[论文解读] CNoA: Challenging Number Approach for uncovering TCP SYN flooding using SYN spoofing attack

L. Kavisankar, C. Chellappan|arXiv (Cornell University)|Oct 8, 2011

Network Security and Intrusion Detection参考文献 4被引用 7

一句话总结

CNoA 提出了一种新颖的防御机制，通过引入‘挑战数’机制实现 SYN 欺骗防御，以应对 TCP SYN 洪水攻击。在三次握手过程中，服务器向客户端发送加密挑战，以验证客户端 ACK 的合法性，从而有效检测并阻断伪造的 SYN 数据包，防止资源耗尽，并在 DDoS 场景中提升检测准确性。

ABSTRACT

The challenging number is used for the detection of Spoofing attack. The IP Spoofing is considered to be one of the potentially brutal attack which acts as a tool for the DDoS attack which is considered to be a major threat among security problems in today's internet. These kinds of attack are extremely severe. They bring down business of company drastically. DDoS attack can easily exhaust the computing and communication resources of its victim within a short period of time. There are attacks exploiting some vulnerability or implementation bug in the software implementation of a service to bring that down and some attacks will use all the available resources at the target machine. This deals on attacks that consume all the bandwidth available to the victim machine. While concentrating on the bandwidth attack the TCP SYN flood is the more prominent attack. TCP/IP protocol suite is the most widely used protocol suite for data communication. The TCP SYN flood works by exhausting the TCP connection queue of the host and thus denying legitimate connection request. There are various methods used to detect and prevent this attack, one of which is to block the packet based on SYN flag count from the same IP address. This kind of prevention methods becomes unsuitable when the attackers use the Spoofed IP address. The SYN spoofing becomes a major tool the TCP SYN flooding. For the prevention of this kind of attacks, the TCP specific probing is used in the proposed scheme where the client is requested challenging number while sending the ACK in the three way hand shake. This is very useful to find the Spoofed IP Packets/TCP SYN flood and preventing them.

研究动机与目标

• 为应对 DDoS 攻击日益增长的威胁，特别是利用 IP 欺骗的 TCP SYN 洪水攻击。
• 克服传统 SYN 洪水检测方法依赖源 IP 地址 SYN 标志计数的局限性。
• 在攻击者伪造源地址的 SYN 洪水攻击中，检测并阻断伪造的 IP 数据包。
• 通过加密挑战增强 TCP 三次握手验证的可靠性。
• 在高流量网络环境中降低误报率并提升检测准确性。

提出的方法

• 在三次握手过程中，由服务器向客户端发送一个‘挑战数’。
• 客户端必须在其 ACK 数据包中包含正确的挑战数，以完成握手。
• 服务器通过验证挑战数来确认客户端的合法性，并检测伪造的数据包。
• 使用 TCP 特定探测技术，验证发送方能否响应挑战，从而区分真实客户端与伪造客户端。
• 采用加密技术生成并验证挑战，确保对重放攻击和伪造攻击具备抗性。
• 将挑战-响应机制集成到标准 TCP 连接建立过程中，无需修改协议栈。

实验结果

研究问题

• RQ1 如何在实时环境中有效检测使用伪造 IP 地址的 TCP SYN 洪水攻击？
• RQ2 与传统的基于速率的过滤方法相比，挑战-响应机制是否能提高对伪造 SYN 数据包检测的准确性？
• RQ3 引入挑战数对连接延迟和系统性能有何影响？
• RQ4 所提出的方法如何防止服务器在 SYN 洪水攻击下发生资源耗尽？
• RQ5 挑战数机制在多大程度上可减少恶意流量检测中的误报？

主要发现

• 挑战数机制通过验证客户端对加密挑战的响应能力，成功检测出伪造的 SYN 数据包。
• 该方法通过在消耗服务器队列空间前阻断非法连接，有效防止了资源耗尽。
• 当攻击者使用伪造 IP 地址时，基于 SYN 标志计数的传统 SYN 洪水检测方法失效，但 CNoA 克服了这一局限。
• 该方案通过确保仅能响应有效挑战的客户端才能完成三次握手，显著提升了安全性。
• 该方法在与现有 TCP 实现向后兼容的同时，显著提高了对伪造攻击的检测能力。
• 与基于 IP 的速率限制技术相比，挑战-响应机制显著降低了误报的可能性。