国产日韩欧美一区二区三区三州_亚洲少妇熟女av_久久久久亚洲av国产精品_波多野结衣网站一区二区_亚洲欧美色片在线91_国产亚洲精品精品国产优播av_日本一区二区三区波多野结衣 _久久国产av不卡

?

一種保護代理的移動目標防御方法

2020-06-06 01:33蔣亞平郭夢佳張安康
關(guān)鍵詞:代理服務(wù)器攻擊者代理

蔣亞平,郭夢佳,張安康

(鄭州輕工業(yè)大學(xué) 計算機與通信工程學(xué)院,鄭州 450002)

美國國家科學(xué)技術(shù)委員會(NITRD)在2011年發(fā)布了《可信網(wǎng)絡(luò)空間:聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略規(guī)劃》,提出發(fā)展“改變游戲規(guī)則”的革命性技術(shù),移動目標防御即是其一[1].移動目標防御是一種通過不斷改變攻擊面的某種或幾種特質(zhì)以增加防御能力的防御方式[2].移動目標防御使系統(tǒng)減少了靜態(tài)性、同構(gòu)性和確定性,增加了系統(tǒng)的安全性,基于移動目標防御的研究逐漸成為信息安全領(lǐng)域的熱點之一[3].

美國喬治梅森大學(xué)的Wang Huangxin等[4]設(shè)計了一種針對DDoS攻擊(分布式拒絕服務(wù)攻擊)的移動目標防御策略(MOTAG);運用一組動態(tài)隱藏的代理防御客戶機受到DDoS攻擊,代理作為通信交流中繼,通過不斷備份新代理替換已經(jīng)受攻擊的代理,并將客戶端到代理的分配進行重組,以隔離泄漏秘密代理服務(wù)器位置的內(nèi)部攻擊者.然而,MOTAG用于隔離內(nèi)部人員的洗牌過程中沒有考慮實例化和維護新代理所需的相關(guān)開銷.美國普渡大學(xué)的Paul Wood等[5]提出一種基于云的架構(gòu),它提供了一種拒絕服務(wù)規(guī)避(DoSE)機制來隔離內(nèi)部人員并確定對少數(shù)代理的攻擊、實例化新的代理以減少攻擊的影響.DoSE雖降低了維護成本,但限制了內(nèi)部人員所需的代理數(shù)量,且該防御策略中沒有針對代理的保護策略,代理壓力過重.密歇根大學(xué)的Sridhar Venkatesan等[6]為了解決DDoS攻擊問題和代理間的負載均衡問題,提出了一種新的輕量級防御技術(shù)(PROTAG),針對代理捕獲攻擊設(shè)計了一種綁定分割策略,但該防御機制存在以下弊端:如果惡意內(nèi)部攻擊者發(fā)現(xiàn)代理被重新分配后不再進行攻擊,那么綁定分割策略將起不到辨別惡意內(nèi)部攻擊者的作用,且每次生成兩個新服務(wù)器增加系統(tǒng)負擔.引入代理增強了系統(tǒng)的安全性,但忽略了對代理的保護.在已有防御架構(gòu)的基礎(chǔ)上提出代理保護策略,將更大限度發(fā)揮移動目標防御的防御效果.

圖1 現(xiàn)有防御架構(gòu)Fig.1 Existing defense framework

圖2 PPMTD防御架構(gòu)Fig.2 PPMTD defense framework

1 防御模型總體架構(gòu)PPMTD

1.1 移動目標防御架構(gòu)—MOTAG

移動目標防御架構(gòu)多為圖1所示,如文獻[4,7]中的MOTAG.整個架構(gòu)主要由4部分構(gòu)成:客戶(合法或非法)、身份驗證服務(wù)器、代理服務(wù)器和應(yīng)用服務(wù)器.

通信過程:①首先客戶請求訪問應(yīng)用服務(wù)器;②身份驗證服務(wù)器提問驗證客戶身份,將合法用戶和非法用戶隔離開來;③客戶回復(fù);④經(jīng)過身份驗證的合法用戶會被分配代理,代理充當著客戶機與應(yīng)用服務(wù)器之間的中間層;⑤偽裝的內(nèi)部攻擊者發(fā)起攻擊;⑥一旦遭受攻擊,為客戶重新分配代理;⑦客戶通過代理連接應(yīng)用服務(wù)器.整個服務(wù)過程,客戶的一切請求通過代理傳達給應(yīng)用服務(wù)器,代理作為中間層保護應(yīng)用服務(wù)器.

1.2 PPMTD防御架構(gòu)

基于已有防御架構(gòu),通過增加代理保護實現(xiàn)增強移動目標防御效果的目的.本文提出代理保護移動目標防御(protect proxy moving target defense,PPMTD).其整體結(jié)構(gòu)如圖2所示.

1)身份驗證服務(wù)器.它是防御過程的第一步,身份驗證服務(wù)器首先將合法用戶和非法用戶隔離開來,經(jīng)過身份驗證的合法用戶才會被分配代理進而訪問應(yīng)用服務(wù)器.這個過程可以過濾掉未被授權(quán)的非法客戶及通過IP欺騙冒充的客戶機.

2)代理服務(wù)器.代理充當著客戶機與應(yīng)用服務(wù)器之間的中間層,客戶的請求通過代理傳達給應(yīng)用服務(wù)器,因此保障代理的安全是移動目標防御中重要的一環(huán).本文將代理服務(wù)器劃分為四個模塊:管理模塊、狀態(tài)模塊及決策模塊.代理服務(wù)器結(jié)構(gòu)如圖2所示,管理模塊負責統(tǒng)籌管理通訊模塊、狀態(tài)模塊和決策模塊.通訊模塊負責服務(wù)器對外通信,負責代理與服務(wù)器之間的連接交互.狀態(tài)模塊顯示代理的即時狀態(tài),當代理數(shù)量不夠時,適當激活一定數(shù)目代理.當代理遭受到攻擊時,將客戶連接轉(zhuǎn)移,判定代理死亡.決策模塊會定期更新所有代理.當狀態(tài)模塊檢測到代理遭受捕獲攻擊時,決策模塊進行危機處理,啟動代理保護算法,反饋生成的虛擬代理地址,使攻擊者無法捕獲到真實的代理地址.通訊模塊、狀態(tài)模塊和決策模塊受管理模塊管理,也可逆向?qū)⒆约旱臓顟B(tài)進行反饋.同時狀態(tài)模塊和決策模塊之間可以相互通信,代理的狀態(tài)模塊影響決策模塊的決策,決策模塊的工作結(jié)果決定代理的狀態(tài).

3)應(yīng)用服務(wù)器.應(yīng)用服務(wù)器主要為客戶提供服務(wù),應(yīng)用服務(wù)器同時負責多個服務(wù).服務(wù)器承載所有的會話信息同時服務(wù)器負責維護與客戶機之間的連接狀態(tài),所以應(yīng)用服務(wù)器必須受到良好的保護.移動代理正是為了更好的保護應(yīng)用服務(wù)器,使應(yīng)用服務(wù)器為客戶提供正常、連續(xù)的服務(wù).

本文提出的PPMTD防御架構(gòu)與先前的MOTAG防御架構(gòu)相比,完善了代理服務(wù)器功能,對代理服務(wù)器中的代理進行模塊化管理,增強了對代理的保護,在防御DDoS攻擊的同時可以防御代理捕獲攻擊,增加了系統(tǒng)的安全性.

表1 安全系數(shù)與客戶服務(wù)水平的關(guān)系Tab.1 Relationship between safety factor and customer service level

2 代理保護策略

2.1 安全代理數(shù)的確定

安全代理數(shù)是指在給定期間內(nèi),為滿足需求而持有的超過預(yù)期數(shù)量的代理數(shù).安全代理數(shù)是影響防御效果的重要一環(huán).合理的代理數(shù)量可以使防御系統(tǒng)最大地發(fā)揮防御效果.本文借助統(tǒng)計學(xué)知識來確定需要激活代理的數(shù)量.假設(shè)對代理的庫存需求量服從正態(tài)分布.用L表示提前期,即客戶發(fā)出代理需求與客戶連接上代理之間的時間間隔,將L設(shè)置為定值.客戶庫存需求服從正態(tài)分布N(u,σ2)那么前L期總客戶需求的期望為Lu,方差為Lσ2.用a表示客戶服務(wù)水平,即客戶的滿意程度.a越大,代表系統(tǒng)中的代理數(shù)越合理.與客戶服務(wù)水平a相應(yīng)的安全系數(shù)z可由安全系數(shù)表查得,見表1.

將安全代理庫存記為SS(Safety Stock),公式為:

(1)

安全代理數(shù)=(客戶總數(shù)/平均每個代理連接的客戶數(shù))+安全代理庫存.安全代理數(shù)用A表示,客戶總數(shù)用K表示,平均每個代理連接的客戶數(shù)用n表示.即有:

A=(K/n)+SS.

(2)

易知安全代理數(shù)A由以下因素決定:系統(tǒng)中的客戶總數(shù)K;平均每個代理連接的客戶數(shù)用n;安全系數(shù)z;提前期內(nèi)客戶需求方差Lσ2.一個系統(tǒng)中服務(wù)的客戶數(shù)是變化的.可根據(jù)公式2在代理需求數(shù)量發(fā)生變化、提前期發(fā)生變化及兩者都發(fā)生變化的情況下,分別求出各自的需要激活的代理數(shù)量.代理數(shù)目確定的意義在于激活適當數(shù)量的代理可以既不影響正常防御需要,又不無限度的增加代理以致增加防御系統(tǒng)的負擔.

2.2 代理隱藏算法

本文設(shè)計了一種代理保護方案,隱藏實際代理的位置,用一組虛擬的代理地址來迷惑攻擊者.由于實施代理輪轉(zhuǎn)切換,用B表示一個客戶在不同時刻連接的代理地址.B={C,Dt1,Dt2,Dt3,…,Dtn},其中C表示客戶,Dti表示客戶Ci在ti時刻所連接的代理位置.為了保證所隱藏代理的合理性又要保證虛擬代理地址與真實地址有一定的差異,生成的虛擬代理地址不應(yīng)與客戶真實連接的代理地址有明顯偏離.因此提出以下地址合理性概念.

(3)

地址合理性可保證生成的虛擬代理地址不會過分偏離真實代理地址.當生成一組虛擬代理地址時,還需要從整體考慮所生成代理的合理性.信息熵在信息論中被用于度量信息量,系統(tǒng)越混亂其信息熵越高,信息熵可以作為對系統(tǒng)有序化的度量.本文擴展信息熵這個概念,提出k-匿名集信息熵.

(4)

易知,Hti越大,虛擬地址的隱藏性越好.根據(jù)本文提出的地址合理性概念及k-匿名集信息熵概念設(shè)計如下算法,生成虛擬代理地址達到受到攻擊時隱藏代理的效果.

代理隱藏算法虛擬代理地址生成過程描述如下.

輸入:最小隱藏距離Rmin,代理真實位置Tti,系統(tǒng)中被激活的代理總數(shù)A,單位距離m

輸出:虛擬代理位置

Step1:生成一個隨機數(shù)d,d屬于[1,A];

Step 4:生成隨機數(shù)α和β,α∈[0,a]和β∈[0,b];

Step 5:構(gòu)造隱藏區(qū)域S,其中長為a*m,寬為b*m;

Step 6:構(gòu)造概率集Q={q1,q2,…,qa*b},其中qi表示第i個虛擬地址被攻擊的概率;

Step 7:生成虛擬代理地址集LIST1;

Step 8:利用公式(4)計算匿名集信息熵,選出k-1個信息熵較大的匿名集生成虛擬代理地址集LIST2;

Step 9:從LIST2中隨機選取一個虛擬代理地址作為返回結(jié)果.

設(shè)計如上代理隱藏算法算法來描述虛擬代理地址生成的步驟,根據(jù)代理真實位置Tti和最小匿名區(qū)域Rmin來確定匿名區(qū)域S的位置和大小(1~5行).然后計算匿名區(qū)域中所有虛擬代理地址被攻擊概率;最后調(diào)用算法返回ti時刻的虛擬地址集合,并隨機選取一個虛擬代理地址作為返回結(jié)果(6~9行).

2.3 代理動態(tài)演化過程

代理動態(tài)演化過程如圖3所示.該過程描述了代理從被激活到受到攻擊死亡的過程.代理服務(wù)器根據(jù)公式(5)~(7)定期更新代理.

A(t)=A(t-1)+Anew(t)+Adeath(t),

(5)

Anew(t)={x|x=Knew/n},

(6)

Adeath={y∈N|y為t時刻死亡的代理數(shù)}.

(7)

其中A(t)表示t時刻代理數(shù);A(t-1)表示t-1時刻代理數(shù);Anew(t)為t時刻新產(chǎn)生的代理;Adeath(t)為t時刻死亡代理;Knew為t時刻新連接的客戶數(shù);n為平均每個代理連接的客戶數(shù).代理通過動態(tài)演化過程清除死亡代理,補充代理池中不足代理,使代理自身得到完善并及時更新代理服務(wù)器.為代理在系統(tǒng)中的后續(xù)工作提供了保障.

3 仿真試驗及結(jié)果分析

假設(shè)整個系統(tǒng)可能面臨DDoS攻擊及代理捕獲攻擊,攻擊者為已通過身份驗證的偽裝的內(nèi)部攻擊者,內(nèi)部攻擊者意圖攻擊應(yīng)用服務(wù)器,但受到代理阻隔,此時內(nèi)部攻擊者對代理進行探測偵查代理地址——代理面臨捕獲攻擊,當內(nèi)部攻擊者捕獲到一定數(shù)量的代理地址后即可對代理發(fā)起DDoS攻擊,也可對應(yīng)用服務(wù)器發(fā)起DDoS攻擊.

根據(jù)試驗所需,搭建如圖4所示網(wǎng)絡(luò)拓撲結(jié)構(gòu).本文試驗采用Nmap 7.7作為探測工具,對代理地址進行不斷探測.

圖3 代理動態(tài)演化過程 圖4 網(wǎng)絡(luò)拓撲圖Fig.3 Agent dynamic evolution process Fig.4 Network topology diagram

用d表示檢測到內(nèi)部攻擊者所花費的成本,Q(n)表示進行n次探測的可能性,Q(n)=(1-e-(α*n)),D(n)=Q(n)*d,用這種指數(shù)分布來模擬攻擊者成功發(fā)起攻擊所需的努力[8].所做的試驗中取α為0.05.為將檢測成本d和探測成本c進行歸一化,使d=z*c,z∈Z+.同時取c=1.每次試驗保證代理數(shù)相同,用不同數(shù)量探針探測進行多組試驗.試驗結(jié)果如圖5、6所示,探針越多探測成本隨之下降,較少的探針就可以發(fā)現(xiàn)較多的活動代理,即攻擊者使用較少的探測成本就可以實現(xiàn)大范圍的DDoS攻擊,給系統(tǒng)帶來嚴重隱患.

圖5 探針數(shù)量與檢測成本關(guān)系圖 圖6 探針數(shù)量與活動代理數(shù)關(guān)系圖

為保障系統(tǒng)安全防止代理地址被大量捕獲、攻擊者發(fā)動大型DDoS攻擊,本文對代理加強保護,對提出的代理地址隱藏算法進行試驗分析,而后在減少代理被攻擊的基礎(chǔ)上執(zhí)行地址切換算法來進行移動目標防御.將所提出的代理隱藏算法與不同的地址切換算法進行防御效果疊加,來說明代理保護策略對移動目標防御效果具有增強作用.試驗結(jié)果由圖7~9呈現(xiàn).在MATLAB上實現(xiàn)核心算法,并在仿真的客戶端和代理節(jié)點上運行.

圖7 不同數(shù)量內(nèi)部攻擊者探測到的代理比例 圖8 無代理隱藏無辜人員所占百分比

圖9 代理隱藏無辜人員所占百分比Fig.9 Percentage of agents hiding innocent people

本文設(shè)置內(nèi)部攻擊者與代理1∶500的比例進行試驗.讓內(nèi)部攻擊者對代理地址進行不斷探測.結(jié)果如圖7示,試驗結(jié)果表明當沒有啟用代理保護算法代理地址沒有隱藏的情況下通過不斷的偵查,內(nèi)部人員通過偵查可以發(fā)現(xiàn)70%左右的活動代理,這對代理乃至整個防御架構(gòu)的安全造成了極大威脅.而當內(nèi)部攻擊者探測代理地址,防御架構(gòu)對代理進行地址隱藏時,內(nèi)部人員通過不斷的偵查發(fā)現(xiàn)的活動代理數(shù)降至20%左右.

為衡量本文提出的代理隱藏算法在整個移動目標防御系統(tǒng)中的性能優(yōu)劣.本文將代理隱藏算法應(yīng)用于本文提出的PPMTD防御架構(gòu)與文獻[9]中的貪心算法、文獻[6]中的內(nèi)部隔離算法及平均分配法[10]結(jié)合.通過無辜客戶數(shù)量隨攻擊次數(shù)增加的變化情況來驗證防御效果.對用到的地址轉(zhuǎn)換算法做如下統(tǒng)一:模擬試驗中客戶數(shù)為10 000、地址轉(zhuǎn)換次數(shù)為10次、內(nèi)部攻擊人員為200.通過改變攻擊次數(shù),來統(tǒng)計除內(nèi)部攻擊者外的無辜人員的變化情況,用無辜人員所占比例反映系統(tǒng)的安全程度.結(jié)果如圖8、9,通過試驗數(shù)據(jù)表明:僅使用地址切換算法,隨攻擊者發(fā)起攻擊次數(shù)的增加,系統(tǒng)中除內(nèi)部攻擊者外的無辜客戶數(shù)量降至所有通過驗證的客戶總數(shù)的40%左右.在原有系統(tǒng)的保護條件下,當加入本文提出的代理保護算法后無論代理保護算法與貪心算法、內(nèi)部隔離算法、平均分配法結(jié)合,隨著攻擊次數(shù)的增加均使系統(tǒng)中除內(nèi)部攻擊者外的無辜人員數(shù)量有明顯減少,可以使無辜客戶數(shù)保持在60%以上,顯著減小了除內(nèi)部攻擊者外的無辜客戶受影響比例.成功驗證本文提出的代理隱藏算法能對系統(tǒng)進行有效保護,阻止了對代理的攻擊,保護效果明顯.

4 結(jié)語

本文針對DDoS攻擊及代理捕獲攻擊研究了移動目標防御技術(shù).對代理加以保護,使系統(tǒng)識別內(nèi)部攻擊者的能力更強,同時內(nèi)部攻擊者對代理及服務(wù)器的攻擊效果減小.本文提出通過統(tǒng)計學(xué)原理根據(jù)用戶的需求確定要激活的代理數(shù)量,采用了代理隱藏算法通過構(gòu)造虛擬的代理地址來迷惑攻擊者.對防御架構(gòu)中的代理加以保護,極大地減小了攻擊者對代理的捕獲攻擊性.通過試驗表明本文的防御機制比受到攻擊時直接用地址轉(zhuǎn)換算法,除內(nèi)部攻擊者外的無辜人員比例減小明顯.試驗結(jié)果證實本文提出的方法具有先進性,可有效抵御攻擊者的攻擊.PPMTD防御架構(gòu)實現(xiàn)了對整個系統(tǒng)的安全保護,增加了系統(tǒng)的安全級別.

猜你喜歡
代理服務(wù)器攻擊者代理
正面迎接批判
正面迎接批判
基于防火墻技術(shù)的網(wǎng)絡(luò)安全機制
復(fù)仇代理烏龜君
防火墻技術(shù)與校園網(wǎng)絡(luò)安全的研究
有限次重復(fù)博弈下的網(wǎng)絡(luò)攻擊行為研究
108名特困生有了“代理媽媽”
勝似媽媽的代理家長
一個村有二十六位代理家長
一種容侵系統(tǒng)的設(shè)計