云環(huán)境下一種基于動態(tài)網(wǎng)絡(luò)結(jié)構(gòu)的拒絕服務(wù)防御技術(shù)

邵嘉煒，范磊

?

云環(huán)境下一種基于動態(tài)網(wǎng)絡(luò)結(jié)構(gòu)的拒絕服務(wù)防御技術(shù)

邵嘉煒，范磊

摘 要：介紹了一種在云環(huán)境下通過動態(tài)改變網(wǎng)絡(luò)結(jié)構(gòu)抵御拒絕服務(wù)攻擊的防御方案，利用云環(huán)境下資源配置彈性化的特點(diǎn)，將合法用戶重新分配到擁有新地址，但地址對外保密的備份主機(jī)上，以避開攻擊流量。攻擊者通常控制著部分合法賬戶以收集系統(tǒng)信息，他可以通過追蹤這些賬戶的重分配以獲取新主機(jī)的網(wǎng)絡(luò)地址。注意到重分配結(jié)果與受攻擊者控制的用戶分布之間存在關(guān)系，并以此設(shè)計(jì)了用戶分配算法，通過提高正常用戶在參與每輪重分配的所有用戶中的比例，使更多的正常用戶與攻擊者控制的賬戶分離而免受攻擊。實(shí)驗(yàn)證明，與現(xiàn)有研究相比，在資源受限的情況下，其方案能在更少的重分配輪數(shù)內(nèi)保護(hù)絕大多數(shù)用戶，使系統(tǒng)在更短的時間內(nèi)恢復(fù)正常。

關(guān)鍵詞：云計(jì)算；拒絕服務(wù)；彈性配置；動態(tài)防御；用戶重分配

范 磊（1975-），男，上海交通大學(xué)，電子信息與電氣工程學(xué)院，副教授，博士，研究方向：內(nèi)容安全、網(wǎng)絡(luò)安全管理，上海，200240

0 引言

拒絕服務(wù)攻擊是一種危害性極強(qiáng)的網(wǎng)絡(luò)攻擊，攻擊者往往能以較低的成本使受害網(wǎng)絡(luò)應(yīng)用停止服務(wù)，給受害者造成極大的損失。對于拒絕服務(wù)攻擊，傳統(tǒng)的防御方法包括包過濾、應(yīng)用層異常行為檢測和流量限制等。這些基于特定攻擊特征的靜態(tài)防御方法在當(dāng)前日益復(fù)雜多變的復(fù)合式攻擊面前往往因?yàn)槠潇`活性不足而不能發(fā)揮理想的效果。

本文介紹了一種云環(huán)境下基于動態(tài)網(wǎng)絡(luò)結(jié)構(gòu)的拒絕服務(wù)攻擊防御方法。與傳統(tǒng)方法不同的是，該方案利用了云環(huán)境資源動態(tài)分配的能力，通過動態(tài)改變網(wǎng)絡(luò)結(jié)構(gòu)將受認(rèn)證的合法用戶重新分配到擁有新網(wǎng)絡(luò)地址的服務(wù)器上，從而避開攻擊流量，避免受到攻擊的影響。針對攻擊者通過控制部分合法賬號以追蹤新服務(wù)器創(chuàng)建的行為，在現(xiàn)有研究的基礎(chǔ)上，本文利用重分配結(jié)果與受攻擊者控制的惡意賬戶在全部用戶中的分布之間的關(guān)系，通過提高參加重分配的用戶中正常用戶的比例使盡可能多的正常用戶在重新分配到新服務(wù)器后與惡意賬戶隔離而免受攻擊。

1 研究背景

對于拒絕服務(wù)攻擊，傳統(tǒng)防御方法包括：根據(jù)源地址和協(xié)議等流量特征動態(tài)配置防火墻過濾規(guī)則[1]；給來自合法用戶的報文加上標(biāo)記，使這些報文優(yōu)先獲得足夠的帶寬[2]；使流量先通過具備檢測和防御能力的重疊網(wǎng)絡(luò)，從而在攻擊發(fā)生時進(jìn)行基于全網(wǎng)的響應(yīng)[3]等。這些防御方法本質(zhì)上都屬于基于報文和流量特征的靜態(tài)防御，面對當(dāng)前復(fù)雜多變的復(fù)合式拒絕服務(wù)攻擊往往暴露出靈活性不足的問題，而且基于全局的防御方法對網(wǎng)絡(luò)基礎(chǔ)設(shè)施有很高的要求，實(shí)現(xiàn)成本較高。

面對傳統(tǒng)方法存在的缺陷，H. Wang等人設(shè)計(jì)了基于動態(tài)防御的MOTAG系統(tǒng)[4]。該系統(tǒng)使用網(wǎng)絡(luò)代理保護(hù)目標(biāo)服務(wù)器，每個代理具有獨(dú)立的秘密地址，用戶只能通過訪問系統(tǒng)分配的代理獲得服務(wù)。系統(tǒng)受到攻擊時，代理將被若干離線代理代替以避開攻擊流量。由于攻擊者可通過其控制的合法賬戶追蹤到新代理的網(wǎng)絡(luò)地址并發(fā)起新一輪攻擊，論文基于概率模型設(shè)計(jì)了用戶隨機(jī)分配算法，使每輪分配后與攻擊者控制的賬戶隔離而免于受害的正常用戶數(shù)的期望達(dá)到最大。近年來云計(jì)算技術(shù)得到了快速發(fā)展，云平臺具備資源分配彈性化的特點(diǎn)，能顯著降低動態(tài)防御的實(shí)現(xiàn)難度。Q.Jia等人在云平臺上構(gòu)建MOTAG系統(tǒng)，在攻擊發(fā)生時啟動云服務(wù)器的備份替代受害服務(wù)器，并直接回收受害服務(wù)器資源，使資源利用更經(jīng)濟(jì)[5]。

文獻(xiàn)[4]和文獻(xiàn)[5]中的MOTAG系統(tǒng)僅根據(jù)當(dāng)前系統(tǒng)的受害情況計(jì)算新一輪用戶重分配方案，本文注意到重分配結(jié)果與受攻擊者控制的惡意用戶在全部用戶中的分布之間存在聯(lián)系，并結(jié)合現(xiàn)有研究成果設(shè)計(jì)了用戶重分配算法，以提高參加分配的所有用戶中正常用戶的比例，使每輪分配后有更多的正常用戶得到保護(hù)。

2 系統(tǒng)原理

2.1 研究模型

本文研究模型基于以下假設(shè)：

1）本系統(tǒng)利用云平臺資源分配彈性化的特點(diǎn)，通過動態(tài)改變系統(tǒng)和網(wǎng)絡(luò)配置降低拒絕服務(wù)攻擊對系統(tǒng)造成的損害。云平臺有足夠的資源和能力及時執(zhí)行系統(tǒng)所需的網(wǎng)絡(luò)配置的改變和用戶數(shù)據(jù)遷移等工作。

2）本系統(tǒng)中用戶必須通過認(rèn)證才能得到服務(wù)。認(rèn)證服務(wù)器可通過驗(yàn)證碼等基于驗(yàn)證性工作（Proof-of-Work）方法對抗拒絕服務(wù)攻擊。本文假設(shè)認(rèn)證服務(wù)器不會因受到攻擊而停止服務(wù)。

3）攻擊者有能力對網(wǎng)絡(luò)服務(wù)中若干臺特定主機(jī)發(fā)動攻擊并使其癱瘓，但不能使整個云平臺停止服務(wù)。

4）攻擊者能夠通過控制部分合法賬戶收集服務(wù)器信息，但這些惡意用戶數(shù)遠(yuǎn)小于所有合法賬戶總數(shù)。

5）檢測到攻擊的發(fā)生后，系統(tǒng)根據(jù)當(dāng)前受害情況對受害用戶執(zhí)行用戶重分配算法，并進(jìn)行新服務(wù)器創(chuàng)建和用戶遷移。未受攻擊的用戶不參與重分配。攻擊者控制的惡意用戶與部分正常用戶一起遷移到新服務(wù)器上，攻擊者發(fā)現(xiàn)新服務(wù)器后即可發(fā)起新一輪攻擊。本文假設(shè)惡意用戶所在的服務(wù)器一定會受到攻擊，而不含惡意用戶的服務(wù)器一定不會受到攻擊。

2.2 系統(tǒng)結(jié)構(gòu)

在已有研究基礎(chǔ)上，本文設(shè)計(jì)了基于動態(tài)網(wǎng)絡(luò)結(jié)構(gòu)的拒絕服務(wù)防御模型，如圖1所示：

圖1　系統(tǒng)結(jié)構(gòu)示意圖

認(rèn)證服務(wù)器是系統(tǒng)的入口。用戶通過認(rèn)證后，中心控制器為該用戶分配一臺服務(wù)器，把該用戶的信息注冊到該服務(wù)器的訪問控制列表中，同時將網(wǎng)絡(luò)地址以秘密的方式告知該用戶。用戶發(fā)起網(wǎng)絡(luò)連接并獲取服務(wù)。

系統(tǒng)檢測到拒絕服務(wù)攻擊的發(fā)生后，執(zhí)行用戶分配算法，啟用若干備份服務(wù)器以取代受害服務(wù)器，并將受害用戶遷移到新服務(wù)器上。新服務(wù)器擁有全新的網(wǎng)絡(luò)地址，只對分配到該服務(wù)器的用戶公開，不會被以原服務(wù)器地址為目標(biāo)的攻擊所影響。

攻擊者通常控制部分合法賬戶以收集信息，這些賬戶同樣會參與用戶重分配，攻擊者可通過追蹤這些賬戶的重分配過程發(fā)現(xiàn)新服務(wù)器。如圖2所示：

圖2　利用用戶重分配保護(hù)正常用戶

當(dāng)正常用戶被重分配到不含惡意用戶的服務(wù)器上時，他們不會受到新一輪攻擊的影響。

攻擊響應(yīng)系統(tǒng)的工作流程如下：

檢測到攻擊發(fā)生時，控制器對系統(tǒng)受害情況進(jìn)行評估，如果高于門限值，則執(zhí)行下一步驟，否則不需要執(zhí)行重分配；

根據(jù)資源和當(dāng)前受害情況執(zhí)行重分配算法；

根據(jù)分配結(jié)果啟動備份服務(wù)器并執(zhí)行用戶重分配，其地址只向?qū)?yīng)的用戶公開；

用戶分配完畢后，系統(tǒng)回收受害服務(wù)器資源，繼續(xù)對服務(wù)進(jìn)行定時檢測；

不含惡意賬戶的服務(wù)器不會被攻擊者知曉，因而不會受到攻擊。系統(tǒng)將一段時間后未受攻擊的用戶視為正常用戶，可將他們遷移到一起以節(jié)約資源。而攻擊者通過其控制的惡意賬戶追蹤到服務(wù)器的新地址并發(fā)動新一輪攻擊。系統(tǒng)檢測到攻擊發(fā)生后，執(zhí)行步驟1以重新激活攻擊響應(yīng)系統(tǒng)。

3 算法設(shè)計(jì)

3.1 基本原理

設(shè)N為受到攻擊的合法用戶總數(shù)，Ni為惡意用戶數(shù)，假定Ni遠(yuǎn)小于N。設(shè)每次重分配能同時使用的備份服務(wù)器數(shù)最多為S，ai為第i臺服務(wù)器上用戶的總數(shù)，在所有用戶中取ai名用戶共有種取法，而使這臺服務(wù)器上全部都是正常用戶共有種取法，則這臺服務(wù)器上沒有惡意用戶的概率是，由此可得正常用戶數(shù)的期望為公式（1）：

鄱陽湖區(qū)圩堤管理單位與堤防管理人員在以往的堤防管理工作中，特別是在在歷次的抗洪搶險工作中，在各級水行政主管部門的領(lǐng)導(dǎo)下，發(fā)揮了極大的作用，為防洪減災(zāi)、為當(dāng)?shù)氐墓まr(nóng)業(yè)生產(chǎn)和購買經(jīng)濟(jì)建設(shè)作出了很大貢獻(xiàn)。鄱陽湖生態(tài)經(jīng)濟(jì)區(qū)重要圩堤管理單位基本分為縣、鄉(xiāng)管理模式。如廿四聯(lián)圩長90km，由新建縣廿四聯(lián)圩管理局管理，屬事業(yè)單位，管理員6人，年均投入維護(hù)資金10萬元。這種管理性質(zhì)的差異體現(xiàn)在管理工作中的結(jié)果是職能不清，責(zé)任不明，有事無人管，經(jīng)費(fèi)無保證。

所以，s臺服務(wù)器上正常用戶總數(shù)的期望為公式（2）：

重分配算法的目標(biāo)是使盡可能多的正常用戶分配到不含惡意用戶的服務(wù)器上，即求出使E（Ans）最大。

文獻(xiàn)[4]使用了一種基于貪心策略的用戶重分配算法。該算法通過遍歷ai的所有可能值，得到使公式（1）中E （Ai）最大的ai，并直接使用該值進(jìn)行用戶分配。文獻(xiàn)[4]將斯特林公式得公式（3）：

3.2 惡意用戶數(shù)估計(jì)

3.1節(jié)中的算法把惡意用戶數(shù)作為計(jì)算用戶分配方案的重要參數(shù)，因此準(zhǔn)確估計(jì)惡意用戶總數(shù)對算法效率影響很大。文獻(xiàn)[4]和[5]通過建立惡意用戶數(shù)Ni與未受害的服務(wù)器數(shù)為X的概率 之間的關(guān)系式，取使該值最大的Ni作為惡意用戶數(shù)的估計(jì)值。該算法涉及大量的大整數(shù)組合數(shù)計(jì)算，計(jì)算量很大。

本文設(shè)計(jì)了基于統(tǒng)計(jì)模擬的惡意用戶數(shù)Ni最大似然估計(jì)算法，主要思路是根據(jù)每個可能的Ni值，構(gòu)造與樣本中用戶總數(shù)相同且惡意用戶數(shù)為Ni的測試樣本，根據(jù)當(dāng)前分配方案重復(fù)進(jìn)行用戶分配實(shí)驗(yàn)，分別統(tǒng)計(jì)實(shí)驗(yàn)結(jié)果中未受攻擊的服務(wù)器分布與實(shí)際情況相同的次數(shù)，取次數(shù)最多的Ni 為當(dāng)前樣本中惡意用戶的估計(jì)值。完整的算法如算法1 所示：

輸入: AllocList :上一輪重分配的分配方案SafeList : 上一輪重分配后未受攻擊的服務(wù)器列表TotalUser:當(dāng)前受害用戶總數(shù)輸出: 系統(tǒng)中受攻擊者控制的惡意用戶總數(shù)的估計(jì)值function Estimate (AllocList, SafeList, TotalUser ): 1: MinInsider = AllocList.length - SafeList.length 2:MaxInsider = AllocList.users - SafeList.users 3: TotalClients = AllocList.users 4: MaxOccurTimes = 0 5: InsiderEstimate = -1 6: for CurInsider ← MinInsider to MaxInsider: 7: AllList= MakeList(TotalClients, CurInsider) 8: OccurTimes = 0 9: for i← 1 to Times: 10: random.shuffle(AllList) 11: Reallocate clients in AllList by AllocList 12: Get servers not under attack NewSafeList 13:if NewSafeList.equals ( SafeList ): 14:OccurTimes = OccurTimes +1 15: endif 16: endfor 17:if OccurTimes＞MaxOccurTimes: 18:MaxOccurTimes = OccurTimes 19:InsiderEstimate = CurrentInsider 20:endif 21: endfor 22: return InsiderEstimate * TotalClients / TotalUser

本算法不涉及大數(shù)的組合數(shù)計(jì)算，實(shí)現(xiàn)難度較小，但算法運(yùn)行時間隨用戶總數(shù)增長，實(shí)際應(yīng)用中可通過查表實(shí)時獲取惡意用戶的估計(jì)值。

3.3 用戶分配算法

由4.1節(jié)可知，在參與重分配的用戶全部由全局隨機(jī)選取的情況下，重分配后獲得保護(hù)的正常用戶數(shù)的期望只與惡意用戶占總用戶的比例N/Ni有關(guān)，因此降低惡意用戶在參與重分配用戶中的比例能提高重分配效率。若可同時使用的網(wǎng)絡(luò)資源足夠多，則所有用戶都能參加重分配。本節(jié)討論網(wǎng)絡(luò)地址資源受限時，如何優(yōu)化重分配中用戶的選取提高重分配的效率。

當(dāng)一臺服務(wù)器受到攻擊時，該服務(wù)器上所有用戶受攻擊者控制的嫌疑是相同的。系統(tǒng)執(zhí)行用戶重分配算法并對用戶進(jìn)行重分配，一段時間后，存在惡意用戶的服務(wù)器會重新受到攻擊。如果使用貪心算法，且用戶以隨機(jī)均勻的方式分配，則每臺服務(wù)器上惡意用戶數(shù)的總期望值為1，設(shè)有S1臺服務(wù)器參與本輪重分配，則參與本輪重分配的惡意用戶數(shù)期望為S1，而沒有分配到惡意用戶的服務(wù)器數(shù)均值為公式（5）：

則每臺受害服務(wù)器上惡意用戶數(shù)的均值為公式（6）：

公式（6）表明每臺受害服務(wù)器上惡意用戶數(shù)的均值是常數(shù)1.58，由此可知受害服務(wù)器上惡意用戶的比例有極大的概率高于惡意用戶在全部用戶中的比例，同時一臺受害服務(wù)器上惡意用戶的比例可用該服務(wù)器上用戶總數(shù)衡量。隨著受害服務(wù)器上用戶數(shù)不斷減少，受害服務(wù)器上惡意用戶的比例隨之增加。因此，本文將前一次重分配后受害服務(wù)器上的用戶放入一個隊(duì)列的尾部，并從隊(duì)首獲取參加本輪重分配的用戶，使參與重分配的用戶中正常用戶的比例提高。

但是，由于從隊(duì)首得到的用戶中惡意用戶的比例低于全局，無法通過這些用戶的受害情況估計(jì)全局惡意用戶數(shù)。本文將用戶分配過程分為兩部分，先從全局隨機(jī)抽取一定比例的用戶，再從隊(duì)列的隊(duì)首獲取剩下的用戶，用戶重分配在兩部分用戶中分別進(jìn)行，因此下一輪用戶分配時能通過前一輪從全局隨機(jī)抽取用戶的受害情況估計(jì)全局惡意用戶數(shù)，同時又能利用隊(duì)首用戶中惡意用戶比例小于全局的性質(zhì)使更多的正常用戶與惡意用戶分離。

完整的用戶分配算法如算法2所示：

算法 2:用戶重分配算法輸入: AllocList : 上輪重分配方案SafeList :上輪重分配后未受攻擊的服務(wù)器列表Queue: 一個隊(duì)列，保存所有受害用戶的信息RandRate: 隨機(jī)抽取用戶組成的服務(wù)器占全部服務(wù)器的比例AllServer: 本輪重分配中可用的服務(wù)器數(shù)最大值輸出: 本輪重分配方案function Reallocation (AllocList, SafeList, Queue, RandRate, MaxServer ): 1: Estimate Insiders by sampled users in AllocList 2: Plan = Greedy (Queue, Insiders, AllServer ) 3: RandServer = AllServer * RandRate 4: RandPlan = Plan.subList (0, RandServer ) 5: QueuePlan=Plan.subList (RandServer, AllServer) 6: Shuffle attacked users and let them enqueue Queue 7: Randomly pick users from Queue to make up RList by RandPlan 8: Dequeue users to make up QList by QueuePlan 9: return combineList ( RList, QList )

本文使用貪心算法計(jì)算用戶分配方案，根據(jù)事先確定的比例以全局隨機(jī)和隊(duì)列隊(duì)首兩種方式選取參加重分配的用戶，并將分配方案分別應(yīng)用于這兩部分用戶。系統(tǒng)當(dāng)前惡意用戶數(shù)的估計(jì)值由上一輪全局隨機(jī)獲得的用戶的受害情況而得。初次運(yùn)行用戶重分配時，使用默認(rèn)的重分配方案，所有參加重分配的用戶都從全局隨機(jī)獲得。

4 實(shí)驗(yàn)結(jié)果分析

本章以系統(tǒng)正常用戶數(shù)、惡意賬戶數(shù)和可用的服務(wù)器數(shù)最大值為參數(shù)，對MOTAG算法和3.3節(jié)中基于隊(duì)列的用戶分配算法進(jìn)行仿真實(shí)驗(yàn)，通過比較在不同惡意用戶數(shù)下保護(hù)80%或95%的正常用戶所需的重分配輪數(shù)評估兩個算法的性能。實(shí)驗(yàn)中每個數(shù)據(jù)點(diǎn)都經(jīng)過30次重復(fù)實(shí)驗(yàn)取均值而得，所有算法的第一輪分配都相同，全局隨機(jī)獲取的用戶占全部參與重分配的所有用戶之比為0.3，結(jié)果如圖3至圖6所示：

圖3　正常用戶數(shù)為10K，可用服務(wù)器數(shù)為100

圖4　正常用戶數(shù)為100K，可用服務(wù)器數(shù)為100

圖5　正常用戶數(shù)為10K，可用服務(wù)器數(shù)為50

圖6　正常用戶數(shù)為100K，可用服務(wù)器數(shù)為50

由圖3至圖6可知，本文算法與MOTAG性質(zhì)相近，重分配輪數(shù)與惡意用戶數(shù)呈線性相關(guān)性。惡意用戶數(shù)小于或接近于可用服務(wù)器數(shù)時，兩種算法性能相近，這是由于此時系統(tǒng)中絕大部分用戶都能參加每一輪重分配，使本文

算法的用戶分配策略失效。惡意用戶數(shù)大于可用服務(wù)器數(shù)時，本文算法可節(jié)約10%重分配次數(shù)，且兩者比值越大，優(yōu)勢越明顯。

為測試算法2中兩種用戶選取方法的性能，本文改變參加重分配的服務(wù)器數(shù)和惡意用戶數(shù)，保持其它參數(shù)不變進(jìn)行30次實(shí)驗(yàn)，比較兩種方法使正常用戶獲得保護(hù)的概率。實(shí)驗(yàn)結(jié)果如表1所示：

表1　算法2中兩種用戶選取算法性能比較

由表1可知，從隊(duì)首獲取的用戶受到保護(hù)的可能性普遍高于從全局隨機(jī)獲取的用戶，由此說明了該方法能使重分配算法的效率得到提高。

5 總結(jié)

本文討論了一種基于動態(tài)網(wǎng)絡(luò)結(jié)構(gòu)的拒絕服務(wù)防御方案。與基于靜態(tài)防御的傳統(tǒng)方法不同的是，本文通過主動改變系統(tǒng)本身網(wǎng)絡(luò)結(jié)構(gòu)使攻擊者失去有效目標(biāo)，從而保護(hù)了系統(tǒng)內(nèi)的合法用戶免受攻擊。隨著云計(jì)算技術(shù)的不斷發(fā)展，其資源配置彈性化的特點(diǎn)極大地降低了動態(tài)網(wǎng)絡(luò)結(jié)構(gòu)的實(shí)現(xiàn)難度，使云平臺成為實(shí)現(xiàn)本方案的最理想平臺。

對于攻擊者可控制部分合法賬戶，通過跟蹤這些賬戶的分配過程獲取新服務(wù)器地址，本文在已有研究的基礎(chǔ)上，利用重分配結(jié)果與惡意用戶分布之間的關(guān)系提高參與重分配的用戶中正常用戶的比例，使更多的用戶在重分配后獲得保護(hù)。實(shí)驗(yàn)證明，與現(xiàn)有研究相比，在資源受限的情況下，本方案能在更少的重分配輪數(shù)內(nèi)使絕大多數(shù)用戶與惡意賬戶隔離，使系統(tǒng)在更短的時間內(nèi)恢復(fù)正常服務(wù)，從而論證了本方案的有效性。

參考文獻(xiàn)

[1] Chen,Qi,Wenmin Lin,Wanchun Dou,et al.CBF: a packet filtering method for DDoS attack defense in cloud environment[C].Sydney:IEEE,2011:427-434.

[2] Natu,Maitreya,Jelena Mirkovic.Fine-grained capabilities for flooding DDoS defense using client reputations[C]. New York:ACM,2007:105-112.

[3] Shi,Elaine,Ion Stoica,David G.Andersen,et al.OverDoSe: A generic DDoS protection service using an overlay network[R].Pittsburgh:Computer Science Department, Carnegie Mellon University,2006:76.

[4] Huangxin Wang,Quan Jia,Dan Fleck,et al.A moving target DDoS defense mechanism[J].Computer Commun ications,2014,46(2014):10-21.

[5] Jia,Quan,Huangxin Wang,et al.Catch Me if You Can: A Cloud-EnabledDDoSDefense[C].Atlanda:IEEE,2014: 264-275.

Dynamic-network-structure Based on Defense Technology against Denial of Service Attacks in Cloud Environment

Shao Jiawei, Fan Lei
(Department of Electronic Information and Electrical Engineering, Shanghai Jiaotong University, Shanghai 200240, China)

Abstract:The paper introduces a dynamic-network-structure-based network defense mechanism against Denial-of-Service attacks. On the basis of the elastic of configurations and resource allocations in cloud platforms, the system reallocates the affected clients to newly initialized backup servers with new secret network addresses, which makes them avoid being attacked. Since attackers may trace the migration of the clients under their control (insiders) to discover these new servers, the paper notices the relation between the shuffling results and the distribution of the insiders and introduces a client-shuffle-and-reallocation algorithm based on the results of every previous shuffle to isolate as many benign clients as possible from attackers. Simulations show that when resources are limited, the algorithm uses fewer shuffles to protect most of the benign clients than those of current researches, which proves the higher effectiveness of this algorithm.

Key words:Cloud Computing; Denial of Service; Elastic Configuration; Dynamic Protection; Clients Shuffling

(收稿日期：2015.06.27)

作者簡介：邵嘉煒（1991-），男，上海交通大學(xué)，電子信息與電氣工程學(xué)院，碩士研究生，研究方向：云計(jì)算安全，上海，200240

基金項(xiàng)目：上海市基礎(chǔ)研究重大重點(diǎn)項(xiàng)目(13JC1403500)

文章編號：1007-757X(2016)02-0010-04

中圖分類號：TP309

文獻(xiàn)標(biāo)志碼：A