存在DDoS攻击与闪群情况下保障访问的实用系统

随着闪群（flash crowds）和模仿良性流量的复杂DDoS攻击事件日益增多，仅通过区分攻击流量与合法流量来保护基于互联网的服务变得具有挑战性。尽管公平共享方案通常在难以区分时被建议作为防御，但它们本身可能遭受高度可变甚至无界的等待时间。我们提出RainCheck Filter (RCF)，一种轻量级原语，可在服务器泛洪情况下保证客户端的有界等待时间，且无需在服务器上维护每客户端状态。RCF通过基于客户端已等待时长对客户端进行优先级排序来实现强等待时间保证——仿佛服务器维护了一个客户端排队等待服务的队列。为避免为每个传入客户端请求保持状态，服务器向客户端发送一个raincheck，一种带时间戳的加密令牌，它不仅通知客户端稍后重试，还作为客户端在虚拟队列中优先级水平的证明。我们证明，即使处于闪群事件或DDoS攻击下，每个遵守RCF的客户端都能在有界时间内访问服务器。我们的大规模仿真证实，RCF提供了小而可预测的最大等待时间，而现有方案无法做到。为展示其可部署性，我们将RCF实现为一个Python模块，使得Web开发人员仅需添加三行代码即可保护关键服务器资源。