DDoS攻击是Internet的严重安全问题。为更好地检测或阻止这种攻击，很有必要对DDoS的行为进行深入的定量研究。由于在DDoS攻击下难以获得实际的含有攻击包的流量数据，使对DDoS行为的定量研究变得非常困难，因而，在NS2平台上对DDoS攻击做实验研究就显得很有意义。本文论述在这方面的实验研究。实验结果表明，对于DDoS带宽攻击，UDP流量在攻击与防御上都强于TCP流量；攻击时间是量化DDoS带宽攻击行为大小的指标；提出评估DDoS防御系统新思路。                              

一、引言  
  

    分布式拒绝服务（Distribution Denial of Service，DDoS）攻击利用伪装的源地址协同多个计算机对目标进行大量的数据包轰炸，让目标资源被这些无效数据包占用，当攻击强度足够大，有限资源将被耗尽从而拒绝正常的服务。越来越多的DDoS攻击工具使DDoS攻击容易发动，攻击的影响越来越大，所造成的损失越来越严重，而目前又尚无防御DDoS攻击的有效工具，故2004年起DDoS攻击被列为网络头号杀手。    
    对DDoS研究较多的是在检测和防御方面，集中在对DDoS攻击特征定性描述的研究，而对DDoS行为和行为特征进行定量研究比较少。通过DDoS行为定量数据可更好地评估现有的防御系统，无论用何种方法进行防御，都要清楚DDoS行为特征，尤其是DDoS行为的定量数据。目前还没有完全防御DDoS攻击的通用方法，只能针对不同的DDoS攻击行为采用不同的防御策略，因此，对不同DDoS行为特征的实验研究是为了更好检测或阻止这种攻击。     
    由于在DDoS攻击下难以获得实际流量数据，所以在NS2平台上通过实验来研究DDoS行为显得很有意义。DDoS攻击可分为终端攻击和中间路由带宽攻击，终端攻击是指通过攻击耗尽目标终端资源（如CPU、内存等），使目标终端来不及处理而崩溃。终端被攻击行为与硬件及其性能紧密相关，在仿真平台还无法做到对这些资源耗尽真实模拟。带宽攻击是指到达目标链路带宽被大量的攻击流量塞满使正常用户数据包被丢弃。带宽攻击是利用Internet协议漏洞对中间传输设备进行攻击，在仿真平台上能实时模拟这DDoS行为过程。为避免仿真局限性，只对协议漏洞造成的带宽攻击进行实验研究，这样得出的结果就比较符合实际情况。故下文所指的攻击是代表DDoS带宽攻击。     
    如何评估现有DDoS防御是否有效呢？DDoS攻击对时间非常敏感，只要目标端响应迟钝了， DDoS攻击就可能得逞。当目标遭受DDoS攻击时，从开始攻击到将目标攻垮这段时间称为攻击时间Ta；从开始检测到有效阻止此攻击这段时间称为防御时间Td。若Td大于Ta，则防御无效；Td小于Ta，防御成功。故DDoS攻击时间Ta既是量化DDoS行为大小的重要参数，又是评估防御系统有效性的指标之一。                

二、不同传输协议的DDoS行为特征
    

    DDoS攻击利用了网络协议的漏洞进行攻击，其延伸出来的攻击类型有几十种，传输层协议是常被DDoS攻击利用的协议，其典型是TCP和UDP协议。我们通过实验分析了UDP与TCP在DDoS攻击中的不同行为，弄清楚TCP与UDP在DDoS的防御与攻击上的优缺点。不同类型的攻击对不同用户的影响是不一样的。本文从DDoS带宽攻击角度研究了TCP与UDP之间不同。

(责任编辑：adminadmin2008)