防SYNFLOOD狀態(tài)防火墻模型的研究.pdf

1、由于TCP/IP協(xié)議本身不足以保障計(jì)算機(jī)網(wǎng)絡(luò)信息安全,因此在網(wǎng)絡(luò)工程實(shí)踐中普遍采用附加措施,進(jìn)而達(dá)到一定程度上的自我保護(hù)。防火墻是目前重要且關(guān)鍵的技術(shù)之一。DOS和DDOS攻擊是大型網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)器的安全威脅之一,作為DOS/DDOS攻擊的典型,SYN FLOOD利用TCP/IP協(xié)議的漏洞,在短時(shí)間內(nèi)發(fā)送大量的SYN數(shù)據(jù)包。如果匹配防火墻規(guī)則,防火墻就會(huì)建立狀態(tài)表跟蹤這些鏈接。大量此類通信將造成狀態(tài)防火墻的狀態(tài)表溢出,使得防火墻無法響應(yīng)

2、合法請(qǐng)求,從而導(dǎo)致整個(gè)網(wǎng)絡(luò)的系統(tǒng)性能下降。傳統(tǒng)的解決方案通常只能保護(hù)主機(jī)的安全,并不能確保防火墻不受侵害。本文深入研究和分析了目前能夠防御SYN FLOOD攻擊的狀態(tài)防火墻模型。并在此基礎(chǔ)上,結(jié)合這些模型的優(yōu)點(diǎn),設(shè)計(jì)并實(shí)現(xiàn)了采用哈希查詢和預(yù)處理方式的HAS(Hash-Adaptive threshold-Stateful inspection)防御SYN FLOOD狀態(tài)防火墻模型。此模型具有較好的有效性、實(shí)時(shí)性、自身安全性和通信穩(wěn)定性。

3、首先,本文介紹了課題研究背景,總結(jié)了防御DOS攻擊的必要性。同時(shí),針對(duì)DOS的典型攻擊手段SYN FLOOD,概述國外防御SYN FLOOD攻擊的狀態(tài)防火墻模型的研究現(xiàn)狀。此外,還分析了狀態(tài)防火墻的工作流程和工作機(jī)制,闡述SYN FLOOD的攻擊原理,其中,著重探討了Check Point公司防御SYN FLOOD攻擊的狀態(tài)防火墻模型。這些為HAS防御SYN FLOOD狀態(tài)防火墻模型的設(shè)計(jì)和實(shí)現(xiàn)打下了堅(jiān)實(shí)的理論基礎(chǔ)。其次,本文從功能角度

4、詳細(xì)描述了HAS模型各模塊的設(shè)計(jì)、具體實(shí)現(xiàn)過程和方法,包括具體算法、模塊架構(gòu)、規(guī)則設(shè)定、內(nèi)核修改及所用的Linux狀態(tài)檢測功能等,還附加了主要模塊具體實(shí)現(xiàn)代碼。其中模塊的實(shí)現(xiàn)是基于Linux 2.6內(nèi)核自帶的Netfilter/ Iptables防火墻構(gòu)架。HAS模型主要包括預(yù)處理模塊、狀態(tài)信息管理模塊和狀態(tài)檢測模塊。預(yù)處理模塊作為處理數(shù)據(jù)的第一道屏障,利用自適應(yīng)閾值算法來檢測是否存在SYN FLOOD攻擊和擬定相應(yīng)的響應(yīng)策略。針對(duì)自適

5、應(yīng)閾值算法在低強(qiáng)度攻擊下誤報(bào)率高的問題提出了一個(gè)簡單的改進(jìn)機(jī)制,確保了模型在高強(qiáng)度攻擊下的有效性。如果存在攻擊,狀態(tài)信息管理模型根據(jù)接收到的控制信息添加阻斷規(guī)則以實(shí)現(xiàn)動(dòng)態(tài)響應(yīng)。優(yōu)化防火墻的數(shù)據(jù)包處理流程,使用哈希查詢的方式來加快規(guī)則查詢的速度。在實(shí)現(xiàn)方面,本文利用Iptables對(duì)防火墻規(guī)則進(jìn)行了動(dòng)態(tài)的配置與管理。通過模塊編程向Netfilter相應(yīng)的鉤子點(diǎn)注冊(cè)模塊處理函數(shù),實(shí)現(xiàn)預(yù)處理模塊功能,并修改內(nèi)核源代碼以實(shí)現(xiàn)對(duì)防火墻處理數(shù)據(jù)流程