CN109120602A - 一种IPv6攻击溯源方法 - Google Patents

Abstract

一种IPv6攻击溯源方法，包括信息流分类步骤、报文标记步骤、验证信息生成步骤以及信息判断步骤。本发明提出了更加高效合理的标记概率算法，判断报文的标记概率，将报文以流为对象进行标记，并以带宽占有率分为大流量与小流量。为了避免大流量的标记后的报文过多，标记概率根据带宽占有率进行动态调整，而小流量则以固定概率进行标记，保证对于小流量的标记，最终有助于以较少的标记后的报文对DDoS攻击的溯源。改进了传统的标记流程，将域内溯源与域间溯源相结合，选取接入网路由器与自治域边界路由器进行相关的标记而生成标记后的报文，最大程度上保证了重构路径的完整性，既有利于阻断攻击，也标记了攻击源。

Description

一种IPv6攻击溯源方法

技术领域

本发明涉及网络安全技术领域，具体涉及IPv6攻击溯源方法。

背景技术

伴随着互联网的飞速发展，IPv4协议的弊端日益显现。IP地址严重不足，尽管提出了多种方案暂时缓解了矛盾，但无法长久解决问题。各种网络攻击层出不穷，DDoS攻击自诞生之日起到现在一直是网络无法避免的攻击形式，伪造报文源地址给攻击溯源造成了极大地困难，并给社会带来了极大地破坏。IPv6协议虽然解决了IPv4协议IP地址不足的问题，但仍然面临着安全风险。IPv6协议在世界范围内广泛推广，发展势头迅猛。越来越多的人开始关注IPv6协议的安全性能。其中DDoS攻击在IPv6协议中的风险性受到了广泛的关注。

根据现有的研究文献，目前的DDoS攻击溯源技术大致包括入口调试法、受控洪泛法、ICMP报文法、日志记录法、覆盖网络法以及包标记法。

包标记算法例如，中国专利申请号CN201610290098.8，名称为“一种面向SDN的基于OpenFlow-DPM的DDoS溯源与源端过滤方法”，属于计算机网络领域，该发明利用DPM算法标记流量入口信息的功能，受害者通过识别标记内容，反馈于控制器，结合SDN控制器全局拓扑的能力，实现DDoS攻击的溯源操作，并通过获取攻击者处交换机流表信息实现源端过滤。具有追踪准确、负担轻的优点。中国专利申请号CN201210285572.X，名称为“一种针对自治域系统的分布式拒绝服务攻击(DDoS)的攻击源追踪方法”，属于网络安全技术领域，其技术方案是首先入口路由器按一定的概率对数据包进行标记，然后目标主机提取攻击数据包，进行路径重构得到攻击路径经过的AS，最终确认入口路由器。中国专利申请号CN200810080210.0，名称为“基于组合公钥数字签名技术的边缘概率包标记方法”，它涉及通信网络安全领域中通过在数据包中加入标记实现对攻击源进行定位的技术。它对从局域网来的数据包以设定概率进行采样，用边缘路由器ID信息对采样数据包进行标记，并对标记进行基于组合公钥的数字签名保证标记的可信性。

中国专利申请号CN201710791270.2，名称为“一种基于HTTP DNS的DDoS攻击防御及溯源方法”，在攻击到来时，无需大量资源进行防御，迅速通过HTTP DNS切走流量；经过有限次迭代处理，可以迅速发现可疑攻击者并阻断攻击；针对攻击者IP定位准确，极大地减少了合法客户端IP的误拦和误报。

2013年，北京邮电大学齐开诚提出并设计一种可面向IPv4和IPv6共存网络环境的网络攻击溯源系统。系统采用基于网络层数据报文分析方法的网络溯源技术，釆用了零拷贝的技术作为数据报文捕获手段，提取分析并记录流经系统的TCP五元组数据。

2016年，冯波提出提出了一种基于概率包标记的IPv6攻击源追踪方案。该方案在原有IPv4概率包标记方法的基础上进行了有效的改进，重新规划标记区域，分别在IPv6的基本报头和扩展报头上划分合适的标识域和信息域，既解决标记空间不足的问题，又能规范标记信息的存放秩序。

针对DDoS攻击的各种攻击溯源方法，为维护网络的正常运行奠定了基础。主要的方法包括入口调试法、受控洪泛法、ICMP报文法、日志记录法、覆盖网络法以及包标记法。

入口调试法是指网络中每个路由器都能确定通过本链路报文的特征。被攻击者在受到攻击后，必须能够提取攻击报文的特征，路由器通过特征比对判断攻击报文是否经过本链路，如果是则上游路由器再进行判断，直至找到离攻击者最近的路由器。

受控洪泛法是根据路由器缓冲区共享且有限的特点，被攻击者根据运营商拓扑图向上游的路由器发送洪泛，如果攻击数据包通过该路由器，则攻击者受到的攻击强度会大幅减弱，通过递归的方式则可找出距离攻击者最近的路由器。

ICMP报文法即在网络中的每一个路由器都需要参与其中对通过的报文以较低的概率去进行提取信息，并对提取的信息进行加工，将加工好的信息存放在ICMP报文中发送到受害者手中。受害者通过收集到ICMP报文，实现对于攻击路径的重构。

日志记录法主要通过路由器将通过的分组的信息摘要存储在通过的路由器的日志中。其中报文的摘要信息包括IP分组的包头部分的散列值，通过汇总路由器的存储信息确定报文通过的攻击路径。

覆盖网络由称为跟踪路由器的专用路由器组成，负责监控流量。当检测到攻击时，会发出命令，指示流量通过这些专用路由器。这些路由器然后检查通过它们的流量并提取用于追溯的信息。

包标记法是由报文通过的路由器为报文添加一定的标记信息，被攻击者主机上通过提取攻击报文中的标记信息实现攻击路径溯源的一种攻击溯源方案。

但是针对DDoS攻击的溯源方案也存在着一些不足：

1、现有的攻击溯源方法只适用于IPv4网络，无法满足IPv6网络下DDoS攻击溯源的需求；

2、现有的攻击溯源方法普遍需要预先了解网络的拓扑结构，实用性不强；

3、包标记方法普遍面临标记篡改的问题，现有的方法并未解决该问题。

发明内容

因此，本发明要解决的技术问题在于克服现有技术中的攻击溯源方法只不适用于IPv6、实用性不强而且标记方法容易被篡改所带来的缺陷。

为此，提供一种IPv6攻击溯源方法，包括以下步骤：

获取接入网路由器接收到的信息流，将信息流分为大流量信息流和小流量信息流；

根据第一概率对大流量信息的报文添加标记信息，根据第二概率对小流量信息的报文添加标记信息，所述标记信息包括第一标记主体的IP地址、一次认证信息、特殊符号；

通过第二主体获取信息流中标记后的报文，将报文中的路径信息、流标签信息以及共享信息进行组合并进行哈希算法生成一次验证信息；

判断一次认证信息与一次验证信息是否一致；

一致，将一次验证信息对一次认证信息进行替换并生成二次认证信息，然后按照路径将报文传递至另一装置处；

不一致，丢弃标记后的报文。

进一步的，

所述认证信息通过以下步骤生成：

将第一标记主体的IP地址添加至报文的路径信息，并生成信息的路径信息，将新的路径信息与报文的流标签信息以及共享信息进行哈希算法生成认证信息。

进一步的，

所述获取接入网路由器接收到的信息流，将信息流分为大流量信息流和小流量信息流的步骤包括：

获取接入网路由器接收到的信息流的带宽比；

将带宽比大于10％的信息流分为大流量信息；

将带宽比小于10％的信息流分为小流量信息。

进一步的，

所述第一概率通过以下公式计算：

其中P1为第一概率；M为A信息流在T时间段内带宽中的带宽比；Z报文数总量；

所述第二概率为1％。

进一步的，

所述第一标记主体为接入网路由器或边界路由器中的任意一种或多种；

所述第二主体包括至少一个，为接入网路由器或边界路由器中的任意一种或多种。

进一步的，

所述一致，将验证信息对认证信息进行替换，然后按照路径将报文传递至另一装置处的步骤后还包括：

目的地接入网路由器接收到标记后的报文，将二次认证信息与二次验证信息进行比对是否一致；

一致，删除二次认证信息，将标记后的报文发送至用户的接收端处；

不一致，丢弃标记后的报文。

进一步的，

还包括与第二主体依次连接的至少一个第三主体，

通过第三主体获取信息流中标记后的报文，将报文中的路径信息、流标签信息以及共享信息进行组合并进行哈希算法生成二次验证信息；

判断二次认证信息与二次验证信息是否一致；

一致，将二次验证信息对二次认证信息进行替换并生成三次认证信息，然后按照路径将报文传递至另一装置处；

不一致，丢弃标记后的报文。

进一步的，

所述第二主体包括至少一个，为接入网路由器或边界路由器中的任意一种或多种。

进一步的，

所述的共享信息为标记后的报文内路径信息中的最后的路由器的IP地址的共享信息。

本发明技术方案，具有如下优点：

第一，提出了更加高效合理的标记概率算法，判断报文的标记概率，将报文以流为对象进行标记，并以带宽占有率分为大流量与小流量。为了避免大流量的标记后的报文过多，标记概率根据带宽占有率进行动态调整，而小流量则以固定概率进行标记，保证对于小流量的标记，最终有助于以较少的标记后的报文对DDoS攻击的溯源。

第二，改进了传统的标记流程，将域内溯源与域间溯源相结合，选取接入网路由器与自治域边界路由器进行相关的标记而生成标记后的报文，最大程度上保证了重构路径的完整性，既有利于阻断攻击，也标记了攻击源。

第三，提出了新的认证方案，通过比较选取最为高效的哈希算法作为认证实现主体。在哈希算法的对象中，在路径信息后附加共享信息与报文流标签信息，既保证了防止伪造和篡改标记，同时防止了报文的重放攻击。标记后的报文到达被攻击者时只需要提取路径信息即可实现路径的重构。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为IPv6攻击溯源方法的流程图；

图2为信息判断步骤的示意；

图3为实验网络拓扑结构示意图；

图4为攻击溯源性能的检验仿真的结果图；

图5为抗伪造篡改标记攻击的仿真结果。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

一种IPv6攻击溯源方法，如图1所示其流程图，包括以下步骤：S1、信息流分类步骤：获取接入网路由器接收到的信息流，将信息流分为大流量信息流和小流量信息流。

在一个实施例中，获取接入网路由器接收到的信息流，将信息流分为大流量信息流和小流量信息流的步骤包括：B1、获取接入网路由器接收到的信息流的带宽比；B2、将带宽比大于10％的信息流分为大流量信息；B3、将带宽比小于10％的信息流分为小流量信息。

针对大流量攻击的特点，由于DDoS攻击持续时间较短，目标明确，且攻击者可以轻易伪造报文源地址的情况。我们将接收到的具有相同目的IP地址的所有报文看做是同一数据流。根据资料，千兆网卡在流量大于200Mbps时,丢包率小于万分之五；百兆网卡在流量大于60Mbps时,丢包率小于万分之一。本文提出为大流量标记十个数据包。则根据资料，十个标记报文在千兆网卡流量大于200Mbps的环境下全部丢失的概率为9.76X10-40接近于0。

S2、报文标记步骤：根据第一概率对大流量信息的报文添加标记信息，根据第二概率对小流量信息的报文添加标记信息，所述标记信息包括第一标记主体的IP地址、一次认证信息、特殊符号。若对报文进行标记可修改标记标识为特殊符号，特殊符号为例如数字0、@、#、％、*中的任意一种，并将例如0在报文中添加目的扩展首部，在扩展首部的选项数据中添加第一标记主体的IP地址及一次认证信息。其中第一标记主体为接入网路由器或边界路由器中的任意一种或多种。

在一个实施例中，第一概率通过以下公式计算：

其中P1为第一概率；M为A信息流在T时间段内带宽中的带宽比；Z报文数总量。由于大流量的报文相较于小流量的报文更容易出现问题，所以需要将更多地大流量报文进行标记，所以标记大流量概率报文的概率要高于标记小流量报文的概率。其中第二概率为1％，由于存在小流量的DDoS攻击。这里以相同的标记概率对信息流进行标记，既保证了小流量能够被标记，也保证了小流量不会产生大量的标记后的报文、降低报文进行标记的效率。

在一个实施例中，一次认证信息通过以下步骤生成：将第一标记主体的IP地址添加至报文的路径信息，将新的路径信息与报文的流标签信息以及共享信息进行哈希算法生成依次认证信息，最后将认证信息附加在路径信息之后。在一个实施例中，共享信息为标记后的报文内路径信息中的最后的路由器的IP地址的共享信息。

如图2所示认证信息的生成流程，首先添加路径信息后获取路径信息、流标签信息以及共享信息，然后将路径信息、流标签信息以及共享信息按顺序组合，其中顺序的组合方式可以根据获取时间的先后顺序进行组合，也可以是特定的组合方式，根据情况进行实际选择组合方式，将组合后的路径信息、流标签信息以及共享信息进行哈希计算进而生成验证信息。

其中认证信息生成的生成主要采用了哈希算法，哈希算法的对象包括标记的路径信息L、上一第二主体R的共享信息S与报文的流标签T，即报文M的认证信息为ACM＝Hash(LM+SR+TM)。

S3、验证信息生成步骤：通过第二主体获取信息流中标记后的报文，将报文中的路径信息、流标签信息以及共享信息进行组合并进行哈希算法生成一次验证信息。其中第二主体包括至少一个，为接入网路由器或边界路由器中的任意一种或多种。验证信息生成步骤所采取的哈希算法步骤与认证信息所采取的哈希算法步骤相同。

S4、信息判断步骤：判断一次认证信息与一次验证信息是否一致；一致，将一次验证信息对一次认证信息进行替换并生成二次认证信息，然后按照路径将报文传递至另一装置处；不一致，丢弃标记后的报文。上述步骤可对一次认证信息与一次验证信息内的以下内容进行比对：包括报文中的路径信息、流标签信息以及共享信息，如果一致则证明里面的内容没有被进行过篡改、破坏等问题，可以进行下一步的数据传输。如果不一致则证明里面的内容存在被篡改、破坏等问题，所以需要丢弃，不需要再进行数据传输过程。

在一个实施例中，所述一致，将验证信息对认证信息进行替换，然后按照路径将报文传递至另一装置处的步骤后还包括：S6、最后比对步骤：目的地接入网路由器接收到标记后的报文，将二次认证信息与二次验证信息进行比对是否一致；一致，删除二次认证信息，将标记后的报文发送至用户的接收端处；不一致，丢弃标记后的报文。在上述的过程中，具有标记后报文的数据流传输到与接收终端连接的目的地接入网路由器处，对报文进行再次验证，如果二次认证信息与二次验证信息一致后，就可以将具有标记后报文的数据流传输到终端处，完成数据的传输。其中接收终端可以是电脑、笔记本电脑、平板电脑以及手机中的任意一种或多种。

在一个实施例中，还包括与第二主体依次连接的至少一个第三主体，通过第三主体获取信息流中标记后的报文，将报文中的路径信息、流标签信息以及共享信息进行组合并进行哈希算法生成二次验证信息；判断二次认证信息与二次验证信息是否一致；一致，将二次验证信息对二次认证信息进行替换并生成三次认证信息，然后按照路径将报文传递至另一装置处；不一致，丢弃标记后的报文。

基于本发明内的内容做了以下统计和实验内容。根据统计，报文到达目的地一般不超过7个自治域。为了尽量模拟真实的网络环境。模拟实验中，我们设置5个自治域，即攻击者发送的报文需要经过5个自治域。对于自治域的的组成则每个自治域至少三个路由器。

本发明针对的为DDoS攻击，需要多个攻击点才能实现。抽象的来看，只要对于单个攻击源能够实现攻击溯源，多个攻击源也就不是问题了。所以，实验中只需要单个攻击源就可以实现验证方案的目的。我们这里将本次实验的拓扑结构主要包含20个节点，其中1个攻击主机，1个被攻击主机，10个正常主机，两个接入网路由器，5个边界路由器，2个域内普通路由器。网络中的各链路的带宽为2Mb/s，延迟为8ms。路由器采用先进先出的队列管理算法，如图3为实验网络拓扑结构示意图。

攻击溯源性能的检验：如图4所示攻击溯源性能的检验仿真的结果图，被攻击主机成功从标记报文中取出了路径信息2001：：3；2001：：1；2002：：1；2003：：1；2004：：1；2005：：1，实现了攻击路径的回溯。

抗伪造篡改标记攻击的测试：如图5所示抗伪造篡改标记攻击的仿真结果图。从记录可以看出在4.965秒时被攻击者控制的路由器对报文的路径信息进行了篡改，将原本的2001：：3的路径信息篡改为2003：：3。而在下一个标记路由器收到报文后，经过验证，发现报文被篡改，在4.98s时丢弃了被修改了的标记的报文。可见是认证验证功能起了效果。

显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

Claims (9)

1.一种IPv6攻击溯源方法，其特征在于，包括以下步骤：

获取接入网路由器接收到的信息流，将信息流分为大流量信息流和小流量信息流；

根据第一概率对大流量信息的报文添加标记信息，根据第二概率对小流量信息的报文添加标记信息，所述标记信息包括第一标记主体的IP地址、一次认证信息、特殊符号；

通过第二主体获取信息流中标记后的报文，将报文中的路径信息、流标签信息以及共享信息进行组合并进行哈希算法生成一次验证信息；

判断一次认证信息与一次验证信息是否一致；

一致，将一次验证信息对一次认证信息进行替换并生成二次认证信息，然后按照路径将报文传递至另一装置处；

不一致，丢弃标记后的报文。

2.根据权利要求1所述的方法，其特征在于，

所述认证信息通过以下步骤生成：

将第一标记主体的IP地址添加至报文的路径信息，并生成信息的路径信息，将新的路径信息与报文的流标签信息以及共享信息进行哈希算法生成认证信息。

3.根据权利要求1所述的方法，其特征在于，

所述获取接入网路由器接收到的信息流，将信息流分为大流量信息流和小流量信息流的步骤包括：

获取接入网路由器接收到的信息流的带宽比；

将带宽比大于10％的信息流分为大流量信息；

将带宽比小于10％的信息流分为小流量信息。

4.根据权利要求1所述的方法，其特征在于，

所述第一概率通过以下公式计算：

其中P1为第一概率；M为A信息流在T时间段内带宽中的带宽比；Z报文数总量；

所述第二概率为1％。

5.根据权利要求1所述的方法，其特征在于，

所述第一标记主体为接入网路由器或边界路由器中的任意一种或多种；

所述第二主体包括至少一个，为接入网路由器或边界路由器中的任意一种或多种。

6.根据权利要求1所述的方法，其特征在于，

所述一致，将验证信息对认证信息进行替换，然后按照路径将报文传递至另一装置处的步骤后还包括：

目的地接入网路由器接收到标记后的报文，将二次认证信息与二次验证信息进行比对是否一致；

一致，删除二次认证信息，将标记后的报文发送至用户的接收端处；

不一致，丢弃标记后的报文。

7.根据权利要求1所述的方法，其特征在于，

还包括与第二主体依次连接的至少一个第三主体，

通过第三主体获取信息流中标记后的报文，将报文中的路径信息、流标签信息以及共享信息进行组合并进行哈希算法生成二次验证信息；

判断二次认证信息与二次验证信息是否一致；

一致，将二次验证信息对二次认证信息进行替换并生成三次认证信息，然后按照路径将报文传递至另一装置处；

不一致，丢弃标记后的报文。

8.根据权利要求7所述的方法，其特征在于，

所述第二主体包括至少一个，为接入网路由器或边界路由器中的任意一种或多种。

9.根据权利要求1所述的方法，其特征在于，

所述的共享信息为标记后的报文内路径信息中的最后的路由器的IP地址的共享信息。