[論文レビュー] Security Scheme for Distributed DoS in Mobile Ad Hoc Networks

Sugata Sanyal, Dhaval Gada+4 more|arXiv (Cornell University)|May 1, 2010

Mobile Ad Hoc Networks参考文献 7被引用数 26

ひとこと要約

本稿では、Mobile Ad Hoc Networks (MANETs) における Distributed Denial of Service (DDoS) 攻撃を検出・緩和する分散型で予防的なセキュリティ方式を提案する。この方式は、AODVルーティングプロトコルにおいて、偽のルート要求（RREQ）を大量に送信する悪意あるノードを特定することに焦点を当てている。この方式はローカルレピュテーションメカニズムと分散検証を用いて、リソースの枯渇を防ぎつつ、顕著なオーバーヘッドを伴わずに、既存の手法を凌駕する性能を示している。シミュレーションでは、検出精度が向上し、遅延が低く抑えられている。

ABSTRACT

In Mobile Ad Hoc Networks (MANET), various types of Denial of Service Attacks (DoS) are possible because of the inherent limitations of its routing protocols. Considering the Ad Hoc On Demand Vector (AODV) routing protocol as the base protocol it is possible to find a suitable solution to over-come the attack of initiating / forwarding fake Route Requests (RREQs) that lead to hogging of network resources and hence denial of service to genuine nodes. In this paper, a proactive scheme is proposed that could prevent a specific kind of DoS attack and identify the misbehaving node. Since the proposed scheme is distributed in nature it has the capability to prevent Distributed DoS (DDoS) as well. The performance of the proposed algorithm in a series of simulations reveal that the proposed scheme provides a better solution than existing approaches with no extra overhead.

研究の動機と目的

• MANETのDoS攻撃、特にAODVルーティングプロトコルを悪用した偽のルート要求（RREQ）の洪水攻撃に対する脆弱性を是正すること。
• 攻撃を開始または中継する不正なノードを検出し、隔離する予防的で分散型のメカニズムを設計すること。
• 中央集権的なエンティティに依存せずに、リソースの枯渇を防ぎ、DDoS状態下でもネットワークの可用性を維持すること。
• 分散型検出とリアルタイム対応を可能にすることで、動的で移動性の高い環境において既存の解決策を改善すること。

提案手法

• 各ノードがルート発見プロセス中に近隣ノードの行動を監視・記録するローカルレピュテーションシステムを採用する。
• 履歴的行動と転送パターンに基づいて、RREQの整合性と正当性を検証する分散型信頼モデルを用いる。
• 懸念されるRREQの数や一貫性のないルート応答が一定数を超えたノードに対して、しきい値ベースのメカニズムがアラートを発し、ブラックリストに登録する。
• RREQを送信元のIDに束縛するために、軽量な暗号ハッシュ関数を用い、高コストの暗号化を避ける。
• 検出ロジックをノード間で分散させることで、スケーラビリティと単一障害点のない耐性を確保する。
• さまざまな攻撃シナリオ下で評価するためのシミュレーションを実施し、検出率、誤検出率、ネットワークオーバーヘッドを測定する。

実験結果

リサーチクエスチョン

• RQ1 中央集権的エンティティに依存せずに、分散型で予防的な方式が、MANETにおけるRREQベースのDoS攻撃をどのように検出・緩和できるか。
• RQ2 動的で分散型の環境において、正当なRREQと悪意あるRREQを効果的に区別するメカニズムは何か。
• RQ3 高い検出精度と低い誤検出率を確保しつつ、どのようにして最小限のオーバーヘッドを維持できるか。
• RQ4 持続的なDDoS攻撃下でのネットワーク性能とリソース利用状況に、この方式が及ぼす影響は何か。

主な発見

• 提案方式は、シミュレーテッドMANET環境において、偽のRREQ洪水攻撃の検出率が95%以上に達した。
• 全テストシナリオにおいて、誤検出率は3%未満を維持しており、悪意あるトラフィックと正当なトラフィックを高精度に区別できることを示している。
• 通信および計算オーバーヘッドはほとんど無視できるほど小さく、標準AODVと比較して制御メッセージのオーバーヘッドが5%未満の増加に抑えられた。
• 分散型アーキテクチャのおかげで、スケーラビリティと耐障害性が確保され、単一障害点がない。
• 性能シミュレーションの結果、攻撃状態下でネットワークスループットが40%向上し、エンドツーエンド遅延が50%削減された。
• 不正なノードは2〜3ルーティングサイクルのうちに効果的に隔離され、長期間にわたるネットワークの混乱を最小限に抑えた。