IP溯源技术评估指标体系研究

摘要：ip溯源技术的评估和部署问题是溯源技术应用的关键。文章分析了IP溯源技术评估现状，针对IP溯源技术的评估提出了十一个技术指标，并就这些指标在部署中的应用进行了研究。

关键词：IP溯源技术IP溯源评估IP溯源部署

中图分类号：TP393.02文献标识码：A文章编号：1007-9416（2012）03-0000-00

Discussion of IP Traceback Issues: Evaluation and Deployment

LIN Bailu YANG Bailong WU Penghui MAO Jing

(The Second Artillery Engineering College, Xi’an, 710025)

Abstract: Evaluation and deployment are important for the application of IP traceback. This paper analyzes the status of evaluation of IP traceback, presents eleven indicators towards its evaluation, and explores the deployment problem by using these indicators.

Keywords: IP Traceback; evaluation of IP traceback; deployment of IP traceback

1、引言

IP溯源技术指通过技术手段，将内容、网络行为以及应用行为等追溯到该行为发起者。IP溯源技术的评估和部署问题是溯源技术真正得到应用的关键，科学、完善的评估指标体系则是IP溯源技术评估的基础和前提，因此，研究IP溯源评估指标体系对推动溯源技术研究与发展具有十分重要的意义。

2、IP溯源技术评估指标体系

2.1 IP溯源技术评估研究现状

IP溯源技术评估对溯源策略和方法手段选取、溯源检测部署等都有直接指导意义，当前IP溯源评估主要有两大技术方向，一是侧重理论分析和数据比对，评估指标主要围绕算法性能本身设计，由于性能是相对、动态变化的，仅基于性能的指标往往难以完成评估工作；二是主要采用功能性的指标，但仅基于理论功能的指标不够完善、难以量化分析，对部署应用指导力度不够。因此，综合性能、功能等多方面技术和应用要求，形成科学、完善的指标体系是IP溯源技术评估研究的重要课题。

2.2 IP溯源技术评估指标体系

2.2.1基本要求

对于一种应用型技术的评估，仅仅考虑性能、功能远远不够，还需要考虑应用上是否可行，在现实环境中是否可以部署等。特别是是经济性和适应性往往都是用户重点考虑的因素，因此，评估指标体系应大体涵盖功能、性能、经济、适应性等方面的内容，才能对某种溯源技术做出较为科学、全面的评价。

2.2.2基本内容

通过对IP溯源技术功能、性能、经济性、适应性深入研究，本文提出利用以下11项指标构建IP溯源评估技术指标体系。

(1)部署难度。部署难度是指IP溯源技术在网络中实际部署的难度。有效部署溯源技术如果难度过大或部署成本高于网络攻击带来的成本，其部署从经济的角度上讲意义就不是很大了[1]。比较理想的方式是溯源技术支持渐进式部署，整个网络的部署进程未完成之前在已部署区域也可实现有效溯源。例如，魏军等人[2]提出的路由器矢量边采样追踪技术理论上及在小规模实验中就可以实现渐进式部署。在溯源技术迫切需要得到部署应用的形势下，部署难度可以说是评估中需要参考的首要指标。

(2)兼容性。兼容性是指IP溯源技术与现有网络环境是否兼容。与现有网络环境兼容更便于实际应用。例如概率包标记溯源法需要增加路由器功能、改变IP分组的格式，就与现有网络难以兼容。但需注意的是，与现有网络兼容的技术未必就是更容易部署的技术，如Ipsec 鉴别法（Ipsec Authentication）[3]，它基于现有的IP 安全协议，但因为其原理要求递归地执行溯源，所以无法渐进式、跳跃式部署。

(3)可扩展性。随着网络技术的迅速发展，网络范围的不断扩大，Ipv6的逐步应用，NGN时代的逐步到来，溯源技术需有良好的可扩展性，才具备广泛应用的价值。这包括能够支持新的协议、能够用于新的系统平台等等。

(4)自身安全性。溯源技术本就是为了追溯攻击者而诞生，其自身的安全性十分重要。一旦溯源过程本身被攻击者攻破或控制，溯源就无法成功。虽然安全机制无法抵抗所有攻击，但良好的安全机制可以使溯源变得更加可信。

(5)稳定性。IP溯源技术真正投入应用时必然表现为一个系统形式，溯源系统的稳定性关系着能否有效执行溯源。若溯源系统稳定性差，在负载过重或其他意外情况发生时容易导致崩溃，溯源行为就会失效，给用户带来损失。

(6)资源消耗。资源消耗关系着溯源技术自身的经济性，资源消耗越少IP溯源技术就越经济。主要包括网络开销、路由开销、管理和协作开销等。如日志记录溯源法对路由器的存储开销很大，对网络的开销相对较小；包标记溯源法需要一定网络开销，增加了一部分网络负担，却不需要路由器存储数据；部分需要递归执行的溯源技术对网络、路由器的开销都较小，却需要不同ISP之间的协作，且需要进行实时监督管理，管理协作费用较大。一种溯源技术的资源消耗量还与溯源范围、网络结构复杂度、攻击者攻击手段相关，无法简单地进行统计，而要经过分析实验得到。

(7)溯源准确率。主要包括误报率和漏报率，误报率是指非攻击节点被误认为攻击节点的比率，漏报率指攻击节点被认为是非攻击节点的比率。溯源准确率与路径重构类溯源技术的算法优劣相关，也与攻击者对溯源系统的攻击相关。溯源准确率是一个量化评估指标，准确率的得出不仅需要理论分析，还需要进行不同网络状态、不同安全状态下的多次试验来测试。

(8)溯源时长。溯源时长是指从溯源请求发出后，完成一次溯源的时长。溯源时长越短证明溯源技术的效率越高，时间成本越低。

(9)计算复杂度。计算复杂度指完成溯源的计算量以及算法本身复杂度。复杂度越低越好，但复杂度与网络结构、攻击距离、负载等密切相关。实际应用中，计算复杂度、溯源准确率、溯源时长、资源消耗等几个方面往往彼此制衡，需要综合考虑，选择折衷办法。

(10)能否应对分布式拒绝服务攻击。分布式拒绝服务（DDoS）攻击已成为近年来危害最大的攻击方式，能够对DDoS攻击进行溯源成为评价溯源技术实际应用价值的一个重要指标。这要求溯源技术能够同时对多个目标进行追踪，这可能产生极大的计算量和网络负载，尤其在真实的网络环境中，异常复杂的网络结构中是对溯源技术的一项挑战。

(11)是否支持事后追踪。有些网络攻击并不是一直持续的，网络内容和行为也并非是连续性的，对这些进行追踪，要求溯源技术可以在事后进行追踪。如日志记录溯源法和通知溯源法，都支持事后追踪，但逐跳追踪溯源法的递归原理，必须在攻击持续进行时才能溯源，一旦攻击停止，溯源过程只能被迫停止，溯源就会失败。

以上指标中，部署难度、兼容性、可扩展性是适应性指标；自身安全性、稳定性、资源消耗是经济性指标；溯源准确率、溯源时长、计算复杂度是性能指标；能否应对分布式拒绝服务攻击、能否事后追踪是功能指标，综合衡量四大类指标，才能对某一溯源技术手段做出较全面、科学的评估。

需要特别指出的是，实际应用中，有些指标可能会相互制衡、此消彼长，应根据实际情况进行必要取舍或确定不同权重，如部署难度往往都是必要指标，而设计小区域的溯源方案时，一般则不需考虑抵御DDoS攻击等。

3、评估指标体系在部署中的应用

溯源系统的设计、部署方案对系统性能、功能、经济性、适应性产生直接影响，溯源技术的评估指标体系应用于溯源技术部署中，不仅体现在对特定环境的技术选择上，而且渗透于部署过程的方方面面。

(1)整体策略制定：根据现有互联网大环境、互联网发展的总体规划、未来发展趋势来制定溯源技术的整体策略。应考虑部署难度、兼容性和可扩展性，包括与现有环境是否兼容，能否扩展到下一代网络，以及技术更新后向下兼容等问题。整体策略应本着区域之间技术可对接、减少未来重部署的原则制定。

(2)具体技术选择：按照评估指标体系，根据特定条件特定环境、特定功能需求进行选择。

(3)区域部署方案设计：包括部署范围、部署节点、如何部署、成本控制、系统整体性等，因此应充分考虑性能、经济与适应性方面的指标。

(4)系统设计与实现：包括IP溯源系统具体构成、系统如何配置、各个硬件软件的功能、将提供什么服务等等，也要不断用评估指标进行评估与改进。

部署问题是现阶段溯源技术研究最为重要、也是最为困难的一环，涉及问题广泛。仔细地进行调研，科学选择指标，平衡相互制约的因素，精心设计部署方案，严谨地逐步实验并不断改进，是实现部署必经的过程。

4、结语

IP溯源技术的评估与部署是技术应用的关键问题，特别是下一代网络（NGN）的到来，将更加推动溯源技术的发展、溯源技术与其他技术的联合，IP溯源技术的评估指标体系也将进一步改进和完善。

参考文献

[1]陈周国,祝世雄.计算机网络追踪溯源技术现状及其评估初探[J].信息安全与通信保密,2009(08):179-182.

[2]魏军,连一峰,戴英侠等.一种基于路由器矢量边采样的追踪技术[J].软件学报,2007(11):2830-2840.

[3]Chang H Y. On Real-time Intrusion Detection and Source Identification[D].Raleigh: North Carolina State University,2000.

作者简介:

林白露（1988-），女，硕士生，研究方向为信息安全。

杨百龙（1968-），男，博士生导师，研究方向为信息安全。

武鹏辉（1980-），男，博士生，研究方向为信息安全。

毛晶（1983-），女，博士生，研究方向为信息安全。