### 通过增量SDN部署缓解链路泛洪攻击
#### 摘要
本文提出了一种新的防御策略——“啄木鸟”方案（Woodpecker），该方案旨在通过软件定义网络（Software Defined Networking, SDN）的增量部署来缓解链路泛洪攻击（Link Flooding Attack, LFA）。LFA作为一种新型的分布式拒绝服务（Distributed Denial of Service, DDoS）攻击手段，通过向特定链路发送低密度但合法的数据流，导致这些链路过载，从而切断目标区域与外界的网络连接。传统方法很难区分这种攻击行为与正常流量。为应对这一挑战，“啄木鸟”方案采取了以下措施：
1. **选择关键路由器进行SDN升级**：在网络中挑选出M个关键路由器，并将其升级为SDN交换机，以最大化网络连通性。
2. **主动探测拥堵链路**：采用一种主动探测的方法来快速定位拥堵链路并判断是否发生了LFA。
3. **集中式流量工程**：基于已经升级的节点，运用集中式的流量工程技术，使流量分布更加均衡，以消除可能被攻击者利用的路由瓶颈。
实验结果显示，“啄木鸟”方案能够显著降低受LFA攻击链路的带宽利用率约50%，同时有效减轻平均丢包率和抖动问题。
#### 关键词
- DDoS
- 链路泛洪攻击 (LFA)
- 软件定义网络 (SDN)
#### 引言
分布式拒绝服务攻击是当前网络安全的主要威胁之一。攻击者通常利用僵尸网络资源与受害者服务器之间的资源不对称性，以及网络协议中的漏洞发起DDoS攻击。为了检测和防御DDoS攻击，已有多种有效的方法被提出，如Pushback、Ingress Filter、Packet Score等。近年来，一种新型的DDoS攻击——链路泛洪攻击（LFA）引起了广泛关注。
LFA通过向特定的一组链路发送大量的低密度流量，而不是直接针对目标服务器，从而阻断通往目标区域的路径。与传统的DDoS攻击相比，LFA的间接攻击方式使其更难以被检测和防御。LFA的根本原因在于当前的网络架构对链路资源分配不均，这使得攻击者可以利用这一点，通过控制有限数量的链路来达到其目的。
#### “啄木鸟”方案的技术细节
1. **关键路由器的选择与升级**
- 在网络中选择M个关键路由器进行SDN升级，这些路由器通常是网络中的重要节点或拥有较高带宽的关键链路。
- 升级后的SDN交换机可以通过集中控制器实现灵活的流量管理和路由控制，从而提高整个网络的连通性和安全性。
2. **主动探测机制**
- 通过定期向网络中的关键链路发送探测数据包，主动监测链路状态。
- 当发现某个链路的响应时间异常或者丢包率增加时，触发进一步检查以确认是否遭受LFA攻击。
3. **集中式流量工程**
- 基于SDN控制器收集到的实时链路状态信息，动态调整流量分布，确保网络流量的均衡分配。
- 通过对网络流量的智能管理，有效避免了关键链路成为攻击者的目标，同时也提高了网络的整体性能。
#### 结论
“啄木鸟”方案通过SDN的增量部署有效提升了网络对LFA的防御能力。该方案不仅能够及时发现并缓解链路拥堵现象，还能通过集中式的流量工程确保网络流量的合理分配。实验结果证明了该方案的有效性，为应对日益复杂的网络攻击提供了有力的支持。
