CN101895541A - 一种P2P网络中协作抵抗覆盖层DDoS攻击的方法 - Google Patents

Abstract

本发明涉及一种P2P网络中协作抵抗覆盖层DDoS攻击的方法。现有的方法抵抗性能差。本发明方法首先检测P2P网络中的节点在检测周期内收到的零目的消息数量是否超过该节点的攻击容忍度，然后让收到协作抵抗消息的节点读取消息，并进行协助处理；若第i层节点在2xΔt的时间内不做响应，而第i-1层节点检测到来自第i层节点的攻击，则该节点会断开与第i层节点的连接或不为第i层节点提供服务。通过上述过程向攻击源节点逼近，节点间协作地对攻击消息进行检测和抑制，使第0层节点收到的零目的消息数量在其攻击容忍度Θ内。本发明通过逐级的回溯过程尽可能使靠近攻击源的节点能检测出攻击并对攻击源进行抑制，以此减少受影响的节点数量。

Description

一种P2P网络中协作抵抗覆盖层DDoS攻击的方法

技术领域

本发明属于P2P网络安全领域，具体涉及一种P2P网络中协作抵抗覆盖层DDoS攻击的方法。

背景技术

DDoS(Distributed Denial of Service，分布式拒绝服务)攻击从DoS攻击发展而来，这种攻击利用网络上已被攻陷的计算机作为傀儡机，向某一特定的目标计算机发动密集式的“拒绝服务”攻击，把目标计算机的网络资源及系统资源耗尽，使之无法向正常请求的用户提供服务。DDoS攻击仅需消耗攻击者较少资源，但对被攻击者会产生严重影响，并且需要较长时间恢复。

P2P网络由于其非中心化和分布式的特性，对DDoS攻击有着天然的抵御能力，但攻击者也会利用P2P网络的自治性、节点数量大的特点来发起DDoS攻击。结构化P2P网络除了来自传统的网络层的DDoS攻击外，还有来自覆盖层的DDoS攻击。在没有中心服务器的情况下，结构化P2P网络为准确定位到资源，要求网络中每个节点都保存局部的资源索引表和路由表。由于节点会频繁地加入和退出P2P网络，为使整个P2P网络能正常工作，则节点须不断地更新资源索引表和路由表来准确反应当前在线的节点和资源信息，因此节点一般都采用“软状态”来维护局部资源索引表和路由表。而攻击者则利用结构化P2P网络的这种转发查询特性发起DDoS攻击，常见的攻击类型有：

(1)基于路由表污染的DDoS攻击

结构化P2P网络中每个节点都维护一张路由表，对网络中节点的加入和退出，路由表须实时更新。攻击者利用结构化P2P网络中DHT(Distributed Hash Table，分布式哈希表)的特性，可以简单地发送一个节点加入消息来污染节点的路由表。该节点加入消息包含目标节点IP和虚假的节点标识符，经过节点间的转发这个节点加入消息会到达其邻居节点，邻居节点会将该节点信息加入到自身的路由表中。攻击者若发送大量这类包含目标节点IP和不同的虚假节点标识符的节点加入消息，则P2P网络中大量节点的路由表会遭到污染，节点被污染的路由表项都指向同一个目标节点。于是目标节点有可能收到大量来自该P2P网络中不同源节点的消息，这些消息都是正常的查询消息或路由消息，当目标节点没有足够的资源对这些消息进行处理和响应时便造成拒绝服务现象。

(2)基于资源索引表污染的DDoS攻击

攻击者伪装成目标节点发布虚假的热门资源拥有消息，存储该资源索引项的节点收到该消息后，将其加入资源索引列表。当普通节点查询这个资源时，便会向目标节点请求文件，普通节点首先会跟目标节点建立一个TCP连接，在连接建立后，普通节点会向目标节点发送一个由P2P协议规定的应用层消息，请求文件下载。如果目标节点为该P2P网络中的一个节点，但没有普通节点所请求的文件，则会返回没有所需文件的响应消息；如果目标节点并非该P2P网络中的一个节点，则该节点不能解析消息的格式，因此不知如何响应，目标节点只能丢弃这个消息并挂起或关闭TCP连接。如果有大量的节点向同一个目标节点发送这类消息，则会使目标节点的TCP连接资源耗尽，无法响应其他的连接请求，从而造成DDoS攻击。

(3)基于查询消息的洪泛攻击

在结构化P2P网络中，每个节点都负责某一范围内的键值，对其他节点查询由其负责的键值须作出响应。若没有其他节点需要的键值则返回无法找到的消息给发起查询的节点，若有其他节点查询的键值则返回这个键值对应的资源信息。这种必须响应的查询特性可被攻击者利用，发起基于查询消息的洪泛攻击，即控制大量节点发送查询消息给目标节点，目标节点对查询消息必须作出响应，大量的查询消息严重消耗了目标节点的处理能力和带宽，从而造成DDoS攻击。

通过对节点加入消息和资源发布消息进行确认，可以保护结构化P2P网络中资源索引列表和路由表的纯洁性，从一定程度上预防因节点维护的局部资源索引列表和路由表遭到污染而被攻击者利用造成的DDoS攻击。但若攻击者配合其他攻击手段发起基于查询消息的洪泛攻击时，在现有的技术下，P2P网络中节点不与其他节点进行合作，只依靠节点自身进行抵抗或退出网络避开攻击，因此不能进行有效抵抗。

发明内容

本发明的目的是针对现有技术所存在的问题，提出一种在结构化P2P网络中依靠节点间的协作来抵抗基于查询消息的洪泛DDoS攻击的方法。

在给出本发明技术方案之前，先对以下基本概念进行说明。

检测周期Δt：P2P网络中的节点在一段时间内对收到的消息进行计数，这样的一段时间称为一个检测周期，用符号Δt表示，Δt的大小通常由P2P网络根据网络延时确定。

攻击容忍度Θ：P2P网络中的每个节点根据节点自身的处理能力确定的一个值，这个值具体是节点在一个Δt内能处理的消息数量的阈值，节点在一个Δt内收到的目的节点为本节点的消息数量超过该阈值时便认为遭受到DDoS攻击。

协作抵抗容忍度Γ：若节点遭受到DDoS攻击时，节点的协作抵抗容忍度Γ根据本节点的攻击容忍度Θ来确定；若节点收到上一层节点发送的协作抵抗消息须进行协作攻击检测与抵抗时，节点的协作抵抗容忍度Γ根据上一层节点发送的协作抵抗消息中的检测容忍度Γ’来确定。

检测容忍度Γ’：P2P网络中的节点在受到攻击或收到协作抵抗消息时，检测下一层节点中每个节点发送消息的数量是否超过Γ’，Γ’根据本节点的协作抵抗容忍度Γ确定。

函数f(a)：f(a)＝e^-m/n×a/m是为防止造成突发性误判，提高检测的灵敏度所做的一个处理，其中m表示本节点的下一层节点个数，n表示P2P网络中的最大节点个数，对于某个特定网络而言，n是个常数。

本发明方法的具体步骤是：

步骤(1)P2P网络中的一个节点在一个Δt内收到的零目的消息数量超过该节点的攻击容忍度Θ，则认为该节点已受到DDoS攻击，受到DDoS攻击的节点记为第0层节点。第0层节点根据记录的消息读取其下一层节点的信息，第0层节点将其协作抵抗容忍度Γ改变为其攻击容忍度Θ，并在下一个Δt内检测下一层节点中各个节点发送的零目的消息个数。第i层节点根据检测结果，发送协作抵抗消息给第i+1层中零目的消息发送数量超过检测容忍度Γ’的节点，要求其进行协助检测。其中Γ’＝f(Γ)，i是自然数，此处i＝0，表示第0层节点。

所述的零目的消息是指以第0层节点为目的节点的查询消息。

所述的第i层节点是指与第0层节点之间的跳数为i的节点。

所述的下一层节点是指消息路由过程中的上一跳节点，即第i层节点为第i-1层节点的下一层节点，第i-1层节点为第i层节点的上一层节点。

所述的协作抵抗消息包含两个参数(Γ’，x)。其中x表示第i层节点收到的消息的最大跳数，收到该消息的节点须在2xΔt内做出响应。

步骤(2)收到协作抵抗消息的节点读取消息中的(Γ’，x)，并进行协助处理。

所述的协助处理过程具体是：

a.节点的协作容忍度Γ根据从上一层节点收到的协作抵抗消息进行改变，即本节点的协作容忍度Γ改变为上一层节点的检测容忍度Γ’。

b.节点在下一个Δt内检测由下一层节点发送的零目的消息个数是否超过本节点的检测容忍度Γ’，其中Γ’＝f(Γ)。

若节点未检测到下一层有零目的消息发送数量超过Γ’的节点，则认为没有检测到攻击，对收到的协作抵抗消息不予响应；若节点检测到下一层节点发送的零目的消息数量超过Γ’，则将当前最大跳数x减去1，并发送包含(Γ’，x)参数的协作抵抗消息给该节点的零目的消息发送数量超过Γ’的下一层节点。

步骤(3)若第i层节点在2xΔt的时间内不做响应，而第i-1层节点检测到来自第i层节点的攻击，则第i-1层节点会断开与第i层节点的连接或不为第i层节点提供服务。

通过步骤(1)至步骤(3)这样的过程不断地向攻击源节点逼近，节点间协作地对攻击消息进行检测和抑制，最终使第0层节点收到的零目的消息数量在其攻击容忍度Θ内，从而能对合法节点提供正常的服务。

所述的P2P网络中的节点由消息处理单元、攻击检测单元和攻击协作抵抗单元组成。

消息处理单元：节点收到一个消息时，根据消息类型的不同进行相应的处理，具体是：

1)节点在收到一个消息时，消息处理单元首先判断该消息的类型。

2)若该消息是协作抵抗消息，则将协作抵抗消息中的参数(Γ’，x)传递至攻击协作抵抗单元。

3)若该消息是普通的路由消息或查询消息，则记录该消息的内容、跳数及下一层节点，对于内容和源节点都相同的消息不重复记录。对于目的节点不同的消息做相应的处理，具体是：

3-1)若本节点是该消息的目的节点，则将该消息进行响应并传递至攻击检测单元；

3-2)若本节点不是该消息的目的节点，则对收到的消息做跳数加1的处理并根据路由表进行转发。

攻击检测单元：节点在每一个检测周期Δt内检测收到的以本节点为目的节点的消息数量是否超过其攻击容忍度Θ。攻击检测单元若检测未遭受DDoS攻击，则对这些消息进行正常地响应，否则通知该节点的攻击协作抵抗单元进行抵抗。

攻击协作抵抗单元：节点收到攻击检测单元的通知或协作抵抗消息后，攻击协作抵抗单元读取本节点的攻击容忍度Θ或上一层节点发送的协作抵抗消息中的检测容忍度Γ’，并作如下处理：

1)本节点的协作抵抗容忍度Γ改变为收到的协作抵抗消息中的检测容忍度Γ’或本节点的协作抵抗容忍度Γ改变为本节点的攻击容忍度Θ；

2)在下一个Δt内检测下一层节点中是否有发送零目的消息数量超过本节点的检测容忍度Γ’的节点，其中Γ’＝f(Γ)。若节点未检测到下一层节点中有发送零目的消息数量超过Γ’的节点，则对协作抵抗消息不予响应；若节点检测到下一层节点发送的零目的消息数量超过Γ’，则将当前最大跳数x减去1，并发送包含(Γ’x)参数的协作抵抗消息给该节点的下一层节点中发送的零目的消息数量超过Γ’的节点。

本发明相对于现有技术具有以下有益效果：

P2P网络中的每个节点都进行攻击检测，若节点检测到自身受到攻击时，就向下一层发起协作抵抗请求，请求下一层协助自身进行攻击检测与抵抗，通过逐级的回溯过程尽可能使靠近攻击源的节点能检测出攻击并对攻击源进行抑制，以此减少受影响的节点数量。如果遭受攻击的节点的下一层为攻击节点，或者下一层节点在协助遭受攻击的节点进行攻击检测时未检测到攻击而不予响应，则受到攻击的节点认为攻击来自该节点而主动与其断开连接。

附图说明

图1为本发明P2P网络结构示意图；

图2为本发明节点示意图；

图3为本发明P2P网络中节点协作抵抗DDoS攻击的流程图。

具体实施方式

结构化P2P网络如Chord、Pastry、Tapestry、CAN、Kademlia等，以某个节点为目的节点的消息路由过程都呈现出以该节点为根节点的树形特点，随着消息路由跳数的增加，消息将不断地汇聚，最终到达该目的节点。本发明实施例并不针对某一种特定的网络，对所有基于DHT的结构化P2P网络都适用。

图1为本发明的P2P网络结构示意图，该结构化P2P网络所允许的最多节点数目为n个，当前在线节点数量为16个，其中节点3、14、15发送大量查询消息至节点0。如果节点0在一个Δt中检测到零目的消息数量超过其攻击容忍度Θ，则认为遭受到DDoS攻击，记节点0为第0层节点。为方便叙述，在实施例中直接用节点名称进行叙述，其中：节点1、节点2与节点0只有一跳的距离，为第1层节点；节点3、4为节点1的上一跳节点，节点5、6、7为节点2的上一跳节点，节点3、4、5、6、7与节点0的距离都是两跳，为第2层节点；相应的节点8、9、10、11、12、13、14、15为第3层节点。图1中的粗实线表示攻击消息的汇聚路径，细实线则表示正常的查询和路由消息。

图2为本发明的节点示意图，具体由消息处理单元、攻击检测单元和攻击协作抵抗单元组成。下面以节点0检测到正在遭受来自覆盖层查询消息的DDoS攻击为例，说明节点各模块间的交互过程：

1)若节点0收到普通的路由消息或查询消息，对目的节点不是本节点的消息做跳数加1处理并根据路由表进行转发；对目的节点是本节点的消息进行正常的响应并传递至攻击检测单元。

2)节点0在一个检测周期Δt内检测到的以本节点为目的节点的消息数量超过了其攻击容忍度Θ，则认为遭受到DDoS攻击，通知该节点的攻击协作抵抗单元进行抵抗。

3)节点0攻击协作抵抗单元收到该节点攻击检测单元的通知后，读取本节点的攻击容忍度Θ并作如下处理：

3-1)本节点的协作抵抗容忍度Γ改变为本节点的攻击容忍度Θ；

3-2)在下一个Δt内检测由第1层节点中是否有发送零目的消息数量超过检测容忍度Γ’的节点，其中Γ’＝f(Γ)；

3-3)节点0的攻击协作抵抗单元检测到第1层节点中有发送零目的消息数量超过Γ’的节点，则将当前最大跳数x减去1，并发送包含(Γ’，x)参数的协作抵抗消息给第1层节点中发送零目的消息数量超过Γ’的节点，第1层中发送零目的消息数量超过Γ’的节点进行协作攻击检测和抵抗。

图3为本发明的P2P网络中协作抵抗DDoS攻击的流程图。节点间协作地抵抗DDoS攻击过程中节点之间的交互是相似的，此处仅以某条攻击消息汇聚的路径为例进行详细说明，具体过程是：

a、节点0在一个Δt内检测到收到的零目的消息数量超过其攻击容忍度Θ，则节点0将其协作抵抗容忍度Γ变为其攻击容忍度Θ并在下一个Δt内检测节点1、节点2各自发送的零目的消息数量是否超过检测容忍度Γ’，其中Γ’＝f(Γ)。此处，m＝2，故Γ’＝Θe^-2/n/2。

b、节点0检测到其下一层节点中节点1、节点2发送的零目的消息数量均超过Θ^-2/n/2，故发送协作抵抗消息(Θe^-2/n/2，3)给节点1、节点2，请求节点1、节点2进行协作检测和攻击抑制，节点1、节点2须在6Δt内作出响应。

c、节点1在收到节点0发送的协作攻击抵抗消息后，其攻击合作抵抗单元读取节点0发送的检测容忍度Γ’并根据节点0发送的检测容忍度Γ’对本节点的协作抵抗容忍度Γ进行处理，节点1的协作抵抗容忍度Γ为节点0的检测容忍度Γ’，即节点1的协作抵抗容忍度Γ＝Θe^-2/n/2。

节点2在收到节点0发送的协作攻击抵抗消息后，其攻击合作抵抗单元读取节点0发送的检测容忍度Γ’并根据节点0发送的检测容忍度Γ’对本节点的协作抵抗容忍度Γ进行处理，节点2的协作抵抗容忍度Γ为节点0的检测容忍度Γ’，即节点2的协作抵抗容忍度Γ＝Θe^-2/n/2。

d、节点1在下一个Δt内检测由节点3、节点4各自发送的零目的消息数量是否超过节点1的检测容忍度Γ’，其中Γ’＝f(Γ)＝Θ^-4/n/4；

节点2在下一个Δt内检测由节点5、节点6、节点7各自发送的零目的消息数量是否超过节点2的检测容忍度Γ’，其中Γ’＝f(Γ)＝Θe^-5/n/6。

e、节点1检测得节点3发送的零目的消息数量在一个Δt内超过Θe^-4/n/4，因此节点1发送协作抵抗消息(Θ^-4/n/4，2)给节点3，要求节点3在4Δt内做出响应；

节点2检测得节点7发送的零目的消息数量在一个Δt内超过Θe^-5/n/6，节点2发送协助抵抗消息(Θe^-5/n/6，2)给节点7，要求节点7在4Δt内做出响应。

f、节点3在收到节点1发送的协作攻击抵抗消息后，其攻击合作抵抗单元读取节点1发送的检测容忍度Γ’并根据节点1发送的检测容忍度Γ’对本节点的协作抵抗容忍度Γ进行处理，节点3的协作抵抗容忍度Γ为节点1的检测容忍度Γ’，即节点3协作抵抗容忍度Γ＝Θe^-4/n/4。

节点7在收到节点2发送的协作攻击抵抗消息后，其攻击合作抵抗单元读取节点2发送的检测容忍度Γ’并根据节点2发送的检测容忍度Γ’对本节点的协作抵抗容忍度Γ进行处理，节点7的协作抵抗容忍度Γ为节点2的检测容忍度Γ’，即节点7协作抵抗容忍度Γ＝Θ^-5/n/6。

g、节点3在下一个Δt内检测由节点8、节点9各自发送的消息数量是否超过节点3的检测容忍度Γ’，其中Γ’＝f(Γ)＝Θ^-6/n/8；

节点7在下一个Δt内检测由节点14、节点15各自发送的消息数量是否超过节点7的检测容忍度Γ’，其中Γ’＝f(Γ)＝Θe^-7/n/12。

h、节点3未检测得节点8、节点9发送消息数量超过Θe^-6/n/8，对节点1发送的协作抵抗消息不予响应；

节点7检测得节点14、节点15发送消息数量均超过Θe^-7/n/12，节点7发送协作抵抗消息(Θe^-7/n/12，1)给节点14、节点15，要求节点14、节点15在2Δt内做出响应。

i、节点3对节点1发送的协作抵抗消息未响应，节点1与节点3断开连接或不为节点3提供服务。

节点14、节点15根据协作抵抗消息中的x(此处x＝1)值，可获知本节点在节点0为根节点的树中已是最后一层节点，因此节点14、节点15发送的零目的消息都是由其自身产生的，它检测不到经其转发的零目的消息，因此对节点7发送的协作抵抗消息不予响应，节点7与节点14、节点15断开连接或不为节点14、节点15提供服务。

当节点1与节点3断开连接，节点7与节点14、节点15断开连接后，节点0受到的零目的消息数量会减少到其攻击容忍度Θ以下，攻击得到了抑制。攻击节点在被上一层节点断开连接后，根据P2P网络协议对网络动态性的维护，处于攻击节点下一层的正常节点会更新路由表，重新加入网络获取服务。

Claims (1)

1.一种P2P网络中协作抵抗覆盖层DDoS攻击的方法，其特征在于该方法包括以下步骤：

步骤(1)P2P网络中的一个节点在一个检测周期Δt内收到的零目的消息数量超过该节点的攻击容忍度Θ，则认为该节点已受到DDoS攻击，受到DDoS攻击的节点记为第0层节点；第0层节点根据记录的消息读取其下一层节点的信息，第0层节点将其协作抵抗容忍度Γ改变为其攻击容忍度Θ，并在下一个Δt内检测下一层节点中各个节点发送的零目的消息个数；第i层节点根据检测结果，发送协作抵抗消息给第i+1层中零目的消息发送数量超过检测容忍度Γ’的节点，要求其进行协助检测，i是自然数；其中Γ’＝e^-m/n×Γ/m，m表示本节点的下一层节点个数，n表示P2P网络中的最大节点个数，n为常数；

所述的零目的消息是指以第0层节点为目的节点的查询消息；

所述的第i层节点是指与第0层节点之间的跳数为i的节点；

所述的下一层节点是指消息路由过程中的上一跳节点，即第i层节点为第i-1层节点的下一层节点，第i-1层节点为第i层节点的上一层节点；

所述的协作抵抗消息包含两个参数(Γ’，x)；其中x表示第i层节点收到的消息的最大跳数，收到该消息的节点须在2xΔt内做出响应；

步骤(2)收到协作抵抗消息的节点读取消息中的(Γ’，x)，并进行协助处理；

所述的协助处理方法是：

a.节点的协作容忍度Γ根据从上一层节点收到的协作抵抗消息进行改变，即本节点的协作容忍度Γ改变为上一层节点的检测容忍度Γ’；

b.节点在下一个Δt内检测由下一层节点发送的零目的消息个数是否超过本节点的检测容忍度Γ’；

若节点未检测到下一层有零目的消息发送数量超过Γ’的节点，则认为没有检测到攻击，对收到的协作抵抗消息不予响应；若节点检测到下一层节点发送的零目的消息数量超过Γ’，则将当前最大跳数x减去1，并发送包含(Γ’，x)参数的协作抵抗消息给该节点的零目的消息发送数量超过Γ’的下一层节点；

步骤(3)若第i层节点在2xΔt的时间内不做响应，而第i-1层节点检测到来自第i层节点的攻击，则第i-1层节点会断开与第i层节点的连接或不为第i层节点提供服务；

通过步骤(1)至步骤(3)这样的过程不断地向攻击源节点逼近，节点间协作地对攻击消息进行检测和抑制，最终使第0层节点收到的零目的消息数量在其攻击容忍度Θ内，从而能对合法节点提供正常的服务；

所述的P2P网络中的节点由消息处理单元、攻击检测单元和攻击协作抵抗单元组成；

消息处理单元：节点收到一个消息时，根据消息类型的不同进行相应的处理，具体方法是：

1)节点在收到一个消息时，消息处理单元首先判断该消息的类型；

2)若该消息是协作抵抗消息，则将协作抵抗消息中的参数(Γ’，x)传递至攻击协作抵抗单元；

3)若该消息是普通的路由消息或查询消息，则记录该消息的内容、跳数及下一层节点，对于内容和源节点都相同的消息不重复记录，对于目的节点不同的消息做相应的处理，具体是：

3-1)若本节点是该消息的目的节点，则将该消息进行响应并传递至攻击检测单元；

3-2)若本节点不是该消息的目的节点，则对收到的消息做跳数加1的处理并根据路由表进行转发；

攻击检测单元：节点在每一个检测周期Δt内检测收到的以本节点为目的节点的消息数量是否超过其攻击容忍度Θ；攻击检测单元若检测未遭受DDoS攻击，则对这些消息进行正常地响应，否则通知该节点的攻击协作抵抗单元进行抵抗；

攻击协作抵抗单元：节点收到攻击检测单元的通知或协作抵抗消息后，攻击协作抵抗单元读取本节点的攻击容忍度Θ或上一层节点发送的协作抵抗消息中的检测容忍度Γ’，并作如下处理：

①本节点的协作抵抗容忍度Γ改变为收到的协作抵抗消息中的检测容忍度Γ’或本节点的协作抵抗容忍度Γ改变为本节点的攻击容忍度Θ；

②在下一个Δt内检测下一层节点中是否有发送零目的消息数量超过本节点的检测容忍度Γ’的节点，若节点未检测到下一层节点中有发送零目的消息数量超过Γ’的节点，则对协作抵抗消息不予响应；若节点检测到下一层节点发送的零目的消息数量超过Γ’，则将当前最大跳数x减去1，并发送包含(Γ’，x)参数的协作抵抗消息给该节点的下一层节点中发送的零目的消息数量超过Γ’的节点。

Images