基于拟态防御的以太网交换机内生安全体系结构

doi:10.11959/j.issn.1000-436x.2020098

通信学报 ›› 2020, Vol. 41 ›› Issue (5): 18-26.doi: 10.11959/j.issn.1000-436x.2020098

基于拟态防御的以太网交换机内生安全体系结构

宋克¹,刘勤让¹,魏帅¹,张文建¹,谭力波²

¹ 信息工程大学信息技术研究所，河南郑州 450002
² 天津市滨海新区信息技术创新中心，天津 300450

修回日期:2020-03-19 出版日期:2020-05-25 发布日期:2020-05-30
作者简介:宋克（1976- ），男，河南许昌人，信息工程大学副研究员、博士生，主要研究方向为网络空间安全、计算机网络体系结构、集成电路设计技术|刘勤让（1975-），男，河南商丘人，博士，信息工程大学研究员、博士生导师，主要研究方向为网络空间安全、软件定义互联、集成电路设计|魏帅（1984- ），男，河南南阳人，博士，信息工程大学助理研究员，主要研究方向为计算机软件、网络体系结构|张文建（1987- ），男，河南商丘人，信息工程大学助理研究员、博士生，主要研究方向为网络空间安全、通信与信息系统、集成电路设计|谭力波（1981- ），男，内蒙古赤峰人，天津市滨海新区信息技术创新中心高级工程师，主要研究方向为网络空间安全、集成电路设计、软件定义互联
基金资助:
国家核高基重大专项基金资助项目(2017ZX01030301)

Endogenous security architecture of Ethernet switch based on mimic defense

Ke SONE¹,Qinrang LIU¹,Shuai WEI¹,Wenjian ZHANG¹,Libo TAN²

¹ Institute of Information Technology,Information Engineering University,Zhengzhou 450002,China
² Information Technology Innovation Center of Tianjin Binhai New Area,Tianjin 300450,China

Revised:2020-03-19 Online:2020-05-25 Published:2020-05-30
Supported by:
The National Core Electronic Devices,High-endGeneric Chips and Basic Software Major Projects(2017ZX01030301)

摘要/Abstract

摘要：

针对以太网交换机面临的未知漏洞和未知后门安全威胁，提出了一种基于拟态防御理论的交换机内生安全体系结构。介绍了所提体系结构的理论基础、构建方式、安全机理；提出并分析了TAMA的算法策略及安全提升效果；设计实现了拟态交换机原型样机并进行了白盒插桩及攻击链安全性测试。理论分析及测试结果表明，在各种攻击场景下，所提体系结构具有良好的未知漏洞和未知后门防御能力。

关键词: 以太网交换机, 拟态防御, 动态异构冗余, 内生安全

Abstract:

Aiming at the unknown vulnerabilities and unknown backdoor security threats faced by Ethernet switches,a switch endogenous security architecture based on mimicry defense theory was proposed.The theoretical basis,construction mode and security mechanism of the architecture ware introduced,the algorithm strategy and security improvement effect of TAMA algorithm were proposed and analyzed,a prototype of mimic switch was designed and implemented,and the security tests of white box stuffing and attack chain were carried out.Theoretical analysis and test results show that the architecture has good unknown vulnerabilities and unknown backdoor defense capabilities in various attack scenarios.

Key words: Ethernet switch, mimic defense, dynamic heterogeneous redundancy, endogenous security

中图分类号:

TP309

宋克,刘勤让,魏帅,张文建,谭力波. 基于拟态防御的以太网交换机内生安全体系结构[J]. 通信学报, 2020, 41(5): 18-26.

Ke SONE,Qinrang LIU,Shuai WEI,Wenjian ZHANG,Libo TAN. Endogenous security architecture of Ethernet switch based on mimic defense[J]. Journal on Communications, 2020, 41(5): 18-26.

图/表 12

图1

图2

图3

表1

表2

图4

表3

白盒插桩攻击逃逸概率及平均逃逸持续时间"

测试模式	瞬时逃逸概率	稳态逃逸概率	平均逃逸持续时间
常规差模测试	0	0	0
时间协同差模测试	1	0	错误识别时间+执行体清洗时间
2模测试	1	0	错误识别时间+执行体清洗时间
3模测试	1	0	$\frac{扰动周期}{2} + 执行体清洗时间$ 执行体清洗时间

表3

图5

图6

图7

图8

表4

参考文献 12

[1]	舒晓慧, 金小晰, 吴瑶 . 网络交换机的安全威胁与防范[J]. 网络安全技术与应用, 2014(10): 130-131.
	SHU X H , JIN X X , WU Y . Security treats and prevention of a network switch[J]. Network Security Technology ＆ Application, 2014(10): 130-131.
[2]	武泽慧, 魏强, 任开磊 ,等. 基于 OpenFlow 交换机洗牌的 DDoS攻击动态防御方法[J]. 电子与信息学报, 2017,39(2): 397-404.
	WU Z H , WEI Q , REN K L ,et al. Dynamic defense for DDoS attack using OpenFlow-based switch shuffling approach[J]. Journal of Electronics ＆ Information Technology, 2017,39(2): 397-404.
[3]	YAN Q , YU F R , GONG Q ,et al. Software-defined networking (SDN)and distributed denial of service (DDoS) attacks in cloud computing environments:a survey,some research issues,and challenges[J]. IEEE Communications Surveys ＆ Tutorials, 2016,18(1): 602-622.
[4]	ZHUANG R , DELOAC H , SCOTT A ,et al. A model for analyzing the effect of moving target defenses on enterprise networks[C]// Proceedings of the 9th Annual Cyber and Information Security Research Conference. New York:ACM Press, 2014: 73-76.
[5]	FENG X T , ZHENG Z Z , DERYA C ,et al. A signaling game model for moving target defense[C]// IEEE INFOCOM 2017-IEEE Conference on Computer Communications. Piscataway:IEEE Press, 2017: 1-4.
[6]	ZAFFARANO K , TAYLOR J , HAMILTON S . A quantitative framework for moving target defense effectiveness evaluation[J]. Association for Computing Machinery, 2015(10): 3-11.
[7]	邬江兴 . 拟态计算和拟态安全防御的原意和愿景[J]. 电信科学, 2014,30(7): 1-7.
	WU J X . Meaning and vision of mimic computing and mimic security defense[J]. Telecommunications Science, 2014,30(7): 1-7.
[8]	扈红超, 陈福才, 王禛鹏 . 拟态防御 DHR 模型若干问题探讨和性能评估[J]. 信息安全学报, 2016,1(4): 40-51.
	HU H C , CHEN F C , WANG S P . Performance evaluations on DHR for cyberspace mimic defense[J]. Journal of Cyber Security, 2016,1(4): 40-51.
[9]	仝青, 张铮, 张为华 ,等. 拟态防御 Web 服务器设计与实现[J]. 软件学报, 2017,28(4): 883-897.
	TONG Q , ZHANG Z , ZHANG W H ,et al. Design and implementation of mimic defense Web server[J]. Journal of Software, 2017,28(4): 883-897.
[10]	马海龙, 伊鹏, 江逸茗 ,等. 基于动态异构冗余机制的路由器拟态防御体系结构[J]. 信息安全学报, 2017,2(1): 29-42.
	MA H L , YI P , JIANG Y M ,et al. Dynamic heterogeneous redundancy based router architecture with mimic defenses[J]. Journal of Cyber Security, 2017,2(1): 29-42.
[11]	魏帅, 于洪, 顾泽宇 ,等. 面向工控领域的拟态安全处理机架构[J]. 信息安全学报, 2017,2(1): 54-74.
	WEI S , YU H , GU Z Y ,et al. Architecture of mimic security processor for industry control system[J]. Journal of Cyber Security, 2017,2(1): 54-74.
[12]	邬江兴 . 网络空间拟态防御导论[M]. 北京: 科学出版社, 2017.
	WU J X . Introduction to cyberspace mimetic defense[M]. Beijing: Science PressPress, 2017.

异构处理模组	CPU	操作系统
A	Atom E3930	Ubuntu v16.04
B	QorIQ T1042	VxWorks v6.9
C	龙芯2K-1000	Linus v3.10

协议类别	协议名称及功能	测试结果
	syslog功能	通过
	SNMP功能	通过
运维管理	telnet功能	通过
	SSH功能	通过
	AAA 功能	通过
	带外管理功能	通过
	TRUNK互联STP功能	通过通过
	MSTP功能	通过
	STP边缘端口功能	通过
	BPDU保护功能	通过
二层功能	LLDP功能VLAN	通过通过
	单向链路检测	通过
	端口镜像	通过
	链路聚合	通过
	端口、MAC、IP地址绑定	通过
	Dot1x接入功能	通过
	静态路由	通过
	RIP路由	通过
三层功能	OSPF路由	通过
	VRRP	通过
	端口配置IP地址	通过
	ACL	通过

测试内容	测试数量/个	拟态交换机攻击成功数/个	非拟态交换机攻击成功数/个
系统探测	15	0	10
漏洞发现	8	0	5
系统突破	5	0	5

[1]	张进, 葛强, 徐伟海, 江逸茗, 马海龙, 于洪涛. 拟态路由器BGP代理的设计实现与形式化验证[J]. 通信学报, 2023, 44(3): 33-44.
[2]	刘彩霞, 季新生, 邬江兴. 移动通信网的内生安全共性问题及破解之道[J]. 通信学报, 2022, 43(9): 70-79.
[3]	周大成, 陈鸿昶, 程国振, 何威振, 商珂, 扈红超. 面向持久性连接的自适应拟态表决器设计与实现[J]. 通信学报, 2022, 43(6): 71-84.
[4]	贾洪勇, 潘云飞, 刘文贺, 曾俊杰, 张建辉. 基于高阶异构度的执行体动态调度算法[J]. 通信学报, 2022, 43(3): 233-245.
[5]	朱正彬, 刘勤让, 刘冬培, 王崇. 拟态多执行体调度算法研究进展[J]. 通信学报, 2021, 42(5): 179-190.
[6]	吴铤, 胡程楠, 陈庆南, 陈安邦, 郑秋华. 基于执行体划分的防御增强型动态异构冗余架构[J]. 通信学报, 2021, 42(3): 122-134.
[7]	潘传幸, 张铮, 马博林, 姚远, 季新生. 面向进程控制流劫持攻击的拟态防御方法[J]. 通信学报, 2021, 42(1): 37-47.
[8]	刘杨, 李珺, 陈文韵, 彭木根. 面向6G的雾无线接入网内生安全数据共享机制研究[J]. 通信学报, 2021, 42(1): 67-78.
[9]	丁绍虎,齐宁,郭义伟. 基于M-FlipIt博弈模型的拟态防御策略评估[J]. 通信学报, 2020, 41(7): 186-194.
[10]	周清雷,班绍桓,韩英杰,冯峰. 针对物理访问控制的拟态防御认证方法[J]. 通信学报, 2020, 41(6): 80-87.
[11]	普黎明,刘树新,丁瑞浩,王凯. 面向拟态云服务的异构执行体调度算法[J]. 通信学报, 2020, 41(3): 17-24.
[12]	姚远,潘传幸,张铮,张高斐. 多样化软件系统量化评估方法[J]. 通信学报, 2020, 41(3): 120-125.
[13]	胡宇翔,伊鹏,孙鹏浩,邬江兴. 全维可定义的多模态智慧网络体系研究[J]. 通信学报, 2019, 40(8): 1-12.
[14]	张兴明,顾泽宇,魏帅,沈剑良. 拟态防御马尔可夫博弈模型及防御策略选择[J]. 通信学报, 2018, 39(10): 143-154.

基于拟态防御的以太网交换机内生安全体系结构

Endogenous security architecture of Ethernet switch based on mimic defense

在线阅读

PDF下载

可视化

摘要/Abstract

引用本文

使用本文

图/表 12

参考文献 12

相关文章 14

Metrics

推荐阅读 0