软件定义的网络防御理论和技术研究

The Internet becomes the important global information infrastructure in the world, which plays a key role in economic development, social development, and science and technology innovation. Since it was designed more than 30 years ago and the design did not have any security considerations, it suffers massive attacks. In particular, Snowden pointed out several recent attacks to different nations in the Internet by the US government in 2013, which evinces that network attacks already endangered public and state security. Unfortunately, the current Internet infrastructure cannot effectively detect and defend against such attacks. This project investigates requirements to implement an attack-tolerant network, studies fundamental problems, and proposes countermeasures to the different attacks. We leverage the emerging technology of software-defined networks, and develop a software-defined security enforcement architecture for the current Internet. With the architecture, we build countermeasures to the state-of-the-art attacks on routers, network policies, and links in networks, i.e., traffic hijacking attacks, network policy tamper attacks, and distributed denial of service attacks, respectively.

互联网已经成为支撑现代社会经济发展、社会进步和科技创新的信息基础设施。然而三十多年前发明的互联网并没有过多的考虑网络安全问题。现如今它正面临着越来越严重的网络攻击。特别是2013年的“斯诺登”事件表明，针对互联网的攻击已经影响到国家和人民的安全。然而，目前的网络无法有效检测和防御这一类攻击。本项目将根据国内外网络基础设施安全研究和应用的现状，面向网络基础设施的网络攻击防御需求，开展网络防御的理论和技术研究。利用最新的软件可定义网络技术，重点研究基于目前的互联网实现安全功能软件可定义问题，并基于此研究解决针对网络基础设施中的网络结点、网络策略以及网络链路的攻击，即攻击网络流量劫持攻击、网络策略篡改攻击以及拒绝服务攻击。

本项目根据国内外网络基础设施安全研究和应用的现状,面向网络基础设施的网络攻击防御需求，开展网络防御的理论和技术研究。利用最新的软件可定义网络技术，重点研究了基于目前的互联网实现安全功能软件可定义问题, 提出了安全增强的软件定义攻击防御体系架构，并基于此研究解决针对网络基础设施中的网络结点、网络策略以及网络链路的攻击。针对这些攻击，分别提出了软件定义的实时数据包转发验证技术检测和防御网络流量的劫持攻击、基于Trie的策略验证技术防御网络策略篡改攻击，以及基于软件定义网络的流量分析技术实现检测和防御拒绝服务攻击，相关论文均发表于USENIX Security、NDSS、IEEE TDSC和IEEE/ACM ToN等顶级网络安全会议和期刊上。该研究项目共发表论文62篇，其中CCF A论文和期刊论文19篇，申请发明专利9项。本项目提出的研究成果为研究和解决网络安全相关的核心问题奠定了重要基础。