[论文解读] An efficient deception architecture for cloud-based virtual networks

Mohammad Qasem, Hussain M. J. Almohri|arXiv (Cornell University)|Apr 15, 2020

Network Security and Intrusion Detection参考文献 20被引用 6

一句话总结

本文提出了一种高吞吐量、原生AWS的架构，用于实现苦难图（misery digraphs）——一种动态、具有欺骗性的网络拓扑结构，通过扩展和演化攻击路径来延缓攻击者。该系统使用基于Apache反向代理模块的自定义代理，通过欺骗节点管理请求路由，在仅造成适度的40–75次请求/秒性能损耗的同时，显著增加了攻击者的不确定性和延迟。

ABSTRACT

Emerging deceptive systems present a new promise for the uprising security problems in cloud-based virtual networks, especially those operated by small and medium enterprises. The main goal of deceptive systems is to form a layer of defensive nodes in an Internet-accessible cloud-based virtual network to distract and deceive malicious clients. While numerous approaches provide distinct models for developing decisive systems, misery digraphs present a promising decisive model for distracting powerful remote intrusions. Misery digraphs can delay access to targets deep in a cloud-based virtual network. A central challenge to the theory of misery digraphs is verifying their applicability in prominent cloud computing platforms as well as measuring the efficiency of networks that adapt them. Thus, architectural support is needed that can be realized with long-term support technologies and can be deployed for large networks. This work presents and analyzes a high-throughput architecture for misery digraphs, embarking on implementation details and performance analysis. Full implementation of the architecture in Amazon Web Services imposes modest performance delays in the request processing, while highly delaying stealth intrusions in the network.

研究动机与目标

• 为应对云环境虚拟网络日益严峻的安全挑战，特别是针对面临远程入侵的小型和中型企业的安全问题。
• 探究在真实云环境（如AWS）中实现苦难图——一种动态、欺骗性网络拓扑结构——的实际可行性及其性能影响。
• 设计并评估一种架构，将传统云网络转变为具有动态演化、欺骗性结构的网络，以延迟和迷惑攻击者。
• 在最小化合法请求性能损耗的同时，通过动态、可扩展的欺骗机制最大化对入侵者的混淆。

提出的方法

• 该架构通过结构化转换流程，将传统云网络转变为基于苦难图的网络，保留原始连通性的同时增加欺骗节点。
• 基于Apache反向代理模块构建的自定义代理系统，动态地将请求通过不断演化的欺骗虚拟机路径进行转发，从而增加攻击者路径长度和不确定性。
• 系统采用基于树的结构，深度为d，分支因子为k，以生成有向图，节点会定期重新配置以维持欺骗效果。
• 使用了两种不同的操作系统镜像：一种用于苦难多路复用器（Amazon Linux），另一种用于目标服务（Web/数据库使用Ubuntu），以实现隔离和受控行为。
• 网络构建组件（Network Constructor）运行在Amazon Linux上，通过轮询服务器和动态配置更新，协调有向图的创建。
• 通过HTTP请求工作负载进行压力测试，对比了正常网络与采用d=3和d=4苦难图的网络的性能表现。

实验结果

研究问题

• RQ1 苦难图是否能在真实云平台（如AWS）中高效实现，而不会带来不可接受的性能成本？
• RQ2 在基于云的虚拟网络中，引入动态、演化的欺骗结构如何影响合法HTTP请求的吞吐量？
• RQ3 苦难图在保持良性用户可接受延迟的前提下，能在多大程度上增加攻击者的路径长度和不确定性？
• RQ4 在类似生产环境的云环境中，维护动态、可扩展的欺骗架构会带来多大的性能开销？
• RQ5 不同有向图深度（d=3与d=4）对请求处理性能和系统韧性有何影响？

主要发现

• 正常云网络平均处理了716.5次请求，最多出现15次失败，作为性能对比的基线。
• 当d=3时，苦难图网络平均处理了675.8次请求，导致每秒性能损耗为40.7次请求。
• 当d=4时，平均请求吞吐量下降至642次，与基线相比性能损耗达74.5次请求/秒。
• 最高失败率出现在第二层实例上执行苦难过程期间，表明深层有向图层级可能存在瓶颈。
• 该架构在引入动态路径演化和欺骗节点部署的同时，成功保持了高吞吐量，显著增加了攻击者的混淆程度。
• 系统证明了在AWS中使用现有云技术实现高吞吐量欺骗是可行的，对合法流量的影响极小。