美国态势感知之XD3项目（一）

近年来，美国国防部下辖的国防高级研究计划局（DARPA）启动了众多网络空间领域前沿技术研发项目，如本公众号曾谈到过的应对电网故障的“快速攻击检测、隔离和表征系统”（RADICS），以及通过增强网络资产机动性抵御大规模网络攻击的“极端DDoS防御”（Extreme DDoS Defense，XD3）项目等。

一、简介

XD3项目旨在开发一种新型的计算机联网架构，使其可以检测、阻止和对抗分布式拒绝服务（Distributed Denial of Service，DDoS）攻击。随着物联网的发展，新型联网设备越来越多，而这些设备的部署往往都缺乏足够的安全控制。因此，DDoS攻击会进一步加剧，攻击者利用那些防御能力较差的物联网设备，将这些设备同化到其僵尸网络中。而XD3就是要开发一种新型的计算机联网架构，构建防御体系，从而增加攻击难度，最终阻止DDoS攻击。XD3开展的创新研究，基于包括分散计算设施、设施特征伪装、终端系统自适应缓解等在内的方法，可增强多类型DDoS的防御能力。

二、该项目关注的领域

二十年来，分布式拒绝服务（DDoS）攻击的威胁已在数据网络领域得到广泛认可。此类攻击由多组联网主机精心策划。这些主机共同采取行动破坏或拒绝对信息、通信或计算能力的访问，通常是通过耗尽关键资源，例如带宽、处理器容量或目标资源的内存。DDoS攻击的性质范围很广。僵尸网络引发的容量攻击（每秒可产生数百千兆位的恶意流量）可能是最著名的 DDoS 形式。但是，从防御的角度来看，低容量DDoS攻击可能更加有害和造成问题。此类攻击针对特定应用程序。

DDoS防御中的现有技术通常依赖于基于网络的过滤、流量分流，以及对存储数据（或用于访问数据的逻辑连接点）的“清理”或复制的组合，以稀释容量攻击或为合法用户提供多样化的访问。总的来说，这些现有方法在响应时间、识别和阻止低容量DDoS的能力、在加密流量内阻止DDoS的能力以及防御实时事务服务（如与云计算和军事指挥控制相关的服务）的需要等方面，远远达不到预期的能力。

DDoS攻击的响应速度太慢，且由手动驱动，过滤规则的诊断和制定通常需要数小时才能制定和实例化。相比之下，军事通信通常要求中断时间限制在几分钟或更少。

此外，使用在线检测技术识别和阻止低容量DDoS攻击仍然非常困难。即使是针对大规模DDoS攻击，在线过滤也可能在完全阻断恶意流量的愿望和对合法通信“无害”的需要之间进行权衡。依赖于数据流在线检查的机制在处理加密隧道时可能存在问题，并且随着网络带宽的不断增加，会带来可扩展性挑战。防御方法必须适用于实时事务性服务（如军事指挥和控制）以及云计算。仅用于保护准静态数据的存储和传播的技术是不够的。因此，与现有方法或其进化扩展相比，显然需要全新的DDoS防御，以在更广泛的环境中对这些攻击提供更大的恢复能力。

DARPA的极端DDoS防御（XD3）项目重点关注三个领域，以提高抵御DDoS攻击的弹性。该项目旨在通过以下方式阻止DDoS攻击：（1） 分散网络资产（物理和/或逻辑）以使对抗性目标复杂化；（2）通过网络化操作伪装这些资产的特征和行为，迷惑或欺骗对手；（3）在端点上使用自适应缓解技术（例如：任务关键型服务器）以减弱成功穿透其他防御措施的攻击的影响。该研究计划包括新算法的制定、演示、使用软件原型的现场练习、开发性能指标以评估上述三个领域的有效性和系统集成等，以最大限度的提高整体防御能力。

XD3项目重点关注的三个领域如下表所示。

XD3侧重于改进DDoS防御的三个广泛概念

XD3项目包括以下五个技术领域（TA）。XD3是一个为期三年的项目，分为两个18个月的阶段。名义开始日期为2016年4月1日。TA1、TA2和TA3的提案提供在整个三年计划中迭代开发、测试和完善其解决方案的计划。TA4等活动仅限于第2阶段。

技术领域1：可管理的网络资源分散在当前技术中，云计算、指挥与控制、态势感知和多媒体会话控制等关键功能在很大程度上依赖于高度共享的集中式服务器和数据中心。支持这些功能的现有协议和架构包括互联网中继聊天（IRC）、文件传输协议（FTP）、军事全球指挥控制系统（GCCS）、会话启动协议（SIP）以及数据中心内MapReduce或相关编程模型的实现。这些架构中信息和网络能力的集中位置可以极大地促进DDoS目标开发和攻击执行。XD3其TA1的目标是设计和演示新的架构，在物理和逻辑上分散这些功能，同时保持（甚至超过）传统集中式方法的性能。此外，这种方法中一个尚未解决的主要挑战是将网络意识完全纳入分布式体系结构的形成和控制中。高度可变的带宽、拥塞条件和网络攻击的可能性将在很大程度上影响这些分布式架构中机器之间的连接和可用吞吐量。这些条件与云计算和对等设计的传统处理方式形成了鲜明对比，后者通常认为可靠、高容量的连接是理所当然的。例如，选择执行任务的位置时，应结合任务可能的网络要求（例如，计算是否需要从特定位置或在将执行计算的机器之间进行大容量数据传输？），以及任务对由于不利网络条件等原因导致的任务完成延迟或失败的容忍度。此外，在分布式体系结构中的位置之间复制关键信息的能力也将关键取决于网络条件。

技术领域2：网络化机动网络敏捷性和防御机动（CAADM）的概念，作为使对手的目标开发和攻击执行复杂化的手段，已得到充分研究。许多与CAADM相关的技术都考虑了单个主机内的混淆，例如地址空间布局随机化（ASLR）。这种以主机为中心的CAADM方法不适用于XD3。面向网络的方法在很大程度上局限于地址和端口跳转等技术。一般来说，该现有技术受到四个重大限制：跳转方法往往会创建封闭的用户组（即，对跳转策略知情的用户和主机），限制其适用性，并可能干扰组外合法用户的访问。而且，任何CAADM方法都应该有评估其对用户通信或计算的影响的方法，并保证可以将此类影响降至最低。机动计划通常是预先制定的，没有办法使其适应任务活动的重大变化。在这些不可预见的情况下，静态预先计划的机动可能会适得其反，甚至与任务需求无关。先前的CAADM重点主要集中在要保护的环境的混淆上。关于欺骗的可能性，即CAADM为对手建立虚假现实的可能性，研究还远远不够。与简单的混淆不同，欺骗有可能以最小化对任务活动损害的方式转移攻击，同时给对手成功的假象。在主动机动之前或期间，尚未建立测量CAADM有效性的方法。

XD3的目标是开发新的CAADM技术，通过克服上述限制，大大提高抵御DDoS攻击的能力。这些问题的解决方案可能密切相关，从协同角度来看，可以在应对DDoS威胁方面提供新的灵活性。例如，量化CAADM有效性的能力，以及机动对合法用户活动影响的测量，将使指挥官或其他网络运营商能够相互权衡，并使这种权衡适应不断变化的环境。TA2提案须描述其技术方法在主机数量、通信或计算能力或与所述环境相关的类似措施方面的预期可扩展性。超出TA2范围的主题包括无线抗干扰方法和其他技术，这些技术特别关注无线网络的物理层、链路层或网络层中的灵活性和机动。

（待续。来源：综合外网及外媒等。本文参考内容均来源于网络，仅供读者了解和掌握相关情况参考，不用于任何商业用途。侵删）