[论文解读] LineSwitch: Efficiently Managing Switch Flow in Software-Defined Networking while Effectively Tackling DoS Attacks

Moreno Ambrosin, Mauro Conti+2 more|arXiv (Cornell University)|Feb 8, 2015

Software-Defined Networks and 5G被引用 13

一句话总结

LineSwitch 是一种针对软件定义网络（SDN）的新型防御机制，结合了概率性连接代理与流量黑名单技术，以缓解控制平面饱和攻击，特别是 SYN 洪水攻击。与最先进的解决方案 Avant-Guard 相比，其时间开销最高可降低 30%，并能有效防止控制平面和缓冲区饱和攻击。

ABSTRACT

Software Defined Networking (SDN) is a new networking architecture which aims to provide better decoupling between network control (control plane) and data forwarding functionalities (data plane). This separation introduces several benefits, such as a directly programmable and (virtually) centralized network control. However, researchers showed that the required communication channel between the control and data plane of SDN creates a potential bottleneck in the system, introducing new vulnerabilities. Indeed, this behavior could be exploited to mount powerful attacks, such as the control plane saturation attack, that can severely hinder the performance of the whole network. In this paper we present LineSwitch, an efficient and effective solution against control plane saturation attack. LineSwitch combines SYN proxy techniques and probabilistic blacklisting of network traffic. We implemented LineSwitch as an extension of OpenFlow, the current reference implementation of SDN, and evaluate our solution considering different traffic scenarios (with and without attack). The results of our preliminary experiments confirm that, compared to the state-of-the-art, LineSwitch reduces the time overhead up to 30%, while ensuring the same level of protection.

研究动机与目标

• 识别并分析 Avant-Guard 中此前未报告的漏洞，Avant-Guard 是一种用于缓解 SDN 中控制平面饱和攻击的最先进解决方案。
• 证明 Avant-Guard 使用 SYN 代理机制会因交换机中过度的状态跟踪而引入新的攻击面——缓冲区饱和攻击。
• 设计并评估 LineSwitch，一种新型防御机制，可在保持低开销的同时抵御控制平面和缓冲区饱和攻击。
• 表明 LineSwitch 在攻击条件下相比 Avant-Guard 显著降低了时间开销。
• 提供一种可调节、可扩展的防御机制，可通过迁移概率参数 $P_p$ 进行配置，以适应不同的网络需求。

提出的方法

• 引入一种概率性连接代理机制，其中交换机仅代理部分传入的 TCP SYN 数据包，由可配置参数 $P_p$ 控制。
• 采用概率性黑名单策略，在恶意流量到达控制器前进行过滤和丢弃，从而减少不必要的流表条目。
• 扩展 OpenFlow 协议，将 LineSwitch 逻辑直接集成到交换机中，实现在数据平面透明且高效的流量过滤。
• 采用混合方法，结合仅对部分连接启用的 SYN 代理机制与实时流量分析，以识别并阻断类似洪水的流量模式。
• 配置系统使得活跃代理会话的数量受 $P_p$ 限制，即使在持续攻击下也能防止缓冲区耗尽。
• 通过模拟评估 LineSwitch 在不同缓冲区大小、攻击速率和 $P_p$ 值下的正常和攻击场景。

实验结果

研究问题

• RQ1 最先进解决方案 Avant-Guard 在防御控制平面饱和攻击时引入了哪些漏洞？
• RQ2 能否在真实网络条件下对运行 Avant-Guard 的交换机成功实施缓冲区饱和攻击？其有效性如何？
• RQ3 LineSwitch 在正常和攻击场景下相比 Avant-Guard 能在多大程度上降低时间开销？
• RQ4 迁移概率 $P_p$ 的选择如何影响 LineSwitch 对缓冲区饱和攻击的抗性？
• RQ5 LineSwitch 是否能在高流量 SYN 洪水攻击下维持 100% 的页面获取成功率，同时将性能开销最小化？

主要发现

• 在 1 Mbps 攻击速率和 2^22 字节缓冲区的条件下，缓冲区饱和攻击可在仅 74.718 秒内成功使运行 Avant-Guard 的 OpenFlow 交换机瘫痪。
• 在相同条件下，LineSwitch 的 $P_p = 0.05$ 时，缓冲区饱和时间延长至 769.487 秒，比 Avant-Guard 超过 10 倍。
• 在正常流量下，LineSwitch 的平均时间开销仅为 7.67%，而 Avant-Guard 为 41.83%。
• 在 6.5 Mbps 的 SYN 洪水攻击下，LineSwitch 的开销为 5.45%，而 Avant-Guard 的开销为 36.92%。
• 在攻击条件下，LineSwitch 和 Avant-Guard 均保持 100% 的页面获取成功率，证实了其在网络功能保持方面的有效性。
• LineSwitch 的抗攻击能力随 $P_p$ 增大而增强：$P_p$ 值越低，缓冲区饱和所需时间显著增加，提供可调节的安全性。