[发明专利]一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法

说明书

本发明公开一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，基于接入路由器检测每个接口的状态，对于确定受到兴趣包泛洪攻击的接口，限制受攻击接口的兴趣包接收速度；对于无法确定是否为兴趣包泛洪攻击的接口，将异常信息上报控制器；控制器通过收到的异常信息判断网络中是否存在兴趣包泛洪攻击，并将判定结果通知接入路由器；若控制器通知该接入路由器未受到攻击，则接入路由器将其所有接口视为正常接口，攻击防御结束；否则，接入路由器从通知报文中读取被攻击接口列表，限制恶意接口的兴趣包接收速度。本发明方法能够及时检测到隐蔽兴趣包泛洪攻击的存在并准确有效地定位攻击者，进而采取针对性防御措施，避免损害合法用户的数据访问请求。

技术领域

本发明属于未来网络体系结构技术领域，具体涉及一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法。

背景技术

命名数据网络(NDN)是最有潜力的下一代网络体系结构之一。NDN对网络中的内容命名，使得数据成为整个网络的核心。NDN中网络通信由数据的接收者驱动，用户发送带有所需内容名称的兴趣包来请求内容。中间路由器根据名称来转发兴趣包，匹配的数据包携带着用户请求的内容按照相应兴趣包路径的反方向返回内容的请求者。NDN支持有状态的转发。每个NDN路由器都需在其PIT中维护每个已转发但还未得到满足的兴趣包的状态(即一个PIT条目)。此外，只有当兴趣包所请求的内容返回或生存期结束时，相应的PIT条目才会被移除。NDN的这个特性在给NDN带来很多优势的同时也使其容易遭受到一种新型的DDoS攻击--兴趣包泛洪攻击。在兴趣包泛洪攻击中，攻击者发送大量恶意兴趣包，来耗尽目标结点的PIT资源，使其无法处理合法用户请求，从而中断合法用户服务，达到攻击目的。

目前，已有的兴趣包泛洪攻击检测与防御机制有以几个特征。第一，已有机制使得靠近攻击者的中间路由器独立检测与防御攻击，且关注于典型的兴趣包泛洪攻击场景，即攻击者直接以固定的且较高的速度发送无法满足的恶意兴趣包来实施攻击，当一个较为隐蔽的兴趣包泛洪攻击发生时，已有机制的性能可能会有一定程度下降，因为每个中间路由器在攻击检测与防御时独自做决定，这可能使得攻击检测时延较大、对低速度攻击的敏感性较低以及过度反应等；第二，由于已有机制无法准确区分攻击者所发送的兴趣包与合法用户所发送的兴趣包，合法用户的请求可能会受到损害；第三，由于兴趣包不携带任何与其发送者相关的信息，已有机制在检测到攻击后较难定位攻击者。

发明内容

发明目的：本发明提供一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，能准确有效地定位攻击者，避免损害合法用户的数据访问请求。技术方案：本发明所述的一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，包括以下步骤：

(1)基于接入路由器检测每个接口的状态，对于确定受到兴趣包泛洪攻击的接口，限制受攻击接口的兴趣包接收速度；对于存在异常但无法确定是否为兴趣包泛洪攻击的接口，将异常信息上报控制器；

(2)控制器通过收到的异常信息判断网络中是否存在兴趣包泛洪攻击，并将判定结果通知接入路由器；

(3)若控制器通知该接入路由器未受到攻击，则接入路由器将其所有接口视为正常接口，攻击防御结束；否则，接入路由器从通知报文中读取被攻击接口列表，限制恶意接口的兴趣包接收速度。

步骤(1)所述的异常信息主要包括各异常接口的标识ID和接收到的兴趣包的信息。

所述步骤(1)包括以下步骤：

(11)接入路由器监测其每个接口是否存在异常，若存在且可确定为受到兴趣包泛洪攻击，则将该接口判定为恶意接口；若存在但无法独立地确定是否为兴趣包泛洪攻击，转步骤(12)；否则，转步骤(15)；

(12)接入路由器发送带有特定名称标识的兴趣包通知控制器发现异常；

(13)控制器在收到接入路由器的通知后，回复该通知表示确认并开始周期性地发送兴趣包请求该接入路由器发现的异常信息；