實踐性“暗網”測量——–Practical Darknet Measurement

今天的internet被各種攻擊困擾，這些攻擊通常面向使用者或者是網路設施。一種很流行的檢測攻擊以及被感染主機的方法是檢測那些沒有被使用的網路地址。由於很多網路威脅都是隨機傳播的，那些企圖能夠通過監測未使用的地址空間來捕獲。這些用來監測未使用地址空間的組件被稱為“暗網”（darknets）、網路望遠鏡（network telescopes）或者“黑洞”（blackholes）。他們捕獲關於多種範圍威脅的重要訊息，諸如：蠕蟲、DOS攻擊、殭屍網路等。描述分析了與部署“暗網”，評估布置，服務配置以及分析“暗網”收集的資料相關的重要測量問題。作為支援，我們使用了長達4年的Internet Motion Sensor (IMS)的運行資料，這個網路的分布式“暗網”監測來自3個大陸19個組織60個不同IP地址塊的流量。

我們首先描述怎樣安裝、配置“暗網”以便將流向未使用地址的流量導向到監測系統。然後我們分析來自不同尺寸的“暗網”的資料，來評估“暗網”測量需要的儲存以及網路資源。然後我們討論了在地址空間和網路拓撲中布置“暗網”是如何影響監測系統的能見度的。我們還描述了報文響應是怎樣影響能見度的。特別地我們展示了無響應、SYN-ACK響應、模擬系統、應用級響應、真實的honeypot主機響應是如何描述互動性的，這種互動效能夠提供關於網路事件及威脅附加的智能。最後通過理解如何布置和配置“暗網”監測器，我們描述了用於從“暗網”監測器收集的資料中識別重要事件的不同方法。

“暗網”可提供大量高維測量資料，這些流量大體分為四類：

1、通過蠕蟲、殭屍網路、使用工具企圖感染；

2、錯誤配置的應用請求和響應；

3、反向的偽造DOS攻擊；

4、網路掃描和探測。