[发明专利]基于AS安全联盟的域间路由系统拟态防护方法

说明书

本发明公开了一种基于AS安全联盟的域间路由系统拟态防护方法，本文在分析BGP‑LDoS攻击的基本原理和特点的基础上，针对BGP‑LDoS攻击实施前需要精确的目标路径选取和规划这一前提条件，借鉴拟态安全防御思想，提出由域间路由系统中的AS节点组建安全联盟，在联盟后内部推举AC作为控制节点，各联盟节点向AC通报并共享节点和链路的连接关系及转发能力，链路带宽等资源，AC运用遗传算法获取盟外节点通过盟内的k条最优路径，而后根据安全威胁，在联盟内部进行实际通信路径随机变换，根据系统实施情况和盟内资源约束进行路径调整和分流，由于联盟对内实际路径改变，而对外显示路径保持不变，从而实现了对BGP‑LDoS攻击的动态防御。

技术领域：

本发明涉及一种互联网安全领域，特别是涉及一种基于AS安全联盟的域间路由系统拟态防护方法。

背景技术：

基于BGP(Border Gateway Protocol)的域间路由系统位于互联网的控制层面，是不同自治域互连及交换网络可达信息的基本机制，也是网络运营商实现策略控制的主要手段，是互联网关键基础设施。然而域间路由系统在设计之初缺乏安全性考虑，致使域间路由系统安全性问题日益突出，针对域间路由系统攻击手段也越来越复杂，造成的危害性也远大于传统网络攻击。特别是最近提出的CXPST、DNP等攻击方式，能够造成域间路由系统长时间的整体瘫痪，且尚无有效的防范措施，本文将其统称为BGP-LDoS攻击。

BGP-LDoS攻击一般具有很强的隐蔽性，利用域间路由系统的自适应机制如TCP拥塞控制机制，路由器的主动队列管理机制等存在的安全漏洞，短时间内周期性发送大量的网络攻击包，致使系统中路由节点间的会话反复重建和断开，继而产生大量的路由更新报文，进一步耗尽路由节点的计算和存储资源，致使整个系统陷入彻底瘫痪状态。BGP-LDoS攻击过程中，攻击流量和攻击引起的反应都是合法的，现有的检测和防护技术很难对BGP-LDoS进行有效探测和防护，这给互联网的安全运行带来严重威胁。

针对域间路由系统面临的安全威胁，现有的域间路由系统安全增强机制主要分为协议扩展和安全监测两类。然而，这些解决方案主要是解决BGP缺乏安全可信路由认证机制，以及确保路由信息传播过程中的真实性和完整性的问题，防范前缀劫持、路由泄漏以及路径伪造等安全问题的发生，针对的仅是域间路由系统的控制平面。而BGP-LDoS攻击主要是针对域间路由系统数据平面的攻击，即通过大规模的链路拥塞，使得域间路由系统中节点间反复通联，进而产生巨量的路由更新消息，耗尽路由器的计算和存储资源，造成域间路由系统的瘫痪。因此，现有的方法难以有效防范BGP-LDoS攻击。

发明内容：

本发明所要解决的技术问题是：克服现有技术的不足，提供一种依据域间路由系统特性，由域间路由系统自治节点组成拟态联盟，在联盟内部进行网络拓扑等效变换，在不影响系统功能的前提下，使得联盟后的域间路由系统网络拓扑呈现出动态的多样性和不确定性，阻止攻击者对系统网络拓扑结构进行精确探测，从而防范BGP-LDoS攻击的基于AS安全联盟的域间路由系统拟态防护方法。

本发明的技术方案是：一种基于AS安全联盟的域间路由系统拟态防护方法，其步骤为：

A、相邻的至少两个AS节点根据自愿的原则组建对外部形成黑盒的拟态联盟，而后拟态联盟内部通过选举方式推举一个AS节点作为代理控制器AC；

B、加入联盟的所有AS节点把其节点的处理转发能力及与其他节点链路带宽的相关信息发送到AC；

C、AC分析获取联盟外部节点经过联盟内部的实际路径，同时计算其经过联盟的k条最短路径；

D、根据是否遭遇安全威胁，联盟决定是否采用拟态变换，当遭遇安全威胁时，AC从k条最短路径中随机挑选一条作为实际路径，判断这条路径是否满足资源约束条件，满足资源约束条件时便采用该路径作为实际通信路径，若不满足则选取多条路径以满足通信需求。