[论文解读] Expect More from the Networking: DDoS Mitigation by FITT in Named Data Networking

Zhiyi Zhang, Vishrant Vasavada+4 more|arXiv (Cornell University)|Feb 24, 2019

Caching and Content Delivery参考文献 42被引用 15

一句话总结

本文提出 FITT（细粒度兴趣流量限速），一种针对命名数据网络（NDN）的 DDoS 抵御方案，利用 NDN 的有状态转发和语义命名机制，在网络层检测并限速攻击流量。通过使用受害方反馈识别恶意流量，并沿其精确路径反向限速，FITT 实现了超过 99% 的合法数据包交付率，单向延迟仅为受害方向网关往返时间。

ABSTRACT

Distributed Denial of Service (DDoS) attacks have plagued the Internet for decades, but the basic defense approaches have not fundamentally changed. Rather, the size and rate of growth in attacks have actually outpaced carriers' and DDoS mitigation services' growth, calling for new solutions that can be, partially or fully, deployed imminently and exhibit effectiveness. In this paper, we examine the basic functions in Named Data Networking (NDN), a newly proposed Internet architecture, that can address the principle weaknesses in today's IP networks. We demonstrate by a new DDoS mitigation solution over NDN, Fine-grained Interest Traffic Throttling FITT, that NDN's architectural changes, even when incrementally deployed, can make DDoS attacks fundamentally more difficult to launch and less effective. FITT leverages the NDN design to enable the network to detect DDoS from victim's feedback, throttles DDoS traffic by reverse its exact paths through the network, and enforces control over the misbehaving entities at their sources. Our extensive simulation results show that FITT can throttle attack traffic with one-way time delay from the victim to the NDN gateway; upon activation, FITT effectively stop attack traffic from impacting benign flows, resulting in over 99\% of packets reaching victims being legitimate ones. We further demonstrate that service providers may implement NDN/FITT on existing CDN nodes as an incrementally deployable solution to effectuate the application level remediation at the sources, which remains unattainable in today's DDoS mitigation approaches.

研究动机与目标

• 解决 IP 网络中持续存在的 DDoS 攻击问题，该问题因架构限制而长期无法根本解决。
• 指出 IP 的推送式通信模式、缺乏源验证机制以及无语义的地址体系，使得可扩展且难以检测的攻击成为可能。
• 提出命名数据网络（NDN）提供了语义命名和有状态转发等架构原语，可从根本上提升 DDoS 抵御能力。
• 设计并评估 FITT，一种新颖且可逐步部署的 DDoS 抵御机制，可在源端实现网络级强制限速，克服当前基于 DPI 和流过滤机制的局限性。
• 证明 NDN/FITT 可在现有 CDN 基础设施上部署，实现在源端的应用级修复，这是以往在基于 IP 的系统中无法实现的能力。

提出的方法

• FITT 利用受害方反馈在名称前缀级别报告 DDoS 攻击，从而精确识别恶意兴趣流量流。
• 网络利用 NDN 的有状态转发表（PIT）追踪并反向追溯恶意流量的路径，直至其源头。
• FITT 通过在攻击路径的反向路径上施加速率限制来实施限速，从而在源头有效隔离行为异常的客户端。
• 该方案在应用层语义层面运行，基于反馈区分合法与恶意兴趣，而非启发式方法或阈值设定。
• FITT 通过与现有内容分发网络（CDN）节点集成，实现渐进式部署，仅需在客户端和提供商边缘部署 NDN 网关。
• 通过利用 NDN 原生的基于名称的路由和有状态转发，避免了深度包检测，实现了高效且可扩展的强制执行。

实验结果

研究问题

• RQ1 NDN 的架构特性——语义命名与有状态转发——是否能够实现比现有基于 IP 的方法更根本有效的 DDoS 抵御机制？
• RQ2 能否设计一种 DDoS 抵御系统，在无需全局状态或深度包检测的前提下，实现在攻击源端的限速强制执行？
• RQ3 在大规模、混合类型 DDoS 攻击下，FITT 能在多大程度上减轻攻击影响，同时保持高比例的合法流量交付？
• RQ4 在不需全网部署 NDN 的前提下，是否可行将 FITT 渐进式地部署在现有基础设施（如 CDN）上？
• RQ5 在基于路径反向追踪的有状态架构中，受害方反馈是否能有效实现对恶意流量流的精确、细粒度限速？

主要发现

• FITT 通过沿恶意流量的精确反向路径实施限速，有效在网路边缘隔离了行为异常的源点。
• 仅需受害方向 NDN 网关的单向延迟，FITT 在毫秒级内激活，阻止攻击流量影响正常流量。
• 仿真结果表明，超过 99% 到达受害方的数据包为合法流量，证明了对恶意流量近乎完美的过滤能力。
• FITT 消除了对阈值配置或复杂 DPI 的依赖，因其依赖直接的受害方反馈和基于路径的限速机制。
• 该方案实现了在源端的应用级修复，这是由于架构限制而目前在基于 IP 的 DDoS 抵御中无法实现的能力。
• FITT 可在现有 CDN 基础设施上渐进式部署，为构建更具韧性的网络提供了切实可行的演进路径。