【摘要】：物聯(lián)網(wǎng)(Internet of Things,IoT)被視為是繼計算機、互聯(lián)網(wǎng)之后,世界信息產(chǎn)業(yè)發(fā)展的第三次浪潮。近年來,隨著微電子技術(shù)、嵌入式技術(shù)以及無線網(wǎng)絡(luò)技術(shù)的發(fā)展,物聯(lián)網(wǎng)技術(shù)取得了長足的進步,并被廣泛應(yīng)用于智能交通、環(huán)境監(jiān)測、工業(yè)控制、電子商務(wù)、國防軍事等領(lǐng)域�？梢灶A(yù)見,物聯(lián)網(wǎng)將會對人類經(jīng)濟發(fā)展和社會生活產(chǎn)生深刻的影響。然而,隨著物聯(lián)網(wǎng)產(chǎn)業(yè)的迅速發(fā)展,不斷涌現(xiàn)的應(yīng)用場景和應(yīng)用需求對物聯(lián)網(wǎng)提出了新的挑戰(zhàn)。除存在部署和維護成本較高、軟件更新困難、資源利用不夠充分等網(wǎng)絡(luò)管理問題外,物聯(lián)網(wǎng)安全問題變得日益突出,成為制約物聯(lián)網(wǎng)發(fā)展的重大瓶頸。物聯(lián)網(wǎng)感知層具有無線通信信道開放、節(jié)點物理結(jié)構(gòu)簡單、節(jié)點資源有限、網(wǎng)絡(luò)拓撲動態(tài)變化等安全特點,這使得感知網(wǎng)絡(luò)很容易遭受惡意攻擊。同時,由于物聯(lián)網(wǎng)設(shè)備眾多,大量存在安全漏洞的物聯(lián)網(wǎng)設(shè)備被黑客攻陷,組建僵尸網(wǎng)絡(luò)并發(fā)動網(wǎng)絡(luò)攻擊的現(xiàn)象越發(fā)頻繁。目前,物聯(lián)網(wǎng)設(shè)備已成為分布式拒絕服務(wù)(Distributed Denial of Service,DDoS)攻擊增長的主要來源,對物聯(lián)網(wǎng)網(wǎng)絡(luò)層正常數(shù)據(jù)的傳輸造成極大的破壞。因此,如何有效地管控網(wǎng)絡(luò)節(jié)點、防御網(wǎng)絡(luò)攻擊以及保障數(shù)據(jù)可靠傳輸是物聯(lián)網(wǎng)安全管理過程中迫切需要解決的問題。新興網(wǎng)絡(luò)體系架構(gòu)——軟件定義網(wǎng)絡(luò)(Software-Defined Networking,SDN)的出現(xiàn),為上述問題的解決提供了新的契機。鑒于SDN在網(wǎng)絡(luò)管理和安全維護等方面的成功,越來越多的國內(nèi)外研究學(xué)者嘗試將其集中控制、控制與轉(zhuǎn)發(fā)分離的設(shè)計理念引入到物聯(lián)網(wǎng)中,提出新型軟件定義物聯(lián)網(wǎng)(Software-Defined Internet of Things,SDIoT)體系架構(gòu)。利用統(tǒng)一南向接口,SDIoT能夠有效應(yīng)對多種類型的物聯(lián)網(wǎng)網(wǎng)絡(luò)協(xié)議,簡化物聯(lián)網(wǎng)設(shè)備的配置和管理,降低業(yè)務(wù)實現(xiàn)與運維的成本,實現(xiàn)靈活的應(yīng)用部署。更重要的是,SDIoT為改善物聯(lián)網(wǎng)安全問題帶來了重大機遇。SDIoT控制器通常具有較高的計算和存儲資源,能夠?qū)鹘y(tǒng)物聯(lián)網(wǎng)、無線傳感網(wǎng)絡(luò)(Wireless Sensor Network,WSN)中難以實現(xiàn)的攻擊防御算法容易地部署在控制器中,并利用SDIoT集中控制、全局拓撲視圖等優(yōu)勢實現(xiàn)靈活的攻擊響應(yīng)。然而,目前SDN設(shè)計并不完善,本身也存在一定的安全風(fēng)險�？紤]到物聯(lián)網(wǎng)網(wǎng)絡(luò)的脆弱性,SDN自身存在的一些特性,如集中控制、流表請求處理的運行模式,在引入到物聯(lián)網(wǎng)后會給SDIoT帶來新的安全風(fēng)險、控制開銷、網(wǎng)絡(luò)能耗等方面挑戰(zhàn)。因此,如何在利用SDIoT應(yīng)對物聯(lián)網(wǎng)安全攻擊的同時,克服自身存在的諸多缺陷,對于完善SDIoT具有重要的研究意義及應(yīng)用價值。本文針對這些問題展開研究,通過合理利用SDN的技術(shù)優(yōu)勢,對嚴重影響感知層安全組網(wǎng)、轉(zhuǎn)發(fā)層可靠傳輸?shù)亩喾N網(wǎng)絡(luò)攻擊,提供有效的信任管理及攻擊防御措施,從而實現(xiàn)更可信、更可靠、更高能效的SDIoT網(wǎng)絡(luò)環(huán)境。本文的主要工作與主要貢獻包括以下內(nèi)容。本文首先探討了物聯(lián)網(wǎng)、SDIoT的起源、相關(guān)體系架構(gòu)以及安全研究現(xiàn)狀,并重點討論了 SDIoT所面臨的安全機遇與挑戰(zhàn)。通過利用SDN全局拓撲感知、集中控制等技術(shù)優(yōu)勢,基于信任管理模型、P2DR安全模型等網(wǎng)絡(luò)安全理論,本文設(shè)計了模塊化的SDIoT安全架構(gòu)。在此基礎(chǔ)上,針對嚴重影響SDIoT感知層和轉(zhuǎn)發(fā)層正常運行的選擇性轉(zhuǎn)發(fā)攻擊、新流攻擊、DDoS攻擊等多種攻擊類型,本文通過協(xié)同利用感知層、轉(zhuǎn)發(fā)層以及控制層三個層面的安全資源,自下而上地設(shè)計與實現(xiàn)了信任管理、DDoS攻擊檢測以及DDoS攻擊溯源與緩解等安全功能。作為物聯(lián)網(wǎng)感知層的重要組成部分,WSN系統(tǒng)通常與應(yīng)用密切綁定,一經(jīng)部署難以更新,嚴重阻礙了技術(shù)革新。將SDN的思想引入WSN中設(shè)計新型軟件定義無線傳感網(wǎng)(Software-Defined Wireless Sensor Network,SDWSN),可以有效地解決該問題。然而,大部分相關(guān)工作側(cè)重于SDWSN架構(gòu)與應(yīng)用方面的研究,忽略了感知組網(wǎng)過程中存在的安全隱患及能耗問題。為實現(xiàn)集中控制,SDWSN的周期性拓撲收集過程不僅會對感知層帶來額外的控制開銷和能量消耗,而且也容易遭受妥協(xié)節(jié)點發(fā)動的選擇性轉(zhuǎn)發(fā)攻擊,丟失關(guān)鍵控制報文,進而影響網(wǎng)絡(luò)的正常運行。此外,攻擊者可以利用SDWSN中無法處理的流量需要請求控制器處理這個特點,不斷地制造新的報文發(fā)動新流攻擊(New-flow Attack),擁塞控制鏈路,進而造成網(wǎng)絡(luò)癱瘓。作為基于密碼學(xué)安全機制的重要補充,信任管理機制能夠有效地防御網(wǎng)絡(luò)內(nèi)部攻擊。因此,針對面向物聯(lián)網(wǎng)應(yīng)用的SDWSN中存在的安全攻擊及控制開銷問題,本文提出一種高能效信任管理與可信路由機制。首先,通過將基于Bayesian的輕量級本地信任評估機制與控制器的全局信任管理機制相結(jié)合,本文實現(xiàn)一種綜合信任管理機制,有效地識別和隔離了網(wǎng)絡(luò)中存在的惡意攻擊節(jié)點。隨后,在全局信任的基礎(chǔ)上,本文進一步提出一種高能效拓撲信息聚合收集機制,該機制以最小化全局拓撲收集能耗為優(yōu)化目標(biāo),以節(jié)點全局信任值、剩余能量、網(wǎng)絡(luò)覆蓋為約束條件,通過求解整數(shù)非線性規(guī)劃(Integer Nonliner Programming,INLP)問題來選舉聚合節(jié)點,從而實現(xiàn)高能效、高可靠的拓撲收集。最后,綜合考慮節(jié)點的全局信任值與剩余能量,本文提出一種集中式最小傳輸代價路由機制,以保障數(shù)據(jù)報文的傳輸可靠性。實驗結(jié)果表明,相比于已有的解決方案SDN-WISE[5],本文提出的方案有效地提高了網(wǎng)絡(luò)分組投遞率、減少了網(wǎng)絡(luò)能耗、降低了控制開銷、延長了網(wǎng)絡(luò)壽命,保障了感知層組網(wǎng)安全。雖然通過信任管理策略能夠保障物聯(lián)網(wǎng)設(shè)備安全可靠地接入互聯(lián)網(wǎng),但是目前利用惡意軟件Mirai入侵大量存在安全漏洞的物聯(lián)網(wǎng)設(shè)備,組建僵尸網(wǎng)絡(luò)并發(fā)動DDoS攻擊的現(xiàn)象越發(fā)嚴峻,嚴重影響轉(zhuǎn)發(fā)層數(shù)據(jù)的正常傳輸。攻擊檢測是實現(xiàn)DDoS攻擊防御的前提,傳統(tǒng)基于SDN的DDoS攻擊檢測方案主要通過收集各個交換機中的流表信息,統(tǒng)計分析網(wǎng)絡(luò)流量以實現(xiàn)攻擊檢測。然而,隨著網(wǎng)絡(luò)規(guī)模的擴大,流表信息采集過程將會對控制平面造成較大的監(jiān)控負擔(dān)。使用采樣機制雖然能夠緩解南向接口的鏈路壓力,但會降低攻擊檢測準(zhǔn)確率,并且需要在采樣頻率和檢測精度之間做出權(quán)衡。為此,針對DDoS洪泛攻擊,在SDIoT安全架構(gòu)的基礎(chǔ)上,通過協(xié)同利用控制層和轉(zhuǎn)發(fā)層的安全資源,本文提出一種基于信息熵的分布式攻擊檢測機制。首先,在不違背SDN特性的前提下,本文將一部分安全能力引入到SDN邊緣交換機中,通過對OpenFlow計數(shù)器字段進行擴展,使邊緣交換機方便地實現(xiàn)本地入口流量的統(tǒng)計工作。隨后,在本地入口流量的基礎(chǔ)上,本文提出一種基于信息熵的異常檢測算法,實現(xiàn)了本地網(wǎng)絡(luò)中DDoS攻擊的檢測。最后,通過將DDoS攻擊算法分布式部署于所有邊緣交換機中,實現(xiàn)了全網(wǎng)范圍內(nèi)的攻擊檢測。仿真和原型實驗結(jié)果表明,本文提出的方案具有檢測速度快、檢測精度高、資源負擔(dān)小的優(yōu)點。相比于集中式檢測方案,本文提出的方案有效地緩解了控制器的監(jiān)控負擔(dān),降低了攻擊檢測延遲。當(dāng)網(wǎng)絡(luò)中存在DDoS攻擊時,不僅受害者不能響應(yīng)正常請求,而且網(wǎng)絡(luò)中也會存在大量攻擊流量,占據(jù)大量網(wǎng)絡(luò)帶寬和資源。因此,在檢測到DDoS攻擊后,需要及時地響應(yīng)DDoS攻擊,以減少攻擊危害。然而,在發(fā)動DDoS攻擊時為避免被追蹤定位,攻擊者通常會使用偽造源IP地址、跳板等技術(shù)以達到隱藏真實身份的目的,導(dǎo)致防御者難以確定攻擊源頭,無法實施針對性的防御措施。因而,網(wǎng)絡(luò)攻擊追蹤溯源是網(wǎng)絡(luò)主動防御的重要環(huán)節(jié),根據(jù)追蹤溯源的結(jié)果,在攻擊源端處進行攻擊緩解能夠有效地減輕攻擊流量對網(wǎng)絡(luò)的破壞。然而,當(dāng)前SDN中針對DDoS攻擊的研究工作側(cè)重于攻擊檢測、被攻擊側(cè)清洗方面,DDoS攻擊溯源、源端緩解方面的研究卻相對較少。因此,在SDIoT安全架構(gòu)基礎(chǔ)上,通過轉(zhuǎn)發(fā)層和控制層的跨層協(xié)作,本文提出DDoS攻擊溯源與攻擊緩解機制,并與攻擊檢測機制相結(jié)合構(gòu)成了完整的DDoS攻擊主動防御體系。當(dāng)前,SDN中傳統(tǒng)的基于流表分析或基于Packet-In消息的攻擊溯源機制,會將全部分析工作轉(zhuǎn)移至SDN控制器完成。隨著網(wǎng)絡(luò)規(guī)模的不斷擴大,控制器的溯源負擔(dān)也越來越大。對此,首先在不違反SDN運行原理的前提下,本文將一部分溯源工作下放到SDN邊緣交換機中執(zhí)行,以減輕控制器的工作壓力。為滿足不同規(guī)模網(wǎng)絡(luò)的溯源需求,利用確定性包標(biāo)記(Deterministic Packet Marking,DPM)算法,本文提出兩種基于OpenFlow-DPM的DDoS攻擊溯源算法。利用擴展的OpenFlow包標(biāo)記動作,邊緣交換機能夠以流水線方式實現(xiàn)對攻擊流量的標(biāo)記。隨后,基于被標(biāo)記的攻擊報文,攻擊受害者能夠重構(gòu)出攻擊端入口交換機的地址信息,進而實現(xiàn)攻擊溯源定位。最后,在攻擊溯源結(jié)果的基礎(chǔ)上,結(jié)合SDN集中控制、全局網(wǎng)絡(luò)視圖等優(yōu)勢,本文設(shè)計一種基于包對稱性的入口過濾機制,從攻擊源頭處過濾攻擊流量,實現(xiàn)了 DDoS攻擊緩解。仿真和原型實驗結(jié)果均表明,本文提出的方案能夠從攻擊源頭防御DDoS攻擊,在保護攻擊受害者的同時,減少了網(wǎng)絡(luò)中間設(shè)備帶寬和資源的消耗。
【學(xué)位授予單位】：山東大學(xué)
【學(xué)位級別】：博士
【學(xué)位授予年份】：2018
【分類號】：TP391.44;TN915.08
【圖文】：

逑１．２．１物聯(lián)網(wǎng)架構(gòu)逡逑圖１－１為目前比較公認的物聯(lián)網(wǎng)三層體系結(jié)構(gòu)，由下往上依次為感知層、網(wǎng)逡逑絡(luò)層和應(yīng)用層ｆｎＫ１２］［Ｉ３：ｌ，各層功能分別介紹如下。逡逑智能交通邐智能家居邐智能建筑邐＾工＃控制逡逑應(yīng)用層邐邐邐邐邋邐邐邐邋＇邐邋＿＿＿＿＿＿逡逑』智能

１．物聯(lián)網(wǎng)安全威脅逡逑從物聯(lián)網(wǎng)三層體系結(jié)構(gòu)而言，物聯(lián)網(wǎng)的安全威脅可以分為感知層安全威脅、逡逑網(wǎng)絡(luò)層安全威脅以及應(yīng)用層安全威肋、［１１］［１３］。圖１－２列舉了一個物聯(lián)網(wǎng)中網(wǎng)絡(luò)攻擊逡逑樣例，由此可見無論感知層的傳感設(shè)備、還是通信鏈路都可能成為攻擊者的目標(biāo)逡逑［１１］。由于感知層安全是整個物聯(lián)網(wǎng)安全的基礎(chǔ)，本文主要關(guān)注以ＷＳＮ為代表的逡逑感知層網(wǎng)絡(luò)的安全性�？紤]到傳感節(jié)點數(shù)目眾多、安全能力有限、部署環(huán)境惡劣逡逑等原因，傳感節(jié)點容易被攻擊者俘獲、破解，面臨惡意代碼注入、側(cè)信道攻擊等逡逑安全威脅；此外，由于感知層無線通信信道開放、多跳傳輸?shù)忍匦�，傳感�?jié)點在逡逑數(shù)據(jù)傳輸過程中同樣面臨被動竊聽、黑洞攻擊、選擇性轉(zhuǎn)發(fā)攻擊、ＤｏＳ攻擊、女＿逡逑巫攻擊等安全威脅［１１］。逡逑隨著大量設(shè)備接入物聯(lián)網(wǎng)中，這對網(wǎng)絡(luò)安全傳輸提出了更高的要求［２４］。除感逡逑知層外，物聯(lián)網(wǎng)網(wǎng)絡(luò)層的數(shù)據(jù)傳輸鏈路也會成為攻擊者的攻擊目標(biāo)，在將感知數(shù)逡逑據(jù)傳輸至應(yīng)用層時，可能會遭受ＤｏＳ攻擊、ＤＤｏＳ攻擊、假冒攻擊、中間人攻擊逡逑等安全威脅。為此

平面分離、集中控制的新型網(wǎng)絡(luò)架構(gòu)——ＳＤＮ［４（）］。如圖１－３所示，ＳＤＮ是對傳統(tǒng)逡逑ＩＰ網(wǎng)絡(luò)一次深刻的變革，這主要體現(xiàn)在三個方面：首先是網(wǎng)絡(luò)可編程，使得業(yè)務(wù)逡逑應(yīng)用可以利用北向接口（ＡＰＩ）根據(jù)需求對網(wǎng)絡(luò)進行調(diào)整，加速網(wǎng)絡(luò)革新；其次逡逑是控制平面集中化，集中的控制平面擁有網(wǎng)絡(luò)全局視圖，緩解了邋ＩＰ網(wǎng)絡(luò)分段自治逡逑與無序的狀態(tài)；最后是控制平面與轉(zhuǎn)發(fā)平面分離，通過使用統(tǒng)一的南向接口協(xié)議，逡逑可以簡化和通用轉(zhuǎn)發(fā)平面。逡逑應(yīng)用層邐（：－： 一ｉｔｉｉｌ邐－：〕一逡逑Ｉ邐ｆ＂ａｐｉ邐＂１逡逑＇ｗ：邐Ｍｉ．邐ｗ逡逑ｆｉｌｌ逡逑控制層邐ｆｒｎｍＭ＇－－逡逑、邐——邐■邋／邋ＳＤＮ？ｇ￥�。剩桑慑澹义希槟舷蚪涌阱义希娺娺婂义希蹋核醄綾福赍嗚鴮舯竿縞瑁螅義獻⒉沐危у義希郟恚恚╁義賢跡保橙砑ㄒ逋緙芄瑰義嫌上巒�，涯Ｎ架箳靵頁氇转发层、控制掺]約壩τ貌閎霾忝�。转发查攽亓x希櫻模謂換換槌�，涯Ｖ^換換瘓弒縛刂頗芰�，近冞有数据转发和处理功能�？劐義現(xiàn)撇惆桓齷蚨喔隹刂破鰨ü舷蚪涌詼宰⒉愕慕換簧璞附屑鋅刂�。辶x嫌τ貌閽虻饔每刂撇閭峁┑模粒校

本文編號：2757755