臺灣博碩士論文加值系統

隨著資訊科技的普及，企業及個人對於網際網路的依存度日益加深，故資訊安全的防護日趨重要，因此本研究旨在深入探討入侵防禦系統在抵禦DDOS攻擊時效能評估的方法與實作方式，以提供資訊安全相關人員在評估導入IPS(入侵防禦系統)時之規劃參考。
為了達成上述之目的，首先進行相關文獻分析與探討，作為研究架構基礎。並依據IETF（Internet Engineering Task Force，國際網路工程研究團隊）組織制定之RFC 3511 Benchmarking Methodology for Firewall Performance（防火牆效能評估方法），且參考NBL (Network Benchmarking Lab，工研院交大網路測試中心)之Network and Content Security Appliance標準測試計劃書提供的測試方法，並使用Smartbit 600網路封包測試儀及搭配WebSuite網路封包測試軟體，以三種不同的DDOS攻擊類型（Syn Flood、UDP Flood及Ping Flood），搭配不同的DDOS攻擊強度（每秒5M、10M、15M、20M及50M），並挑選三種知名廠牌之IPS(入侵防禦系統)，完成一個測試IPS於DDOS攻擊下運作效能的評估方法，並依據所提出評估方法實際測試特定的硬體設備。

With the increasing prevalence of information technology, both enterprises and individuals have more and more reliance on the Internet. Protection of information security has thus become more important than ever. This study aimed to investigate how to evaluate the performance of intrusion prevention systems (IPS) at defending DDOS attacks and how to implement the evaluation method. Its result was expected to be a reference for information security staff on introduction of an IPS.
To achieve the above objective, a review and analysis of literature was conducted to build the research framework. Based on RFC 3511 Benchmarking Methodology for Firewall Performance set up by IETF (Internet Engineering Task Force) and the testing method provided in Network and Content Security Appliance by NBL (Network Benchmarking Lab), an anti-DDOS attack performance evaluation method for IPSs was proposed. Three IPSs from well-known brands were selected. Their performances at defending three types of DDOS attacks (Syn Flood, UDP Flood, and Ping Flood) at varying strengths (5M, 10M, 15M, 20M, and 50M per second) were tested using Smartbit 600 network performance analysis system and WebSuite network packet testing software. Finally, the proposed evaluation method was also applied to test specific hardware facilities.

目 錄
指導教授推薦書 i
論文口試委員會審定書 ii
長庚大學碩士論文著作授權書 iii
誌 謝 iv
中文摘要 v
英文摘要 vi
目錄 vii
表目錄 ix
圖目錄 x
第一章 緒論 1
1.1 研究背景與重要性 1
1.2 研究動機與目的 2
1.3 研究方法與步驟 3
第二章 文獻探討 5
2.1 IDS與IPS簡介 5
2.1.1 之概念與功能特性 5
2.1.2 IPS之概念與功能特性 6
2.2 網路入侵行為分析與案例說明 7
2.2.1 網路入侵行為分析 7
2.2.2 網路入侵行為案例說明 12
2.3 分散式阻斷服務攻擊與案例說明 13
2.3.1 分散式阻斷服務攻擊 13
2.3.2 分散式阻斷服務攻擊實際案例 16
2.4 常見的DDOS攻擊工具介紹 17
第三章 RFC 3511文獻探討 20
3.1 Introduction 緒論 20
3.2 Scope 範圍 20
3. 3 Test setup 測試設定 20
3.4 Benchmarking Tests 運作效能評量項目(共七項)： 24
第四章 防禦DDOS攻擊的方法 25
4.1 防禦Syn Flood攻擊（洪水式Syn封包攻擊） 26
4.2 防禦UDP Flood攻擊（洪水式UDP 封包攻擊） 28
第五章 三個IPS設備的測試 32
5.1 測試環境介紹 32
5.2 運作效能測試 39
5.2.1 Syn Flood（洪水式Syn封包攻擊）測試 39
5.2.2 UDP Flood（洪水式UDP封包攻擊）測試 46
5.2.3 Ping Flood（洪水式Ping封包攻擊）測試 52
第六章 測試後之效益比較 58
6.1 防禦Syn Flood攻擊能力評比 58
6.2 防禦UDP Flood攻擊能力評比 59
6.3 防禦Ping Flood攻擊能力評比 60
第七章 結論與建議 61
7.1 結論 61
7.2 未來發展與建議 62
參考文獻 64
中文部分 64
英文部分 67
表目錄
表2.1 2008年網站遭惡意攻擊的類型與排名 8
表2.2 2008年網路資源被用於惡意程式的國家排名 8
表2.3 OWASP 10項最危急的網站應用安全弱點 10
表4.1 防禦DDOS攻擊的方式 25
表5.1 IPS測試設備的使用機型 38
表5.2 Fortinet 50B使用Syn Flood攻擊結果紀錄表 40
表5.3 Juniper SSG5使用Syn Flood攻擊結果紀錄表 42
表5.4 Cisco ASA 5505使用Syn Flood攻擊結果紀錄表 44
表5.5 Fortinet 50B使用UDP Flood攻擊結果紀錄表 46
表5.6 Juniper SSG5使用UDP Flood攻擊結果紀錄表 48
表5.7 Cisco ASA 5505使用UDP Flood攻擊結果紀錄表 50
表5.8 Fortinet 50B使用Ping Flood攻擊結果紀錄表 52
表5.9 Juniper SSG5 使用Ping Flood攻擊結果紀錄表 54
表5.10 Cisco ASA 5505使用Ping Flood攻擊結果紀錄表 56
圖目錄
圖1.1 研究步驟圖 4
圖2.1 以竊取線上遊戲帳號密碼為目地的惡意程式數量 9
圖2.2 以竊取社交網站帳號密碼為目地的惡意程式數量 9
圖2.3 2006年4月-2007年4月假網站數量統計 11
圖2.4 正常的TCP三向交握與Syn Flood攻擊之差異 15
圖2.5 賽門鐵克防毒軟體偵測到HGod軟體直接進行刪除動作 17
圖2.6 DDoSMaker軟體設定畫面 18
圖2.7 Attack Packet Simulator DDOS攻擊軟體操作畫面 19
圖3.1 dual-home架構 20
圖3.2 tri-home架構 21
圖3.3 dual-home架構之資料流方向 22
圖3.4 Tri-home架構之資料流方向 22
圖4.1 防禦Syn Flood攻擊的方式 27
圖4.2 UDP Flood攻擊的方式 28
圖4.3 防禦UDP Flood攻擊的方式 29
圖4.4 Ping Flood攻擊的方式 30
圖4.5 防禦Ping Flood攻擊的方式 31
圖5.1 Smartbit 600網路封包測試儀器 32
圖5.2 測試架構圖 33
圖5.3 Smartbit 600各連接埠設定資訊 34
圖5.4 正常資料流設定畫面 34
圖5.5 Syn Flood攻擊資料流設定頁面 35
圖5.6 UDP Flood攻擊資料流設定頁面 36
圖5.7 Ping Flood攻擊資料流設定頁面 37
圖5.8 Fortinet 50B使用Syn Flood攻擊結果之折線圖 41
圖5.9 Juniper SSG5使用Syn Flood攻擊結果之折線圖 43
圖5.10 Cisco ASA 5505使用Syn Flood攻擊結果之折線圖 45
圖5.11 Fortinet 50B使用UDP Flood攻擊結果之折線圖 47
圖5.12 Juniper SSG5使用UDP Flood攻擊結果之折線圖 49
圖5.13 Cisco ASA 5505使用UDP Flood攻擊結果之折線圖 51
圖5.14 Fortinet 50B使用Ping Flood攻擊結果之折線圖 53
圖5.15 Juniper SSG5使用Ping Flood攻擊結果之折線圖 55
圖5.16 Cisco ASA 5505使用Ping Flood攻擊結果之折線圖 57
圖6.1 三個廠牌IPS於Syn Flood攻擊下之TCP Connection 完成率評比 58
圖6.2 三個廠牌IPS於UDP Flood攻擊下之TCP Connection 完成率評比 59
圖6.3 三個廠牌IPS於PING Flood攻擊下之TCP Connection 完成率評比 60
圖7.1 IPS領導廠牌 63

中文部分
[1]朱敏（2005）。IPS主動防入侵。2009年3月取自新華網-中國傳媒科技
http://news.xinhuanet.com/newmedia/2005-11/22/content_3817846.htm
[2]陳瑞文(2005)。WIPS:針對Web 應用安全實作之入侵防禦系統，國立中正大學通訊工程研究所碩士論文。
[3]劉培文（2004）。網路犯罪之法律探討。2009年3月取自ICST
（行政院國家資通安全會報技術服務中心）http://www.clvsc.tyc.edu.tw/
[4]卡巴斯基實驗室(2008)。2008年惡意軟件的發展與演化。
2009年2月取自http://www.kaspersky.com.cn/KL-AboutUs/news2009/04n/090420.htm
[5]卡巴斯基實驗室(2008)。2008年相關統計數據。
2009年2月取自http://www.kaspersky.com.cn/KL-AboutUs/news2009/04n/090420a.htm
[6]賽門鐵克（2009）。Facebook持續遭到駭客利用。2009年6月取自
http://www.symantec.com/zh/tw/about/news/release/article.jsp?prid=20090611_01
[7]趨勢科技(2009)。假防毒軟體藉法航失事案件為跳版。2009年6月取自
http://tw.trendmicro.com/tw/about/news/pr/article/20090619050032.html
[8]趨勢科技(2009)。網路釣客發送假造Microsoft Outlook重新設定電子郵件。2009年6月取自 http://tw.trendmicro.com/tw/about/news/pr/article/20090609083334.html
[9]CERT台灣網路危機處理暨協調中心（2004）。DDoS攻擊的趨勢與
防禦策略。2008年10月取自 http://www.cert.org.tw/
[10]CERT台灣網路危機處理暨協調中心（2005）。DDoS與DoS的發展與
分類。2008年9月取自 http://www.cert.org.tw/
[11]冰盾科技（2006）。Syn Flood網路攻擊原理及防禦方法。
2009年4月12日取自 http://www.janker.org/hacker/47.html
[12]巴哈姆特論壇(2008)。巴哈姆特停機說明。2009年1月取自 http://forum.gamer.com.tw/C.php? bsn=60404&snA=2554&subbsn=0&page=&media=0#9564
[13]iThome黃彥菜（2008）。知名遊戲論壇網站遭中國不肖業者以DDoS攻擊勒贖。2009年5月取自 http://www.ithome.com.tw/itadm/article.php?c=48757
[14]ICST資安論壇(2009)。巴哈姆特與遊戲基地均遭大陸DDOS攻擊。
2009年6月取自http://forum.icst.org.tw/phpbb/viewtopic.php?f=27&t=14945
[15]iThome劉哲銘(2008)。Babyhome網站遭DDoS爆量攻擊
2009年5月取自http://www.ithome.com.tw/itadm/article.php?c=52859
[16]iThome陳曉莉(2007)。全球網路根伺服器遭DoS攻擊
2009年1月取自http://www.ithome.com.tw/itadm/article.php?c=41922
[17]Lion(2003) HGod SynFlood攻擊程式。2008年4月取自：
中國紅客聯盟(http://chinesehongker.com)
[18]蔬菜工作室(2003) DDoS攻擊者v1.4攻擊程式。2008年2月取自：
http://www.cnd8.com/soft/2264.htm
[19]香港IT網，2007。SYN攻擊原理以及檢測防範技術。
2009年4月取自http://www.hkitn.com/print.php/5686
[20]陳俊傑(2005)。以重疊網路防禦分散式阻斷服務攻擊，國立中央大學資訊工程研究所碩士論文。
[21]馬淑貞(2005)。以網路流量資料探勘協助進行阻斷服務攻擊偵測與防禦之研究，國立中山大學資訊管理學系碩士論文。
[22]工研院交大網路測試中心（2006）。Network and Content Security Appliance標準測試計劃書。2009年2月取自
http://www.nbl.org.tw/documents/test_reports/?type=2


英文部分
[23]WIKIPEDIA（2009a）. IDS. 2009/3/5 at: http://en.wikipedia.org/wiki/IDS
[24]WIKIPEDIA（2009b）. IPS. 2009/4/16 at:http://en.wikipedia.org/wiki/IPS
[25]OWASP（2006）.Top Ten Most Critical Web Application Security Vulnerabilities. 2009/5/10 at:
http://www.owasp.org/images/d/d2/OWASPAppSecEU2006_CanTestingToolsReallyFindOWASPTop10.ppt
[26]APWG（Anti-Phishing Working Group）(2008). Phishing Activity Trends Report 2nd Half 2008. 2009/5/4 at:
http://www.antiphishing.org/reports/apwg_report_H2_2008
[27]Matthew Tanase（2002）. An Introduction to Distributed Denial of Service Attacks. 2009/2/20 at: http://www.securityfocus.com/infocus/1647
[28]Wikipedia (2007).Distributed denial of service attacks on root nameservers 2008/6/10 at:
http://en.wikipedia.org/wiki/DNS_Backbone_DDoS_Attacks
[29]Wankyung Kim & Wooyoung Soh(2006). Development of an Attack Packet Generator Applying an NP to the Intelligent APS.2008/6/3 at:
http://www.springerlink.com/content/f2l88804u118q117/
[30]WIKIPEDIA（2009c）. SYN Flood. 2009/2/1 at:
http://en.wikipedia.org/wiki/SYN_flood
[31]Juniper Networks(2008). ScreenOS Reference Attack Detection and Defense Mechanisms. 2008/7/9 at: http://www.juniper.net/techpubs/software/screenos/screenos6.2.0/ce_v4.pdf
[32]WIKIPEDIA（2009d）. UDP Flood. 2009/2/15 at:
http://en.wikipedia.org/wiki/UDP_flood_attack
[33]WIKIPEDIA（2009e）. Ping Flood. 2009/3/15 at:
http://en.wikipedia.org/wiki/Ping_flood
[34]Hickman,B.,& Newman,D., & Tadjudin,S., & Martin,T.(2003).RFC3511 - Benchmarking Methodology for Firewall Performance. 2009/1 /10 at: http://www.faqs.org/rfcs/rfc3511.html
[35]IXIA (2002). IxAttack Denial of Service (DoS) Test Traffic Generator.
2008/6/10 at: http://www.ixiacom.com/products/display?skey=aptixia_ixload_radius_ssh_telnet_dns_dhcp_ldap_ddos