互联网假冒源地址攻击的分类

假冒源地址攻击具有容易实施、不易被追溯的特点,这种攻击行为在互联网上日益猖獗。该文总结了互联网假冒源地址问题、探索其攻击的各种形式、分析其带来的危害。将假冒源地址攻击用3个基本要素描述为:攻击者A,攻击目标V和被假冒主机H。根据H与A和V的相对拓扑结构,将假冒源地址攻击归纳为在网外H0、攻击目标H1、攻击目标子网H2、攻击者子网H3、攻击者与攻击目标路径上H4及其他H56类。这将有助于清晰地理解真实地址问题,指导假冒源地址防御技术的设计,为建立保证源地址真实性的互联网体系结构奠定基础。     

IPv6下DoS／DDoS源地址伪造攻击的检测

IP源地址欺骗是绝大部分DoS／DDoS攻击的典型特征，通过分析其攻击的目的和目前防御的主要手段，提出了在IPv6下将源地址伪造的检测放在伪造发生的本地网络中进行检测的新技术．     

针对SDN基础设施的拒绝服务攻击防护框架

为了进一步缓解针对SDN基础设施的典型拒绝服务攻击(数据-控制平面饱和攻击),提出了一种控制器和交换机协作式的安全防护框架,即FloodShield.在该攻击中,攻击者通过洪泛伪造数据包,使数据平面产生大量表项缺失和packet-in数据包,从而消耗SDN基础设施不同层次的资源:数据平面的TCAM资源、控制通道的带宽资源和控制器的CPU资源等.通过对这种攻击的详尽分析,提出并设计了易部署、全面性和轻量化的FloodShield防护框架.该框架主要使用了2个关键技术:1)源地址验证,用于在数据平面过滤源地址伪造的数据包;2)有状态数据包监控,用于监控源地址真实流量的状态,并基于流量评价打分和网络资源使用量采用动态的防护措施.实验结果表明,相比于之前的防护框架,FloodShield在消耗更少系统资源的同时,对SDN架构的数据平面、控制通道和控制平面都提供了有效的保护.     

一个高效的无证书盲签名方案

提出了一个高效的无证书盲签名方案.在随机预言机模型下,证明了新方案在适应性选择消息、选择身份攻击下是存在不可伪造的,能够有效抵抗AⅠ攻击者的替换公钥攻击和AⅡ攻击者的KGC攻击.方案中在签名阶段没有任何双线性对运算,在验证阶段只有一个双线性对运算,并且不需要使用映射到点(Map to Point)的特殊哈希函数.与已有方案相比,所提方案在计算量上更具优势.同时方案采用无证书公钥密码体制,解决了基于证书签名方案的证书管理问题和基于身份签名方案的密钥托管问题.     

一种基于RC4的软件水印算法

针对攻击者能伪造水印从而假冒合法产品的问题,提出一种结合RC4与PPCT的软件水印算法。版权所有者产生版权信息后,将版权信息利用RC4密码算法加密,然后将加密后的信息嵌入到宿主程序当中,使版权信息与水印信息分离。仿真实验显示版权信息与水印信息之间存在很大差异,可以有效解决攻击者冒充版权所有者产生假冒产品的问题.     

基于攻击图的网络脆弱性分析方法

传统的攻击图分析方法在计算攻击目标可达概率时没有考虑攻击者的行为特征,降低了分析结果的准确性。为了解决这个问题,首先对全局攻击图模型进行了介绍,然后提出了一种基于全局攻击图的网络脆弱性分析方法。该方法利用网络状态间的转移概率描述攻击者的行为特征。在此基础上,计算攻击目标的可达概率。实验结果表明：安全管理人员利用该方法能够从全局角度分析网络的脆弱性,获得的分析结果更加客观、准确。     

Apache WEB Server安全配置和维护

主要针对三个安全缺陷进行讨论,包括：使用HTTP协议进行的拒绝服务攻击DOS(aenial of service)、3缓冲区溢出攻击以及被攻击者获得root权限。详细介绍如何正确配置和维护Apache WEB Server的安全性问题等。     

无线局域网802.1 X协议安全性分析与检测

针对无线局域网(WLAN)802.1X协议易受重放、拒绝服务等攻击的问题,采用非形式化方法,根据攻击者的能力,从攻击者扮演的协议角色,即模仿正常的协议行为和破坏正常的通信出发,分析了802.1X协议的安全性,并对攻击行为进行了分类,据此提出了一种基于攻击的无线局域网主动测试方法.通过构造协议报文序列、模拟攻击者的攻击行为对协议运行主体进行攻击,从而判断协议是否存在安全漏洞.测试结果表明,所提方法有效地结合了攻击者和测试者的特点,在一定程度上覆盖了针对802.1X协议的已知安全漏洞,并具有发现潜在问题的能力.     

基于真实IPv6地址的P2P邮件系统研究与实现

电子邮件一直是互联网最重要的应用之一, 但现有基于SMTP协议和客户/服务器模式的电子邮件系统采用类似路由器的转发机制,由于服务器无法验证最初发送者的身份或源地址的真实性,导致垃圾邮件泛滥,而现有基于内容分析的过滤机制误判率高,经常导致邮件丢失.本文研究基于真实IPv6地址访问的P2P电子邮件体系结构,提出了基于真实IPv6地址的发信人身份认证技术,设计实现了基于真实IPv6地址访问的P2P电子邮件系统,实现了对发信人源地址的认证与追踪,使得假冒源地址的垃圾邮件根本无法发出.     

针对可自适应帧标记的IEEE 802．11的DoS攻击抵御追踪方案

由于针对低层协议的拒绝服务（Denial of Service,Dos）攻击有可能对战场网络进行大规模的破坏,被攻击者必将把攻击泺追踪技术引入到低层协议。针对采用自适应帧标记技术的可追踪攻击源的改进802．11协议,提出了一种简单的DoS攻击抵御追踪方案。把自尊粤塑标记降簪为确定帧标记。通过性能分析,可以看出提出方案增加了被攻击者追踪攻击者的难度。     

Preventing IP Source Address Spoofing: A Two-Level, State Machine-Based Method

A signature-and-verification-based method, automatic peer-to-peer anti-spoofing (APPA), is proposed to prevent IP source address spoofing. In this method, signatures are tagged into the packets at the source peer, and verified and removed at the verification peer where packets with incorrect signatures are filtered. A unique state machine, which is used to generate signatures, is associated with each ordered pair of APPA peers. As the state machine automatically transits, the signature changes accordingly. ...     

局域网中ARP欺骗的研究及防范

从ARP协议的缺陷分析着手,针对局域网内频发的ARP欺骗攻击的现象和原理进行了分析和研究。在mac地址和ip地址静态绑定的基础上,进一步对MAC、IP地址进行规范,实现MAC+IP地址在局域网内静态映射的唯一性。有效地遏制了局域网内ARP欺骗攻击现象的发生,保障了局域网络的安全稳定运行。     

校园网中的ARP欺骗攻击及防范方法

本文介绍了ARP地址解析协议的含义和工作机制,分析了ARP协议所存在的安全漏洞,指出了ARP欺骗的过程．给出了IP地址和MAC地址绑定、交换机端口和MAC地址绑定等技术等几种能够有效防御ARP欺骗攻击的安全防范方法．     

基于REDHAT Linux9.0防火墙的研究与设计

对基于REDHAT Linux9.0内核防火墙netfilter的原理进行了深入研究,分析了在netfilter架构下防火墙的设计与实现,叙述了Linux的动态地址转换,论述了在Linux下防火墙的设计和开发过程.基于netfilter架构开发了一款包过滤和应用代理的混合型防火墙.针对常见的IP地址欺骗、IP源路由欺骗、ICMP重定向欺骗、IP劫持等网络攻击给予了分析并在过滤管理模块中给出了防御的方法.     

基于ARP伪装技术的IP地址防盗用系统

在剖析ARP协议基础上，提出了一种基于ARP伪装技术的IP地址防盗用的软件解决方案，并给出了防盗用软件的系统模型和实现环境。     

基于StackSF的DDoS攻击和IP欺骗新型防御机制

针对互联网上的主机正面临着IP欺骗和大规模分布式拒绝服务(DDoS)攻击威胁,提出一种新的防御机制——StackSF.该机制不同于以往的方法,它是通过数据包标记和临界过滤器分析每个数据包的信息内容,过滤掉攻击数据包并检测出遭受欺骗的源IP地址.同时,还可以防御各种方式的IP欺骗的攻击.     

路由器防范拒绝服务攻击技术研究

拒绝服务攻击给网络安全带来了巨大的威胁,防范DDoS攻击一直是安全领域的一个重要课题。介绍了路由器防范拒绝服务攻击的技术,包括IP路径重构技术、在源端防范DDoS策略、防范IP地址欺骗的机制和基于拥塞控制的方法,指出了进一步的研究方向。     

防止网络ARP欺骗攻击的S—ARP协议

传统的IP—ARP协议缺乏基本的认证与完整性检查措施,导致ARP欺骗的安全攻击相当流行。S—ARP协议试图对传统的IP—ARP协议进行简单扩展并实现,主要通过对ARP报文进行认证及完整性检查措施来防止ARP欺骗攻击。该协议具体实现的方法是在内网Pc机上安装一个包含S—ARP协议的客户端软件,同时,在路由器上也添加了相应的协议模块,使ARP的广播报文是在有安全认证机制下进行各个结点之间的ARP类的信息交换,而ARP病毒软件发出的欺骗类的ARP报文不合有认证信息会被丢弃,自然也就无法产生影响了。     

基于IP欺骗攻击的状态分析法研究

提出了一种能够在网络中检测并防范IP欺骗攻击的方法．通过获取网络结点的工作状态，分析网络中出现的异常活动，给出了因攻击而引起的网络状态的迁移过程．通过预测分析，及时检测出已经存在的IP欺骗攻击；通过回溯分析，试图找到发起攻击的攻击者．将状态分析法运用于入侵检测，可增强网络抵御IP欺骗攻击的能力．     

多路GNSS欺骗干扰信号功率控制策略

为满足多路GNSS欺骗干扰信号整体获得目标接收机高捕获性能的实际应用需求,设计了一种多路信号互相关干扰约束下的信号功率最优控制策略。分析了多路欺骗信号功率对噪声基底的影响,研究了在此情况下欺骗信号的捕获性能。以噪声基底上升和欺骗信号相对捕获概率为约束,构建了控制策略的目标函数,利用遗传算法进行寻优计算。仿真结果表明,该策略实现了多路欺骗信号的捕获性能优于真实信号,且此时噪声基底的抬升不超过10 dBW,欺骗信号功率不具有相关性。