20CN网络安全小组论坛 - 菜鸟乐园 - 新型全光纤网络的攻击检测

论坛: 菜鸟乐园标题: 新型全光纤网络的攻击检测

作者: NightColor [nightcolor]

版主

实际上发在系统集成里面更合适

---- 全光纤网络（AON）是未来电信和数据网络发展的必然趋势，与现有的电－光网络以及电网络相比，它具有许多不同的安全特性。基于AON的网络攻击检测将成为保证AON安全的重要一环。

----全光纤网络就是在网络中全部使用光波通信的网络。更准确地讲，在一个AON中，所有的网络－网络接口都是基于光纤传输的，所有的用户－网络接口在接口的网络端都使用光纤传输。AON网络节点或传输系统中所有的交换与路由都具有更高的带宽。

----目前，对AON的研究主要分成两类：波分多路复用（WDM）和时分多路复用(TDM）。TDM网络的研究现在还远没有达到商业成熟性，因此，本文的讨论结果主要适用于WDM AON。

----现有的AON一般采取电路交换式的网络结构，它与现有的电信线路、ATM网络和一些在Internet中经常使用的多路复用设备是兼容的。完全可操作的包交换AON结构现在还没有出现，其中一个重要原因是缺乏分布式的光纤内存。 AON结构一般可分为光纤终端、网络节点以及经放大后的光纤链路。信令通常使用一个单独的控制网络（并不总是全光纤的），交换和路由常用的拓扑结构包括星形、环形及网状，一些AON结构也允许混合式的拓扑。

----不同的拓扑结构具有不同的安全特性。环形拓扑对攻击的定位相对容易，同时很容易重新路由；网状拓扑更丰富的节点交互连接，一般使服务恢复更容易一些；星形拓扑使攻击检测比在网状拓扑中更容易一些，但星形网络hub的破坏会影响所有的网络服务。

----尽管有多种可能的拓扑结构，但绝大多数现代的WDM AON都是使用较小的组件组合而成的。这个特点对于安全研究是非常重要的，因为理解每个组件的安全特性对研究整个网络的安全特性是十分有用的。现在最经常用到的AON 组件主要包括：藕合器、分离器、解复用设备、光放大器、空间交换设备、激发器、接收机和光纤等。

----上述组件都已经是商品化的产品，其中每一个组件都可能受到多种攻击。目前，这些组件已被集成到多种测试床中，用以研究AON的安全特性。

攻击方法
----每一种AON组件都可能受到某些形式的拒绝服务或窃听攻击。我们最关心的攻击是干扰攻击（即用攻击信号来干扰合法的网络信号，可能导致服务降级或拒绝服务）以及利用设备道间串扰（Crosstalk）的攻击。设备道间串扰是信号从光纤设备的一部分泄漏到另一部分时发生的一种现象，在绝大多数现代光纤设备中普遍存在，可用于服务拒绝或窃听攻击。全光纤网络的攻击检测与传统的电－光网络和电网络有很多不同，主要包括：
----�S 在AON中，攻击必须在网络中可能发生攻击的任何点被检测和识别；

----�S 攻击检测的速率应该与AON网络的数据传输速率相匹配。

----AON的高数据速率对攻击检测有重要的影响，因为大量的数据可以在短时间内被影响，而且受影响的数据量与数据率成正比。类似地，在窃听攻击中，受破坏的数据量与数据率也成正比。与传统的电－光网络的低速率相比，在AON 的某个特定的光纤路径中，更大的数据量意味着会有更多的数据受到某种特定攻击的威胁。

----AON的高数据率并不是将攻击的识别放在所有可能的攻击位置的唯一原因。因为在AON中，一个网络管理系统可能给出一个错误的判断。如图 1所示，信道1通过道间串扰（带内干扰）来攻击信道2。交换设备的输出能力足以使它在放大器的信道3产生增益竞争攻击。如果放大器检测到信道2对信道3的攻击，但交换设备并没有检测到信道1对信道2的攻击，那么，网络管理系统可能决定断开信道2。事实上，唯一可供网络管理系统使用的信息是信道2在放大器上是非法的，而信道1才是一个非法的信道，此时网络管理系统无法做出正确的判断。

----现在有许多对攻击进行分类的方法。例如，可以根据攻击的方式（被动、主动）、攻击使用的资源（传输/接收、协议、控制系统）、攻击目标（特定用户或网络/子网络）、欲意效果（通信分析、窃听或服务崩溃）、攻击位置（终端、节点、链路、多位置等）等进行分类。所有这些可能的攻击方法加起来有数百种，本文主要根据攻击的目的进行分类，可将AON网络攻击大致分为六类：通信分析、窃听、数据延迟、服务拒绝、QoS下降以及欺骗。其中，通信分析和窃听具有相似的特性，我们将其放在一起讨论；光纤网络缺乏光纤内存，在某种程度上不会受到延迟攻击的影响；欺骗可以通过使用密码学方法（如加密）来防止；服务拒绝和QoS降级可以统一地作为 “服务破坏”考虑。因此，本文讨论的攻击主要为两类：窃听与通信分析（以下称为窃听）和服务破坏。

----为了方便讨论，这里介绍三种最常用的AON攻击。之所以选择这三种，主要是因为它们要么非常容易实现，要么对AON网络服务特别有效，要么与针对传统网络的攻击有截然不同的效果。

----(1) 使用单个的高能发射机插入到链路所产生的带内干扰攻击

----其目的是通过插入信号降低接收机正确解译被发射数据的能力。攻击将破坏该链路上的信号，这与传统的网络是不同的。但是在AON中，该攻击使链路以及与该节点相连的其他网络链路上的信号减弱。

----图2显示了针对中心链路发起的一种单点攻击，它不仅影响攻击信号首先到达的节点（节点2），而且影响与节点2具有优先连接的其他两个节点（节点1和节点3）。这种攻击所利用的组件可以是藕合器、多路复用设备或光纤放大器等。

----单点阈值带内能量检测并不一定能够确定攻击点的正确位置。如，在节点1的能量检测可能错误地将攻击定位在链路(1，2）之间。这个攻击可以进行得很容易、很巧妙，对个人用户特别有效。

----(2) 使用带外干扰来利用光纤组件中的道间串扰

----其意图在于通过利用泄漏的组件或交叉调制效果来减少通信信号的能量。特别地，由于在光纤放大器中存在着交叉增益调制效果，使用一个带外高能信号进行干扰是可能的。它的效果与在电子放大器中发现的增益压缩效果是截然不同的。攻击者将在一个与通信波段不同波长但又在放大器通带范围插入一个信号。该攻击能够奏效是因为放大器无法区别攻击信号和合法的网络通信信号，并且为每个信号提供同样的增益。放大器提供给攻击信号的这些增益会掠夺用于合法通信信号的增益，并且增加攻击信号下行序列的能量，允许它扩散到整个透明节点。采用接收机端的阈值带内能量检测方法并不一定能够阻止这种干扰攻击，因为攻击期间接收到的平均带内能量将减少（而不是增加）或保持不变。这类攻击将主要攻击节点中的放大器或放大后的光纤链路。

----(3) 实现未授权的观察（即窃听）

----攻击者通过在共享资源中监听从邻近信道中泄漏的道间串扰来获得有关邻近信号的信息。窃听可能发生在AON网络中的多个点。

攻击检测方法
----对AON攻击的自动诊断和检测方法主要分为两大类，即对通信数据进行统计分析的方法和测量用于诊断/检测意图的信号的方法。前者以宽波带能量检测和光谱分析两种检测方法为代表，后者以导频音（Pilot Tone）和光时域反射检测方法为代表。
----1．宽波带能量检测方法

----能量检测方法对一个宽波带中接收到的光能量进行计量。它可以记录实际的能量值变化情况，由于需要与期望值进行对比，因此，能量的略微降低可能要很长时间才能检测出来。如果在统计分析中使用大数定律，那么，可能需要非常长的平均时间才能确定样本平均值与统计平均值具有统计学上的显著不同。在接收到的能量中，微小的、可检测到的变化并不一定就是攻击造成的（如组件老化等），不会对通信信号造成负面影响。因此，绝大多数方案使用阈值能量检测技术，当通信服务的下降到达或超过一定的阈值时即认为发生了攻击。

----下面介绍该检测方法对上述三种攻击方式的有效性：

----(1) 带内干扰攻击

----能量检测技术非常适用于像放大器故障这样的问题，被认为是AON故障检测的基础。在发生干扰的情况下，接收机的能量不但不会减少，反而会增加。阈值能量检测器将检测到明显的干扰攻击。一个定时的干扰攻击可能会将BER降到无法接受的程度，而不会使平均接收能量上升到足以产生报警的程度，当对接收到的信号的统计并不是非常准确时，尤其如此。

----(2) 带外攻击

----在增益竞争中，接收到的信号能量一般会减少。然而，某些增益竞争攻击可能导致严重的SNR降低，而总能量不会降低。假设一个信号S必须跨过两个EDFA，即A1和A2，如果在A1中有一个增益竞争，信号S可能无法被足够地放大。在A2中，接收到的信号将比在无增益竞争时从A1中获得更多的ASE。通过在A2 中使用自动增益控制（即保持A2的输出能量在特定的级别上的一种方法），那么，在A2 后接收到的信号可能包含强加在A2的ASE上的A1的部分ASE。注意，如果A2的增益是固定的，A2的信号输出将比在A1中没有增益竞争时能量低。

----另一种攻击将增益竞争与干扰结合起来对抗检测技术，因为这种控制不管A2是否具有自动增益控制。位于道间干扰点前面的放大器A1将受到增益竞争的影响。干扰信号插入在A1后面的道间串扰将获得合法信号S丢失给增益竞争的能量。因此，A2将对由于强加给S的干扰信号，以及来自A1的ASE所带来的能量减少，进行微弱的放大，而A2的输入能量对网络来讲仍然保持不变。对于这样的攻击，单纯的能量检测技术将无能为力。

----(3) 窃听攻击

----能量检测技术主要通过检测能量的损失来实现对窃听攻击的检测，其原理是窃听者要想达到目的必然要消耗大量的能量，所占用的能量大到足以使攻击检测系统注意到窃听者。这种方案有许多不足。它无法检测到在窃听点后面插入的干扰攻击。事实上，能量检测机制会把干扰噪声当作一个合法的未受窜改信号的一部分。总之，用于窃听的能量检测方法在以下几种情况下将无效：如果窃听并未使接收的能量减少到足以激发报警，如当窃听是定时的并且非常短，或窃听只消耗用户的很少一部分合法能量时；在光纤上的窃听紧跟着插入恶意信号来提高接收的总能量。

----通过光纤道间串扰，观察窃听信道的能量，将使攻击检测机制检测到由于窃听信号的出现而导致的能量增加。目前还没有任何方法能够确定所增加的能量的来源。

----2．光谱分析方法

----利用光谱分析仪（OSA）测量光信号的频谱。OSA可以给出比简单的能量集成更详细的诊断，它们能够检测到频谱形状的变化，这是十分有用的，因为虽然整个信道中的能量没有发生变化，但它的频谱形状却可能发生了变化。例如，两个信号可能具有相同的总能量但却具有不同的频谱，而OSA能够区别这两个信号，但测量整个信道的能量集成器却做不到。尽管OSA可以提供比能量检测方法更多的信息，但它们仍然依赖样本平均值与统计平均值之间的比较。因此，信号的不经常降级将很难被检测到，或者很长时间之后才被检测到。尽管提供了比宽波带能量检测方法更多的信息，但光谱分析方法一般比其他检测方法的速率更慢一些。

----(1) 带内干扰攻击

----OSA可以对接收光谱有重要影响的干扰攻击进行检测。 OSA检测方法与能量检测器方法有所不同。例如，如果使用OSA来检测一个由于干扰使产生的能量急剧波动，OSA能够提供比宽波带能量检测更多的信息，但对于通过使用道间串扰的干扰攻击，它不能比波长特定的能量检测器提供更多的信息。主要原因是频谱分析仪可以显示比能量检测器更多的信息，因而更适用于检测频谱形状的变化，即使在没有定时或动向的攻击时也是如此。

----(2) 带外攻击

----OSA可以用来确定增益竞争攻击的起源，只要被OSA分析的波段足够大，包含带外攻击的载波频率。如果攻击者在增益频谱的峰值区域引入一个信号，那么，就可能发生一个特定的不法攻击。一个OSA可能检测到这样一个带外攻击者，但对单个信道的能量检测方法却做不到这一点。

----(3) 窃听攻击

----OSA将无法检测对信道的窃听，除非窃听导致被窃听信道的破坏，如信道能量的下降或频谱的变化比允许的变化范围大。因此，通过道间串扰的窃听无法使OSA通过分析被窃听的信号来检测到任何重要的变化。然而，正如我们在其他检测方法中讨论的那样，OSA可能能通过观察窃听信道的变化来检测到窃听。要想使OSA在检测窃听信道时发挥作用，必须有一些方法来检测在窃听信道上的通信并不是合法的。除非通信是易于识别的，否则实现起来很困难。

----3．导频音检测方法

----导频音就是与通信数据沿相同的链路和节点进行传输，但可以与正常的数据通信区别开来的信号。它们的目的是检测传输是否遭到破坏。导频音经常位于与被发射的信号不同的载波频率中，但是它们也可能通过某些时隙（在一个 TDMA系统中）或某些节点（在CDMA系统中）与通信负载区别开来。导频音通常位于 WDM信道中或信道之间以及传输波段之外的载波频率中。如果导频音的频率出现在通信传输的附近，它们通常被称为亚载波多路复用（SCM）信号。这样的SCM信号允许网络信令的传输或具有相同载波波长的导频音作为负载信号进行传输。导频音与一个静态信号不同。例如，它可能是动态可调的，以便发射网络控制信息，导频音可能比通信信号具有更低的频率或更高的频率。

----(1) 带内干扰攻击

----导频音在检测干扰攻击时并不奏效，除非这些攻击包括了携带导频音的波长。因此，在某一波长的攻击可能不会影响位于不同波长的导频音。宽带攻击有可能被一个与通信信道具有不同载波波长的导频音检测到。但是，如果将带宽限制在通信传输的使用频率上，那么，当攻击发生时就不会被检测到。即使对于SCM导频音来讲，攻击者也可能引入一个干扰信号，这只会影响通信，而不会对SCM导频音产生大的影响。如果导频音通过一个带宽限制过滤器方法进行恢复，那么，攻击者只需要保持在该过滤器的通带之外即可。

----导频音可以通过检测它在通信信号中的监测位置来进行恢复。在这种情况下，对通信信号的攻击将对导频音产生影响。检测攻击的能力决定于调制和导频音的SNR（信噪比）。如果通信系统依赖于低数据BER（误码率），通信信号可能受到大的影响而不会影响到导频音的检测。如果干扰信号具有与合法的通信信号同样低的增幅调制，那么，干扰信号的调制可能不会影响导频音的恢复。因此，尽管SCM 导频音比不同波长的导频音提供了更多的干扰保护，但仍然可能受干扰攻击的影响，这对于通信信号是非常有害的。注意，导频音本身也可能受干扰攻击的影响。假设一个导频音没有经过调制或以一种用户可以插入信号的方式进行调制，那么，将有可能带来假的导频音。在这种情况下，通过增加假的信号，提高被检测的导频音的SNR，可以掩藏干扰攻击。

----(2) 带外攻击

----增益竞争将影响通过一个放大器的所有波长，当然也并不是所有的波长都受到同样的影响。如果导频音通过与通信信号相同的放大器，那么，当通信信号受到增益竞争影响时，导频音应该受到增益竞争的影响。如果导频音被单独放大，那么，它们将无法检测到增益竞争攻击。

----即使导频音在与通信信道相同的放大器中进行放大，在某些情况下，导频音也可能无法用来检测增益竞争攻击。对于一个信号来讲，可检测性意味着需要比用来获得通信链路上的BER低得多的SNR。因此，用来检测导频音的方法对于能量降低不像检测通信信号方法那样敏感。特别地，如果有一个自动增益控制（AGC），那么，导频音波段中的总能量足以掩盖增益竞争的发生。我们假设一个导频音受到来自放大器A1的增益竞争的影响，如果它通过具有AGC的放大器A2，那么，导频音信号接收到的总能量可能不会受到影响，但通信信号会受到影响。对于通过观察导频音来检测增益竞争的方法，增益竞争和干扰的联合攻击可以逃过它的检测。如果导频音的调制是已知的，那么，对于某些调制来说，可以在发生增益竞争攻击之后，通过道间串扰引入一个假的导频音来进行干扰攻击。

----(3) 窃听攻击

----导频音检测方法一般无法用于检测窃听攻击。

----4．光时域反射检测方法

----光时域反射检测器（OTDR）是导频音的一种特殊应用。它不是分析在通信信号接收点的导频音，而是分析导频音的回波。因此，尽管它们与导频音检测方法有一些相同的特性，但仍然值得单独进行考虑。OTDR一般被用于光纤发生错误、弯曲和损失的情况，因此，更适用于检测涉及光纤窜改的攻击。然而，既然它们是通过信号反射来实现的，它们还可能提供有关发生其他攻击的信息。注意，反射检测方法使用的信号可以用作一个监测信号，且具有导频音的某些特点。监测信号也可能与导频音一样受干扰的影响。在全光纤网络中同时使用光纤隔离器和光纤放大器是非常普遍的，因此，需要在每个放大器中都使用OTDR才能奏效。

----(1) 带内干扰攻击

----对于一个宽波带干扰攻击来讲，总有一些干扰信号返回到反射中，且是可观察的。这样的检测方法与导频音检测方法是不同的，因为检测可能在头端（Head��end）完成。如果在OTDR探测信号中存在调制，那么，强加在OTDR探测信号上的干扰信号的检测可能是相当敏感的。在分支网络中（如波长被解复用到不同的光纤网络中），不同的分支可能通过发送不同波长的探测信号，个别地进行检测。因此，干扰可以在不同的分支网络上被检测到，且可跟踪干扰在分支网络中的扩散情况。

----(2) 带外攻击

----通过OTDR检测EDFA与通过OTDR检测光纤线路是%B

地主发表时间: 04-01-04 21:55

论坛: 菜鸟乐园