吾爱(SYN-)Cookie:可编程数据平面中的SYN洪泛缓解
网络与互联网体系结构
2020-03-09 v1 密码学与安全
性能
摘要
SYN洪泛攻击是互联网上一种常见的攻击手段,其试图通过请求使服务过载从而导致拒绝服务(DoS)。连接建立成本的高度不对称——将主要负担置于被攻击方——使得SYN洪泛成为一种高效且流行的DoS攻击策略。滥用广泛使用的TCP作为攻击向量,使得恶意流量的检测以及利用朴素连接阻断策略的防御变得复杂。现代可编程数据平面设备能够在不发生过载的情况下处理10 Gbit/s量级的流量。我们讨论了如何利用其性能来防御整个网络免受SYN洪泛攻击。为此,我们分析了不同的防御策略、SYN认证与SYN cookie,并讨论了移植到不同目标数据平面(软件、网络处理器与FPGA)时的实现困难。我们提供了全部三种平台的原型实现与性能数据。此外,我们完全公开了导致本工作中所述实验的制品。
引用
@article{arxiv.2003.03221,
title = {Me Love (SYN-)Cookies: SYN Flood Mitigation in Programmable Data Planes},
author = {Dominik Scholz and Sebastian Gallenmüller and Henning Stubbe and Bassam Jaber and Minoo Rouhi and Georg Carle},
journal= {arXiv preprint arXiv:2003.03221},
year = {2020}
}