域间IP欺骗防御服务扩展  

作　　者：卢锡城[1] 吕高锋[1] 朱培栋[1] 陈一骄[1] 

机构地区：[1]国防科技大学计算机学院,长沙410073

出　　处：《中国科学（E辑）》2008年第10期1636-1651,共16页Science in China(Series E)

基　　金：国家重点基础研究发展计划(批准号:2003CB314802;2005CB321801)资助项目

摘　　要：拒绝服务攻击严重影响Internet的可用性,而攻击者通常采用源IP欺骗方式,使得网络防御更加困难.尽管已经提出许多防御IP欺骗的机制,但只是部分部署,防御效果差.本文首次提出一种域间IP欺骗防御服务扩展机制-MASK,在给定防御节点覆盖的情况下,延伸防御机制保护范围,增强节点的防御能力.借鉴Transit-Stub AS模型,根据BGP消息MASK节点代理邻居中Stub AS与目的端AS协商标识,共享源IP地址空间信息,向Stub AS提供IP欺骗防御服务.同时利用BGP消息约束源-目的端之间MASK会话数,减小了标识的计算和存储开销.MASK不仅扩大了防御机制保护范围,且提前过滤了IP欺骗数据流.应用Routeview提供的RIB进行评估,MASK在相同覆盖下能够扩展IP欺骗防御机制的保护范围,是一种高效的域间IP欺骗防御机制,可为建设新一代可信网络提供有力支撑.

关 键 词：DOS攻击 IP欺骗防御 BGP 可信网络 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术] TP393.4[自动化与计算机技术—计算机科学与技术]