60、网络攻击防御算法研究：速率限制与跳板检测

网络攻击防御算法研究：速率限制与跳板检测

1. 新型速率限制算法对抗温和 DDoS 攻击

1.1 IP 回溯技术的发展

随着 IP 回溯技术的发展，出现了越来越多速度更快、准确性更高的方案，例如 FIT（快速互联网回溯）方案。尽管目前 IP 回溯技术在互联网上尚未广泛部署，但部分部署在进行速率限制时仍能起到辅助作用，并且随着其广泛部署，其作用将大大增强。

1.2 速率限制算法的控制策略

本文采用了集中控制策略，即速率限制决策委托给可信的第三方，如 ISP。虽然这会带来额外的管理和通信成本，但这些成本是可控的。例如，第三方只需根据受害者的需求监控少数特定流，而非随时监控所有流。集中控制策略有两个优点：
- 提高速率限制决策过程和节流安装的安全性，因为第三方是可信的。
- 通过在各个域的可信第三方之间建立信任关系，便于实现跨域速率限制。

1.3 其他有限资源的转换

由于受害者的资源瓶颈可能是其他形式，如 CPU、内存等，需要将这些有限资源转换为带宽指标。这种转换不一定要非常精确，只要转换后的数量能等效反映流量处理能力即可。

1.4 算法总结

本文分析了基于最大 - 最小的速率限制算法在温和 DDoS 攻击下的缺点，提出了基于 IP 回溯的速率限制算法。该算法利用 IP 回溯技术，不仅能在攻击源端附近减轻攻击，还能提高合法流量的吞吐量。模拟结果表明，该算法能在各种攻击场景下有效提高合法数据包的存活率。

以下是相关实验情况的表格总结：
| 实验情况 | 攻击者流量情况 | 涉及指标 |
| — | — | — |