網絡安全試驗平臺研究

郭艷來，崔益民，匡春光，王梓斌，張 明

（北京系統工程研究所 信息系統安全技術 （國家級）重點實驗室，北京100101）

0 引 言

以前人們開展網絡安全技術研究，大多是在自己搭建的環境里進行測試驗證，其關注點在安全技術本身，例如防火墻在不同層次實施網絡流量過濾，入侵檢測系統采用不同機制提高網絡攻擊事件發現的概率并減小誤報率。起初簡單的試驗環境能夠滿足研究的需要，之后網絡攻擊技術越來越復雜，影響范圍更廣，對一些網絡攻擊比如Botnet、蠕蟲等研究就需要更復雜的環境，要求提供能夠擴展、重構和共享的平臺。這方面的需求也與互聯網技術演進的需要相吻合，例如為了研究下一代互聯網技術，需要在實驗室環境下進行各種測試和驗證，于是很多網絡試驗平臺紛紛建立起來。網絡安全試驗平臺是為了滿足網絡安全研究的需要而建立的，為了觀察特定的攻擊，尋找檢測的方法，采取恰當的防御策略等。

網絡安全試驗技術作為一個技術領域在不斷豐富，滿足了一定的試驗需求。但是它還必須不斷演進，跟上網絡安全技術發展的形勢，實現更先進的特性。本文對網絡安全試驗平臺技術進行了分析，明確了網絡安全試驗平臺的層次結構，概括了網絡安全試驗平臺的研究方向和技術點。

1 網絡安全試驗平臺特性

網絡安全試驗平臺是為網絡安全的研究、測試、驗證、評估而提供的計算機硬件和軟件的操作環境。著名的試驗平臺有：Emulab，由美國猶他大學研究人員設計與研制，目的是為網絡相關技術的研究、測試和評估等過程提供一個大規模的仿真試驗環境以及相關的資源和配套工具；DETER［1，2］，在Emulab的基礎上建立，用于支持信息安全攻防技術的研究、開發和測試；NCR （國家網絡靶場），一方面為美國國防部進行網絡作戰提供虛擬環境，另一方面針對網絡攻擊進行網絡安全測試，維護美國網絡安全和提高網絡戰能力；FEDERICA （federated e－infrastructure dedicated to European researchers innovating in computing network architecture）［3］，主要目標是將分布在歐洲范圍內的計算機和網絡試驗資源聯合起來，構建一個端到端隔離的試驗環境，用于驗證網絡安全、分布式協議等。

人們經常提到網絡試驗平臺，這類平臺數量多，規模大，既有全球性的也有本地性的，既有通用性的也有專用性的。網絡安全試驗平臺可看作網絡試驗平臺的特定類型，在基礎設施組成上，與后者區別不大，由于專用于安全試驗，與一般網絡試驗平臺構建的原則不盡相同。在統一性、可分片性、隔離性、可編程性、可擴展性等方面是一致的，除此之外，網絡安全試驗平臺要強化如下特性或獨有：

有限的開放性：網絡安全試驗平臺常研究網絡攻擊，如病毒或蠕蟲的擴散等，必須與外部網絡實現隔離。但是可以采取有限的開放策略，例如通過精準的控制，可以讓試驗網絡與外部網絡聯通，使得外部網絡活動可以影響到平臺內部，但是內部活動不能影響到外部的網絡。而一般的網絡試驗平臺提倡開放性，僅在不同的試驗項目之間實現隔離。

類型的多樣性：現在所謂的網絡安全是大網絡安全（cyber security），不僅包括計算機互聯網，還包括國家關鍵基礎設施，如工控網、通信網等。需要更多類型環境通過邦聯，實現網絡組成類型的多樣性，同時可靈活擴展網絡的規模，以進行更大規模、更加復雜的試驗。一般網絡試驗平臺也要求可擴展，但網絡安全試驗平臺對不同類型的網絡環境有更強烈的擴展要求，需要建立更靈活的擴展機制。

不同逼真度要求：網絡安全試驗的主要任務之一是模擬或仿真現實的網絡，支持研究不同層次、不同規模的安全問題，因此必須滿足一定的逼真度要求。真實網絡不可能完全搬進實驗室，對于網絡安全試驗平臺來講，只能達到不同逼真度指標，來滿足不同規模強度的研究需要。所以，網絡安全試驗平臺要能夠通過虛實結合的技術手段實現不同逼真度的物理環境、仿真平臺、模擬系統的組合。一般的網絡試驗平臺很少進行這樣的集成。

復雜且龐大的試驗數據：網絡安全試驗包括對流量數據和節點運行性能數據的監測，因此截獲的數據尤其龐大。關鍵還在于數據復雜，包括了不同層次不同捕獲手段獲取的數據。例如，為了研究攻擊的流量特征，需要轉儲鏈路上的數據流，找到能夠代表攻擊流量的特征標識；為了研究攻擊減緩策略需要在不同的點進行觀測，度量性能變化。一般網絡試驗平臺更多的是驗證協議，或試驗性地應用新的網絡技術，會進行不同程度數據采集，但網絡安全試驗平臺會在短期內轉儲大量數據，進行復雜的分析，發現期望或預期之外的行為特征等。

2 安全試驗平臺架構

2.1 結 構

網絡安全試驗周期通常由項目設計、場景構建、試驗執行、數據分析4個主要階段構成一個迭代周期。試驗平臺要能夠為試驗提供必要的工具和服務支持。用戶需要的基本功能包括：場景構建、狀態監視、結果表示等。為了構建試驗，平臺還需要提供給試驗者必要的工具，如拓撲生成、背景流量生成、試驗基準、性能度量標準等。平臺還需要具備自身控制管理功能等。因此，網絡安全試驗平臺按照三層模型劃分為應用層、服務層和設施層。分層結構如圖1所示。

圖1 網絡安全試驗平臺分層結構

應用層是平臺和用戶的接口，實現對試驗的抽象描述和結果表示等，在這一層用戶構建試驗，并對試驗進行管理，最后得到試驗結果；服務層是試驗基礎服務的提供者，通過調度組合實現底層資源的分配，并將抽象的試驗對象映射到相應的資源分片上，同時通過一定的機制實現試驗的隔離、控制、監測和管理等功能。設施層是試驗的承載者，它通過虛擬化等技術，屏蔽底層物理資源的異構性，為試驗服務提供抽象的資源池和訪問資源的統一接口。

2.2 試驗平臺的關鍵技術

網絡安全試驗平臺是一個復雜的系統，每一層實現都涉及許多技術。網絡安全試驗平臺關鍵技術包括：試驗場景構建技術、平臺控制框架技術、網絡資源分片技術等。

在應用層，平臺需要為用戶所開展的試驗提供場景構建的功能和試驗結果分析處理的功能。網絡安全試驗一般都是對抗行為，包括復雜的行為描述和網絡設備屬性的描述。試驗場景構建是對試驗設計的直接支持，是利用平臺的第一步，因此試驗場景的構建非常重要。

在控制層，網絡安全試驗平臺要為用戶提供隔離的、可編程的、可擴展的試驗環境，控制是整個平臺的核心，因此必須實現一個統一的控制框架，定義一組管理實體和實體間通信的接口，負責分配試驗平臺的資源，并且提供必要的監控服務。

在資源層，為實現網絡資源共享，在特定時間保證用戶獨占所分配的網絡資源，需要實現網絡資源分片，網絡分片是試驗平臺的基礎。為了解決網絡安全試驗平臺的規模，還需要實現多異構平臺的邦聯和對外有限度的開放。

由于網絡安全試驗平臺是網絡試驗平臺的一個子類，毫無疑問要與一般網絡試驗平臺共用一些技術，如試驗平臺管理控制、網絡資源分片等，這些技術非常重要，但不是安全試驗平臺獨有的技術，本文將詳細討論與網絡安全試驗平臺更密切的技術：

（1）試驗場景描述方法：場景是指用戶利用試驗平臺為實現某個試驗目標而設計的網絡對抗活動過程的抽象描述，包括對抗的參與者、對抗行為過程、網絡環境、度量參數或轉儲數據等。

（2）試驗場景生成技術：場景生成是指將描述的場景映射到平臺所提供資源上的過程，從而完成試驗活動的部署、設備的配置等，其實質是抽象描述的具體化。

（3）試驗輔助工具：安全試驗需要一些輔助的工具支持，在進行安全機制研究時需要一組標準的攻擊工具和度量手段，支持安全性能評價。

下面對以上內容研究進展情況詳細介紹。

3 試驗場景描述方法

試驗場景描述的主要內容是網絡環境，即網絡事件所發生的網絡的抽象描述，所有其它描述都圍繞網絡環境來展開。為此，人們已經開展了網絡拓撲、網絡流量模型的研究。

經過幾十年的研究，研究者們提出了各種不同的互連網模型和Internet拓撲生成器。其中最具代表的網絡模型包括有Transit－Stub模型、BA 模型、ESF模型和PFP模型等，體現了互聯網的分層特性和冪率特性。對拓撲生成器的研究，比較典型的包括GT－ITM、Inet、BRITE 和Nem等［4］，這些拓撲生成器主要關注網絡拓撲中的結構特性，對于帶寬分配機制、IP地址自動生成策略涉及較少；同時，這些拓撲生成器中包含的模型主要是自治域 （AS）級和路由器級，并未加入端系統，而如果要構建具體的網絡試驗環境，帶寬和端系統等信息都是必不可少的［5］。

在流量建模方面，主要提出了fluid 模型和packet模型［6］。fluid流量表示與packet表示相比，前者抽象層次高，開銷小，但模擬精度低，會丟失一些細節，但更常用，有些研究者也將二者結合，彌補各自的不足。填充的流量又包括攻擊流量和背景流量。用戶的正常應用是合法流量，這部分流量使得試驗更加逼真；惡意代碼，如worms或DoS攻擊等屬于攻擊流量，攻擊流量可以是使用攻擊工具產生的流量，也可以是從Internet上追蹤檢測 （Auckland－VIII流量追蹤集、MAWI traces、CAIDA’s OC48流量追蹤等）而收集到的，這部分流量也是必須的。以上研究為網絡安全試驗場景描述奠定了基礎。

網絡拓撲的約減和歸并是與拓撲生成相關的研究，該項技術對安全試驗比較重要。網絡拓撲歸并是將已有的拓撲，連接到一起形成新的拓撲，使得已有拓撲能夠復用。例如小規模校園網、企業網等可以組合成具有一定代表性的網絡拓撲。拓撲歸并可根據頂點 （節點）或邊 （鏈路）進行合并。頂點歸并可根據字符串匹配的方法將有重疊命名的頂點合并，再調節邊來組合成混合拓撲模型；同時也可以根據拓撲模型固有的特性進行語義歸并，例如核心AS在合并后必然不能作為葉子節點。邊的歸并方法是根據兩個網絡模型之間的聯系，如共享的通信信道、協同定位或其它共享資源等。

在大規模網絡試驗中，硬件資源的要求以及試驗時間的消耗成為了主要矛盾，引起了越來越多研究者的注意。解決方法是將原網絡拓撲在某種程度上縮小，在進行模擬或仿真試驗時用縮小后的網絡拓撲。網絡約簡是在保留原始拓撲某些特性的同時，減小網絡規模，在仿真規模受到限制時，仍然能夠開展試驗，或者提高仿真的速度［7］。

歸并與約簡必須保留原網絡特征，同時減少資源需求，提高網絡模擬仿真的效率。網絡約簡的一般方法是對原網絡仿真模型附加一系列的約束條件，如樣本流的輸入、單個鏈路的傳播延遲、鏈路容量、隊列緩沖區大小、自動隊列管理 （AQM）參數，移除不會發生擁塞的鏈路等。目前形成的主要方法有3 種：SHRiNK、Transim 和DSCALE［8－10］。

第一種方法集中了流抽樣、增大鏈路傳輸延遲、減小鏈路容量、緩沖大小和自動隊列管理參數等縮減規模的約束條件，來對網絡進行約簡，此方法以增加試驗時間為代價來減少試驗對硬件的需求。第二種方法只進行流抽樣、增大鏈路傳輸延遲、減小鏈路容量3種策略，這種方法縮短了模擬時間，但降低了參數評估的準確性。第三種方法則是進行流量抽樣、移除所有的非擁塞鏈路以及適當增加所有包的延遲，這種方法的主要問題在于不是很容易就找出不擁塞的鏈路，這就使得該方法的效果大大降低。

網絡拓撲約簡對網絡流量、拓撲規模和要測定的性能參數很敏感，很難確定出最佳的組合以確定最佳的約簡方案，同時一些方法的有效性嚴重依賴于流量的輸入分布，但有時實際網絡中的流量并不滿足假設的前提，因此，需要研究更加實際有效的方法來降低對于輸入流量的依賴。同時，方法如DSCALE，在網絡拓撲發生變化時需要重新評估系統，不能隨之動態調整。總之，大規模網絡對約簡策略的可擴展性和健壯性提出了嚴重挑戰［11］。

4 試驗場景生成技術

試驗場景生成技術主要解決從場景抽象描述到網絡虛擬資源、網絡模擬仿真平臺的轉換。對于網絡虛擬資源映射，需要根據可調度的資源進行匹配。主要方法是根據底層平臺的資源現狀，將欲仿真的網絡進行切片，然后把不同的分片放到不同的聯邦平臺。分片到了平臺，控制機制需要將分片中的節點和鏈路映射為實際的或虛擬的主機或鏈路。這方面研究重點是在充分合理地利用已有的資源條件下實現映射算法。至于到網絡模擬仿真平臺的映射，主要完成網絡拓撲生成格式輸出到仿真平臺本地格式輸入的轉換。

當使用多種試驗平臺進行試驗時，由于每個平臺的描述語言和接口都不同，不能保證網絡拓撲和應用描述所反映的最終試驗條件和細節的一致性，因此引發了統一描述語言的問題［12］。Splay 和Plush 只關注了應用層的部署。Splay要求用戶使用LUA 編程語言重寫他們的應用來控制部署，而Plush使用XML 文件來描述應部署的應用。PlanetLab和ModelNet只是處理了網絡層的描述而將部署留給用戶，PlanetLab使用CML－RPC或web接口使用戶自己指定可以遠程登錄的刀片作為節點；ModelNet將用戶提供的本地XML 網絡描述轉換成仿真的拓撲版本，然后采用Splay或Plush的方法繼續處理。ORBIT 及其管理軟件OMF提供了網絡拓撲工具同時使用ruby腳本語言來管理應用的部署，但這種方法只能在單一試驗環境里進行。Emulab在一定程度上兼顧了網絡層和應用層，但是它要求將其它平臺整合到它自己內部，這樣每個平臺就不能單獨使用。

NEPI（network experiment programming interface）是統一描述比較合理的解決方案［11］。它試圖描述所有試驗細節，目標是使研究者能夠靈活地使用各種網絡試驗平臺，并且能夠相互轉化。它通過編寫Python腳本來控制分層網絡的描述，應用層的設置、部署、監測和追蹤等，同時提供了圖形用戶界面。

如圖2所示，NEPI通過控制模塊實體來訪問所有的API，控制模塊實體通過RPC 來訪問、管理遠程試驗；試驗模塊管理一個試驗的全部描述，它使用XML來存儲或下載試驗描述和結果；后端和服務器模塊滿足試驗的具體需求，服務器代表試驗資源，如一個ns3進程或Emulab boss服務器，后端實現具體試驗環境的NEPI對象模塊，即是試驗細節的描述。用戶工具箱用來協調后端間的錯誤匹配。

NEPI未來的工作是在PlanetLab、Emulab、ORBIT 以及ModelNet等試驗平臺上開發后端，實現復雜試驗的自動化或半自動化部署。

5 試驗輔助工具

5.1 網絡試驗基準

所謂基準，就是測量中用作參考的標準。對于網絡安全試驗來講，則是經過多次試驗使用，可以作為標準對比的攻擊工具或防御策略集合。它們具有代表性，可以在試驗時作為攻擊試驗度量的標準。開展這方面研究對于一個成熟的試驗平臺來講非常重要，為很多對抗試驗提供了必要的參照。

圖2 NEPI體系結構

在攻擊方面，需要研究網絡攻擊手段、攻擊模式，例如Botnet攻擊的規劃調度方式，蠕蟲的傳播模式以及混雜的攻擊流生成等。這些都需要廣泛收集信息，形成經驗數據，按照網絡安全試驗的需求建立數據庫［13，15，17］。如進行DoS攻擊時，可采用的攻擊策略有：

（1）Packet floods：消耗鏈路帶寬、路由器或目標的主機CPU 及內存等資源，這種策略是DoS攻擊的主要手段，有TCP SYN flood、ICMP flood以及UDP flood等；

（2）錯誤的協議頭部值：packet中各種協議值的錯誤可導致路由器或目標主機無法處理異常的包而導致崩潰；

（3）無效的應用輸入：packet內容無效會導致應用的凍結或崩潰；

（4）無效的分段：主機無法處理重復的分段或過大的分段而崩潰；

（5）大包：導致目標主機的緩沖區溢出；

（6）擁塞控制漏洞：在發送端造成擁塞的假象，根據擁塞控制機制就會導致發送方降低發送速率；

（7）假冒攻擊：攻擊者欺騙主機的識別接管其正常的通信流量，將其殺掉或不予理睬。

在防御方面，主要研究各種場景下主要安全機制的部署和防御策略，包括檢測、預防和對抗等：

（1）各種流量過濾策略：包括主要的過濾機制的配置方法，完成對不同攻擊方法的流量限制；

（2）分布式的緩解策略：對大規模攻擊，通過不同防護區域協作，從骨干網絡到局域網絡，采取不同的策略能夠對攻擊效果能夠起到不同的抑制作用，目前有很多研究提出了一些模型。

5.2 安全試驗度量

研究網絡攻擊，必然會涉及到攻擊對網絡影響程度的度量問題。平臺也需要提供度量標準，需要針對不同類型的網絡，如IP網絡、關鍵業務網絡等進行研究，提出各自相應的度量參數。對于IP網絡來講，網絡狀況的好壞主要以用戶業務的服務質量 （QoS）來衡量，而QoS可以通過對一些網絡性能指標進行度量。以DoS為例，主要的度量參數［19］有：請求/應答延遲；丟包率；吞吐量；資源分配率；處理時限等；這些參數值需要依賴于具體的應用來確定，單一的指標不能全面地反映網絡狀況，故需要將這些指標結合起來度量網絡性能是否受到影響［14，18］。

請求/應答延遲是從請求發送開始，到接收到目的端完整響應的這段時間，適用于交互式應用，對于只有單向數據流量的非交互式應用，如對單向延遲、丟失和抖動比較敏感的多媒體流量，也同樣適用，但是會有不同的閾值。

丟包率 （loss）定義為攻擊中合法數據包或字節丟失的數量，可以從重傳或未到目的端的包的數量上推斷或測量出來。丟包是洪水攻擊引發的擁塞的主要表現，但是對于不能持續引發擁塞的攻擊則不能很好地反映網絡傳輸狀況，如脈沖攻擊會周期性的引發擁塞，它會降低發送率、增長交易時間，但同時丟失的包會很少；而且丟失不能反映出丟失包的類型，如丟失SYN 包比丟失數據包影響更深遠。

吞吐量是一定時間內從源端到目的端傳輸的字節數，對于TCP流量有很好的度量效果，但對于抖動或一些特定包丟失敏感的應用，則不適合作為度量指標，同時對于一些吞吐量本來就不高的短連接也不適用。

處理時限定義為源端和目的端間從第一個數據開始傳輸到最后一個數據接收結束所用的時間。只適用于度量交互式應用和擁塞敏感的應用。

資源分配率是指合法流量與非法流量間關鍵資源的比例，不能直觀反映服務質量，但在某些特殊情況下具有很明顯的效果。

6 未來發展方向

毫無疑問，與網絡試驗平臺相關的技術要繼續發展，需要關注多平臺邦聯控制框架、網絡資源分片技術等等，從而不斷提升試驗平臺支撐安全技術研究的能力。對于網絡安全試驗平臺，當前需要加強以下問題研究：

（1）試驗周期管理 （ELM）：把試驗項目設計、場景構建、試驗執行、數據分析4 個主要階段有機集成在一起。試驗設計主要完成試驗項目的說明。場景構建包括試驗場景的抽象描述和場景生成，即把抽象的描述映射到資源分片和仿真平臺上，以上階段的銜接點是試驗描述文件，包括對試驗靜態和動態組成的說明。試驗執行就是腳本的執行，在這個階段包括試驗監測、控制和數據記錄、轉儲等。數據分析包括了原始數據的格式化和結果分析、提取和發現，兩者的銜接點是試驗數據。要實現整個試驗過程的自動化很復雜，需要開發試驗管理集成平臺，把各種工具集成起來，一體化完成以上各個階段的處理和不同階段之間的銜接。這其中的關鍵是標準化，包括標準化的描述語言、標準化的數據存儲格式、標準化的平臺服務等。

（2）試驗數據分析 （EDA）：由于平臺擴展，試驗規模擴大等必然帶來大數據問題。關鍵是如何幫助試驗者在海量的數據記錄中得到試驗的期望結果，或獲取意外的發現。大數據挖掘技術有助于解決這一問題。Deter開始嘗試建立嚴格的過程，利用知識的抽取，對試驗數據進行驗證。在試驗設計和場景生成階段，通過說明一些不變的量來驗證試驗內部的相容性；在執行階段，這些不變的量用于保證試驗的語義得到正確實現；最后不變量作為試驗結果和解釋的一部分，說明試驗產生了期待的結果或者潛在的令人感興趣的意外的結果。Deter方法的核心是建立安全試驗的語義說明，來幫助試驗者 （用戶）完成試驗數據分析。

7 結束語

我國在網絡安全試驗平臺建設上與發達國家相比還存在一定差距：一是規模小，相互之間也沒有實現邦聯；二是沒有持續研究開發，并且應用不足；三是普遍注重硬件建設，忽略軟件開發。在安全試驗平臺技術上落后會嚴重滯后安全技術發展。為保障我國網絡空間的安全，應借鑒發達國家的經驗，大力推動網絡安全試驗平臺的建設，可行的辦法是把現有的試驗平臺聯合起來，擴大規模，在技術上實現邦聯，統一資源管理機制，屏蔽平臺異構性，實現資源的整合；其次大力推動應用，利用試驗平臺解決實際的安全問題，反過來再推動平臺技術的發展，并加深對網絡安全試驗學科的認識。

［1］Terry Benzel.The science of cyber security experimentation：The DETER project ［C］//11th Annual Computer Security Applications Conference.ACM，2011.

［2］Jelena Mirkovic，Terry V Benzel，Ted Faber，et al.The DETER project：Advancing the science of cyber security experimentation and test［C］//Proceedings of the IEEE HST Conference，2010.

［3］LIANG Junxue，LIN Zhaowen，MA Yan.The suvey of the future internet experimentation platform ［J］.Journal of Computer，2013，36 （5）：1364－1374 （in Chinese）.［梁軍學，林昭文，馬嚴.未來互聯網試驗平臺研究綜述 ［J］.計算機學報，2013，36 （5）：1364－1374.］

［4］ZHANG Chunhuan，LEI Lei，JI Yuefeng.A new network simulation topology generator［J］.Journal of System Simulation，2006，18 （11）：3115－3117 （in Chinese）.［張春環，雷蕾，紀越峰.一種新的網絡仿真拓撲生成器 ［J］.系統仿真學報，2006，18 （11）：3115－3117.］

［5］LI Jin，HUANG Minhuan，KUANG Xiaohui，et al.The research of large－scale network topology generation technology［J］.Computer Engineering and Science，2010，32 （3）：11－13 （in Chinese）.［李津，黃敏桓，況曉輝，等.大規模網絡拓撲生成技術研究 ［J］.計算機工程與科學，2010，32 （3）：11－13.］

［6］JING Jiwu，WANG Yuewu，XIANG Ji.Fluid－based largescale worm simulation model of bandwidth limitation ［J］.Journal of Software，2011，22 （9）：2166－2181 （in Chinese）.［荊繼武，王躍武，向繼.基于Fluid的大規模帶寬限制蠕蟲仿真模型 ［J］，軟件學報，2011，22 （9）：2166－2181.］

［7］Alefiya Hussain，Chen Jennifer.Tools for constructing and sharing representative internet topologies［R］.DETER Technical Report，ISI－TR－684，2012.

［8］Papadopoulos F，Psounis K，Govindan R.Performance preserving topological downscaling of internet－like networks ［J］.IEEE Journal on Selected Area in Communications，2006，24（12）：2313－2325.

［9］Yao W M，Fahmy S.Downscaling network scenarios with denial of service （dos）attacks ［C］//Sarnoff Symposium，IEEE，2008：1－6.

［10］Papadopoulos F，Psounis K.Efficient identification of uncongested Internet links for topology downscaling ［J］.ACM SIGCOMM Computer Communication Review，2007，37（5）：39－52.

［11］Roy A，Yocum K，Snoeren A C.Challenges in the emulation of large scale software defined networks［C］//Proceedings of the 4th Asia－Pacific Workshop on Systems.ACM，2013.

［12］Mathieu Lacage，Martin Ferrari，Mads Hansen，et al.NEPI：Using independent simulators，emulators，and testbeds for easy experimentation ［J］.ACM SIGOPS Operating Sys－tems Review Archive，2010，43 （4）：60－65.

［13］Maennel O，Phillips I，Perouli D，et al.Towards a framework for evaluating BGP security ［C］//Proceedings of the 5th Workshop on Cyber Security Experimentation and Test，2012.

［14］Ciraci S，Akyol B.An evaluation of the network simulators in large－scale distributed simulations ［C］//Proceedings of the First International Workshop on High Performance Computing，Networking and Analytics for the Power Grid.ACM，2011：59－66.

［15］Chinnow Joel.Evaluation of attacks and countermeasures in large scale networks ［R］.Lecture Notes in Informatics 192，2011.

［16］Nguyen H，Roughan M，Knight S，et al.How to build complex，large－scale emulated networks［M］.Testbeds and Research Infrastructures.Development of Networks and Communities.Springer Berlin Heidelberg，2011：3－18.

［17］Mirkovic J，Hussain A，Fahmy S，et al.Accurately measuring denial of service in simulation and testbed experiments［J］.IEEE Transactions on Dependable and Secure Computing，2009，6 （2）：81－95.

［18］Krishnamurthy V，Faloutsos M，Chrobak M，et al.Sampling large Internet topologies for simulation purposes ［J］.Computer Networks，2007，51 （15）：4284－4302.

［19］Mirkovic J，Hussain A，Wilson B，et al.Towards user－centric metrics for denial－of－service measurement ［C］//Proceedings of the Workshop on Experimental Computer Science.ACM，2007.