[论文解读] Linkbait: Active Link Obfuscation to Thwart Link-flooding attacks

Qian Wang, Feng Xiao+4 more|arXiv (Cornell University)|Mar 28, 2017

Network Security and Intrusion Detection参考文献 15被引用 8

一句话总结

Linkbait 是一种主动防御机制，通过选择性地重新路由流量以主动混淆网络链路图，从而阻止链路洪水攻击（LFA）。该机制使攻击者误以为目标是诱饵链路，而非真实链路。Linkbait 将动态链路混淆与基于支持向量机（SVM）的僵尸主机检测相结合，在不影响合法流量的前提下有效防御 LFA 攻击，已在真实环境和仿真环境中展现出强大有效性。

ABSTRACT

The DDoS attack is a serious threat to Internet of Things (IoT). As a a new class of DDoS attack, Link-flooding attack (LFA) disrupts connectivity between legitimate hosts and target servers (i.e., victims) by flooding only a small number of links. Several mechanisms have been proposed to mitigate the sophisticated attack. However, they can only reactively mitigate LFA after target links have been flooded by the adversaries. In this paper, we propose an active LFA mitigation mechanism, called Linkbait, that is a proactive and preventive defense to throttle LFA. The fact behind Linkbait is that adversaries rely on the set of key links impacting the network connectivity (i.e., linkmap) to identify target links that ensure network connectivity of victims. Linkbait mitigates the attacks by interfering with linkmap discovery and providing a fake linkmap to adversaries. Inspired by moving target defense (MTD), we propose a link obfuscation algorithm in Linkbait that selectively reroutes probing flows to hide target links from adversaries and mislead them to identify bait links as target links. By providing the faked linkmap to adversaries, Linkbait can actively mitigate LFA even without identifying bots while not affecting flows from legitimate hosts. To block attack traffic and further reduce the impact in networks, we propose a bot detection algorithm that extracts unique traffic patterns of LFA and leverages support vector machine (SVM) to identify attack traffic. We evaluate the feasibility of deploying Linkbait in real Internet, and evaluate its performance by using both real-world experiments and large-scale simulations. The experimental results demonstrate the effectiveness of Linkbait.

研究动机与目标

• 为应对链路洪水攻击（LFA）对物联网（IoT）连接造成的干扰问题，即通过淹没少数关键网络链路导致服务中断。
• 克服现有反应式 LFA 缓解机制的局限性，这些机制仅在攻击开始后才作出响应。
• 设计一种主动的、预防性的防御机制，以破坏攻击者发现真实网络链路图的能力。
• 在主动误导攻击者的同时，保持合法网络流量的性能不受影响，通过伪造链路图实现。
• 利用 LFA 流量的独特模式集成僵尸主机检测机制，进一步降低攻击影响。

提出的方法

• Linkbait 使用链路混淆算法，选择性地重新路由探测流量，以隐藏真实目标链路，防止攻击者发现。
• 构建并分发虚假链路图，诱使攻击者将目标指向虚假（诱饵）链路而非真实链路。
• 该机制受移动目标防御（MTD）启发，通过动态改变感知到的网络拓扑结构，增加攻击者的不确定性。
• 引入僵尸主机检测模块，利用支持向量机（SVM）分析网络流中的独特流量模式，识别 LFA 流量。
• 系统无需事先知晓僵尸主机的位置，仅依赖流量行为进行检测与缓解。
• Linkbait 确保合法流量不受影响，通过将混淆与检测逻辑隔离于恶意探测和攻击流量，实现安全防护。

实验结果

研究问题

• RQ1 主动防御机制能否在链路洪水攻击期间有效破坏攻击者发现真实网络链路图的能力？
• RQ2 如何实现链路混淆，使攻击者误入歧途，攻击虚假链路，同时不降低合法流量的性能？
• RQ3 基于 SVM 的流量模式分析在真实网络环境中检测 LFA 流量的能力有多高？
• RQ4 链路混淆与僵尸主机检测相结合，与反应式方法相比，能否显著提升整体 LFA 缓解效果？
• RQ5 此类系统在大规模和生产网络环境中的实际可行性与性能表现如何？

主要发现

• Linkbait 通过提供逼真的虚假链路图，成功阻止攻击者识别真实目标链路，显著降低了 LFA 的有效性。
• 系统保持了合法主机的正常性能，因为混淆与检测机制未对真实网络流量造成干扰。
• 基于 SVM 的僵尸主机检测能准确识别 LFA 流量，利用其独特的流量模式实现在攻击早期的精准识别与缓解。
• 真实世界实验与大规模仿真结果表明，即使在高探测负载下，Linkbait 也能显著降低攻击成功率与网络中断风险。
• Linkbait 在真实互联网环境中的可部署性已得到验证，显示出其在物联网（IoT）及资源受限网络场景中的实际可行性。