[論文レビュー] LineSwitch: Efficiently Managing Switch Flow in Software-Defined Networking while Effectively Tackling DoS Attacks

Moreno Ambrosin, Mauro Conti+2 more|arXiv (Cornell University)|Feb 8, 2015

Software-Defined Networks and 5G被引用数 13

ひとこと要約

LineSwitch は、ソフトウェア定義ネットワーキング（SDN）における制御プレーンの過負荷攻撃、特に SYN フロッディングを緩和するための新しい防御メカニズムであり、確率的接続プロキシングとトラフィックブラックリストリングを組み合わせたものである。最新のソリューションである Avant-Guard よりも最大 30% の時間オーバーヘッド削減を実現しながら、制御プレーンおよびバッファ過負荷攻撃の両方に対して効果的に防御する。

ABSTRACT

Software Defined Networking (SDN) is a new networking architecture which aims to provide better decoupling between network control (control plane) and data forwarding functionalities (data plane). This separation introduces several benefits, such as a directly programmable and (virtually) centralized network control. However, researchers showed that the required communication channel between the control and data plane of SDN creates a potential bottleneck in the system, introducing new vulnerabilities. Indeed, this behavior could be exploited to mount powerful attacks, such as the control plane saturation attack, that can severely hinder the performance of the whole network. In this paper we present LineSwitch, an efficient and effective solution against control plane saturation attack. LineSwitch combines SYN proxy techniques and probabilistic blacklisting of network traffic. We implemented LineSwitch as an extension of OpenFlow, the current reference implementation of SDN, and evaluate our solution considering different traffic scenarios (with and without attack). The results of our preliminary experiments confirm that, compared to the state-of-the-art, LineSwitch reduces the time overhead up to 30%, while ensuring the same level of protection.

研究の動機と目的

• SDN の制御プレーン過負荷攻撃を緩和する最先端のソリューションである Avant-Guard に、これまで報告されていなかった脆弱性を特定・分析すること。
• Avant-Guard が SYN プロキシングを採用することで、スイッチにおける過剰な状態追跡に起因して、バッファ過負荷攻撃という新たな攻撃表面が生じることを示すこと。
• 低オーバーヘッドを維持しながら、制御プレーンおよびバッファ過負荷攻撃の両方に対する防御を可能にする、新しい防御メカニズム LineSwitch の設計および評価を行うこと。
• 特に攻撃状態下において、Avant-Guard よりも LineSwitch が顕著に時間オーバーヘッドを低減することを示すこと。
• 異なるネットワーク要件に応じて設定可能な移行確率パラメータ $P_p$ を用いて、調整可能でスケーラブルな防御を提供すること。

提案手法

• スイッチが入力される TCP SYN パケットの一部のみをプロキシする確率的接続プロキシングメカニズムを導入し、設定可能なパラメータ $P_p$ で制御する。
• 攻撃トラフィックをコントローラに到達させる前にフィルタリング・破棄するための確率的ブラックリスト戦略を採用し、不要なフローテーブルエントリの発生を低減する。
• OpenFlow を拡張して LineSwitch の論理をスイッチに直接統合し、データプレーンで透明かつ効率的なトラフィックフィルタリングを可能にする。
• SYN プロキシング（一部の接続に限定）とリアルタイムのトラフィック分析を組み合わせたハイブリッドアプローチを採用し、洪水様パターンを特定・ブロックする。
• アクティブなプロキシセッション数が $P_p$ によって制限されるようにシステムを設定し、持続的な攻撃時でもバッファの枯渇を防ぐ。
• 変動するバッファサイズ、攻撃レート、$P_p$ 値を想定したシミュレーションを用いて、通常時および攻撃時における LineSwitch の評価を実施する。

実験結果

リサーチクエスチョン

• RQ1 最先端の Avant-Guard 解決策が制御プレーン過負荷攻撃の緩和において、どのような脆弱性を引き起こすのか？
• RQ2 Avant-Guard を実行するスイッチに対して、現実的なネットワーク条件下でバッファ過負荷攻撃を実際に実行可能か？また、その有効性はいかほどか？
• RQ3 通常時および攻撃時において、LineSwitch は Avant-Guard よりもどれほど時間オーバーヘッドを低減するのか？
• RQ4 移行確率 $P_p$ の選択が、LineSwitch のバッファ過負荷攻撃に対するレジリエンスにどのように影響を与えるか？
• RQ5 高容量の SYN フロッディング下でも、LineSwitch はパフォーマンスオーバーヘッドを最小限に抑えながら、100% のページ取得成功率を維持できるか？

主な発見

• 1 Mbps の攻撃レートと 2^22 バイトのバッファを備えた OpenFlow スイッチは、Avant-Guard を実行している場合、わずか 74.718 秒でバッファ過負荷攻撃によって無効化される可能性がある。
• 同じ条件下で $P_p = 0.05$ の LineSwitch は、バッファ過負荷に至るまでの時間を 769.487 秒にまで延長し、Avant-Guard よりも 10 倍以上長い。
• 通常トラフィック下では、LineSwitch の平均時間オーバーヘッドは 7.67% にとどまるが、Avant-Guard は 41.83% のオーバーヘッドを示した。
• 6.5 Mbps の SYN フローディング攻撃下では、LineSwitch のオーバーヘッドは 5.45% にとどまるが、Avant-Guard は 36.92% のオーバーヘッドを示した。
• 両方のソリューションが攻撃下でも 100% のページ取得成功率を維持したため、ネットワーク機能の維持に有効であることが確認された。
• LineSwitch の攻撃耐性は $P_p$ に比例して向上する：$P_p$ の値が低いほど、バッファを過負荷にするまでの時間が著しく延長され、設定可能なセキュリティ強度が得られる。