[论文解读] Towards Defeating the Crossfire Attack using SDN

Dimitrios Gkounis, Vasileios Kotronis+1 more|arXiv (Cornell University)|Dec 5, 2014

Software-Defined Networks and 5G被引用 10

一句话总结

本文提出了一种基于软件定义网络（SDN）的新方法，通过在线流量工程识别在重路由后持续在拥塞链路上重新出现的恶意机器人，以检测并缓解隐蔽的Crossfire拒绝服务（DoS）攻击。通过监控反复重新接入DoS目标链路的源，该方法提高了攻击者的成本，并在仿真环境中实现了亚秒级响应时间的可疑流量限速。

ABSTRACT

In this work, we propose online traffic engineering as a novel approach to detect and mitigate an emerging class of stealthy Denial of Service (DoS) link-flooding attacks. Our approach exploits the Software Defined Networking (SDN) paradigm, which renders the management of network traffic more flexible through centralised flow-level control and monitoring. We implement a full prototype of our solution on an emulated SDN environment using OpenFlow to interface with the network devices. We further discuss useful insights gained from our preliminary experiments as well as a number of open research questions which constitute work in progress.

研究动机与目标

• 解决检测隐蔽的、低带宽的、链路洪水型DoS攻击（如Crossfire）的挑战，此类攻击使用合法源IP地址，可规避传统过滤机制。
• 开发一种主动防御机制，利用SDN的集中式控制和逐流监控能力，实现实时检测恶意机器人。
• 通过动态重路由和源跟踪，提高攻击者的操作成本，降低Crossfire攻击的有效性。
• 在模拟的SDN环境中评估该方法的可行性和性能，涵盖真实的攻击与防御动态。
• 探索在对抗性网络条件下，检测准确性、重路由开销与系统稳定性之间的权衡。

提出的方法

• 防御者使用基于POX的OpenFlow控制器，对网络流量进行集中式实时监控，并检测DoS拥塞链路。
• 防御者通过在线流量工程动态重路由流量，选择如诱饵服务器或替代路径等目的地，以观察源行为。
• 在重路由后，若源在DoS拥塞链路上反复重现，则被标记为可疑，依据是其在多个重路由周期中的重复出现。
• 系统为每个源维护一个可疑度评分，当超过阈值时触发限速机制。
• 重路由策略包括随机选择目的地，或针对带宽使用特征一致的服务器，以近似攻击者的负载均衡模式。
• 该方法利用SDN的逐流可见性和反应式控制，检测能够通过切换诱饵服务器来适应重路由的机器人。

实验结果

研究问题

• RQ1 在识别Crossfire机器人时，检测准确性、网络拓扑、流量特征与重路由策略之间的权衡关系如何？
• RQ2 重路由成本与潜在的网络不稳定性与缓解DoS攻击带来的收益相比如何？
• RQ3 攻击者与防御者的控制环路的时间动态特性如何？其对测量间隔和响应时间的依赖关系是怎样的？
• RQ4 该缓解方法如何扩展至涉及上游提供商以服务形式提供该算法的跨域场景？
• RQ5 可扩展技术如布隆过滤器或前缀聚合，如何高效地用于大规模环境中源信息的跟踪与存储？

主要发现

• 基于SDN的解决方案以秒级响应时间检测并缓解Crossfire攻击，与攻击者的反应时间相当。
• 由于攻击者需在每次重路由后重新识别并重新配置链路，攻击在总时间中仍有效约50%。
• 批量重路由多个DoS拥塞链路对防止路由振荡至关重要，因此需在防御者动作循环中引入可调延迟。
• 监控是主要耗时组件，而OpenFlow控制功能的执行时间在亚秒级。
• 该方法成功识别出在重路由后重新出现在DoS目标链路上的恶意机器人，可与良性突发流量区分开来。
• 该方法在Mininet仿真环境中得到验证，具备真实网络拓扑与攻击行为的可行性。