To make this discussion concrete, w

To make this discussion concrete, we focus on the proxy scenario
as it is the most challenging case—it changes headers, modifies
payloads, and does not maintain a one-to-one correspondence
between incoming and outgoing flows.
In this case, we observe that even though the traffic is not identical
after it traverses the middlebox, the payloads will still have a
significant amount of partial overlap. For example, in the case of
web content delivered through the proxy to the user, even though
the initial HTTP preambles may differ between the incoming and
outgoing flows, the web page content will still match. Thus, we
leverage Rabin fingerprints [13, 34] to calculate the (partial) sim-
ilarities across flows. Because middleboxes are typically sessionoriented
and only keep a limited amount of state on each incoming
flow, we only need to correlate this flow to the outgoing flows that
appear within a small time window. To this end, we leverage the
switches to forward packets that do not match the flow table rules
to the SDN controller for further inspection.
Proxy
Correlate
flows
Install
rules
Collect
pkts
Time window T
cnn.com
User 1
User 2 F1: F1’:
F2’:
p1*
p2*
p2 p1 q2 q1
p3 p2 p1 p3* p1*
q2 q1
p2*
Figure 8: Similarity based correlation of incoming and outgoing
flows through a middlebox.
Given these insights, the SIMPLE DynHandler runs a similaritybased
correlation algorithm in three steps (Figure 8):
(1) Collect packets: When a new flow (e.g., F1 ) arrives from the
Internet to the middlebox, the switch sends the first P packets of the
new flow to the controller (e.g., p1 and p2 in Figure 8). Similarly,
we collect the first P packets for all the flows going out of the
middlebox within a time window W (e.g., the packets p1 ∗
and p2 ∗
for flow F1 0
and packets q1 and q2 for flow F2 ). The controller
reconstructs the payload stream from the P packets collected for
each flow [33]. W here controls the search scope of flows that
may be correlated and P controls the bandwidth and processing
overhead of the controller.
(2) Calculate payload similarity: As discussed earlier, the middlebox
may modify or reorder part of the stream, and thus we cannot
directly compare payloads. We compute a similarity score which
calculates the amount of overlap between every pair of flows. Because
dividing the data stream into fixed size chunks is not robust
(e.g., a middlebox may shift the content by adding or removing
some data), we leverage Rabin fingerprints [13] to divide the stream
into shift-tolerant chunks. Let the number of chunks from the two
payload streams with the same hash value be N
common . Then, the
similarity score for the pair of streams is N
common / min(N1, N2),
where N1, N2 are the number of chunks for the two streams.
(3) Identify the most similar flows: We identify the flow going out
of the middlebox that has the highest similarity score with the new
incoming flow. If there are multiple outgoing flows with the same
highest similarity, we identify all these flows as correlated with the
incoming flow. For example in Figure 8, we may find that F1 has
higher similarity with F1 0
than F2 0
.
Policy-specific optimizations: The two parameters W and P together
determine the bandwidth and computation overhead of the
controller to run the correlation step. We can tune the bandwidth
and processing overhead of the DynHandler based on the middlebox
policies the operators want to enforce. For instance, we may
want to achieve higher accuracy even at the expense of higher overhead
for security-sensitive policies. This is because different policies
may require different granularities of correlation accuracy. Let
us consider two specific policies in our proxy example: (1) Stateful
access control: The operators may only allow incoming traffic
from websites for which users have initiated the visits and (2) Userspecific
policies: The operators may want traffic to/from a subset
of hosts to go through a IDS after the proxy. In case (2), we need
to correlate the incoming flow with the actual user, while in case
(1), we only need to correlate the incoming flow with the flows to
any of the users. As a result, we need lower correlation accuracy
for case (1), and thus can reduce both the time window W and the
number of packets P sent to the controller.

Kết quả (Việt) 1:

Để làm cho cuộc thảo luận này cụ thể, chúng tôi tập trung vào kịch bản proxynhư trong trường hợp khó khăn nhất — nó thay đổi tiêu đề, sửa đổidữ liệu, và không duy trì một sự tương ứng một-mộtgiữa dòng chảy đến và đi.Trong trường hợp này, chúng tôi quan sát cho rằng mặc dù giao thông không phải là giống hệt nhausau khi nó đi qua middlebox, các dữ liệu này sẽ vẫn có mộtsố phần chồng chéo đáng kể. Ví dụ, trong trường hợp củanội dung trang web giao thông qua proxy cho người dùng, mặc dùHTTP preambles ban đầu có thể khác nhau giữa cuoäc goïi ñeán vàchảy đi, nội dung trang web sẽ vẫn còn phù hợp. Vì vậy, chúng tôitận dụng dấu vân tay Rabin [13, 34] để tính toán (một phần) sim-ilarities trên dòng chảy. Bởi vì middleboxes thường sessionorientedvà chỉ giữ lại một số lượng hạn chế của nhà nước ngày đến mỗidòng chảy, chúng tôi chỉ cần tương quan này dòng chảy để gửi đi các chảy màxuất hiện bên trong một cửa sổ thời gian nhỏ. Để kết thúc này, chúng tôi tận dụng cácthiết bị chuyển mạch để chuyển tiếp các gói dữ liệu không phù hợp với quy định bảng dòng chảyvới bộ điều khiển SDN cho kiểm tra hơn nữa.ProxyTương quandòng chảyCài đặtquy tắcThu thậppktsCửa sổ thời gian TCNN.comNgười dùng 1Dùng 2 F1: F1':F2':P1 *P2 *P2 p1 q2 q1P3 p2 p1 p3 * p1 *Q2 q1P2 *Hình 8: Tương tự dựa trên sự tương quan của đến và đidòng chảy qua một middlebox.Đưa ra những hiểu biết, DynHandler đơn giản chạy một similaritybasedtương quan các thuật toán trong ba bước (hình 8):(1) thu thập các gói tin: khi một dòng chảy mới (ví dụ: F1) đến từ cácInternet để middlebox, chuyển đổi sẽ gửi các gói dữ liệu P đầu tiên của cácdòng chảy mới với bộ điều khiển (ví dụ: p1 và p2 trong hình 8). Tương tự,chúng tôi thu thập các gói P đầu tiên cho tất cả các dòng chảy đi ra của cácmiddlebox trong một cửa sổ thời gian W (ví dụ, gói tin p1 ∗và p2 ∗cho dòng chảy F1 0và gói q1 và q2 cho dòng chảy F2). Bộ điều khiểnreconstructs dòng tải trọng từ các gói P thu thập chomỗi dòng chảy [33]. W đây kiểm soát phạm vi tìm kiếm của dòng chảy màcó thể được tương quan và P điều khiển băng thông và chế biếnchi phí của bộ điều khiển.(2) tính toán tải trọng tương tự: như được thảo luận trước đó, middleboxcó thể chỉnh sửa hoặc sắp xếp lại một phần của dòng, và do đó chúng tôi có thể khôngtrực tiếp so sánh dữ liệu. Chúng tôi tính toán một điểm giống nhau điểm màtính toán số tiền của chồng chéo giữa mỗi cặp của dòng chảy. Bởi vìphân chia dòng dữ liệu thành các khối kích thước cố định là không mạnh mẽ(ví dụ, một middlebox có thể thay đổi các nội dung bằng cách thêm hoặc loại bỏmột số dữ liệu), chúng tôi tận dụng Rabin vân [13] để phân chia dòngthành khối chịu sự thay đổi. Cho số lượng các khối từ haitải trọng suối với cùng một giá trị băm Nphổ biến. Sau đó, cácđiểm giống nhau cho cả hai dòng là Nphổ biến / min (N1, N2)nơi N1, N2 là số lượng các khối cho hai dòng.(3) xác định dòng chảy giống nhất: chúng tôi xác định dòng chảy ra ngoàicủa middlebox có số điểm tương đồng cao nhất với newCác dòng chảy. Nếu có nhiều dòng ra có cùngtương tự cao nhất, chúng tôi xác định tất cả những dòng chảy là tương quan với cácCác dòng chảy. Ví dụ như trong hình 8, chúng tôi có thể thấy rằng F1 cósự tương đồng cao với F1 0hơn F2 0.Tối ưu hóa cụ thể chính sách: hai tham số W và P với nhauxác định băng thông và tính toán chi phí của cácbộ điều khiển để chạy bước tương quan. Chúng ta có thể điều chỉnh băng thôngvà chi phí chế biến của DynHandler dựa trên middleboxchính sách của nhà điều hành muốn thực thi. Ví dụ, chúng ta có thểmuốn đạt được độ chính xác cao ngay cả tại các chi phí cao hơn chi phíchính sách bảo mật-nhạy cảm. Điều này là do khác nhau chính sáchcó thể yêu cầu granularities khác nhau của mối tương quan chính xác. Để chochúng ta hãy xem xét hai chính sách cụ thể trong ví dụ proxy: duyệt (1)kiểm soát truy cập: các nhà khai thác có thể chỉ cho phép lưu lượng truy cập đếntừ các trang web mà người dùng đã khởi xướng các thăm và (2) Userspecificchính sách: các nhà khai thác có thể lưu lượng truy cập đến/từ một tập hợp conmáy chủ để đi qua một ID sau khi các proxy. Trong trường hợp (2), chúng ta cầntương quan luồng đến với người sử dụng thực tế, trong khi trong trường hợp(1), chúng ta chỉ cần để tương quan đến dòng chảy với dòng chảy đểdự tất cả hay bất kỳ người sử dụng. Kết quả là, chúng ta cần giảm độ chính xác tương quanĐối với trường hợp (1), và do đó có thể làm giảm cả thời gian cửa sổ W và cácsố lượng gói dữ liệu được gửi đến bộ điều khiển P.

Kết quả (Việt) 2:

Để làm cho bê tông thảo luận này, chúng tôi tập trung vào kịch bản ủy quyền
vì nó là khó khăn nhất trường nó thay đổi tiêu đề, đổi
trọng tải, và không duy trì một one-to-một trong những thư
giữa dòng chảy vào và ra.
Trong trường hợp này, chúng ta quan sát rằng mặc dù giao thông là không giống nhau
sau khi nó đi qua các middlebox, các trọng tải sẽ vẫn có một
số lượng đáng kể của chồng lên nhau một phần. Ví dụ, trong trường hợp của
nội dung trang web cung cấp thông qua các proxy cho người sử dụng, mặc dù
các phần mở đầu HTTP ban đầu có thể khác nhau giữa các đầu vào và
chảy ra, nội dung trang web sẽ vẫn còn phù hợp. Do đó, chúng tôi
tận dụng Rabin dấu vân tay [13, 34] để tính toán (một phần) giản
ilarities trên dòng chảy. Bởi vì middleboxes thường sessionoriented
và chỉ giữ lại một số lượng hạn chế của nhà nước vào từng đến
dòng chảy, chúng ta chỉ cần tương quan dòng này đến dòng chảy đi mà
xuất hiện trong một cửa sổ thời gian nhỏ. Để kết thúc này, chúng tôi tận dụng các
công tắc để chuyển tiếp các gói tin không phù hợp với các quy định bảng dòng chảy
tới bộ điều khiển SDN để kiểm tra thêm.
Proxy
Tương quan giữa các
dòng chảy
Cài đặt
quy tắc
Thu thập
pkts
Thời gian cửa sổ T
cnn.com
User 1
User 2 F1: F1 ':
F2 ':
p1 *
p2 *
p2 p1 q2 q1
p3 p2 p1 p3 * p1 *
q2 q1
p2 *
Hình 8: sự tương đồng dựa trên tương quan vào và ra
. dòng chảy thông qua một middlebox
với những hiểu biết này, các DynHandler SIMPLE chạy một similaritybased
thuật toán tương quan trong ba bước (Hình 8):
(1) Thu thập các gói tin: Khi một dòng chảy mới (ví dụ, F1) đến từ
Internet để các middlebox, switch sẽ gửi các gói tin P đầu tiên của
dòng chảy mới cho bộ điều khiển (ví dụ, p1 và p2 ở Hình 8). Tương tự như vậy,
chúng tôi thu thập các gói P đầu tiên cho tất cả các dòng đi ra khỏi
middlebox trong một cửa sổ thời gian W (ví dụ, các gói p1 *
và p2 *
cho dòng F1 0
và gói q1 và q2 cho dòng F2). Bộ điều khiển
dựng lại dòng trọng tải từ các gói P thu thập cho
từng dòng chảy [33]. W ở đây kiểm soát phạm vi tìm kiếm của các dòng mà
có thể liên quan và P kiểm soát băng thông và xử lý
trên cao của bộ điều khiển.
(2) Tính toán tải trọng tương tự: Như đã thảo luận trước đó, middlebox
có thể sửa đổi hoặc sắp xếp lại các phần của dòng, và do đó chúng ta không thể
so sánh trực tiếp trọng tải. Chúng tôi tính toán một số điểm tương đồng mà
tính toán số lượng chồng chéo giữa mỗi cặp của dòng chảy. Bởi vì
cách chia dòng dữ liệu thành nhiều phần có kích thước cố định là không mạnh mẽ
(ví dụ, một middlebox có thể thay đổi nội dung bằng cách thêm hoặc loại bỏ
một số dữ liệu), chúng tôi tận dụng Rabin dấu vân tay [13] để phân chia các dòng
vào khối shift-khoan dung. Hãy để số khối từ hai
dòng tải với giá trị băm như là N
chung. Sau đó, những
điểm tương đồng cho các cặp suối là N
chung / phút (N1, N2),
trong đó N1, N2 là số lượng các khối cho hai dòng.
(3) Xác định các dòng tương tự nhất: Chúng tôi xác định dòng chảy đi ra ngoài
của middlebox có số điểm tương đồng cao nhất với các mới
dòng chảy đến. Nếu có nhiều dòng chảy đi với cùng một
giống cao nhất, chúng tôi xác định tất cả các dòng như tương quan với các
dòng chảy đến. Ví dụ trong hình 8, chúng ta có thể thấy rằng F1 có
sự tương đồng cao với F1 0
so với F2 0
.
Tối ưu hóa chính sách cụ thể: Hai thông số W và P cùng nhau
xác định băng thông và tính toán chi phí của các
bộ điều khiển để chạy các bước tương quan. Chúng tôi có thể điều chỉnh băng thông
và xử lý trên không của DynHandler dựa trên middlebox
chính sách các nhà khai thác muốn thực thi. Ví dụ, chúng ta có thể
muốn đạt được độ chính xác cao hơn ngay cả tại các chi phí của chi phí cao hơn
cho các chính sách bảo mật nhạy cảm. Điều này là do chính sách khác nhau
có thể yêu cầu granularities khác nhau của độ chính xác tương quan. Hãy để
chúng tôi xem xét hai chính sách cụ thể trong ví dụ proxy của chúng tôi: (1) Stateful
kiểm soát truy cập: Các nhà khai thác chỉ có thể cho phép lưu lượng gửi đến
từ các trang web mà người dùng đã bắt đầu các chuyến thăm và (2) Userspecific
chính sách: Các nhà khai thác có thể muốn lưu lượng đến / từ một tập hợp con
của chủ nhà phải đi qua một IDS sau proxy. Trong trường hợp (2), chúng ta cần
phải tương quan dòng chảy đến với người sử dụng thực tế, trong khi ở trường hợp
(1), chúng ta chỉ cần tương quan dòng chảy đến với dòng chảy để
bất kỳ người sử dụng. Kết quả là, chúng ta cần độ chính xác tương quan thấp hơn
cho trường hợp (1), và do đó có thể làm giảm cả hai cửa sổ W thời gian và
số lượng gói tin P gửi đến bộ điều khiển.