互联网上DDoS流量的自适应分布式过滤
网络与互联网体系结构
2023-12-27 v1 密码学与安全
摘要
尽管互联网中流量过滤能力已广泛部署，攻击者仍持续发起分布式拒绝服务（DDoS）攻击，以DDoS流量成功压垮受害者。本文提出一种分布式过滤系统，利用沿DDoS流量路径分布的节点来过滤DDoS流量。我们特别关注自适应分布式过滤——这一过滤DDoS流量的新方向。在我们的设计中，分布式过滤服务的订阅者可代表DDoS受害者生成过滤规则，这些规则不仅适应最合适且有效的过滤粒度（例如，IP源地址加端口号 vs. 单个IP地址 vs. 不同长度的IP前缀），还适应订阅者的偏好（例如，DDoS流量最大覆盖 vs. 丢弃合法流量造成的最小附带损害 vs. 最少规则数）。我们设计了一种高效算法，可生成适应过滤粒度与目标的规则，并进一步帮助确定在何处部署所生成的规则以获得最佳效能。我们通过基于真实世界DDoS攻击轨迹的大规模仿真和试点研究评估了我们的系统。评估证实，我们的算法能生成适应每种不同过滤目标的规则并取得最优结果。我们研究了不同互联网规模规则部署配置下的规则部署成功率和分布，发现少数自治系统可不成比例地贡献于防御。我们的试点研究还表明，我们的自适应分布式过滤系统可实时有效防御真实世界的DDoS攻击轨迹。
引用
@article{arxiv.2305.13296,
title = {Adaptive Distributed Filtering of DDoS Traffic on the Internet},
author = {Jun Li and Devkishen Sisodia and Yebo Feng and Lumin Shi and Mingwei Zhang and Christopher Early and Peter Reiher},
journal= {arXiv preprint arXiv:2305.13296},
year = {2023}
}