基于DHR的物联网安全防御技术研究

作     者：林泓宇 

作者单位：东南大学 

学位级别：硕士

导师姓名：陈立全

授予年度：2022年

学科分类：1305[艺术学-设计学（可授艺术学、工学学位）] 13[艺术学] 0839[工学-网络空间安全] 08[工学] 081104[工学-模式识别与智能系统] 0804[工学-仪器科学与技术] 081101[工学-控制理论与控制工程] 0811[工学-控制科学与工程] 

主      题：物联网安全 动态异构冗余 安全防御 软件定义网络 

摘      要：物联网技术目前已被广泛应用于智慧医疗、工业系统和智能家居等领域,但随着物联网设备数量的迅速增长,随之而来的不仅是众多的应用场景和需求,还有日益突出的安全问题。除了网络管理困难和维护成本高外,物联网设备因其庞大的数量已经成为了黑客组建僵尸网络发起分布式拒绝服务攻击的最佳资源库,这对物联网和其他互联网应用都构成了极大的安全隐患。因此,如何有效保护这些物联网设备是当前迫切需要解决的问题。1)为解决动态异构冗余(Dynamic Heterogenous Redundancy,DHR)架构在实际部署中由于执行体间存在的稳定性差异和相似漏洞带来的安全问题,本文对传统DHR模型进行了研究和改进,提出了一种更具可行性的改进DHR(More Feasible Improved Dynamic Heterogeneous Redundancy,MFI-DHR)模型,主要包括基于随机分布的动态调度算法(Random Distribution Based Dynamic Scheduling Algorithm,RD-DSA)和基于信息权重和异构性的裁决算法(Information Weight and Heterogeneity based Arbitrament,IWHA)。在基于随机分布的动态调度算法中,采用随机分布函数和信息权重对执行体进行优化选择,避免了传统DHR模型中以信息权重为调度依据时,由于执行体的稳定性差异导致部分执行体无法被选中的情况。在基于信息权重和异构性的裁决算法中,加入异构性对信息权重进行限制,解决了当相似漏洞存在时多个相同错误输出结果引起的共模逃逸问题。实验结果表明,在相同条件下,相比于传统DHR模型,提出的MFI-DHR模型在异构性、调度次数、安全性和稳定性上都有明显优势。2)论文结合DHR架构和SDN(Software Defined Networking)提出了一种融合DHR的物联网安全防御体系。该防御体系使用DHR架构来保障SDN控制器和交换机的安全和稳定,并针对缺乏安全防护能力的物联网设备,设计了一种安全防护方案,该方案由基于孤立森林算法的异常检测方法、DPM(Deterministic Packet Marking)辅助下的基于流表的溯源机制和基于流表的端址遮蔽方法共同构成。孤立森林算法作为一种成熟的异常检测方法,具有较低的时间复杂度和较小的内存需求,较为契合本文方案的设计需求。为了提高孤立森林算法在物联网场景下的异常检测能力,本文提出了一种状态更新方法,实验表明该方法能够提高孤立森林算法在物联网环境下异常检测的真阳性率。在SDN构建的网络下,以流表为基础的溯源机制具有实现简单和溯源迅速的优点,为了减少这种溯源方法因流表粗粒度匹配出现的溯源错误,本文使用DPM算法进行辅助溯源,极大地提高了溯源的准确率。此外,本文结合网络地址转换(Network Address Translation,NAT)和移动目标防御(Moving Target Defense,MTD)中的端址跳变(Port and Address Hopping)技术,提出了一种基于流表的端址遮蔽方法,使用不断变化的虚拟IP地址和端口来隐藏物联网设备的真实IP地址和服务端口,提高了攻击者维持攻击链的难度,实验结果表明该方法能够有效防御扫描攻击和拒绝服务攻击。3)本文搭建了一套实验测试系统,对所提出的安全防御方案进行了实验验证,测试内容包括MFI-DHR模型的安全性、基于孤立森林算法的异常检测方法的实际表现、对DDo S攻击的防御效果等。实验结果表明,本文提出的融合DHR的物联网安全防御方案能够物联网设备形成有效防护。