检索结果-南通市图书馆

在线全文

学校读者我要写书评

暂无评论

一种防范BGP地址前缀劫持的源认证方案

软件学报 2012年第7期23卷 1908-1923页

作者：刘志辉孙斌谷利泽杨义先北京邮电大学信息安全中心北京100876

提出了一种基于线索平衡二叉排序哈希树认证委分字典的安全高效的源认证(origin authentication,简称OA)方案,用于防范BGP地址前缀劫持攻击.基于Aiello和McDaniel等人提出的OA服务,通过数值区间对AS号和IP地址前缀这两种BGP前缀宣告资... 详细信息

提出了一种基于线索平衡二叉排序哈希树认证委分字典的安全高效的源认证(origin authentication,简称OA)方案,用于防范BGP地址前缀劫持攻击.基于Aiello和McDaniel等人提出的OA服务,通过数值区间对AS号和IP地址前缀这两种BGP前缀宣告资源进行了统一的形式化定义,采用一种方案同时解决了两种前缀宣告资源的源可信问题.该方案不仅解决了原OA服务中存在的"无效分配关系的证据量是有效分配关系证据量的两倍"的问题,而且与原OA服务相比,该方案建树所需要的总节点数降低约一半.同时,委分证据集合的平均长度更小.因此,该源认证方案效率更高.

关键词：源认证前缀劫持 BGP(border gateway protocol) AS号 IP地址前缀

在线全文

学校读者我要写书评

暂无评论

防范前缀劫持的互联网注册机制

软件学报 2009年第3期20卷 620-629页

作者：刘欣朱培栋彭宇行国防科学技术大学计算机学院湖南长沙410073

借鉴IRR(Internet routing registry)机制中注册路由策略的思想,提出了前缀策略(prefix policy)的概念,并由此设计了一种防范前缀劫持的方法——E-IRR机制.在E-IRR中,参与者发布自己的前缀策略,同时利用其他自治系统已注册的前缀策略验... 详细信息

借鉴IRR(Internet routing registry)机制中注册路由策略的思想,提出了前缀策略(prefix policy)的概念,并由此设计了一种防范前缀劫持的方法——E-IRR机制.在E-IRR中,参与者发布自己的前缀策略,同时利用其他自治系统已注册的前缀策略验证BGP路由,从而防范前缀劫持.提出了维护前缀策略有效性措施,评估了E-IRR机制的安全能力与性能.方法的主要优势是,其在前缀劫持的防范能力与安全机制的实际部署需求之间达到了一个较好平衡,可增量式地部署,并不需要对BGP协议进行任何安全扩展.现有方案都不同时具备这些特性,它们使得E-IRR有望实际可行地解决前缀劫持问题.

关键词：边界网关协议域间路由系统前缀劫持前缀策略互联网路由注册处互联网注册机制

在线全文

学校读者我要写书评

暂无评论

前缀劫持攻击综合防御关键技术研究

前缀劫持攻击综合防御关键技术研究

作者：韩振昊解放军信息工程大学

学位级别：硕士

前缀劫持(prefix hijacking)攻击在互联网中频繁出现,由于其巨大的危害性,已经成为域间路由安全性研究中的热点。本文在对现有前缀劫持攻击防御机制进行充分研究的基础上,针对前缀劫持攻击防御机制研究中存在的安全性与可部署性之间的矛... 详细信息

前缀劫持(prefix hijacking)攻击在互联网中频繁出现,由于其巨大的危害性,已经成为域间路由安全性研究中的热点。本文在对现有前缀劫持攻击防御机制进行充分研究的基础上,针对前缀劫持攻击防御机制研究中存在的安全性与可部署性之间的矛盾,研究了一种前缀劫持攻击综合防御系统。系统核心思想是依据不同AS(Autonomous System)节点的弹性,通过网络划分公式得出阈值α,对弹性值高于α的AS节点,部署交互式前缀劫持攻击检测方法;对弹性值低于α的AS节点,部署基于IP前缀最长分配路径的源自治系统验证方法。系统关键技术有3个方面:1.基于AS弹性的网络划分方法(resilience partition,RP)。其主要思想是以阈值α为标准,将全网每个AS节点弹性与之比较,对弹性值高于α和低于α的AS节点分别部署不同的防御机制;2.基于IP前缀最长分配路径的源自治系统验证方法(origin verification based on the longest path,OVLP)。其核心思想是将提供前缀最长有效分配路径的自治系统作为该前缀的合法源自治系统;3.交互式前缀劫持攻击检测方法(communicating prefix hijack alerting system,CPHAS)。其核心思想是通过服务器与用户的交互,对非法源进行跟踪向用户报警。本文的创新主要有以下几个方面:1.研究了一种基于AS弹性的前缀劫持攻击综合防御系统,实现了安全性与可部署性的均衡;2.提出了基于AS弹性的网络划分方法RP,有效降低了证书规模,提高了系统可扩展性;3.提出了基于IP前缀最长分配路径的源自治系统验证方法OVLP,解决了当前基于密码学的源AS验证机制无法防御上层ISP前缀劫持攻击的问题,提高了系统安全性;4.提出了交互式前缀劫持攻击检测方法CPHAS,解决了PHAS检测方法时间窗机制存在的漏警问题,提高了系统安全性。

关键词：前缀劫持 AS弹性博弈 K-均衡 RP OVLP CPHAS

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

域间路由协议前缀劫持行为模拟与分析

计算机工程与科学 2011年第8期33卷 19-26页

作者：王俊强毛羽刚朱培栋 91996部队国防科学技术大学计算机学院

基于BGP的域间路由系统是Internet的核心设施,是保证整个网络互联及正常运行的关键。然而,由于BGP协议本身缺乏必要的安全机制而极易受到攻击。例如,前缀劫持就是针对BGP缺陷而实施的一种较难防范的攻击。近年来,已发生多起BGP前缀劫持... 详细信息

基于BGP的域间路由系统是Internet的核心设施,是保证整个网络互联及正常运行的关键。然而,由于BGP协议本身缺乏必要的安全机制而极易受到攻击。例如,前缀劫持就是针对BGP缺陷而实施的一种较难防范的攻击。近年来,已发生多起BGP前缀劫持事件,造成了严重危害。本文基于GT-NetS软件构建了一个大规模域间路由系统模拟环境,并在该模拟环境中进行了多次BGP前缀劫持测试,结合测试结果分析对影响BGP前缀劫持攻击范围的有关因素进行了研究。测试表明,BGP前缀劫持造成的受害范围与攻击发起路由器所属AS的层次和度数有着直接的关系。

关键词：边界网关协议自治系统前缀劫持模拟 GTNetS

在线全文

学校读者我要写书评

暂无评论

BGP前缀劫持下的通信研究与实现

小型微型计算机系统 2011年第1期32卷 75-79页

作者：王致林朱培栋陈侃曹华阳国防科学技术大学计算机学院湖南长沙410073

针对当前互联网上发生的BGP前缀劫持事件,分析BGP前缀劫持检测系统的通信方式,为解决BGP前缀劫持发生后产生的通信困局提供方法支撑,从而为分布式的BGP前缀劫持检测系统消息通告设计与实现提供参考.文章以当前BGP前缀劫持检测系统为背景... 详细信息

针对当前互联网上发生的BGP前缀劫持事件,分析BGP前缀劫持检测系统的通信方式,为解决BGP前缀劫持发生后产生的通信困局提供方法支撑,从而为分布式的BGP前缀劫持检测系统消息通告设计与实现提供参考.文章以当前BGP前缀劫持检测系统为背景,基于前缀劫持中受害者AS、感染者AS和未受感染者AS的通信关系,提出几种旨在打破通信困局的启发式消息宣告机制并对其各种机制的特点进行了分析.

关键词： BGP 前缀劫持通信性能

在线全文

学校读者我要写书评

暂无评论

基于协作的互联网前缀劫持检测方案研究

计算机工程与科学 2009年第8期31卷 10-12,20页

作者：刘欣朱培栋彭宇行赵秋国防科技大学计算机学院湖南长沙410073

自治系统的网络管理员要想及时地发现前缀劫持非常困难。本文分析了现有方案的不足,讨论了前缀劫持问题困难的根源。考虑到互联网的自治特性,本文提出了一个基于协作的前缀劫持检测方案。该方案支持多个自治系统协作地监测BGP路由,这不... 详细信息

自治系统的网络管理员要想及时地发现前缀劫持非常困难。本文分析了现有方案的不足,讨论了前缀劫持问题困难的根源。考虑到互联网的自治特性,本文提出了一个基于协作的前缀劫持检测方案。该方案支持多个自治系统协作地监测BGP路由,这不仅可分摊系统的监测开销、防止泄露私有的BGP路由信息,而且还可极大地扩展单个自治系统的可监测范围,能有效地帮助网络管理员检测关于自身前缀的劫持事件。

关键词：边界网关协议前缀劫持自治系统宣告方验证协作监测

基于多维历史数据分析的BGP前缀劫持检测系统的实现

在线全文

学校读者我要写书评

暂无评论

基于多维历史数据分析的BGP前缀劫持检测系统的实现

作者：李赫扬北京邮电大学

学位级别：硕士

边界网关协议（Border Gateway Protocol,BGP）是互联网的标准域间路由协议,其可靠性和稳定性关乎着整个互联网的安全。BGP在设计之初缺乏地址资源身份的可信验证,非法或错误的路由配置会引发路由前缀劫持事件,对网络通信和上层应用服... 详细信息

边界网关协议（Border Gateway Protocol,BGP）是互联网的标准域间路由协议,其可靠性和稳定性关乎着整个互联网的安全。BGP在设计之初缺乏地址资源身份的可信验证,非法或错误的路由配置会引发路由前缀劫持事件,对网络通信和上层应用服务正常运行造成严重影响。一方面,传统的前缀劫持检测主要通过分析网络控制平面的前缀归属变化,或使用主动探测的方法来获取数据平面的特征信息和前缀的可达性情况来判断是否存在前缀劫持事件,这些方法依赖于广泛的基础测量设施、测量点的覆盖程度和持续性的检测。另一方面,互联网中存在多种维度的路由分配信息,历史路由报文中也含有大量有价值的稳定的前缀归属信息,这些多维度的数据为前缀劫持检测提供了更多的数据支撑。本文提出一种基于多维度历史数据分析的前缀劫持检测方法,并在此基础上实现了前缀劫持检测系统。该方法使用多个维度的历史数据,解决了基准数据获取难且准确性低的问题,同时避免了主动测量方法部署成本大,探测时延较长的缺点。论文的主要工作包括两个方面。首先,本文提出一种基于多维度历史数据分析的前缀劫持检测方法,该方法通过对历史BGP路由表数据、权威机构历史注册数据和自治域地理位置三个维度的数据进行分析和量化,得到IP前缀和源自治域对应关系的可信程度表,作为判断前缀劫持的基准数据。其次,基于上述方法,本文设计并实现了基于多维度历史数据分析的前缀劫持检测系统,包括数据采集、数据分析、数据存储和异常检测四个模块。该系统通过对BGP报文信息进行提取并与系统知识库进行比对,可以得到此报文中IP前缀与源自治域关系的可信程度,并根据预设的阈值,反馈是否发生前缀劫持事件。实验结果表明,本系统可以有效准确地检测前缀劫持事件,降低前缀劫持检测的误报率。

关键词：边界网关协议前缀劫持异常检测量化分析

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

防范前缀劫持的BGP安全机制研究和实现

防范前缀劫持的BGP安全机制研究和实现

作者：徐显达电子科技大学

学位级别：硕士

BGP前缀劫持攻击(prefix hijacking)能够劫持自治系统间的网络流量,造成大规模的网络震荡,具有巨大的危害性,是现今BGP网络安全的研究热点。本文对BGP前缀劫持攻击防范机制进行了深入的分析和研究,针对BGP前缀劫持攻击防范机制中存在... 详细信息

BGP前缀劫持攻击(prefix hijacking)能够劫持自治系统间的网络流量,造成大规模的网络震荡,具有巨大的危害性,是现今BGP网络安全的研究热点。本文对BGP前缀劫持攻击防范机制进行了深入的分析和研究,针对BGP前缀劫持攻击防范机制中存在的可部署性与安全性的矛盾问题以及安全漏洞,提出了一种综合性前缀劫持攻击防范系统。系统的主要思想是根据自治系统(AS)的聚集系数对网络进行划分,对于聚集系数小的AS,部署基于AS小组的联合式前缀劫持检测机制,对于聚集系数大的AS,则部署基于IP前缀和AS号码分配证明的防范前缀劫持的方法。系统的主要安全技术为以下两个方面： 1.基于AS小组的联合式前缀劫持检测机制。本文在深入研究BGP前缀劫持攻击检测机制的基础上,根据其不能有效检测路径劫持的前缀劫持攻击的不足,提出了基于AS小组的联合式前缀劫持检测机制,此机制通过AS小组之间的网络拓扑连接交互探测,能够有效的检测路径劫持的前缀劫持攻击。通过仿真可以看出,基于AS小组的联合式前缀劫持监测机制能够有效的检测出路径劫持的前缀劫持攻击和其他前缀劫持攻击。 2.基于IP前缀和AS号码分配证明的防范前缀劫持的方法。本文在深入研究BGP前缀劫持攻击防御机制的基础上,根据其不能抵御上层ISP前缀劫持攻击的安全漏洞,提出了基于IP前缀和AS号码分配证明的防范前缀劫持的方法,此方法能够有效抵御上层ISP前缀劫持攻击以及其他前缀劫持攻击。通过从正确性、性能和安全性对此方法进行的评估,证明其完全可以满足域间网络安全性需求,而且性能可以接受。本文首先介绍了论文的研究背景、问题由来和研究意义,并对本文的相关研究现状和主要研究内容进行了说明。然后,本文简要介绍域间路由和BGP协议及其属性,从而引出BGP前缀劫持攻击。本文对现有防范BGP前缀劫持攻击的攻击防御机制和攻击检测机制进行了深入研究,详细分析了现存机制中的安全漏洞,发现攻击防御机制不能够抵御一种叫做上层ISP前缀劫持的攻击,而攻击检测机制对于路径劫持的前缀劫持攻击不能够有效检测,还发现现存安全防范机制的主要矛盾是可部署性与安全性的平衡性问题。针对上述安全性和平衡性问题,提出了一种综合性前缀劫持攻击防范系统。本文的贡献和创新主要包含三个方面： 1.研究了现存防范BGP前缀劫持攻击的安全机制的主要矛盾,即安全性和可部署性之间的平衡问题,通过计算AS的聚集系数对域间网络进行划分来部署不同的安全机制,有效的解决了安全性和可部署性之间的平衡性问题。 2.研究了BGP前缀劫持攻击,并且深入研究了BGP前缀劫持攻击的检测机制,提出了基于AS小组的联合式前缀劫持检测机制,解决了现存攻击检测机制不能有效检测劫持路径的前缀劫持攻击的不足,提高了网络的安全性。 3.研究了防范BGP前缀劫持攻击的防御机制,提出了基于IP前缀和AS号码分配证明的防范前缀劫持的方法,解决的现存防御机制不能防范上层ISP前缀劫持攻击的问题,提高了网络安全性。

关键词： BGP 前缀劫持聚合系数分配证明联合检测

基于MOAS事件特征的BGP前缀劫持检测算法的研究

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于MOAS事件特征的BGP前缀劫持检测算法的研究

作者：陈开宇北京邮电大学

学位级别：硕士

全球互联网是由数万个内部结构各异的自治系统（Autonomous System,AS）构成,边界网关协议（Border Gateway Protocol,BGP）负责为这些自治系统传递并交换路由消息。BGP协议已经成为互联网重要的基础设施,保证BGP协议的安全对于维护网... 详细信息

全球互联网是由数万个内部结构各异的自治系统（Autonomous System,AS）构成,边界网关协议（Border Gateway Protocol,BGP）负责为这些自治系统传递并交换路由消息。BGP协议已经成为互联网重要的基础设施,保证BGP协议的安全对于维护网络空间安全具有重大的意义。但是,由于BGP协议在设计之初未考虑安全问题,导致BGP安全问题不断涌现。BGP前缀劫持是国内外研究人员持续关注的一种BGP安全问题。多源 AS（Multiple Origin Autonomous System,MOAS）冲突检测技术用来在控制平面检测前缀劫持,其的核心在于区分出正常的MOAS冲突和异常的MOAS冲突,目前普遍的方法是通过检测报文中源AS宣告的某前缀是否是被授权,要保证前缀地址与源AS映射关系的合法性,这就需要RPKI认证机制的支持,但是目前RPKI认证机制部署程度还不高,保护的前缀数目只占全部前缀数目的五分之一,因此检测的范围就受到了限制。为了解决MOAS检测技术对认证机制的依赖,本课题提出了基于多源AS事件特征的前缀劫持检测算法,研究MOAS冲突发生的过程中源AS随着时间变化呈现的特征,根据这些特征来判定该冲突是否异常。为此,本算法通过采集并处理最新的UPDATE报文,发现路由中出现的MOAS冲突现象,根据从不同观测点的观察情况从中抽取出多个独立的MOAS事件,再根据从不同观测点观测到的源AS状况随时间的变化情况,为单个事件创建事件矩阵并计算它的特征值,最后依据这些特征值来判定该MOAS事件是否为异常事件,若MOAS事件为异常事件,则判定劫持事件发生。根据上述基于多源AS事件特征的前缀劫持检测算法的研究,本课题设计并实现了 BGP前缀劫持检测系统。系统主要分为数据采集模块、数据分析模块和异常检测模块这三大模块,实现对BGP前缀劫持的检测。实验表明,该系统可以发现并提取出MOAS事件,可以根据特征值判定事件是否异常进而发现前缀劫持。

关键词：边界网关协议前缀劫持多源AS 异常检测