维普资讯 http://www.cqvip.com 第３０卷第６期 ２００８年６月 电子与信息学报 Ｖ０１．３０Ｎｏ．６ Ｊｕｎ．２００８ Ｊｏｕｒｎａｌ ｏｆ Ｅｌｅｃｔｒｏｎｉｃｓ＆Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ 频域过滤ＤｏＳ攻击方法的研究 吴志军 张东 ３００３００） （中国民航大学通信工程系 天津摘要：拒绝服务ＤｏＳ（ＤｅｎｉＭ ｏｆ Ｓｅｒｖｉｃｅ）攻击已逐渐成为全世界网络最严重的威胁之一。其攻击方式主要通过连 续发送大量的数据包，耗尽网络资源，造成连接阻塞。该文采用数字信号处理的方法对ＤｏＳ攻击进行分析，并针 对其因发送大量数据而具有较大能量的特点，设计参数ＦＩＲ滤波器来滤除频谱中含有攻击流量的频率分量，提高 ＬＡＲ（Ｌｅｇｉｔｉｍａｔｅ ｔｒａｆｉｆｃ ｔｏ Ａｔｔａｃｋｅｄ ｔｒａｆｉｃ ｆＲａｔｉｏ），以便有更多的网络资源为用户提供正常的服务。 关键词：拒绝服务攻击；谱分析；离散傅里叶变换：滤波器 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ 文章编号：１００９—５８９６（２００８）０６—１４９３—０３ Ｔｈｅ Ａｐｐｒｏａｃｈ ｏｆ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ ＤｏＳ Ａｔｔａｃｋ ｉｎ Ｆｒｅｑｕｅｎｃｙ Ｄｏｍａｉｎ Ｗｕ Ｚｈｉ．．Ｊｕｎ Ｚｈａｎｇ Ｄｏｎｇ （Ｄｅｐａｒｔｍｅｎｔ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｃｉｖｉｌ Ａｖｉａｔｉｏｎ Ｕｎｉｖｅｒｓｉｔｙ Ｃｈｉｎａ，Ｔｉａｎｊｉｎ ３００３００，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）ａｔｔａｃｋｓ ｈａｖｅ ｂｅｃｏｍｅ ｏｎｅ ｏｆ ｔｈｅ ｍｏｓｔ ｓｅｖｅｒｅ ｓｅｃｕｒｉｔｙ ｔｈｒｅａｔｓ ｔｏ ｔｈｅ ｇｌｏｂａｌ Ｉｎｔｅｒｎｅｔ ｉｎｃｒｅａｓｉｎｇｌｙ．Ｉｔ ｍａｋｅｓ ｔｈｅ ｒｅｓｏｕｒｃｅｓ ｏｆ Ｉｎｔｅｒｎｅｔ ｕｓｅｄ ｕｐ ａｎｄ ｉｎｃｕｒｓ ｃｏｎｇｅｓｔｉｏｎ ｂｙ ｓｅｎｄｉｎｇ ａ ｌａｒｇｅ ｎｕｍｂｅｒ ｏｆ ｐａｃｋａｇｅｓ ｃｏｎｓｔａｎｔｌｙ．Ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ｕｓｉｎｇ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｉｎｇ ｍｅｔｈｏｄ ｔｏ ａｎａｌｙｚｅ ＤｏＳ ａｔｔａｃｋｓ．Ｂｅｃａｕｓｅ ｏｆ ｓｅｎｄｉｎｇ ｍａｓｓ ｐａｃｋａｇｅｓ，ｉｔ ｍｕｓｔ ｈａｖｅ ｍｕｃｈ ｍｏｒｅ ｐｏｗｅｒ．Ｆｏｒ ｔｈｉｓ，ｔｈｅ ＦＩＲ ｆｉｌｔｅｒ ｉｓ ｄｅｓｉｇｎｅｄ ｔｏ ｆｉｌｔｅｒｉｎｇ ｔｈｅ ｉｌｌｅｇｉｔｉｍａｔｅ ｆｒｅｑｕｅｎｃｉｅｓ ｉｎ￣ｅｑｕｅｎｃｙ ｄｏｍａｉｎ ａｎｄ ｔｈｅ ＬＡＲ（Ｌｅｇｉｔｉｍａｔｅ ｔｒａｆｉｆｃ ｔｏ Ａｔｔｃｋｅｄ ａｔｒａｆｉｃｆ Ｒａｔｉｏ）ｉｓ ｉｍｐｒｏｖｅｄ． Ｔｈｅｎ ｍｕｃｈ ｍｏｒｅ ｒｅｓｏｕｒｃｅｓ ａｎｄ ｓｅｒｖｉｃｅ ｃａｎ ｂｅ ｓｕｐｐｌｉｅｄ ｆｏｒ ｔｈｅ ｕｓｅｒｓ． Ｋｅｙ ｗｏｒｄｓ：ＤｏＳ ａｔｔａｃｋ；Ｓｐｅｃｔｒａｌ ａｎａｌｙｓｉｓ；ＤＦＴ；Ｆｉｌｔｅｒ １前言 近些年ＤｏＳ（ＤｅｎｉＭ ｏｆ Ｓｅｒｖｉｃｅ）攻击已成为网络安全的 最严重的威胁。这是因为这种攻击往往很难防范，容易引起 大量的服务中断，因而使得合法用户的服务请求被拒绝。尽 管ＤｏＳ攻击可以利用像服务器溢出的这种软件因素的弱点， 但通常还是通过连续的发送大量的数据包来消耗那些提供 趋势，而且也已经取得了很多的成果，如利用ＴＣＰ流周期 性特点检测网络异常［１－４】、针对低速率ＤｏＳ攻击的协作异常 检测和防御方法【 】以积极于小波分析方法检测攻击【２】等 等。其中，文献【５】提出的方法是从数据流的角度为出发点， 将到达路由器的数据包与黑、白名单相比对后决定处理对策 的防御方法。而本文提出的方法是经过频谱分析，使用功率 服务的有限资源来实现攻击。这些有限的资源包括带宽、服 务器ＣＰｕ的处理能力、存储器等等。 一谱密度ＰＳＤ（Ｐｏｗｅｒ Ｓｐｅｃｔｒａｌ Ｄｅｎｓｉｔｙ）展现正常流量与攻击 流量能量上的差别，在频域直接利用参数ＦＩＲ滤波器进行过 滤，滤除包含攻击流量的频率分量，达到降低攻击流的能量 效果。 般防御ＤｏＳ攻击的方法是在尽可能的接近攻击源的 地方检测发现并且攻击流量，这样可以减轻攻击的损害 程度。然而，攻击者可以通过控制流量大小以躲避流量检测 措施。 ２频域分析及滤波原理 对到达路由器的ＴＣＰ和ＵＤＰ数据包按照５ｍｓ的问隔 由于ＤｏＳ攻击是在一段时间内连续的发送大量的数据， 因此其能量要远大于正常流量的能量。基于此点特征，本文 抽样，得到一个离散的时间序列ｘ（ｎ）。根据Ｎｙｑｕｉｓｔ采样定 理，可以得到其幅频特性。在这个过程中，取样也起到了低 探索了一种新的方法：利用频谱分析和滤波器对含有ＤｏＳ 攻击的数据流进行过滤，降低链路中的数据流量，同时提高 通滤波器的作用，消除了高频噪声。数据包的到达数目可以 按照如下随机过程模型来表示：｛ｚ（ ），ｔ＝ｎＡ，ｎ∈Ⅳ）。其中 △是一个常数，代表采样周期，在实验中是５ｍｓ。Ｎ是全部 ＬＡＲ（Ｌｅｇｉｔｉｍａｔｅ ｔｒａｆｉｆｃ ｔｏ Ａｔｔａｃｋｅｄ ｔｒａｆｉｃｆ ａｔＲｉｏ）。 目前，数字信号处理方法处理网络异常逐步成为热点和 ２００６－１０－３０收到，２００７—１０－１７改回 的取样点数。 ）是一个随机变量，表示在（ｔ—Ａ，ｔ）间隔内 到达路由器的数据包的数目。利用离散傅里叶变换ＤＦＴ ｆＤｉｓｃｒｅｔｅ Ｆｏｕｒｉｅｒ Ｔｒａｎｓｆｏｒｍ）将时域序列转换到频域： １ Ｎ－１ 国家自然科学基金委员会与中国民用航空总局联合资助项目 （６０７７６８０８），国家空管委项目（ＧＫＧ２００７０２０２０）和中国民航大学科技 启动基金（２００６年）资助课题 ＤＦＴ（ｘ（ｎ）， ）＝寺∑ｚ（礼）ｅ ，Ⅳ， ＝０，１，…，Ⅳ一１（１） 维普资讯 http://www.cqvip.com 电子与信息学报 第３Ｏ卷 经过ＤＦＴ变换，就可以从另外一个角度来观察分析序列的 此，有理由相信进行滤波，滤除攻击的频率分量，就可以减 特性。 ＴＣＰ流中数据包的数目具有守恒的原则，具体表现在其 周期性上，即：在网络的任意节点上出现一个ＴＣＰ流的数据 包，经过ＲＴＴ（Ｒｏｕｎｄ Ｔｒｉｐ Ｔｉｍｅ）时间间隔，在此节点还将 出现一个属于相同ＴＣＰ流的数据包…１。为了把此特征具体化， 可以使用自相关函数，如下式： （．ｒ，ｔ）＝Ｅ［ｘ（ｔ）ｘ（ｔ＋．ｒ）】 （２） 然而在实际中，使用功率谱密度ＰＳＤ观察周期性更为直 接、有效。ＰＳＤ函数实际上就是序列自相关函数的ＤＦＴ变换： （，）＝∑ 一。。 （七）ｅ （３） 由于目前缺乏对随机过程完整的数学描述，本文方法使 用ＰＳＤ估计代替真实的ＰＳＤ。在本实验中使用的Ｙｕｌｅ－Ｗａｌｋｅｒ 现代谱估计方法，方便地克服了像Ｗｅｌｃｈ方法这种经典估计 算法的谱分辨率低的缺点。 然后比较正常流量和带有攻击流量的能量分布，用ＦＩＲ 数字滤波器滤除掉的包含攻击的频率分量。所谓数字滤波 器，就是用有限精度算法实现的离散时间线性非时变系统。 ＦＩＲ数字滤波器的设计问题就是要所设计的ＦＩＲ数字滤波器 的频率响应日（ｅ扣１去逼近所要求的理想滤波器的响应 巩（ ）。从单位取样响应序列来看，就是使所设计滤波器 的ｈ（ｎ）逼近理想单位取样响应序列 （ｎ）。本实验中采用窗 函数法设计ＦＩＲ滤波器，也叫傅里叶级数法 ３实验方法及结果分析 在本文实验中，使用一台计算机产生单个的ＴＣＰ流持 续发送数据包至预先设置好的目标。在此期间，取其中两段 固定时间同时使用另一台计算机作为攻击源，连续地向目标 发送一个包含大量数据包的ＵＤＰ流。在目标计算机将收到 的数据包以５ｍｓ为间隔作抽样统计，产生时域序列，如图１ 所示。 采样点数（Ｘ１０ 个） ＵＤＰ攻击 ３０ 饕２０ 高１０ Ｏ 采样点数（ｘ１０ 个） 图１正常ＴＣＰ和包含ＵＤＰ攻击的统计流量对比 将得到的序列作ＤＦＴ变换到频域，经过谱估计，统计 序列的ＰＳＤ如图２所示，可以看到包含ＵＤＰ攻击的流能量 要明显高于正常的ＴＣＰ流能量，特别是在［０，１】区域内。据 轻ＤｏＳ攻击。 图３是利用窗函数法所设计的ＦＩＲ滤波器的幅频特性， 滤波器只允许所需要的频率分量，亦即是正常流量所包含的 频率分量通过。经过滤波后，在图４中将流量滤除前后的频 谱作比较，显而易见，滤波后包含ＵＤＰ攻击频率成分得到 了很好的抑制，大部分正常ＴＣＰ流不包含的频率分量，几 乎被全部滤除，允许通过的都是正常流量合理的频率分量。 而在ｒ０，ｌＯ］频段中，由于设计的滤波器过渡带性能的原因， 因此未能过滤完全，还残留有小部分攻击流量的频率分量。 换个角度，再从时域对过滤效果作更为直观的检验。观察图 ５，在两个ＵＤＰ攻击的时间段里，ＵＤＰ攻击数据包数目有 了很大改善，与未经过滤前相比，数量大幅下降，这样便降 低了链路中异常流量，有更多的资源为合理流量提供服务。 鉴于本文方法的出发点为能量差异，使用能量比值作为 评价指标较为直观。将单个ＴＣＰ流作为正常流量，将单纯 Ｏ・７ 蕃３０ ｊ——Ｄ Ａｌ ……＋……÷－－－・Ｄａｔａ２ ｒｉｉ…ｊ… … ｒ— ｔ～ ２０ ・ ：： ０ ５ 毒…｝ ０＿｝…卜扣０． １０ 蠹 。 篓－ｌ０ ０ １ 嚣 蜃 ０．３ 粤 ０ １ ； ２ ３ ０ ０．２ ０．４ ０．６ ０．８ １ 频率（Ｈｚ） 归一化频率 图２正常ＴＣＰ和包含 图３ＦＩＲ滤波器特性曲线 ＵＤＰ攻击的流量ＰＳＤ对比 频率（Ｈｚ） 频率（Ｈｚ） （ａ）过滤前频域 （ｂ）过滤后频域 图４过滤前后的频谱对比 过滤前 籁２０ 赢１０ 面 ０ ０ ４ ０ ８ １．２ １．６ ２ 采样点数（ｘｌＯ 个） 过滤后 鼎２０ 鬲１Ｏ 皿 ０ ０．４ ０．８ １．２ １．６ ２ 采样点数（ｘ１０４个） 图５时域中含ＵＤＰ攻击流量过滤前后的比较 维普资讯 http://www.cqvip.com
第６期 吴志军等：频域过滤ＤｏＳ攻击方法的研究 １４９５ 的ＵＤＰ流作为攻击流量，分别计算两者能量，再求比值， 即ＬＡＲ，如表１所示。结果显示，过滤前后ＬＡＲ提高大约 １０ｄＢ左右，说明ＦＩＲ数字滤波器的过滤对于ＤｏＳ攻击能够 破，尝试其他的设计方法考虑降低运算量，减小滤波器过渡 带和阶数，来提高其性能。同时，将实验进一步复杂化，增 加多ＴＣＰ流，并加入背景流量作为噪声。最终目标是设计 空问滤波器组应用于真实的网络环境。 起到明显减轻的作用，使得链路保持通畅，为用户提供正常 的服务。 表１过滤前后的效果对比（单位：ｄＢ） 在文献【２１中，针对ＤＤｏＳ攻击主要采用的是黑、白名单 比对法。而本文所提出的是使用滤波器。由实验结果显示， 黑、白名单比对法的检测准确度概率为８２．６％，本文方法采 用ＬＡＲ作为技术指标，抑制了攻击数据流的能量，相对而 言即是提高正常数据流的能量，过滤前后提高了将近１０ｄＢ。 在前者方法中，若想要通过降低判决门限来提高正常流量的 通过率，有一定的困难，因为降低门限后误判率会随之增加， 使更多攻击流量被当作正常流量而通过，这是一对矛盾因 素。相比之后，后者改进提高的机会更大，滤波器性能越好， 滤除的攻击频率成分越彻底，攻击与正常流量的能量差距就 越大。就两种方法的思路而言，后者的思想要比前者简单， 在发现了含有攻击的多余能量后，直接地滤除其频率成分， 同时也节省了前者的名单存储开销和进行对照比较的时间。 所需要考虑多一些的是在滤波器的设计与过滤方面上。在实 际中，对于ＤＦＴ变换、谱分析和滤波器的设计均可以采用 ＤＳＰ来实现，设计出的模块设备，这样可以大大发挥硬 件的优势，提高了处理速度，节约了时间，从而降低路由器 或者目标终端检测和防御网络异常的负担。 ４结束语 本文提出在频域使用滤波器的方法来防御ＤｏＳ攻击，思 路简单，利用ＤＳＰ处理速度快的特点，节约时间，并具有 明显降低攻击能量的作用，保证链路的通畅。同时本文利用 现有的实验环境加以验证，对于将来能够使用滤波技术解决 ＤｏＳ攻击提供了一个新的思路，做了探索和铺垫。 在接下来的工作中，要在ＦＩＲ滤波器的设计上寻求突 参考文献 ［１］ Ｃｈｅｎｇ Ｃｈｅｎ—Ｍｏｕ，Ｋｕｎｇ Ｈ，ａｎｄ Ｔａｎ Ｋｏａｎ—Ｓｉｎ．Ｕｓｅ ｏｆ ｓｐｅｃｔｒａｌ ａｎａｌｙｓｉｓ ｉｎ ｄｅｆｅｎｓｅ ａｇａｉｎｓｔ ＤｏＳ ａｔｔａｃｋｓ．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＩＥＥＥ ＧＬＯＢＥＣＯＭ，Ｔａｌｐｅｉ，Ｃｈｉｎａ，２００２：２１４３—２１４８． ［２］ ＢａｒｆｏｒｄＰ，Ｋｌｉｎｅ Ｊ，ＰｌｏｎｋａＤ，ａｎｄＲｏｎＡ．Ａ ｓｉｇｎａｌ ａｎａｌｙｓｉｓ ｏｆ ｎｅｔｗｏｒｋ ｔｒａｆｉｆｃ ａｎｏｍａｌｉｅｓ．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＡＣＭ ＳＩＧＣＯＭＭ Ｉｎｔｅｒｎｅｔ Ｍｅａｓｕｒｅｍｅｎｔ Ｗｏｒｋｓｈｏｐ，Ｍａｒｓｅｉｌｌｅｓ，Ｆｒａｎｃｅ，２００２： ７１—８２． ［３］ Ｆｅｒｇｕｓｏｎ Ｐ ｎａｄ Ｓｅｎｉｅ Ｄ．Ｎｅｔｗｏｒｋ ｉｎｇｒｅｓｓ ｉｆｌｔｅｒｉｎｇ：Ｄｅｆｅａｔｉｎｇ ｄｅｎｉａｌ ｏｆ ｓｅｒｖｉｃｅ ａｔｔａｃｋｓ ｗｈｉｃｈ ｅｍｐｌｏｙ ＩＰ ｓｏｕｒｃｅ ａｄｄｒｅｓｓ ｓｐｏｏｆｉｎｇ．ＲＦＣ ２８２７，Ｍａｙ ２０００． ［４］ Ｂａｒｆｏｒｄ Ｐ ａｎｄ Ｐｌｏｎｋａ Ｄ．Ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ｏｆ ｎｅｔｗｏｒｋ ｔｒａｆｉｆｃ ｆｌｏｗ ａｎｏｍａｌｉｓｅ．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＡＣＭ ＳＩＧＣＯＭＭ Ｉｎｔｅｒｎｅｔ Ｍｅａｓｕｒｅｍｅｎｔ Ｗｏｒｋｓｈｏｐ，Ｓａｎ Ｆｒａｎｃｉｓｃｏ，ＣＡ，Ｎｏｖｅｍｂｅｒ ２００１： ５～１７． ［５］ Ｃｈｅｎ Ｙｕ，ＨＷａｎｇ Ｋａｉ，ａｎｄ Ｋｗｏｋ Ｙｕ—ＫＷｏｎｇ．Ｃｏｌｌａｂｏｒａｔｉｖｅ ｄｅｆｅｎｓｅ ａｇａｉｎｓｔ ｐｅｒｉｏｄｉｃ ｓｈｒｅｗ ＤＤｏＳ ａｔｔａｃｋｓ ｉｎ￣ｅｑｕｅｎｃｙ ｄｏｍａｉｎ．Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏｒｔ ＴＲ ２００５—１１，ＡＣＭ Ｔｒａｎｓ．ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ，２００５． ［６］ Ｃｈｅｎ Ｙｕ，Ｈｗａｎｇ Ｋａｌ，ａｎｄ Ｋｗｏｋ Ｙｕ－Ｋｗｏｎｇ．Ｆｉｌｔｅｒｉｎｇ ｏｆ ｓｈｒｅｗ ＤＤｏＳ ａｔｔａｃｋｓ ｉｎ￣ｅｑｕｅｎｃｙ ｄｏｍａｉｎ．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｔｈｅ ＩＥＥＥ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｌｏｃａｌ Ｃｏｍｐｕｔｅｒ Ｎｅｔｗｏｒｋｓ ３０ｔｈ Ａｎｎｉｖｅｒｓａｒｙ，Ｎｏｖｅｍｂｅｒ １５—１７，２００５：７８６～７９３． ［７］ Ｆｅｉｎｓｔｅｉｎ Ｌ，Ｓｃｈｎａｃｋｅｎｂｅｒｇ Ｄ，Ｂａｌｕｐａｒｉ Ｒ，ａｎｄ Ｋｉｎｄｒｅｄ Ｄ． Ｓｔａｔｉｓｔｉｃａｌ ａｐｐｒｏａｃｈｅｓ ｔｏ ＤＤｏＳ ａｔｔａｃｋ ｄｅｔｅｃｔｉｏｎ ｎａｄ ｒｅｓｐｏｎｓｅ． ＤＡＲＰＡ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｕｒｖｉｖａｂｉ５ｔｙ Ｃｏｎｆ．ａｎｄ Ｅｘｐｏｓｉｔｉｏｎ （ＤＩＳＣＥＸ’０３），Ｗａｓｈｉｎｇｔｏｎ，２００３：３０３—３１４． 『８１ 薛年喜．Ｍａｔｌａｂ在数字信号处理中的应用．清华大学出版社， ２００３：２２７－２３３． 吴志军： 男， １９６５年生，教授，博士后，研究方向为网络信息安 全． 张东： 男， １９８２年生，硕士，研究方向为网络信息安全
