传统的网络安全技术侧重于企业用户网络的系统入侵检测、防病毒软件或防火墙，这类安全措施通常并不能减少运营商网络中的非正常流量。为了降低网络中的异常流量，减少或消除用户所遭受的分布式拒绝服务攻击(Distribution Denial of Service Attacks，DDoS)，运营商的网络与路由交换设备需要具备异常流量监控与拒绝服务能力。路由器中的异常流量监控与拒绝服务方法研究对于运营商向用户提供安全服务具有重要意义。运营商网络中的路由器应该能够对攻击用户的异常流量进行监控并做出反应，根据报文源地址、源端口信息和报文长度等信息的统计特征采用一定的干预规则，比如禁止某些端口的流量或者禁止来自某一端口地址的带宽，对这些非法流量进行抑制或者拒绝服务。

　　路由器面临的威胁有： (1)将路由器作为攻击平台，入侵者利用不安全的路由器作为生成对其他站点的扫描或侦察的平台, 并作为发动DoS攻击的一块跳板。(2)尽管路由器在设计上可以传送大量的传输流，但是它常常不能处理传送给它的同样数量的传输流，入侵者利用这种特性攻击连接到网络上的路由器，而不是直接攻击网络上的系统。相比较而言，前者的难度要大一些。因而DoS (拒绝服务) 成为了对路由器发起攻击的主要手段，在大范围内带来服务器的可用性问题，从而对整个因特网造成严重影响。目前应用于路由器安全的主要技术有防火墙技术、VPN技术、入侵检测和认证技术，这几种当前的主流安全技术在路由器中都得到了应用。此外，路由器特有的网络地址转换(NAT) 技术也能进一步提高因特网的安全性。但是，多种安全技术也有相互制约的方面。防火墙根据IP 报头中信宿地址、信源地址以及其他一些信息决定是否让该数据包通过，而NAT 改变了信源或信宿地址。现阶段，端到端的IPSEC无法在NAT转换路由器中实现。

　　鉴于目前的这种状况，本书系统地阐述了路由器端异常流量的检测与防范技术。本书首先介绍了DoS和DDoS的原理，综述了目前DDoS异常流量的检测技术现状和最新的研究成果。在此基础上介绍了作者创新性地设计并实现的5种DDoS检测算法以及对算法进行的局部仿真测试。在理论研究的基础上，作者结合一个具体的研究项目将上述算法应用到具体的开发中，阐述了开发的系统总体设计和详细设计及安装测试。最后，作者对全文进行了总结。全书共分10章，主要内容介绍如下。

第1章阐述了DDoS攻击的概念及原理，总结了DDoS的基本特征，以及DDoS分析方法。

第2章阐述了对DDoS检测与防御的相关技术，并分析国内外现有的研究成果以及DDoS攻击发展的新趋势。

第3章提出了一种改进的CUSUM(cumulative sum)算法，并在此基础上对核心路由器流量进行实时监控，检测网络流量异常。

第4章提出了一种基于攻击流量特征聚类的特征提取算法AFCAA(Anomaly Traffic Character Aggregation Algorithm)，给出一种过滤攻击流量的反应策，并用实验测试结果加以表明。

第5章设计了一种基于聚集和协议分析的防御分布式拒绝服务攻击的模型APAANTIDDoS(aggregatebased protocol analysis antiDDoS)。

第6章提出了一种基于源目的IP地址数据库的防范DDoS攻击策，并利用这一策略设计了源目的IP地址检测系统SDIM(Source and Destination IP Monitoring)进行仿真验证。

第7章提出了一种异常流量检测方法——防抖动的MMULTOPS(modifiedmultilevel tree for online packetstatistics)结构。

第8章给出了路由器的面向聚集的多层次异常流量控制机制AMAT（AggregatesOriented MultiLevels Anomaly Traffic Control Mechanism in Router）系统总体设计。

第9章阐述了AMAT系统的详细设计。

第10章阐述了AMAT系统的安装及测试。

本书可供从事计算机网络与安全应用和研究人员及大专院校的教师、研究生和高年级本科生使用，也可供有关工程技术人员参考。

本书是作者在南京邮电大学从事多年相关研究的基础上撰写的，并得到国家自然基金（项目号： 60973140）、江苏省自然基金（项目号： BK2009425）、江苏省高校自然基金（项目号： 08KJB520005）资助。由于路由器端DDoS攻击检测和防范技术是一个热门的研究领域，有许多问题尚待进一步研究，因此书中难免存在错误和不足之处，欢迎读者批评指正。作者的Email：sunzx@njupt.edu.cn。

最后，在本书出版之际，我要诚挚感谢张伟博士、宫婧硕士、唐益慰硕士、姜举良硕士、李清东硕士、陈松乐硕士、陈亚当硕士和高同硕士等，他们为本书的出版提供了很多有益的帮助。感谢我的学生唐益慰、姜举良、李清东，他们为本书中的算法和系统作出了重要的贡献。感谢我的爱人张娟和儿子孙翌博，他们给予了我无私的支持和帮助。另外，我也要感谢清华大学出版社的领导和编辑，没有他们的辛勤劳动，就没有本书的出版。

孙知信

2010年1月于南京邮电大学