端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)研究

石樂(lè)義，郭宏彬，溫曉，李劍藍(lán)，崔玉文，馬猛飛，孫慧

（中國(guó)石油大學(xué)（華東）計(jì)算機(jī)與通信工程學(xué)院，山東 青島 266580）

1 引言

近年來(lái)，隨著互聯(lián)網(wǎng)的普及和發(fā)展，層出不窮的攻擊手段使網(wǎng)絡(luò)安全事件頻發(fā)。防火墻、入侵檢測(cè)技術(shù)等傳統(tǒng)的網(wǎng)絡(luò)防御手段由于靜態(tài)、被動(dòng)的特性，難以有效地應(yīng)對(duì)自動(dòng)的、多樣的網(wǎng)絡(luò)攻擊，因此主動(dòng)網(wǎng)絡(luò)防御技術(shù)日益成為研究熱點(diǎn)。

端信息跳變技術(shù)是一種主動(dòng)網(wǎng)絡(luò)防御技術(shù)，借鑒了軍事跳頻通信對(duì)抗技術(shù)，通過(guò)在端到端的數(shù)據(jù)傳輸中，通信雙方或一方按協(xié)定偽隨機(jī)地改變端口、IP地址、時(shí)隙、協(xié)議等端信息，從而破壞敵方的攻擊和干擾，達(dá)到迷惑攻擊者的目的，實(shí)現(xiàn)主動(dòng)網(wǎng)絡(luò)防護(hù)[1]。

與跳頻通信技術(shù)類似，跳變速率和跳變圖案隱蔽性是影響端信息跳變抗攻擊性能的 2個(gè)重要因素。若跳變速率過(guò)低，系統(tǒng)易受到敵手的拒絕服務(wù)、重放攻擊等；若跳變圖案隱蔽性差，系統(tǒng)面臨截獲分析威脅，從而完全暴露在敵手攻擊面前。然而，端信息跳變技術(shù)是一種基于分組交換的端到端的數(shù)據(jù)傳輸技術(shù)，與基于電路交換模式的點(diǎn)到點(diǎn)的跳頻通信技術(shù)有著很大的不同，主要表現(xiàn)在：1) 分組交換網(wǎng)絡(luò)本質(zhì)是異步的；2) 分組數(shù)據(jù)經(jīng)不同路徑轉(zhuǎn)發(fā)，存在亂序問(wèn)題；3) 分組交換網(wǎng)絡(luò)的網(wǎng)絡(luò)延遲是變化的，并易受到分組轉(zhuǎn)發(fā)、網(wǎng)絡(luò)擁塞等影響，而跳頻通信的網(wǎng)絡(luò)延遲相對(duì)較小且固定。這些因素決定了端信息跳變技術(shù)在同步策略、跳變速率、抗攻擊性能等方面都與跳頻通信有較大差異。目前，嚴(yán)格時(shí)鐘同步、時(shí)間戳同步等經(jīng)典的端信息跳變同步方式的跟蹤式同步機(jī)制最高都只能提供秒級(jí)間隙的低速率跳變，無(wú)法支持亞秒級(jí)、甚至毫秒級(jí)間隙的高速率變化。在此背景下，高速跳變、高隱蔽性成為近年來(lái)端信息跳變技術(shù)在主動(dòng)網(wǎng)絡(luò)防御部署應(yīng)用中亟需解決的難題。

軍事通信中，跳頻系統(tǒng)同樣存在著信號(hào)隱蔽性差、抗多頻干擾、跟蹤式干擾能力有限等局限性，這在通信對(duì)抗應(yīng)用中通過(guò)直接序列擴(kuò)頻技術(shù)予以彌補(bǔ)，形成了高隱蔽性、高抗干擾性的軍事跳擴(kuò)頻混合通信技術(shù)。受跳擴(kuò)頻混合通信技術(shù)的啟發(fā)，本文摒棄傳統(tǒng)的跟蹤式同步機(jī)制，提出了端信息擴(kuò)展的概念，將同步機(jī)制表述為端信息擴(kuò)展認(rèn)證序列的形式，著手通過(guò)認(rèn)證機(jī)制解決端信息高速跳變的同步問(wèn)題。通信雙方通過(guò)擴(kuò)展認(rèn)證序列完成同步認(rèn)證，不需要準(zhǔn)確知曉對(duì)方端信息，從而實(shí)現(xiàn)高隱蔽性要求下的高速跳變同步。進(jìn)一步提出了端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)，理論分析了模型抗攻擊性能，并實(shí)驗(yàn)驗(yàn)證了跳擴(kuò)混合模型高速率跳變下良好的隱蔽性和抗攻擊性能，對(duì)于高隱蔽條件下高強(qiáng)度對(duì)抗要求相關(guān)場(chǎng)景的網(wǎng)絡(luò)部署應(yīng)用，如政府、軍隊(duì)、航天、保密部門(mén)等應(yīng)急保密通信的開(kāi)展具有重要意義。

2 相關(guān)研究

近年來(lái)，國(guó)內(nèi)外學(xué)者在主動(dòng)網(wǎng)絡(luò)防御領(lǐng)域開(kāi)展的相關(guān)研究工作主要包括移動(dòng)目標(biāo)防御技術(shù)、擬態(tài)安全防御技術(shù)及端信息跳變技術(shù)。

移動(dòng)目標(biāo)防御技術(shù)（MTD，moving target defense）[2]是由美國(guó)國(guó)家科學(xué)技術(shù)委員會(huì)于2011年借鑒增加射擊難度的移動(dòng)靶訓(xùn)練而提出的，主要目的是使構(gòu)建、分析、評(píng)價(jià)、部署等策略多樣化和偽隨機(jī)化，從而增加攻擊的成本及復(fù)雜度，降低攻擊成功的概率。在移動(dòng)目標(biāo)防御技術(shù)研究方面，文獻(xiàn)[3]將移動(dòng)目標(biāo)防御技術(shù)應(yīng)用到電網(wǎng)中，以阻止對(duì)電網(wǎng)狀態(tài)估計(jì)的隱形虛假數(shù)據(jù)注入攻擊；文獻(xiàn)[4]提出了一種移動(dòng)目標(biāo)防御模型來(lái)緩解 DDoS（distributed denial of service）攻擊，并從理論和仿真兩方面驗(yàn)證了該模型的可行性；文獻(xiàn)[5]中介紹了 μMT6D（micro- moving target IPv6 defense）的設(shè)計(jì)和優(yōu)化，將移動(dòng)目標(biāo)防御技術(shù)應(yīng)用到新型物聯(lián)網(wǎng)中來(lái)限制攻擊時(shí)間。

擬態(tài)安全防御（MSD, mimic security defense）技術(shù)由鄔江興院士于 2014年借鑒擬態(tài)章魚(yú)通過(guò)形態(tài)多變保護(hù)自身的方式而提出，主要思想是除目標(biāo)對(duì)象的服務(wù)功能和性能不能被隱匿之外，系統(tǒng)的硬件、軟件等均可以通過(guò)動(dòng)態(tài)變化的方式進(jìn)行擬態(tài)偽裝，由此實(shí)現(xiàn)系統(tǒng)對(duì)于防御者可控而對(duì)于攻擊者未知的狀態(tài)，進(jìn)而達(dá)到保護(hù)系統(tǒng)免受攻擊的主動(dòng)網(wǎng)絡(luò)防御目的。文獻(xiàn)[6-7]對(duì)擬態(tài)防御技術(shù)的基礎(chǔ)理論進(jìn)行闡述，給出了擬態(tài)防御框架，從理論上說(shuō)明了擬態(tài)防御機(jī)制的有效性。文獻(xiàn)[8]構(gòu)建了擬態(tài)防御Web服務(wù)器，從實(shí)踐驗(yàn)證了擬態(tài)防御的有效性和可行性。

端信息跳變技術(shù)則由石樂(lè)義等[1]于 2008年提出，借鑒了軍事跳頻通信對(duì)抗技術(shù)，在端到端的數(shù)據(jù)傳輸中，通信雙方或一方按照協(xié)定偽隨機(jī)地改變端口、IP地址、時(shí)隙、協(xié)議等端信息，實(shí)現(xiàn)主動(dòng)網(wǎng)絡(luò)防御。近年來(lái)，端信息跳變技術(shù)受到關(guān)注并與P2P（peer to peer）、SDN（software defined network）、IPv6等相結(jié)合得到了部署應(yīng)用[9-11]。

綜上所述，移動(dòng)目標(biāo)防御技術(shù)的思想源于移動(dòng)靶射擊訓(xùn)練來(lái)增加射擊難度，擬態(tài)安全防御技術(shù)受啟發(fā)于擬態(tài)章魚(yú)的形態(tài)變化以躲避天敵捕殺，而端信息跳變技術(shù)則借鑒軍事跳頻技術(shù)從而實(shí)現(xiàn)通信對(duì)抗。盡管思想來(lái)源不同，但移動(dòng)目標(biāo)防御技術(shù)、擬態(tài)安全防御技術(shù)和端信息跳變技術(shù)都通過(guò)主動(dòng)改變自身參數(shù)來(lái)迷惑敵手，因此都屬于主動(dòng)網(wǎng)絡(luò)防御技術(shù)。從攻擊面動(dòng)態(tài)轉(zhuǎn)移層面分析[12]，端信息跳變技術(shù)關(guān)注如端口、IP地址、協(xié)議等相關(guān)參數(shù)的偽隨機(jī)變化，而移動(dòng)目標(biāo)防御技術(shù)和擬態(tài)安全防御技術(shù)則關(guān)注包括芯片、指令、代碼、主機(jī)、網(wǎng)絡(luò)和協(xié)議在內(nèi)的軟件、硬件、網(wǎng)絡(luò)、平臺(tái)等方面，因此，端信息跳變技術(shù)可以視為移動(dòng)目標(biāo)防御技術(shù)和擬態(tài)安全防御技術(shù)的網(wǎng)絡(luò)場(chǎng)景特例。

端信息跳變研究方面，文獻(xiàn)[13-15]提出了一種適用于端信息跳變技術(shù)的分布式時(shí)間戳同步策略，利用輕量級(jí)的時(shí)間戳計(jì)算出當(dāng)前端信息，在解決了時(shí)間漂移和網(wǎng)絡(luò)擁塞問(wèn)題的同時(shí)也解決了邊界丟失問(wèn)題；隨后又進(jìn)一步給出了一種基于消息篡改的端信息跳變技術(shù)框架，建立了包括用戶層跳變、內(nèi)核層跳變、網(wǎng)絡(luò)層跳變等端信息跳變棧模型，并通過(guò)網(wǎng)絡(luò)原始套接字對(duì)消息分組的修改而實(shí)現(xiàn)偽隨機(jī)變化。Luo等[16-17]則利用偽隨機(jī)端址跳變技術(shù)抵御內(nèi)外部攻擊，提出了一種基于加密散列的端址自同步策略，將HMAC（hashed message authentication code）算法生成的消息認(rèn)證碼用作端口地址編碼和解碼的同步信息，降低了網(wǎng)絡(luò)時(shí)延影響。文獻(xiàn)[10,18]將SDN技術(shù)應(yīng)用到端信息跳變中，通過(guò)同時(shí)改變通信雙方的端信息和路由路徑來(lái)混淆攻擊者，保證了較小的通信時(shí)延開(kāi)銷與計(jì)算開(kāi)銷。文獻(xiàn)[19]提出了一種基于混沌序列的端信息跳變技術(shù)，并將該技術(shù)應(yīng)用于網(wǎng)絡(luò)音視頻通信中，提高了端信息跳變圖案的隨機(jī)性。

在自適應(yīng)性能方面，文獻(xiàn)[20]研究了可變時(shí)隙的端口跳變策略，提出了動(dòng)態(tài)時(shí)鐘漂移同步算法，解決了可變時(shí)鐘漂移對(duì)時(shí)間同步影響的問(wèn)題，提高了端口跳變策略的抗攻擊性能。文獻(xiàn)[21-22]則針對(duì)簡(jiǎn)單勻速端信息跳變易遭受跟隨攻擊、半盲攻擊的問(wèn)題，提出了用于端信息跳變系統(tǒng)的時(shí)間自適應(yīng)策略和空間自適應(yīng)策略，這2種策略能夠根據(jù)所遭受攻擊狀況動(dòng)態(tài)改變跳變時(shí)隙和跳變空間，其中，時(shí)間自適應(yīng)策略旨在增大跟隨攻擊的難度，空間自適應(yīng)策略則用于抵御跟隨攻擊失效情景下有指導(dǎo)的盲目攻擊（即半盲攻擊）。文獻(xiàn)[21-22]分析指出當(dāng)攻擊時(shí)間（即收集時(shí)間+實(shí)施時(shí)間）小于跳變時(shí)間（即部署時(shí)間+服務(wù)時(shí)間）時(shí)，端信息跳變系統(tǒng)將會(huì)遭受跟隨攻擊的嚴(yán)重威脅；當(dāng)攻擊時(shí)間大于跳變時(shí)間且量級(jí)相當(dāng)時(shí)，跟隨攻擊失效，攻擊者被迫轉(zhuǎn)入有效的半盲攻擊；當(dāng)攻擊時(shí)間遠(yuǎn)大于跳變時(shí)間時(shí)，端信息跳變系統(tǒng)的自適應(yīng)策略才具有較好的防護(hù)效果?？梢?jiàn)，端信息系統(tǒng)的抗跟隨攻擊和半盲攻擊性能與跳變速率密切相關(guān)，而跳變速率與所采用同步機(jī)制密切相關(guān)。然而，文獻(xiàn)[21]所采用的嚴(yán)格時(shí)鐘同步和文獻(xiàn)[22]所采用的時(shí)間戳同步都屬于傳統(tǒng)的跟蹤式同步機(jī)制，兩者的同步性能易受網(wǎng)絡(luò)分組時(shí)延影響，最高都只能提高秒級(jí)間隙的低速率跳變（文獻(xiàn)[21]的跟隨攻擊缺省設(shè)置為每跳60 s，文獻(xiàn)[22]設(shè)置為每跳15 s），難以應(yīng)對(duì)近年來(lái)性能日新月異的全自動(dòng)化攻擊。在抗截獲攻擊方面，文獻(xiàn)[21-22]所采用的時(shí)間/空間自適應(yīng)策略增加了截獲分析難度，但跳變圖案仍顯式暴露從而面臨嚴(yán)重的截獲攻擊威脅。

上述研究均是從跳變圖案方面對(duì)端信息跳變技術(shù)進(jìn)行改進(jìn)，所采用的同步策略都是傳統(tǒng)的跟蹤式同步機(jī)制，受限于分組網(wǎng)絡(luò)異步、亂序和時(shí)延的特點(diǎn)，無(wú)法支持亞秒、毫秒級(jí)間隙的高速率跳變，導(dǎo)致跳變圖案易遭受全自動(dòng)高速攻擊而失去隱蔽性，從而造成端信息跳變技術(shù)主動(dòng)防護(hù)的失效。本文工作正是為解決端信息技術(shù)高速跳變和高隱蔽性的難題而開(kāi)展，受軍事跳擴(kuò)混合通信啟發(fā)，摒棄了傳統(tǒng)的跟蹤式同步機(jī)制，將同步機(jī)制表述為端信息擴(kuò)展認(rèn)證序列的形式，創(chuàng)新性地提出了端信息擴(kuò)展認(rèn)證同步機(jī)制，并進(jìn)一步建立了端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)，實(shí)現(xiàn)了高隱蔽的端信息高速率跳變（本文實(shí)驗(yàn)環(huán)境中缺省設(shè)置為每秒100跳），這對(duì)于高隱蔽高強(qiáng)度對(duì)抗要求的網(wǎng)絡(luò)防護(hù)應(yīng)用具有重要意義。

3 端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)

端信息跳變技術(shù)同步策略是可信客戶端在攻擊者無(wú)法準(zhǔn)確探查跳變服務(wù)器真實(shí)端信息的情況下，能夠有效進(jìn)行服務(wù)訪問(wèn)的基礎(chǔ)。基于端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)采用端信息擴(kuò)展的方式進(jìn)行端信息跳變的同步認(rèn)證，旨在建立一種不需要服務(wù)器真實(shí)端信息的跳變同步方式，提高服務(wù)器的隱蔽性，減小跳變時(shí)隙、跳變算法對(duì)端信息同步的影響，以應(yīng)對(duì)高速跳變下的通信協(xié)同問(wèn)題。

3.1 端信息擴(kuò)展定義及其描述

擴(kuò)頻通信是擴(kuò)展信號(hào)的頻譜，發(fā)送端用擴(kuò)頻碼序列進(jìn)行擴(kuò)頻調(diào)制，使發(fā)送頻譜與所傳信息無(wú)關(guān)，從而達(dá)到良好的抗干擾性、抗截獲性，以及較高的傳輸速率。受擴(kuò)頻通信思想的啟發(fā)，本文提出了端信息擴(kuò)展的概念，將與數(shù)據(jù)本身無(wú)關(guān)的端信息進(jìn)行組合以表示數(shù)據(jù)，并用于同步認(rèn)證。在網(wǎng)絡(luò)通信中，通信雙方可以利用端信息擴(kuò)展序列的方式傳遞文字信息、認(rèn)證信息等數(shù)據(jù)，通過(guò)端信息擴(kuò)展算法進(jìn)行數(shù)據(jù)的擴(kuò)展序列生成及認(rèn)證。

定義1端信息擴(kuò)展（end spreading）：利用端信息擴(kuò)展算法計(jì)算得出端信息擴(kuò)展序列，將由多項(xiàng)端信息組成的擴(kuò)展序列表示為一條數(shù)據(jù)信息，使各項(xiàng)端信息與所表示的數(shù)據(jù)本身無(wú)關(guān)，達(dá)到隱藏真實(shí)信息的目的，實(shí)現(xiàn)高隱蔽性。

端信息擴(kuò)展可形式化描述為其中，L(Info)為端信息擴(kuò)展算法，是將數(shù)據(jù)與端信息擴(kuò)展序列進(jìn)行轉(zhuǎn)換的方法。原始數(shù)據(jù)利用端信息擴(kuò)展生成算法轉(zhuǎn)化生成端信息擴(kuò)展序列，與之對(duì)應(yīng)，端信息擴(kuò)展序列利用端信息擴(kuò)展解析算法來(lái)還原數(shù)據(jù)。在一次端信息擴(kuò)展過(guò)程中，端信息擴(kuò)展算法與端信息擴(kuò)展序列解析算法配對(duì)使用。

endInfom為單條端信息，由IP地址、端口及協(xié)議中的一項(xiàng)或多項(xiàng)組成。兩項(xiàng)及以上的單條端信息組成端信息擴(kuò)展序列，該序列是具有一定特殊含義的序列組合。

端信息擴(kuò)展序列選取地址與端口組成單項(xiàng)端信息，由目的地址、目的端口、源地址和源端口組成。其中，采用目的地址dIPm識(shí)別端信息擴(kuò)展序列，目的端口dPortm校驗(yàn)序列的正確性，源地址sIPm與源端口號(hào)sPortm用于識(shí)別來(lái)自同一個(gè)客戶端的同步請(qǐng)求。端信息跳變的擴(kuò)展序列為

如圖1所示，端信息擴(kuò)展通過(guò)客戶端的編碼發(fā)送及服務(wù)器端的解碼驗(yàn)證來(lái)實(shí)現(xiàn)，將傳統(tǒng)的單一身份驗(yàn)證信息擴(kuò)展為多條信息的組合序列。攻擊者對(duì)擴(kuò)展序列中某一條信息的捕獲與解析無(wú)法確定用戶的真實(shí)意圖，同時(shí)可信客戶端在端信息擴(kuò)展認(rèn)證過(guò)程中，不需要準(zhǔn)確知曉服務(wù)器的真實(shí)信息，有效地保障了服務(wù)器的隱蔽性。

圖1 端信息擴(kuò)展示意

3.2 端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)模型

端信息跳變技術(shù)旨在通過(guò)一定的跳變策略不斷地改變服務(wù)的端信息，以動(dòng)態(tài)的、未知的變化迷惑攻擊者，使其無(wú)法準(zhǔn)確地發(fā)起攻擊，保障跳變服務(wù)的安全性，達(dá)到主動(dòng)網(wǎng)絡(luò)防御的目的。本文為了提高端信息跳變速率，使端信息跳變技術(shù)適應(yīng)于高隱蔽性和保密性的應(yīng)用場(chǎng)景中，從系統(tǒng)安全的角度出發(fā)，建立了端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)模型。該模型如圖2所示，分為客戶端與跳變服務(wù)器兩部分，包括客戶端的擴(kuò)展序列生成模塊、擴(kuò)展序列發(fā)送模塊、服務(wù)獲取模塊和服務(wù)器端的端信息跳變模塊、擴(kuò)展序列認(rèn)證模塊及服務(wù)提供模塊。

圖2 端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)模型

在端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)模型中，客戶端首先生成端信息擴(kuò)展序列，然后將擴(kuò)展序列發(fā)送給服務(wù)器；服務(wù)器通過(guò)規(guī)則來(lái)檢測(cè)擴(kuò)展序列的合法性，如果合法，則通過(guò)認(rèn)證并提供服務(wù)，否則不提供服務(wù)。例如客戶端要選取地址IP1、IP2和IP3做擴(kuò)展序列的認(rèn)證（擴(kuò)展序列只包含目的地址和目的端口號(hào)），IP地址與通過(guò)通信雙方共同的算法分別求出3個(gè)地址所對(duì)應(yīng)的端口號(hào)port1，port2，port3，這樣就可以組成端信息擴(kuò)展序列(IP1,port1)、(IP2,port2)和(IP3,port3)，然后傳遞認(rèn)證信息，由于服務(wù)器端有相同的擴(kuò)展序列生成算法，服務(wù)器端接收到擴(kuò)展序列之后就可以檢測(cè)其合法性。

服務(wù)獲取模塊在端信息擴(kuò)展序列發(fā)送完成后啟動(dòng)，等待服務(wù)器將各項(xiàng)信息認(rèn)證通過(guò)后提供服務(wù)。端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)模型中的客戶端不再如傳統(tǒng)方式中那樣主動(dòng)向已知地址和端口的服務(wù)器發(fā)出服務(wù)請(qǐng)求，而是通過(guò)向未知端信息的跳變服務(wù)器發(fā)送端信息擴(kuò)展認(rèn)證序列，在通過(guò)認(rèn)證后服務(wù)器向客戶端提供特定的服務(wù)。由于客戶端不需要知曉跳變服務(wù)器的真實(shí)地址便可發(fā)送同步認(rèn)證信息，且跳變服務(wù)器的端信息具有動(dòng)態(tài)性、未知性的特點(diǎn)，攻擊者難以針對(duì)服務(wù)器的特定端口與服務(wù)發(fā)起攻擊，因此模型具有良好的隱蔽性與抗攻擊性，能夠達(dá)到主動(dòng)網(wǎng)絡(luò)防御的效果。

為保證跳變系統(tǒng)的動(dòng)態(tài)性及未知性，端信息跳變服務(wù)器采用隨機(jī)跳變的跳變策略，該策略由跳變服務(wù)S、跳變算法HM和跳變時(shí)隙TS三部分構(gòu)成，如式(3)所示。

其中，跳變服務(wù)S可采用HTTP、FTP等多項(xiàng)網(wǎng)絡(luò)服務(wù)。

隨機(jī)跳變算法 HM 在跳變地址池 IPhop與端口porthop范圍內(nèi)隨機(jī)選擇跳變端信息，跳變算法與地址池表示如式(4)和式(5)所示。

跳變時(shí)隙TS是端信息跳變的一個(gè)重要參數(shù)，跳變時(shí)隙越短表示跳變速度越快，高速的跳變能夠降低攻擊者發(fā)起有效攻擊的概率。當(dāng)發(fā)起有效攻擊時(shí)間一定時(shí)，若當(dāng)前端信息被攻擊者破獲，高速跳變的情況下可在攻擊者發(fā)起攻擊之前改變端信息，使攻擊無(wú)效。

通信雙方基于端信息擴(kuò)展同步策略實(shí)現(xiàn)跳變服務(wù)的同步過(guò)程。在端信息隨機(jī)跳變的跳變策略下，客戶端無(wú)法準(zhǔn)確探查跳變服務(wù)器真實(shí)的端信息。結(jié)合端信息擴(kuò)展方法能夠在不需要真實(shí)服務(wù)器端信息的情況下建立連接的優(yōu)勢(shì)，通過(guò)客戶端的端信息擴(kuò)展序列生成發(fā)送及服務(wù)器的解析驗(yàn)證實(shí)現(xiàn)跳變服務(wù)的同步認(rèn)證，將傳統(tǒng)的單一身份驗(yàn)證信息擴(kuò)展為多條信息的組合序列。

由于組成端信息擴(kuò)展序列的單項(xiàng)端信息本身與所傳數(shù)據(jù)無(wú)關(guān)，僅當(dāng)滿足條件的端信息組合成序列時(shí)才能從中解析出所傳遞的信息。傳輸過(guò)程中各擴(kuò)展端信息是分散的，攻擊者難以通過(guò)序列中的單項(xiàng)端信息獲取有效信息，因此基于端信息跳擴(kuò)混合的主動(dòng)防護(hù)模型具有良好的隱蔽性與抗攻擊性。

3.3 關(guān)鍵策略

本文中基于端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)的關(guān)鍵策略主要指端信息擴(kuò)展同步策略和數(shù)據(jù)遷移策略兩大策略，前者為解決端信息高速跳變過(guò)程中通信雙方同步問(wèn)題而提出，后者為解決模型無(wú)法提供可持續(xù)性服務(wù)問(wèn)題而提出。

3.3.1 端信息擴(kuò)展同步策略

端信息擴(kuò)展同步策略即采用端信息擴(kuò)展算法進(jìn)行端信息擴(kuò)展序列的生成與認(rèn)證，其中端信息擴(kuò)展算法包括目的地址序列與端口序列的生成算法。通信雙方在共享地址池中通過(guò)地址選取算法選取目的地址，表示為

在端信息擴(kuò)展過(guò)程中從地址池 IP-pool中逐個(gè)選取m個(gè)目的地址組成目的地址序列，利用生成的目的地址序列通過(guò)端口號(hào)生成算法計(jì)算端口號(hào)，如式(7)所示。

其中，F(xiàn)(.)為端口號(hào)生成算法；key為共享密鑰，可用于通信雙方身份校驗(yàn)。逐一計(jì)算端口號(hào)組成本次端信息擴(kuò)展的目的端口號(hào)序列，如式(8)所示。

發(fā)送方通過(guò)數(shù)據(jù)分組封裝的方式將端信息擴(kuò)展序列中的端信息逐個(gè)發(fā)送。

接收方利用監(jiān)聽(tīng)進(jìn)程捕獲端信息擴(kuò)展數(shù)據(jù)分組。通過(guò)解析數(shù)據(jù)分組獲得目的地址與目的端口、源地址與源端口，采用與端信息擴(kuò)展序列生成算法相對(duì)的地址驗(yàn)證算法識(shí)別端信息擴(kuò)展目的地址，并通過(guò)共享密鑰key計(jì)算出相對(duì)應(yīng)的端口號(hào)以校驗(yàn)?zāi)康牡刂?，進(jìn)行客戶端身份識(shí)別。

單個(gè)端信息擴(kuò)展數(shù)據(jù)分組認(rèn)證成功后，對(duì)通過(guò)認(rèn)證的合法數(shù)據(jù)分組是否能夠組成端信息擴(kuò)展序列進(jìn)行判斷，如式(9)所示。

其中，IS為端信息擴(kuò)展序列的判斷，check為地址驗(yàn)證算法，DIP為目的地址，DPort為目的端口號(hào)序列，mi為客戶端所發(fā)送端信息中目的地址所在的地址池位置，τ為序列容錯(cuò)率。允許端信息擴(kuò)展序列中一定數(shù)量的端信息未通過(guò)驗(yàn)證，即滿足數(shù)量為m(1-τ)的端信息認(rèn)證通過(guò)即認(rèn)證成功。

最后服務(wù)器為通過(guò)認(rèn)證的可信客戶端提供服務(wù)。由此實(shí)現(xiàn)無(wú)需服務(wù)器真實(shí)端信息的通信認(rèn)證。

3.3.2 數(shù)據(jù)遷移策略

端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)雖然解決了端信息跳變過(guò)程中跳變時(shí)隙較小的高速跳變問(wèn)題，但是同時(shí)也帶來(lái)了在較小跳變時(shí)隙中服務(wù)提供無(wú)法完成的問(wèn)題。這時(shí)需要一個(gè)任務(wù)調(diào)度器將未完成的服務(wù)在下一跳變時(shí)隙中繼續(xù)完成，使系統(tǒng)能夠正常地對(duì)外提供服務(wù)。TCP遷移技術(shù)[23]是為解決負(fù)載均衡而出現(xiàn)的技術(shù)，主要思想是將一條TCP連接的一個(gè)端點(diǎn)遷移到另一個(gè)端點(diǎn)，而這個(gè)遷移對(duì)于連接的另一端點(diǎn)來(lái)說(shuō)是透明的，并且遷移以后的連接可完全正常地運(yùn)行下去。以TCP遷移技術(shù)為原型，將 TCP遷移技術(shù)的特性應(yīng)用到端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)中，形成服務(wù)遷移技術(shù)，在此稱之為數(shù)據(jù)遷移策略。

數(shù)據(jù)遷移策略簡(jiǎn)化了原有TCP遷移模型，具體如圖3所示。圖3中客戶端與IP2建立三次握手成功，向目的IP2請(qǐng)求服務(wù)1，調(diào)度器FE作為代理將請(qǐng)求分組發(fā)送給地址IP2。當(dāng)服務(wù)1未完全提交給客戶端時(shí)，服務(wù)1遷移到地址IP1。由于是同一臺(tái)服務(wù)器上的同一服務(wù)，服務(wù)器端可以利用地址IP1繼續(xù)為客戶端提供服務(wù) 1，但在服務(wù)器端需要一個(gè)調(diào)度器 FE裝置將源地址 IP1修改為源地址IP2，這樣在 IP1上發(fā)送給客戶端的應(yīng)答分組與在IP2上發(fā)送的應(yīng)答分組就是一樣的，實(shí)現(xiàn)了數(shù)據(jù)的遷移。

數(shù)據(jù)遷移策略應(yīng)用到端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御過(guò)程中，如圖3所示，對(duì)于客戶端來(lái)說(shuō)一直是與IP2進(jìn)行通信、是透明的，避免了攻擊者通過(guò)抓取分組分析得出跳變規(guī)律，提高了安全性；對(duì)于服務(wù)器端來(lái)說(shuō)，消除了TCP重連三次握手的時(shí)間，提高了效率。

圖3 數(shù)據(jù)遷移策略示意

4 性能分析

性能分析涉及安全性能分析、同步認(rèn)證性能分析和時(shí)間性能分析，本節(jié)主要討論端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)能否保證服務(wù)的安全性，應(yīng)對(duì)高速跳變下同步認(rèn)證。

4.1 安全性能分析

基于端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)的安全性能分析包括跟隨攻擊分析、半盲攻擊分析和竊聽(tīng)攻擊分析。

4.1.1 跟隨攻擊分析

跟隨攻擊是攻擊者根據(jù)端信息跳變規(guī)律，不斷地定位當(dāng)前服務(wù)節(jié)點(diǎn)采取精確攻擊。假設(shè)一個(gè)跳變周期時(shí)間為ts，攻擊者獲取當(dāng)前端信息并發(fā)起攻擊的總時(shí)間為μ。由文獻(xiàn)[22]可知，當(dāng)ts＜μ時(shí)，攻擊成功概率為 0，即在攻擊者發(fā)起攻擊之時(shí)端信息已經(jīng)跳變；當(dāng)ts≥μ時(shí)，ts越小，攻擊成功的概率越低。為降低跟隨攻擊概率，可以選擇減小ts或者增大μ。

基于端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)中端信息跳變算法采用隨機(jī)高速跳變策略，不需要按照跳變圖案或時(shí)間戳等計(jì)算方式獲取下一次跳變端信息。攻擊者采取數(shù)據(jù)分組截獲的方式難以獲得當(dāng)前端信息，從而增加攻擊時(shí)間μ，實(shí)現(xiàn)跳變端信息的隱蔽性和隨機(jī)性。

高速跳變即采用較小的跳變時(shí)隙以減小ts，在同步認(rèn)證分析中證明了端信息擴(kuò)展同步策略與端信息跳變策略無(wú)關(guān)，能夠解決高速跳變下導(dǎo)致的同步失敗問(wèn)題。

因此保證跳變服務(wù)性能的前提下，本文策略能夠從理論上減小ts增大μ以抵抗跟隨攻擊。

4.1.2 半盲攻擊分析

半盲攻擊是指攻擊者雖然無(wú)法確定當(dāng)前服務(wù)節(jié)點(diǎn)端信息，但知道端信息跳變空間集合，從而實(shí)施有指導(dǎo)的盲目攻擊。假設(shè)端信息跳變地址集合為N，跳變端口空間為P，隨機(jī)選取k個(gè)端信息發(fā)起等量大小的攻擊，則當(dāng)前服務(wù)受到攻擊的概率為基于端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)中由于生成擴(kuò)展序列的地址集合M的存在，此時(shí)攻擊者探測(cè)到的總地址集合為M∪N，當(dāng)M∩N=0時(shí)，當(dāng)前服務(wù)受到攻擊的概率最小，為，從而有效地降低當(dāng)前服務(wù)節(jié)點(diǎn)受到攻擊的概率，增強(qiáng)了跳變服務(wù)的隱蔽性。

4.1.3 竊聽(tīng)攻擊分析

端信息跳擴(kuò)混合方式中采用擴(kuò)展序列進(jìn)行同步認(rèn)證?？蛻舳藢U(kuò)展序列中的端信息逐個(gè)發(fā)送，服務(wù)器在端信息擴(kuò)展序列認(rèn)證成功后，與可信客戶端建立連接并提供跳變服務(wù)。在攻擊者不知道當(dāng)前采取端信息跳擴(kuò)混合方式的情況下，無(wú)法通過(guò)竊聽(tīng)解析單個(gè)數(shù)據(jù)分組內(nèi)容獲取完整擴(kuò)展序列，攻擊成功概率Q=0；當(dāng)攻擊已知當(dāng)前服務(wù)器采取端信息跳擴(kuò)混合方式的情況下，進(jìn)行竊聽(tīng)攻擊收集數(shù)據(jù)分組發(fā)起攻擊時(shí)，假設(shè)當(dāng)前網(wǎng)絡(luò)環(huán)境下有e個(gè)數(shù)據(jù)分組，攻擊者截獲k個(gè)數(shù)據(jù)分組，端信息擴(kuò)展認(rèn)證的數(shù)據(jù)分組個(gè)數(shù)為m，序列驗(yàn)證容錯(cuò)率τ，則攻擊者成功概率為

其中，e、k與當(dāng)前網(wǎng)絡(luò)環(huán)境和攻擊者攻擊強(qiáng)度有關(guān)，在e與k一定的條件下，分析k≥m(1-τ)時(shí)攻擊成功概率的影響因素τ與m。

顯而易見(jiàn)，當(dāng)m一定且τ=0時(shí)，攻擊概率最小為，Q隨τ的增大而增大。針對(duì)m分析，取，當(dāng)，，因此Q與m呈負(fù)相關(guān)。

綜上所述，當(dāng)網(wǎng)絡(luò)環(huán)境一定時(shí)，增加序列長(zhǎng)度或減小序列驗(yàn)證容錯(cuò)率均可以使竊聽(tīng)攻擊的成功率大大降低，針對(duì)竊聽(tīng)攻擊有良好的防御能力。同時(shí)，合理的序列長(zhǎng)度與容錯(cuò)率是保證安全性能的重要因素。

4.2 同步認(rèn)證性能分析

同步過(guò)程中，客戶端通過(guò)發(fā)送擴(kuò)展序列進(jìn)行同步請(qǐng)求，跳變服務(wù)器監(jiān)聽(tīng)并捕獲數(shù)據(jù)分組以解析認(rèn)證。端信息擴(kuò)展跳變同步成功率為

其中，p=qcqv為單個(gè)數(shù)據(jù)分組成功率，τ為序列認(rèn)證的容錯(cuò)率，m為序列長(zhǎng)度，qc為數(shù)據(jù)分組成功捕獲的概率，qv為擴(kuò)展序列中單個(gè)端信息認(rèn)證成功率。

qc為數(shù)據(jù)分組成功捕獲的概率，指客戶端將端信息封裝在數(shù)據(jù)分組中發(fā)送，經(jīng)過(guò)網(wǎng)絡(luò)傳輸被服務(wù)器監(jiān)聽(tīng)進(jìn)程成功捕獲的概率。受網(wǎng)絡(luò)傳輸過(guò)程中分組丟失率的影響，數(shù)據(jù)分組捕獲過(guò)程存在不確定性，分組丟失率越低，成功捕獲的概率越高。

qv為擴(kuò)展序列中單個(gè)端信息認(rèn)證成功率，包括數(shù)據(jù)分組中目的地址與目的端口的認(rèn)證。根據(jù)地址認(rèn)證算法及端口校驗(yàn)算法可知，認(rèn)證成功率與地址池、密鑰及算法效率有關(guān)。因此，算法效率是影響數(shù)據(jù)分組認(rèn)證的關(guān)鍵因素，時(shí)間效率的提高可降低序列認(rèn)證超時(shí)導(dǎo)致的同步失敗率。

針對(duì)跳變同步成功率分析，當(dāng)m(1-τ)一定時(shí)，Qs與單個(gè)數(shù)據(jù)分組認(rèn)證成功率p呈正相關(guān)。在單個(gè)數(shù)據(jù)分組認(rèn)證成功率p(0 ＜p≤ 1)一定的情況下，序列長(zhǎng)度m越小，Qs越高；容錯(cuò)率τ越大，Qs越高。但m的減小與τ的增大會(huì)造成安全性能的降低，因此提高同步認(rèn)證性能的關(guān)鍵是提高單個(gè)數(shù)據(jù)分組認(rèn)證的成功率。

綜上所述，端信息擴(kuò)展跳變同步策略與數(shù)據(jù)分組認(rèn)證、擴(kuò)展序列驗(yàn)證等相關(guān)，與跳變時(shí)隙、跳變算法等無(wú)關(guān)，跳擴(kuò)混合服務(wù)器能夠有效地避免跳變性能對(duì)同步認(rèn)證的影響，實(shí)現(xiàn)跳變策略與同步策略的分離，解決跳變時(shí)隙較小的高速跳變同步問(wèn)題。

4.3 時(shí)間性能分析

在端信息跳變技術(shù)中沒(méi)有使用數(shù)據(jù)遷移策略的時(shí)候，假設(shè)用戶與服務(wù)器一次握手的時(shí)間為T(mén)1，一次長(zhǎng)久的服務(wù)需要握手n次，跳變周期為T(mén)s，那么在沒(méi)有數(shù)據(jù)遷移策略的前提下所需要的時(shí)間Tn為

數(shù)據(jù)遷移策略是為解決TCP三次握手時(shí)間損耗問(wèn)題而提出的，使同一個(gè)合法用戶在一次長(zhǎng)時(shí)間的服務(wù)請(qǐng)求中僅與服務(wù)器端握手一次，但需要IP地址的轉(zhuǎn)換，假設(shè)中間轉(zhuǎn)換器的時(shí)間損耗為T(mén)2，那么在使用數(shù)據(jù)遷移策略的前提下所需要的時(shí)間Ty為

由于 IP地址的轉(zhuǎn)換操作是在服務(wù)器的內(nèi)核之中操作的，所以IP地址的轉(zhuǎn)換時(shí)間遠(yuǎn)遠(yuǎn)小于TCP三次握手的時(shí)間，可以忽略不計(jì)，這樣其實(shí)真正的Ty為

由式(12)和式(14)比較可知，當(dāng)服務(wù)在一次跳變周期內(nèi)完成時(shí)，Ty=Tn，當(dāng)一次服務(wù)在一個(gè)跳變周期內(nèi)未完成時(shí)，Ty ＜ Tn。因此，在引入數(shù)據(jù)遷移策略的時(shí)候可大大提高端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)的效率，減少長(zhǎng)久服務(wù)的時(shí)間損耗。

綜上所述，基于端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)在引入數(shù)據(jù)遷移策略之后，可以很好地解決時(shí)間損耗問(wèn)題，提高長(zhǎng)久服務(wù)的服務(wù)效率。

5 實(shí)驗(yàn)測(cè)試與分析

本文設(shè)計(jì)實(shí)現(xiàn)了端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)原型系統(tǒng)，并進(jìn)行同步性能、安全性能及服務(wù)性能的實(shí)驗(yàn)驗(yàn)證，客戶端與服務(wù)器配置如表 1所示。

表1 實(shí)驗(yàn)系統(tǒng)配置

5.1 安全性能測(cè)試

針對(duì)TCP跳變服務(wù)特性，設(shè)計(jì)最有利于攻擊者的攻擊情景，在內(nèi)網(wǎng)環(huán)境下進(jìn)行拒絕服務(wù)及竊聽(tīng)攻擊實(shí)驗(yàn)，測(cè)試系統(tǒng)的抗攻擊性能。

5.1.1 可用性能測(cè)試

實(shí)驗(yàn)過(guò)程中，假設(shè)攻擊者已知全部服務(wù)的跳變地址池，因此SYN-flood攻擊的目標(biāo)地址和端口是在跳變地址池中選取服務(wù)器的跳變地址及隨機(jī)選取端口號(hào)，設(shè)定服務(wù)器為不同的跳變速率，在不同的跳變速率下發(fā)起速率為10 Mbit/s、20 Mbit/s、30 Mbit/s、40 Mbit/s和50 Mbit/s的攻擊，在相應(yīng)攻擊速率下靜態(tài)服務(wù)測(cè)得平均響應(yīng)時(shí)間分別為 1 667 μs、1 791 μs、1 906 μs、2 353 μs和 3 081 μs。在攻擊的同時(shí)客戶端向服務(wù)器發(fā)起 100次同步認(rèn)證請(qǐng)求，分別記錄未受攻擊與不同攻擊速率下TCP跳變服務(wù)的響應(yīng)時(shí)間，計(jì)算不同跳變速率不同攻擊速率下的服務(wù)平均響應(yīng)時(shí)間。

實(shí)驗(yàn)數(shù)據(jù)擬合結(jié)果如圖4所示，圖中HOP-1、HOP-10、HOP-100分別表示1 hop/s、10 hop/s、100 hop/s，擬合曲線分別用實(shí)線、虛線和點(diǎn)劃線表示，其中HOP-1和 HOP-10屬于低速跳變范圍，HOP-100屬于高速跳變范圍。由實(shí)驗(yàn)結(jié)果可以看出，隨著攻擊速率的增大，3種跳變速度下的服務(wù)響應(yīng)時(shí)間均無(wú)明顯增大，總體平均響應(yīng)時(shí)間穩(wěn)定在 1 800 μs左右，而靜態(tài)服務(wù)響應(yīng)時(shí)間浮動(dòng)明顯，均值約為2 150 μs。由此證明了端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)能夠有效地抵抗SYN-Flood攻擊，保證TCP服務(wù)的安全性。同時(shí)在高速跳變下仍能夠抵抗攻擊并保持服務(wù)響應(yīng)。

圖4 SYN-Flood攻擊下服務(wù)響應(yīng)時(shí)間

本文進(jìn)一步測(cè)試了ACK Flood攻擊、NTP DoS攻擊下系統(tǒng)性能。表2給出了端信息跳擴(kuò)混合模型在SYN Flood、ACK Flood、NTP DoS這3種拒絕服務(wù)攻擊（攻擊速率為50 Mbit/s，跳變速度為100 hop/s，傳輸數(shù)據(jù)為20 KB電子表格文檔）下，客戶端從發(fā)起請(qǐng)求到接受服務(wù)所需的平均服務(wù)響應(yīng)時(shí)間。從表2可以看出，在不同的拒絕服務(wù)攻擊類型下，端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)也可以正常提供對(duì)外服務(wù)，能很好地抵御拒絕服務(wù)攻擊。

表2 不同攻擊方式下的服務(wù)完成時(shí)間

綜上所述，基于端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)在實(shí)現(xiàn)高速跳變的同時(shí)，保證了良好的抗攻擊性能。

5.1.2 隱蔽性能測(cè)試

隱蔽性實(shí)驗(yàn)同樣遵循了最有利于攻擊者的設(shè)置，服務(wù)器、客戶機(jī)和攻擊者均在同一個(gè)共享式局域網(wǎng)中，端信息跳變或跳擴(kuò)混合只在服務(wù)端進(jìn)行，客戶端與服務(wù)端進(jìn)行一對(duì)一通信，攻擊者使用SnifferV4.7.5進(jìn)行截獲分析。

實(shí)驗(yàn)首先測(cè)試比較了在T=60 s時(shí)間周期內(nèi)傳統(tǒng)服務(wù)與端信息跳變服務(wù)的數(shù)據(jù)傳輸截獲分析結(jié)果，如圖5(a)和圖5(b)所示；隨后進(jìn)一步截獲分析了T=1 s時(shí)間周期內(nèi)的跳變服務(wù)與跳擴(kuò)混合服務(wù)如圖5(c)和圖5(d)所示。其中，實(shí)線為真實(shí)通信數(shù)據(jù)，虛線則是擴(kuò)展序列的虛假數(shù)據(jù)。

圖5中明顯可以看出，當(dāng)截獲分析攻擊時(shí)間為60 s時(shí)，端信息跳變服務(wù)與傳統(tǒng)服務(wù)相比有明顯的隱蔽性優(yōu)勢(shì)，數(shù)據(jù)傳輸流量有明顯發(fā)散，增大了攻擊者分析的難度；但當(dāng)攻擊時(shí)間降低為1 s時(shí)，低速跳變的跳變服務(wù)的跳變圖案完全顯式暴露在敵手面前，因此失去了隱蔽性增益，而高速跳變的跳擴(kuò)混合服務(wù)的跳變圖案雜亂無(wú)章且包括虛假的端信息擴(kuò)展序列，仍然能夠保持高隱蔽性。可見(jiàn)，端信息低速跳變難以有效地應(yīng)對(duì)性能日益提升的截獲攻擊。端信息跳擴(kuò)混合策略由于采用了每秒上百跳的高速跳變和擴(kuò)展序列同步，因而具有更好的隱蔽性能。

圖5 不同攻擊時(shí)間下截獲攻擊結(jié)果

5.2 同步性能測(cè)試

系統(tǒng)同步性能主要涉及跳變速度對(duì)同步認(rèn)證的影響。為證明對(duì)高速跳變的適用性，選取不同跳變速度，根據(jù)跳變算法進(jìn)行隨機(jī)跳變，分別記錄不同跳變速度下 200次同步請(qǐng)求的平均服務(wù)響應(yīng)時(shí)間與平均序列認(rèn)證時(shí)間，實(shí)驗(yàn)結(jié)果如圖6所示。

圖6 同步性能實(shí)驗(yàn)結(jié)果

實(shí)驗(yàn)結(jié)果表明，隨著跳變速率的增加，平均響應(yīng)時(shí)間整體呈現(xiàn)緩慢的上升趨勢(shì)，并沒(méi)有因跳變速率的增加而顯著提高。在200 hop/s的高速跳變下，服務(wù)器仍能進(jìn)行服務(wù)響應(yīng)，驗(yàn)證了端信息擴(kuò)展同步策略和數(shù)據(jù)遷移策略可以保證端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御技術(shù)的高速跳變和正常運(yùn)行。

5.3 服務(wù)性能測(cè)試

端信息跳變技術(shù)的服務(wù)性能主要涉及跳變速率，與跳頻通信技術(shù)類似，跳變速率是影響端信息跳變服務(wù)性能的重要因素，但該模型解決了跳變速率對(duì)服務(wù)性能的影響，表3為端信息跳變模型與端信息跳擴(kuò)混合模型在不同跳變速率下的服務(wù)提供率對(duì)比，其中服務(wù)提供率反映客戶端能夠獲取服務(wù)器端所提供服務(wù)的成功率。

表3 服務(wù)提供率對(duì)比

從表3可以得出端信息跳變模型會(huì)隨著跳變速率的提高降低服務(wù)提供率，在達(dá)到高速跳變速率200 hop/s時(shí)，服務(wù)提供率為0；端信息跳擴(kuò)混合模型隨著跳變速率的提高基本沒(méi)有變化，即使是在高速跳變速率200 hop/s的情況下也能提供對(duì)外服務(wù)，解決了端信息跳變防護(hù)中的跳變速率受限問(wèn)題，具有較好的服務(wù)性能。

6 結(jié)束語(yǔ)

主動(dòng)網(wǎng)絡(luò)防護(hù)技術(shù)近年來(lái)引起了產(chǎn)業(yè)界和學(xué)術(shù)界的關(guān)注，其核心思想是依據(jù)任務(wù)需求，動(dòng)態(tài)、隨機(jī)地進(jìn)行服務(wù)、IP地址、端口等端信息的變化，從而提高網(wǎng)絡(luò)攻擊的難度。

針對(duì)端信息跳變防護(hù)中的跳變速率受限的問(wèn)題，受擴(kuò)頻通信技術(shù)和跳擴(kuò)混合通信技術(shù)的啟發(fā)，提出了端信息擴(kuò)展的概念，進(jìn)而提出一種基于端信息跳擴(kuò)混合的主動(dòng)網(wǎng)絡(luò)防御技術(shù)，將跳變策略和同步認(rèn)證機(jī)制有效分離，避免了同步機(jī)制對(duì)于高速跳變性能的限制。在此基礎(chǔ)上，建立了端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御模型，解決了端信息高速跳變下的難題，實(shí)現(xiàn)了不需要真實(shí)目標(biāo)端信息的跳變服務(wù)請(qǐng)求。理論分析和實(shí)驗(yàn)結(jié)果均表明，端信息跳擴(kuò)混合主動(dòng)網(wǎng)絡(luò)防御模型能夠在高速端信息跳變下有效地完成可信客戶端的同步認(rèn)證，支持端信息跳變圖案的高度隱蔽性，具有很好的抗攻擊效果，對(duì)于高強(qiáng)度對(duì)抗要求的主動(dòng)網(wǎng)絡(luò)防護(hù)應(yīng)用具有重要意義。