抗IP分片逃避技术的设计与实现

来源：计算机工程与科学杂志2015年第2期北京时间：

作者：刘宝超,张怡，张博锋

单位：（国防科学技术大学计算机学院，湖南 长沙 410073）

摘要：通过对目前NIDS的检测技术、IP分片形成以及重组机制的分析，发现常用的NIDS的检测方法不能很好地检测包含在IP分片中的攻击特征，这是由于不同的系统对于分片的处理策略是不同的，不能根据NIDS的处理结果推断终端主机的处理结果，从而包含攻击特征的IP分片可以轻松地逃避NIDS的检测。为此，提出了一种针对于抵抗IP分片攻击的方法，通过在NIDS的前端串行地加入一个流量预处理引擎TPE,对IP分片进行预定的规则处理。实验结果表明，此种方法能够有效地抵御90%以上的IP分片攻击。

关键词：NIDS,IP分片重组,IP分片,逃避,流量预处理引擎,

基金资助：国家自然科学基金资助项目（61303264）；国家863计划资助项目（2012AA013002）