[论文解读] Defense against SYN-Flood Denial of Service Attacks Based on Learning Automata

Masoud Bekravi, Shahram Jamali+1 more|arXiv (Cornell University)|Aug 24, 2012

Network Security and Intrusion Detection参考文献 26被引用 3

一句话总结

本文提出了一种基于学习自动机的自管理防御机制，用于抵御SYN洪水拒绝服务攻击。该机制通过动态优化两个关键TCP参数——半开连接的最大数量（m）和每个半开连接的保持时间（h），实现对攻击的自适应防护。通过将防御问题建模为优化问题并应用学习自动机，该方法显著降低了连接丢失概率（Ploss），最小化了攻击流量对缓冲区的占用（Pa），并提高了合法请求的缓冲区利用率（Pr）。仿真结果验证了该方法的有效性。

ABSTRACT

SYN-flooding attack uses the weakness available in TCP's three-way handshake process to keep it from handling legitimate requests. This attack causes the victim host to populate its backlog queue with forged TCP connections. In other words it increases Ploss (probability of loss) and Pa (buffer occupancy percentage of attack requests) and decreases Pr (buffer occupancy percentage of regular requests) in the victim host and results to decreased performance of the host. This paper proposes a self-managing approach, in which the host defends against SYN-flooding attack by dynamically tuning of its own two parameters, that is, m (maximum number of half-open connections) and h (hold time for each half-open connection). In this way, it formulates the defense problem to an optimization problem and then employs the learning automata (LA) algorithm to solve it. The simulation results show that the proposed defense strategy improves performance of the under attack system in terms of Ploss, Pa and Pr.

研究动机与目标

• 解决SYN洪水拒绝服务攻击日益增长的威胁，此类攻击利用TCP三次握手机制耗尽系统资源。
• 降低因高连接丢失概率（Ploss）、攻击流量导致的缓冲区占用率升高（Pa）以及合法请求处理能力下降（Pr）所引发的性能退化。
• 开发一种自适应防御机制，能够在不预先掌握攻击特征的情况下，实时自动调优TCP参数（m和h）。
• 通过优化合法连接与恶意连接之间的资源分配，提升系统在持续SYN洪水攻击下的鲁棒性。
• 通过在真实攻击条件下进行仿真，验证所提出的基于学习自动机方法的有效性。

提出的方法

• 该防御机制将SYN洪水缓解问题建模为一个优化任务，旨在最小化Ploss和Pa，同时最大化Pr。
• 采用学习自动机（LA）动态调整两个系统参数：m（半开连接的最大数量）和h（每个半开连接的保持时间）。
• LA算法通过与网络环境的反复交互，利用性能指标（Ploss、Pa、Pr）作为反馈，学习最优的参数配置。
• 学习过程基于强化学习原理，自动机在每次参数调整后根据系统性能获得奖励或惩罚。
• 系统持续监控传入的连接请求，并实时调整m和h，以在连接接受与资源保护之间实现平衡。
• 该方法基于仿真，使用受控环境评估动态参数调优对攻击鲁棒性的影响。

实验结果

研究问题

• RQ1 如何构建一个自管理的系统，在不预先了解攻击特征的情况下，动态调优TCP参数以抵御SYN洪水攻击？
• RQ2 在SYN洪水攻击期间，学习自动机在多大程度上能够降低连接丢失概率（Ploss）？
• RQ3 动态调整m和h是否能够提升合法请求的缓冲区利用率（Pr），同时最小化攻击流量对缓冲区的占用（Pa）？
• RQ4 与静态参数配置相比，所提出的基于学习自动机的防御机制在攻击下表现出的系统鲁棒性如何？
• RQ5 在不同攻击强度下，学习自动机在优化m和h时的收敛行为与稳定性如何？

主要发现

• 所提出的基于学习自动机的防御机制在SYN洪水攻击条件下显著降低了连接丢失概率（Ploss）。
• 通过动态调优m和h，攻击请求对缓冲区的占用（Pa）得到有效控制。
• 分配给合法请求的缓冲区空间比例（Pr）显著提高，从而增强了系统可用性。
• 系统在多种攻击场景下均表现出学习自动机向最优参数设置稳定收敛的特性。
• 仿真结果证实，动态优化方法在攻击期间维持系统性能方面优于固定参数配置。
• 该方法在连接接受与资源保护之间实现了良好的平衡，显著提升了整体系统鲁棒性。