LISPにおける二段階マップテーブルを用いたDDoS攻撃緩和方式の提案

摘要

DDoS攻撃は深刻な脅威であるが，現在一般的に実施されているDDoS攻撃対策は，標的サーバーまでの経路上の負荷については考慮していない，意図的もしくは誤って攻撃の意図のないパケツトを破棄してしまうことがある，DDoS攻撃対処について攻撃者が容易に知ることができる，等の欠点があるため，これらを考慮した対策が必要である.そこでパケツトを大量に送信するサーバーの近くのノードに囮となるサーバーを配置し，そこで攻撃を受けさせる.これにより正常なトラフィックには影響を与えずに，標的サーバーおよび，その経路に対するDDoS負荷を低減させること，またその際，Locator/ID Separation Protocol (LISP)を用いることで対処後のシステム構成について秘匿することを提案する.これに基づき，本提案を実現するためのマップテーブルをLISPのマップテーブルとは別にマップサーバーに組み込み，この2つのマップテーブルを利用することで本来のLISPの動作をさせつつ，DDoS攻撃対処も実施できるシステムのプロトタイプを開発した.このシステムについて高負荷環境で実験し，提案が実現可能であることを確認した.またこの結果について考察し，解決すべき今後の課題とその解決方針を提案する.%DDoS attacks are serious threats. Although many countermeasures to DDoS attacks have been developed and practiced, most of them drop both attack traffic and legitimate communications Furthermore, current countermeasures are easily recognized or evaded by attackers. In this paper, We propose a DDoS countermeasure that has the potential not to interfere with legitimate communications while mitigating DDoS attacks and hiding itself from attackers. The key idea of our proposal is creating decoy servers and decoy routers on ingress points of a DDoS attack by an extended LISP. The neighborhood of the machine which transmits large quantities of packets is set up as a decoy where the attack occurs. The effect on normal traffic is reduced, and the targeted machine and the route's DDoS load are reduced. In addition, we propose Locator/ID Separation Protocol (LISP) to conceal the post mitigation effect from the attacker. Based on this, in order to materialize our proposal, we developed a prototype system which can enforce DDoS mitigation. This prototype utilizes the combination of both the LISP Map Table and another Map Table to execute the original LISP.