[论文解读] NetFence: Preventing Internet Denial of Service from Inside Out

Xin Liu, Xiaowei Yang+1 more|arXiv (Cornell University)|Aug 31, 2010

Network Traffic and Congestion Control参考文献 33被引用 23

一句话总结

NetFence 是一种可扩展的、基于网络的 DoS 防御架构，利用不可伪造的拥塞管制反馈，在瓶颈路由器处实现公平带宽共享，而无需维护每台主机的状态。它使受害者能够利用该反馈作为能力凭证来抑制攻击流量，确保合法发送方即使在攻击者合谋的情况下也能获得其应得的公平带宽份额，同时将状态信息减少至每自治系统（AS）级别。

ABSTRACT

Denial of Service (DoS) attacks frequently happen on the Internet, paralyzing Internet services and causing millions of dollars of financial loss. This work presents NetFence, a scalable DoS-resistant network architecture. NetFence uses a novel mechanism, secure congestion policing feedback, to enable robust congestion policing inside the network. Bottleneck routers update the feedback in packet headers to signal congestion, and access routers use it to police senders' traffic. Targeted DoS victims can use the secure congestion policing feedback as capability tokens to suppress unwanted traffic. When compromised senders and receivers organize into pairs to congest a network link, NetFence provably guarantees a legitimate sender its fair share of network resources without keeping per-host state at the congested link. We use a Linux implementation, ns-2 simulations, and theoretical analysis to show that NetFence is an effective and scalable DoS solution: it reduces the amount of state maintained by a congested router from per-host to at most per-(Autonomous System).

研究动机与目标

• 解决现有 DoS 防御机制在拥塞路由器处依赖每台主机状态所导致的可扩展性和鲁棒性局限。
• 设计一种网络级防御机制，以抵御大规模洪水攻击，包括被攻陷的发送方与接收方之间的合谋行为。
• 使 DoS 受害者能够利用不可伪造的反馈作为能力凭证来抑制不必要的流量，从而在无需可信终端硬件的情况下提升系统鲁棒性。
• 将瓶颈路由器所维护的状态从每台主机级别降低至每自治系统（AS）级别，从而提升可扩展性。
• 确保在发送方和接收方均被攻陷的对抗性环境下，仍能实现带宽分配的公平性与鲁棒性。

提出的方法

• 引入安全的拥塞管制反馈：瓶颈路由器根据实际链路拥塞情况，在数据包头部嵌入不可伪造的拥塞信号。
• 利用网络边缘的接入路由器基于反馈对流量进行管制，按（发送方，瓶颈链路）对实施速率限制。
• 将反馈用作能力凭证：受害者通过不向恶意发送方返回反馈来抑制攻击流量。
• 实现闭环拥塞管制架构，其中反馈在瓶颈路由器生成，并在接入路由器处强制执行。
• 当接入路由器被攻陷时，使用 AS 级别速率限制作为故障保险机制，将损害限制在单个 AS 内部。
• 设计一种速率限制算法，利用发送方等待时间来设置数据包优先级，确保最终交付，而无需工作量证明或同步机制。

实验结果

研究问题

• RQ1 在瓶颈路由器处不维护每台主机状态的前提下，网络架构能否实现对每个发送方的公平性？
• RQ2 不可伪造的拥塞反馈能否作为能力凭证，使受害者在存在恶意发送方和接收方的情况下仍能抑制不必要的流量？
• RQ3 与基于每台主机队列或过滤的机制相比，所提出的架构在状态和计算开销方面具有怎样的可扩展性？
• RQ4 反馈机制和管制逻辑对网络吞吐量和延迟的性能影响如何？
• RQ5 当发送方和接收方均被攻陷并合谋以淹没某条链路时，系统能否维持公平性和鲁棒性？

主要发现

• NetFence 确保每个发送方（无论合法或恶意）在瓶颈路由器处均获得其应得的公平带宽份额，且无需在瓶颈路由器处维护每台主机的状态。
• 该系统将拥塞路由器所维护的状态从每台主机级别降低至最多每自治系统（AS）级别，显著提升了可扩展性。
• Linux 原型显示每数据包处理开销极低，瓶颈路由器处每数据包的计算成本为 $O(1)$。
• 仿真结果表明，NetFence 的性能与最先进的基于能力凭证及过滤加公平队列的 DoS 防御系统相当。
• 安全的拥塞管制反馈不可伪造，可防止攻击者通过操纵反馈来获取不公平的带宽份额。
• 即使接入路由器被攻陷，AS 级别速率限制也能将 DoS 损害限制在受影响的 AS 内部，确保故障保险行为。