第1章 引言　1
1.1　網絡安全的重要性　2
1.1.1　網絡安全問題日益突出　3
1.1.2　網絡空間安全的重要意義　5
1.2　互聯網與現代計算機網絡　6
1.2.1　Internet的發展簡史　7
1.2.2　Internet分層結構　8
1.2.3　TCP/IP協議簇　10
1.2.4　Internet協議簇的安全缺陷　15
1.3　互聯網絡的脆弱性　16
1.3.1　體系結構的因素　17
1.3.2　系統實現方面的因素　17
1.3.3　運行管理和維護的因素　18
1.3.4　補丁與補丁的局限性　19
1.4　拒絕服務攻擊問題的嚴重性　20
1.5　拒絕服務攻擊、網絡異常及其檢測　23
1.6　網絡入侵檢測與網絡異常檢測　25
1.7　本章小結　26
參考文獻　26
第2章　拒絕服務攻擊及產生的機理分析　28
2.1　拒絕服務攻擊概述　28
2.2　拒絕服務攻擊的分類及其原理　29
2.2.1　基本的攻擊類型　30
2.2.2　根據利用網絡漏洞分類　31
2.2.3　根據攻擊源分布模式分類　32
2.2.4　根據攻擊目標分類　33
2.2.5　面向不同協議層次的拒絕服務攻擊　34
2.2.6　根據攻擊增強技術分類　36
2.2.7　根據攻擊流量速率的特性分類　37
2.2.8　根據攻擊造成的影響分類　37
2.3　僵尸網絡與拒絕服務攻擊　38
2.3.1　僵尸網絡的概念　38
2.3.2　僵尸網絡的構建和擴張　40
2.3.3　僵尸網絡的拓撲特性及通信協議　40
2.3.4　僵尸網絡控制模型　41
2.3.5　僵尸網絡的命令與控制系統　43
2.3.6　僵尸網絡在DDoS攻擊中的作用　46
2.4　IP偽造與拒絕服務攻擊　47
2.4.1　IP欺騙與序列號預測　47
2.4.2　基于IP偽造的網絡安全攻擊　49
2.5　典型的拒絕服務攻擊　50
2.5.1　基于漏洞的拒絕服務攻擊　50
2.5.2　洪泛式拒絕服務攻擊　53
2.5.3　反射放大型攻擊　56
2.5.4　其他類型的攻擊　63
2.6　DDoS攻擊的一般步驟　64
2.6.1　搜集漏洞信息　65
2.6.2　構建和控制DDoS僵尸網絡　66
2.6.3　實際攻擊　66
2.7　本章小結　67
參考文獻　68
第3章　常見的DDoS攻擊及輔助攻擊工具　70
3.1　攻擊實施的基本步驟及對應工具概述　70
3.2　信息獲取工具　72
3.2.1　網絡設施測量工具　72
3.2.2　嗅探工具　74
3.2.3　網絡掃描工具　78
3.3　攻擊實施工具　85
3.3.1　木馬工具　85
3.3.2　代碼注入工具　87
3.3.3　分組偽造工具　91
3.3.4　DDoS攻擊控制工具　93
3.4　本章小結　96
參考文獻　96
第4章　異常檢測的數學基礎　98
4.1　網絡流量的自相似性　98
4.2　概率論　99
4.2.1　隨機變量和概率分布　99
4.2.2　隨機向量　102
4.2.3　大數定理與中心極限定理　103
4.3　數理統計　104
4.3.1　最大似然估計與矩估計　104
4.3.2　置信區間　104
4.3.3　假設檢驗　105
4.4　隨機過程　106
4.4.1　馬爾可夫（Markov）過程　106
4.4.2　正態隨機過程　107
4.4.3　獨立增量過程　107
4.4.4　計數過程　107
4.4.5　泊松（Poisson）過程　107
4.5　信號處理技術　108
4.5.1　倒頻譜　109
4.5.2　小波分析　109
4.6　機器學習　110
4.6.1　線性回歸分析　110
4.6.2　費舍爾（Fisher）線性分類器　111
4.6.3　Logistic回歸分類模型　112
4.6.4　BP網絡　113
4.6.5　支持向量機　114
4.6.6　概率圖模型　116
4.6.7　混合模型與EM算法　119
4.7　數據挖掘　120
4.7.1　決策樹　121
4.7.2　樸素貝葉斯分類器　123
4.7.3　近鄰分類器　123
4.7.4　關聯分析　124
4.7.5　聚類分析　125
4.8　本章小結　125
參考文獻　126
第5章　拒絕服務攻擊檢測　127
5.1　異常檢測的基本思路與特征選擇　127
5.2　基于貝葉斯思想的檢測方法　127
5.2.1　基于樸素貝葉斯分類器的檢測算法　127
5.2.2　基于貝葉斯網的檢測算法　128
5.2.3　基于混合模型和EM算法的檢測算法　130
5.3　基于近鄰的檢測算法　131
5.3.1　K近鄰檢測算法　131
5.3.2　基于密度的檢測算法　132
5.3.3　其他近鄰算法　135
5.4　基于回歸擬合的檢測算法　136
5.4.1　基于線性回歸方程的檢測算法　136
5.4.2　基于LMS濾波器的檢測算法　138
5.5　基于聚類的檢測算法　140
5.5.1　基于分劃聚類的檢測算法　140
5.5.2　基于層次聚類的檢測算法　142
5.5.3　基于新型聚類的檢測算法　143
5.6　基于關聯分析的檢測算法　144
5.7　基于神經網絡的檢測算法　146
5.8　基于支持向量機的檢測算法　148
5.8.1　基于傳統支持向量機的檢測算法　148
5.8.2　基于單類支持向量機的檢測算法　149
5.8.3　基于貝葉斯支持向量機的檢測算法　150
5.9　基于決策樹的檢測算法　151
5.9.1　基于ID3決策樹的檢測算法　151
5.9.2　基于C4.5決策樹的檢測算法　152
5.9.3　基于CART決策樹的檢測算法　153
5.9.4　基于隨機決策森林的檢測算法　153
5.10　本章小結　154
參考文獻　154
第6章　低速率拒絕服務攻擊檢測　161
6.1　概述　161
6.2　LDoS攻擊原理　162
6.2.1　TCP/IP的擁塞控制機制及安全性分析　163
6.2.2　基于TCP擁塞控制機制的LDoS攻擊　166
6.2.3　基于IP擁塞控制機制的LDoS攻擊　168
6.2.4　目標BGP的LDoS攻擊　169
6.3　LDoS與DDoS攻擊的區別與聯系　171
6.3.1　攻擊模型比較　171
6.3.2　攻擊流特性比較　173
6.4　LDoS攻擊流量特征分析　176
6.4.1　LDoS攻擊評估實驗　176
6.4.2　實驗結果評估　176
6.4.3　流量特征分析　181
6.4.4　特征分析函數　182
6.5　LDoS攻擊檢測與防御　185
6.5.1　特征檢測及防御　185
6.5.2　異常檢測及防御　187
6.5.3　基于終端應用服務器的檢測和防御　188
6.5.4　改進網絡協議和服務協議　189
6.5.5　結合突變特征與周期性特征的綜合檢測方法　190
6.6　本章小結　197
參考文獻　198
第7章　拒絕服務攻擊的防御　203
7.1　對抗網絡/傳輸層DDoS攻擊的防御機制　203
7.1.1　源端防御　203
7.1.2　目的端防御　206
7.1.3　網絡防御機制　214
7.1.4　混合防御機制　220
7.2　對抗應用層DDoS攻擊的防御機制　231
7.2.1　目的端防御　231
7.2.2　混合防御　233
7.3　主流攻擊檢測與防御系統　235
7.3.1　Bro　235
7.3.2　Snort　237
7.3.3　Suricata　240
7.3.4　Google Project Shield　240
7.4　本章小結　241
參考文獻　241
第8章　基于大數據技術的測量平臺與檢測系統　249
8.1　概述　249
8.2　數據采集與網絡異常監控　250
8.2.1　可使用的數據類型　251
8.2.2　采集點的部署　253
8.3　流量分析大數據技術　254
8.3.1　Hadoop批處理平臺　254
8.3.2　流式處理平臺　255
8.3.3　平臺相關組件　257
8.4　基于大數據技術的測量平臺與檢測系統實例　258
8.4.1　測量平臺構建　259
8.4.2　離線分析平臺構建　261
8.4.3　在線分析平臺構建　262
8.4.4　多算法并行檢測系統實現　263
8.5　基于Storm的Snort系統　267
8.5.1　Snort工作原理簡介　267
8.5.2　基于Storm的Snort系統工作原理　267
8.5.3　基于Storm的Snort系統所存在的挑戰　269
8.6　本章小結　270
參考文獻　271
第9章　未來挑戰　272
9.1　概述　272
9.2　傳統問題的新挑戰　273
9.2.1　高速鏈路實時異常檢測　273
9.2.2　檢測和防御系統的評價　274
9.2.3　大規模攻擊的檢測與處理　275
9.2.4　通用入侵/異常檢測系統設計　276
9.3　新攻擊模式的挑戰　276
9.3.1　面向基礎設施的密集攻擊的檢測　276
9.3.2　組合攻擊的檢測　279
9.3.3　未知攻擊的自適應檢測和防御　280
9.3.4　基于P2P模式控制僵尸網絡的攻擊　281
9.3.5　基于Mobile Botnet的攻擊　282
9.3.6　新型網絡技術模式下的攻擊與防御　284
9.3.7　攻擊溯源　289
9.4　本章小結　290
參考文獻　291