兴趣包泛洪攻击的协同防范机制研究

Interest Flooding Attack (IFA) is one of the most dangerous treats for Content Centric Networking (CCN), which can severely degrade the quality of experience of network usage by flooding too many malicious Interest packets to exhaust the network resource. As a result, IFA Countermeasures research has been a popular topic in future information and networking area. Nowadays, the existing methods to counter IFA do not embed cooperative mechanisms of network components, which cannot guarantee high detection or mitigation accuracy and may degrade the service experience of normal users. In this proposal, mechanisms for cooperatively preventing IFA, including both IFA detection and mitigation methods, are proposed, in order to solve the following key scientific issues: (1) Design a cooperative IFA detection method based on the relationship model of network components, to effectively detect new types of IFA; (2) Propose a mitigation approach based on the semi-decoupling strategy between packet forwarding states and functional components within network devices, to intelligently decrease the suppressing on the legitimate Interest packets from normal users; (3) Design a mitigation strategy between networking devices based on the lifetime value of the Interest packet and the marked forwarding-path label, to achieve the rapid decreasing on damage effect of IFA. Solving the three issues above, the research effort of this proposal will provide theoretical basis and technical support for the security and development of future network.

兴趣包泛洪攻击是内容中心网络中最严重的安全威胁之一，其通过泛洪大量的恶意兴趣包消耗网络资源，严重降低网络的使用体验。如何有效防范其危害，已成为信息网络领域的研究热点。然而，现有防范方案相对静态和僵化，缺乏网络组件协同机制，导致探测准确率低、压制效果不理想，且容易误伤正常用户。因此，本项目聚焦兴趣包泛洪攻击的协同防范机制，其包含攻击探测与压制两方面，具体研究内容包括：（1）针对新型攻击难以探测的问题，设计基于网络组件关联模型的协同联动探测方法；（2）针对误伤正常网络用户合法请求的问题，研究基于转发状态半解耦的组件协同压制方法；（3）针对攻击危害难以快速消除的问题，研究基于兴趣包生存时间与路径标记的网络协同压制策略。通过上述三个问题的解决，项目研究工作将为未来网络空间的安全和发展提供理论基础和技术保障。

兴趣包泛洪攻击是内容中心网络中最严重的安全威胁之一，现有防范方案相对静态和僵化，缺乏网络组件协同机制，导致探测准确率低、压制效果不理想。.本项目从兴趣包泛洪攻击及其新型变种的危害分析、攻击探测和压制等方面进行研究。首先，基于复杂网络理论、经典病毒传播模型，结合内容中心网络的架构与协议栈特性，建立了兴趣包泛洪攻击的危害分析模型，并给出了安全协议的集成建议；其次，提出了基于路由器组件关联分析以及基于服务器精准判别、路由器再次识别相结合的攻击协同联动探测方法，实现快速、轻量级的攻击探测；第三，提出了支持阈值动态优化的转发状态半解耦的组件协同压制方法，同时支持基于待定兴趣表的有状态转发以及基于包名字组件标记的无状态转发两种方式，通过削减网络中恶意兴趣包状态总量实现对兴趣包泛洪攻击的有效压制；最后，提出了一种高效轻量级的兴趣包泛洪攻击网络协作压制策略，通过集成基于哈希安全标签的简洁高效验证机制，实现对攻击流量的高效精准以及轻量化过滤，克服了现有攻击压制方案准确率低、资源消耗大的缺点。.本项目已形成较为完整的兴趣包泛洪攻击对抗方法体系与应对方案，形成技术报告1份，发表学术论文26篇，申报发明专利4项，培养博士研究生1人、硕士研究生7人、本科生1人，参加国际学术会议交流2次，超额完成了项目的目标任务。.项目组成果可为未来互联网基础设施的安全方案选型、未来信息为中心的网络组网建设、未来数据缓存架构的安全增强机制设计等提供重要的机制方法基础与参考，具有较高的应用价值和市场前景。