进行检测相对简单。因此，许多ＤｏＳ检测方法【６Ｉ都把这种异常统计特征作为识别ＤｏＳ攻击的特征，一旦检测到攻击，就激活包过滤机制丢弃所有具有攻击特征的数据流传送的数据包，或采用一定的速率限制技术来降低攻击影响。
ＬＤｏＳ攻击与传统的洪泛式ＤｏＳ攻击截然不同，其最大特点是不需要维持高速率攻击流，耗尽受害者端所有可用资源，而是利用网络协议或应用服务中常见的自适应机制（如，ＴＣＰ的拥塞控制机制）中所存在的安全漏洞，通过周期性地在一个特定的短暂时间间隔内突发｜生地发送大量攻击数据包，从而降低被攻击端服务性能。ＬＤｏＳ攻击只是在特定时间问隔内发送数据，相同周期其它时间段内不发送任何数据，此间歇性攻击特点，使得攻击流的平均速率比较低，与合法用户的数据流区别不大，不再具有上述异常统计特性，使得很难用已有的方法对其进行防范。
可以认为ＬＤｏＳ攻击是对传统ＤｏＳ攻击的改进形式，它与传统ＤｏＳ攻击相比，更加彻底地做到了有的放矢，因此攻击效率有了大幅度的提高，且更加有效地躲避了检测和防范。ＬＤｏＳ攻击的提出给攻击防范问题的研究带来了新的挑战。
对于ＬＤｏＳ攻击的研究尚处于起步阶段，但相关研究工作主要出现在近年来一流国际会议上，说明其得到了充分的重视。２００３年在计算机网络方面的顶级会议ＳＩＧＣＯＭＭ上，Ｒｉｃｅ大学的Ａｌｅｋｓａｎｄａｒ首次提出了针对ＴＣＰ协议的低速率拒绝服务攻击１２１，主要针对ＴＣＰ拥塞控制机制中的漏洞，文中提出了一种潜在的ＬＤｏＳ攻击模型，通过准确计算，只需少量攻击数据就可导致受害者端拒绝服务或服务质量的下降。在２００４的ＩＣＮＰ以及２００５年的ＩＮＦＯＣＯＭ上，Ｇｕｉｒｇｕｉｓ提出了ＲｏＱ攻击『３，４１，其实质也是针对ＴＣＰ协议中拥塞控制以及路由器队列管理机制中的漏洞，使得特定的路由器的性能发生下降。２００５年的ＮＤＳＳ会议上，
ＸｉａｐｕＬｕｏ又提出了ｐｕｌｓｉｎｇ攻击』５１，原理与前述攻击非常相似。网络中也已出现此种类型的攻击１７１，因此，
提出针对此类攻击的检测防范方法已经成为当今网络安全领域刻不容缓的问题。而针对此类攻击进行攻击建模及攻击特征分析，也非常重要，是今后防范研究工作的基础。
文章主要对ＬＤｏＳ攻击相关研究成果进行了综述。第２章对目前已提出的各种ＬＤｏＳ攻击进行了分类描述以及分析建模；第３章通过ＮＳ２平台上的仿真实验对第２章中的理论分析结果进行了验证，并从攻击效果和攻击效能两个方面对各种攻击参数进行了详细分析；第４章对此类攻击的检测防范方法所存在的困难进行了讨论，并对已有的各种检测防范方案进行了小结；最后第５章总结并指出了未来的研究方向。
何炎祥等：低速率拒绝服务攻击研究综述３
２低速率拒绝服务攻击的基本方法
虽然目前所提出的ＬＤｏＳ攻击方式多种多样【２．５，８－１０］，但是其所依据的根本原理是相同的，即都是利用网络或端系统自适应机制设计上所存在的缺陷来进行攻击。许多系统都需要依靠自适应机制使之维持在一个较稳定的运行状态，即当系统初始时或环境发生变化时，系统可以通过自适应机制逐渐调整或重新回到一个稳定状态。自适应协议在设计时主要注重的是系统稳态的有效性、公平性和稳定性，对其安全性考虑不多，这就导致了其自身的脆弱性。为了使系统达到最高性能，系统或网络协议往往假设系统大部分时间都是处于稳定状态，并全力保证系统稳定状态的性能，但却忽略了系统的暂态性能，即系统不稳定及从不稳定到稳定状态转换过程中的性能。ＬＤｏＳ攻击利用系统暂态性能比较低的特征，通过周期性发起一定强度的攻击流，使系统不断在失效和稳定两个状态间切换，即总是处于低效暂态，从而降低系统的整体性能。ＬＤｏＳ攻击对系统性能的影响，如图１所示，其中假设系统初始状态性能为０，稳定状态（ＳｔｅａｄｙＳｔａｔｅ）性能为ｓｓ，攻击所导致失效状态（ＤｉｓａｂｌｅｄＳｔａｔｅ）性能为ＤＳ，攻击开始后系统从稳定状态转入失效状态所需时间为ｔ，，从失效状态通过自适应机制恢复到稳定状态所需时间为ｔ，。ＬＤｏＳ攻击主要使用周期性的数据流形成攻击脉冲，因此主要参数包括攻击周期ｒ，攻击脉冲持续时间ｒ，脉冲强度６。每当系统通过自适应机制刚达到稳定状态嬲时，攻击者发送攻击脉冲，系统受攻击影响性能经过时间ｔ，快速降至ＤＳ，此时停止攻击，系统通过自适应机制逐浙恢复至稳态，此时再发动下轮攻击，如此循环，系统始终无法稳定，性能严重降低。上述性能所指指标随攻击目的的不同而不同，例如，当攻击目标为网络链路带宽时，性能可指链路利用率；当攻击目标为网络中某路由器时，性能可指队列抖动或排队延迟等；当攻击目标为应用服务时，性能可指请求接收率、服务处理时间等。另外对于ＬＤｏＳ攻击数据流来说，根据攻击方式的不同，也不一定是脉冲形式，还可以呈现正弦波、余弦波等其它形式【１１】，但攻击原理和攻击效果都是一致的。文章后述ＬＤｏＳ攻击，均以脉冲波形攻击流为例进行讨论。
时性能）
时性能）
（ｔｉｍｅ）
（ｔｉｍｅ）图１ＬＤｏＳ攻击模型及其对系统性能的影响Ｆｉｇ．１ＬＤｏＳａｔｔａｃｋｍｏｄｅｌａｎｄｉｔｓｅｆｆｅｃｔｔｏ
ｓｙｓｔｅｍｐｅｒｆｏｒｍａｎｃｅ
目前提出的ＬＤｏＳ攻击按其攻击所利用的脆弱点不同，大致可分为针对ＴＣＰ拥塞控制机制和针对路由器主动队列管理机制两大类。为论述清晰，下文均以单攻击者，单攻击目标（链路或路由器）的攻击模型为例对各类攻击进行分析。
２．１针对ＴＣＰ拥塞控制机制的ＬＤｏＳ攻击ＴＣＰ协议是目前互联网中使用最为广泛的传输协议。根据ＭＣＩ的统计，互联网上总字节数的９５％及总数据包数的９０％均使用ＴＣＰ协议传输【１２１。因此目前提出的各种ＬＤｏＳ攻击大多数也都是针对ＴＣＰ协议中最重要的自适应机制——拥塞控制机制所提出的。２．１．１ＴＣＰ协ｉ义的拥塞控制机制
ＴＣＰ拥塞控制机制主要作用是使ＴＣＰ连接在网络发生拥塞时退避（ｂａｃｋｏｆｆ），也就是说ＴＣＰ源端会对网络发出的拥塞信号（ｃｏｎｇｅｓｔｉｏｎｎｏｔｉｆｉｃａｔｉｏｎ）如丢包、重复的ＡＣＫ等，作出响应，通过自适应地调整发送端窗口的大小，使网络链路达到最有效的利用。
在拥塞控制机制下，可将链路状态分为三种情况：慢启动状态、超时重传状态和稳定状态，其中，标准ＴＣＰ稳定状态下主要采用ＡＩＭＤ算法【１３】和快重传／快恢复算法㈣。
慢启动状态（Ｓｌｏｗｓｔａｒｔ）：当建立新的ＴＣＰ连接或连接从超时中恢复时，链路进入慢启动状态，拥塞窗●
４ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
ｌＹｌ（Ｃｏｎｇｅｓｔｉｏｎｗｉｎｄｏｗ，Ｃｗｎｄ）为—个数据包大小（ＭＳｓ）。源端按‰以大小发送数据，每收到一个ＡＣＫ确认，‰以就增加一个数据包发送量，这样Ｃｗｎｄ就将随着往返时间（ＲｏｕｎｄＴｒｉｐＴｉｍｅ，ＲＴＴ）呈指数增长，源端向网络发送的数据量将急剧增加。当‰蒯增长到慢启动阀值ｓｓｔｈｒｅｓｈ时，链路进入稳定状态，Ｃｗｎｄ按线性规律增长。
超时重传状态：如果ＴＣＰ源端发现其所设置的超时重传计数器【?５１超时，即认为网络发生了严重拥塞（主要因为由传输引起的数据包损坏和丢失的概率很小（＜＜ｌ％）ｏ此时链路就进入超时重传状态，慢启动阈值（ｓｓｔｈｒｅｓｈ）被设置为当前Ｃｗｎｄ的一半，重传丢失的数据包，且Ｃｗｎｄ被置为１，链路重新进入慢启动状态。
稳定状态：标准版本的ＴＣＰ当链路处于稳定状态时，使用基于发送窗口的和增积减（ＡｄｄｉｔｉｖｅＩｎｃｒｅａｓｅ
ＭｕｌｔｉｐｌｉｃａｔｉｖｅＤｅｃｒｅａｓｅ，ＡＩＭＤ）算法，对网络状况作出快速反应，以保证链路的稳定性及带宽享用的公平
性。加法增大ＡＩ：当网络中没有拥塞时，发送窗口Ｃｗｎｄ以线性的方式每个往返时间Ｒ刀增加一个报文段长度（ＭＳＳ）；乘法减小ＭＤ：当网络中出现轻度拥塞时，即ＴＣＰ源端连续收到３个相同的确认包时，则将其Ｃｗｎｄ减半，并重传此包。快重传是指当ＴＣＰ源端如果是收到３个相同的ＡＣＫ，则认为网络轻度拥塞，重传丢失的数据包，而不必等待ＲＴＯ超时，同时将Ｃｗｎｄ减为原先的一半。快恢复是基于“管道”模型（ｐｉｐｅｍｏｄｅｌ）的“数据包守恒”的原贝１］（ｃｏｎｓｅｒｖａｔｉｏｎｏｆ
ｐａｃｋｅｔｓｐｒｉｎｃｉｐｌｅ），即同一时刻在网络中传输的数据包数量是叵定的，只有当“旧”数据包离开网络后，才
ｃ钾忍哦
ｓｓｔｈｒｅｓｈｏ
ｓｓｔｈｒｅｓｈ’＝ｃｗｎｄｏ／２能发送“新”数据包进入网络。如果发送方收到一个重复的ＡＣＫ，则认为已经有一个数据包离开了网络。于是将拥塞窗口加１。因此根据快恢复原理，如果源端收到３个相同的ＡＣＫ，则Ｃｗｎｄ设置为婴＋
：ｚ
３ＭＳＳ。
ＴＣＰ链路状态变化如图２所示，当链路初始时。拥塞窗口锄以设为１，链路进入慢启动状态，Ｃｗｎｄ按指数规律增长；当Ｃｗｎｄ达到慢启动阀值ｓｓｔｈｒｅｓｈ时，链路进入稳定状态，‰以按线性规律增长（ＡＩ）。当∞以增长到某个程度时（轻度拥塞现象发生，ＴＣＰ源端将收到３个相同的ＡＣＫ），则将Ｃｗｎｄ减半（ＭＤ），然后再进入ＡＩ阶段。某一时刻，如果ＴＣＰ源端发现超时，则链路进入超时重传状态，随后重新采用慢启动算法。
有关ＴＣＰ拥塞控制算法在文献［１６］ｄＰ有详细介绍，此处只是侧重于ＬＤｏＳ攻击所利用到的拥塞控制特性对其进行简要介绍。
２．１．２攻击原理
针对ＴＣＰ拥塞控制机制的ＬＤｏＳ主要利用ＴＣＰ拥塞控制机制所存在的安全漏洞。无论是匣启动、超时重传还是ＡＩＭＤ，其核心思想都是不断探测网络所能承受的最大传输上限，当发现网络数据包丢失，则认为达到网络传输上限，迅速减小拥塞窗口，避免给网络带来更严重的拥塞。ＬＤｏＳ正是利用这一机制，在大部分时间里保持沉默，而在特定时刻，短时间内发送脉冲式攻击流，造成部分网络数据包丢失，使得ＴＣＰ发送方误认为存在拥塞，开始重传并减小拥塞窗
状态状态状态图２无攻击状态下ＴＣＰ链路状态变化
Ｆｉｇ．２ＴＣＰｌｉｎｋｓｔａｔｅｗｉｔｈｏｕｔａｔｔａｃｋ
何炎祥等：低速率拒绝服务攻击研究综述５
口的大小。值得注意的是，对ＴｃＰ发送方而言，脉冲攻击的发起时刻不同，其收到的拥塞信号也不同。如果ＴＣＰ发送方的重传计数器超时，它将导致超时重传并随后进入慢启动，拥塞窗口减小到１；如果ＴＣＰ发送方收到３个重复的ＡＣＫ，链路将进入快重传广陕恢复，按ＡＩＭＤ原理降低拥塞窗口。
为了简化分析，将ＴＣＰ拥塞控制中的超时重传和ＡＩＭＤ两种机制分开考虑，并将针对ＴＣＰ协议的ＬＤｏＳ攻击分为两类：基于重传超时机制的ＬＤｏＳ攻击和基于ＡＩＭＤ机制的ＬＤｏＳ攻击。对于每一类攻击，又可以根据攻击脉冲发送时间点与重传定时器的超时点是否完全重合，分为同步和异步两种方式。２．１．３基于超时重传机制的ＬＤｏＳ攻击
根据ＴＣＰ超时重传机制，发送端为发送出去的每个报文段设置一个定时器，如果在收到对该报文的确认之前定时器就超时了，则发送端将其发送窗口Ｃｗｎｄ减为１，然后重新发送此包，并根据指数退避算法１１７１将ＲＴＯ设为原来的ｑ倍（ｑ一般取２），等待应答包的到来，如果重传包仍然超时，则继续重传，直到重
ＲＴＯ。。‰７
传成功或放弃重传；如果重传成功收到应答包，则系统进入慢启动状态。按ＴＣＰ协议，对于非重传报文段，当发送端收到其ＡＣＫ时，需要根据其所测得的往返时延Ｒ刀更新此链路的重传超时时间（ＲＴＯ），式（１）为计算方法【１ｑ：
ＲＴＯ＝ｍｉｎ｛ＲＴＯ．。，ｍａｘ｛ＲＴＯ。ｉ。，
艘ｍｍａｘ（Ｇ，４ｘＶＲＴＴ）｝１（１）为了使网络达到接近最优的吞吐率，最小重传时间推荐ＲＴＯ。ｉ。为１ｓ０Ｓｌ。Ｒ加～为ＲＴＯ上限值。Ｇ是时钟尺度，艘刀和ｙ尺刀分别表示平滑后的往返时延和往返时延的变化。
２．１．３．１基于超时重传机制的同步ＬＤｏＳ攻击模理这是一种理想状况下的攻击，攻击者精确知道ＴＣＰ发送方每次发送包时所设置的ＲＴＯ值，在其每次重传数据包的时候发动攻击脉冲，使得每次重传都失败，这样攻击达到最完美的效果：拥塞窗口一直保持为１，吞吐量为０。此类攻击如图３（ａ）所示，可以看到每个脉冲发送时间点都与重传定时器的超时点相重合。
Ｃｗｎｄ
ｌ
Ａｔｔａｃｋｒａｔｅ
Ｏ
ＲＴＯ。。％
（ｂ）基于重传超时的异步Ｓｈｒｅｗ攻击
Ｃｗｎｄ
队列缓冲区满
Ｃ
ｌ
Ａｔｔａｃｋｒａｔｅ
ｆｏ
ＲＴＯ。。％”
（ｃ）基于重传超时的异步ＬＳ攻击。（ｄ）基于重传超时的异步ＦＢ攻击图３４种基ｆ超时重传机制的ＬＤｏＳ攻击的攻击模型
Ｆｉｇ．３Ｔｈｅｆｏｕｒａｔｔａｃｋｍｏｄｅｌｓｏｆｔｉｍｅｏｕｔｍｅｃｈａｎｉｓｍ—ｔａｒｇｅｔｅｄＬＤｏＳａｔｔａｃｋｓ
ｔｉｍｅ
ｔｌｍｅ
６ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
根据超时重传机制中重传超时时间的计算方法，第ｉ次发起攻击脉冲的时间点ｔｉ可由式（２）得出，设攻击开始于气，重传超时时间初始值为ＲＴＯｏ。
ｔｉ＝０ｌ＋ＲＴＯＨ１≤ｉ≤Ｊ７、ｋ
ｆＲｍ—ｉｆｑ＊ＲＴＯ¨＞尺加一
ＲＴＯｉ＝｛（２）‘【ｑ＊ＲＴＯＨｅｌｓｅ
其中，ｑ值一般取２，Ｒ册一是ＲＴＯ的最大值，Ⅳ一是ＴＣＰ发送方最终放弃发送数据包的最大重传次数。２．１．３．２基于超时重传机制的异步ＬＤｏＳ攻击模璎同步攻击效果固然很好，但要求攻击者对ＲＴＯ把握得非常精确，因为攻击脉冲的持续时间较短，如果脉冲发送时刻把握不准确则会严重影响其攻击效果，而根据式（１）可知，实际网络中链路的ＲＴＯ取值与其ＲｒＩＴＩ＇大小以及变化关系密切，很难精确对其进行计算，因此同步ＬＤｏＳ在实际中难以实现。另一种更简单的方式是使攻击流具有固定周期，这种攻击称为异步攻击，其脉冲发送时间点与重传定时器的超时点并无重合。
Ｋｕｚｍａｎｏｖｉｃ和Ｋｎｉｇｈｔｌｙ提出的Ｓｈｒｅｗ攻击【２１就属于这类攻击，其攻击模型如图３（ｂ）所示。假定攻击开始时，ＴＣＰ发送方的ＲＴＯ为ＲＴＯ。ｉ。（对于一般链路正常状态下，Ｒ刀较小，因此职研ｈｌａｘ（Ｇ，４×ｙ尺刀）值也较小，根据式（１），ＲＴＯ取ＲＴＯ。洒可能性比较大）。当前一个攻击脉冲发出后，ＴＣＰ发送方进入超时重传状态，与同步攻击相比，攻击方将滞后一个较短的时间％发送下一个攻击脉冲，使得发送方能够在气时间段内成功地重传并发送一些数据包，让ＲＴＯ能够通过式（１）的计算重新回到ＲＴＯ。¨从而保证下一次攻击周期可以保持不变。一般正。，被设置为２～３Ｒ刀，连续两个攻击脉冲的时间间隔为ＲＴＯ。ｉ。＋％。
对于异步ＬＤｏＳ攻击，根据其攻击目的和攻击周期设置方式不同，有很多变种，如Ｇｕｉｒｇｕｉｓ就针对Ｓｈｒｅｗ攻击提出了两种变种㈣：链路饱和状态的异步ＬＤｏＳ攻击（ＬｉｎｋＳａｔｕｒａｔｉｏｎａｔｔａｃｋ，ＬＳａｔｔａｃｋ）以及满队列状态的异步ＬＤｏＳ攻击（ＦｕｌｌＢｕｆｆｅｒａｔｔａｃｋ，ＦＢａｔｔａｃｋ）。ＬＳ攻击滞后一个时间段正。，７，在此期间攻击者等待ＴＣＰ发送方从超时重传中恢复过来，发送窗口‰以按慢启动或ＡＩＭＤ算法逐渐增大，当Ｃｗｎｄ增大到与链路为其提供的可用带宽相等时，再发送下一个攻击脉冲，其攻击模型如图３（ｃ）所示。假设漫启动阀值为ｓ，链路可用带宽为Ｃ，往返时延为ｒｔｔ，则‰’＝（１ｂｓ＋Ｃ－ｓ）＊ｒｔｔ。ＦＢ攻击滞后时间段气”，在此时间段内，攻击者等待ＴＣＰ发送方从超时重传中恢复过来，Ｃｗｎｄ不断增大，直至ＴＣＰ发送方所发送的数据包占满整个链路及路由器的整个等待队列。攻击模型如图３（ｄ）所示。假没路由器队列容量为Ｂ，则死，”＝（１ｂ。＋Ｃ－ｓ＋．型坐婆旦—尘）半厅ｔ。这两种攻击的攻击效果
Ｚ
虽然没有Ｓｈｒｅｗ攻击好，但是其攻击效能即每个攻击包所造成的攻击影响要比Ｓｈｒｅｗ攻击的强，因为它们在保证攻击效果减弱并不严重的情况下，拉长了脉冲间隔时间，实际上就是，减少了实现攻击所需的攻击包个数。理论上可以证明，ＦＢ攻击效率＞ＩＳ攻击效率＞Ｓｈｒｅｗ攻击效率【１９１。
２．１．４基于ＡＩＭＤ机制的ＬＤｏＳ攻击
根据ＴＣＰ协议，如果ＴＣＰ发送方进入快恢复，就调用ＡＩＭＤ算法调整拥塞窗口。定义广义Ａ肌ｍ（口，ｂ），ａ＞０，０＜ｂ＜ｌ算法如下：当发送方进入快恢复状态时，拥塞窗口从形减小到ｂｘＷ，然后每隔一个Ｒ刀，拥塞窗口增大ａ，这个过程将一直持续，直到接收到另一个拥塞信号。ＴＣＰＴａｈｏｅ，ＴＣＰＲｅｎｏ等都使用ＡＩＭＤ（１，Ｏ．５）。考虑到许多ＴＣＰ实现时并不是在每收到一个包时就发送一个ＡＣＫ，而是在收到连续ｄ个包时才发送ＡＣＫ。于是广义Ａ埘Ｄ（ｏ，ｂ）的加法增大修改为：每隔ｄ个尺刀，拥塞窗口增大ａ。这个结论可进一步表述为：每隔１个Ｒ玎，拥塞窗口增大车。
ｏ与基于超时重传机制的ＬＤｏＳ攻击不同，基于ＡＩＭＤ机制的ＬＤｏＳ攻击所发出的攻击脉冲强度稍
何炎祥等：低速率拒绝服务攻击研究综述
７
弱，只会引起网络的轻度拥塞，ＴＣＰ发送方所收到的拥塞信号是３个重复的ＡＣＫ包，而不是重传计时器
超时。根据ＡＩＭＤ算法，当ＴＣＰ发送方收到３个重复
的ＡＣＫ后会立即重发此包，将其拥塞窗口ｃｗｎｄ减为
ｂｘｃｗｎｄ（ＭＤ算法），然后再按照和式增算法（ＡＩ）以线
性规律增大窗Ｅｌ。在基于ＡＩＭＤ机制的ＬＤｏＳ攻击
下，链路始终处于ＡＩＭＤ状态下，而不会进入超时重
传或慢启动状态，但是其拥塞窗口是不断减小的，系
统性能逐步下降，最后拥塞窗口减少到一个极限值并
维持在这个极限值左右不变，系统性能达到最差，且无法恢复。
２．１．４．１基于ＡＩＭＤ机制的同步ＬＤｏＳ攻击模璎
这也是一种理想情况下的攻击。定义ｃｗｎｄ。为在第ｉ次攻击脉冲到来前拥塞窗口的大小，则第ｉ次攻击脉冲使得拥塞窗口从ｃｗｎｄｚ降为ｂｘｃｗｎｄ，随后拥
塞窗口根据ＡＩ算法线性增加。当拥塞窗口从ｂｘｃｗｎｄｉ
增加到ｆｘｃｗｎｄｉ（６叮≤１）时发动第ｉ＋１次攻击脉冲。因此，对于同步ＬＤｏＳ攻击来说，其攻击脉冲发送时间与拥塞窗口大小达到前一次攻击脉冲发起时刻窗
１３大小的，（６＜佟１）倍时的时刻完全一致。设拥塞窗
口初始值为ｃｗｎｄｏ，则第ｉ次攻击脉冲发起时刻拥塞窗口满足关系：
，二：ｃｗｎｄ
ｉ
＝１ｃｗｎａ（３）
．＝Ｌｊ，
‘睁ｃｗｎｄ，一ｌ
ｉ＞１
拥塞窗口从ｂｘｃｗｎｄ¨增大到ｆ×ｃｗｎｄＨ需要的时
间为：
．攻击脉冲发出，ＭＤ。３
Ｃｗｎｄ
Ｊ｝?机制触发时商点
户了
一ｓ彝ｃｗｎｄ０１４≥铂ｊ研１’扛号
ｃｗｎｄ＝３ｃ”碱一?膳Ｌ二二二二：二二羔二：二！：！
，
ｋ一无攻击阶段——＊攻击阶段
—（ｆ－ｂ）×ｃｗ—ｎｄｉ＿ｌ×ｄ×尺刀（４）
因此，第ｉ次攻击脉冲的发起时间为：
屯：“＋—（ｆ－ｂ）ｘｃｗ—ｎｄｉ＿１ｘｄ×肿Ｔ
ｉ≥１（５）
由式（３）、（５）可进一步求得：
喊＋告×＿（ｆ－ｂ）ｘｃｗｎｄｏｘｄ×Ｒ刀
（６）
ｉ≥１，ｔｏ为攻击开始时间‘
攻击模型如图４（ａ）所示，由式（３）可得，攻击脉
冲间隔时间逐渐变短，脉冲越来越密集。拥塞窗１３不
断减小最后趋近于其最小取值１，链路陛能达到最差。
２．１．４．２基于ＡＩＭＤ机制的异步ＬＤｏＳ攻击模型同样由于精确的时钟难以控制（ＲｒＩＴＩ’不好估算），
研究者又提出异步式的基于ＡＩＭＤ机制的ＬＤｏＳ攻击，其以固定周期死肿发送脉冲攻击流，攻击模型如
图４（ｂ）所示。
根据前面的推导，异步式攻击拥塞窗口满足如下关系：
ｃ伽啦＝６×ｃ～ｉｌ－Ｉ－ａⅡ×斋２
６Ｍ～喊＋予×菩×器
（７）
拥塞窗口最终收敛于：
ｃ埘崛＝ｌ—ｉｍ。ｃ嘲２南×揣
（８）
由式（８）可知，攻击周期越短，即攻击脉冲越密
集，最终窗口收敛值越小。异步攻击持续一段时间后，
Ｃｗｎｄ
ｃ＂ｎ或
攻击后窗口最后收敛值ｃｗｎｇ
一蕊磊妊‘问点
Ｉ羽孔卜攻击阶段一
●
仰俐…。
ｔｉｍｅ
同定脉冲发送周期瓦肿
（ｂ）基于ＡＩＭＤ的异步攻击
图４两种基于超时重传机制的ＬＤｏＳ攻击的攻击模型
Ｆｉｇ．４
ＴｈｅｔｗｏａｔｔａｃｋｍｏｄｅｌｓｏｆＡｌＭＤ－ｔａｒｇｅｔｅｄＬＤｏＳａｔｔａｃｋｓ
８ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
拥塞窗口值将稳定于某一个极小值周围（约为１），链路性能无法提高。
ＭｉｎａＧｕｉｒｇｕｉｓ和ＡｚｅｒＢｅｓｔａｖｒｏｓ提出的一种ＲｏＱ攻击实例就是基于ＡＩＭＤ机制的异步式攻击的一个例子［３１，攻击者向目标链路发送一定强度的攻击脉冲，引起网络轻度拥塞，使得ＴＣＰ发送端收到一定量的重复ＡＣＫ，在极短的时间内通过ＭＤ机制多次减半其拥塞窗口，使其快速降为ｌ；此时停止发送攻击脉冲，ＴＣＰ发送端因并未发生重传计时器超时的情况，只能通过ＡＩ机制以线性规律慢速地增加其窗口大小，当发送端窗口大小增大到足以填充满可用链路带宽或足以将链路带宽和缓冲区队列全部填充满时，攻击者再次发送攻击脉冲，使之又重新减为１；如此重复，系统性能始终无法提高。
以上均属于理论模型分析，在实际Ｉｎｔｅｒｎｅｔ中，由于ＴＣＰ发送方的拥塞窗口是同时受超时重传和ＡＩＭＤ两种机制控制的，因此实际攻击效果很可能是基于超时重传和基于ＡＩＭＤ两种情况的交替出现，即某一时刻攻击产生超时重传效果，而另一时刻则可能产生ＡＩＭＤ的效果，这取决于攻击强度以及当时网络中的拥塞状况。
２．２针对路由器主动队列管理机制的ＬＤｏＳ攻击
上面提到的针对ＴＣＰ协议拥塞控制机制的ＬＤｏＳ攻击，攻击目标一般是某一受害主机或某一确定的网络链路。而如果将攻击目标定为网络中的一个节点，比如一个路由器，则将会影响到所有通过此网络节点的链路，攻击的影响范围将明显扩大。针对路由器主动队列管理机制的ＬＤｏＳ攻击『３１就是这样一类攻击。
２．２．１路由器主动队列管理机制
主动队列管理（ＡｃｔｉｖｅＱｕｅｕｅＭａｎａｇｅｍｅｎｔ，ＡＱＭ）技术ｆ２０ｌ是ＩＥＴＦ为了解决Ｉｎｔｅｍｅｔ拥塞控制问题而提出的一种路由器缓存管理技术。队列管理主要是在网络发生拥塞时通过丢包来管理队列长度。ＡＱＭ的目的就是将队列长度稳定在一个较小的值，使得最小化数据传输延迟，最大化此路由器的吞吐量。
最早提出的ＡＱＭ算法是随机早检测（ＲａｎｄｏｍＥａｄｙＤｅｔｅｃｔｉｏｎ，ＲＥＤ）算法ｆ２ｌ】，也是目前最常用的一种ＡＱＭ算法。其它算法如ＢＬＵＥＩｚ２ｌ、ＡＲＥＤｔ２３，２４１、ＳＲＥＤ圆等原理与ＲＥＤ基本一致，其自适应特性也大致相同，因此文章仅以ＲＥＤ为例进行讨论。
ＲＥＤ的基本思想是路由器通过监控队列的平均长度来探测拥塞。一旦发现拥塞逼近，就随机地选择源端来通知拥塞，使它们在队列溢出之前降低发送数据速率，以缓解网络拥塞。ＲＥＤ算法主要包括两步，首先计算平均队列长度，然后计算丢弃包的概率。ＲＥＤ计算平均队列长度ａｖｇｑ，采用带权值的方法：
ａｖｇｑ＝（１州ｑ）ｘａｖｇｑ＋ｑｘｗｑ
其中，加ｑ为权值，ｇ为采样测量时实际队列长度。从而“过滤”掉由于Ｉｎｔｅｍｅｔ数据的突发性导致的短期队长变化，尽量反映长期的拥塞变化『２１ｌ。权值加口决定了路由器对输入流量变化的反应程度。计算平均队长的目的就是为了反映拥塞程度并据此来计算丢包概率。ＲＥＤ计算丢弃包概率的算法如下：
Ｐ６（￡）＝
０ａｖｇｑ（ｔ）≤Ｑ。ｉ。
东Ｐ薏‘删明（ｔｈ。
（９）
Ｑｍｉｎ≤倒ｇｇ（￡）≤Ｑ一
１
ａｖｇｑ（ｔ）≥Ｑ一
则＝瓦丽ｐｂ（ｔ）（１０）
其中，ｐ（￡）表示包丢弃概率，平均队列长度倒ｇｑ（ｆ）为瞬时队列长度指数平滑处理（Ｅｘｐｏｎｅｎｔｉａｌｌｙ—Ｗｅｉｇｈｔｅｄ—Ｍｏｖｉｎｇ－Ａｖｅｒａｇｅ，ＥＷＭＡ）后所得值，Ｑ。ｉ。和Ｑ一是队列长度的相关阀值，尸０为最大丢弃概率。由上式可知，包丢弃概率ｐ（￡）不仅和ａ彩ｇｑ（ｔ）有关，而且还和从上一次丢包开始到现在连续进入队列的包的数量ｃｏｕｎｔ有关。随着ｃｏｕｎｔ的增加，下一个包被丢弃的可
何炎祥等：低速率拒绝服务攻击研究综述９
能性也在缓陧增加，主要是为了在到来的包之间均匀问隔地丢包，避免连续丢包，以消除对突发流的偏见和产生全局同步现象。
正常情况下，路由器平均队列长度如图５所示，当链路达到稳定以后，路由器平均队列长度始终在某一固定值（略大于Ｑ血。）左右轻度浮动，如某一时刻ｔ。，网络流量突然增加，队列长度明显增长，则路由器会根据ＲＥＤ算法相应增大其包丢弃概率，因此经过一较短时间（￡，．ｔ，），队列长度又会重新回到稳定状态，由此可见路由器的主动队列管理机制实际上也是一种自适应机制。
越
必
蕨
墨
霜
辨
时间ｔ图５正常情况下ＲＥＤ路由器平均队列长度
Ｆｉｇ．５ＴｈｅａｖｅｒａｇｅｑｕｅｕｅｓｉｚｅｏｆＲＥＤｒｏｕｔｅｒ
ｕｎｄｅｒｎｏｒｍａｌｃｉｒｃｕｍｓｔａｎｃｅ
２．２．２针对ＲＥＤ路由器的ＬＤｏＳ攻击模型
针对ＲＥＤ路由器的ＬＤｏＳ攻击目的就是通过周期性定时地向目标路由器发送攻击脉冲，使系统一直交替地处于过载（ｏｖｅ卜ｌｏａｄ）和欠载（ｕｎｄｅｒ—ｌｏａｄ）的状态，队列长度始终无法稳定，从而严重影响路由器的性能，增长数据传输延迟时间，减小路由器吞吐量。另外，ＲＥＤ机制还会直接影响端系统的数据传输控制，因为端系统的拥塞控制反馈信号全都来自于队列管理睛况（丢包或标记）。所以，当路由器受到攻击时，其会向端系统传输控制机制发送大量噪声反馈信号，端系统会根据这些反馈信号，调整自己的发送速率，而以新的速率发送的包又会导致队列抖动更为严重，有时队列甚至为空，网络链路利用率急剧下降。攻击模型如图６所示，攻击开始时，由于攻击脉冲强度较大，使得所经路由器的平均队列长度迅速增加，且ＴＣＰ合法链路大量包丢失；脉冲过后，由于端系统拥塞控制的作用，合法ＴＣＰ链路都进入超时等待状态，停止发送数据包，且由于ＲＥＤ机制的影响此时丢弃概率会因前一时刻平均队列长度过长而变大，以上两个原因直接导致平均队列长度迅速减小，甚至有时队列会为空；但随着平均队列长度的减小，ＲＥＤ机制会逐渐降低队列的丢弃概率，且ＴＣＰ合法链路也会逐渐从超时重传中恢复过来，一段时间以后平均队列长度又会逐渐增长；当队列长度进入稳定状态（恢复到正常值）后，攻击方又会立即发起下一次攻击脉冲。ＲＥＤ机制控制下，路由器队列恢复时间为一定值，可通过实验测得。因此针对ＲＥＤ的ＬＤｏＳ攻击也是一种定周期攻击方式，其攻击周期为路由器队列恢复时间。
图６针对ＲＥＤ的ＬＤｏＳ攻击模型Ｆｉｇ．６ＲＥＤｒｏｕｔｅｒ－ｔａｒｇｅｔｅｄＬＤｏＳａｔｔａｃｋｍｏｄｅｌ
这种类型的攻击比针对ＴＣＰ超时重传和ＡＩＭＤ机制的攻击影响更为严重，因为前者只是针对单一链路，而后者则会影响所有通过此路由器的链路性能。对于被动队列管理算法，如传统Ｄｒｏｐｔａｉｌ算法，ＬＤｏＳ攻击对其也有一定的影响，但由于其并无自适应特征，所以效果并不是很理想。
上述针对ＴＣＰ拥塞控制机制以及针对路由器主动队列管理机制的ＬＤｏＳ攻击，是目前比较常见的ＬＤｏＳ攻击。除了上述类型的攻击以外，还有许多其他形式的ＬＤｏＳ攻击，如针对终端主机访问控制机制的ＬＤｏＳ攻击『４】、针对应用服务周期性更新机制的ＬＤｏＳ攻击１２６１等。另外，这些已有类型的攻击，还可以通过改
１０Ｊｏｕｒｎａ／ｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
变其攻击周期、攻击脉冲方式或强度，产生新的攻击变种。
３仿真实验与效果分析
为了更加深入地对ＬＤｏＳ攻击进行分析，在ＮＳ２１２７｜平台上对上述几种典型ＬＤｏＳ攻击进行了模拟，并根据实验所得结果，对各种参数对攻击效果的影响进行了分析。
３．１针对ＴＣＰ拥塞控制机制的ＬＤｏＳ攻击第２章讨论了６种针对ＴＣＰ拥塞控制机制的ＬＤｏＳ攻击，其中２种同步攻击只是理想情况下的攻击方式，无法实现，作者对其它２种具有代表性的异步攻击进行了模拟。
实验采用的网络拓扑结构如图７所示，采用ＴＣＰＲｅｎｏ传输合法用户数据，ＵＤＰ传输攻击数据。各链路的传播时延均为１０ｍｓ。ＴＣＰ发送方、ＵＤＰ攻击方和路由器Ａ之间链路带宽为１５Ｍｂ／ｓ，接收方和路由器Ｂ之间的链路带宽为３０Ｍｂ／ｓ，路由器Ａ和路由器Ｂ之间的链路是整个网络的瓶颈，带宽为１．５Ｍｂ／ｓ，路由器缓冲区队列采用ＲＥＤ管理策略。
基于超时重传的异步Ｓｈｒｅｗ攻击实验参数：攻击周期丁为１．４Ｓ，攻击脉冲突发数据率６为１５Ｍｂ／ｓ，脉冲持续时间丁为１００ｍｓ，攻击开始时刻５．１Ｓ，攻击模拟时间２０ｓ。ＴＣＰ发送端的拥塞窗口随时问的变化如图８（ａ）所示。当攻击开始后，ＴＣＰ发送方不断进入等待状态，等待ＲＴＯ时间后，拥塞窗口获得短暂的恢复时间。因为ＴＣＰ协议中ＲＴＯ是根据当前网络的情况动态变化的，所以发送方每次等待的时间并不完全相同，于是拥塞窗口的恢复时间及恢复后的值也并不是完全一致的。但攻击效果基本与理论分析结果图３（ｂ）一致。
为了在ＮＳ２上模拟基于ＡＩＭＤ的异步攻击，在原有的ＴＣＰ协议基础上，对ＴＣＰＲｅｎｏ进行了相应修改。基于ＡＩＭＤ的异步ＬＤｏＳ攻击实验参数：攻击周期丁为０．５ｓ，攻击脉冲突发数据率６为９．８５Ｍｂ／ｓ，脉冲持续时间ｒ为１０ｍｓ，攻击开始时刻８．７Ｓ，攻击模
ｋ一”舭争，。图７针对ＴＣＰ拥塞控制机制的ＬＤｏＳ攻击网络拓扑结构
Ｆｉｇ．７Ｔｈｅｓｉｍｕｌａｔｉｏｎｎｅｔｗｏｒｋ
ｔｏｐｏｌｏｇｙｏｆＴＣＰ－ｔａｒｇｅｔｅｄＬＤｏＳａｔｔａｃｋｓ模拟时间／ｓ模拟时ｆ日３／ｓ
（ａ）基于超时重传的异步ＬＤｏＳ攻击（ｂ）基于ＡＩＭＤ的异步ＬＤｏＳ攻击图８针对ＴＣＰ拥塞控制机制的ＬＤｏＳ攻击对被攻击端拥塞窗口的影响Ｆｉｇ．８ＴｈｅｅｆｆｅｃｔｏｆＴＣＰｃｏｎｇｅｓｔｉｏｎｔａｒｇｅｔｅｄＬＤｏＳａｔｔａｃｋｔｏｖｉｃｔｉｍ’ＳＣｗｎｄ
０～
何炎祥等：低速率拒绝服务攻击研究综述
拟时间１４ｓ。ＴＣＰ发送端的拥塞窗口随时间的变化如图８（ｂ）所示。该图表明，当攻击发起后，拥塞窗口逐渐收敛于一个较小的值，这与理论分析结果图４（ｂ）符合得很好。
下面通过三组实验，从攻击效果Ｄ和攻击效能Ｐ两个方面分别考虑主要攻击参数：攻击周期ｒ、攻击脉冲持续时间丁和攻击脉冲突发数据率６的影响，并对实验结果进行简要分析。攻击效果Ｄ为攻击发生后链路损失的平均有效带宽，攻击效能为攻击效果Ｄ与攻击代价ｃ的比值，其中攻击代价Ｃ为平均攻击数据率８ｘｒｌＴ，显然攻击效能强调的是攻击数据的有效性。
（１）攻击周期ｒ
实验参数：８＝９．８５Ｍｂ／ｓ，ｒ＝１０ｍｓ，Ｔ在０．１ｓ～２．０ｓ
，＾、
｛
．。
窆
≤
懈
靶
水
罪
瀣
摧变化（实验中步长取０．１ｓ）。实验结果如图参所示。
从攻击效果图９（ａ）来看，周期越长，链路损失的带宽就越小，但根据Ｃ－－ＺｘｒｌＴ，攻击代价也会相应减少。从攻击效能图９（ｂ）来看，当攻击周期在１．２ｓ一１．４ｓ时，攻击效能最高，此时的攻击周期ｒ正好在ｌ＋２ＲＴＴ一１＋３ＲＴＴ之间。
（２）攻击脉冲持续时间７－
实验参数：８＝２Ｍｂ／ｓ，扛１ｓ，丁在１０ｍｓ。２００ｍ５变化（实验中取步长为１０ｍｓ）。实验结果如图１０所示。
从攻击效果图ｌＯ（ａ）来看，攻击对链路有效带宽造成的损失随突发数据持续时间增大而增大，但同时攻击代价Ｃ也增加。由图ｌＯ（ｂ）可得当下在６０ｍｓ～８０ｍｓ之内取值时，攻击效能最大，而此值正好约等于Ｒ刀。
攻击周期，ｓ‘攻击周期／ｓ
（ａ）ｒ对攻击效果的影响（ｂ）Ｔ对攻击效能的影响图９攻击周期对攻击效果、效能的影响（针对ＴＣＰ拥塞控制ＬＤｏＳ攻击）
Ｆｉｇ．９ＴｈｅｅｆｆｅｃｔｏｆａｔｔａｃｋｐｅｒｉｏｄＴｔｏａｔｔａｃｋｉｍｐａｃｔａｎｄｅｆｆｉｃｉｅｎｃｙ（ＴＣＰ—ｔａｒｇｅｔｅｄ）三
童
杂
轻
水
疆
藩
裂
突发数据持续时间／ｍｓ突发数据持续时间／ｍｓ（ａ）ｒ对攻击效果的影响（ｂ）＿ｒ对攻击效能的影响图１０攻击脉冲持续时间对攻击效果、效能的影响（针对ＲＥＤ路由器ＬＤｏＳ攻击）
Ｆｉｇ．１０Ｔｈｅｅｆｆｅｃｔｏｆａｔｔａｃｋｄｕｒａｔｉｏｎｒｔｏａｔｔａｃｋｉｍｐａｃｔａｎｄｅｆｆｉｃｉｅｎｃｙ（ＴＣＰ－ｔａｒｇｅｔｅｄ）
１２ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８。２（１）
（３）攻击脉冲突发数据率６
实验参数：，－＝５０ｍｓ，Ｔ＝Ｉ．２Ｓ，６在０．５Ｍｂ／ｓ～１０Ｍｂ／ｓ变化（实验中取步长为Ｏ．５Ｍｂ／ｓｏ实验结果如图１１所示，从攻击效果图１１（ａ）来看，链路损失的有效带宽随突发数据率的增大而增大，但与此同时攻击代价Ｃ也增大。由图１ｌ（ｂ）可知当占在２Ｍｂ／ｓ～３Ｍｂ／ｓ之间取值时，攻击效能最高。此时的数据率略大于网络的瓶颈链路带宽。
从以上这三组实验中，还可以得出一个很重要的结论：基于ＡＩＭＤ和基于超时重传的两类攻击不论是在攻击效果还是在攻击效能上，其对某一攻击参数的敏感程度是基本一致的。从实验结果图可以看出，基于超时重传的攻击效果要略优于基于ＡＩＭＤ的攻击。因为基于超时重传的攻击使被攻击者拥塞窗口降为１，而基于ＡＩＭＤ的攻击只是将其减半，很显然前者引起的链路有效带宽损失要大。但是基于超时重传的攻击必须使网络严重拥塞，而基于ＡＩＭＤ的攻击只需导
ｏ
≥
蓦
≮
椿
靼
水
辎
瀣
裂致网络轻度拥塞即可，因此前者的攻击代价要明显大于后者的攻击代价。综合以上两点，很难明确确定两者攻击效能的优劣关系，但从攻击实验结果来看，基于超时重传的攻击效能要略优于基于ＡＩＭＤ的攻击，这一点应该与８和丁的取值有关。
３．２针对路由器主动队列管理机制的ＬＤｏＳ攻击
第２章讨论了针对路由器主动队列管理机制的ＬＤｏＳ攻击，在ＮＳ２平台下，作者针对采用ＲＥＤ算法的路由器进行了攻击模拟实验。实验环境：瓶颈链路带宽１６Ｍｂ／ｓ，其他链路带宽１００Ｍｂ／ｓ，路由器缓冲区大小２Ｍｂ，ＴＣＰ数据流２９条，攻击数据流ｌ条，链路传输时延平均分布在１５ｍｓ～２５ｍｓ间。路由器平均队列长度的上下门限Ｑ商。、Ｑ一分别为５０、１２０个数据包（１个数据包１ＭＢ），最大丢弃概率ｌ＝０．１。采用的网络拓扑结构如图１２所示。
突发数据率／（Ｍｂ／ｓ）突发数据率／（Ｍｂ／ｓ）（ａ）６对攻击效果的影响（ｂ）６对攻击效能的影响
图１１攻击脉冲突发数据率对攻击效果、效能的影响（针对ＲＥＤ路由器ＬＤｏＳ攻击）
Ｆｉｇ．１１Ｔｈｅｅｆｆｅｃｔｏｆａｔｔａｃｋｐｕｌｓｅｉｎｔｅｎｓｉｔｙ６ｔｏａｔｔａｃｋ
ｉｍｐａｃｔａｎｄｅｆｆｉｃｉｅｎｃｙ（ＴＣＰ－ｔａｒｇｅｔｅｄ）１６Ｍｂ／ｓ号?００Ｍ从
ＡＲｏｕｔｅｒＢ
Ａｔｔａｃｋｅｒ
图１２针对路由器队列管理机制的ＬＤｏＳ攻击网络拓扑结构
Ｆｉｇ．１２Ｔｈｅｎｅｔｗｏｒｋｔｏｐｏｌｏｇｙｏｆｒｏｕｔｅｒｑｕｅｕｅｍａｎａｇｅｍｅｎｔ—ｔａｒｇｅｔｅｄＬＤｏＳａｔｔａｃｋｓ
函一
何炎祥等：低速率拒绝服务攻击研究综述
１３
攻击实验参数：攻击脉冲强度８＝１５Ｍｂ／ｓ，脉冲持
续时间＇－－－－０．３３３
Ｓ
Ｔ攻击周期Ｔ＝４ＳＴ攻击开始时亥，１３０ｓ，
攻击持续时间为４０ｓ。路由器平均队列长度随时间的变化如图１３所示，当攻击开始后，队列长度始终处于过长和过短交替状态，队列抖动较大，无法进入稳定状态，攻击效果基本与理论分析结果一致。
时间／ｓ
图１３针对路由器队列管理机制的ＬＤｏＳ攻击对
被攻击端ＲＥＤ路由器队列长度的影响
Ｆｉｇ．１３
ＴｈｅｅｆｆｅｃｔｏｆＲＥＤｒｏｕｔｅｒ－ｔａｒｇｅｔｅｄＬＤｏＳａｔｔａｃｋｓｔｏｖｉｃｔｉｍ’ｓ
Ｑｕｅｕｅ
ｌｅｎｇｔｈ
同样，通过三组实验分别对影响攻击效果Ｄ和攻击效能Ｐ的参数：攻击脉冲强度６、脉冲长度ｒ和’攻击周期ｒ进行分析。因针对路由器队列管理机制的ＬＤｏＳ攻击的目的是让路由器队列长度始终处于强抖动状态，从而降低其性能，故将攻击效果Ｄ定为攻击前后队列抖动的比值。攻击效能Ｐ仍为攻击效
果Ｄ与攻击代价Ｃ的比值，Ｃ－－－ＳｘＴ＂／Ｔ。
（１）攻击周期ｒ
实验参数：固定８＝１５
Ｍｂ／ｓ，，，－－－０．３３３
Ｓ
Ｔ选取Ｔ－－１
ｓ，
／＇－－２Ｓ，Ｔ＝３Ｓ，Ｔ＝４Ｓ，Ｔ＝４．５Ｓ，Ｔ＝５ｓ，Ｔ＝５．５ｓ，Ｔ＝６Ｓ，阽６．５ｓ，Ｔ＝７ｓ，Ｔ＝７．５ｓ，Ｔ＝８ｓ，Ｔ＝８．５ｓ，Ｔ＝９ｓ，Ｔ＝１０Ｓ，贴
１１
ｓ，扛１２．５
Ｓ，Ｔ＝１４
Ｓ，强１５Ｓ。实验所得攻击效果随ｒ
的变化情况如图１４（ａ），由图可知，当ｒ在４ｓ～６
ｓ间
取值时，攻击效果较好，当Ｔ－－４Ｓ时，攻击效果达到最佳。通过实验测得路由器队列在ＲＥＤ机制控制下，由不稳定状态恢复到稳定状态所用时间约为４．５Ｓ。可见针对ＲＥＤ的ＲｏＱ攻击的周期近似等于平均队列长度恢复所需的时间，此点与理论分析一致。这主要是因为，若攻击周期过长，则队列长度在下次攻击开
始前已经Ｉ炙复到正常值，每两次攻击间，路由器有一
段时间是处于稳定状态的，因此攻击效果变差。若攻击周期过短，则丢弃概率一直很高，队列长度一直处于较短状态，抖动不明显，因此攻击效果变差。由图１４（ｂ）可知，随着攻击周期的增长攻击效能呈明显递增趋势，这主要是由攻击代价６ｘｒ／Ｔ减小程度大于攻击效果降低程度所导致的。
（２）攻击脉冲持续时间ｒ实验参数：固定Ｔ＝４
ｓ，６＝１５
Ｍｂ／ｓ，取Ｉ－－－－０．１
ｓ、
０．３３３ｓ，０．５Ｓ、０．７Ｓ、０．９Ｓ、１．１ｓ、１．５ｓ，２
Ｓ。攻击效果随ｒ
的变化情况如图１５（ａ），随着脉冲持续时间的不断增
ｌ２
３４
５６
７
８９１０ｌｌ１２１３１４１５
ｌ２
３４
５６
７８
９ｌＯｌｌ１２１３１４１５
攻击周期／ｓ攻击周期，ｓ
（ａ）Ｔ对攻击效果的影响
（ｂ）Ｔ对攻击效能的影响
图１４攻击周期对攻击效果、效能的影响（针对ＲＥＤ路由器ＬＤｏＳ攻击）
Ｆｉｇ．１４
Ｔｈｅｅｆｆｅｃｔ
ｏｆａｔｔａｃｋｐｅｒｉｏｄＴｔｏ
ａｔｔａｃｋｉｍｐａｃｔａｎｄｅｆｆｉｃｉｅｎｃｙ（ＲＥＤ－ｔａｒｇｅｔｅｄ）
８７６５４
３
２ｌＯ
温赣相督
１４
ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
长，攻击效果肯定越来越好，但攻击代价也越来越高。
由图１５（ｂ）可得，当丁约为０．３３３Ｓ时，攻击效能达到
最好，而此值正与本实验中尺玎相近。这是因为，正
常情况下，ＴＣＰ发送端每隔一个Ｒ玎大约发送一个窗口的数据，若脉冲长度小于尺刀，则有的ＴＣＰ数据流可能正好避开了攻击脉冲，从而没有受影响。若脉冲长度大于尺刀，则平均队列长度将一直维持比较大
的值，抖动相比脉冲长度等于Ｒ玎时要小。
（３）攻击脉冲突发数据率６实验参数：固定Ｔ＝４
Ｓ，ｒ＝Ｏ．３３３
Ｓ，取６＝５
Ｍｂ／ｓ、
１０Ｍｂ／ｓ，１５Ｍｂ／ｓｌ２０Ｍｂ／ｓ、３０Ｍｂ／ｓ、４０Ｍｂ／ｓ，５０Ｍｂ／ｓ，６０Ｍｂ／ｓ、７０Ｍｂ／ｓ、８０Ｍｂ／ｓ、９０
Ｍｂ／ｓ。攻击效果和攻击
效能随６的变化情况如图１６，其变化规律与图１６中丁对攻击效果和攻击效能的影响相似。实验中，当占
取值约为１５Ｍｂ／ｓ时，攻击效能最高。
通过以上三组实验得出的攻击参数最优取值，可能与具体的实验环境有关，但是仍可以得出一个重要结论：对于针对路由器队列管理机制的ＬＤｏＳ攻击，当攻击周期丁取值约等于路由器队列恢复所需时间、攻击脉冲ｒ取值约等于一个Ｒ刀时间、攻击脉冲强度６在不同环境中取值不同但存在一取值时，使得攻击效能达到最佳。
４ＬＤｏＳ攻击的防范
４．１
ＬＤｏＳ攻击所存在的防范难点
传统ＤｏＳ攻击的防范一直是一个非常棘手的问
题１２ｓ，２９１，目前仍未得到很好的解决。而与传统ＤｏＳ攻击相比，ＬＤｏＳ攻击的防范更加困难，其不仅具有传统
Ｏ．０Ｏ．２０．４０．６０．８１．Ｏ１．２１．４１．６１．８２．００．００．２０．４０．６０．８１．０１．２１．４１．６１．８２．０
脉冲持续时间／ｓ
脉冲持续时ｆ日ｑ／ｓ
（ａ）ｒ对攻击效果的影响
（ｂ）ｒ对攻击效能的影响
图１５脉冲持续时间对攻击效果、效能的影响（针对ＲＥＤ路由器ＬＤｏＳ攻击）
Ｆｉｇ．１５
Ｔｈｅｅｆｆｅｃｔｏｆａｔｔａｃｋｄｕｒａｔｉｏｎ
ｒｔｏａｔｔａｃｋ
ｉｍｐａｃｔａｎｄｅｆｆｉｃｉｅｎｃｙ（ＲＥＤ—ｔａｒｇｅｔｅｄ）
突发数据率／（Ｍｂ／ｓ）突发数据率／（Ｍｂ／ｓ）
（ａ）６对攻击效果的影响
（ｂ）６对攻击效能的影响
图１６脉冲突发数据率对攻击效果、效能的影响（针对ＲＥＤ路由器ＬＤｏＳ攻击）
Ｆｉｇ．１６
Ｔｈｅｅｆｆｅｃｔｏｆａｔｔａｃｋｐｕｌｓｅ
ｉｎｔｅｎｓｉｔｙ艿ｔｏ
ａｔｔａｃｋｉｍｐａｃｔａｎｄ
ｅｆｆｉｃｉｅｎｃｙ（ＲＥＤ－ｔａｒｇｅｔｅｄ）
９８７６５
４
３２１
眯蓑佃督
何炎祥等：低速率拒绝服务攻击研究综述１５
ＤｏＳ所存在问题，而且还存在如下一些难点：
（１）因ＬＤｏＳ攻击源端大部分时间内都保持沉默，只是周期性在短时间间隔内发送攻击流，平均速率较低，很难将其与正常数据流区别开来；
（２）攻击所导致的系统不稳定现象与正常隋况下的系统状态转换并无很大区别，除非攻击持续很长时间以后，发现系统不稳定现象一直没有消除，才可能引起检测机制的怀疑；
（３）如果攻击目标为网络中某一路由器，则攻击数据包的源地址和目的地址都可不同，只需要它们在传输过程中都经过攻击目标即可，因此传统的以源地址、目的地址作为攻击包识别主要特征的方法［３０ｌ在此就毫无用处了；即使通过其它方法识别出了所有攻击包，但由于包中的目的地址、源地址均可能是非法或无效地址，因此也很难推算出具体的攻击目标。
另外，攻击者还可能采用分布式方式来实施攻击，形成分布式低速率拒绝服务攻击（ＤｉｓｔｒｉｂｕｔｅｄＬＤｏＳ，ＤＬＤｏＳ），即由多个攻击源端同时或分时地发送数据流，最后在攻击目的端才汇聚成完整的攻击流，这样来自每个源端的攻击流特征将更加不明显，甚至与正常数据流毫无差别，将攻击检测和防范工作难度进一步加深。
４．２现有的ＬＤｏＳ攻击防范方法
自ＬＤｏＳ攻击提出以来，研究者们根据此类攻击原理提出了许多不同的攻击方式，对于其检测和过滤防范方法也做了一些研究，但是由于针对ＬＤｏＳ攻击的研究仍处于起步阶段，目前尚未提出较为有效的防御方案。而且，就目前提出的方法来说，大都是专门针对某一种具体方式的ＬＤｏＳ攻击，其中基于超时重传异步的Ｓｈｒｅｗ攻击提出最早，因此大部分均为针对此种攻击所提出的，对于ＬＤｏＳ这一大类攻击的整体防范方案仍有待进一步研究。文中对已提出的ＬＤｏＳ防范方法做了简单的分析和归类。
目前防范方法主要从两个角度出发，一类是对具体协议进行修改，除去其所存在的安全漏洞。但许多协议都是广泛实现和应用的，如果对其进行修改，可能会影响大多数用户的利益，因此并不实用。另一类从攻击特征的角度对ＬＤｏＳ攻击流进行检测和过滤的方法也被提出，以求对ＬＤｏＳ攻击进行防范且不会涉及对合法用户程序的大规模修改。
４．２．１基于协议的ＬＤｏＳ攻击防范方法
此类方法最具代表性的就是针对Ｓｈｒｅｗ攻击的随机化ｍｉｎＲＴＯ方法。Ｓｈｒｅｗ攻击所利用的一个关键漏洞就是端系统最小超时等待时间ｍｉｎＲＴＯ存在一致性，正是ｍｉｎＲＴＯ一般取值均为ｌｓ，才使得链路状态恢复过程具有固定的周期性特征。Ｋｕｚｍａｎｏｖｉｃ在２００３年提出Ｓｈｒｅｗ攻击的同时，就提出了随机化端系统的最小超时等待时间ｍｉｎＲＴＯ的取值来破坏超时重传的周期性规律习，使得攻击者无法准确预测ＴＣＰ端下一次发送数据的时间，也就无法在准确的时刻发送攻击数据流，从而缓解ＬＤｏＳ攻击的影响。Ｇ．Ｙａｎｇ再次提出此观点【３１】，并通过实验对其进行了进一步验证。然而，虽然随机化ｍｉｎＲＴＯ对Ｓｈｒｅｗ攻击有一定的缓解效果，但其会在没有ＬＤｏＳ攻击的时候降低ＴＣＰ的性能，且其只能对Ｓｈｒｅｗ攻击进行防范，而无法确定攻击流是否存在。另外，攻击者可能针对这种防范方法改变其攻击策略，例如下一次攻击流发送时间也按同样的方法随机化生成。
４．２．２基于攻击流特征检测的ＬＤｏＳ攻击防范方法此类方法又可粗略分为基于脉冲高速率特征的检测方法、基于攻击流时域特征的检测方法以及基于攻击流频域特征的检测方法三类。
（１）基于脉冲高速率特征的检测防范方法
虽然ＬＤｏＳ攻击平均速率较低，但是其在攻击数据流发送的短暂问期内攻击流速率仍然比较高。因此可根据攻击流周期性高脉冲的特征对其进行检测。Ｋｕｚｍａｎｏｖｉｃ提出可通过路由器ＡＱＭ机制（如ＲＥＤ—ｐＤｆ３２１等）对高速率流的包丢弃作用来过滤Ｓｈｒｅｗ攻击
１６ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
流闭。ＳａｎｄｅｅｐＳａｒａｔ和ＡｎｄｒｅａｓＴｅｒｚｉｓ提出通过控制路由器队列缓冲区的大小并使用合适的ＡＱＭ技术，即可避免ＬＤｏＳ攻击１∞１。但实验证实，目前所用ＡＱＭ机制只对持续时间较长的高速率流有过滤作用，对于ＬＤｏＳ这类持续时间较短的高速率流来说作用并不明显，如更改ＡＱＭ机制使其对持续时间较短的高速率流也起到过滤作用，则可能导致大量合法ＴＣＰ数据流一并被识别成非法数据流一起过滤掉。Ｙ．Ｋ．Ｋｗｏｋ提出了一种新的路由器队列管理方法ＨＡＷＫｆ３４１，其在传统ＡＱＭ算法的基础上又加入了一种数据流检测算法，主要基于ＬＤｏＳ脉冲速率强度、持续时间和发送周期等特征，对到来的数据流分别对其短时间间隔内峰值速率以及长时间间隔峰值速率超过所没门限值的次数进行检测，如果符合设定攻击特征，则丢弃此数据流的所有数据包。这种方法的优点是容易实现，但是其误报率较高，且需要一定的存储空间来存放攻击流特征信息。
（２）基于时域特征的检测防范方法
从攻击数据流的周期性特征的角度，就数据流进行采样分析，如果其与设定的攻击特征相符，则识别为攻击流。ＨａｂｉｎＳｕｎ提出通过对数据流进行取样和特征提取，使用在语音识别中常用的动态时间环绕方法（ＤｙｎａｍｉｃＴｉｍｅＷａｒｐｉｎｇ，ＤＴＷ）将数据与样本进行匹配，当攻击流被识别出来以后则采用差额循环算法（ＤｅｆｉｃｉｔＲｏｕｎｄＲｏｂｉｎ，ＤＲＲ），进行带宽分配和资源保护，从而消除ＬＤｏＳ攻击流的影响门。另外他们还提出一种回溯算法来减小检测防范机制对合法ＴＣＰ流性能的影响。这套方案的优点在于其对攻击的识别率高、误报率低，不仅能检测到“标准”的ＬＤｏＳ攻击，对于周期、脉冲长度发生变化以及分布式的ＬＤｏＳ攻击也能进行检测，而且其回溯算法，使得在检测到ＬＤｏＳ攻击后，能逐步向上游路由器推进，尽可能接近攻击源，以尽量减少受影响的ＴＣＰ流。但仍然存在效率以及对性能影响等问题，且其中所采用的ＤＲＲ算法并没实现对ＬＤｏＳ攻击流的过滤作用。
（３）基于频域特征的检测防范方法
由于ＬＤｏＳ攻击低平均速率以及背景数据流的影响，时域特征检测方法对其效果都欠佳。因此研究者们又提出频域特征检测方法。ＹｕＣｈｅｎ提出了—种基于光谱分析的协同检测过滤（ＣｏｌｌａｂｏｒａｔｉｖｅＤｅｔｅｃｔｉｏｎａｎｄＦｉｌｔｅｒｉｎｇ，ＣＤＦ）算法【３５Ｉ，将路由器的包到达速率作为时域采样序列，对其进行预处理，尽量放大攻击流与正常流在频谱上的区别，然后进行傅立叶变换得到频域序列，对得到的频域序列进行频谱分析，将其与预先通过学习生成的攻击频谱特征模板库进行匹配，从而判定是否存在ＬＤｏＳ攻击。这种算法检测准确率较高，且对于软、硬件实现都比较合适，但存在一定的误报率，在对付伪造ＩＰ地址的攻击中，存储开销较大，有可能导致溢出错误。ＷｅｉＷｅｉ也提出了相似的频谱特征检测方法［３６１。另外，ＹｕＣｈｅｎ还提出了一种协同检测方法［３５１，通过在固定范围内，路由器问相互传播检测信息来实现协同防范。ＸｉａｐｕＬｕｏ提出了一种基于小波分析的检测方法四，将时域和频域特征结合起来，对攻击数据流进行准确描述，采用基于异常的检测方法实现高精度的检测。这种方法不仅可以检测出Ｓｈｒｅｗ攻击等常规ＬＤｏＳ攻击，而且还可以对变周期的ＬＤｏＳ攻击和传统洪泛式ＤｏＳ攻击进行检测。
以上这些检测及防范方法对防御ＬＤｏＳ攻击都有一定作用，但仍存在一系列的问题有待解决，如：如何提高检测方法的准确率和执行效率，实现在网络海量数据上进行实时分析；检测到ＬＤｏＳ攻击以后如何做到及时响应，减轻攻击对合法数据传送效率的影响；对于实际检测系统来说，则要求其满足应用环境的可适应性、自身的安全性和可靠性，且对网络和系统的性能影响较小。
５总结与展望
ＬＤｏＳ攻击的威胁及应对技术研究将成为网络安
何炎祥等：低速率拒绝服务攻击研究综述１７
全领域另一个重要的研究课题与难点。其研究目前还相当不成熟，首先掌握这种攻击的方法尚存在着一些技术难题，比如如何精确确定攻击的时间，对于ＤＬＤｏＳ如何同步其攻击数据流，使其在特定的时间在特定的路由器汇集，以形成脉冲攻击流。其次，由于ＬＤｏＳ和ＤＤｏＳ的攻击原理不一样，不能完全套用传统的ＤＤｏＳ检测和保护机制来检测与防范ＬＤｏＳ，需要在了解ＬＤｏＳ攻击的基础上使用针对性更强的方法解决ＬＤｏＳ的检测和防范问题。再者，与传统ＤｏＳ一样，ＬＤｏＳ最佳防范方法应采用分布式体系结构，然而不论是在传统的ＤｏＳ防范上，还是在ＬＤｏＳ防范中，分布式的方法存在着诸多困难，如在异构网络环境下消息的传递方式，知识的共享与理解，检测点的部署问题，防范系统本身的安全性和鲁棒性等，这些都是需要进行广泛研究的问题。最后，各种检测与防范机制都需要设置众多的参数，目前很多方法使用人工的方法进行设置，如何使用自适应的方法使之参数达到最优化，也是有待研究的问题。
文章详细讨论了低速率拒绝服务攻击的原理，对目前所提出的各种方式的ＬＤｏＳ攻击进行了分类描述、建模分析以及仿真模拟实验验证，分析了ＬＤｏＳ防范所存在的难点，对已提出的ＬＤｏＳ防范方法做了简单的分类总结，以期为今后此类攻击检测防范研究工作提供参考。
Ｒｅｆｅｒｅｎｃｅｓ：
【１】ＷｉｌｌｉａｍｓＭ．Ｅｂａｙ．Ａｍａｚｏｎ．Ｂｕｙ．ｃｏｒｎｈｉｔｂｙａｔｔａｃｋｓ［ＥＢ／ＯＬ］．ＮｅｔｗｏｒｋＷｏｒｌｄ２００１．ｈｔｔｐ：／／ｗｗｗ．ｎｗｆｕｓｉｏｎ．ｃｏｍ／ｎｅｗｓ／２０００／０２０９ａｔｔａｃｋ．ｈｔｍｌ．
【２】２ＫｕｚｍａｎｏｖｉｃＡ，ＫｎｉｇｈｔｌｙＥＷ．Ｌｏｗ－－ｒａｔｅＴＣＰ－ｔａｒｇｅｔｅｄｄｅｎｉａｌｏｆｓｅｒｖｉｃｅａｔｔａｃｋｓ［Ｃ］／／ＰｒｏｃｅｅｄｉｎｇｓｏｆＡＣＭＳＩＧＣＯＭＭ２００３，Ｋａｄｓｒｕｈｅ，Ｇｅｒｍａｎｙ，２００３：７５－８６．
【３】３ＧｕｉｒｇｕｉｓＭ，ＢｅｓｔａｖｒｏｓＡ，ＭａｔｔａＬＥｘｐｌｏｉｔｉｎｇｔｈｅｔｒａｎｓｉｅｎｔｓｏｆａｄａｐｔａｔｉｏｎｆｏｒｎｏＱａｔｔａｃｋｓｏｎＩｎｔｅｒｎｅｔｒｅｓｏｕｒｃｅｓ［Ｃ］／／ＩＣＮＰ２００４，Ｂｅｒｌｉｎ，Ｇｅｒｍａｎｙ，２００４：１８４－１９５．［４】ＧｕｉｒｇｕｉｓＭ．ＲｅｄｕｃｔｉｏｎｏｆＱｕａｌｉｔｙ（ＲｏＱ）砒ｔａｃｋｓｏｎＩｎｔｅｒｎｅｔｅｎｄ—ｓｙｓｔｅｍｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ２４ｔｈＩＥＥＥＩＮＦＯＣＯＭ，Ｍｉａｍｉ，Ｆｌｏｒｉｄａ，２００５．
【５】ＬｕｏＸ，ＣｈａｎｇＲ．ＯｎａｎｅｗｃｌａｓｓｏｆｐｕｌｓｉｎｇｄｅｎｉＭ－ｏｆ－ｓｅｒｖｉｃｅａｔｔａｃｋｓａｎｄｔｈｅｄｅｆｅｎｓｅ［Ｃ］／／ＰｒｏｅｅｅｄｉｎｇｓｏｆＮｅｔｗｏｒｋａｎｄＤｉｓｔｒｉｂｕｔｅｄＳｙｓｔｅｍＳｅｃｕｒｉｔｙＳｙｍｐｏｓｉｕｍ（ＮＤＳＳ’０５），ＳａｎＤｉｅｇｏ，ＣＡ，２００５．
［６】ＱａｙｙｕｍＡ，ＩｓｌａｍＭＨ，ＪａｍｉｌＭ．Ｔａｘｏｎｏｍｙｏｆｓｔａｔｉｓｔｉｃａｌｂａｓｅｄａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎｔｅｃｈｎｉｑｕｅｓｆｏｒｉｎｔｒｕｓｉｏｎｄｅｔｅｃ—ｔｉｏｎ［Ｃ］／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅＩＥＥＥＳｙｍｐｏｓｉｕｍｏｎＥｍｅｒｇｉｎｇＴｅｃｈｎｏｌｏｇｉｅｓ，２００５．
【７】７ＤｅｌｉｏＭ．Ｎｅｗｂｒｅｅｄｏｆａｔｔａｃｋｚｏｍｂｉｅｓｌｕｒｋ［ＨＥＢ／ＯＬ］．［２００５１．ｈｔｔｐ：Ｉｌｗｗｗ．ｗｉｒｅｄ．ｃｏｍ／ｎｅｗｓ／ｔｅｃｈｎｏｌｏｇｙ／０１２８２４３６９７００．ｈｔｍｌ．【８】８ＫａｎｈｅｒｅＳＳ，ＮａｖｅｅｄＡ．Ａｎｏｖｅｌｔｕｎｅａｂｌｅｌｏｗ－ｉｎｔｅｎｓｉｔｙａｄｖｅｒｓａｒｉａｌａｔｔａｃｋ［Ｃ］／／ｔｈｅＩＥＥＥＣｏｎｆｅｒｅｎｃｅｏｎＬｏｃａｌＣｏｒｎ—ｐｕｔｅｒＮｅｔｗｏｒｋｓ，２００５．
【９】ＧｕｉｒｇｕｉｓＭ，ＢｅｓｔａｖｒｏｓＡ，ＭａｔｔａＩ．ＢａｎｄｗｉｄｔｈｓｔｅａｌｉｎｇｖｉａｌｉｎｋｔａｒｇｅｔｅｄＲｏＱａｔｔａｃｋｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ２ｒｉｄＩ－ＡＳｌ’ＥＤＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｍｕｎｉｃａｔｉｏｎａｎｄＣｏｍｐｕｔｅｒＮｅｔｗｏｒｋｓ（ＣＣＮ’０４），Ｃａｍｂｒｉｄｇｅ，Ｍａｓｓａｃｈｕｓｅｔｔｓ，２００４．
【１０】ＳｕｎＨ，ＬｕｉＪ，ＹａｕＤ．Ｄｅｆｅｎｄｉｎｇａｇａｉｎｓｔｌｏｗ－ｒａｔｅＴＣＰａｔｔａｃｋｓ：ｄｙｎａｍｉｃｄｅｔｅｃｔｉｏｎａｎｄｐｒｏｔｅｃｔｉｏｎ［Ｃ］／／ＰｒｏｃｅｅｄｉｎｇｓｏｆＩＣＮＰ’０４：ｔｈｅ１２ｔｈＩＥＥＥＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＮｅｔｗｏｒｋＰｒｏｔｏｃｏｌｓ，Ｂｅｒｌｉｎ，Ｇｅｒｍａｎｙ，２００４．
【１１】ＳｕｎＨ，ＬｕｉＪＣＳ，ＹａｕＤＫＹ．Ｄｉｓｔｒｉｂｕｔｅｄｍｅｃｈａｎｉｓｍｉｎｄｅｔｅｃｔｉｎｇａｎｄｄｅｆｅｎｄｉｎｇａｇａｉｎｓｔｔｈｅｌｏｗ－ｒａｔｅＴＣＰａｔ－ｔａｃｋ［Ｊ］．ＣｏｍｐｕｔｅｒＮｅｔｗｏｒｋｓ，２００６，５０（１３）：２３１２—２３３０．【１２】ＴｈｏｍｐｓｏｎＫ，ＭｉｌｌｅｒＧＪ，ＷｉｌｄｅｒＲ．Ｗｉｄｅ—ａｒｅａＩｎｔｅｒｎｅｔｔｒａｆｆｉｃｐａｔｔｅｒｎｓａｎｄｃｈａｒａｃｔｅｒｉｓｔｉｃｓ［Ｊ］．ＩＥＥＥＮｅｔｗｏｒｋ，１９９７，１１（６）：１０—２３．
［１３】ＣｈｉｕＤＭ，ＪａｉｎＲ．Ａｎａｌｙｓｉｓｏｆｔｈｅｉｎｃｒｅａｓｅａｎｄｄｅ－ｃｒｅａｓｅａｌｇｏｒｉｔｈｍｓｆｏｒｃｏｎｇｅｓｔｉｏｎａｖｏｉｄａｎｃｅｉｎｃｏｍｐｕｔｅｒｎｅｔｗｏｒｋｓ［Ｊ］．ＣｏｍｐｕｔｅｒＮｅｔｗｏｒｋｓａｎｄＩＳＤＮＳｙｓｔｅｍｓ，１９８９，
１７（１）：ｌ一１４．
【１４】ＪａｃｏｂｓｏｎＶ．ＲＣＦ１１４４ＣｏｍｐｒｅｓｓｉｎｇＴＣＰ／ＩＰＨｅａｄｅｒｓｆｏｒｌｏｗ－ｓｐｅｅｄｓｅｒｉａｌｌｉｎｋｓ［Ｓ］．ＩｎｔｅｒｎｅｔＥｎｇｉｎｅｅｒｉｎｇＴａｓｋＦｏｒｃｅ（ＩＥＴＦ），１９９０．
１８ＪｏｕｒｎａｌｏｆＦｒｏｎｔｉｅｒｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ计算机科学与探索２００８，２（１）
【１５】ＰａｘｓｏｎＶ，ＡｌｌｍａｎＭ．ＩｎｔｅｒｎｅｔＲＦＣ２９８８ＣｏｍｐｕｔｉｎｇＴＣＰ’Ｓｒｅｔｒａｎｓｍｉｓｓｉｏｎｔｉｍｅｒ［Ｓ］．２０００．
【１６］ＪａｃｏｂｓｏｎＶ．Ｃｏｎｇｅｓｔｉｏｎａｖｏｉｄａｎｃｅａｎｄｃｏｎｔｒｏｌ［Ｊ］．ＡＣＭＣｏｍｐｕｔｅｒＣｍｍＲｅｖｉｅｗ，１９８８，１８（４）：３１４－３２７．
［１７】ＫａｒｎＰ，ＰａａｒｉｄｇｅＣ．Ｉｍｐｒｏｖｉｎｇｒｏｕｎｄ－ｔｒｉｐｔｉｍｅｅｓｔｉ－ｍａｔｅｓｉｎｒｅｌｉａｂｌｅｔｒａｎｓｐｏｒｔｐｒｏｔｏｃｏｌｓ［Ｊ］．ＣｏｍｐｕｔｅｒＣｏｍ－
ｍｕｎｉｃａｔｉｏｎＲｅｖｉｅｗ。１９９５，２５（１）：６６．７４．
［１８】ＡｌｌｍａｎＭ，ＰａｘｓｏｎＶ．Ｏｎｅｓｔｉｍａｔｉｎｇｅｎｄ－ｔｏ－ｅｎｄｎｅｔｗｏｒｋｐａｔｈｐｒｏｐｅｒｔｉｅｓ｛Ｊ］．ＣｏｍｐｕｔｅｒＣｏｍｍｕｎｉｃａｔｉｏｎＲｅｖｉｅｗ，１９９９，
２９（４）：２６３—２７４．
【１９】ＧｕｉｒｇｕｉｓＭ，ＢｅｓｔａｖｒｏｓＡ，ＭａｔｔａＩ．Ｏｎｔｈｅｉｍｐａｃｔｏｆｌｏｗ－ｒａｔｅａｔｔａｃｋｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ４１ｓｔＩＥＥＥＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｍｕｎｉｃａｔｉｏｎｓ（ＩＣＣ’０６）。２００６．
【２０】ＢｒａｄｅｎＢ，ＣｌａｒｋＤ．ＩＥＴＦＲＦＣ２３０９ＲｅｃｏｍｍｅｎｄａｔｉｏｎｓｏｎｑｕｅｕｅｍａｎａｇｅｍｅｎｔａｎｄｃｏｎｇｅｓｔｉｏｎａｖｏｉｄａｎｃｅｉｎｔｈｅＩｎ－ｔｅｍｅｔ［Ｓ］．１９９８．
［２１】ＦｌｏｙｄＳ，ＪａｃｏｂｓｏｎＶ．Ｒａｎｄｏｍｅａｄｙｄｅｔｅｃｔｉｏｎｇａｔｅｗａｙｓｆｏｒｃｏｎｇｅｓｔｉｏｎａｖｏｉｄａｎｃｅ［Ｊ］．ＩＥＥＥ／ＡＣＭＴｒａｎｓａｃｔｉｏｎｓｏｎＮｅｔｗｏｒｋｉｎｇ，１９９３，１（４）：３９７－－４１３．
【２２］ＦｅｎｇＷ．ＢＬＵＥ：ａｎｅｗｃｔａｓｓｏｆａｃｔｉｖｅｑｕｅｕｅｍａｎａｇｅｍｅｎｔａｌｇｏｒｉｔｈｍｓ，ＣＳＥ２ＴＲ２３８７２９９［Ｒ／ＯＬ］．ＵＭｉｃｈｉｇａｎ．【１９９９］．
ｈｔｔｐ：／／ｗｗｗ．ｅｅｃｓ．ｕｍｉｃｈ．ｅｄｕ／ｗｕｃｈａｎｇ／ｂｌｕｅ／．
【２３】ＦｅｎｇＷ．Ｔｅｃｈｎｉｑｕｅｓｆｏｒｅｌｉｍｉｎａｔｉｎｇｐａｃｋｅｔｌｏｓｓｉｎｃｏｎ－ｇｅｓｔｅｄＴＣＰ／ＩＰｎｅｔｗｏｒｋｓ，ＣＳＥ２ＴＲ３４９－９７［Ｒ］．ＵＳ：Ｕｎｉ－
ｖｅｒｓｉｔｙｏｆＭｉｃｈｉｇａｎ，１９９７．
［２４】ＦｅｎｇＷＣ，ＫａｎｄｌｕｒＤＤ，ＳａｈａＤ．Ａｓｅｌｆ－ｃｏｎｆｉｇｕｒｉｎｇＲＥＤｇａｔｅｗａｙ［Ｃ］／／ＩＮＦＯＣＯＭ’９９，ＰｒｏｃｅｅｄｉｎｇｓｏｆＥｉｇｈｔｅｅｎｔｈＡｎｎｕａｌＪｏｉｎｔＣｏｎｆｅｒｅｎｃｅｏｆｔｈｅＩＥＥＥＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎｓＳｏｃｉｅｔｉｅｓ，ＩＥＥＥ，１９９９．
［２５】ＬａｋｓｈｍａｎＴＶ，ＷｏｎｇＬＨ．ＳＲＥＤ：ｓｔａｂｉｌｉｚｅｄＲＥＤ［Ｃ］／／ＰｒｏｃｅｅｄｉｎｇｏｆＩＥＥＥＩＮＦＯＣＯＭ．Ａｍｓｔｅｒｄａｍ：ＥｌｓｅｖｉｅｒＰｒｅｓｓ，
１９９９．
【２６】ＣｈａｎＭＣ．Ｅｆｆｅｃｔｏｆｍａｌｉｃｉｏｕｓｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ［Ｃ］／／ｔｈｅ４ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙＧｅｔ－ｍａｎｙ，２００６．［２７１ＭｃＣａｎｎｅＳ，ＦｌｏｙｄＳ．ｎｓ—ＬＢＮＬｎｅｔｗｏｒｋｓｉｍｕｌａｔｏｒ［ＥＢ／ＯＬ】．【１９９６１．ｈｔｔｐ：／／ｗｗｗ－ｎｒｇ．ｅｅ．１ｂ１．ｇｏｖ／ｎｓ／．
【２８】ＳｐｅｃｈｔＳ，ＬｅｅＲ．Ｄｉｓｔｒｉｂｕｔｅｄｄｅｎｉａｌｏｆｓｅｒｖｉｃｅ：ｔａｘｏ—ｎｏｍｉｅｓｏｆａｔｔａｃｋｓ【Ｃ］／／ＴｏｏｌｓａｎｄＣｏｕｎｔｅｒｍｅａｓｕｒｅｓ．Ｐｒｏ－ｃｅｅｄｉｎｇｏｆ２００４ＰＤＣＳ，ＳａｎＦｒａｎｃｉｓｃｏ，２００４．
［２９】ＣｈａｎｇＲＫＣ．Ｄｅｆｅｎｄｉｎｇａｇａｉｎｓｔｆｌｏｏｄｉｎｇ－ｂａｓｅｄｄｉｓ—ｔｒｉｂｕｔｅｄｄｅｎｉａｌ—ｏｆ—ｓｅｒｖｉｃｅａｔｔａｃｋｓ：ａｔｕｔｏｒｉａｌ［Ｊ］．ＩＥＥＥＣｏｍｍｕｎｉｃａｔｉｏｎｓＭａｇａｚｉｎｅ，２００２，４０（１０）：４２－５１．
【３０】ＳｔｏｎｅｌＲ．Ｃｅｎｔｅｒｔｒａｃｋ：ａｎＩＰｏｖｅｒｌａｙｎｅｔｗｏｒｋｆｏｒｔｒａｃｋ—ｉｎｇＤｏＳｆｌｏｏｄｓ［Ｃ］／／Ｔｈｅ９ｔｈＵＳＥＮＩＸＳｅｃｕｒｉｔｙＳｙｍｐｏｓｉｕｍ，２０００．
［３１】ＹａｎｇＧ，ＧｅｒｌａＭ，ＳａｎａｄｉｄｉＭＹ．Ｄｅｆｅｎｓｅａｇａｉｎｓｔｌｏｗ－ｒａｔｅＴＣＰ－ｔａｒｇｅｔｅｄｄｅｎｉａｌ－ｏｆ－ｓｅｒｖｉｃｅａｔｔａｃｋｓ［Ｃ］／／Ａｌｅｘａｎｄｒｉａ，Ｅｇｙｐｔ：ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｉｃａｌａｎｄＥｌｅｃｔｒｏｎｉｃｓＥｎｇｉｎｅｅｒｓＩｎｃ，Ｐｉｓｅａｔａｗａｙ，ＮＪ０８８５５－１３３１，ＵｎｉｔｅｄＳｔａｔｅｓ，２００４．［３２】ＭａｈａｊａｎＲ，ＦｌｏｙｄＳ，ＷｅｔｈｅｒａｌｌＤ．Ｃｏｎｔｒｏｌｌｉｎｇｈｉｓｈ—ｂａｎｄｗｉｄｔｈｆｌｏｗｓａｔｔｈｅｃｏｎｇｅｓｔｅｄｒｏｕｔｅｒ［Ｍ］．Ｒｉｖｅｒｓｉｄｅ，ＣＡ：ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｉｃａｌａｎｄＥｌｅｃｔｒｏｎｉｃｓＥｎｇｉｎｅｅｒｓＣｏｍｐｕｔｅｒＳｏｃｉｅｔｙ，２００１．
［３３】ＳａｒａｔＳ，ＴｅｒｚｉｓＡ．Ｏｎｔｈｅｅｆｆｅｃｔｏｆｒｏｕｔｅｒｂｕｆｆｅｒｓｉｚｅｓｏｎｌｏｗ—ｒａｔｅｄｅｎｉａｌｏｆｓｅｒｖｉｃｅａｔｔａｃｋｓ［Ｃ］／／ＳａｎＤｉｅｇｏ，ＣＡ，ＵｎｉｔｅｄＳｔａｔｅｓ：ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｉｃａｌａｎｄＥｌｅｃｔｒｏｎｉｃｓＥｎ—ｇｉｎｅｅｒｓＩｎｃ，Ｐｉｓｃａｔａｗａｙ，ＮＪ０８８５５—１３３１，ＵｎｉｔｅｄＳｔａｔｅｓ，２００５．
［３４】ＫｗｏｋＹＫ．ＨＡＷＫ：Ｈａｌｔｉｎｇａｎｏｍａｌｉｅｓｗｉｔｈｗｅｉｇｈｔｅｄｃｈｏｋｉｎｇｔｏｒｅｓｃｕｅｗｅｌｌ－ｂｅｈａｖｅｄＴＣＰｓｅｓｓｉｏｎｓｆｒｏｍｓｈｒｅｗＤＤｏＳａｔｔａｃｋｓ【Ｃ】，，Ｚｈａｎ百ｉａｊｉｅ，Ｃｈｉｎａ．ＳｐｒｉｎｇｅｒＶｅｄａｇ，
Ｈｅｉｄｅｌｂｅｒｇ，Ｄ－６９１２１，Ｇｅｒｍａｎｙ，２００５．
【３５】ＣｈｅｎＹ，ＨｗａｎｇＫ．ＣｏｌｌａｂｏｒａｔｉｖｅｄｅｔｅｃｔｉｏｎａｎｄｆｉｌｔｅｒｉｎｇｏｆｓｈｒｅｗＤＤｏＳａｔｔａｃｋｓｕｓｉｎｇｓｐｅｃｔｒａｌａｎａｌｙｓｉｓ［Ｊ］．ＪｏｕｒｎａｌｏｆＰａｒａｌｌｅｌａｎｄＤｉｓｔｒｉｂｕｔｅｄＣｏｍｐｕｔｉｎｇ，２００６，６６（９）：１１３７－１１５１．
［３６】ＷｅｉＷ．Ａｎｏｖｅｌｍｅｃｈａｎｉｓｍｔｏｄｅｆｅｎｄａｇａｉｎｓｔｌｏｗ－ｒａｔｅｄｅｎｉａｌ－ｏｆ－ｓｅｒｖｉｃｅａｔｔａｃｋｓ［Ｃ］／／ＵｎｉｔｅｄＳｔａｔｅｓ：ＳｐｒｉｎｇｅｒＶｅ卜ｌａｇ，Ｈｅｉｄｅｌｂｅｒｇ，Ｇｅｒｍａｎｙ，２００６，３９７５．
何炎祥等：低速率拒绝黢务攻击研究综述
１９
何炎祥（１９５２－），粥，教授，博士生导师，研究方向为分布并行处理、信息安全等。
ＨＥ
Ｙａｎｘｉａｎｇ
ｗａｓ
ｂｏｒｎｉｎ１９５２?Ｈｅｉｓ
ａ
ｐｒｏｆｅｓｓｏｒａｎｄｄｏｃｔｏｒａｌｓｕｐｅｒｖｉｓｏｒ
ａｔ
ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒ，Ｗｕｈａｎ
Ｕｎｉｖｅｒｓｉｔｙ。Ｈｉｓｍａｉｎ
ｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅｄｉｓｔｒｉｂｕｔｅｄｐａｒａｌｌｅｌｐｒｏｃｅｓｓａｎｄｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙ．ｅ￡ｅ．
裁隧（１９８４－），女，褥±研究玺，主要研究方离为网络与信息安全、入侵检测等。
ＬＩＵ
Ｔａｏ
ｗａｓ
ｂｏｍ
ｉｎ１９８４，Ｓｈｅｉｓ
ａ
Ｐｈ．Ｄ．ｃａｎｄｉｄａｔｅａｔ
ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒ，ＷｕｈａｎＵｎｉｖｅｒｓｉｔｙ．Ｈｅｒ
ｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅｎｅｔｗｏｒｋａｎｄｉｎｆｏｒｍａｔｉｏｎ
ｓｅｃｕｒｉｔｙ，ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ。ｅｔｃ。
营援（１９８５一），隽，颈圭聚究玺，主要藓究方淘隽褒终安全、久疆硷溺等。
ＣＡＯ
ＱｉａｎｇＷａｓ
ｂｏｒｎｉｎ１９８５．Ｈｅｉｓ
ａ
ｍａｓｔｅｒｃａｎｄｉｄａｔｅ
ａｔ
ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒ，ＷｕｈａｎＵｎｉｖｅｒｓｉｔｙ．Ｈｉｓ
ｒｅｓｅａｒｃｈ
ｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅｎｅｔｗｏｒｋ
ｓｅｃｕｒｉｔｙａｎｄｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ，ｅｔｃ．
熊琦（１９８３一），男，博士研究生，主要研究方向为网络与信息安全、网络可生存性等。
ＸＩＯＮＧＱｉ
ｗａｓ
ｂｏｒｎｉｎ１９８３。Ｈｅｉｓ
ａ
Ｐｈ．Ｄ．ｃａｎｄｉｄａｔｅａｔＳｃｈｏｏｌｏｆ
Ｃｏｍｐｕｔｅｒ，ＷｕｈａｎＵｎｉｖｅｒｓｉｔｙ．Ｈｉｓ
ｒｅｓｅａｒｃｈ
ｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅｎｅｔｗｏｒｋａｎｄ
ｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙ，ｎｅｔｗｏｒｋ
ｒｅｌｉａｂｉｌｉｔｙ，ｅｔｅ，
韩奕（１９８５一），男，硕士研究生，主要研究方向为网络安众、入侵检测等。
ＨＡＮ
Ｙｉ
ｗａｓ
ｂｏｒｎ
ｉｎ
１９８５。Ｈｅ
ｉｓ
ａ
ｍａｓｔｅｒｃａｎｄｉｄａｔｅａｔＳｃｈｏｏｌ
ｏｆＣｏｍｐｕｔｅｒ。ＷｕｈａｎＵｎｉｖｅｒｓｉｔｙ．Ｈｉｓ
ｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙａｎｄｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ，ｅｔｃ．
低速率拒绝服务攻击研究综述
作者：何炎祥， 刘陶， 曹强， 熊琦， 韩奕
作者单位：何炎祥(武汉大学,计算机学院,武汉,430079;武汉大学,软件工程国家重点实验室,武汉430079)， 刘陶,曹强,熊琦,韩奕(武汉大学,计算机学院,武汉,430079)
刊名：
计算机科学与探索
英文刊名：JOURNAL OF FRONTIERS OF COMPUTER SCIENCE & TECHNOLOGY
年，卷(期)：2008，2(1)
被引用次数：1次
参考文献(36条)
1.Williams M.Ebay https://www.wendangku.net/doc/637477615.html, hit by attacks 2001
2.Kuzmanovic A.Knightly E W Low-rate TCP-targeted denial of service attacks 2003
3.Guirguis M.Bestavros A.Matta L Exploiting the transients of adaptation for RoQ attacks on Internet resources 2004
4.Guirguis M Reduction of Quality (RoQ) attacks on Internet end-systems 2005
5.Luo X.Chang R On a new class of pulsing denial-of-service attacks and the defense 2005
6.Qayyum A.Islam M H.Jamil M Taxonomy of statistical based anomaly detection techniques for
intrusion detection 2005
7.Delio M New breed of attack zombies lurk
8.Kanhere S S.Naveed A A novel tuneable low-intensity adversarial attack 2005
9.Guirguis M.Bestavros A.Matta I Bandwidth stealing via link targeted RoQ attacks 2004
10.Sun H.Lui J.Yau D Defending against low-rate TCP attacks:dynamic detection and protection 2004
11.Sun H.Lui J C S.Yau D K Y Distributed mechanism in detecting and defending against the low-rate TCP attack 2006(13)
12.Thompson https://www.wendangku.net/doc/637477615.html,ler G J.Wilder R Wide-area Internet traffic patterns and characteristics 1997(06)
13.Chiu D M.Jain R Analysis of the increase and decrease algorithms for congestion avoidance in computer networks 1989(01)
14.Jacobson V Compressing TCP/IP Headers for low-speed serial links 1990
15.Paxson V.Allman M Internet RFC 2988 Computing TCP's retransmission timer 2000
16.Jacobson V Congestion avoidance and control 1988(04)
17.Karn P.Partridge C Improving round-trip time estimates in reliable transport protocols 1995(01)
18.Allman M.Paxson V On estimating end-to-end network path properties 1999(04)
19.Guirguis M.Bestavros A.Matta I On the impact of lowrate attacks 2006
20.Braden B.Clark D Recommendations on queue management and congestion avoidance in the Internet 1998
21.Floyd S.Jacobson V Random early detection gateways for congestion avoidance 1993(04)
22.Feng W BLUE:a new class of active queue management algorithms,CSE2TR2387299
23.Feng W Techniques for eliminating packet loss in congested TCP/IP networks[CSE2TR349-97] 1997
24.Feng W C.Kandlur D D.Saha D A self-configuring RED gateway 1999
https://www.wendangku.net/doc/637477615.html,kshman T V.Wong L H SRED:stabilized RED 1999