[论文解读] DDoS Attack and Defense: Review of Some Traditional and Current Techniques

Muhammad Aamir, Mustafa Zaidi|arXiv (Cornell University)|Jan 24, 2014

Network Security and Intrusion Detection参考文献 55被引用 6

一句话总结

本文综述了传统与现代检测和缓解DDoS攻击的技术，重点关注模仿合法流量的应用层DDoS威胁。评估了基于熵的检测、异常分析、神经网络、僵尸网络流量识别和设备级过滤等防御机制，强调由于其隐蔽性和类似合法行为的特性，识别应用层攻击的挑战日益增加。

ABSTRACT

Distributed Denial of Service (DDoS) attacks exhaust victim's bandwidth or services. Traditional architecture of Internet is vulnerable to DDoS attacks and an ongoing cycle of attack & defense is observed. In this paper, different types and techniques of DDoS attacks and their countermeasures are reviewed. The significance of this paper is the coverage of many aspects of countering DDoS attacks including new research on the topic. We survey different papers describing methods of defense against DDoS attacks based on entropy variations, traffic anomaly parameters, neural networks, device level defense, botnet flux identifications and application layer DDoS defense. We also discuss some traditional methods of defense such as traceback and packet filtering techniques so that readers can identify major differences between traditional and current techniques of defense against DDoS attacks. Before the discussion on countermeasures, we mention different attack types under DDoS with traditional and advanced schemes while some information on DDoS trends in the year 2012 Quarter-1 is also provided. We identify that application layer DDoS attacks possess the ability to produce greater impact on the victim as they are driven by legitimate-like traffic making it quite difficult to identify and distinguish from legitimate requests. The need of improved defense against such attacks is therefore more demanding in research. The study conducted in this paper can be helpful for readers and researchers to recognize better techniques of defense in current times against DDoS attacks and contribute with more research on the topic in the light of future challenges identified in this paper.

研究动机与目标

• 分析DDoS攻击不断演变的态势，特别是日益增长的应用层DDoS攻击威胁，这些攻击模仿合法用户行为。
• 将传统防御机制（如数据包过滤和追踪）与基于流量行为和机器学习的现代方法进行比较。
• 识别当前防御策略中的不足，并强调需要先进、自适应的解决方案来应对复杂的DDoS威胁。
• 为研究人员提供现有对策和DDoS防御领域新兴研究方向的全面概览。

提出的方法

• 调研了现有DDoS防御文献，按检测技术对方法进行分类：熵变、流量异常参数、神经网络和设备级过滤。
• 回顾了传统防御机制，如数据包过滤和追踪技术，以建立比较基准。
• 分析了僵尸网络流量识别方法，以检测DDoS基础设施中命令与控制通信的模式。
• 评估了应用层DDoS防御策略，特别强调区分攻击流量与合法请求的挑战。
• 综合分析了现有方法的局限性，尤其是在检测低速或应用层攻击方面的不足。
• 基于检测准确性、可扩展性和实时处理能力，对防御技术进行了对比分析。

实验结果

研究问题

• RQ1 DDoS攻击的关键特征及其演变，特别是应用层的特征是什么？
• RQ2 现代防御技术（如基于熵的检测和神经网络）与传统方法（如数据包过滤和追踪）相比如何？
• RQ3 为何应用层DDoS攻击比网络层攻击更难检测和缓解？
• RQ4 当前DDoS缓解策略在应对隐蔽且外观合法的攻击流量方面存在哪些局限性？
• RQ5 面对不断演变的攻击技术，哪些新兴研究方向最有可能提升DDoS防御能力？

主要发现

• 应用层DDoS攻击特别难以检测，因为其生成的流量与合法用户请求极为相似。
• 传统防御机制（如数据包过滤和追踪）对避免网络层异常的复杂低速攻击效果较差。
• 基于流量熵和异常检测的技术在识别与正常行为偏差方面显示出潜力，尤其在高流量环境中。
• 基于神经网络的检测方法在分类攻击流量方面可提高准确性，但需要大量计算资源和训练数据。
• 僵尸网络流量识别技术有助于检测命令与控制通道，但在应对快速切换或对等网络僵尸网络时效果有限。
• 本文识别出当前研究中的一个关键缺口：缺乏针对应用层DDoS威胁量身定制的可扩展、实时且自适应的防御机制。