CN101325518B - 用于在结构化对等网络中检测恶意端的监督者端 - Google Patents

Abstract

本发明提出一种用于在结构化对等网络中检测恶意端的监督者端以及一种用于检测P2P网络内的对等节点的不当行为的方法。该方法包括从该网络中选择对等节点充当测试者节点的步骤。该测试者节点继而发送以该测试者对等节点自身为目的地的测试请求消息。测试者端通过收集与测试请求消息相关的任何可能的响应消息来分析P2P网络的行为。测试者端识别与根据P2P网络的预定义规则而管理的属性的任何可能的差异。在发现不当行为但无法识别不当行为对等节点的情况下，则从P2P网络中选择不同的对等节点充当新的测试者端，直到可以识别不当行为对等节点或是检测了所有对等节点。在不当行为对等节点被识别的情况下，将该不当行为对等节点从P2P网络中隔离。

Description

用于在结构化对等网络中检测恶意端的监督者端

技术领域

本发明涉及用于在对等(P2P)网络内检测对等节点的不当行为的方法。此外，本发明涉及连接至P2P网络的终端，该终端在P2P网络中充当检测对等节点的不当行为的测试者端。并且本发明涉及计算机可读介质，其包含在充当测试者端的终端上执行的代码，该代码适于检测对等节点的不当行为。

背景技术

网络安全缺口妨碍了表现为栅格、集群、内联网、外联网或P2P系统的分布式计算系统的应用。特别地，P2P流式系统经常假设主机是协作的。然而，在互联网的开放环境中该假设并不一定成立。

对等(P2P)通信以及实际上所有类型的通信都依赖于在所选实体之间建立有效连接的可能性。然而，由于实体在网络内移动、拓扑改变或/和无法更新地址租约，实体可以具有一个或多个可以变化的地址。因此，对此问题的典型的架构性解决方案是为每个实体指派稳定的名称，并在需要连接时将该名称“解析”为当前地址。这一名称到地址的转换必须非常健壮，并且还必须允许容易和快速的更新。

为了增大那些希望连接到某实体的实体找到该实体的地址的可能性，包括对等名称解析协议(PNRP)在内的多种对等协议允许实体通过各种机制公布其地址。一些协议还允许客户端通过处理来自网络中其他实体的请求来获知其他实体的地址。实际上，正是对地址的获知支持了对等网络的成功操作。也即，关于网络中其他对等端的信息了解越多，针对特定资源的搜索的收敛可能性就越大。

然而，在对等协议下面没有健壮的安全性基础设施的情况下，恶意实体可以轻易地破坏这种对等系统的收敛能力。这种破坏例如可以由从事身份窃取的实体造成。在这种对对等网络的身份窃取攻击中，恶意节点公布其不具有授权关系的标识(ID)的地址信息，也即，恶意节点既不是该ID的所有者也不是群组成员等。恶意实体还可以在安全节点响应之前先进行截取和/或响应，由此使其看起来是安全节点。

通常，P2P网络攻击可能试图破坏或耗尽节点或网络资源。在PNRP中，恶意实体还可以通过将大量不良信息涌入网络来阻塞PNRP解析，从而使网络中的其他节点倾向于将请求转发给不存在的节点(这将对搜索的收敛造成消极影响)或攻击者所控制的节点。还可能通过在将用以发现资源的RESOLVE(解析)分组转发给下一节点之前对其进行修改或者通过将无效的RESPONSE(响应)发送回生成RESOLVE分组的请求者来降低PNRP的名称解析能力。恶意实体还可能通过试图确保搜索不收敛来破坏对等网络的操作，其中确保搜索不收敛例如是通过以下方式实现的：试图将搜索转发给进一步远离所请求ID的节点，而不是将搜索转发给在其高速缓存中距离ID较近的节点以帮助搜索收敛。可选地，恶意实体可以仅仅是根本不对搜索请求进行响应。PNRP解析还可能因为恶意节点代表有效ID发送无效BYE(再见)消息而受到妨碍。结果，节点云(cloud)中的其他节点可能将该有效ID从其高速缓存中移除，这减少了其中存储的有效节点的数目。

尽管简单地确认地址证书可以防止身份窃取问题，但是这对于妨碍PNRP解析的攻击是无效的。攻击者可以连续生成可验证的地址证书(或者预先生成它们)，并在对等节点云中涌入相应的ID。如果任何节点试图验证ID的所有权，攻击者将能够证实它是该涌入ID的所有者，因为实际上它就是。然而，如果攻击者设法生成足够的ID，它就可以将大多数对等搜索引到它控制的节点之一。一旦恶意节点将搜索引到受控节点，攻击者便在相当程度上控制和引导了网络的操作。

恶意节点还可能尝试拒绝服务(DoS)攻击。在P2P节点改变时，它可以将其新的信息发布给其他网络节点。如果获知新节点记录的所有节点都试图执行ID所有权检查，将发生针对所公布ID的所有者的网络活动风暴。利用该弱点，攻击者可以通过使某个目标非常受欢迎来发动对该目标的互联网协议(IP)DoS攻击。例如，如果恶意实体将互联网网站IP地址公布为已更新节点的ID IP，则接收到所公布IP的对等网络中的所有节点都将试图连接该IP以验证记录的真实性。当然，网站的服务器将无法证实ID的所有权，因为该信息是攻击者生成的。然而破坏已经发生。也即，攻击者说服对等群中的安全部分将验证请求涌入该IP地址，并可能有效地使其关闭。

在US 2003/0226033中描述了一种方法，其基于以下主要步骤：当计算机系统通过用户的引导或从对等计算机系统接收到程序时，该计算机系统查询黑名单程序的数据库。如果在黑名单数据库中找到了所接收的程序，则该计算机系统不允许所接收的程序运行。如果在黑名单数据库中没有找到所接收的程序，则该计算机系统扫描所接收的程序，以确定如果所接收的程序在计算机系统上运行它是否可能引起不期望的行为。如果计算机系统确定所接收的程序可能引起不期望的行为，则计算机系统将所接收的程序添加到黑名单数据库中，并且不允许所接收的程序在计算机系统上运行。但是这种解决方案是相当有限的，因为其仅对已经被添加到黑名单的程序是成功的。它无法真正地检测恶意端。

在US 2006/0179139中，描述了一种安全性基础设施和方法，其禁止恶意节点破坏对等网络的正常操作的能力。该发明的方法使节点是自验证的，从而允许节点使用安全身份和不安全身份两者。在需要时或有机会时，通过在已有消息上附带(piggyback)证明来确认ID所有权。通过随机选择连接到哪个节点来降低最初连接至恶意节点的可能性。此外，通过维护需要进一步响应的先前通信的有关信息可以识别来自恶意端的信息，并且忽略来自恶意端的信息。通过允许节点在其资源使用超过预定界限时忽略请求来禁止拒绝服务攻击。通过要求待移除的节点对撤销证书进行签字来降低恶意节点移除有效节点的能力。这种解决方案无法完全解决问题，因为恶意节点仍然能够进行操作，也即，没有通过某种方法对其去激活。

在US 2006/0215575中描述了一种解决方案，其基于对与P2P整体健康状况相关联的一些统计的分析，该统计是相对于P2P网络中的各个节点以及节点对节点的性能而进行收集和分析的。在与活动(live)P2P网络结合使用时，健康状况统计可以提供对网络性能的实时反映。这种反映可以用来调节P2P网络拓扑或者用来隔离表现不佳的节点或恶意节点。但是这种解决方案基于例如控制器和其他仪器的附加硬件。

在Xing Jin等人在ICME 2006，第1537-1540页的论文“Detectingmalicious hosts in the presence of lying hosts in peer-to-peer streaming”中，讨论了如何基于其历史表现来检测恶意主机(例如，具有攻击动作和反常行为)。在提议的系统中，每个主机监控其邻居的表现并将其报告给服务器。基于这些报告，服务器计算主机声誉，声誉低的主机是恶意的。问题在于，主机可以通过向服务器提交伪造的报告来撒谎。为了克服该问题，Xing Jin等人的论文中提出了将处理撒谎主机中的声誉计算问题公式化为最小化问题，并通过传统的Levenberg-Marquardt算法对其求解。但是这种解决方案远远不能令人满意。

在US 2006/0074946中描述了一种用于网络管理的分布式代理技术。该技术使用广泛分布在各种网络设备上的客户端来监控网络。

发明内容

根据上文所述，本发明的目的是通过足够准确的方式检测恶意端，以便能够在不花费过多其他代价的情况下隔离恶意端。

根据本发明，该目的是通过检测P2P网络内对等节点的不当行为的方法实现的。该方法包括从该网络中选择对等节点充当测试者端的步骤。这种测试者端继而向P2P网络中发送测试请求消息，该测试请求消息将测试者端本身作为目的地。测试者端通过收集与测试请求消息相关的任何可能的响应消息来分析P2P网络的行为。测试者端识别接收的对测试请求信息的响应消息中与根据预定义的P2P网络规则而管理的属性的任何差异。在发现不当行为而无法识别不当行为对等节点的情况下，则从P2P网络中选择不同的对等节点充当新的测试者端。该新的监督者或者说测试者端通过应用上面的相同步骤以与先前的测试者端相同的方式进行操作。在这种情况下，该方法还包括比较由不同测试者端获得的识别结果以试图识别不当行为对等节点的步骤。在没有检测到不当行为对等节点的否定情况下，可以在未来的某一时间通过从P2P网络中选择另外的不同对等节点来应用上面的检测过程。可以应用这种方法，直到可以识别不当行为对等节点或者测试了所有对等节点。可替换地，可以在某个预定义的时间间隔之后定期应用这种方法。在不当行为对等节点被识别的情况下，有可能通过更新预定义的管理P2P网络的规则，但不排除其他方法，来将不当行为对等节点从P2P网络中丢弃，从而将该不当行为对等节点从该P2P网络中隔离。

在根据本发明的可选方案中，从P2P网络中选择至少两个对等节点充当测试者端。在这种情况下，发往P2P网络以设法识别不当行为端的测试请求消息由两个测试者端之一发送，这次测试请求消息以另一测试者端为目的地。该另一测试者端执行对P2P网络行为的分析，将所接收的对测试请求消息的响应消息与相应的具有相同目的地的、没有沿着根据预定义的管理P2P网络的规则的路径而是直接发送到该另一测试者端的测试请求消息进行比较。

在发现了不当行为但无法识别不当行为对等节点的情况下，从P2P网络中选择不同的对等节点充当新的测试者端。应用该步骤，直到包围了可能的不当行为对等节点，也即，将其从P2P网络中隔离出去。在某个特定的可选方案中，预定义的管理P2P网络的规则涉及在该网络内转发某个请求时所使用的路由规则和路径。

本发明还涉及作为P2P网络的一部分的终端，该终端充当测试者端，具有计算机存储介质，所述计算机存储介质包含适于执行上述检测方法的步骤的代码。在发现不当行为但无法识别该行为对等节点的情况下，则该终端释放测试端属性，以便分发给P2P网络中的其他终端。具有测试端属性的所述其他终端将充当新的监督者或测试者端，并应用根据本发明的检测方法。

在根据本发明的某个实施方式中，该终端与该P2P网络中的至少一个第二终端一起充当测试者端。在这种情况下，这两个测试者端均具有计算机存储介质，其包括适于执行相应检测方法的代码。所述相应检测方法是：两个测试者端之一向P2P网络中发送网络测试请求消息，该测试请求消息以另一测试者端作为目的地。分析和识别步骤由目标测试者端执行，其将所接收的对测试请求消息的响应消息与相应的具有相同目的地的、没有应用根据预定义的管理P2P网络的规则的路径而是直接从第一测试者端发送给第二测试者端的测试请求消息进行比较。

本发明还涉及根据预定义规则管理的、包括如上所述的充当测试者端的终端的P2P网络。

在从属权利要求、下面的说明书和附图中描述了本发明的有益进展。

附图说明

现在将参考附图进一步阐述本发明的示例性实施方式，其中：

图1是在应用根据本发明的方法时的P2P网络的示意图；

图2到图4是根据本发明的具有2个节点充当测试者节点的P2P网络的示意图；

图5是在消除了所识别的恶意节点之后的P2P网络的示意图。

具体实施方式

根据本发明，根据待分析的P2P网络终端来定义所谓的监督者或测试者端。对充当测试者端的第一终端的选择可以随机进行，或者应用一些预定义的规则来进行。该第一终端就是第一个被选择的测试者端，其在将请求转发给结构化P2P网络时设法确定该P2P网络是否没有按照有效的方式运转。测试者端通过网络的测试消息部分进行检查，并对其进行确认。以这种方式，其可以检测所谓的恶意端，所述恶意端的行为不满足所应用的P2P算法。这意味着如果某个请求通过这样的端，则对该请求的应答不可能是成功的或/和正确的。

在应用根据本发明的解决方案时，可以检测恶意节点或恶意端的以下三种不当行为：

●对请求进行错误路由：没有根据针对该P2P网络的指定算法来路由请求。这破坏了路由，并且将可能导致通常可被成功应答的请求失败。

●阻塞请求：恶意节点故意阻塞请求，以阻碍成功的响应。

●内容操纵：恶意节点通过相似的且恶意的方式改变请求的内容。这可以具有若干后果，例如导致失败的请求或错误响应。被故意操纵的响应在其请求端按照错误信息工作时还可能导致其他的问题。

在实现根据本发明的解决方案时，主要有两种可能性可以选择。在一种情况下，选择单个监督者或测试者端，其发送最终将返回到自身的测试P2P请求。由监督者或测试者端发送到P2P网络中的请求必须以该测试者端自身作为最终目的地。并且根据测试者端在接收回被转发的测试请求时收集的时间或其他参数，测试者端继而将能够识别是否是不当行为，或者甚至在更好情况下能够识别不当行为恶意节点。

根据本发明的一种可选实施方式是基于将两个节点用作监督者或测试者端。它们在P2P网络中的位置构成要测试的P2P网络的区域。实际上，在成功地测试区域之后，可以将测试属性分发给其他终端，以便定义新的待分析的P2P网络的区域。在本发明中还可以具有多于两个的同时运行的监督者端。这将提高在待分析的P2P网络中检测恶意端的速度。

在任何情况下，为了测试网络的一部分，测试者端知道应用于P2P网络的P2P算法。根据本发明的测试者端可以用于任意类型的结构化P2P网络。对于以下的说明，如图1到图5所示，使用了环形网络。但是可以在具有不同拓扑的网络上实现本发明。

根据本发明的测试过程如下：图1示出了具有特定数量节点的P2P网络，所有节点分布在某种类型的环型拓扑中。该拓扑定义了管理P2P网络所依据的的预定义规则，也即，在该P2P网络中传送或转发任何类型的请求时应用的规则。从该P2P网络中选择节点中的两个充当测试者或监督者端，即A和B。在实现根据本发明的方法时，监督者端A(可以是在P2P网络中交互的任意类型的终端)向P2P网络发送测试请求消息，其目的地是另一监督者节点B。在P2P网络中根据预定义的管理该网络的规则将该请求从一个节点转发到另一节点。图1中通过小箭头示出这种转发，其从监督者端A到直接邻居节点3，并随后转发到后续邻居7、8、12、15，直至到达第二监督者端B。

测试者或监督者端B对所接收到的由其邻居节点15转发的测试请求消息进行分析，将其与从监督者端A直接传送给监督者端B的第二测试请求消息进行比较。该直接传送在图1中由A和B之间的大箭头示出，并且可以使用允许这种P2P网络中进行直接连接的不同类型的规则。这种直接链路例如可以基于来自P2P算法的chord路由(finger)或chord后继。这种直接链路的一种可选方案可以通过使用所谓的社会路由(来自好友列表的好友)来给出，其发起某种类型的应用(消息工具、VoIP工具)。另一可选方案可以通过使用上一次连接的对等端来给出。

也可以由初始监督者端A通过收集监督者端B沿着图1中大箭头所示的直接链路而转发的所有请求消息来执行对P2P网络行为的分析。在图1所示的情况下，没有检测到不当行为，这意味着在两个监督者端A和B之间没有恶意节点。由监督者端A发送的测试请求消息正确地遵循预定义的管理网络的规则。

在图2中示出了一种不同的情况，其中来自P2P网络的节点之一是恶意节点。该恶意节点是节点8，其位于两个所选的监督者端A和B之间。在这种情况下并如图2所示，由监督者端A发送的测试请求消息没有达到监督者端B，这是由于恶意节点8位于这两个监督者或测试者端A和B之间。因此，在从其邻居节点7接收到该测试请求消息时，恶意节点8根据错误的规则对其进行转发，例如，转发到另一节点45而不是其顺行的第二邻居节点12，由此违反了预定义的管理该P2P网络的规则。两个监督者端A和B能够识别不当行为，但是还无法定位恶意节点。在这种情况下，释放作用于充当监督者端的节点(即，A和B)的测试端属性，将该测试端属性分发给P2P网络的其他终端或节点。

在图3中示出了被分发了测试端属性的节点，使得现在两个监督者或测试者端A和B之间只有两个节点7和8。这里，选择了一种简单的过程：将测试端属性分发给与最初选择的监督者端相邻的两个节点从而减小测试区域。可以选择不同的过程，例如，将测试者端属性分发给隔一个的邻居节点，以试图加速检测方法。继而由新选择的监督者端A和B来应用根据本发明的检测方法。在监督者端A所转发的测试请求消息在到达第二监督者端B时符合所有预定义规则的情况下，则表示测试区域不包含恶意节点。然而如果P2P网络中存在恶意节点，则必须改变测试区域，直到定位恶意节点，这是如图4中所示的情况，其中两个监督者端A和B最终能够检测到恶意端8。用于收缩测试区域的最优算法依赖于基础P2P网络，也即，预定义的管理网络的规则。

图5示出了为了使所定位的恶意节点B不活动而对预定义的管理网络的规则进行改编之后的P2P网络。在图5所示的情况中，简单地将恶意节点排除出P2P网络，从而使通过该网络转发的任何消息将从节点7跳跃到节点12，而避免了其间的节点8。可以应用使恶意节点不活动的其他可能的方法。

对恶意端或节点的检测是构建稳定和健壮的P2P网络的基本要求。根据本发明的解决方案的实现允许通过适当的方法(例如将恶意端排除)来构建一种用以抵抗某个恶意端产生的损坏的策略。

Claims (2)

1.一种用于检测根据预定义规则管理的对等P2P网络内的对等节点的不当行为的方法，所述方法包括以下步骤：

a)从所述P2P网络中选择至少两个对等节点(A、B)充当测试者端；

b)从一个所述测试者端向所述P2P网络中发送测试请求消息，该测试请求消息以另外一个或多个所述测试者端为目的地；

c)所述另外一个或多个测试者端收集与所述测试请求消息相关的任何响应消息，从而分析所述P2P网络的行为；

d)将所接收到的对所述测试请求消息的响应消息与具有相同目的地的、没有沿着根据所述预定义的管理所述P2P网络的规则的路径而直接发送到所述另外一个或多个测试者端的相应测试请求消息进行比较；

e)在发现不当行为但无法识别不当行为对等节点的情况下，从所述P2P网络中选择不同的对等节点充当测试者端从而试图包围所述不当行为对等节点，并相应地应用步骤b到d；

f)比较不同测试者端所获得的识别结果，以试图识别所述不当行为对等节点，并且在不能识别的情况下，通过从所述P2P网络中选择其他不同的对等节点并应用步骤b到f来重新开始检测过程；

g)在识别不当行为对等节点时，通过更新所述预定义的管理所述P2P网络的规则从所述P2P网络中丢弃所述不当行为对等节点。

2.根据权利要求1所述的检测方法，其中，所述预定义规则涉及在所述P2P网络中转发某个请求时使用的路由规则和路径。

Images