随着Internet的迅速发展,网络安全问题正日益为人们所关注。防御分布式拒绝服务(DDoS)攻击是当今网络安全领域最难解决的问题之一。其中重要的原因在于网络上大量不安全的机器的存在,DDoS攻击工具的广泛可获得性以及攻击者通常采用假冒的源IP地址。因此,研究DDoS攻击及其对策是非常重要的。本文对分布式拒绝服务攻击的原理,过程等方面进行了详细研究并对拒绝服务攻击的对策作了分析、整理,分别从DDoS的防御,检测和追踪三个方面展开讨论。利用Tabu包标记中基于双钥序列的消息认证码理论,以自适应概率包标记和高级包标记Ⅱ为基础,针对当前危害甚大的拒绝服务攻击,本文提出了一种改进的Tabu包标记方法。以自适应概率为基础,既达到了较高的追踪收敛率,又能最大限度地降低攻击者伪造数据包的余地。采用基于双钥序列的HMAC算法,对标记信息进行认证,防止攻击者修改已有的标记信息,达到较高的安全性和抗干扰性。基于追踪部署的相关理论和着色包标记算法,针对当前危害甚大的分布式拒绝服务攻击,提出一种基于追踪部署的IP回溯算法。该算法是以贪心算法为基础利用K-剪枝算法在网络拓扑图中找出一些关键的路由器,利用这些路由器也就是只让tracers对过往的数据包按照着色包标记算法进行标记,这样不但减少了重构路径所需的数据包数,降低了路径误报率,提高了追踪到攻击者的速度,而且大大减轻了路由器标记的负担,从而能够迅速而准确的找到攻击源。