Umbrella：使 ISP 能够提供易于部署且保护隐私的 DDoS 防护服务
密码学与安全
2019-04-09 v3
摘要
防御互联网中的分布式拒绝服务（DDoS）攻击是一个根本性问题。然而，近期对来自十余个行业领域的超过 100 名安全专家的工业访谈表明，DDoS 问题尚未得到充分解决。原因有两点。一方面，许多可证明安全的学术方案很少在实际中部署。另一方面，现有 DDoS 防护服务提供商（如 Cloudflare、Akamai）的运营模式对大型组织（如政府）侵犯隐私。在本文中，我们提出 Umbrella，一种新型 DDoS 防御机制，使互联网服务提供商（ISPs）能够向其客户提供易于部署且保护隐私的 DDoS 防护服务。其核心是，Umbrella 开发了一种多层防御架构以抵御广泛的 DDoS 攻击。具体而言，泛洪节流层阻止基于放大的 DDoS 攻击；拥塞解决层旨在防止无法轻易过滤的复杂攻击，强制执行拥塞问责以确保合法流无论攻击者策略如何都能保证获得其公平份额；最后用户特定层允许 DDoS 受害者实施最符合其业务需求的自设流量控制策略。基于 Linux 实现，我们证明 Umbrella 能够处理涉及数百万攻击流的大规模攻击，同时带来可忽略的数据包处理开销。此外，我们的物理测试床实验和大规模仿真证明 Umbrella 能有效缓解各类 DDoS 攻击。
引用
@article{arxiv.1903.07796,
title = {Umbrella: Enabling ISPs to Offer Readily Deployable and Privacy-Preserving DDoS Prevention Services},
author = {Zhuotao Liu and Yuan Cao and Min Zhu and Wei Ge},
journal= {arXiv preprint arXiv:1903.07796},
year = {2019}
}