[论文解读] Changing proxy-server identities as a proactive moving-target defense against reconnaissance for DDoS attacks.

Neda Nasiriani, Yuquan Shan+3 more|arXiv (Cornell University)|Dec 4, 2017

Network Security and Intrusion Detection参考文献 5被引用 2

一句话总结

本文提出一种主动式移动目标防御机制，通过在基于云的多服务器系统中动态改变代理服务器的身份，以扰乱针对DDoS攻击的侦察阶段。通过频繁更改代理服务器的身份，系统降低了侦察的准确性，从而显著减少成功发起DDoS攻击的可能性，并在检测与缓解效率方面实现可测量的提升。

ABSTRACT

We consider a cloud based multiserver system consisting of a set of replica application servers behind a set of proxy (indirection) servers which interact directly with clients over the Internet. We study a proactive moving-target defense to thwart an attacker's reconnaissance phase and consequently decreases the success rate of the planned attack. The moving-target defense is a dynamic identity-changing technique for the indirection servers.

研究动机与目标

• 解决基于云的多服务器系统在侦察驱动型DDoS攻击下的脆弱性。
• 通过在代理服务器中引入动态身份变更，降低攻击者侦察的有效性。
• 设计一种在攻击发生前即启动的主动防御机制，而非在攻击发生后才作出响应。
• 评估身份变更技术对侦察准确率和攻击成功率的影响。
• 通过使攻击者难以映射和定位关键基础设施，提升系统的韧性。

提出的方法

• 系统采用基于云的架构，多个应用服务器副本位于一组代理服务器之后，代理服务器直接与客户端交互。
• 代理服务器被分配动态身份，这些身份会按固定周期更变，使攻击者难以追踪或映射它们。
• 身份变更机制在代理服务器集群中进行协调，以维持服务连续性和负载均衡。
• 该防御为前瞻性机制，即在攻击实际发起前的侦察阶段即开始运作。
• 系统使用集中式控制器管理身份切换，确保代理层的一致性。
• 该方法利用现有基础设施组件，无需修改客户端或应用服务器的行为。

实验结果

研究问题

• RQ1 代理服务器的动态身份变更如何影响攻击者侦察的准确性？
• RQ2 该防御措施在多大程度上降低了计划性DDoS攻击的成功率？
• RQ3 身份变更的最优频率是多少，以在安全性和系统性能之间取得平衡？
• RQ4 在云环境中真实侦察场景下，该防御机制的性能表现如何？
• RQ5 系统能否在有效扰乱侦察的同时维持服务可用性？

主要发现

• 代理服务器的动态身份变更显著降低了攻击者侦察的准确性，使其难以映射底层基础设施。
• 该防御通过破坏攻击者识别和定位关键服务器的能力，降低了计划性DDoS攻击的成功率。
• 系统在身份切换过程中维持了服务可用性和负载均衡，确保了业务连续性。
• 即使攻击者使用自动化扫描技术，该方法依然有效，因为不断变化的身份阻止了稳定的指纹识别。
• 该防御轻量化且与现有云架构兼容，无需修改客户端或应用组件。
• 结果表明，主动身份切换是一种可行且有效的策略，可用于缓解基于侦察的DDoS威胁。