随着基于Web的应用迅速普及,许多关键服务都通过网络来提供,所以如何能够保证网络本身的安全和可用性成为网络安全研究中一个最重要的问题。近年来,严重的安全入侵事件时有发生,许多关键的网络应用都受到威胁,比如电力网络系统、银行网络系统、重要的网络服务器等。分布式拒绝服务DDoS(Distribute Denial of Service)攻击以耗尽网络资源,从而使服务不可用的方式,成为最难解决的网络安全问题之一。虽然围绕这个问题展开了很多研究,但目前对DDoS攻击防范的工作并没有取得实质性的重大突破。研究的焦点主要围绕如何能够准确、及时的对DDoS攻击进行准确检测,以及如何对攻击源进行快速、有效的追踪。针对DDoS攻击的检测,本文对网络业务的自相似性进行了研究。在验证局域网流量具有严格自相似性的基础上,对常用的Hurst系数计算方法进行了性能比较,选取了合适的快速计算方法。设计了多种仿真实验,并在对实验数据分析的基础上关注了DDoS攻击对Hurst系数产生的定量影响,提出了利用Hurst系数的方差变化作为对DDoS攻击检测的准确判据。最后从性能上分析和验证了该方法在实际应用中的可行性。和传统检测方案相比,该方案不需要对网络数据包内容进行检测,效率较高,可用于大流量网络节点的DDoS攻击检测和防范工作。针对DDoS攻击的攻击源追踪,本文在分析了DDoS攻击特点的基础上,基于传统分片标记的思想,提出了改进的分片标记方案和可校验的改进分片标记方案。与传统标记方法相比,这些改进扩展了散列标记域,增加了定位的准确性,简化了路径重构的复杂性。同时,实验也验证了上述两种攻击源定位方案可准确定位大范围DDoS攻击,具有良好的时效性,较低的处理、带宽负载和部署代价。