[論文レビュー] Towards Defeating the Crossfire Attack using SDN

Dimitrios Gkounis, Vasileios Kotronis+1 more|arXiv (Cornell University)|Dec 5, 2014

Software-Defined Networks and 5G被引用数 10

ひとこと要約

本論文は、再ルーティング後に混雑リンクに再び出現する悪意あるボットを特定するためにオンライントラフィックエンジニアリングを用いる、SDNに基づく新規な手法を提案する。再ルーティング後にDoS標的リンクに繰り返し再接続する送信元を監視することで、攻撃のコストを増加させ、エミュレーション環境においてサブ秒スケールの応答時間で疑わしいトラフィックのレートリミットを実現する。

ABSTRACT

In this work, we propose online traffic engineering as a novel approach to detect and mitigate an emerging class of stealthy Denial of Service (DoS) link-flooding attacks. Our approach exploits the Software Defined Networking (SDN) paradigm, which renders the management of network traffic more flexible through centralised flow-level control and monitoring. We implement a full prototype of our solution on an emulated SDN environment using OpenFlow to interface with the network devices. We further discuss useful insights gained from our preliminary experiments as well as a number of open research questions which constitute work in progress.

研究の動機と目的

• 正当な送信元IPを用い、従来のフィルタリングでは検出できない低帯域幅のリンクフラッドDoS攻撃（例：クロスファイア）を検出する課題に対処すること。
• SDNの集中制御とフローレベルの監視を活用して、リアルタイムで悪意あるボットを検出する能動的防御メカニズムを開発すること。
• 動的再ルーティングと送信元追跡を通じて攻撃者の運用コストを増加させることで、クロスファイア攻撃の効果を低下させること。
• 現実の攻撃および防御ダイナミクスを再現したエミュレーテッドSDN環境において、本手法の実現可能性と性能を評価すること。
• 敵対的ネットワーク環境下での検出精度、再ルーティングのオーバーヘッド、システム安定性の間のトレードオフを明らかにすること。

提案手法

• 防御者はPOXベースのOpenFlowコントローラーを用い、ネットワークトラフィックの集中的・リアルタイム監視を行い、DoSによる混雑が生じたリンクを検出する。
• 防御者はオンライントラフィックエンジニアリングを用いて動的再ルーティングを実施し、ダミーサーバーや代替パスなどの宛先を選択して送信元の挙動を観察する。
• 再ルーティング後にDoS混雑リンクに再び現れる送信元は、複数回の再ルーティングサイクルにわたる繰り返し出現に基づき、懸念すべきものとしてマークされる。
• システムは各送信元に対して懸念度スコアを維持し、しきい値に達した場合にレートリミットが発動する。
• 再ルーティング戦略には、ランダムな宛先選択や、帯域幅使用が均一なサーバーを標的とすることで、攻撃者のロードバランシングパターンを模倣する。
• 本手法はSDNにおけるフローレベルの可視性と反応型制御を活用し、再ルーティングに適応してダミーサーバーを切り替えるボットを検出する。

実験結果

リサーチクエスチョン

• RQ1 クロスファイアボットを特定する際の、検出精度、ネットワークトポロジー、トラフィック特性、再ルーティング戦略の間のトレードオフは何か？
• RQ2 再ルーティングのコストと潜在的なネットワーク不安定性は、DoS攻撃の緩和による利点と比較してどうか？
• RQ3 攻撃者と防御者の制御ループの時間的ダイナミクスは何か？また、測定間隔と応答時間にどのように依存するか？
• RQ4 上流プロバイダーが本アルゴリズムをサービスとして提供するような、ドメイン間シナリオへの対応拡張はどのように可能か？
• RQ5 スケーラブルな技術として、ブルームフィルターやプレフィックス集約を用いて、大規模な送信元情報の効率的追跡と保存は可能か？

主な発見

• SDNベースのソリューションは、攻撃者の反応時間と同等の秒オーダーの応答時間でクロスファイア攻撃を検出し、緩和可能である。
• 再ルーティングごとにリンクを再特定・再構成する必要があるため、攻撃は全体の約50％の時間にわたり有効に保たれる。
• 複数のDoS混雑リンクを一度にバッチ処理して再ルーティングすることで、ルーティングの振動を防ぐ必要がある。これには、防御者のアクションループに調整可能な遅延が必要となる。
• 監視が主な時間消費要因であり、OpenFlow制御関数はサブ秒スケールで動作する。
• 再ルーティング後にDoS標的リンクに再出現する悪意あるボットを、健全なフラッシュカウントトラフィックとは明確に区別して同定できた。
• 本手法は、現実のネットワークトポロジーや攻撃行動を再現したMininetエミュレーション環境で実現可能であることが示された。