雲端規模下的安全 IP 位址分配

Kernekoncepter

透過對雲端租戶行為、對手策略和雲端供應商政策的嚴格分析,開發了一種實用的 IP 位址分配防禦機制,以保護位址池免受對手掃描的影響,即使對手不受租戶數量的限制。

Resumé

本文提出了一個全面、創新的框架來建模安全的 IP 位址分配。它包括租戶行為的統計模型(資源分配和潛在配置)、分配政策算法(包括提出的 IP 掃描分段政策)以及對手行為的威脅模型。

作者首先分析了租戶行為,包括靜態和動態資源分配。他們使用傅立葉級數來建模租戶的自動擴展行為,並考慮了地理位置對租戶行為的影響。

接下來,作者建模了租戶在分配 IP 位址時留下的潛在配置。他們假設這種行為可以用泊松過程來建模,並根據分配持續時間的指數分佈來確定潛在配置的持續時間。

作者還定義了一個強大的對手模型,即能夠使用多個雲端帳戶進行 Sybil 攻擊的對手。這種對手可以繞過現有的防禦措施,並大規模分配 IP 位址。

為了應對這種威脅,作者提出了一種新的 IP 位址分配策略,稱為 IP 掃描分段。該策略通過識別表明對手行為的租戶行為模式來保護 IP 位址池。它優先分配給之前分配時間與當前租戶相似的 IP 位址,從而降低對手獲取具有潛在配置的 IP 位址的能力。

作者使用 EIPSIM 模擬器對這些分配策略進行了廣泛的評估。結果表明,與現有技術相比,IP 掃描分段可將對手發現可利用的潛在配置減少 70.1%,並將發現的唯一 IP 位址減少 83.8%。這些結果表明,通過對 IP 位址分配進行原則性分析和實施,可為租戶及其用戶帶來顯著的安全收益。

Statistik

在高達 97% 的最大池利用率下,隨著池使用率的增加,與潛在配置相關的 IP 位址的比例會增加。
在 80% 和 90% 的最大池利用率下,LRU 政策可以將 IP 位址在重複使用之間的時間最大化。
在 90% 的最大池利用率下,TAGGED 和 SEGMENTED 政策可將單一租戶對手發現的唯一 IP 位址減少 95% 以上。
在 90% 的最大池利用率下,TAGGED 和 SEGMENTED 政策可將單一租戶對手發現的潛在配置減少 90% 以上。

Citater

"透過對租戶行為、對手策略和雲端供應商政策的嚴格分析,開發了一種實用的 IP 位址分配防禦機制,以保護位址池免受對手掃描的影響,即使對手不受租戶數量的限制。"
"IP 掃描分段可將對手發現可利用的潛在配置減少 70.1%,並將發現的唯一 IP 位址減少 83.8%。"

Vigtigste indsigter udtrukket fra

Secure IP Address Allocation at Cloud Scale

by Eric Pauley ... kl. arxiv.org 09-11-2024

https://arxiv.org/pdf/2210.14999.pdf

Dybere Forespørgsler

雲端供應商是否可以進一步限制租戶的 IP 位址分配,以降低對手的攻擊成本?

雲端供應商可以採取多種策略來進一步限制租戶的 IP 位址分配，以降低對手的攻擊成本。首先，供應商可以實施更嚴格的 IP 分配政策，例如增加 IP 地址的冷卻時間，這樣在 IP 地址被釋放後，必須經過一段時間才能再次分配，從而減少對手快速重複利用相同 IP 地址的機會。此外，供應商可以根據租戶的行為模式來動態調整 IP 分配策略，對於那些顯示出可疑行為的租戶，供應商可以限制其分配的 IP 數量或增加其 IP 地址的分配延遲。這樣的措施不僅能降低對手的攻擊成本，還能提高整體雲端環境的安全性。

如果對手能夠利用其他方式(如 DDoS 攻擊)來破壞 IP 位址池的安全性,IP 掃描分段策略是否仍然有效?

IP 掃描分段策略在面對 DDoS 攻擊等其他攻擊方式時，仍然可以提供一定的保護。這種策略的核心在於識別和標記租戶的行為模式，並根據這些模式來分配 IP 地址。即使對手能夠發起 DDoS 攻擊，這種策略仍然可以減少對手快速獲取大量 IP 地址的能力，因為它會優先分配那些已經被標記為長期使用的 IP 地址，從而降低對手利用新分配的 IP 地址進行攻擊的可能性。然而，DDoS 攻擊的本質是大量流量的湧入，這可能會影響到整體的 IP 地址池的可用性，因此雲端供應商還需要結合其他防禦措施，如流量過濾和速率限制，來進一步增強防護效果。

除了 IP 位址分配,雲端供應商還可以採取哪些其他措施來保護租戶免受 IP 位址重複使用的攻擊?

除了改進 IP 位址分配策略外，雲端供應商還可以採取多種其他措施來保護租戶免受 IP 位址重複使用的攻擊。首先，供應商可以實施更嚴格的監控和日誌記錄系統，以便及時檢測和響應可疑的租戶行為。這包括對 IP 地址的使用情況進行實時分析，識別出異常的流量模式或重複的 IP 地址分配。其次，供應商可以提供更強的安全配置選項，例如加密和身份驗證機制，以保護租戶的數據不被未經授權的訪問。此外，供應商還可以與租戶合作，提供最佳實踐指南，幫助租戶管理其 IP 地址配置，確保在釋放 IP 地址時及時清除相關的配置，從而減少潛在的安全風險。這些綜合措施將有助於提高整體的雲端安全性，並減少 IP 位址重複使用所帶來的風險。