17、网络安全：追踪匿名慢速可疑活动与正则表达式DoS攻击分析

网络安全：追踪匿名慢速可疑活动与正则表达式DoS攻击分析

在网络安全领域，追踪匿名慢速可疑活动以及防范正则表达式拒绝服务（ReDoS）攻击是至关重要的课题。下面将详细介绍相关的技术和方法。

追踪匿名慢速可疑活动

在追踪匿名慢速可疑活动时，我们使用了特定的参数和方法来识别攻击者。
- 参数估计 ：
- 先验概率 ：假设所有节点被破坏的先验概率相等，即 (p(H_m) = p(H_n) = \frac{1}{目标网络中的节点数})。但在实际情况中，连接到公共区域（PZ）的节点比特殊访问区域（SAZ）的节点被破坏的可能性更高。在单攻击者情况下，我们遵循等概率假设；在多攻击者情况下，假设服务器场外节点存在攻击者的概率略高（55%）。
- 似然度 ：对于所有的 (j)、(m)、(n) 且 (m \neq n)，(p(e_j/H_m) = p(e_j/H_n) = k)。对于某些类型的事件，如 UDP 扫描或 land 攻击，若可确定非被破坏节点不会产生此类事件，则 (k) 可设为 1。但对于一些既可能是攻击特征又可能是正常网络活动产生的可疑事件，可使用 IDS 评估数据集（如 ISCX 2012 或 DARPA）作为语料库，并采用自然语言处理领域的类似技术来估计 (k)。
- 结果分析 ：通过 Z - score 图追踪可疑节点。在追踪过程中，根据 Z - score 图的指示逐步缩小搜索范围。例如，在单攻击者情况下，搜索路径为 root, g13, g25, g34；在多攻击者情况下，搜索路径更为复杂，如 root,