16、追踪匿名慢速可疑活动的来源

追踪匿名慢速可疑活动的来源

1. 引言

随着计算机网络节点数量和流量的增加，分析那些故意设计成低于检测阈值的慢速攻击活动变得愈发困难。传统攻击者多依赖蛮力攻击，而如今的攻击者更倾向于采用耐心的攻击方式，长期窃取信息且不被察觉。这种持续的攻击被称为慢速攻击，它们可能融入网络噪声，使检测系统难以识别。

追踪这类匿名慢速攻击者的来源是网络安全中的一大挑战，简单分析所有流量并不可行。本文提出了一种基于异常的方法，通过优先获取证据来追踪网络空间中慢速可疑活动的来源。具体做法是将从受害者到所有可能网络的路径映射为树结构，然后在贝叶斯框架下对每条路径进行分析，选择得分最高的路径进行追踪。

2. 相关工作

2.1 现有追踪方法

• 确定性数据包标记和带外方法 ：与本文工作无关。
• Burch 和 Cheswick 的方法 ：通过控制洪泛测试路由器之间的网络链路来近似攻击源。
• Sager 和 Stone 的方法 ：在关键路由器记录数据包，然后使用数据挖掘技术确定数据包的路径。该方法的优点是可以在攻击完成后很长时间进行追踪，但缺点是可扩展性差。
• Snoeren 等人的方法 ：在路由器内进行标记，采用基于哈希的日志记录以减少数据包日志大小并提供保密性。
• Savage 等人的方法 ：路由器以概率方式标记数据包，标记内容可以是路由器的 IP 地址或数据包到达该路由器所经