分布式拒绝服务攻击DDoS是互联网环境下最具有破坏力的一种攻击方式。它利用TCP/IP协议的缺陷和网络带宽资源的有限性,向被攻击方恶意发送许多连接请求或无用的数据包,从而大量占用受害者的系统和带宽资源使其无法再继续响应其他正常用户的请求。 本文研究的主要贡献在于以下四个方面:(1)对DDoS的攻击机制、攻击分类、攻击方式做了细致地分析,为各种抵御DDoS攻击方案的提出提供了基本的依据;(2)探讨了DDoS攻击抵御的最新研究成果,对作为重点的检测引擎,分析了各种基于异态和特征的检测算法,评价了它们的适用条件,同时整合它们各自的优点,提出了优化检测方式的思想;(3)针对DDoS攻击的预防,对现有的SYN cache和SYN cookie技术的不足,提出了基于随机矩阵的预防改进方案,提升了系统在受到攻击时的生存水平;(4)在攻击的响应方面,其一,提出了一个基于ISP域内的安全响应方案。该方案引入了安全认证过程,强化了响应系统的健壮性,方案对现有的网络设备性能影响小,具有部署的可行性。其二,在给出了各种IP追踪技术的基础上,对它们的有效性、健壮性、系统开销等做了综合的比较和评价,给出了可行的追踪方案。