面向软件定义物联网的信任管理及攻击防御机制研究
发布时间：2020-07-16 08:18
【摘要】：物联网(Internet of Things,IoT)被视为是继计算机、互联网之后,世界信息产业发展的第三次浪潮。近年来,随着微电子技术、嵌入式技术以及无线网络技术的发展,物联网技术取得了长足的进步,并被广泛应用于智能交通、环境监测、工业控制、电子商务、国防军事等领域。可以预见,物联网将会对人类经济发展和社会生活产生深刻的影响。然而,随着物联网产业的迅速发展,不断涌现的应用场景和应用需求对物联网提出了新的挑战。除存在部署和维护成本较高、软件更新困难、资源利用不够充分等网络管理问题外,物联网安全问题变得日益突出,成为制约物联网发展的重大瓶颈。物联网感知层具有无线通信信道开放、节点物理结构简单、节点资源有限、网络拓扑动态变化等安全特点,这使得感知网络很容易遭受恶意攻击。同时,由于物联网设备众多,大量存在安全漏洞的物联网设备被黑客攻陷,组建僵尸网络并发动网络攻击的现象越发频繁。目前,物联网设备已成为分布式拒绝服务(Distributed Denial of Service,DDoS)攻击增长的主要来源,对物联网网络层正常数据的传输造成极大的破坏。因此,如何有效地管控网络节点、防御网络攻击以及保障数据可靠传输是物联网安全管理过程中迫切需要解决的问题。新兴网络体系架构——软件定义网络(Software-Defined Networking,SDN)的出现,为上述问题的解决提供了新的契机。鉴于SDN在网络管理和安全维护等方面的成功,越来越多的国内外研究学者尝试将其集中控制、控制与转发分离的设计理念引入到物联网中,提出新型软件定义物联网(Software-Defined Internet of Things,SDIoT)体系架构。利用统一南向接口,SDIoT能够有效应对多种类型的物联网网络协议,简化物联网设备的配置和管理,降低业务实现与运维的成本,实现灵活的应用部署。更重要的是,SDIoT为改善物联网安全问题带来了重大机遇。SDIoT控制器通常具有较高的计算和存储资源,能够将传统物联网、无线传感网络(Wireless Sensor Network,WSN)中难以实现的攻击防御算法容易地部署在控制器中,并利用SDIoT集中控制、全局拓扑视图等优势实现灵活的攻击响应。然而,目前SDN设计并不完善,本身也存在一定的安全风险。考虑到物联网网络的脆弱性,SDN自身存在的一些特性,如集中控制、流表请求处理的运行模式,在引入到物联网后会给SDIoT带来新的安全风险、控制开销、网络能耗等方面挑战。因此,如何在利用SDIoT应对物联网安全攻击的同时,克服自身存在的诸多缺陷,对于完善SDIoT具有重要的研究意义及应用价值。本文针对这些问题展开研究,通过合理利用SDN的技术优势,对严重影响感知层安全组网、转发层可靠传输的多种网络攻击,提供有效的信任管理及攻击防御措施,从而实现更可信、更可靠、更高能效的SDIoT网络环境。本文的主要工作与主要贡献包括以下内容。本文首先探讨了物联网、SDIoT的起源、相关体系架构以及安全研究现状,并重点讨论了 SDIoT所面临的安全机遇与挑战。通过利用SDN全局拓扑感知、集中控制等技术优势,基于信任管理模型、P2DR安全模型等网络安全理论,本文设计了模块化的SDIoT安全架构。在此基础上,针对严重影响SDIoT感知层和转发层正常运行的选择性转发攻击、新流攻击、DDoS攻击等多种攻击类型,本文通过协同利用感知层、转发层以及控制层三个层面的安全资源,自下而上地设计与实现了信任管理、DDoS攻击检测以及DDoS攻击溯源与缓解等安全功能。作为物联网感知层的重要组成部分,WSN系统通常与应用密切绑定,一经部署难以更新,严重阻碍了技术革新。将SDN的思想引入WSN中设计新型软件定义无线传感网(Software-Defined Wireless Sensor Network,SDWSN),可以有效地解决该问题。然而,大部分相关工作侧重于SDWSN架构与应用方面的研究,忽略了感知组网过程中存在的安全隐患及能耗问题。为实现集中控制,SDWSN的周期性拓扑收集过程不仅会对感知层带来额外的控制开销和能量消耗,而且也容易遭受妥协节点发动的选择性转发攻击,丢失关键控制报文,进而影响网络的正常运行。此外,攻击者可以利用SDWSN中无法处理的流量需要请求控制器处理这个特点,不断地制造新的报文发动新流攻击(New-flow Attack),拥塞控制链路,进而造成网络瘫痪。作为基于密码学安全机制的重要补充,信任管理机制能够有效地防御网络内部攻击。因此,针对面向物联网应用的SDWSN中存在的安全攻击及控制开销问题,本文提出一种高能效信任管理与可信路由机制。首先,通过将基于Bayesian的轻量级本地信任评估机制与控制器的全局信任管理机制相结合,本文实现一种综合信任管理机制,有效地识别和隔离了网络中存在的恶意攻击节点。随后,在全局信任的基础上,本文进一步提出一种高能效拓扑信息聚合收集机制,该机制以最小化全局拓扑收集能耗为优化目标,以节点全局信任值、剩余能量、网络覆盖为约束条件,通过求解整数非线性规划(Integer Nonliner Programming,INLP)问题来选举聚合节点,从而实现高能效、高可靠的拓扑收集。最后,综合考虑节点的全局信任值与剩余能量,本文提出一种集中式最小传输代价路由机制,以保障数据报文的传输可靠性。实验结果表明,相比于已有的解决方案SDN-WISE[5],本文提出的方案有效地提高了网络分组投递率、减少了网络能耗、降低了控制开销、延长了网络寿命,保障了感知层组网安全。虽然通过信任管理策略能够保障物联网设备安全可靠地接入互联网,但是目前利用恶意软件Mirai入侵大量存在安全漏洞的物联网设备,组建僵尸网络并发动DDoS攻击的现象越发严峻,严重影响转发层数据的正常传输。攻击检测是实现DDoS攻击防御的前提,传统基于SDN的DDoS攻击检测方案主要通过收集各个交换机中的流表信息,统计分析网络流量以实现攻击检测。然而,随着网络规模的扩大,流表信息采集过程将会对控制平面造成较大的监控负担。使用采样机制虽然能够缓解南向接口的链路压力,但会降低攻击检测准确率,并且需要在采样频率和检测精度之间做出权衡。为此,针对DDoS洪泛攻击,在SDIoT安全架构的基础上,通过协同利用控制层和转发层的安全资源,本文提出一种基于信息熵的分布式攻击检测机制。首先,在不违背SDN特性的前提下,本文将一部分安全能力引入到SDN边缘交换机中,通过对OpenFlow计数器字段进行扩展,使边缘交换机方便地实现本地入口流量的统计工作。随后,在本地入口流量的基础上,本文提出一种基于信息熵的异常检测算法,实现了本地网络中DDoS攻击的检测。最后,通过将DDoS攻击算法分布式部署于所有边缘交换机中,实现了全网范围内的攻击检测。仿真和原型实验结果表明,本文提出的方案具有检测速度快、检测精度高、资源负担小的优点。相比于集中式检测方案,本文提出的方案有效地缓解了控制器的监控负担,降低了攻击检测延迟。当网络中存在DDoS攻击时,不仅受害者不能响应正常请求,而且网络中也会存在大量攻击流量,占据大量网络带宽和资源。因此,在检测到DDoS攻击后,需要及时地响应DDoS攻击,以减少攻击危害。然而,在发动DDoS攻击时为避免被追踪定位,攻击者通常会使用伪造源IP地址、跳板等技术以达到隐藏真实身份的目的,导致防御者难以确定攻击源头,无法实施针对性的防御措施。因而,网络攻击追踪溯源是网络主动防御的重要环节,根据追踪溯源的结果,在攻击源端处进行攻击缓解能够有效地减轻攻击流量对网络的破坏。然而,当前SDN中针对DDoS攻击的研究工作侧重于攻击检测、被攻击侧清洗方面,DDoS攻击溯源、源端缓解方面的研究却相对较少。因此,在SDIoT安全架构基础上,通过转发层和控制层的跨层协作,本文提出DDoS攻击溯源与攻击缓解机制,并与攻击检测机制相结合构成了完整的DDoS攻击主动防御体系。当前,SDN中传统的基于流表分析或基于Packet-In消息的攻击溯源机制,会将全部分析工作转移至SDN控制器完成。随着网络规模的不断扩大,控制器的溯源负担也越来越大。对此,首先在不违反SDN运行原理的前提下,本文将一部分溯源工作下放到SDN边缘交换机中执行,以减轻控制器的工作压力。为满足不同规模网络的溯源需求,利用确定性包标记(Deterministic Packet Marking,DPM)算法,本文提出两种基于OpenFlow-DPM的DDoS攻击溯源算法。利用扩展的OpenFlow包标记动作,边缘交换机能够以流水线方式实现对攻击流量的标记。随后,基于被标记的攻击报文,攻击受害者能够重构出攻击端入口交换机的地址信息,进而实现攻击溯源定位。最后,在攻击溯源结果的基础上,结合SDN集中控制、全局网络视图等优势,本文设计一种基于包对称性的入口过滤机制,从攻击源头处过滤攻击流量,实现了 DDoS攻击缓解。仿真和原型实验结果均表明,本文提出的方案能够从攻击源头防御DDoS攻击,在保护攻击受害者的同时,减少了网络中间设备带宽和资源的消耗。
【学位授予单位】：山东大学
【学位级别】：博士
【学位授予年份】：2018
【分类号】：TP391.44;TN915.08
【图文】：
逑１．２．１物联网架构逡逑图１－１为目前比较公认的物联网三层体系结构，由下往上依次为感知层、网逡逑络层和应用层ｆｎＫ１２］［Ｉ３：ｌ，各层功能分别介绍如下。逡逑智能交通逦智能家居逦智能建筑逦＾工＃控制逡逑应用层逦逦逦逦邋逦逦逦邋＇逦邋＿＿＿＿＿＿逡逑』智能
１．物联网安全威胁逡逑从物联网三层体系结构而言，物联网的安全威胁可以分为感知层安全威胁、逡逑网络层安全威胁以及应用层安全威肋、［１１］［１３］。图１－２列举了一个物联网中网络攻击逡逑样例，由此可见无论感知层的传感设备、还是通信链路都可能成为攻击者的目标逡逑［１１］。由于感知层安全是整个物联网安全的基础，本文主要关注以ＷＳＮ为代表的逡逑感知层网络的安全性。考虑到传感节点数目众多、安全能力有限、部署环境恶劣逡逑等原因，传感节点容易被攻击者俘获、破解，面临恶意代码注入、侧信道攻击等逡逑安全威胁；此外，由于感知层无线通信信道开放、多跳传输等特性，传感节点在逡逑数据传输过程中同样面临被动窃听、黑洞攻击、选择性转发攻击、ＤｏＳ攻击、女＿逡逑巫攻击等安全威胁［１１］。逡逑随着大量设备接入物联网中，这对网络安全传输提出了更高的要求［２４］。除感逡逑知层外，物联网网络层的数据传输链路也会成为攻击者的攻击目标，在将感知数逡逑据传输至应用层时，可能会遭受ＤｏＳ攻击、ＤＤｏＳ攻击、假冒攻击、中间人攻击逡逑等安全威胁。为此
平面分离、集中控制的新型网络架构——ＳＤＮ［４（）］。如图１－３所示，ＳＤＮ是对传统逡逑ＩＰ网络一次深刻的变革，这主要体现在三个方面：首先是网络可编程，使得业务逡逑应用可以利用北向接口（ＡＰＩ）根据需求对网络进行调整，加速网络革新；其次逡逑是控制平面集中化，集中的控制平面拥有网络全局视图，缓解了邋ＩＰ网络分段自治逡逑与无序的状态；最后是控制平面与转发平面分离，通过使用统一的南向接口协议，逡逑可以简化和通用转发平面。逡逑应用层逦（：－： 一ｉｔｉｉｌ逦－：〕一逡逑Ｉ逦ｆ＂ａｐｉ逦＂１逡逑＇ｗ：逦Ｍｉ．逦ｗ逡逑ｆｉｌｌ逡逑控制层逦ｆｒｎｍＭ＇－－逡逑、逦——逦■邋／邋ＳＤＮ？ｇ￥！ＪＩＩ邋ｙ逡逑ｉ南向接口逡逑ｚ￣—逦逦逦逡逑Ｌ．：酸[绫福赍呜鴮舯竿缟瑁螅义献⒉沐危у义希郏恚恚╁义贤迹保橙砑ㄒ逋缂芄瑰义嫌上峦希樱模渭芄挂来挝⒉恪⒖刂撇阋约坝τ貌闳霾忝妗Ｗ⒉阌慑义希樱模谓换换槌桑樱模谓换换痪弑缚刂颇芰Γ鼍哂惺葑⒑痛砉δ堋？劐义现撇惆桓龌蚨喔隹刂破鳎ü舷蚪涌诙宰⒉愕慕换簧璞附屑锌刂啤ｅ义嫌τ貌阍虻饔每刂撇闾峁┑模粒校
本文编号：2757755
【学位授予单位】：山东大学
【学位级别】：博士
【学位授予年份】：2018
【分类号】：TP391.44;TN915.08
【图文】：
逑１．２．１物联网架构逡逑图１－１为目前比较公认的物联网三层体系结构，由下往上依次为感知层、网逡逑络层和应用层ｆｎＫ１２］［Ｉ３：ｌ，各层功能分别介绍如下。逡逑智能交通逦智能家居逦智能建筑逦＾工＃控制逡逑应用层逦逦逦逦邋逦逦逦邋＇逦邋＿＿＿＿＿＿逡逑』智能
１．物联网安全威胁逡逑从物联网三层体系结构而言，物联网的安全威胁可以分为感知层安全威胁、逡逑网络层安全威胁以及应用层安全威肋、［１１］［１３］。图１－２列举了一个物联网中网络攻击逡逑样例，由此可见无论感知层的传感设备、还是通信链路都可能成为攻击者的目标逡逑［１１］。由于感知层安全是整个物联网安全的基础，本文主要关注以ＷＳＮ为代表的逡逑感知层网络的安全性。考虑到传感节点数目众多、安全能力有限、部署环境恶劣逡逑等原因，传感节点容易被攻击者俘获、破解，面临恶意代码注入、侧信道攻击等逡逑安全威胁；此外，由于感知层无线通信信道开放、多跳传输等特性，传感节点在逡逑数据传输过程中同样面临被动窃听、黑洞攻击、选择性转发攻击、ＤｏＳ攻击、女＿逡逑巫攻击等安全威胁［１１］。逡逑随着大量设备接入物联网中，这对网络安全传输提出了更高的要求［２４］。除感逡逑知层外，物联网网络层的数据传输链路也会成为攻击者的攻击目标，在将感知数逡逑据传输至应用层时，可能会遭受ＤｏＳ攻击、ＤＤｏＳ攻击、假冒攻击、中间人攻击逡逑等安全威胁。为此
平面分离、集中控制的新型网络架构——ＳＤＮ［４（）］。如图１－３所示，ＳＤＮ是对传统逡逑ＩＰ网络一次深刻的变革，这主要体现在三个方面：首先是网络可编程，使得业务逡逑应用可以利用北向接口（ＡＰＩ）根据需求对网络进行调整，加速网络革新；其次逡逑是控制平面集中化，集中的控制平面拥有网络全局视图，缓解了邋ＩＰ网络分段自治逡逑与无序的状态；最后是控制平面与转发平面分离，通过使用统一的南向接口协议，逡逑可以简化和通用转发平面。逡逑应用层逦（：－： 一ｉｔｉｉｌ逦－：〕一逡逑Ｉ逦ｆ＂ａｐｉ逦＂１逡逑＇ｗ：逦Ｍｉ．逦ｗ逡逑ｆｉｌｌ逡逑控制层逦ｆｒｎｍＭ＇－－逡逑、逦——逦■邋／邋ＳＤＮ？ｇ￥！ＪＩＩ邋ｙ逡逑ｉ南向接口逡逑ｚ￣—逦逦逦逡逑Ｌ．：酸[绫福赍呜鴮舯竿缟瑁螅义献⒉沐危у义希郏恚恚╁义贤迹保橙砑ㄒ逋缂芄瑰义嫌上峦希樱模渭芄挂来挝⒉恪⒖刂撇阋约坝τ貌闳霾忝妗Ｗ⒉阌慑义希樱模谓换换槌桑樱模谓换换痪弑缚刂颇芰Γ鼍哂惺葑⒑痛砉δ堋？劐义现撇惆桓龌蚨喔隹刂破鳎ü舷蚪涌诙宰⒉愕慕换簧璞附屑锌刂啤ｅ义嫌τ貌阍虻饔每刂撇闾峁┑模粒校
本文编号：2757755
本文链接：https://www.wllwen.com/guanlilunwen/yunyingzuzhiguanlilunwen/2757755.html
最近更新
教材专著
