CN103414729A - 一种路由攻击的检测***和方法 - Google Patents

Abstract

本发明提供一种路由攻击的检测***，包括多台路由信息采集探针和连接所有路由信息采集探针的路由攻击检测设备；所述路由信息采集探针用于采集域内路由信息和/或域间路由信息，并将域内路由信息和/或域间路由信息发送给所述路由攻击检测设备；所述路由攻击检测设备用于接收所述域内路由信息和/或域间路由信息，根据所述域内路由信息和/或域间路由信息统计一个周期内的新增的可达性网段数量，判断此数量是否超过了一定的阈值，并据此判断是否发生了无效路由注入攻击。本发明还提供了相应的路由攻击检测方法。本发明能够很好地防御无效路由注入攻击这种潜在的路由攻击，且不会对所检测网络的正常路由路径造成影响。

Description

一种路由攻击的检测***和方法

技术领域

本发明涉及网络安全技术领域，具体地说，本发明涉及一种路由攻击的检测***和方法。

背景技术

路由***是Internet的基础设施和关键支撑。随着网络的广泛部署和应用以及网络结构的日趋庞杂，路由攻击事件大量涌现。比如由于域间路由协议BGP无法对自己传递的路由信息提供保护，它必须信任Internet上的所有边界路由器，而黑客可以利用这种信任对路由***发起前缀劫持攻击（前缀劫持通常指在路由器上配置了虚假的路由信息，影响网络中流量的转发方向），目前已发现多起各种类型的前缀劫持攻击事件。

近年来，针对控制层路由的攻击方法逐渐被提出，比如“数字大炮”，网络路由的安全问题日益凸显。数字大炮的攻击对象是运行BGP协议的路由器，工作原理是通过对路由器数据层面攻击影响路由器控制层面的信息交互，造成BGP邻居的路由信息频繁抖动，最终导致路由器的CPU、内存等资源耗尽，控制层面崩溃。

可以看出，路由安全问题是当前网络安全领域的一大难点。目前，研究者对网路路由安全问题的关注点多集中于如何防范各种已知的攻击，然而，由于当前互联网运行的路由协议OSPF和IS-IS缺乏安全性机制，路由***中还存在大量未知的安全漏洞，黑客如果利用这些未知安全漏洞发起攻击，目前已有的路由攻击防御***将难以防范。

发明内容

本发明的任务是克服现有技术的缺陷，提出一种路由安全问题的解决方案。

为实现上述发明目的，本发明提供了一种路由攻击的检测***，包括多台路由信息采集探针和连接所有路由信息采集探针的路由攻击检测设备；

所述路由信息采集探针用于采集域内路由信息和/或域间路由信息，并将域内路由信息和/或域间路由信息发送给所述路由攻击检测设备；

所述路由攻击检测设备用于接收所述域内路由信息和/或域间路由信息，根据所述域内路由信息和/或域间路由信息统计一个周期内的新增的可达性网段数量，判断此数量是否超过了预先设定的阈值，并据此判断是否发生了无效路由注入攻击。

其中，所述路由信息采集探针分布式地接入所要检测的网络的各个自治域。

其中，所要检测的网络中的每个自治域各自部署至少一台路由信息采集探针，每台路由信息采集探针分别和所在自治域中每一个区域的一台路由器建立OSPF/IS-IS邻接关系，同时和所在自治域中的一台边界路由器建立BGP邻接关系。

其中，所述路由信息采集探针不向网络中发布路由信息。

本发明还提供了一种基于上述路由攻击的检测***的路由攻击检测方法，包括下列步骤：

1）利用路由信息采集探针实时采集所要检测的网络中一定周期时间内的新增的可达性网段数目；

2）根据预先设定的单位时间内新增的可达性网段数目的阈值，判断是否发生无效路由注入攻击。

其中，所述步骤1）中，采集所要检测的网络中一定周期时间内的域内路由消息中的新增的可达性网段数目；

所述步骤2）中，根据预先设定的单位时间内的域内路由消息中的新增的可达性网段数目的阈值，判断是否发生无效路由注入攻击。

其中，所述步骤1）中，仅采集所要检测的网络中一定周期时间内的域间路由消息中的新增的可达性网段数目；

所述步骤2）中，根据预先设定的单位时间内的域间路由消息中的新增的可达性网段数目的阈值，判断是否发生无效路由注入攻击。

其中，所述步骤1）中，采集所要检测的网络中一定周期时间内的域内路由消息中的新增的可达性网段数目，并且采集所要检测的网络中一定周期时间内的域间路由消息中的新增的可达性网段数目；

所述步骤2）中，如果所采集的域内路由消息中的新增的可达性网段数目超过预先设定的单位时间内的域内路由消息中新增的可达性网段数目的阈值，或者所采集的域外路由消息中的新增的可达性网段数目超过预先设定的单位时间内的域外路由消息中新增的可达性网段数目的阈值，判断发生无效路由注入攻击。

与现有技术相比，本发明具有下列技术效果：

1、本发明能够很好地防御无效路由注入攻击这种潜在的路由攻击。

2、本发明的检测***不会对所检测网络的正常路由路径造成影响。

3、本发明能够实时检测，从而最大程度地减小网络攻击所造成的损失。

附图说明

图1示出了本发明一个实施例的路由攻击的检测***的结构示意图；

图2示出了本发明一个实施例的路由攻击的检测方法的流程图。

具体实施方式

发明人在路由安全领域进行了深入研究，发现了一种潜在的无效路由注入攻击方式，并提出了相应的解决方案。

为方便理解，下面首先分析无效路由注入攻击的机制。

常用的链接状态路由协议有OSPF协议和IS-IS协议，这两个协议的共性特征是路由器之间会建立邻接关系，并且都持有一张反映整个网络结构的拓扑表，这就为网络结构的发现提供了一种新的途径。该类型的协议通过洪泛的方式保证其它路由器能够接收到网络的变化信息，收到变更信息的路由器便会刷新数据库，然后重新计算路由。任何两台建立了邻接关系的路由器彼此之间都会同步拓扑数据库。

针对上述特性，如果黑客借助于DDoS的思想，在网络中分布式地附加多个受控的软件路由器，通过与正常路由器建立OSPF/IS-IS邻接关系，瞬时宣告大量无效或虚假的路由信息，能够瞬时在网络中产生大量无效路由的洪泛，对全网路由器（包括边界的高性能路由器）造成严重影响。所注入的大量无效或虚假的路由信息将在网络中的路由器之间传播，最终导致路由器的CPU、内存等资源被不断更新的路由计算耗尽，路由器的控制层面崩溃，从而使数据层面无法转发数据，网络瘫痪。其中，无效路由信息是指注入网络中的网段地址在网络中不存在。虚假路由信息是指注入网络中的网段地址在实际网络中存在，改变了网络中对该注入网段的路由转发方向。为方便描述，下文中统称为无效路由。

具体地，实施无效路由注入方式的网络路由攻击需要生成大量的静态路由作为无效路由。静态路由的生成可以根据数据层的探测，比如traceroute，ping等获取网络中的网段地址，生成大量的静态路由，也可以通过随机的方式生成大量的静态路由，以此作为无效路由。无效路由的注入方式根据网络中路由器之间运行的协议而定，如果攻击者路由器通过和网络中运行OSPF协议的路由器建立邻接关系，可以把生成的静态路由重分发到OSPF之中从而影响局部路由器，进而通过协议的洪泛机制影响到网络中的其它路由器；如果攻击者路由器和运行IS-IS协议的路由器建立邻接关系，攻击者路由器可以把无效路由条目直接注入到IS-IS中，同样可影响到网络中的路由器。

在注入大量无效路由后，根据协议的规定，网络中的路由器需要交换可达性信息，从而可以达到同步状态，使路由表一致、可信。在交换可达性信息时，需要接收路由器缺少的信息，如果无效路由数量很大，以至于路由器的内存不能承载如此多的路由信息，则会造成内存的耗尽，由于此时内存耗尽，路由器可能需要重新计算路由表等信息，从而也会加重CPU的负担，使CPU处于长期的运行状态，导致CPU资源的消耗。不同的协议中，交换可达性信息的实现机制会有一定区别，例如OSPF协议在交换缺少的信息之前，还需要交换路由信息报文头信息，这会进一步消耗路由器的内存等资源，因此无效路由注入攻击对支持OSPF协议的路由器将构成更为严重的威胁。

无效路由注入方式的攻击利用的是协议本身的漏洞，通过注入大量的无效路由造成网络中路由器路由信息的混乱，甚至可能造成网络中路由器的崩溃，而且由于各种路由器配置命令的差异，选择的攻击点不同，网络受影响的范围也各有差异，如果仅仅通过查看路由表等信息很难判断是否发生了此种类型的攻击。

依照本发明的实施例，参考图1，提供了一种能够检测上述无效路由注入攻击的检测***，包括路由信息采集探针和路由攻击检测设备。路由信息采集探针是一种特殊的路由器，它分布式地接入所要检测的网络的各个自治域，在网络中每一个自治域部署一台路由信息采集探针，分别和该自治域中每一个区域中的一台路由器建立OSPF/IS-IS邻接关系采集域内路由信息。路由信息采集探针采集的路由信息发送至路由攻击检测设备。路由攻击检测设备用于接收路由信息探针采集的域内路由信息，对路由信息进行分析并统计一个周期内的路由信息中的可达性网段数量，判断此数量是否超过了一定的阈值，并据此判断是否发生了无效路由注入类型的攻击。其中，可达性网段是指两个相邻路由器之间同步数据库时所传递的新加入的网段，网段包括网络地址块和子网掩码。网络地址块通常是网络地址段，但特殊情况下，网络地址块可能由一个单独的网络地址构成。

根据本发明的一个实施例，路由信息采集探针使用自动式被动监听的隐身技术实时采集域内路由信息，并不向网络中发布路由信息。采集探针通过维护链路状态数据库能够获取当前网络的所有拓扑信息，掌握当前域内网络实时变化情况，为路由攻击检测提供信息查询和辅助检测，同时将对网络的影响减到最小。

下面以最短路由优先协议（OSPF）为例介绍路由信息采集探针用于域内路由信息被动式实时采集的实现方式。

OSPF协议中，每个路由器都持有一张反映整个网络结构的拓扑表，任何两台建立了OSPF邻接关系的路由器彼此之间都会同步拓扑数据库。OSPF协议通过洪泛的方式保证各路由器能够接收到路由变更信息，收到路由变更信息的路由器将会刷新拓扑数据库，然后重新计算路由，由于这种变更通知是增量式的，因此占用的带宽较小，响应时间较快，性能也较高。

根据本发明的一个实施例，作为路由信息采集探针的虚拟路由器通过运行链路状态协议，与实际网络中路由器建立邻接关系，从而实时获取路由域内的拓扑信息。自治域内的OSPF路由器各自维持一个描述拓扑信息的数据库，该数据库被称为链路状态数据库。在探测前，作为路由信息采集探针的虚拟路由器首先进行初始化，即获取路由域内所有拓扑信息，并与路由域内所有路由器建立邻接关系，形成完整的链路状态数据库。初始化完成后，当网络没有波动时，虚拟路由器与邻接路由器之间除定时发送必要的Hello数据包之外不会有其它信息交互。当网络拓扑结构出现变化，路径上承载的路由自然随之变化，基于链路状态协议，实际网络中的路由器会立即通过路由消息通知路由信息采集探针相应变化。具体地，当网络拓扑结构出现变化时，实际网络中的路由器向邻接的路由信息采集探针发送路由消息。路由消息指：路由协议中承载路由信息的报文。例如OSPF协议中的LSU报文，IS-IS协议中的LSP报文，BGP协议中的Update报文。路由消息中携带可达性网段信息。OSPF协议中，可达性网段可在LSU报文中的forwarding address字段提取。IS-IS协议中，可达性网段可在LS报文的TLV字段提取。BGP协议中，可达性网段可在Update报文的Network layer reachability information字段提取。每个路由消息中可能含有多个可达性网段，这是本领域技术人员易于理解的。

另一方面，为防止虚拟路由器对网络中其它路由器路径造成影响，在本发明的另一个实施例中，将路由信息采集探针到邻接路由器链路的代价配置最高，这样当数据需要发送时不会选择这条路径。针对OSPF故有的特性，利用建立邻居关系时达到的半邻接关系，使得路由信息采集器与邻接路由器的链路不被LSA洪泛出去，这样网络中其它的路由器自然也就不知道网络中存在该链路，从而无法将数据传输到该路径上，实现路由信息采集探针的隐身，从而防止作为信息采集探针的虚拟路由器对网络中其它路由器路径造成影响。

在本发明的再一个实施例，路由信息采集探针采用被动监听的隐身技术实时采集域间路由信息，且不向网络中发布路由更新信息。采集探针采用iBGP的方式实现对域间路由信息的被动式实时采集，掌握当前域间网络实时变化情况，为路由攻击检测提供信息查询和辅助检测，同时将对网络的影响减到最小。

BGP是当前Internet上唯一使用的域间路由协议，使用TCP作为它的传输协议，保证了所有传输的可靠性都是由TCP来实现而无须在BGP中实现。为节省带宽和处理资源，BGP在交换路由时使用了“递增式”机制，这种机制是：只有在BGP对等体建立时才交换完整的路由信息，在连接完全建立后，只有在路由发生变化时，才会由相应的路由器通过UPDATE报文向所有对等体通告有关的路由更新信息。另外，BGP-4引进了路由聚合的概念，通过聚合IP前缀压缩了路由表的大小，同时可向其它自治域公布大量的路由。BGP-4支持无类域间路由，它把一组相关网络的信息表示为一条路由信息。

在路由信息采集探针中，通过运行BGP协议使虚拟路由器与实际网络中的一台边界路由器建立BGP邻接关系，确保路由信息采集探针能够实时获取实际网络中的路由器的更新信息。当虚拟路由器获取了实际网络中的路由器的所有更新信息后，与邻接路由器建立了完全邻接关系，初始化过程结束。当网络没有波动，虚拟路由器和自治***边界路由器之间除定时发送必要的Keepalive包之外不会交互其它信息，然而当网络拓扑结构发生变化，网络中承载的路由随之变化，基于BGP协议，邻接路由器会立即通知路由信息采集探针相应变化的信息。

在其它实施例中，路由信息采集探针还可以同时实时采集域内和域间路由信息，且不向网络中发布路由信息，这是本领域技术人员易于理解的。

依照本发明的实施例，还提供了基于上述实施例所提供的检测***的无效路由注入攻击检测方法，它采用特定时间段内的路由信息数量警戒线机制对此种类型的攻击进行检测告警，参考图2，具体包括下列步骤：

步骤101：利用路由信息采集探针实时采集实际网络中一定周期时间T内的新增的可达性网段数目。路由信息采集探针使用自动式被动监听的隐身技术实时采集域内路由信息，并不向网络中发布路由信息。采集探针通过维护链路状态数据库能够获取当前网络的所有拓扑信息，掌握当前域内网络实时变化情况，为路由攻击检测提供信息查询和辅助检测，同时将对网络的影响减到最小。当网络拓扑结构出现变化时，实际网络中的路由器向邻接的路由信息采集探针发送路由消息，路由消息中可以提取出新增的可达性网段。所以，路由信息采集探针监听实际网络，可以统计出一定周期时间T内的新增的可达性网段数目。根据一个实施例，在统计路由消息数目时分别统计域内和域外路由信息中新增的可达性网段数目。

102：根据预先设定的单位时间内新增的可达性网段数目的阈值，判断是否发生无效路由注入攻击，并相应地进行告警。具体地，分别对域内路由消息和域间路由消息设置阈值，如果在时间T内域内路由的新增的可达性网段数目超过了阈值U或者域间路由的新增的可达性网段数目超过了阈值V，则判断检测到了无效路由注入攻击并发出告警信息。其中，时间周期T、阈值U和V的大小可以根据实际的网络情况调整至适宜的大小。

通常来说，正常网络中的可达性网段数目较为稳定，本领域普通技术人员可以根据网络中的各类型协议的工作机制来预估可达性网段数目的理论最大值，并将其作为阈值。当然，本领域普通技术人员也可以利用前述检测***采集正常状况下实际网络的可达性网段数目的均值，然后将阈值设定为可达性网段数目的均值的若干倍数，例如10倍。

根据本发明的另一个实施例，所述步骤101中可以仅统计域内路由信息中新增的可达性网段数目；步骤102中可以仅对域内路由消息设置阈值，在时间T内域内路由的新增的可达性网段数目超过了阈值U，则判断检测到了无效路由注入攻击并发出告警信息。

根据本发明的再一个实施例，所述步骤101中可以仅统计域外路由信息中新增的可达性网段数目；步骤102中可以仅对域外路由消息设置阈值，在时间T内域外路由的新增的可达性网段数目超过了阈值U，则判断检测到了无效路由注入攻击并发出告警信息。

最后应说明的是，以上实施例仅用以描述本发明的技术方案而不是对本技术方法进行限制，本发明在应用上可以延伸为其它的修改、变化、应用和实施例，并且因此认为所有这样的修改、变化、应用、实施例都在本发明的精神和教导范围内。

Claims (8)

1.一种路由攻击的检测***，包括多台路由信息采集探针和连接所有路由信息采集探针的路由攻击检测设备；

所述路由信息采集探针用于采集域内路由信息和/或域间路由信息，并将域内路由信息和/或域间路由信息发送给所述路由攻击检测设备；

所述路由攻击检测设备用于接收所述域内路由信息和/或域间路由信息，根据所述域内路由信息和/或域间路由信息统计一个周期内的新增的可达性网段数量，判断此数量是否超过了预先设定的阈值，并据此判断是否发生了无效路由注入攻击。

2.根据权利要求1所述的路由攻击的检测***，其特征在于，所述路由信息采集探针分布式地接入所要检测的网络的各个自治域。

3.根据权利要求2所述的路由攻击的检测***，其特征在于，所要检测的网络中的每个自治域各自部署至少一台路由信息采集探针，每台路由信息采集探针分别和所在自治域中每一个区域的一台路由器建立OSPF/IS-IS邻接关系，同时和所在自治域中的一台边界路由器建立BGP邻接关系。

4.根据权利要求3所述的路由攻击的检测***，其特征在于，所述路由信息采集探针不向网络中发布路由信息。

5.一种基于权利要求1至4中任意一项所述的路由攻击的检测***的路由攻击检测方法，其特征在于，包括下列步骤：

1）利用路由信息采集探针实时采集所要检测的网络中一定周期时间内的新增的可达性网段数目；

2）根据预先设定的单位时间内新增的可达性网段数目的阈值，判断是否发生无效路由注入攻击。

6.根据权利要求5所述的路由攻击检测方法，其特征在于，所述步骤1）中，采集所要检测的网络中一定周期时间内的域内路由消息中的新增的可达性网段数目；

所述步骤2）中，根据预先设定的单位时间内的域内路由消息中的新增的可达性网段数目的阈值，判断是否发生无效路由注入攻击。

7.根据权利要求5所述的路由攻击检测方法，其特征在于，所述步骤1）中，仅采集所要检测的网络中一定周期时间内的域间路由消息中的新增的可达性网段数目；

所述步骤2）中，根据预先设定的单位时间内的域间路由消息中的新增的可达性网段数目的阈值，判断是否发生无效路由注入攻击。

8.根据权利要求5所述的路由攻击检测方法，其特征在于，所述步骤1）中，采集所要检测的网络中一定周期时间内的域内路由消息中的新增的可达性网段数目，并且采集所要检测的网络中一定周期时间内的域间路由消息中的新增的可达性网段数目；

所述步骤2）中，如果所采集的域内路由消息中的新增的可达性网段数目超过预先设定的单位时间内的域内路由消息中新增的可达性网段数目的阈值，或者所采集的域外路由消息中的新增的可达性网段数目超过预先设定的单位时间内的域外路由消息中新增的可达性网段数目的阈值，判断发生无效路由注入攻击。

Images