关于自治域防御联盟源宣告的域间源地址验证.docxVIP

基于自治域防御联盟源宣告的域间源地址验证 贾溢豪 任罡 刘莹 清华大学 2016年10月25日 关于伪造源地址攻击 IETF SAVI工作组：解决关于接入子网层面的域间源地址验证 源地址伪造是DDoS攻击的重要组成部分 DDoS攻击自2012年开始攻击愈发迅猛 超大规模DDoS攻击 反射-伪造源地址 无需握手 (UDP) 协议利用-放大报文 IETF BCP 38/84Ingress/Egress Filtering 跨越国家、AS的DDoS 频繁 + 严重 本质：对内防御 无法防御来自域外的 伪造源地址攻击 需要全局部署 对内防御--无部署激励 域间防御遥遥无期 IEF验证原理 对内：拒绝向域外转发本域不拥有的源地址报文 对外：拒绝转发外来且持有本域所持有的源地址的报文 IEF扩展：单个AS - AS联盟 对内：拒绝向团体外转发本团体不拥有的源地址报文 对外：拒绝转发外来且持有本团体所持有的源地址的报文 AS防御联盟如何协作? AS防御联盟协作方式 防御联盟过滤实施方案： 对内：AS防御联盟内所有AS开启Ingress Filtering 对外：联盟边缘AS过滤流经联盟的、且源地址属于本联盟的流 防御联盟内AS如何传递彼此持有的IP源？ 洪泛：联盟内每个AS均持有本联盟所有AS所持有的IP前缀集合 ？ 防御联盟对外发出的流量是否会回流至本联盟？ AS防御联盟协作失误 回流误判 1：多路径 Flow(4, 2): [4,5,2] 或 [4,10,2] 定义Flow(a, b): 为以自治域a为源流至自治域b的流 回流误判 2：误宣告 Flow(7, 9): [7, 8, 3, 1, 9] 如何避免？ AS防御联盟协作错误规避 回流误判 1：多路径解决方案 确认多路径AS节点 根据AS互联关系归类 提升同类链路下，连接至本防御联盟的链路路由偏好值至本类下最高 即路由泄漏，其亦不可容忍 证明关键：若仍存在回流，则定存在Valley-Free违背 AS防御联盟协作错误规避 回流误判 2：误宣告解决方案 源宣告按照自治域互联关系导出表进行 证明关键：域间流量流向的本质遵循AS间互联关系 物理防御联盟 - 若干逻辑防御联盟 以逻辑防御联盟为单位对外实施过滤 AS防御联盟配置方案 AS防御联盟-Ingress Filtering： FilterOut(α)=Whitelist{space(α)} AS防御联盟-Egress Filtering： 则：FilterIn(β│I)=Blacklist{∑AS∈L(V) space(γ)}, β∈L(V) 定义α为物理联盟内任意AS节点； 定义β为逻辑联盟边缘AS节点：即该节点至少存在一个接口I连接至逻辑联盟外AS节点； 定义连通子图L为某特定逻辑防御联盟 AS防御联盟特性分析 防御联盟本质特性： IEF防御性能：AS联盟 单个AS 防御性能∝防御面积（成员数量） 验证开销∝查表速率 仅逻辑联盟边缘节点配置增强型EF [ 验证总开销- 联盟规模 ] 增量部署特征： 部署激励∝防御性能∝防御面积 新增部署节点  联盟边缘节点  承担对外防御职能 联盟规模激增  表项聚合 域间源地址验证防御离不开自治域协作 新的激励模式--协作关系 Thank you! QA 2016年10月25日 互联网治理儒家思想达则兼善天下,穷则独善其身 互联网发展已脱离大同社会的构想 互联网安全是基于大同社会的构想 域间源地址验证防御离不开自治域协作 分布式的域间环境下，难以独善其身