吴志军，潘卿波，岳猛



基于ACK序号步长的LDoS攻击检测方法

吴志军，潘卿波，岳猛

（中国民航大学电子信息与自动化学院，天津 300300）

低速率拒绝服务（LDoS, low-rate denial of service）攻击具有极强的隐蔽性，对大数据中心和云计算平台构成潜在的安全威胁。在研究LDoS攻击期间网络流量变化的基础上，对数据接收端回传给发送端的ACK数据分组进行统计分析，揭示了其序号步长在LDoS攻击期间具有的波动特征。采用排列熵的方法提取该特征，提出了一种基于ACK序号步长排列熵的LDoS攻击检测方法。该方法通过采集发送端收到的ACK数据分组，对其序号进行采样并计算步长；再利用对时间敏感性较强的排列熵算法检测出步长突变时刻，达到检测LDoS攻击的目的。在实际网络环境中设计和搭建了测试平台并对所提方法进行了验证，实验结果表明，所提方法具有较好的检测性能，取得了较好的检测效果。

低速率拒绝服务；ACK序号步长；排列熵算法；检测

1 引言

低速率拒绝服务（LDoS, low-rate denial of service）攻击是一种面向TCP的DoS攻击方式[1-2]。区别于泛洪式攻击，LDoS攻击主要利用端系统或网络中常用的自适应机制所存在的安全漏洞，通过发送周期性的短脉冲数据流，使网络一直处于不稳定的状态，从而导致链路传输质量差、传输效率低，大大降低了被攻击目标的服务质量。

LDoS攻击是传统DoS攻击的变形。传统DoS攻击通过不断向被攻击目标发送高速数据分组，流量突变明显，单从流量分析可以较容易地检测出来。LDoS攻击则是以一定周期间歇性地发送攻击数据分组，大大降低被发现的概率。……