應(yīng)用層HTTP攻擊檢測(cè)關(guān)鍵技術(shù)研究.pdf

1、隨著網(wǎng)絡(luò)基礎(chǔ)設(shè)施的改善與低層檢測(cè)防御系統(tǒng)性能的加強(qiáng)，傳統(tǒng)基于網(wǎng)絡(luò)層與傳輸層的網(wǎng)絡(luò)攻擊呈現(xiàn)出向應(yīng)用層遷移的趨勢(shì)；Web應(yīng)用本身所蘊(yùn)含的價(jià)值因素以及由于應(yīng)用層協(xié)議復(fù)雜性所帶來的各種層出不窮的漏洞也誘使攻擊者把目標(biāo)轉(zhuǎn)向應(yīng)用層；由于其特殊性，作為Web應(yīng)用載體的HTTP協(xié)議也常常被攻擊者用于實(shí)施網(wǎng)絡(luò)攻擊。然而，現(xiàn)有的網(wǎng)絡(luò)安全設(shè)施卻仍然停留在基于網(wǎng)絡(luò)層或傳輸層的防火墻技術(shù)，事實(shí)表明，單純依靠這一類以分組檢測(cè)與過濾為主的技術(shù)無法有效應(yīng)對(duì)類型繁雜的應(yīng)

2、用層安全問題。多層的網(wǎng)絡(luò)體系結(jié)構(gòu)需要多層次的安全防御系統(tǒng)，為此，本文首次研究了三種新型的應(yīng)用層HTTP攻擊及其檢測(cè)方法，它們包括：應(yīng)用層常速率分布式拒絕服務(wù)攻擊檢測(cè)、突發(fā)流下的應(yīng)用層分布式拒絕服務(wù)攻擊檢測(cè)以及基于proxy-to-server的HTTP攻擊檢測(cè)。與傳統(tǒng)基于分組頭部信息統(tǒng)計(jì)檢測(cè)的方法不同，本文的檢測(cè)方案建立在應(yīng)用層之上，從高層“用戶行為”或Web流行為的角度實(shí)現(xiàn)不同攻擊場(chǎng)景下的HTTP異常檢測(cè)。我們首次把在統(tǒng)計(jì)上具有廣泛適

3、用性、在檢測(cè)與估計(jì)算法上具有高度有效性的隱半馬爾科夫模型應(yīng)用到網(wǎng)絡(luò)安全領(lǐng)域，利用它描述Web用戶的瀏覽行為、突發(fā)流下HTTP重訪率的時(shí)空分布特性及proxy-to-server Web流行為的隨機(jī)變化過程，應(yīng)用魯棒高效的主成分分析與獨(dú)立分量分析實(shí)現(xiàn)高維數(shù)據(jù)空間的壓縮與獨(dú)立化處理。用觀測(cè)序列相對(duì)于給定模型的或然概率來度量用戶請(qǐng)求序列、突發(fā)性Web流及代理行為的正常程度，并賦予相應(yīng)優(yōu)先級(jí)進(jìn)行排隊(duì)服務(wù)和流量控制。通過實(shí)際采集的數(shù)據(jù)進(jìn)行仿真試驗(yàn)