CN108282376B - 一种基于轻量级虚拟化的LDDoS仿真方法 - Google Patents

Abstract

本发明提出一种基于轻量级虚拟化的LDDoS仿真方法，所述基于轻量级虚拟化的LDDoS仿真方法涉及网络仿真与网络安全领域，本方法能快速灵活地进行目标网络拓扑自动化部署与协议配置，可用于大规模LDDoS的攻防策略研究与效果评估。所述方法包括如下步骤：轻量级虚拟化路由镜像的制作；LDDoS攻击镜像的制作；基于轻量级虚拟化构建网络拓扑；攻击参数设置与协同攻击；链路数据实时采集与评估；攻击效果数据可视化展示。本发明能以较少资源提供大规模、高逼真的仿真环境，既可用于LDDoS攻防策略研究，也可进一步用于其他网络安全事件的评估。

Description

一种基于轻量级虚拟化的LDDoS仿真方法

技术领域

本发明涉及网络仿真与网络安全领域，是一种基于轻量级虚拟化的LDDoS(低速率分布式拒绝服务攻击)仿真方法。

背景技术

随着Internet网络规模的日益扩大，针对Internet网络的各种非法安全事件层出不穷，LDDoS正成为互联网安全的重大威胁之一。DoS(拒绝服务攻击)最早出现于1999年8月，攻击原理是攻击者向攻击目标发送恶意流量，消耗目标的网络带宽与计算资源，阻止目标为合法用户提供服务。DDoS(分布式拒绝服务攻击)在DoS上进一步发展，攻击者控制大量傀儡机对目标进行DoS攻击，攻击流量得以集中，且攻击者难以受到监控系统的追踪。LDoS(低速率拒绝服务攻击)不需要维持高频、高速率攻击流，而是利用TCP/IP超时重传机制的漏洞，发送周期性的短脉冲攻击波，用更小代价达到相同攻击效果。此外，LDoS攻击的平均流量近似于普通用户正常的数据流，因此许多针对传统DoS攻击的检测方法不再有效。LDDoS将DDoS与LDoS结合，与传统攻击相比，攻击目标更加精确，攻击效率显著提高，并能有效地躲避检测和防御，具有极大危害性。可以预测在今后若干年内，随着物联网设备的广泛应用，利用脆弱物联网设备发起的LDDoS攻击将更具有破坏力，相关检测与防御工作将更为复杂。目前，针对LDDoS攻击的防御检测策略的研究仍处于起步阶段。因此，有必要构建一种基于轻量级虚拟化的LDDoS仿真方法，用于大规模LDDoS的攻防策略研究与效果评估。

在大规模网络仿真方面，主要包括模型模拟和虚拟化两种方法。在模型模拟方面，代表性工作有基于并行离散事件的网络模拟器NS3，尽管能实现超大规模网络的构建，但难以保证网络节点的逼真度以及用户行为复制的逼真度。因此，以虚拟化为基础的网络仿真成为了主流。在轻量级节点虚拟化方面，最具有代表性的是Docker容器，这是一种基于Linux Container(LXC)的技术，一个容器就相当于一个功能齐全的虚拟机，开发者可以在上层容器内操作而不会影响到整个下层系统。本方法正是基于Docker容器作为节点来构建目标网络拓扑，能快速灵活地进行自动化部署与协议配置，以较少资源提供大规模、高逼真的仿真环境，用以大规模LDDoS的攻防策略研究与效果评估。

发明内容

本发明目的在于解决传统网络仿真所遇到的逼真度低、资源需求高、部署复杂的问题，同时专门针对LDDoS攻防策略研究与效果评估，提出以Docker容器作为节点的仿真方案，能够实现目标网络拓扑自动化部署与BGP协议自动化配置，并提供易用的系统配置界面和数据可视化窗口。本方法能快速灵活地进行目标网络拓扑自动化部署与协议配置，可用于大规模LDDoS的攻防策略研究与效果评估。

根据本发明提供的技术方案，一种基于轻量级虚拟化的LDDoS仿真方法，包括以下步骤：

S1：轻量级虚拟化路由器镜像的制作；在Docker基础镜像中，安装路由配置软件，并内置自动化路由配置程序，使其可以自动化构建基于边际网关BGP协议的网络拓扑。

S2：低速率分布式拒绝服务攻击LDDoS攻击镜像的制作；在虚拟化路由器镜像的基础上，内置流量生成程序和流量监控程序；所述流量生成程序能够利用多线程发送不同帧长、不同速率、不同时间间隔的方波流量；所述流量监控程序能够侦测网卡的实时吞吐量；以及LDDoS协同攻击程序，可接受控制主机的攻击程序指令与参数，调用流量生成程序进行LDDoS协同攻击。

S3：构建基于轻量级虚拟化的网络拓扑，具体步骤如下：

S310：宿主机内程序读取目标网络拓扑的链路配置文件，获取链路信息，所述链路配置文件中的一条链路的信息表示为：

Link＝(name1,name2,nic1,nic2,ip1,ip2,AS1,AS2,type1,type2)，其中name1和name2表示节点名称，nic1和nic2表示网卡名称，ip1和ip2表示此网卡的ip地址，AS1和AS2表示自治域号，type1和type2表示节点属性，包括边界节点和非边界节点。

S320：根据链路信息，为每个节点生成对应的邻接节点数据集，每个节点的邻接节点数据集表示为Neighbor＝(bgptype,nic,ip,AS)，其中bgptype表示邻接节点属性，包括边界节点和非边界节点，nic表示邻接网卡名称，ip表示对应网卡的ip地址，AS表示邻接节点的自治域号。

S330：为每个节点启动一个Docker实例，将与所述节点对应的邻接节点数据集复制到Docker内的指定目录中。

S340：调用网络配置模块，为每条链路两端的Docker生成虚拟网卡对veth pair，并设置所述虚拟网卡对的ip地址。

S350：调用每个节点内置的路由配置程序，所述配置程序能够读取先前复制的邻接节点数据集，自动生成路由配置命令，并与路由配置软件终端进行交互，最终为整个拓扑配置好路由协议。

S4：攻击参数设置与协同攻击；首先需要选取目标拓扑；接着选择攻击集合Attack＝{attack1…,attacki…,attackI}，其中attacki表示第i个攻击节点，目标集合Object＝{object1…,objectj…,objectJ}，其中，objectj表示第j个目标节点；然后设置链路的带宽数据集：BandWidth＝{(docker11,docker12,bandwidth1),…(dockeri1,dockeri2,bandwidthi)}，如果链路

则不限制其带宽；最后设置攻击流量的大小F与攻击时间T；在所有攻击参数设置完成后，进行协同攻击。

S5：链路数据实时采集与评估；本步骤包括链路流量和链路BGP报文实时采集；采集模块与系统协同工作，通过对系统运行状态的检测实现协同控制；

拓扑中待采集网卡集合记为Nic，采集模块采集某一时刻t流过nici的流量大小nici_flow t，以及nici的BGP报文数量(open t,notification t,update t,keepalivet)，其中open表示打开消息报文，notification表示通知报文，update表示更新报文，keepalive表示保活报文，其中nici∈Nic，采集完成后将数据存入数据库。

对采集的实时流量及BGP报文数量进行分析，确定目标链路的连通情况；若在攻击过程中的某个时间间隔[t,t+Δt]内，若链路的流量大小flow t接近其带宽，而flow t+Δt<Flowmin，所述Flowmin为给定的最小流量阈值，则显示链路流量显著减小；且对于BGP报文数量，若update t<update t+Δt且notification t<notification t+Δt，则显示此链路上的BGP协议断开并尝试重连；若链路流量显著减小并且BGP协议断开尝试重连，则能够判定在时间间隔[t,t+Δt]内，当前链路产生断开，攻击成功。

进一步地，S1中所述的轻量级虚拟化路由器镜像的制作过程和S2中所述低速率分布式拒绝服务攻击LDDoS攻击镜像的制作过程包括以下步骤：首先制作基于Docker的轻量级虚拟化路由器镜像，使之具有BGP协议自动化配置的功能；在此基础上，内置流量生成程序、流量监控程序，以及LDDoS协同攻击程序，最终获得节点镜像。

进一步地，S3中所述的基于轻量级虚拟化构建网络拓扑步骤中，Docker使用无网络模式启动，程序读入目标网络拓扑的链路配置文件，接着创建点对点连接，为每条链路两端的Docker生成veth pair，并设置ip；程序根据链路配置文件，为每个节点生成对应的邻接节点数据集；Docker内的路由协议配置程序，能读取邻接节点数据集，自动生成路由配置命令，并与路由配置软件终端进行交互，最终配置好路由协议。

进一步地，所述的链路数据实时采集与评估步骤中，流量采集采用多线程并发策略，即为每一块网卡nici创建一个线程Threadi，采集该网卡的实时流量信息nici_flow t和BGP报文数量(open t,notification t,update t,keepalive t)。

数据库表的更新确保采集信息的实效性，且能及时清理冗余信息；每个采集周期均要更新待采集网卡集合；采集完成后将网卡对应的信息存入“nici”表时，若数据库中已有该网卡对应的表则直接插入数据即可；若没有则需要创建对应的“nici”表；若此网卡所处的链路或节点被删除，则删除对应的“nici”表；

通过对实时流量及相关BGP报文的分析来评估链路的断开与否；即在攻击过程中，当链路流量flow t出现显著下降低于阈值，BGP报文、update t和notification t增多时，则判定链路断开。

本发明与现有技术相比，存在以下优点：

1.基于Docker容器作为节点来构建目标网络拓扑，能快速灵活地进行自动化部署与协议配置，以较少资源提供大规模、高逼真的仿真环境。

2.本发明实现的轻量级虚拟化网络仿真平台既可用于LDDoS攻防策略研究，也可进一步用于其他网络安全事件的评估。

附图说明

图1为本发明流程图；

图2为本发明模拟拓扑图；

图3为本发明模拟攻击效果数据图；

图4为本发明中S3的流程图；

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。其中相同的零部件用相同的附图标记表示。需要说明的是，下面描述中使用的词语“前”、“后”、“左”、“右”、“上”和“下”指的是附图中的方向。使用的词语“内”和“外”分别指的是朝向或远离特定部件几何中心的方向。

下面结合附图和实施例，对本发明的具体实施方式做进一步描述。

本实施方式提供一种基于轻量级虚拟化的LDDoS仿真方法，其中如图1和图4所示，所述基于轻量级虚拟化的LDDoS仿真方法包括以下步骤：

S1：轻量级虚拟化路由器镜像的制作。在Docker基础镜像中，安装路由配置软件，并内置自动化路由配置程序，使其可以自动化构建基于BGP协议的网络拓扑。

S2：低速率分布式拒绝服务攻击LDDoS攻击镜像的制作。在上述虚拟化路由器镜像的基础上，内置流量生成程序和流量监控程序；所述流量生成程序能够利用多线程发送不同帧长、不同速率、不同时间间隔的方波流量；所述流量监控程序能够侦测网卡的实时吞吐量；以及LDDoS协同攻击程序，可接受控制主机的攻击程序指令与参数，调用流量生成程序进行LDDoS协同攻击。

S3：基于轻量级虚拟化构建网络拓扑，具体步骤如下：

S310：宿主机内程序读取目标网络拓扑的链路配置文件，获取链路信息，所述链路配置文件包括多条链路信息，其中一条链路信息能够表示为Link＝(name1,name2,nic1,nic2,ip1,AS1,AS2,type1,type2)，其中name1和name2表示节点名称，nic1和nic2表示网卡名称，ip1和ip2表示此网卡的ip地址，AS1和AS2表示自治域号，type1和type2表示节点属性，包括边界节点和非边界节点。

S320：根据链路信息，为每个节点生成对应的邻接节点数据集，一个邻接节点信息表示为Neighbor＝(bgptype,nic,ip,AS)，其中bgptype表示邻接节点属性，包括边界节点和非边界节点，nic表示邻接网卡名称，ip表示对应网卡的ip地址，AS表示邻接节点的自治域号。

S330：为每个节点启动一个Docker实例，将对应的邻接节点数据集复制到Docker内的指定目录。

S340：调用网络配置模块，为每条链路两端的Docker生成veth pair，并设置ip地址。

S350：调用每个节点内置的路由配置程序，此配置程序会读取先前复制的邻接节点数据集，自动生成路由配置命令，并与路由配置软件终端进行交互，最终为整个拓扑配置好路由协议。

以图2对目标网络拓扑的链路配置文件，以及邻接节点数据集加以说明。对于bgp1-bgp2链路，Link＝(bgp1，bgp2，A1，B2，10.10.1.1，10.10.2.1，1，2，边界节点，边界节点)，其中，bgp1表示为边界节点1，bgp2表示边界节点2。攻击节点1：attack1的邻接节点信息表示为Neighbor＝(边界节点，C1，10.1.1.1，1)。

S4：攻击参数设置与协同攻击。首先需要选取目标拓扑；接着选择攻击集合Attack＝{attack1…,attacki…,attackI}，其中attacki表示第i个攻击节点，目标集合Object＝{object1…,objectj…,objectJ}，其中，objectj表示第j个目标节点；然后设置链路的带宽数据集：BandWidth＝{(docker11,docker12,bandwidth1),…(dockeri1,dockeri2,bandwidthi)，如果链路

则不限制其带宽；最后设置攻击流量的大小F与攻击时间T。在所有攻击参数设置完成后，进行协同攻击。

以图2对攻击参数设置加以说明。拓扑图中，攻击集合Attack＝{attack1,attack2,Attack3}，目标集合Object＝{object1,object2}，带宽数据集BandWidth＝{(bgp1,bgp2,10Mbps)}，其他链路不限带宽，攻击流量F为10Mbps，攻击时间为T为300秒。

S5：链路数据实时采集与评估。本步骤包括链路流量和链路BGP报文实时采集。采集模块与系统协同工作，通过对系统运行状态的检测实现协同控制。

拓扑中待采集网卡集合记为Nic，采集模块采集某一时刻t流过nici的流量大小nici_flow t，以及nici的BGP报文数量(open t,notification t,update t,keepalivet)，其中，open表示打开消息报文，notification表示通知报文，updatet表示更新报文，keepalive表示保活报文，nici∈Nic，采集完成后将数据存入数据库。

通过对采集的实时流量及BGP报文数量进行分析，来确定目标链路的连通情况。若在攻击过程中的某个时间间隔[t,t+Δt]内，链路的流量大小flow t接近其带宽，而flow t+Δt<Flowmin(Flowmin为给定的最小流量阈值)，则显示链路流量显著减小；且对于BGP报文数量，若update t<update t+Δt且notification t<notification t+Δt，则显示此链路上的BGP协议断开并尝试重连。若链路流量显著减小并且BGP协议断开尝试重连，可判定在时间间隔[t,t+Δt]内，当前链路产生断开，攻击成功。

以图3对攻击参数设置加以说明，在t时刻时，bgp1-bgp2链路的流量大小flow t为10Mbps左右，接近此链路的带宽，而t+Δt时刻，flow t+Δ趋近于0，表明此链路流量显著减小。图3中，update t<update t+Δt且notification t<notification t+Δt，则显示此链路上的BGP协议断开并尝试重连。综合上述两个指标，可判定在时间间隔[t,t+Δt]内，链路“bgp1-bgp2”产生断开，攻击成功。

S6：攻击效果数据可视化展示。本步骤包括拓扑可视化和链路流量可视化。在拓扑可视化中，前端根据后端传递的信息集合绘制节点和链路。节点信息集合：Node＝{(name1,type1,x1,y1)…,(namei,typei,xi,yi)…,(nameI,typeI,xI,yI)}，其中name表示节点名称，type表示属性，包括攻击节点、目标节点、正常节点，x与y表示节点坐标。链路集合Link＝{(source1,target1,type1)…,(sourcej,targetj,typej)…,(sourceJ,targetJ,typeJ)，其中source表示链路起点，target表示链路终点，type表示链路属性，包括拥堵、断开与正常。链路流量可视化中，针对每条链路，系统根据步骤五获取的其中一端的网卡流量，绘制流量折线图。

所属领域的普通技术人员应当理解：以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的主旨之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种基于轻量级虚拟化的LDDoS仿真方法，其特征在于，包括以下步骤：

S1：轻量级虚拟化路由器镜像的制作；在Docker基础镜像中，安装路由配置软件，并内置自动化路由配置程序，使其可以自动化构建基于边际网关BGP协议的网络拓扑；

S2：低速率分布式拒绝服务攻击LDDoS攻击镜像的制作；在虚拟化路由器镜像的基础上，内置流量生成程序和流量监控程序；所述流量生成程序能够利用多线程发送不同帧长、不同速率、不同时间间隔的方波流量；所述流量监控程序能够侦测网卡的实时吞吐量；以及LDDoS协同攻击程序，可接受控制主机的攻击程序指令与参数，调用流量生成程序进行LDDoS协同攻击；

S3：构建基于轻量级虚拟化的网络拓扑，具体步骤如下：

S310：宿主机内程序读取目标网络拓扑的链路配置文件，获取链路信息，所述链路配置文件中的一条链路的信息表示为：

Link＝(name1,name2,nic1,nic2,ip1,ip2,AS1,AS2,type1,type2)，其中name1和name2表示节点名称，nic1和nic2表示网卡名称，ip1和ip2表示此网卡的ip地址，AS1和AS2表示自治域号，type1和type2表示节点属性，包括边界节点和非边界节点；

S320：根据链路信息，为每个节点生成对应的邻接节点数据集，每个节点的邻接节点数据集表示为Neighbor＝(bgptype,nic,ip,AS)，其中bgptype表示邻接节点属性，包括边界节点和非边界节点，nic表示邻接网卡名称，ip表示对应网卡的ip地址，AS表示邻接节点的自治域号；

S330：为每个节点启动一个Docker实例，将与所述节点对应的邻接节点数据集复制到Docker内的指定目录中；

S340：调用网络配置模块，为每条链路两端的Docker生成虚拟网卡对veth pair，并设置所述虚拟网卡对的ip地址；

S350：调用每个节点内置的路由配置程序，所述配置程序能够读取先前复制的邻接节点数据集，自动生成路由配置命令，并与路由配置软件终端进行交互，最终为整个拓扑配置好路由协议；

S4：攻击参数设置与协同攻击；首先需要选取目标拓扑；接着选择攻击集合Attack＝{attack1…,attacki…,attackI}，其中attacki表示第i个攻击节点，目标集合Object＝{object1…,objectj…,objectJ}，其中，objectj表示第j个目标节点；然后设置链路的带宽数据集：BandWidth＝{(docker11,docker12,bandwidth1),…(dockeri1,dockeri2,bandwidthi)}，如果链路

则不限制其带宽；最后设置攻击流量的大小F与攻击时间T；在所有攻击参数设置完成后，进行协同攻击；

S5：链路数据实时采集与评估；本步骤包括链路流量和链路BGP报文实时采集；采集模块与系统协同工作，通过对系统运行状态的检测实现协同控制；

拓扑中待采集网卡集合记为Nic，采集模块采集某一时刻t流过nici的流量大小nici_flow t，以及nici的BGP报文数量(open t,notification t,update t,keepalive t)，其中，open表示打开消息报文，notification表示通知报文，update表示更新报文，keepalive表示保活报文，nici∈Nic，采集完成后将数据存入数据库；

对采集的实时流量及BGP报文数量进行分析，确定目标链路的连通情况；若在攻击过程中的某个时间间隔[t,t+Δt]内，若链路的流量大小flow t接近其带宽，而flow t+Δt<Flowmin，所述Flowmin为给定的最小流量阈值，则显示链路流量显著减小；且对于BGP报文数量，若update t<update t+Δt且notification t<notification t+Δt，则显示此链路上的BGP协议断开并尝试重连；若链路流量显著减小并且BGP协议断开尝试重连，则能够判定在时间间隔[t,t+Δt]内，当前链路产生断开，攻击成功。

2.如权利要求1所述的一种基于轻量级虚拟化的LDDoS仿真方法，其特征在于，S1中所述的轻量级虚拟化路由器镜像的制作过程和S2中所述低速率分布式拒绝服务攻击LDDoS攻击镜像的制作过程包括以下步骤：首先制作基于Docker的轻量级虚拟化路由器镜像，使之具有BGP协议自动化配置的功能；在此基础上，内置流量生成程序、流量监控程序，以及LDDoS协同攻击程序，最终获得节点镜像。

3.如权利要求1所述的一种基于轻量级虚拟化的LDDoS仿真方法，其特征在于，S3所述的基于轻量级虚拟化构建网络拓扑步骤中，Docker使用无网络模式启动，程序读入目标网络拓扑的链路配置文件，接着创建点对点连接，为每条链路两端的Docker生成veth pair，并设置ip；程序根据链路配置文件，为每个节点生成对应的邻接节点数据集；Docker内的路由协议配置程序，能读取邻接节点数据集，自动生成路由配置命令，并与路由配置软件终端进行交互，最终配置好路由协议。

4.如权利要求1所述的一种基于轻量级虚拟化的LDDoS仿真方法，其特征在于，所述的链路数据实时采集与评估步骤中，

流量采集采用多线程并发策略，即为每一块网卡nici创建一个线程Threadi，采集该网卡的实时流量信息nici_flow t和BGP报文数量(open t,notification t,update t,keepalive t)；

数据库表的更新确保采集信息的实效性，且能及时清理冗余信息；每个采集周期均要更新待采集网卡集合；采集完成后将网卡对应的信息存入“nici”表时，若数据库中已有该网卡对应的表则直接插入数据即可；若没有则需要创建对应的“nici”表；若此网卡所处的链路或节点被删除，则删除对应的“nici”表；

通过对实时流量及相关BGP报文的分析来评估链路的断开与否，即在攻击过程中，当链路流量flow t出现显著下降低于阈值，BGP报文、update t和notification t增多时，则判定链路断开。

Images