使用主动延迟建立攻击连接链的关联  

Constructing Correlations in Attack Connection Chains Using Active Delay

作　　者：李强[1] 林雁[1] 刘琨[1] 鞠九滨[1] 

机构地区：[1]吉林大学计算机科学与技术学院,长春130012

出　　处：《计算机科学》2005年第11期55-58,共4页Computer Science

基　　金：国家自然科学基金(90204014)

摘　　要：网络攻击者通常在攻击最后目标前使用双向交互式连接一系列中间主机(跳板机)掩盖其真实攻击路径。本文提出一个主动干扰跳板机连接中数据包间隔延迟的方法,在攻击者所能干扰跳板机连接数据包延迟间隔允许范围之内,通过分析指定时间窗口内连接数据包的活跃程度,在网络出口检测数据包的到达延迟的周期特征,确定攻击连接链的关联。这个方法可以有效地减少连接关联计算量,提高跳板机检测的有效性。Usually network attackers conceal their real attacking paths by establishing interactive connections along a series of intermediate hosts （stepping stones）before they attack the final target. We propose a method for detecting stepping stones by actively perturbing inter-packet delay of connections. Within the attacker＇s perturbation range, the method can construct correlations in attack connection chains by analyzing activity degree of correlation window and monitoring period characteristic of packets delay. The method can reduce the complexity of correlation computations and improve the efficiency of detecting stepping stones.

关 键 词：反向追踪 连接链 主动延迟 攻击者 包延迟 关联 数据包 活跃程度 时间窗口 周期特征 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术] TU398.2[自动化与计算机技术—计算机科学与技术]