基于标识分离映射网络的映射缓存DoS攻击防御方法,在映射缓存中设置两个门限,当映射缓存中映射信息条目数达到门限1时,接入交换路由器触发迷题机制减缓映射缓存中映射信息条目的增加速率;当映射缓存中映射信息条目数达到门限2时,接入交换路由器计算映射信息的可信度判别和过滤恶意的映射信息。本发明可保障合法用户通信的不间断性,能够识别和过滤映射缓存中恶意的映射信息,利用迷题机制和映射信息的可信度算法,抵御了可能存在的映射缓存DoS攻击,提高了标识分离映射网络的安全可靠性。
1.基于标识分离映射网络的映射缓存DoS攻击防御方法,其特征在于,包括下列步骤:1)当接入交换路由器收到用户终端发送来的数据包后,若其映射缓存中没有数据包目的地址的映射信息时,接入交换路由器向映射服务器查询相应的映射信息,同时将映射信息存储至映射缓存中,并设定计时器;2)当映射缓存中的映射信息条目数增加至门限1后,接入交换路由器触发迷题机制,针对用户终端发送的映射缓存中不存在用户终端发送来的数据包目的地址的映射信息的每个新数据包,接入交换路由器利用迷题算法构造唯一的迷题,将迷题发送给此用户终端;3)用户终端收到接入交换路由器发送的迷题后,利用适当的CPU时间查找迷题的答案,并将迷题的答案发送给接入交换路由器;4)接入交换路由器收到用户终端发送的答案后,验证答案的正确性,若正确,则接入交换路由器查询之前数据包目的地址的映射信息;若不正确,则接入交换路由器简单丢弃之前的数据包;5)当映射缓存中的映射信息条目增加至大于门限1的门限2之后,接入交换路由器计算属于同一用户终端的映射信息的可信度值,若映射信息的可信度值小于设定的限制值,则接入交换路由器删除掉映射缓存中此用户终端的所有映射信息条目,并过滤掉此用户终端之后所有的数据包。
2.如权利要求1所述的基于标识分离映射网络的映射缓存DoS攻击防御方法,其特征在于,所述过滤为立即清除映射缓存中的恶意映射条目,或利用合法的映射条目覆盖掉恶意的映射条目。
3.如权利要求1所述的基于标识分离映射网络的映射缓存DoS攻击防御方法,其特征在于,用户终端必须首先进行质因数分解计算,然后进行模指数迭代运算得出迷题的答案。
4.如权利要求1所述的基于标识分离映射网络的映射缓存DoS攻击防御方法,其特征在于,每个迷题之间是不相关的。
5.如权利要求1所述的基于标识分离映射网络的映射缓存DoS攻击防御方法,其特征在于,接入交换路由器从质因数分解的大数K、迭代次数n、查找范围非负整数l和模数q四个方面调节迷题机制的难度。技术领域
本发明涉及一种基于标识分离映射网络的映射缓存DoS攻击防御方法。DoS(Denial-of-Service)攻击属于主机资源耗尽型攻击。
背景技术
标识分离映射网络是一种新型的网络架构,虽然身份信息与位置信息分离的思想解决了传统网络中的不合理性和安全隐患,但是这种分离映射的思想也可能带来一些新的安全问题。标识分离映射网络中可能存在接入交换路由器映射缓存DoS攻击,因此需要有效的防御方法。在传统互联网中,路由器端一般采用速率限制Ratexa0Limiting方法来控制通信发送或在一个网络接口接收的功能,从而防止DoS攻击。速率限制攻击的主要原理是控制网络通信的流量速率,当网络流量速率小于或等于某一个指定的限定值时,路由器正常工作;当网络流量速率大于某一个指定的限定值时,路由器通过策略或拥塞控制机制来丢弃或延迟额外的数据包。然而,速率限制方法不仅降低了攻击者的攻击速度,同时也降低了合法用户正常通信的速率;速率限制方法不能识别映射缓存中恶意的映射条目,即恶意的映射条目一直存在于接入路由器的映射缓存中;速率限制方法与标识分离映射网络的结合性差,不适应接入路由器新引入的映射缓存机制。
发明内容
本发明的目的是提供一种基于标识分离映射网络的映射缓存DoS攻击防御方法,其可防止接入交换路由器映射缓存的溢出,保障合法用户通信的不间断性,识别和过滤接入交换路由器映射缓存中的恶意映射信息,保障标识分离映射网络中接入交换路由器的可用性,确保接入交换路由器映射缓存中映射信息条目的真实性,从而提高了标识分离映射网络的安全性。为此,本发明提供了一种基于标识分离映射网络的映射缓存DoS攻击防御方法,其特征在于,包括下列步骤:1)当接入交换路由器收到用户终端发送来的数据包后,若其映射缓存中没有数据包目的地址的映射信息时,接入交换路由器向映射服务器查询相应的映射信息,同时将映射信息存储至映射缓存中,并设定计时器;2)当映射缓存中的映射信息条目数增加至门限1后,接入交换路由器触发迷题机制,针对用户终端发送的映射缓存中不存在其映射信息的每个新数据包,接入交换路由器利用迷题算法构造唯一的迷题,将迷题发送给此用户终端;3)用户终端收到接入交换路由器发送的迷题后,利用适当的CPU时间查找迷题的答案,并将迷题的答案发送给接入交换路由器;4)接入交换路由器收到用户终端发送的答案后,验证答案的正确性,若正确,则接入交换路由器查询之前数据包目的地址的映射信息;若不正确,则接入交换路由器简单丢弃之前的数据包;5)当映射缓存中的映射信息条目增加至大于门限1的门限2之后,接入交换路由器计算属于同一用户终端的映射信息的可信度值,若映射信息的可信度值小于设定的限制值,则接入交换路由器删除掉映射缓存中此用户终端的所有映射信息条目,并过滤掉此用户终端之后所有的数据包。优选地,所述过滤为立即清除映射缓存中的恶意映射条目,或利用合法的映射条目覆盖掉恶意的映射条目。优选地,用户终端必须首先进行质因数分解计算,然后进行模指数迭代运算得出迷题的答案。优选地,每个迷题之间是不相关的。优选地,接入交换路由器从质因数分解的大数K、迭代次数n、查找范围非负整数l和模数q四个方面调节迷题机制的难度。根据本发明,在映射缓存中设置两个门限,当映射缓存中映射信息条目数达到门限1时,接入交换路由器触发迷题机制减缓映射缓存中映射信息条目的增加速率;当映射缓存中映射信息条目数达到门限2时,接入交换路由器计算映射信息的可信度判别和过滤恶意的映射信息。本发明防止了映射缓存溢出,保障了合法用户通信的不间断性。同时,针对恶意攻击者的映射缓存DoS攻击,本发明能够识别和过滤映射缓存中恶意的映射信息,从而保障了接入交换路由器的可用性。本发明针对标识分离映射网络中接如交换路由器的设计特点,利用迷题机制和映射信息的可信度算法,抵御了可能存在的映射缓存DoS攻击,提高了标识分离映射网络的安全可靠性。
附图说明
图1是基于标识分离映射网络的映射缓存DoS攻击防御方法概要图。图2是图1所示方法的工作流程示意图。图3是迷题机制交互过程示意图。
具体实施方式
如图1所示,本发明在接入交换路由器的映射缓存中设定两个门限值,门限1小于门限2。当映射缓存中的映射信息条目数达到门限1时,接入交换路由器采用迷题机制来减缓映射信息的查询速率,从而降低映射缓存中映射条目的增加速率;当映射缓存中的映射条目继续增加到门限2时,接入交换路由器采用映射信息可信度算法判别和过滤恶意的映射信息条目,防止映射缓存的溢出,保障合法用户的不间断通信。该方法的迷题机制通过迭代算法结合了质因数分解和离散对数问题,是一种CPU限制型的迷题算法,即解决迷题需要适当数量的CPU时间。该迷题机制具有以下特性:(1)该迷题算法具有良好的计算保障,用户终端必须首先进行质因数分解计算,然后进行模指数迭代运算得出迷题的答案,不存在获得迷题答案的捷径;(2)容易验证,接入交换路由器仅仅需要一次对比既能完成迷题答案的验证;并且每个迷题之间是不相关的,即不能从一个迷题猜想出另一个迷题;(3)难度的可调节性,拥有细腻的难度粒度,接入交换路由器可以从四个方面调节迷题机制的难度,分别是质因数分解的大数K、迭代次数n、查找范围——非负整数l和模数q。迷题机制的主要执行过程如下:步骤一:当映射缓存中映射信息的条目数达到门限1时,接入交换路由器分析每一个新到达的数据包,若映射缓存中没有这个数据包目的地址的映射信息,则接入交换路由器构造迷题{K,q,r,l,y_n,Sum},同时保留此迷题的答案x₁,然后将此迷题发送给此数据包的源主机;步骤二:源主机收到迷题{K,q,r,l,y_n,Sum}后,通过适当的计算获得迷题的答案x′,然后将迷题的答案发送给相应的接入交换路由器;步骤三:当接入交换路由器收到x′后,对比x₁与x′,若相等,则接入交换路由器查询相应数据包目的地址的映射信息;若不等,则接入交换路由器丢弃相应数据包。接入交换路由器通过计算映射信息的可信度算法来判别用户终端的合法性,即是否在进行映射缓存DoS攻击。若映射缓存中属于某一用户终端的映射信息的可信度小于事先设定的判定值,则认为该用户终端是恶意的;若映射缓存中属于某一用户终端的映射信息的可信度大于事先设定的判定值,则认为该用户终端是合法的。映射信息的可信度算法基于二项事件后验概率理论,其主要定义如下: TV = u + 1 u + v + 2 ]]>其中,TV为映射信息的可信度值,u为接入交换路由器映射缓存中属于某一用户终端的合法的映射信息条目数,v为接入交换路由器映射缓存中属于同一用户终端的恶意的映射信息条目数。接入交换路由器映射缓存中映射信息的合法性由以下原则判断:若映射缓存中某一映射信息条目的计时器计时时间小于预先设定的限定值t_MR,则认为此映射信息条目为合法的映射信息条目;若映射缓存中某一映射信息条目的计时器计时时间大于预先设定的限定值t_MR,则认为此映射信息条目为恶意的映射信息条目。实施例1:如图2所示,基于标识分离映射网络的映射缓存DoS攻击防御方法的主要工作流程如下:步骤一:当接入交换路由器收到用户终端发送来的数据包后,若其映射缓存中没有数据包目的地址的映射信息时,接入交换路由器向映射服务器查询相应的映射信息,同时将映射信息存储至映射缓存中,并设定计时器;步骤二:当映射缓存中的映射信息条目数增加至门限1后,接入交换路由器触发迷题机制,针对用户终端发送的每个新数据包(映射缓存中不存在其映射信息),接入交换路由器利用迷题算法构造唯一的迷题,将迷题发送给此用户终端;步骤三:用户终端收到接入交换路由器发送的迷题后,利用适当的CPU时间查找迷题的答案,并将迷题的答案发送给接入交换路由器;步骤四:接入交换路由器收到用户终端发送的答案后,验证答案的正确性,若正确,则接入交换路由器查询之前数据包目的地址的映射信息;若不正确,则接入交换路由器简单丢弃之前的数据包;步骤五:当映射缓存中的映射信息条目增加至门限2后,接入交换路由器计算属于同一用户终端的映射信息的可信度值,若映射信息的可信度值小于设定的限制值,则接入交换路由器删除掉映射缓存中此用户终端的所有映射信息条目,并过滤掉此用户终端之后所有的数据包。实施例2:基于标识分离映射网络的映射缓存DoS攻击防御方法的迷题产生算法如下所述:接入交换路由器首先选取一系列素数a₁...a_n,通过公式(1)计算大数K。 K = Π i = 1 n a i , i ∈ [ 1 , n ] - - - ( 1 ) ]]>选取一个大的质数q,同时在[0,q-1]选择一个随机数r。x₁是在[r,(r+l)mod(q-1)]区间内随机选择的一个迷题答案,其中,l是接入交换路由器指定的可变的数。然后,接入交换路由器通过使用公式(2)计算y_n。 y i = f ( x i ) = i * a i x i mod q x i + 1 = f ( x i ) , i ∈ [ 1 , n ] - - - ( 2 ) ]]>公式(2)成功运用了迭代算法,每一个迭代的底a_i是大数K的一个质因子,其中,K的所有质因子按升序序列排列,例如,如果e≤f,那么a_e≤a_f。公式(2)中的迭代次数i能够保障在序列x₁到x_n中不存在周期循环。原因如下:如果仅仅运用离散对数等式ntent="drawing" img-format="tif" inline="yes" orientation="portrait" wi="303"/>由于模数运算,在序列x₁到x_n中就可能存在周期的循环,即x_l=x_l+c。因此,当一个恶意攻击者发现迭代过程的循环规律时,就可能找到捷径而逃避大量的计算消耗。另外,由于引入了模运算,在区间[r,(r+l)mod(q-1)]可能存在不同的x₁经过等式(2)后得到同一个y_n。为了解决这个问题,接入交换路由器利用公式(3)计算所有x_i的和Sum: Sum = Σ i = 1 n x i , i ∈ [ 1 , n ] , x n = y n - - - ( 3 ) ]]>至此,迷题产生算法结束,相应的迷题集是{K,q,r,l,y_n,Sum}。实施例3:基于标识分离映射网络的映射缓存DoS攻击防御方法中迷题验证方法如下所述:当一个用户终端收到接入交换路由器的迷题后,首先计算K的质因数分解,得到所有的质因子a₁...a_n。然后,根据等式(2)和(3),用户终端执行暴力破解在区间[r,(r+l)mod(q-1)]查找候选迷题答案x′,并且计算y_n′和Sum′。如果y_n′=y_n且Sum′=Sum,用户终端认为x′为迷题的答案,然后将x′发送给接入交换路由器。当接入交换路由器收到用户终端计算的迷题答案x′,仅仅需要对比x′和自己保留的x₁。若两者一致,则接入交换路由器查询相应数据包目的地址的映射信息;若两者不一致,则接入交换路由器丢弃相应数据包。实施例4:图3描述了基于标识分离映射网络的映射缓存DoS攻击防御方法中迷题机制的交互过程,具体如下:步骤一:当映射缓存中映射信息的条目数达到门限1时,接入交换路由器分析每一个新到达的数据包,若映射缓存中没有这个数据包目的地址的映射信息,则接入交换路由器构造迷题{K,q,r,l,y_n,Sum},同时保留此迷题的答案x₁,然后将此迷题发送给此数据包的源主机;步骤二:用户终端收到迷题{K,q,r,l,y_n,Sum}后,通过暴力破解的计算获得迷题的答案x′,然后将迷题的答案发送给相应的接入交换路由器;步骤三:当接入交换路由器收到x′后,对比x₁与x′,若相等,则接入交换路由器查询相应数据包目的地址的映射信息;若不等,则接入交换路由器丢弃相应数据包。实施例5:当映射缓存中的映射信息条目数增加至门限2时,接入交换路由器触发映射信息的可信度算法来判别属于同一用户终端的映射信息的可信度,具体算法如下所述:在接入交换路由器的映射缓存中,每一条映射信息都拥有一个计时器记录其超时时间,从而判断是否应该删除相应的条目。一般情况下,正常的通信行为是连续的双向的,它的信息交互时延是平均的数据包往返时延Roundxa0Tripxa0Time(RTT)。因此,一个合法映射条目的计时时间应该在0到最大RTT时间内变化。相反,映射缓存DoS攻击是单向的不连续的行为,它的主要目的是利用大量无用的映射信息条目占据映射缓存空间,造成映射缓存溢出。因此,这些映射信息条目的计时时间将要一直增加直到Time-to-Live值。基于这个基本原则,本发明定义映射信息可信度计算如公式(4)所述。 TV = u + 1 u + v + 2 - - - ( 4 ) ]]>公式(4)基于二项事件后验概率理论。其中,TV为映射信息的可信度值,u为接入交换路由器映射缓存中属于某一用户终端的合法的映射信息条目数,v为接入交换路由器映射缓存中属于同一用户终端的恶意的映射信息条目数。接入交换路由器映射缓存中映射信息条目的合法性由以下原则判断:若映射缓存中某一映射信息条目的计时器计时时间小于预先设定的限定值t_MR,则认为此映射信息条目为合法的映射信息条目;若映射缓存中某一映射信息条目的计时器计时时间大于预先设定的限定值t_MR,则认为此映射信息条目为恶意的映射信息条目。考虑下面的情况:如果一个合法的用户终端拥有大量的映射信息条目,这些映射信息条目的计时时间范围在t_MR和Time-to-Live值之间,同时拥有很少的映射信息条目,这些映射信息条目的计时时间范围在0到t_MR之间。因此,若依据公式(4)计算的映射信息可信度值可能非常低。为了降低这种误报率,本发明规定当属于同一用户终端的映射信息条目数超过一个限定值N_t时,接入交换路由器才计算此用户终端映射信息的可信度值。为了防止标识分离映射网络中可能存在的接入交换路由器映射缓存DoS攻击,本发明提供了一种基于标识分离映射网络的映射缓存DoS攻击防御方法,该方法结合了标识分离映射网络中身份与位置分离体系结构的特点,在接入交换路由器的映射缓存中设置双门限机制防止映射缓存的溢出。门限1触发迷题机制减缓映射信息的查询速率,从而降低映射缓存中映射信息条目的增加量;门限2触发映射信息可信度算法判别的过滤恶意的映射条目。本发明保障了标识分离映射网络中接入交换路由器的可用性,确保了接入交换路由器映射缓存中映射条目的真实性,防止了映射缓存DoS攻击,提高了标识分离映射网络的安全性与可靠性。根据本发明,迷题机制可以用其他的迷题机制所代替,同样能够达到减缓映射信息的查询速率的目的。根据本发明,过滤技术既可以是立即清除映射缓存中的恶意映射条目,也可以是利用合法的映射条目覆盖掉恶意的映射条目。本发明结合标识分离映射网络中身份与位置分离的特点,在接入交换路由器的映射缓存中采用双门限机制防止映射缓存的溢出。当映射缓存中的映射条目数达到门限1时,接入交换路由器采用迷题机制减缓映射信息的查询速率,从而降低映射缓存中映射条目的增加量;当映射缓存中的映射信息条目数达到门限2时,接入交换路由器采用映射信息可信度算法判别和过滤恶意的映射信息条目。本发明在接入交换路由器的映射缓存中设定两个门限,门限1值小于门限2值。本发明的迷题机制通过迭代算法将质因素分解和离散对数完美结合,是一种CPU限制型迷题算法,需要适当数量的CPU时间来计算迷题答案。本发明的迷题机制具有以下特性:(1)该迷题算法具有良好的计算保障,不存在获得迷题答案的捷径;(2)容易验证,并且迷题之间是不相关的;(3)难度的可调节性,拥有细腻的难度粒度。在迷题机制的设计中,接入交换路由器可以从四个方面调节迷题机制的难度,分别是质因数分解的大数K、迭代次数n、查找范围——非负整数l和模数q。接入交换路由器通过计算映射信息的可信度算法来判别用户终端的合法性,即是否在进行映射缓存DoS攻击,具体如下:若映射缓存中属于某一用户终端的映射信息的可信度小于事先设定的判定值,则认为该用户终端是恶意的;若映射缓存中属于某一用户终端的映射信息的可信度大于事先设定的判定值,则认为该用户终端是合法的。映射信息的可信度计算方法基于二项事件后验概率理论,同时考虑了接入交换路由器映射缓存中属于某一用户终端的合法的映射信息条目数和恶意的映射信息条目数。接入交换路由器映射缓存中映射信息的合法性由以下原则判断:若映射缓存中某一映射信息条目的计时器计时时间小于预先设定的限定值t_MR,则认为此映射信息条目为合法的映射信息条目;若映射缓存中某一映射信息条目的计时器计时时间大于预先设定的限定值t_MR,则认为此映射信息条目为恶意的映射信息条目。