本次分享的论文主题为网络拓扑结构混淆。该工作设计了一种安全且实用的网络拓扑混淆方案，能够通过均衡路径跟踪流密度，防止攻击者瞄准网络节点和链路中的瓶颈、实施链路洪泛攻击。文中提出的解决方案可以保留路径跟踪信息的实用性，确保网络运营商可继续使用路径跟踪工具来调试网络。该论文由来自韩国科学技术院、帕多瓦大学以及西班牙电信研究部的研究人员共同完成，目前已被网络安全领域顶级会议NDSS 2022录用。<img src="https://datacon-pro-public.oss-cn-shenzhen.aliyuncs.com/rich_text_image/NISL%E5%AE%9E%E9%AA%8C%E5%AE%A4/imgs/Y5zLsVDychibWaLe3I7riaMibbqJhA3lIsSMstGT89cS2tFy3JNmdK5uaKQtwWysRllLEJsD3yEdUib4ic8lJ5TcJfA.png" alt="" data-href="" style="height: auto !important;"> 全文共2400字，阅读时间约7分钟。 01【研究背景】分布式拒绝服务攻击（DDoS攻击）是当今互联网的主要攻击威胁之一，而大量不安全的物联网设备接入网络导致安全威胁加剧。目前的DDoS攻击主要有两种形式：（1）攻击目标为终端主机或服务器，即基于大规模流量的攻击；（2）攻击目标为网络基础设施，如链路洪泛攻击（Link Flooding Attack，LFA）。前者可以通过内容分发网络（CDN）有效阻止。而在LFA中，攻击者期望通过注入大量（独立的）数据流，并使其同时抵达核心网络链路， 致使网路带宽超负载、网络丧失连通性。为实现此目的，攻击者可以使用小规模、相互独立且与正常流量不可区分的数据流实施攻击，使网络运营商难以检测并防御。Meier 等人的研究表明，在网络拓扑未知的情况下，针对任意链路执行 LFA 需要的流量是网络拓扑已知时的五倍[1]。这说明对网络拓扑结构有一定了解是执行高效、隐蔽攻击的前提。因此，本文提出了网络拓扑结构模糊化的防御机制，让攻击者难以利用网络路径跟踪工具（如Traceroute）直接获得真实且详细的网络拓扑信息，提升其实施DDoS攻击的代价。 02【威胁模型】攻击者的目标是通过注入大量与正常流量无异的低容量数据流，执行有效的链路洪泛攻击（LFA），使重要的网络节点和链路发生拥塞。这类网络故障会影响大量用户的互联网访问行为，Coremelt[2]和Crossfire[3]是证明 LFA 实际可行性的代表性研究工作（如图1和图2）。在此威胁模型中，攻击者无需事先了解与路由器和链路的容量或负载相关的任何信息，他们可以控制大量恶意主机，但对网络拓扑结构一无所知。此外，该模型假设攻击者不知道网络的子网配置信息，且只能利用有限的资源进行受限的攻击。在攻击过程中，攻击者可以使用路径跟踪工具（traceroute）获得网络拓扑结构，并使用最先进的别名解析技术来检查各种路由器接口是否属于同一路由器。<img src="https://datacon-pro-public.oss-cn-shenzhen.aliyuncs.com/rich_text_image/NISL%E5%AE%9E%E9%AA%8C%E5%AE%A4/imgs/Y5zLsVDychibWaLe3I7riaMibbqJhA3lIsSIRYwpPmCYJeeynViacHxyyg8pnCITFIlqhuVjhiaWkcCyaicmic7yhPdgQ.png" alt="" data-href="" style="height: auto !important;">图1：LFA的Coremelt攻击的示意图[5]<img src="https://datacon-pro-public.oss-cn-shenzhen.aliyuncs.com/rich_text_image/NISL%E5%AE%9E%E9%AA%8C%E5%AE%A4/imgs/Y5zLsVDychibWaLe3I7riaMibbqJhA3lIsSGSlcLRasYRibYA796ScUvicWjVuPW6lv9dhTes59cKlpG4FhXUiccSpew.png" alt="" data-href="" style="width: 450px;height: 303px;">图2：LFA的Crossfire攻击的示意图[5] 03【EqualNet介绍】本文提出了针对LFA的检测和防御方案EqualNet，其通过生成一个虚拟拓扑，来降低真实网络拓扑结构被泄露的可能性。EqualNet会持续监控拓扑信息的泄露情况，并在拓扑泄露程度超过网络运营商指定的“混淆阈值”时动态混淆网络。它通过创建虚拟节点来降低真实节点和链路的流行度，并长期隐藏真实节点不被攻击者发现。<img src="https://datacon-pro-public.oss-cn-shenzhen.aliyuncs.com/rich_text_image/NISL%E5%AE%9E%E9%AA%8C%E5%AE%A4/imgs/Y5zLsVDychibWaLe3I7riaMibbqJhA3lIsSk9L3LVd6iaQCyMxsORXL3B4o7eG2XgcnQl3UTV4pE5Ny9ibaIOWtygOQ.png" alt="" data-href="" style="height: auto !important;">图3：EqualNet的示意图[4]EqualNet系统的执行流程如图3所示，分为四个步骤：（1）网络运营商提供物理拓扑结构及其转发行为、混淆阈值和路径跟踪信息。（2）拓扑分析器从攻击者的角度计算逻辑拓扑和路径跟踪流分布。（3）拓扑混淆器生成一个虚拟拓扑，使路径跟踪流分布均衡。（4）拓扑部署器持续监控路径跟踪流，并生成包括真实或虚拟IP地址的路径跟踪响应。 EqualNet有两种运行模式：第一种是【离线评估】网络拓扑情况。根据网络运营商提供的网络拓扑信息，以及混淆阈值来离线计算所需的虚拟节点数，并公开生成的虚拟拓扑。这种虚拟拓扑会使用尽量少的虚拟节点数以最大可能降低网络拓扑泄露程度。该方法适用于不想创建太多虚拟节点的网络运营商，然而其挑战在于要求网络运营商能掌握有关攻击者行为的信息（可能不可用或不准确）。第二种是【完全在线运行】。在路径跟踪数据流抵达时实时执行路径混淆任务，无需事先定义攻击行为。网络运营商需要提供在任何一对网络节点之间所能容忍的最大跟踪路径数量；EqualNet需要先计算拓扑泄露程度，并实时生成混淆节点，保证拓扑泄露不超过容忍数。 04【安全分析】1. 对抗基于 RTT 的指纹识别攻击攻击者可能尝试通过traceroute响应中的RTT 信息来区分网络中的真实节点，以实现虚拟IP和物理节点间的映射。其最差情况是攻击者（图4中主机A）能够获得具有无噪声 RTT 测量值的跟踪数据包。为了证明 EqualNet 的安全性，论文在测试环境开展了模拟测试。结果证明（图4）：RTT无法充当路由器的指纹、不能显示正在使用EqualNet，也不能用来找到真实节点和虚拟节点的对应关系。<img src="https://datacon-pro-public.oss-cn-shenzhen.aliyuncs.com/rich_text_image/NISL%E5%AE%9E%E9%AA%8C%E5%AE%A4/imgs/Y5zLsVDychibWaLe3I7riaMibbqJhA3lIsShQZ76A0AaoCK3EVF0leC2fDCiaS47IGr0NT96jPJrvdh2g98uLTOArg.png" alt="" data-href="" style="height: auto !important;">图4：SDN 路由器中RTT测试结果分布 2. 防止别名解析别名解析（Alias resolution）技术可以用来发现多个 IP 地址是否属于同一个路由器（的不同接口）。这种技术可以让攻击者将一组虚拟 IP 地址关联到真实网络节点，从而破坏 EqualNet 背后的混淆逻辑。为了避免此类攻击，EqualNet 针对三种广泛使用的别名解析方法（Scamper、Iffinder、kapar）提供有效的攻击防御方案，分别是公共源分析、公共 ID 分析和公共邻居分析。验证实验结果表明（图5）， EqualNet 中实现的安全机制可使攻击者无法检测到其中的别名。<img src="https://datacon-pro-public.oss-cn-shenzhen.aliyuncs.com/rich_text_image/NISL%E5%AE%9E%E9%AA%8C%E5%AE%A4/imgs/Y5zLsVDychibWaLe3I7riaMibbqJhA3lIsS1BibibFe0wpJZ2ibJm1DiawKDrrvHiaBZicogQcRlesVR0k4951jxHlvCN4w.png" alt="" data-href="" style="height: auto !important;">图5：Scamper（上）、Iffinder（中）和 Kapar（下）测试结果 <h1 style="text-align: left; line-height: 2;"></h1>3. 对抗拓扑推理攻击攻击者可能通过掩码聚合的方式推测子网级的网络拓扑结构。本文测量了攻击者可推断的子网级拓扑结构与真实网络拓扑结构之间的相似性，结果证明（图6）：在最差情况下，攻击者生成的拓扑结构与真实结构相似度仅为60%。而在某些情况下（如使用/29前缀），攻击者可以非常准确地推断出子网级别的泄露。然而他们无从得知每个子网中的节点数量，因此无法推断网络中节点或链路的流行度。<img src="https://datacon-pro-public.oss-cn-shenzhen.aliyuncs.com/rich_text_image/NISL%E5%AE%9E%E9%AA%8C%E5%AE%A4/imgs/Y5zLsVDychibWaLe3I7riaMibbqJhA3lIsSX3pJkkayHUydMxic0apwA57kG9m6SLJ1YAhh3PCbNiaUHjBMtz0oRJFA.png" alt="" data-href="" style="height: auto !important;">图6：各种前缀的泄露相似度（泄露相似度越低，虚拟拓扑越安全）4. 对抗跨虚拟拓扑攻击为了生成能够长期保持安全的虚拟拓扑，EqualNet 不仅分析给定的虚拟拓扑实例，还监控因在不同时间暴露多个虚拟拓扑而导致的拓扑泄露。首先，EqualNet 向每个真实节点添加固定数量的虚拟节点，并保证真实节点始终隐藏于虚拟拓扑中，从而防止攻击者发现真实节点。其次，EqualNet 为给定的traceroute flow保持相同的网络路径，让攻击者在路径探测时始终收到相同信息。最后，当一个节点流行度提高时，EqualNet 会为该节点及其所有邻居节点分别创建一个虚拟节点，防止攻击者通过别名解析技术降低EqualNet安全性。5. 对抗拒绝服务攻击攻击者可以向网络注入大量的追踪数据包，使SDN控制机器崩溃或资源耗尽，从而执行拒绝服务攻击。该攻击可以通过使用分布式的SDN进行缓解。此外，攻击者也可能通过耗尽IP地址资源的方式阻止EqualNet的执行，但由于其无法获知节点和链路的流行程度，因此无法干扰 EqualNet 创建大量虚拟节点。 05【总结】本文提出了一种新颖的主动网络混淆方案EqualNet，来防御AS内的链路洪泛攻击LFA。EqualNet 通过生成路径跟踪流均衡分布的虚拟拓扑结构，来隐藏流行的物理节点和网络链路，同时保留了路径跟踪信息的功能。作者使用软件定义网络实现了 EqualNet 的原型，并在软件和硬件上进行了实验，以评估其可行性和安全性。 <h3 style="text-align: left; line-height: 2;">原文链接</h3>https://www.ndss-symposium.org/wp-content/uploads/2022-154-paper.pdf参考文献<pre><code >[1] R. Meier, P. Tsankov, V. Lenders, et al. NetHide: Secure and Practical Network Topology Obfuscation [C]. Proceedings of the USENIX Security Symposium. USENIX, 2018.
[2] A. Studer and A. Perrig, “The Coremelt Attack,” in Proceedings of the European Conference on Research in Computer Security. Springer, 2009.
[3] M. S. Kang, S. B. Lee, and V. Gligor, “The Crossfire Attack,” in Proceedings of the IEEE Symposium on Security and Privacy. IEEE, 2013.
[4] Kim J, Marin E, Conti M, et al. EqualNet: a secure and practical defense for long-term network topology obfuscation[J]. Proceedings of the USENIX NDSS (To Appear), 2022.
[5] 孙文悦. SDN网络中LFA攻击检测方法的研究[D].江苏大学,2022.DOI:10.27170/d.cnki.gjsuu.2022.001587.</code></pre>

Jinwoo Kim

Eduard Marin

 Mauro Conti

Seungwon Shin

NDSS

The Network and Distributed System Security (NDSS) Symposium fosters information exchange among researchers and practitioners of network and distributed system security.

Originally the Workshop on Network and Distributed System Security, the NDSS Symposium was first held in 1993 in San Diego, California. It was organized as a workshop of the Privacy and Security Research Group of the Internet Research Task Force (IRTF) and was hosted by the Internet Society and Lawrence Livermore National Laboratory.

The Internet Society has proudly hosted the NDSS Symposium ever since to foster the next generation of Internet security experts and to support open, accessible, and collaborative security to research to help strengthen the Internet.

The symposium is now a five-day hybrid event including three days of the main NDSS Symposium and two days of co-located workshops and symposia. Each event brings together hundreds of security educators, researchers and practitioners from all over the world. The event is designed to encourage and enable the Internet community to apply, deploy, and advance the state of practical security technologies.

Path tracing tools, such as traceroute, are simple yet fundamental network debugging tools for network operators to detect and fix network failures. Unfortunately, adversaries can also use such tools to retrieve previously unknown network topology information which is key to realizing sophisticated Denialof-Service attacks, such as Link Flooding Attacks (LFAs), more efficiently. Over the last few years, several network obfuscation defenses have been proposed to proactively mitigate LFAs by exposing virtual (fake) topologies that conceal potential bottleneck network links from adversaries. However, to date there has been no comprehensive and systematic analysis of the level of security and utility their virtual topologies offer. A critical analysis is thus a necessary step towards better understanding their limitations and building stronger and more practical defenses against LFAs.
In this paper, we first conduct a security analysis of the three state-of-the-art network obfuscation defenses. Our analysis reveals four important, common limitations that can significantly decrease the security and utility of their virtual topologies. Motivated by our findings, we present EqualNet, a secure and practical proactive defense for long-term network topology obfuscation that alleviates LFAs within a network domain. EqualNet aims to equalize tracing flow distributions over nodes and links so that adversaries are unable to distinguish which of them are the most important ones, thus significantly increasing the cost of performing LFAs. Meanwhile, EqualNet preserves subnet information, helping network operators who use path tracing tools to debug their networks. To demonstrate its feasibility, we implement a full prototype of it using Software-Defined Networking (SDN) and perform extensive evaluations both in software and hardware. Our results show that EqualNet is effective at equalizing the tracing flow distributions of small, medium and large networks even when only a small number of routers within the network support SDN. Finally, we analyze the security of EqualNet against a wide variety of attacks.


EqualNet: A Secure and Practical Defense for Long-term Network Topology Obfuscation

本次分享的论文主题为网络拓扑结构混淆。该工作设计了一种安全且实用的网络拓扑混淆方案，能够通过均衡路径跟踪流密度，防止攻击者瞄准网络节点和链路中的瓶颈、实施链路洪泛攻击。文中提出的解决方案可以保留路径跟踪信息的实用性，确保网络运营商可继续使用路径跟踪工具来调试网络。

【论文分享】安全实用的长期网络拓扑混淆方法

EqualNet: A Secure and Practical Defense for Long-term Network Topology Obfuscation查看来源