[论文解读] Mirage: Towards Deployable DDoS Defense for Web Applications

Prateek Mittal, Dongho Kim+2 more|arXiv (Cornell University)|Oct 5, 2011

Network Security and Intrusion Detection参考文献 28被引用 20

一句话总结

Mirage 提出了一种可部署的 DDoS 防御机制，通过使用伪随机序列定期更改其 IP 地址，使 Web 服务器能够抵御攻击，该机制利用现有路由器功能，无需协议变更或客户端软件。其仅需在服务器本地网络和上游 ISP 中部署，即可实现有效防御，同时通过隧道技术实现与 IPv4 和 IPv6 的兼容性与公平性。

ABSTRACT

Distributed Denial of Service (DDoS) attacks form a serious threat to the security of Internet services. However, despite over a decade of research, and the existence of several proposals to address this problem, there has been little progress to date on actual adoption. We present Mirage, a protocol that achieves comparable performance to other DDoS mitigation schemes while providing benefits when deployed only in the server's local network and its upstream ISP, where local business objectives may incentivize deployment. Mirage does not require source end hosts to install any software to access Mirage protected websites. Unlike previous proposals, Mirage only requires functionality from routers that is already deployed in today's routers, though this functionality may need to be scaled depending on the point of deployment. Our approach is that end hosts can thwart the attackers by employing the principle of a moving target: end hosts in our architecture periodically change IP addresses to keep the attackers guessing. Knowledge of an active IP address of the destination end host can act as an implicit authorization to send data. We evaluate Mirage using theoretical analysis, simulations and a prototype implementation on PlanetLab. We find that our design provides a first step towards a deployable, yet effective DDoS defense.

研究动机与目标

• 为解决尽管超过十余年研究，真实网络中仍难以有效部署 DDoS 缓解方案这一长期挑战。
• 克服 DDoS 防御需跨多个自治系统（AS）协调部署才能生效的“鸡肋困境”。
• 设计一种系统，即使仅服务器本地网络和上游 ISP 部署 Mirage，也能提供有意义的保护，减少对跨组织协调的依赖。
• 通过仅使用已部署的路由器功能，避免在路由器上引入新数据包头或加密操作，确保与现有基础设施的向后兼容性。
• 使终端主机无需安装任何软件即可访问受保护服务，提升实用性与部署可行性。

提出的方法

• Mirage 使用 IP 地址跳变：服务器根据仅授权客户端知晓的伪随机序列，定期更改其 IPv6 接口地址。
• 它利用计算难题将客户端访问绑定到当前活动的 IP 地址，确保只有解出正确难题的客户端才能发送流量。
• 该系统依赖现有的路由器功能，如过滤和公平队列，无需新增数据包头、硬件或软件更改。
• 利用 IPv6 的大地址空间（64 位接口标识符），使扫描和暴力破解攻击在计算上不可行。
• 为实现 IPv4 兼容性，Mirage 采用隧道技术（如 Teredo），使仅支持 IPv4 的客户端可通过转换访问受 IPv6 保护的服务。
• 该协议确保仅接受发送至当前活动 IP 地址（仅授权客户端知晓）的数据包，从而隐式授权流量。

实验结果

研究问题

• RQ1 当仅在服务器本地网络和上游 ISP 部署时，DDoS 防御是否仍有效，而无需跨多个自治系统协调？
• RQ2 IP 地址跳变如何与现有网络基础设施集成，以避免引入新数据包头或路由器修改？
• RQ3 在现实中的僵尸网络场景下，IP 地址跳变对网络扫描和暴力破解 DoS 攻击的安全强度如何？
• RQ4 能否使用计算难题将客户端访问绑定到活动 IP 地址，而不会引入显著开销或在路由器上使用加密操作？
• RQ5 Mirage 如何在客户端计算能力各异的情况下，确保诚实客户端与攻击者之间的带宽分配公平性？

主要发现

• 采用 5 分钟的 IP 地址跳变周期和 64 位接口标识符空间时，Mirage 使网络扫描攻击在计算上不可行：拥有 20,000 台主机的僵尸网络仅能扫描地址空间的 2^-28，而 100 万台主机的僵尸网络也仅能扫描 2^-23。
• 暴力破解 DoS 攻击的成功率可忽略不计：分别仅为 1.3×10^-15 和 5.4×10^-14，原因在于击中活跃 IP 地址的概率极低。
• 计算难题机制具有信息论安全性：攻击者无法比诚实客户端更快地解决难题，因为破解难题将等价于破解类似 AES 的伪随机置换。
• Mirage 确保按计算能力分配的公平性：诚实客户端获得与其计算能力成比例的带宽份额，而攻击者则因无法更快解出难题而受到限制。
• 通过隧道技术（如 Teredo）保持与 IPv4 的兼容性，使仅支持 IPv4 的客户端无需修改即可访问 Mirage 保护的服务。
• 在 PlanetLab 上的原型评估和大规模仿真结果表明，即使在高攻击负载下，Mirage 仍能提供与以往 DDoS 缓解方案相当的公平带宽分配。