随着互联网的迅速发展,人们对其依赖性越来越大,网络的安全性也越来越受到重视。网络本身(特别是TCP/IP协议)的安全缺陷导致各种攻击层出不穷,其中,拒绝服务攻击以其攻击范围广、隐蔽性强、简单有效等特点成为最常见的网络攻击技术之一,它极大地影响了网络和业务主机系统的有效服务。同时,分布式拒绝服务攻击,由于其隐蔽性和分布性而难于被检测和防御,更是严重的威胁着互联网的安全。如何准确的区分攻击数据流和合法数据流成为抵御该攻击的关键,从该点出发,本文做了如下工作:(1)在系统地概括拒绝服务攻击方法后,分析了DDoS攻击原理,介绍了DDoS攻击工具的发展历史,并对三种工具的主要特点作了比较。然后在简要介绍DDoS攻击各种分类方法的基础上,提出了自己的一种分类方案;(2)从预防、检测、源追踪以及响应四个方面综述了国内外关于DDoS攻击的防御机制研究,在分类的基础上对每种机制的优缺点进行讨论,指出了当前抵御机制的不足之处;(3)为了抵御不断变化的攻击场景,加强响应机制的部署更具有现实性与可行性。本文提出了基于TCP IP报头分析和主动测试的DDoS抵御机制,将DDoS攻击分为面向连接的和面向无连接两类,使用不同的方法来区别对待它们。使用动态更新的规则集来分析TCP IP报头以抵御如UDP Flood这类的无连接攻击,通过主动测试机制来抵御面向连接的DDoS攻击,即采用TCP协议内在的拥塞控制和可靠的传输机制来测试每一个TCP流,从而鉴别其是否为恶意数据流:(4)使用OPNET Modeler工具对三种典型的DDoS攻击进行了仿真实验,初步的实验验证了该机制的有效性。