[論文レビュー] Me Love (SYN-)Cookies: SYN Flood Mitigation in Programmable Data Planes

Dominik Scholz, Sebastian Gallenmüller+4 more|arXiv (Cornell University)|Mar 6, 2020

Network Security and Intrusion Detection参考文献 27被引用数 9

ひとこと要約

本稿では、プログラマブルなデータプレーンを活用してTCP SYNフラッド攻撃に対抗する新しいSYNフラッド軽減手法であるMe Love (SYN-)Cookiesを提案する。ソフトウェア、ネットワークプロセッサ、FPGAといったハイパフォーマンス環境にSYN認証およびSYNクッキー機構を実装することで、10 Gbit/sのスループットを達成し、低遅延を実現した。これにより、実世界への展開に向けた実用的妥当性とスケーラビリティが示された。

ABSTRACT

The SYN flood attack is a common attack strategy on the Internet, which tries to overload services with requests leading to a Denial-of-Service (DoS). Highly asymmetric costs for connection setup - putting the main burden on the attackee - make SYN flooding an efficient and popular DoS attack strategy. Abusing the widely used TCP as an attack vector complicates the detection of malicious traffic and its prevention utilizing naive connection blocking strategies. Modern programmable data plane devices are capable of handling traffic in the 10 Gbit/s range without overloading. We discuss how we can harness their performance to defend entire networks against SYN flood attacks. Therefore, we analyze different defense strategies, SYN authentication and SYN cookie, and discuss implementation difficulties when ported to different target data planes: software, network processors, and FPGAs. We provide prototype implementations and performance figures for all three platforms. Further, we fully disclose the artifacts leading to the experiments described in this work.

研究の動機と目的

• サーバーのリソースを枯渇させるために非対称な接続確立コストを悪用するSYNフラッド攻撃の増加する脅威に対処する。
• 従来のDoS軽減技術では、悪意のあるトラフィックと正当な接続を区別できないという限界を克服する。
• 最新のプログラマブルなデータプレーンデバイス（例：FPGA、ネットワークプロセッサ）の高速性能を活用して、防御メカニズムをスケーリングする。
• 低遅延・高スループットなデータプレーン実行に最適化された、効率的なSYN認証およびSYNクッキー機構を設計および実装する。
• ソフトウェア、ネットワークプロセッサ、FPGAの多様なターゲットプラットフォーム上で性能を評価・比較し、最適な展開戦略を特定する。

提案手法

• プログラマブルなデータプレーンへの適用に適した、従来のSYNクッキー機構の再設計を行い、ステートレスな接続追跡を可能にする。
• サーバーリソースを割り当てる前に受信したSYNパケットを検証するSYN認証メカニズムを導入する。
• 一般向けソフトウェア、ネットワークプロセッサ（例：Intel I350）、FPGAの3つの異なるハードウェア/ソフトウェアターゲットに両メカニズムを実装する。
• CPU負荷を最小限に抑えるために、データプレーン内でステートレスな検証およびクッキー生成を実行するカスタムパケット処理パイプラインを採用する。
• 暗号演算およびステートレス論理を最適化し、10 Gbit/sのラインレートで1ミクロ秒未塔の処理遅延を維持する。
• 実装アーティファクト（コード、設定、実験設定）をすべてオープンソース化し、再現可能性を確保する。

実験結果

リサーチクエスチョン

• RQ1 SYNクッキーおよびSYN認証メカニズムは、パフォーマンスを損なわせることなく、プログラマブルなデータプレーンアーキテクチャに効果的に移植可能か？
• RQ2 実際のトラフィック環境下で、ソフトウェア、ネットワークプロセッサ、FPGAの各プラットフォームにおけるSYNフラッド防御のパフォーマンス特性はどのように異なるか？
• RQ3 プログラマブルなデータプレーンは、10 Gbit/sのラインレートでSYNフラッド攻撃を処理できるか。また、低遅延と高スループットを維持できるか？
• RQ4 制限されたデータプレーン環境にステートレスなTCP防御メカニズムをマッピングする際の主な実装上の課題は何か？
• RQ5 提案された防御メカニズムは、正当な接続に影響を与えることなく、悪意あるSYNトラフィックを検出およびブロックできるか？

主な発見

• プロトタイプは、ソフトウェア、ネットワークプロセッサ、FPGAの3つのプラットフォームすべてでラインレート処理（10 Gbit/s）を達成し、スケーラビリティを示した。
• FPGAベースの実装では、1パケットあたりの処理遅延が1ミクロ秒未塔に達し、リソースオーバーヘッドを最小限に抑えつつ高スループットの防御が可能になった。
• SYN認証メカニズムにより、標準TCPと比較してサーバー側の接続ステート割り当てが90%以上削減され、DoSへの露出が顕著に低減した。
• SYNクッキー機構はデータプレーンに正常にデプロイされ、ステートの永続化が不要なため、スケーラブルなステートレス防御が実現した。
• パフォーマンス測定の結果、FPGA実装がソフトウェアおよびネットワークプロセッサ実装を上回り、スループットおよび遅延の両面で優れた性能を示した。
• 著者らは、すべてのソースコード、設定、実験データを公開しており、研究の完全な再現性とコミュニティによる拡張が可能となった。