CN107454069B - 基于as安全联盟的域间路由系统拟态防护方法 - Google Patents

Abstract

本发明公开了一种基于AS安全联盟的域间路由系统拟态防护方法，本文在分析BGP‑LDoS攻击的基本原理和特点的基础上，针对BGP‑LDoS攻击实施前需要精确的目标路径选取和规划这一前提条件，借鉴拟态安全防御思想，提出由域间路由系统中的AS节点组建安全联盟，在联盟后内部推举AC作为控制节点，各联盟节点向AC通报并共享节点和链路的连接关系及转发能力，链路带宽等资源，AC运用遗传算法获取盟外节点通过盟内的k条最优路径，而后根据安全威胁，在联盟内部进行实际通信路径随机变换，根据系统实施情况和盟内资源约束进行路径调整和分流，由于联盟对内实际路径改变，而对外显示路径保持不变，从而实现了对BGP‑LDoS攻击的动态防御。

Description

基于AS安全联盟的域间路由系统拟态防护方法

技术领域：

本发明涉及一种互联网安全领域，特别是涉及一种基于AS安全联盟的域间路由系统拟态防护方法。

背景技术：

基于BGP(Border Gateway Protocol)的域间路由系统位于互联网的控制层面，是不同自治域互连及交换网络可达信息的基本机制，也是网络运营商实现策略控制的主要手段，是互联网关键基础设施。然而域间路由系统在设计之初缺乏安全性考虑，致使域间路由系统安全性问题日益突出，针对域间路由系统攻击手段也越来越复杂，造成的危害性也远大于传统网络攻击。特别是最近提出的CXPST、DNP等攻击方式，能够造成域间路由系统长时间的整体瘫痪，且尚无有效的防范措施，本文将其统称为BGP-LDoS攻击。

BGP-LDoS攻击一般具有很强的隐蔽性，利用域间路由系统的自适应机制如TCP拥塞控制机制，路由器的主动队列管理机制等存在的安全漏洞，短时间内周期性发送大量的网络攻击包，致使系统中路由节点间的会话反复重建和断开，继而产生大量的路由更新报文，进一步耗尽路由节点的计算和存储资源，致使整个系统陷入彻底瘫痪状态。BGP-LDoS攻击过程中，攻击流量和攻击引起的反应都是合法的，现有的检测和防护技术很难对BGP-LDoS进行有效探测和防护，这给互联网的安全运行带来严重威胁。

针对域间路由系统面临的安全威胁，现有的域间路由系统安全增强机制主要分为协议扩展和安全监测两类。然而，这些解决方案主要是解决BGP缺乏安全可信路由认证机制，以及确保路由信息传播过程中的真实性和完整性的问题，防范前缀劫持、路由泄漏以及路径伪造等安全问题的发生，针对的仅是域间路由系统的控制平面。而BGP-LDoS攻击主要是针对域间路由系统数据平面的攻击，即通过大规模的链路拥塞，使得域间路由系统中节点间反复通联，进而产生巨量的路由更新消息，耗尽路由器的计算和存储资源，造成域间路由系统的瘫痪。因此，现有的方法难以有效防范BGP-LDoS攻击。

发明内容：

本发明所要解决的技术问题是：克服现有技术的不足，提供一种依据域间路由系统特性，由域间路由系统自治节点组成拟态联盟，在联盟内部进行网络拓扑等效变换，在不影响系统功能的前提下，使得联盟后的域间路由系统网络拓扑呈现出动态的多样性和不确定性，阻止攻击者对系统网络拓扑结构进行精确探测，从而防范BGP-LDoS攻击的基于AS安全联盟的域间路由系统拟态防护方法。

本发明的技术方案是：一种基于AS安全联盟的域间路由系统拟态防护方法，其步骤为：

A、相邻的至少两个AS节点根据自愿的原则组建对外部形成黑盒的拟态联盟，而后拟态联盟内部通过选举方式推举一个AS节点作为代理控制器AC；

B、加入联盟的所有AS节点把其节点的处理转发能力及与其他节点链路带宽的相关信息发送到AC；

C、AC分析获取联盟外部节点经过联盟内部的实际路径，同时计算其经过联盟的k条最短路径；

D、根据是否遭遇安全威胁，联盟决定是否采用拟态变换，当遭遇安全威胁时，AC从k条最短路径中随机挑选一条作为实际路径，判断这条路径是否满足资源约束条件，满足资源约束条件时便采用该路径作为实际通信路径，若不满足则选取多条路径以满足通信需求。

E、根据选取的实际路径，AC对外隐藏内部真实报文发送链路拓扑，将变换结果发送给联盟内部AS，而后联盟内部AS根据该变换对通过本节点的流量进行转发；

F、设置定时器，当路径使用时间到期之后，再根据系统安全威胁情况判断是否恢复原有路径，或继续进行拟态变换。

每个节点对的k条最短路径的计算步骤为；

a、通过编码把节点对之间的一个最短路径映射成一个字符串；

b、把节点连接构成的路径设计成染色体的编码；

c、在遗传算子中，根据可连接节点实现路径块的交叉操作，将数个可连接节点作为变异基因块，进行变异操作。

在交叉操作和变异操作中采用覆盖法对变异和交叉中出现的环路问题进行处理。

所述步骤E中的资源约束采用请求-应答的方式，其步骤为：

a、AC选择路径后，记录下每条最优路径；

b、若系统中因为资源约束出现节点转发能力不足，或链路负载超出其最大负载时，由相关节点向AC提出减负请求，而后由AC负责减少对经过该节点或链路的路径数量。

本发明的有益效果是：

1、本发明依据域间路由系统特性，由域间路由系统自治节点组成拟态联盟，在联盟内部进行网络拓扑等效变换。在不影响系统功能的前提下，使得联盟后的域间路由系统网络拓扑呈现出动态的多样性和不确定性，阻止攻击者对系统网络拓扑结构进行精确探测，从而防范BGP-LDoS攻击的实施。

2、本发明网络拟态变换可以通过构建不确定的、动态的环境，使得攻击者缺乏足够的时间对系统进行有效探测，降低攻击者在攻击之前所收集信息的有效性，使其在攻击过程中成为过时的、无效的信息，提高攻击者信息收集和探测的代价和复杂性，降低系统被成功攻击的概率。

3、本发明AC依托联盟内部既有的物理链路采用等效变换的方式变换联盟的实际通信拓扑结构，对外隐藏内部真实报文发送链路拓扑，将变换结果发送给联盟内部AS，而后联盟内部AS根据该变换对通过本节点的流量进行转发；这种改变均在联盟内部完成，而对联盟外部形成黑盒，降低系统被成功攻击的概率，从而达到防护的目的。

4、本发明有效干扰BGP-LDoS攻击前的拓扑关系和关键目标链路探测，联盟仅在内部对实际转发链路进行修改，而对外显示的路径并没有变化，攻击者无法探测出精确的路径消息，严重干扰了其攻击的实施。

5、本发明不降低域间路由系统正常功能，利用路径变换、由AC控制联盟内部的节点和链路的负载均衡，能够平衡各AS之间利益关系，不影响各节点功能。

6、本发明不需要对现有的域间路由进行大的变动，充分利用现有的网络结构，不需要对现有的BGP协议和路由器进行变动，也不需要对拓扑关系进行修改，部署成本较低且扩展性较强，便于大规模部署。

附图说明：

图1为本申请的AS拟态联盟结构示意图。

图2为本申请的AS拟态联盟拟态变换流程图。

具体实施方式：

下面结合图1和图2对本申请进行详细描述；

如图1中，AS1和AS10建立了一个AS联盟T，联盟后，各个节点根据自身处理能力和连接关系，推举10作为AC，其他AS将自己的连接关系发送至AC，AC通过获取各节点之间的连接关系，确定了本联盟所连接的4个外部节点集合{A,B,C,D}。通过分析，AC获取这节点集合通过联盟内部实际路径为A 1 4 3 7 9 B，C 1 4 5 8 D，B 9 7 3 D。

联盟根据安全威胁大小，若威胁较小时，AC可以保持原来实际路径不变。若威胁较大时，AC计算所有外部节点经过联盟内部的路径k最短路径，例如对于C、D，计算得出另外两条最短路径分别是C 1 2 5 8 D，C 1 2 10 8 D，随机采用其中的1条路径作为新的通信路径。再经过一段时间后，再次随机选择多个节点，随机从其k条最优路径选取一条作为新的通信路径。

对与选取路径资源约束的问题,如果选取的路径C 1 4 5 8 D最大承载量不能满足通信需求，由参与节点提出需求，AC可以再随机指定一条路径，如C 1 2 10 8 D，由这两条路径并行进行通信，确保满足承载量满足业务需求。但所有这些路径的变换仅联盟内部参与节点知悉，AC所通告的路由信息不对盟外节点发布，因此对于联盟外部节点A，B，C，D来讲，其路由表中存储的路径仍维持A 1 4 3 7 9 B，C 1 4 5 8 D，B 9 7 3 D不变。

盟外节点对之间k最短路径计算：

利用遗传算法计算盟外节点k最短路径。首先通过编码把节点对之间的一个最短路径映射成一个字符串。把节点连接构成的路径设计成染色体的编码，在遗传算子中，根据可连接节点实现路径块的交叉操作，将数个可连接节点作为变异基因块，进行变异操作。

定义联盟为G，盟外节点集合为S，联盟中和S有直接连接关系的节点集合为φ(S)，对于φ(S)中每一个节点对(s,t)，计算其k条最短路径。以图1所示的联盟通信关系为例，若在联盟内部与外部的节点有直接联系的结合为{1,8,9}，需要计算(1,8)，(1,9)，(8,9)之间的最短k条路径。

1.染色体编码。利用节点编号对两点间的路径信息进行编号，以图1为例，节点1和8之间的一条路径可编码为1 2 5 3 8。由于不同的路径由不同的节点组成，因此将路径编码设置为变长形式。

2.适应度函数。适应度函数主要用以描述染色体的适应度，在遗传算法的进化搜索中基本不利用外部信息，仅以适应度函数作为区分种群个体好坏的标准，适应度函数选择的好坏直接影响算法的优劣，好的适应度函数可以加快收敛速度，并使得算法能够跳出局部最优点。针对问题的需要，引入路径适应度函数。

公式(1)中l表示经过的链路数，i表示每条链路的权值，也就是两个节点间的距离。从该函数可以看出，路径的权越小，距离越小，则其适应度越高。

3.交叉操作。交叉操作是由一对父代染色体通过交换部分基因生成子代染色体。通过交叉操作，算法可以得到新一代个体(c)，这个新个体保留了部分父辈个体的特征。本文采用单点交叉,交叉操作如下：例如染色体P₁＝v_i,a₁,a₂,a₃,a₄,a₅,a₆,v_j和染色体P₂＝v_i,b₁,b₂,b₃,b₄,b₅,b₆,b₇,v_j。进行交叉操作时，若选择的交叉位置在P₁的a₃处，则P₁的a₃以前位置与P₂的b₄及以后的基因组成新的染色体C₁，同样则P₂的b₃以前位置与P₁的a₄及以后的基因组成新的染色体C₂。若a₃与b₄无连接，则依次向后搜索，若两者之间均没有连接基因，则这两条基因P₁,P₂交叉不成功，重新找两条染色体进行交叉。

由于域间路由系统中不存在环路。本文采用覆盖法进行消除对于交叉中出现的环路，直接将重复基因及其以后的全部基因整体向前移动到第一个重复位置，覆盖中间环路。例如发现染色体v_i,a₁,b₁,a₂,a₃,b₁,a₄,a₅,a₆,v_j有环路，利用覆盖法，则覆盖后的染色体变为v_i,a₁,b₁,a₄,a₅,a₆,v_j。

4.变异操作。变异操作首先在群体中选择一个个体，对于选中的个体以变异概率，随机改变染色体中某个基因块的值，改变成某一个或某一些等位基因块，形成新的染色体(M)。对于用路径表示的染色体，把连接节点组成的路径块视为基因块。以染色体P₁＝v_i,a₁,a₂,a₃,a₄,a₅,a₆,v_j为例，把a₂,a₃,a₄,a₅视为一个基因块，随机获取一条节点a₂到a₅的新路径，a₂,b₁,...b_n,a₅，实时变异操作后，染色体P₁变异为M₁＝v_i,a₁,a₂,b₁,...b_n,a₅,a₆,v_j。可以采用覆盖法对变异中出现的环路问题进行处理。

5.染色体的世代更新。遗传算法中，采用如下世代更新函数，P'(t+1)＝Rank(P(t),C(t),M(t))，其中，P(t)为t时刻种群染色体，C(t)为t时刻交叉操作后的染色体，M(t)为t时刻变异操作后的染色体，P'(t+1)为t+1时刻经过排序优化选择后的新一代染色体。对世代更新中出现的相同染色体，排除相同的染色体。

表1联盟边沿节点最短3条路径

Table 1 shortest 3 routes of union edge nodes

结合图1对路径的随机化选取进行详细说明：

在获取了φ(S)中多个节点间的k最短路径后，选取随机选取α对节点，而后这些节点对随机采用其k最短路径中的1条路径。

以图1为例。我们获取的(1,8)，(1,9)，(8,9)之间最短3条路径如表1所示：在遇到安全威胁需要拓扑变换时，我们从每个节点对的最短3条路径中随机选取一条作为通信路径，同时，设置定时器t。当定时器到期后，再次判断是否存在安全威胁，而后选择是否恢复原有路径，或再次从列表中随机选取路径作为实际的通信路径。

结合图1对资源约束进行详细说明：

资源约束时，主要采用了请求-应答的方式。即AC选择路径后，记录下每条最优路径，若系统中因为资源约束出现节点转发能力不足，或链路负载超出其最大负载时，由相关节点向AC提出减负请求，而后由AC负责减少对经过该节点或链路的路径数量。

以图1为例，当AC在选择路径时，节点对(1,3)，(1,8)，(3,9)均选用了经过链路<1,4>，若通信时链路带宽不足或节点4的转发负载容量过大时，节点4可以向AC发送减负请求，AC根据请求调整路径如表2所示。若调整后导致链路<1,2>负载过大，AC可以调整节点对(1,3)同时使用1 4 3和1 2 5 3两条路径通信。

表2资源约束调整

Table 2 resource constraint adjustment

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (4)

1.一种基于AS安全联盟的域间路由系统拟态防护方法，其步骤为：

A、相邻的至少两个AS节点根据自愿的原则组建对外部形成黑盒的拟态联盟，而后拟态联盟内部通过选举方式推举一个AS节点作为代理控制器AC；

B、加入联盟的所有AS节点把其节点的处理转发能力及与其他节点链路带宽的相关信息发送到AC；

C、AC分析获取联盟外部节点经过联盟内部的实际路径，同时计算其经过联盟的k条最短路径；

D、根据是否遭遇安全威胁，联盟决定是否采用拟态变换，当遭遇安全威胁时，AC从k条最短路径中随机挑选一条作为实际路径，判断这条路径是否满足资源约束条件,满足资源约束条件时便采用该路径作为实际通信路径，若不满足则选取多条路径以满足通信需求；

E、根据选取的实际路径，AC对外隐藏内部真实报文发送链路拓扑，将变换结果发送给联盟内部AS，而后联盟内部AS根据该变换对通过本节点的流量进行转发；

F、设置定时器，当路径使用时间到期之后，再根据系统安全威胁情况判断是否恢复原有路径，或继续进行拟态变换。

2.根据权利要求1所述的基于AS安全联盟的域间路由系统拟态防护方法，其特征是：每个节点对的k条最短路径的计算步骤为：

a、通过编码把节点对之间的一个最短路径映射成一个字符串；

b、把节点连接构成的路径设计成染色体的编码；

c、在遗传算子中，根据可连接节点实现路径块的交叉操作，将数个可连接节点作为变异基因块，进行变异操作。

3.根据权利要求2所述的基于AS安全联盟的域间路由系统拟态防护方法，其特征是：在交叉操作和变异操作中采用覆盖法对变异和交叉中出现的环路问题进行处理。

4.根据权利要求1所述的基于AS安全联盟的域间路由系统拟态防护方法，其特征是：所述步骤E中的资源约束采用请求-应答的方式，其步骤为：

a、AC选择路径后，记录下每条最优路径；

b、若系统中因为资源约束出现节点转发能力不足，或链路负载超出其最大负载时，由相关节点向AC提出减负请求，而后由AC负责减少对经过该节点或链路的路径数量。

Images