[论文解读] An Active Defense Mechanism for TCP SYN flooding attacks

K Saravanan, A. Gowrishankar|arXiv (Cornell University)|Jan 10, 2012

Network Security and Intrusion Detection参考文献 9被引用 10

一句话总结

本文提出了一种主动防御机制，通过分析SYN数据包到达率的时间模式来检测并缓解TCP SYN洪水攻击。通过建立正常流量与攻击流量的统计模型，该系统使防御节点能够区分恶意流量与合法流量，并委派SYN/ACK响应，显著提高了传统单点防御机制在检测准确率和可扩展性方面的表现。

ABSTRACT

Distributed denial-of-service attacks on public servers have recently become a serious problem. To assure that network services will not be interrupted and more effective defense mechanisms to protect against malicious traffic, especially SYN floods. One problem in detecting SYN flood traffic is that server nodes or firewalls cannot distinguish the SYN packets of normal TCP connections from those of a SYN flood attack. Another problem is single-point defenses (e.g. firewalls) lack the scalability needed to handle an increase in the attack traffic. We have designed a new defense mechanism to detect the SYN flood attacks. First, we introduce a mechanism for detecting SYN flood traffic more accurately by taking into consideration the time variation of arrival traffic. We investigate the statistics regarding the arrival rates of both normal TCP SYN packets and SYN flood attack packets. We then describe a new detection mechanism based on these statistics. Through the trace driven approach defense nodes which receive the alert messages can identify legitimate traffic and block malicious traffic by delegating SYN/ACK packets.

研究动机与目标

• 解决针对公共服务器的分布式拒绝服务（DDoS）攻击日益增长的威胁。
• 克服现有防火墙在区分SYN洪水流量与合法TCP连接方面的局限性。
• 设计一种可扩展的主动防御机制，通过分析SYN数据包到达率的时间变化特征，提高检测准确率。
• 使防御节点能够基于准确检测委派SYN/ACK响应，减轻服务器负载并提升系统韧性。

提出的方法

• 该机制对正常流量和SYN洪水攻击的SYN数据包到达率的统计行为进行建模。
• 采用基于追踪数据的方法收集并分析真实流量模式，识别其独特的时间特性。
• 防御节点根据检测到的异常接收警报信息，并利用统计模型将流量分类为合法或恶意。
• 在分类完成后，防御节点主动将SYN/ACK数据包委派给合法连接，同时阻断恶意连接。
• 该系统利用分布式检测节点，避免了集中式防火墙常见的单点故障问题。
• 检测逻辑基于数据包到达间隔的时间序列分析，能够动态适应流量变化。

实验结果

研究问题

• RQ1 如何基于流量模式准确区分SYN洪水攻击与合法TCP连接请求？
• RQ2 SYN数据包到达率的哪些统计特征可将攻击流量与正常流量区分开？
• RQ3 与传统基于防火墙的方法相比，分布式主动防御机制是否能提升可扩展性与韧性？
• RQ4 基于时间的分析在减少SYN洪水检测中的误报率与漏报率方面效果如何？

主要发现

• 所提出的机制通过利用SYN数据包到达率的时间变化统计特征，实现了更高的检测准确率，降低了分类的模糊性。
• 该系统使防御节点能够主动委派SYN/ACK响应，最大限度减少后端服务器的资源耗尽。
• 通过分布式的检测逻辑，该机制避免了传统防火墙等单点防御机制的可扩展性限制。
• 基于追踪数据的评估结果证实，对到达率进行统计建模能有效区分攻击流量与合法连接。