Novel Mechanism to Defend DDoS Attacks Caused by Spam
公司邮件服务的设计比公共邮件服务更好。快速的邮件传递，大尺寸的文件传输作为附件，高水平的垃圾邮件和病毒保护，商业广告免费环境是一些值得一提的优势。但这些邮件服务经常成为黑客和垃圾邮件发送者的目标。分布式拒绝服务攻击正变得越来越普遍和复杂。研究人员提出了各种解决DDOS攻击的方法。我们能用现有的技术阻止这类攻击吗？这些天来，通过垃圾邮件的DDoS攻击已经增加，扰乱了各种组织的邮件服务。垃圾邮件渗透通过所有的过滤器建立DDoS攻击，这对用户和数据造成严重的问题。在本文中，我们提出了一种新的方法来抵御由垃圾邮件引起的DDoS攻击。这种方法是对源过滤器、内容过滤器进行微调、严格执行邮件策略、教育用户、网络监控和针对持续攻击的逻辑解决方案的组合。我们在企业邮件服务中进行了几次实验，结果表明，该方法可以有效地防止由垃圾邮件引起的DDoS攻击。新的防御机制减少了60%的垃圾邮件流量，并击退了许多由垃圾邮件引起的DDoS攻击。
2010-12-03 cs.CR cs.NI
Anticipating Moves to Prevent Botnet Generated DDoS Flooding Attacks
分布式拒绝服务（DDoS）攻击是互联网上经常出现的问题。这些攻击会产生大量虚假网络流量，以干扰目标服务器或网络链接。尽管有许多努力来检测和减轻它们，但攻击者一直在玩游戏，总是绕过对策。如今，受感染设备的数量有所增加，随着物联网和灵活通信技术的出现，情况更是如此。利用设备到设备的短距离无线通信和其他方式，受感染的设备可以协调复杂的僵尸网络，这些僵尸网络可以用来加强DDoS攻击。新一代的僵尸网络更难检测，因为它们的自适应和动态行为产生的受感染的移动便携式设备。此外，由于可能存在大量地理分布的设备，僵尸网络会显著增加DDoS流量。面对他们的新行为和不断增加的DDoS流量，需要新颖的智能驱动方法。具体来说，我们提倡尽可能在早期阶段{ \em预测} DDoS攻击的趋势。这项工作提供了一个概述的方法，可以用来预测僵尸网络在其早期阶段产生的DDoS攻击的趋势，并带来了一个有见地的讨论每种方法的优点和开放的问题。
2016-11-30 cs.CR cs.NI
DDoS Attack and Interception Resistance IP Fast Hopping Based Protocol
拒绝服务攻击仍然是互联网社区的一个严重问题，尽管研究界已经提出了大量的防御方法。在本文中，我们介绍了IP快速跳跃，易于部署和有效的网络层架构，抵御DDoS攻击。我们的方法还提供了一个简单的方法，为客户端隐藏其通信会话的内容和目的地服务器。我们描述了一种动态服务器IP地址更改的方法和实现该方法所需的所有模块。
2014-03-28 cs.CR cs.NI
LUCID: A Practical, Lightweight Deep Learning Solution for DDoS Attack Detection
分布式拒绝服务（DDoS）攻击是当今互联网中最有害的威胁之一，破坏了基本服务的可用性。DDoS检测的挑战是攻击方法与要分析的实时流量的组合。在本文中，我们提出了一个实用的，轻量级的深度学习DDoS检测系统称为LUCID，它利用卷积神经网络（CNN）的属性将流量分类为恶意或良性。我们做了四个主要的贡献;（1）一个创新的应用程序的CNN检测DDoS流量与低处理开销，（2）一个不可知的预处理机制，以产生流量观察在线攻击检测，（3）激活分析，解释LUCID的DDoS分类，和（4）一个经验验证的解决方案在资源受限的硬件平台。使用最新的数据集，LUCID匹配现有的国家的最先进的检测精度，同时提出了一个40倍的减少处理时间相比，国家的最先进的。与我们的评估结果，我们证明了所提出的方法是适合于有效的DDoS检测在资源受限的操作环境。
2020-08-28 cs.CR cs.NI
Multi Layer Protection Against Low Rate DDoS Attacks in Containerized Systems
EPITA；School of Engineering and Computer Science（工程与计算机科学学院）
本文提出一种多层防御策略，通过集成WAF、限流、动态黑名单和零信任原则，有效防御容器化环境中的低速率DDoS攻击。
2026-02-11 cs.CR cs.NI
SDN-Based Intrusion Detection System for Early Detection and Mitigation of DDoS Attacks
本文讨论了物联网（IoT）新兴范式中网络设备引入的相关网络安全漏洞，以及减轻某些类型的分布式拒绝服务（DDoS）攻击的负面影响的迫切需要，这些攻击试图探索这些安全漏洞。本文设计并实现了一个软件定义的入侵检测系统（IDS），它能够在攻击源处对攻击进行主动防御，保证网络基础设施的正常运行。我们的建议包括一个IDS，它可以自动检测几种DDoS攻击，然后当检测到攻击时，它会通知软件定义网络（SDN）控制器。当前提案还将一些方便的流量转发决策从SDN控制器下载到网络设备。评估结果表明，我们的建议及时检测基于DDoS的几种类型的网络攻击，减轻其对网络性能的负面影响，并确保正常流量的正确数据传输。我们的工作揭示了在网络基础设施的抽象视图上的编程相关性，以及时检测僵尸网络利用，从源头上减轻恶意流量，并保护良性流量。
2021-04-15 cs.CR cs.NI
20 Years of DDoS: a Call to Action
僵尸网络分布式拒绝服务（DDoS）攻击已经有20年的历史了，在这段时间里发生了什么变化？它们的破坏性存在，它们的数量，在全球的分布，以及启动它们的相对容易性都倾向于攻击者。我们网络容量的增加和我们的架构设计原则使我们的在线世界更加丰富，但至少像互联网服务一样有利于攻击者。DDoS缓解技术一直在不断发展，但随着攻击从网络转移到应用程序级别，其复杂性和多样性不断增加，我们在运营上落后于攻击者。现在是时候问一些基本问题了：我们的网络架构中是否存在从根本上导致DDoS攻击的核心设计问题？如何增强我们的网络基础设施，以解决导致DDoS问题的原则？我们如何激励开发和部署必要的变革？在这篇文章中，我们想敲响警钟，并呼吁研究界采取行动。我们认为，基础研究和原则性分析是迫切需要的，因为现状并没有为未来描绘出一幅美好的画面。
2019-04-21 cs.CR cs.NI
Expect More from the Networking: DDoS Mitigation by FITT in Named Data Networking
分布式拒绝服务（DDoS）攻击已经困扰互联网几十年，但基本的防御方法并没有根本改变。相反，攻击的规模和增长率实际上已经超过了运营商和DDoS缓解服务的增长，这就需要新的解决方案，这些解决方案可以部分或全部立即部署，并表现出有效性。在本文中，我们研究命名数据网络（NDN），一个新提出的互联网架构，可以解决今天的IP网络的主要弱点的基本功能。我们通过一个新的DDoS缓解解决方案NDN，细粒度的兴趣流量节流FITT，NDN的架构变化，即使是增量部署，可以使DDoS攻击从根本上更难以启动和有效性降低。FITT利用NDN设计，使网络能够从受害者的反馈中检测DDoS，通过逆转DDoS流量在网络中的确切路径来抑制DDoS流量，并在源头对行为不端的实体实施控制。我们广泛的模拟结果表明，FITT可以节流攻击流量从受害者到NDN网关的单向时间延迟;激活后，FITT有效地阻止攻击流量影响良性流，导致超过99%的数据包到达受害者是合法的。我们进一步证明，服务提供商可以在现有的CDN节点上实现NDN/FITT作为一个增量式部署的解决方案，以实现在源，这仍然是在今天的DDoS缓解方法无法实现的应用程序级补救。
2021-04-12 cs.CR cs.NI
On the Efficacy of Live DDoS Detection with Hadoop
分布式拒绝服务洪水攻击是当今在线服务可用性面临的最大挑战之一。这些DDoS攻击以巨大的流量淹没受害者，使其无法执行正常通信或完全崩溃。如果在检测洪水攻击时出现延迟，除了手动断开受害者并修复问题外，什么也做不了。随着DDoS攻击规模和频率的快速增长，现有的DDoS检测技术面临着在合理的响应时间内应对巨大攻击量的挑战。在本文中，我们提出了HADEC，一个基于Hadoop的实时DDoS检测框架，通过利用MapReduce和HDFS来解决洪水攻击的有效分析。在MapReduce中实现了一种基于计数器的DDoS检测算法，该算法针对四种主要的洪泛攻击（TCP-SYN、HTTP GET、UDP和DDoS），包括map和reduce函数。我们部署了一个测试平台来评估HADEC框架用于实时DDoS检测的性能。实验结果表明，HADEC能够在合理的时间内处理和检测DDoS攻击。
2015-06-30 cs.CR cs.DC cs.NI
SDN-Assisted Network-Based Mitigation of Slow DDoS Attacks
针对网络应用程序的慢速攻击通常不容易检测，因为攻击者的行为符合规范。许多网络应用程序的服务器没有为这种攻击做好准备，这要么是由于缺少对策，要么是因为它们的默认配置忽略了这种攻击。保护网络服务免受此类攻击的压力越来越多地从服务运营商转移到受攻击服务器的网络运营商。诸如软件定义网络之类的最新技术提供了灵活性和可扩展性，以在没有目标运营商的帮助下分析和影响网络流。基于我们以前在基于网络的缓解方面的工作，我们扩展了一个框架，以检测和缓解网络基础设施内运行缓慢的DDoS攻击，但不需要访问受到攻击的服务器。我们开发和评估了几种识别方案，以确定攻击者在网络中完全基于网络流量信息。我们表明，通过测量数据包的速率和数据包的距离的均匀性，一个可靠的标识符可以建立，给定的部署网络的训练期。
2018-04-18 cs.CR cs.NI
An Effective Deep Learning Based Multi-Class Classification of DoS and DDoS Attack Detection
针对DoS与DDoS多类攻击检测，提出结合DCGAN平衡数据、ResNet-50提特征及Atom优化AlexNet分类的深度学习方法，并在两个基准数据集上取得超过99%的准确率。
2023-08-17 cs.CR cs.NI
Timely Detection and Mitigation of Stealthy DDoS Attacks via IoT Networks
物联网（IoT）网络由传感器、执行器、移动和可穿戴设备组成，这些设备可以连接到互联网。由于市场上已有数十亿具有重大漏洞的此类设备，互联网服务以及一些也连接到互联网的网络物理系统面临着危险的威胁。具体来说，由于其现有的漏洞，物联网设备很容易受到损害，并成为一种新型的隐形分布式拒绝服务（DDoS）攻击的一部分，称为蒙古DDoS，其特点是其广泛分布的性质和每个来源的攻击规模小。本研究提出了一种新的基于异常的入侵检测系统（IDS），能够及时检测和缓解这种新兴类型的DDoS攻击。建议的IDS的检测和缓解隐身DDoS攻击的能力，甚至非常低的攻击大小，每个源通过数值和测试台实验证明。
2020-06-15 cs.CR cs.NI stat.ML
Efficient Distinct Heavy Hitters for DNS DDoS Attack Detection
受最近一种新型的随机分布式拒绝服务（DDoS）攻击的域名服务（DNS），我们开发了新的和有效的不同的重打击者的算法，并建立了一个攻击识别系统，使用我们的算法。流中的重攻击检测是许多应用的基本问题，包括检测某些DDoS攻击和异常。元素流中的（经典）重量级人物（HH）是键（例如，查询的域），其出现在许多元素中（例如，请求）。当流元素由<key; subkey>对组成时，（<domain; subdomain>）一个不同的重命中者（dhh）是一个与大量不同子键配对的键。我们的dHH算法比以前的算法更实用。具体而言，新的固定大小的算法是简单的代码和渐近最佳的空间精度权衡。此外，我们引入了一个新的措施，一个组合重打击（cHH），这是一个关键的不同和经典的权重的大组合。有效的算法也提出了cHH检测。最后，我们进行了广泛的实验评估真实的DNS攻击痕迹，证明了我们的算法和我们的DNS恶意查询识别系统的有效性。
2016-12-08 cs.CR cs.NI
Zero-day DDoS Attack Detection
University of Wisconsin Madison（威斯康星大学麦迪逊分校）
检测零日（新型）攻击的能力在网络安全行业中变得至关重要。由于攻击特征的不断变化，现有的网络入侵检测系统往往无法检测到这些威胁。该项目旨在通过利用在进入专用网络之前捕获的网络流量来解决检测零日DDoS（分布式拒绝服务）攻击的任务。结合神经网络使用现代特征提取技术来确定网络分组是良性的还是恶意的。
2022-08-31 cs.CR cs.LG cs.NI
Defending Root DNS Servers Against DDoS Using Layered Defenses
分布式拒绝服务（DDoS）攻击会耗尽资源，使合法客户端无法使用服务器。域名系统（DNS）是DDoS攻击的常见目标。由于DNS是一项关键的基础设施服务，因此保护其免受DoS攻击势在必行。许多先前的方法集中于特定的过滤器或反欺骗技术以保护通用服务。DNS根域名服务器的保护更具挑战性，因为它们使用固定的IP地址，为非常多样化的客户端和请求提供服务，主要接收可能被欺骗的UDP流量，并且必须保证高服务质量。在本文中，我们提出了一个分层的DDoS防御DNS根域名服务器。我们的防御使用了一个防御过滤器库，可以针对不同的攻击类型进行优化，具有不同的选择性。我们还提出了一种方法，自动和不断评估，并选择整个攻击的过滤器的最佳组合。我们表明，这种分层的防御方法提供了特殊的保护，对所有的攻击类型使用的痕迹，从DNS根域名服务器的10个真正的攻击。我们的自动化系统可以在几秒钟内选择最佳防御，并在可管理的范围内快速减少服务器的流量，同时将附带损害保持在2%以下。我们可以处理数百万条过滤规则，而不会产生明显的操作开销。
2022-09-15 cs.CR cs.NI
BGPeek-a-Boo: Active BGP-based Traceback for Amplification DDoS Attacks
DDoS攻击本质上依赖于IP欺骗来将攻击流量引导到受害者。与此同时，IP欺骗破坏了起诉，因为发起攻击的基础设施仍然是隐藏的。因此，研究人员提出了各种机制来追溯放大攻击（或一般的IP欺骗攻击）。然而，现有的回溯技术需要外部各方的合作或关于攻击者的先验知识。我们提出了BGPeek-a-Boo，这是一种基于BGP的方法，可以将放大攻击追溯到其起源网络。BGPeek-a-Boo使用蜜罐监控放大攻击，并使用BGP中毒暂时关闭来自选定自治系统的入口流量。通过系统地探测整个AS空间，我们检测系统转发和始发欺骗流量。然后，我们展示了如何基于图的BGP路由传播模型可以减少搜索空间，导致在5倍的中位数速度和超过20倍的1/4的所有情况下。BGPeek-a-Boo在基于模拟的评估中实现了60%的独特回溯结果，并得到了真实世界实验的支持。
2021-03-15 cs.CR cs.NI
Poseidon: Mitigating Interest Flooding DDoS Attacks in Named Data Networking
内容中心网络（CCN）是一种新兴的网络模式，被认为是当前基于IP的以主机为中心的互联网基础设施的可能替代品。在CCN中，命名内容成为一级实体。CCN专注于内容分发，这主导了当前的互联网流量，可以说IP没有很好地服务。命名数据网络（NDN）是CCN的一个例子。NDN也是NSF未来互联网架构（FIA）计划下的一个积极研究项目。FIA从一开始就强调安全和隐私。要成为一个可行的互联网架构，NDN必须能够抵御当前和新出现的威胁。本文重点介绍分布式拒绝服务（DDoS）攻击，特别是我们解决利益泛滥，攻击，利用关键的架构特征的NDN。我们表明，一个对手与有限的资源可以实现这样的攻击，对网络性能产生重大影响。然后，我们介绍Poseidon：一个用于检测和减轻兴趣泛滥攻击的框架。最后，我们报告了广泛的模拟评估提出的对策的结果。
2013-08-01 cs.CR cs.NI
SoK: A Data-driven View on Methods to Detect Reflective Amplification DDoS Attacks Using Honeypots
本文系统综述了基于蜜罐检测反射放大DDoS攻击的方法，通过大规模部署和真实基线数据验证不同平台效果，质疑观测收敛即完整的假设，并提出可复现研究指导与开放挑战。
2023-04-24 cs.CR cs.NI
Adaptive Distributed Filtering of DDoS Traffic on the Internet
本文提出一种自适应分布式DDoS流量过滤系统，利用路径节点生成适应过滤粒度和订阅者偏好的规则，并通过真实流量模拟和试点验证其高效性。
2023-05-22 cs.CR cs.NI
Defending Against DDoS Attacks in Bloom Filter based Multicasting
分析了基于Bloom filter的组播转发机制的安全问题。研究了面向树的方法和面向目的地的方法。我们分析了可能的分布式拒绝服务（DDoS）对基于布隆过滤器的组播与面向目的地的方法，这是以前从未分析过的。我们揭示了一些在文献中没有研究过的攻击模式。我们还分析了可能的DDoS攻击对基于布隆过滤器的组播在DCN上下文中。
2017-01-14 cs.NI
Cybersecurity of High-Altitude Platform Stations: Threat Taxonomy, Attacks and Defenses with Standards Mapping - DDoS Attack Use Case
本文针对非地面网络新兴节点HAPS的网络安全问题，提出适配平流层的威胁分类体系，梳理可行防御方案并映射相关标准，通过OMNeT++/INET仿真分析DDoS攻击影响，为实际部署提供工程参考。
2025-11-16 cs.CR cs.NI
Holmes: An Evidence-Grounded LLM Agent for Auditable DDoS Investigation in Cloud Networks
Xiamen University（厦门大学）
Holmes是一种基于LLM的DDoS检测代理，通过结构化证据和可追溯的审计日志，实现云网络中可解释、可审计的DDoS调查。
2026-01-21 cs.CR cs.NI
A Novel Framework for DDoS Detectionin Huge Scale Networks, Thanksto QoS Features
云计算技术出现的时间并不长。然而，在这短短的时间内，出现了一些优点和缺点。这是一个解决问题的技术，也有一些威胁。这些威胁和潜在损害不仅限于基于云的技术，而且一直针对计算机网络基础设施。其中一个例子是分布式拒绝服务（DDoS）入侵，这当然是最复杂和最危险的攻击类型之一。由于其强大的性质，这种类型的攻击对云系统的影响要高得多，因为一旦发生，服务提供商将完全失去他们的服务以及他们的声誉和忠诚的客户。显然，这甚至可能导致股票崩盘和其他破坏性后果。另一方面，由于云服务提供商包括大规模基础设施的属性，DDoS入侵检测算法需要高灵敏度，创新和通用改进。DDoS攻击检测算法的传统结构是针对小规模网络或最多针对应用阵营而设计的。对于大规模的网络，缺乏有效的算法是显而易见的。因此，在这种情况下，我们利用标准的方法，以及提出的混合协议，这是更适合与云结构，以检测DDoS攻击
2018-01-08 cs.CR cs.NI
The Far Side of DNS Amplification: Tracing the DDoS Attack Ecosystem from the Internet Core
在本文中，我们通过研究补充数据源并得到正交方法的支持，为DNS放大生态系统提供了新的见解。首先，我们介绍了一种针对互联网核心的被动攻击检测方法，互联网交换点（IXP）。令人惊讶的是，IXP和蜜罐观察到的攻击大多是不相交的：96%的IXP推断的攻击对一个相当大的蜜罐平台是不可见的。其次，我们通过研究IXP痕迹与来自独立测量基础设施的不同数据联合评估观察到的DNS攻击的有效性。我们发现，攻击者有效地检测到新的反射器，并有目的地在它们之间旋转。与此同时，我们发现攻击者距离带来显着更高的放大因子（14倍）只有一小步。第三，我们通过研究攻击痕迹中的模式来识别和识别主要攻击实体。我们发现，该实体通过执行59%的攻击来主导DNS放大生态系统，并对其行为进行了深入分析。最后，我们的研究结果显示，各种.gov名称的运营商不遵守DNSSEC密钥翻转的最佳实践，这加剧了放大潜力。我们可以将这种操作行为与滥用和攻击者决策联系起来。
2021-10-06 cs.CR cs.NI
Detection and classification of DDoS flooding attacks by machine learning method
Ternopil Ivan Puluj National Technical University（捷尔诺波尔伊万·普伊国立技术大学）
本文提出一种基于24-106-5结构神经网络的DDoS洪泛攻击检测与分类方法，在数据集上取得99.35%准确率，并在近真实环境测试中达到95.05%准确率，验证了神经网络用于DDoS检测的有效性。
2025-01-02 cs.CR cs.LG cs.NI
Intelligent Detection and Mitigation of Carpet-Bombing DDoS Attacks in SDN Using Retrieval-Augmented Generation and Large Language Models
College of Electronics and Information Engineering, Shenzhen University（深圳大学电子与信息工程学院）；ICNLab, Shenzhen Graduate School, Peking University（北京大学深圳研究生院ICN实验室）
提出一种结合检索增强生成（RAG）和大语言模型（LLM）的框架，通过接口级流量特征、语义嵌入和相似性检索，实现对SDN中地毯式轰炸DDoS攻击的实时检测与缓解，无需传统监督训练。
2026-05-25 cs.AI cs.CR cs.NI
Optimal Filtering for DDoS Attacks
分布式拒绝服务（DDoS）攻击是当今互联网中的一个主要问题。在DDoS攻击的一种形式中，大量受感染的主机向受害者发送不需要的流量，从而耗尽受害者的资源并阻止其为合法客户端提供服务。已经提出的处理DDoS的主要机制之一是过滤，它允许路由器选择性地阻止不需要的流量。考虑到DDoS攻击的规模和当今路由器中过滤器的高成本，使用过滤成功缓解DDoS攻击至关重要地取决于过滤资源的有效分配。在本文中，我们考虑一个单一的路由器，通常是网关的受害者，有限数量的可用过滤器。我们研究如何最佳分配过滤器的攻击源，或整个域的攻击源，以最大限度地提高良好的流量保留，过滤器的数量的约束下。我们制定的问题作为一个优化问题，并解决它最佳使用动态规划，研究最优分配的属性，实验与一个简单的启发式和评估我们的解决方案的范围内的现实攻击的情况。首先，我们来看一个单层，其中由于在域的粒度上进行过滤而造成的附带损害很高。其次，我们看看两层的问题，我们有一个额外的限制过滤器的数量和过滤的粒度上的攻击者和域执行。
2006-12-12 cs.NI
Fine-Grained Endpoint-Driven In-Network Traffic Control for Proactive DDoS Attack Mitigation
体积攻击，淹没了目的地的带宽，是当今最常见的DDoS攻击之一。尽管研究和行业都做出了相当大的努力，但我们最近对10多个行业领域的100多名潜在DDoS受害者的采访表明，今天的DDoS预防还远远不够完美。一方面，很少有学术建议被部署在互联网上;另一方面，现有DDoS防御供应商提供的解决方案并不是抵御整个攻击频谱的灵丹妙药。通过对当今DDoS防御的大规模研究，本文提出了MiddlePolice，这是第一个易于部署和主动的DDoS防御机制。我们精心设计了MiddlePolice，使其不需要对互联网核心和客户端网络堆栈进行任何更改，从而在当前的互联网架构中实现了即时部署。此外，依靠我们的新的能力反馈机制，MiddlePolice能够执行目的地驱动的流量控制，使它保证提供受害者所需的流量，而不管攻击者的策略。我们实现了一个原型的MiddlePolice，并证明其可行性，通过广泛的评估，在互联网上，硬件测试平台和大规模的模拟。
2018-07-08 cs.NI
Mitigating IoT Botnet DDos Attacks through MUD and eBPF based Traffic Filtering
针对IoT设备易被纳入僵尸网络发动DDoS攻击的问题，提出基于扩展MUD规则的集成系统，搭配eBPF与iptables两种执行后端，验证了其防护有效性与低影响性。
2023-05-03 cs.CR cs.NI
Tanchun: Robust Flow-Based HTTP(S) DDoS Detection via Behavioral Attribute Guidance
Peking University（北京大学）；Zhongguancun Laboratory（中关村实验室）；Tsinghua University（清华大学）
针对HTTP(S) DDoS攻击流型检测的鲁棒性不足问题，提出感知漂移的Tanchun系统，通过IP对分组聚合流为行为序列并对齐行为属性引导表示学习，在多场景下F1分数达0.988，性能优于次优方法。
2026-10-13 cs.CR cs.NI
eBPF-Based Real-Time DDoS Mitigation for IoT Edge Devices
针对物联网边缘设备易遭DDoS攻击且传统防御不适配的问题，提出基于eBPF与XDP的内核级轻量缓解框架，经仿真和树莓派实测，100Mbps攻击下缓解率超97%，合法流量与系统稳定不受影响。
2025-07-13 cs.CR cs.NI
Tracking Normalized Network Traffic Entropy to Detect DDoS Attacks in P4
分布式拒绝服务（DDoS）攻击是对现代电信网络的持续威胁：检测和反击它们仍然是网络运营商面临的一个关键挑战。DDoS攻击检测通常在一个或多个中央节点中进行，这些节点从网络设备收集大量监控数据，可能会产生与网络过载或检测延迟相关的问题。软件定义网络中可编程数据平面的出现有助于缓解这一问题，为直接在交换机的数据平面中检测DDoS攻击打开了大门。然而，最广泛采用的数据平面程序设计语言，即P4，缺乏对许多算术运算的支持，因此，DDoS检测所需的一些高级网络监控功能不能直接在P4中实现。这项工作克服了这样的限制，并提出了两种新的策略，流基数和归一化的网络流量熵估计，只使用P4支持的操作，并保证一个较低的相对误差。此外，基于这些贡献，我们提出了一个DDoS检测策略依赖于归一化的网络流量熵的变化。结果表明，它具有可比或更高的检测精度比国家的最先进的解决方案，但更简单，完全在数据平面执行。
2021-11-03 cs.NI
5G Networks and IoT Devices: Mitigating DDoS Attacks with Deep Learning Techniques
Al-Baha University（阿尔巴哈大学）
本文针对5G网络中物联网设备面临的DDoS攻击，应用CNN和FNN深度学习算法进行检测与缓解，在专门数据集上均达到99%的准确率，验证了深度学习在提升5G物联网安全性方面的潜力。
2023-11-12 cs.CR cs.LG cs.NI
DDoS Attacks with Randomized Traffic Innovation: Botnet Identification Challenges and Strategies
分布式拒绝服务（DDoS）攻击通常通过$botnet$发起，$botnet$是隐藏在网络中的受损节点的“军队”。因此，用于DDoS缓解的推理工具应该能够及早可靠地区分正常用户和受感染的用户。不幸的是，最近出现的在应用层执行的攻击已经成倍增加了僵尸网络可以利用来隐藏其恶意活动的可能性。新的挑战出现了，不能简单地借用迄今为止已成功应用于早期DDoS范式的工具来解决。在这项工作中，我们基本上提供了三个贡献：$i)$我们为上述攻击类别引入了一个抽象模型，其中僵尸网络通过不断学习环境中可接受的模式来模拟正常流量; $ii)$我们设计了一个推理算法，该算法被证明可以提供一致的（即，随着时间的推移收敛到真正的解决方案）估计僵尸网络可能隐藏在网络中;和$iii)$，我们验证了所提出的推理策略的有效性$real$网络痕迹。
2016-09-09 cs.CR cs.IT cs.NI
DDoS Hide & Seek: On the Effectiveness of a Booter Services Takedown
Booter服务继续提供流行的DDoS即服务平台，并使任何人，无论其技术能力如何，都可以执行具有破坏性影响的DDoS攻击。由于非法入侵者是对互联网运营的严重威胁，并可能造成重大的财务和声誉损失，因此也引起了执法机构和相关反活动的注意。在本文中，我们从一个主要的IXP和两个ISP的角度调查了野外基于引导程序的DDoS攻击以及2018年12月FBI针对15个引导程序网站的影响。我们通过对我们自己的基础设施发起Gbps级别的攻击来研究和比较多个引导程序服务的攻击属性。为了了解来自引导程序的DDoS流量的空间和时间趋势，我们仔细检查了5个月的域间流量。我们观察到，删除只会导致攻击流量暂时减少。此外，一个引导程序被发现通过为其网站使用新域名来快速继续运行。
2019-09-16 cs.NI
Anycast Agility: Network Playbooks to Fight DDoS
IP任播用于DNS和内容分发网络（CDN）等服务，以提供处理分布式拒绝服务（DDoS）攻击的能力。在DDoS攻击期间，服务运营商在任播站点之间重新分配流量，以利用具有未使用或更大容量的站点。根据网站流量和攻击规模，运营商可能会将攻击者集中在少数几个网站，以保护其他网站的运营。运营商在攻击过程中使用这些操作，但如何做到这一点还没有系统地或公开地描述。本文描述了在DDoS攻击下使用BGP转移流量的几种方法，并表明响应剧本可以在攻击期间提供响应选项菜单。为了从这个剧本中选择一个合适的响应，我们还描述了一种新的方法来估计真正的攻击规模，即使在攻击过程中操作员的观点是不完整的。最后，运营商的选择受到分布式路由策略的约束，并非所有选择都有帮助。我们将探讨具体的任播部署如何限制本剧本中的选项，并首次衡量它们在多个任播网络中的普遍适用性。
2022-02-28 cs.NI
Digital Twin-Enabled Intelligent DDoS Detection Mechanism for Autonomous Core Networks
Istanbul Technical University（伊斯坦布尔理工大学）；Microsoft-Denmark（微软丹麦公司）；BTS Group（BTS集团）；Edinburgh Napier University（爱丁堡龙比亚大学）
本文提出基于数字孪生和在线学习的ISP核心网络DDoS检测机制，结合YANG模型与AutoFS模块，实现约97%分类准确率并在攻击开始后约15分钟内完成估计。
2023-10-25 cs.AI cs.CR cs.NI
A New Approach to DDoS Defense using SDN and NFV
今天的网络依赖于昂贵的专有硬件设备，这些设备部署在固定位置，用于DDoS防御。这引入了关于灵活性的关键限制（例如，复杂的路由以使流量到达这些“阻塞点”）以及处理变化的攻击模式的弹性。我们观察到使用新的网络范例（例如，软件定义网络（SDN）和网络功能虚拟化（NFV））来解决这些限制的机会。在此基础上，我们设计并实现了一个弹性和灵活的DDoS防御系统Bohatei。在设计Bohatei时，我们解决了可扩展性，响应性和对抗性的关键挑战。我们已经在Bohatei实施了几个著名的DDoS攻击防御。我们的评估表明，Bohatei是可扩展的（处理500 Gbps的攻击），响应（减轻攻击在一分钟内），并弹性动态对手。
2015-08-05 cs.NI
Redefining DDoS Attack Detection Using A Dual-Space Prototypical Network-Based Approach
Fordham University（福特汉姆大学）；RENCI UNC at Chapel Hill（北卡罗来纳大学教堂山分校RENCI研究所）；University of South Florida（南佛罗里达大学）
针对DDoS攻击检测的挑战，提出基于双空间损失函数的双空间原型网络方法，结合隐空间表示学习提升检测性能，在多场景下验证了高准确率与鲁棒性。
2024-06-04 cs.CR cs.LG cs.NI
Improved security solutions for DDoS mitigation in 5G Multi-access Edge Computing
多访问边缘计算（MEC）是一种支持5G的解决方案，旨在将云计算功能更接近最终用户。本文重点介绍了5G MEC环境下针对分布式拒绝服务（DDoS）攻击的缓解技术，提供了涉及虚拟化环境和MEC架构管理实体的解决方案。建议的解决方案旨在降低DDoS攻击背景下影响合法流量的风险。我们的工作支持的想法，使用网络流收集器发送数据的异常检测系统的基础上，人工智能技术，作为对以前的工作的改进，它有助于重定向检测到的异常隔离到一个单独的虚拟机。该虚拟机使用深度数据包检测工具来分析流量并提供服务，直到最终判决。我们通过隔离可疑流量来降低危害为合法用户提供服务的虚拟机的风险。MEC架构的管理实体允许重新实例化或重新配置虚拟机。因此，如果检查隔离流量的机器由于攻击而崩溃，则可以恢复损坏的机器，而提供给合法用户的服务不受影响。
2021-11-10 cs.CR cs.NI
EIP - Preventing DDoS with Ephemeral IP Identifiers Cryptographically Generated
如今，拒绝服务（DoS）攻击占互联网上发生的所有攻击的很大一部分，并且其强度一直在增长。主要的拒绝服务攻击方法包括向受害者发送虚假的数据包，查询或回复，以防止他们履行自己的角色。如果在任何数据包交换中强制进行端到端强身份验证，则在网络级别防止DoS攻击将更加简单。然而，强制采用这一标准也可能弊大于利。在本文中，我们提出了一个端点寻址方案和一组安全程序，满足大多数网络级拒绝服务的预防要求。主机使用加密生成的临时IP标识符并绑定到其使用上下文，而不是被公共稳定IP地址所知。自签名证书和基于挑战的协议允许在不需要任何第三方的情况下实施对DoS攻击的防御。在开放的互联网上使用这些特殊IP地址的通信由所谓的Map/Encap方法支持，在我们看来，未来的互联网迟早会需要这种方法。
2017-01-03 cs.CR cs.NI
A Machine-Synesthetic Approach To DDoS Network Attack Detection
Vladimir State University（弗拉基米尔国立大学）
在作者看来，异常检测系统，或ADS，似乎是在攻击检测的主题最有前途的方向，因为这些系统可以检测，除其他外，未知的（零日）攻击。为了检测异常，作者建议使用机器联觉。在这种情况下，机器联觉被理解为允许在检测网络异常的问题中使用图像分类算法的接口，使得可以使用最近广泛和积极开发的非专业图像检测方法。所提出的方法是将网络流量数据“投影”到图像中。从实验结果可以看出，所提出的异常检测方法在检测攻击方面表现出较高的效果。在大样本上，复合效率指标的值达到97%。
2019-03-22 cs.CR cs.CV cs.NI
Detecting Target-Area Link-Flooding DDoS Attacks using Traffic Analysis and Supervised Learning
Singapore University of Technology and Design（新加坡科技设计大学）；University of Luxembourg（卢森堡大学）；SAP Innovation Center Singapore（新加坡SAP创新中心）
一种新型的极端链接泛滥DDoS（分布式拒绝服务）攻击旨在通过同时针对选定的一组网络链接来切断整个地理区域（如城市甚至国家）的互联网。交叉火力攻击是一种目标区域链路泛洪攻击，它分为三个复杂的阶段。该攻击使用大规模分布的大规模僵尸网络来生成低速率的良性流量，旨在拥塞选定的网络链路，即所谓的目标链路。采用良性流量，同时针对多个网络链接，使检测交叉火力攻击成为一个严峻的挑战。在本文中，我们提出了分析和仿真结果，显示迄今未识别的漏洞在执行的攻击，如僵尸网络流量的协调和攻击的质量之间的相关性，以及攻击分布和攻击的可检测性之间的相关性。此外，我们还确定了由于机器人同步而导致的预热期。对于攻击检测，我们报告使用两种监督机器学习方法的结果：支持向量机（SVM）和随机森林（RF）的分类网络流量正常和异常流量，即攻击流量。这些机器学习模型已经在各种场景中使用链接量作为主要特征集进行了训练。
2019-03-01 cs.CR cs.LG cs.NI
ORACLE: Collaboration of Data and Control Planes to Detect DDoS Attacks
由软件定义网络（SDN）范例实现的对控制和数据平面进行编程的可能性代表了一片肥沃的土壤，在其之上可以充分探索新颖的操作和管理机制，基于机器学习技术的分布式拒绝服务（DDoS）攻击检测是这项工作的重点。为了进行检测，本文提出了ORACLE：cOllaboRation的dAta和控制pLanEs检测DDoS攻击，一个架构，促进协调的控制和数据平面检测网络攻击。作为其第一个贡献，该架构委托数据平面的提取和处理每个流收集的交通信息。这样做是为了简化在攻击检测中使用的特征集的计算和分类，因为所需的流信息在到达控制平面时已经被处理。此外，作为第二个贡献，该架构打破了限制，计算一些功能，是不可能实现在传统的基于OpenFlow的环境。在对ORACLE的评估中，我们使用K-最近邻模型在测试阶段获得了高达96%的准确性。
2020-09-22 cs.NI
Detecting and Mitigating DDoS Attacks with AI: A Survey
Department of Computer Science, University of Bucharest（布加勒斯大学计算机科学系）
本文综述了基于AI的DDoS攻击检测与缓解方法，提供了基于专家层次和AI生成树状图的分类法，讨论了数据集、对抗训练及未来研究方向。
2026-06-17 cs.AI cs.CR cs.LG
Denial of Service Attacks Detection in Software-Defined Wireless Sensor Networks
软件定义网络（Software-defined networking，SDN）是一种很有前途的技术，可以克服无线传感器网络（wireless sensor networks，WSN）中的许多挑战，特别是在灵活性和重用方面。相反，集中化和平面分离使SDN容易受到分布式拒绝服务（DDoS）攻击的一般背景下的新的安全威胁。识别DDoS的最新方法并不总是考虑典型WSN中的限制，例如，计算复杂性和功率约束，而进一步的性能改进始终是目标。这项工作的目的是提出一个轻量级的，但非常有效的DDoS攻击检测方法，使用变化点分析。我们的方法具有较高的检测率和线性复杂度，使它适合于无线传感器网络。我们证明了我们的检测器在软件定义的无线传感器网络的36和100个节点不同的攻击强度（攻击者的数量范围从5%到20%的节点）的性能。我们使用变化点检测器来监测两个指标的异常：数据包的交付率和控制包的开销。我们的实验结果显示，随着攻击强度的增加，我们的方法可以达到接近100%的检测率，并且可以推断出攻击的类型。
2020-03-26 cs.CR cs.NI
DoS and DDoS in Named-Data Networking
随着越来越多的人认识到，目前的互联网协议正在达到其衰老的极限，一些正在进行的研究工作，旨在设计潜在的下一代互联网架构。虽然它们在成熟度和范围上有所不同，但为了避免过去的陷阱，这些努力都试图将安全和隐私视为基本要求。对困扰当今互联网的拒绝服务（DoS）攻击的恢复能力是任何新架构的主要问题，值得充分关注。在本文中，我们专注于拒绝服务在一个特定的候选下一代互联网架构命名数据网络（NDN）-信息为中心的网络方法的实例。通过强调内容传播，NDN似乎是许多类型的当前和新兴的通信模型的吸引力和可行的方法。它还集成了一些基本的安全功能，可以减轻某些攻击。然而，NDN的拒绝服务攻击的弹性还没有被分析的日期。本文代表了NDN中DoS评估和可能缓解的第一步。在识别和分析了几种新的攻击类型后，研究了它们的变化、影响和对策。本文还揭示了一些关于自我证明相对于人类可读名称的相对优点的长期争论。
2012-08-07 cs.CR cs.NI
LogDos: A Novel Logging-based DDoS Prevention Mechanism in Path Identifier-Based Information Centric Networks
信息中心网络（ICN）是近年来出现的下一代互联网的一种新的网络模式。这些网络的主要目标是提供有效的机制，内容分发和检索的基础上，在网络内容缓存。不同ICN架构的设计解决了传统互联网中存在的许多安全问题。因此，允许通过互联网进行安全、可靠和可扩展的通信。然而，最近的研究表明，这些架构容易受到不同类型的DDoS攻击。提出了一种基于路径标识的信息中心网络分布式拒绝服务攻击（DDoS）防御机制。所提出的机制，称为LogDos，执行基于GET消息日志记录的过滤，并采用基于Bloom过滤器的日志记录来存储传入的GET消息，以便验证相应的内容消息，同时过滤来自恶意主机的数据包。我们开发了三个版本的LogDos与不同级别的存储开销在LogDos启用路由器。大量的模拟实验表明，LogDos是非常有效的DDoS攻击，因为它可以过滤超过99.98%的攻击流量在不同的攻击场景，同时产生可接受的存储开销。
2020-06-04 cs.NI
An Ant Based Framework for Preventing DDoS Attack in Wireless Sensor Networks
由于无线传感器网络运行在无人值守的环境中，并携带对应用至关重要的敏感信息，因此安全性和隐私性是无线传感器网络需要考虑的两个重要参数。然而，应用安全技术，消耗最少的资源仍然是一个挑战，本文试图解决这个问题。拒绝服务攻击是传感器网络中最主要的攻击之一，它不仅会降低网络容量，而且会影响信息传输的可靠性。这项工作是我们以前的工作，可以成功地检测使用蚂蚁DDoS的扩展。但是，没有强调预防机制。在本文中，一个基于蚂蚁的框架，利用无状态和有状态的签名的意义，因此只保留合法的数据包，从而丢弃污染的数据包已被提出。
2010-07-01 cs.NI
Anomaly-based Intrusion Detection System Using Fuzzy Logic
最近，分布式拒绝服务（DDOS）攻击已被用于不同的方面，以拒绝为最终用户提供的服务的数量。因此，迫切需要设计一种有效的检测方法来抵御这类攻击。模糊推理系统提供了一个更可读和理解的形式的结果。介绍了一种基于模糊逻辑的异常入侵检测系统。模糊逻辑推理系统实现为分布式拒绝服务（DDOS）攻击的检测方法。该方法被应用于一个开源的DDOS数据集。实验结果表明，基于模糊逻辑的异常入侵检测系统在使用模糊推理系统的基础上，采用InfoGain特征选择方法，得到了最好的结果，其真阳性率为91.1%，假阳性率为0.006%.
2021-06-22 cs.CR cs.NI
ALBUS: a Probabilistic Monitoring Algorithm to Counter Burst-Flood Attacks
本文提出概率监测算法ALBUS，解决传统sketch算法在突发洪泛DDoS攻击下误报率高的问题，在提升召回率和精确率的同时支持高流量速率，并通过FPGA和P4实现验证其可扩展性与可编程交换机适用性。
2023-07-07 cs.CR cs.NI
Cybersecurity Attacks in Vehicle-to-Infrastructure (V2I) Applications and their Prevention
互联车辆（CV）环境由各种数据汇集、数据通信和传播以及计算基础设施系统组成，这些系统与所有传统计算环境一样容易受到网络攻击。网络攻击可能会危及互联汽车应用的预期安全性、移动性、能源和环境效益。由于网络攻击可能导致严重的交通事故，它已成为联网汽车应用中的主要问题之一。在本文中，我们从V2I应用的角度研究了网络攻击对V2I网络的影响。然后，我们开发了一种新的V2I网络安全架构，命名为CVGuard，它可以检测和防止对V2I环境的网络攻击。在设计CVGuard时，考虑了可扩展性、弹性和未来可用性等关键挑战。在V2I应用程序上使用分布式拒绝服务（DDoS）的案例研究，即，停止标志间隙辅助（SSGA）应用程序表明，CVGuard在减轻DDoS攻击造成的不利影响方面是有效的。在我们的案例研究中，由于DDoS攻击，次要和主要道路车辆之间的冲突发生在无信号交叉口，这可能导致潜在的碰撞。由于CVGuard的运作，车辆之间的冲突减少。根据CVGuard安全平台实施和运行前后的冲突数量，对冲突减少情况进行了比较。分析显示，CVGuard采用的策略成功地将车辆间冲突减少了60%，其中DDoS攻击在无信号交叉口危及SSGA应用程序。
2017-11-29 cs.CR cs.NI
Securing Heterogeneous IoT with Intelligent DDoS Attack Behavior Learning
本文提出基于 MEC 的本地化 DDoS 防御框架 MECshield，通过中央控制器协调边缘智能过滤器并依据攻击行为训练 SOM，在三类典型 IoT 流量场景中优于现有方案。
2019-08-07 cs.NI
IP Traceback for Flooding attacks on Internet Threat Monitors (ITM) Using Honeypots
Internet Threat Monitoring（ITM）是一种高效的监控系统，用于全球范围内测量、检测、表征和跟踪拒绝服务（DoS）和分布式拒绝服务（DDoS）攻击和蠕虫等威胁。.为了阻止互联网上的监控系统，攻击者的目标是ITM系统。在本文中，我们解决了对ITM监视器的DDoS洪水攻击耗尽网络资源，如带宽，计算能力，或操作系统数据结构发送恶意流量。我们提出了一个信息理论的框架，模型的洪水攻击使用僵尸网络的ITM。对付DDoS攻击的一种可能方法是追踪攻击源并惩罚肇事者。我们提出了一种新的跟踪方法DDoS使用蜜罐。通过蜜罐进行IP跟踪是一种单一的数据包跟踪方法，比常用的数据包标记技术更有效。
2012-02-21 cs.NI
