Abstract-Vi har nyligen bevittnat verkliga livet demonstration av länkflooding attacker-DDoS attacker som riktar sig mot kärnan av Internet som kan orsaka betydande skador samtidigt som den förblir oupptäckt. Eftersom dessa attacker använder trafikmönster som är oskiljaktiga från legitima TCP-liknande flöden, kan de vara ihållande och orsaka långvariga trafikstörningar. Befintliga DDoS-försvar som är beroende av att upptäcka flödesavvikelser från normala TCP trafikmönster kan inte fungera i detta fall. Med tanke på de låga kostnaderna för att inleda sådana attacker och deras oskiljaktighet hävdar vi att alla motåtgärder i grunden måste ta itu med den grundläggande orsaken till problemet: antingen tvinga angripare att öka sina kostnader, eller hindra detta, tvinga attacktrafik att skilja sig från laglig trafik. Vår nyckelinsikt är att för att ta itu med denna grundorsak räcker det med att utföra ett hastighetsförändringstest, där vi tillfälligt ökar den effektiva bandbredden hos den flaskhalsade kärnlänken och observerar svaret. Angrepp av kostnadskänsliga motståndare som försöker att fullt ut utnyttja boternas uppströms bandbredd kommer att upptäckas eftersom de kommer att vara oförmögna att påvisbart öka genomströmningen efter bandbreddsexpansion. Alternativt tvingas motståndare att öka kostnaderna genom att behöva efterlikna legitima kunders trafikmönster för att undvika upptäckt. Vi designar ett programvarudefinierat nätverk (SDN) baserat system som heter SPIFFY som tar itu med viktiga praktiska utmaningar när det gäller att omvandla denna idé på hög nivå till en konkret försvarsmekanism, och ger en praktisk lösning för att tvinga en kompromiss mellan kostnad vs. detekterbarhet för länkflooding attacker. Vi utvecklar snabba trafiktekniska algoritmer för att uppnå effektiv bandbreddsexpansion och föreslår skalbara övervakningsalgoritmer för att spåra förändringar i trafik-källa beteenden. Vi demonstrerar effektiviteten av SPIFFY med hjälp av en riktig SDN-testbädd och storskaliga paket-nivå- och flödesnivåsimuleringar.
Kang m.fl. Designat ett SDN-baserat system, kallat SPIFFY REF, som utnyttjar tillfällig bandbreddsutbyggnad för att identifiera översvämningstrafik under LFA händer.
SPIFFY: Inducing Cost-Detectability Tradeoffs for Persistent Link-Flooding Attacks
{'venue': 'NDSS', 'journal': None, 'mag_field_of_study': ['Computer Science']}