◆谭慧婷 唐朝京



移动目标防御中动态网络技术现状、性能和发展方向探讨

◆谭慧婷 唐朝京

（国防科学技术大学电子科学与工程学院 湖南 410073）

近年来，互联网技术得到了全面普及，但各种网络攻击也层出不穷。尽管我们已经提出了许多技术来抵御网络攻击，各类网络安全事件仍有发生。传统网络防御技术已难以满足网络安全要求，移动目标防御应运而生。该技术通过构建持续变化、不确定的网络与系统，，增加攻击者的攻击难度及代价，扭转防御者的被动地位。本文对移动目标防御技术的基本原理和发展现状进行了概括，尤其是对网络层面的动态网络相关技术进行了深入的探讨，以期对移动目标防御技术的发展提供参考建议。

移动目标防御；网络层；技术现状；发展方向

0 引言

目前互联网已经演化为现代社会的重要基础设施，互联网安全受到了各国的高度重视。然而近年来频繁出现的网络重大安全事件反复表明，即使我们已经实行了一系列的技术如信息加密、网络防火墙、入侵防护(IPS)及蜜罐技术等来抵御网络攻击，互联网安全始终面临着严峻的威胁。一些研究表明，互联网安全的最大问题在于整体态势的易攻难守。由于网络系统的确定性、静态性和同构性[1]，攻击者相对于防御者有明显的不对称优势。网络的确定性和静态性使攻击者具备时间优势和信息不对称优势，同构性使攻击者具备成本优势，这些优势导致防御者在攻防对抗中处于被动的劣势地位，而这种被动劣势无法依靠现有的防御方法来弥补。

1 移动目标防御概述

1.1移动目标防御的提出

为改变这种“易守难攻”的游戏规则，美国国防部提出了移动目标防御（Moving Target Defense, MTD）技术[2]。移动目标防御技术是一种变革性的网络安全技术，该技术能有效扭转传统网络被动防御、疲于应付的窘境，变被动为主动。它的目标不再是搭建一个没有漏洞的系统，而是通过有效降低这些网络与系统的确定性、相似性、静态性，增加其随机性来构建持续变化、不相似、不确定的网络与系统，增加攻击者的攻击难度及代价，有效限制脆弱性的暴露及被攻击的机会，降低攻击成功率。换言之，移动目标防御将网络防御战由阵地战、保卫战改成了移动战、游击战，不给攻击者进行观察，分析的时间，更不容许反复攻击，大大提高了攻击难度和攻击代价。移动目标防御的思想一经提出，就得到了学术界和企业界的热切关注，并涌现出了一系列的研究成果。

1.2移动目标防御的发展现状

需要强调的是，移动目标防御不是某一种具体的防御方法，而是一种设计指导思想。这一思想可应用到被保护系统的各个属性上，从而衍生出多种具体的防御机制。目前的移动目标防御技术根据具体变换对象的不同可以划分为动态运行时环境技术、动态软件技术、动态数据技术、动态平台技术以及动态网络技术等五种类型[3]。

其中，动态网络技术支持网络配置（如IP地址、端口号）的动态和随机化变化，并能对抗扫描蠕虫、侦查、网络指纹识别等攻击，是目前移动目标防御中研究最为广泛和深入的技术。下文将对这一技术进行重点介绍与分析。各层的主要技术要点如图1所示。

2 动态网络相关技术详述

2.1 动态网络相关技术的分析与比较

动态网络技术主要通过随机网络地址跳变来实现，随机地址跳变频繁地为网络主机重新分配随机化虚拟IP地址，这个虚拟地址将被用于路由并独立于实际的IP地址。在IP地址随机化技术研究中，先后涌现了DyNAT、APOD、NASR、RHM 及OF-RHM等研究成果[4]。Kewley等人在2001 年提出了动态网络地址转换(DyNAT)，该方法通过IP 地址转换避免中间人攻击，能有效增加攻击者窃取信息并发起攻击的难度，但是对用户不透明。Atighetchim等人在2003 年提出了基于地址和端口随机(APOD) 的技术，该技术基于地址和端口随机化的跳变隧道伪装目标主机，以区分合法用户和嗅探器。APOD随机化了IP 地址和端口地址。但这一方法也不是透明的，它要求服务器和用户端必须知晓双方信息并且合作才能完成整个过程。Antonatos等人在2007 年提出了网络地址空间随机化(NASR ) 技术，该技术基于DHCP 更新进行网络地址随机化，其目的是为了防范hitlist worms 威胁。

图1 移动目标防御各层技术要点

上述三种IP地址随机化技术均需要改变终端主机的配置，代价较大，配置复杂。为了解决这个问题，EhabAlShaer等人在2011 年提出了随机主机突变(RHM) 技术。该技术通过给一个主机分配多个虚拟地址( vIP) ，并且在运行中不断高速改变虚拟地址，使得入侵者无法实时获取运行时的地址，从而阻止入侵。由于该技术无法在传统网络中部署，Ehab Al Shaer等人进一步提出了结合了SDN的 OF-RHM技术。它能够以更小的开销和更加灵活的方式管理地址随机化功能。

2.2 现有动态网络技术的不足

（1）固定变换间隔易被攻击

当前动态网络技术中的跳变时隙大多是固定的，这样会造成有规律可循，使得攻击者更容易掌握和了解跳变规律，破坏网络的安全性。

（2）基于SDN的技术与实际网络难以结合

现有的基于SDN的主机移动方案的重点都放在了论证主机移动的可行性上，从不同的角度和思路提出了种种移动实现方案。但是设计的应用场景过于特定，通信的模型也过于简单，基于SDN的仿真设计考虑不全面，难以适应实际网络的需求。

（3）单维变换，变换范围不够大

目前提出的MTD网络层移动方案基本上都是单一维度的移动，几乎没有方案能够实现混合移动，无法充分增强系统的不确定性与安全性。

（4）测试工具性能不佳

由于网络本身的动态性以及各路由器配置策略的多样性，在实时性和准确性方面都跟真实的拓扑存在着不小的差距。因此我们需要跟踪MTD动态网络技术中移动的网络的逻辑拓扑结构，而拓扑测量就能达到这个目的，它研究如何通过测量的方式获取到目标网络的拓扑结构。目前的IP级拓扑测量所用的工具都是基于traceroute原理的，而受自身测量原理的限制，traceroute获取的IP级拓扑在完整性和准确性方面都存在局限性，会导致实验的测试与验证效果不佳。

3 抗网络攻击性能分析

3.1 抗DoS攻击性能

DoS是一种严重的网络安全威胁，其攻击原理非常简单，即通过密集、巨量的应用请求，耗尽被攻击方的各种资源。目前的DoS防御方法都是静态的，并不能应对复杂的入侵，如自适应泛洪入侵。MTD中的动态网络引入了地址跳变与端口跳变，从理论上可以降低拒绝服务攻击成功的概率。

由上式可知动态网络技术增加了攻击者的时间代价，降低了攻击成功的概率。

3.2 抗内部威胁攻击性能

在基于SDN的动态网络技术中，由于SDN的逻辑集中控制和控制与转发分离的特性，即使攻击者处于与服务端同样的内部网络之中，其在访问目标服务端时，同样也要经过SDN 控制器的检查与过滤。因此SDN控制器充当了DoS攻击过滤网关，可以有效抵御来自内部的安全威胁。

4 动态网络技术的发展方向

4.1随机变换间隔

针对固定变换间隔容易被掌握规律的问题，可以将变换间隔设为均值为固定跳变时隙τ的泊松分布，将不可预测性最大化。

4.2 基于SDN 的动态网络技术与实际网络的结合

下一步基于SDN的系统模型设计，应该尽量还原真实的网络环境，充分分析网络动态化产生的通信代价、以及各因素对此代价造成的影响，对代价、效能等参数进行综合选择优化，提出高效、稳健的方案，使之能够适用于实际环境下大规模的网络部署。

4.3动态网络技术与其他层次移动目标防御技术的结合

MTD网络设计方案中多是单一维度的移动，而从应用前景上来说，多维移动可以实现更大的网络架构移动范围、更好的不可预测性以及更高的安全性。因此，我们需要研究混合移动在理论和实践上的可行性，并进一步分析其效能和代价，研究出提升效能并且减小代价的运行机制。

4.4提升动态网络技术测试工具性能

MTD的实际移动状态可能和设计预期的移动状态不匹配，在方案的设计、论证过程中需要对设计网络的实际运行状态进行实时的跟踪、测试和分析。因此我们需要完善现有的拓扑测量工具或者提出更好的拓扑测量办法，实现跟踪MTD动态网络技术中移动网络的逻辑拓扑结构的目的，并测试监控动态网络技术的执行情况。

5 结束语

互联网已经成为社会不可或缺的重要一环，但是近年来互联网陆续出现的重大安全事件说明目前的网络防御技术还不能满足构建安全有效的网络的要求。移动目标防御作为一种新型网络系统防御方法，能够从根本上改变网络系统易攻难守的境况，有效提升网络系统抗攻击的能力，具有很大的研究前景。本文总结了目前移动目标防御一些关键技术与应用，尤其是动态网络层面。但这些技术仍然处于理论设计与论证阶段，原理模型简单，与现实传统网络结合还远难实现。我们仍然需要不断完善发展移动目标防御原理及相关技术，不断提升网络系统的安全性能，让互联网更安全更可靠更高效。

[1]Jajodia S, Ghosh A K, Swarup V. Moving Target Defense: Creating Asymmetric Uncertainty for Cyber Threats[J]. Springer Ebooks， 2011.

[2]White House. Cyberspace policy review: Assuring a trusted and resilient information and communicate on infrastructure， 2014.

[3]蔡桂林，王宝生，王天佐.移动目标防御技术研究进展[J].计算机研究与发展，2016.

[4]唐秀存，许强，史大伟.移动目标防御(MTD)关键技术研究[J].微型机与应用，2016.

[5]唐秀存，张连成，孔亚洲等.基于透明同步与随机时隙的SDN地址端口跳变方案[J].计算机应用研究，2016.