[論文レビュー] NetFence: Preventing Internet Denial of Service from Inside Out

Xin Liu, Xiaowei Yang+1 more|arXiv (Cornell University)|Aug 31, 2010

Network Traffic and Congestion Control参考文献 33被引用数 23

ひとこと要約

NetFence は、ボトルネックルーターでのホスト単位の状態を維持せずに、信頼性の高い混雑制御フィードバックを用いて公平な帯域幅共有を強制するスケーラブルなネットワークベースのDoS防御アーキテクチャである。攻撃トラフィックを抑止するために、被害者がフィードバックを能力トークンとして利用でき、攻撃者が共謀しても正当な送信者が公平な帯域幅を得られる。状態はホスト単位からAS単位にまで削減される。

ABSTRACT

Denial of Service (DoS) attacks frequently happen on the Internet, paralyzing Internet services and causing millions of dollars of financial loss. This work presents NetFence, a scalable DoS-resistant network architecture. NetFence uses a novel mechanism, secure congestion policing feedback, to enable robust congestion policing inside the network. Bottleneck routers update the feedback in packet headers to signal congestion, and access routers use it to police senders' traffic. Targeted DoS victims can use the secure congestion policing feedback as capability tokens to suppress unwanted traffic. When compromised senders and receivers organize into pairs to congest a network link, NetFence provably guarantees a legitimate sender its fair share of network resources without keeping per-host state at the congested link. We use a Linux implementation, ns-2 simulations, and theoretical analysis to show that NetFence is an effective and scalable DoS solution: it reduces the amount of state maintained by a congested router from per-host to at most per-(Autonomous System).

研究の動機と目的

• 混雑したルーターでのホスト単位の状態に依存する既存のDoS防御メカニズムのスケーラビリティおよび耐障害性の制限を解決すること。
• 大規模なフラッディング攻撃、特に損傷を受けた送信者と受信者の共謀に対しても保護するネットワークレベルの防御を設計すること。
• 被害者が信頼性の高いフィードバックを能力トークンとして利用して不要なトラフィックを抑止できることを可能にし、信頼できるエンドホストのハードウェアを必要としないことで、耐障害性を向上させること。
• ボトルネックルーターで維持される状態をホスト単位から自律システム（AS）単位にまで削減し、スケーラビリティを向上させること。
• 送信者と受信者が両方とも損傷し、共謀してリンクをフラッディングするという悪意ある条件下でも、帯域幅割り当ての公平性と耐障害性を保証すること。

提案手法

• 安全な混雑ポリシングフィードバックの導入：ボトルネックルーターが実際のリンク混雑状態に基づいて、パケットヘッダに偽造不能な混雑信号を埋め込む。
• ネットワークエッジのアクセスルーターが、フィードバックに基づいてトラフィックをポリシーし、（送信者、ボトルネックリンク）ペアごとのレート制限を適用する。
• フィードバックを能力トークンとして活用：被害者が悪意ある送信者に対してフィードバックを返さないことで、攻撃トラフィックを抑止する。
• フィードバックがボトルネックルーターで生成され、アクセスルーターで強制される閉ループ混雑ポリシングアーキテクチャを実装する。
• アクセスルーターが損傷した場合のフェイルセーフとしてASレベルのレート制限を活用し、被害を個々のASに限定する。
• 送信者の待機時間を用いてパケットの優先度を設定するレート制限アルゴリズムを設計し、証明書不要および同期不要で最終的な配信を保証する。

実験結果

リサーチクエスチョン

• RQ1 ボトルネックルーターでホスト単位の状態を維持せずに、DoSフラッディング攻撃下でも送信者単位の公平性をネットワークアーキテクチャが保証できるか？
• RQ2 偽造不能な混雑フィードバックを能力トークンとして利用することで、悪意ある送信者と受信者が存在する状況でも、被害者が不要なトラフィックを抑止できるか？
• RQ3 状態および計算コストの観点から、NetFence はホスト単位のキューイングやフィルタリング機構と比較して、どのようにスケーリングするか？
• RQ4 フィードバック機構およびポリシングロジックがネットワークスループットおよび遅延に与える性能への影響は何か？
• RQ5 送信者と受信者が両方とも損傷し、共謀してリンクをフラッディングする状況下でも、システムが公平性と耐障害性を維持できるか？

主な発見

• NetFence は、ボトルネックルーターでホスト単位の状態を維持せずに、正当な送信者も悪意ある送信者も、すべてが公平なボトルネック帯域幅を得られることを保証する。
• システムは、混雑したルーターで維持する状態をホスト単位から最大でAS単位まで削減し、スケーラビリティを顕著に向上させる。
• Linuxプロトタイプでは、パケット1つあたりの処理オーバーヘッドが低く、ボトルネックルーターでの計算コストが$O(1)$である。
• シミュレーションにより、NetFence は最先端の能力ベースおよびフィルタ＋フェアキューイングDoS防御システムと同等の性能を示す。
• 安全な混雑ポリシングフィードバックは偽造不能であり、攻撃者がフィードバックを操作して不正な帯域幅を獲得するのを防ぐ。
• アクセスルーターが損傷しても、ASレベルのレート制限によりDoS攻撃の被害が影響を受けるASに限定され、フェイルセーフな挙動が保証される。