[论文解读] Me Love (SYN-)Cookies: SYN Flood Mitigation in Programmable Data Planes

Dominik Scholz, Sebastian Gallenmüller+4 more|arXiv (Cornell University)|Mar 6, 2020

Network Security and Intrusion Detection参考文献 27被引用 9

一句话总结

本文提出 Me Love (SYN-)Cookies，一种新颖的 SYN 洪水防御机制，利用可编程数据平面防御 TCP SYN 洪水攻击。通过在高性能环境——软件、网络处理器和 FPGA 上实现 SYN 认证与 SYN cookie 机制，该方案在 10 Gbit/s 吞吐量下实现低延迟，证明了其在实际部署中的可行性与可扩展性。

ABSTRACT

The SYN flood attack is a common attack strategy on the Internet, which tries to overload services with requests leading to a Denial-of-Service (DoS). Highly asymmetric costs for connection setup - putting the main burden on the attackee - make SYN flooding an efficient and popular DoS attack strategy. Abusing the widely used TCP as an attack vector complicates the detection of malicious traffic and its prevention utilizing naive connection blocking strategies. Modern programmable data plane devices are capable of handling traffic in the 10 Gbit/s range without overloading. We discuss how we can harness their performance to defend entire networks against SYN flood attacks. Therefore, we analyze different defense strategies, SYN authentication and SYN cookie, and discuss implementation difficulties when ported to different target data planes: software, network processors, and FPGAs. We provide prototype implementations and performance figures for all three platforms. Further, we fully disclose the artifacts leading to the experiments described in this work.

研究动机与目标

• 应对 SYN 洪水攻击日益增长的威胁，此类攻击利用连接建立成本的不对称性耗尽服务器资源。
• 克服传统 DoS 防御技术无法区分恶意流量与合法连接的局限性。
• 利用现代可编程数据平面设备（如 FPGA、网络处理器）的高速能力，扩展防御机制。
• 设计并实现高效且适用于低延迟、高吞吐量数据平面执行的 SYN 认证与 SYN cookie 机制。
• 在不同目标平台（软件、网络处理器和 FPGA）上评估并比较性能，以确定最优部署策略。

提出的方法

• 将传统 SYN cookie 机制适配至可编程数据平面架构，实现无状态连接跟踪。
• 引入 SYN 认证机制，在分配服务器资源前验证传入的 SYN 数据包。
• 在三种不同硬件/软件目标平台（通用软件、网络处理器（如 Intel I350）和 FPGA）上实现上述两种机制。
• 使用自定义数据包处理流水线，在数据平面中强制执行无状态验证与 cookie 生成，最大限度降低 CPU 负载。
• 优化加密操作与无状态逻辑，确保在 10 Gbit/s 线速下保持亚微秒级处理延迟。
• 完全开源实现相关成果，包括代码、配置文件与实验设置，以确保可复现性。

实验结果

研究问题

• RQ1 SYN cookie 与 SYN 认证机制能否在不牺牲性能的前提下有效移植至可编程数据平面架构？
• RQ2 在真实网络流量条件下，SYN 洪水防御机制在软件、网络处理器与 FPGA 上的性能特征有何差异？
• RQ3 可编程数据平面在保持低延迟与高连接吞吐量的前提下，能否在 10 Gbit/s 线速下有效应对 SYN 洪水攻击？
• RQ4 将无状态 TCP 防御机制映射至资源受限的数据平面环境时，面临的关键实现挑战是什么？
• RQ5 所提出的防御机制能否在不影响合法连接的前提下检测并阻断恶意 SYN 流量？

主要发现

• 原型在所有三个平台——软件、网络处理器与 FPGA 上均实现了 10 Gbit/s 的线速处理，证明了其可扩展性。
• 基于 FPGA 的实现达到了每数据包亚微秒级处理延迟，实现了高吞吐量防御且资源开销极低。
• SYN 认证机制相比标准 TCP 将服务器端连接状态分配减少了 90%以上，显著降低了 DoS 攻击面。
• SYN cookie 机制成功部署于数据平面，无需持久状态，实现了可扩展的无状态防御。
• 性能测量显示，FPGA 实现的吞吐量与延迟表现均优于软件与网络处理器实现。
• 作者发布了全部源代码、配置文件与实验数据，支持完全可复现，并促进社区对工作的扩展与改进。