It can be argued, that these attack

It can be argued, that these attacks are easily identifiable by intrusion detection systems
as it denotes unusual behaviour. Nevertheless, the team has been able to implement their
theory and exhausted the AVANT-GUARD switch in short time. As an extension they
propose Lineswitch, a switch modification which distinguishes packets based on IP address
and proxies packets only until the first successful TCP handshake. All subsequent TCP
SYN packets are forwarded to the server but selectively proxied by the AVANT-GUARD
mechanism based on a defined probability value. If an attacker establishes a legitimate connection beforehand and starts a subsequent SYN flood the attempt is eventually discovered
after inspection and the whole IP is automatically temporarily blacklisted by the switch.
Consequently, the attacker has to use real IPs in order to be able to respond to SYN-ACK
packets, but is blocked as soon as a flooding attempt has started. Although an extension to
AVANT-GUARD, Lineswitch faces the same practicality issues and relies on active modification of OpenFlow switches and controllers. Both of the aforementioned designs are able
to protect the control plane and particular sensitive servers similar to an IDS or firewall,
but do not provide automated mechanisms to regain control over the entire network during
an attack. Additional solutions, which automatically recognise and prevent malicious traffic
based on local anomaly detection, have been published.
Mihai-Gabriel & Victor-Valeriu, 2014 [114], rely on external intelligence and developed a
SDN intrusion detection system. They utilised sFlow, a high-speed, sampling-based monitoring interface supported by several switch types and vendors. The OpenFlow switches
export sample traffic to a separate virtual machine, which computes a risk threshold. If
the machine identifies a risk, it sends a command to the controller to either block or divert
traffic to the machine for traffic inspection purposes. The team has only developed a proof of
concept and plans to develop a native Floodlight application to replace the virtual separate
machine. Gkounis, Kotronis & Xenofontas, 2014 [115] are investigating a solution to prevent
crossfire attacks, a recent attack technique which accumulates undetectable and legitimate
low-bandwidth flows to flood and overload essential network links.
Lastly, OpenDaylight incorporates the optional DDoS application Defense4All [47] as a
viable and practical solution to protect the network. The application cooperates with the
OpenDaylight controller and separated attack mitigation systems or scrubbing centres. After
installation, the system installs flow entries on specified switches to continuously monitor
traffic and learns normal network behaviour from a central position. Once an attack is
identified, the controller is instructed to redirect flows into the scrubbing or attack mitigation
centres to cleanse the traffic. This model presents a potential path to leverage the central
position of the SDN controller and simultaneously provide thorough protection against DoS
in the network.
All of these designs, however, rely on external dedicated machines to support their techniques. It is desirable to install native detection and mitigation applications in the controllers
in order to reduce capital and operational cost of the network and to prevent traffic flow
amplification. A selected attempt to incorporate native IDS applications and to protect
cloud provider networks in the controller is DaMask, developed by Wang et al., 2014 [116].
The Floodlight application inspects unknown packets, which the controller has received, and
identifies potential anomalies using the open-source IDS software Snort as a basis. If an at
tack is detected, the system installs FORWARD, DROP or MODIFY table entries on the affected switches, depending on a pre-defined administrator policy.

Kết quả (Việt) 1:

Nó có thể được lập luận, rằng các cuộc tấn công dễ dàng nhận dạng bởi hệ thống phát hiện xâm nhậpvì nó là bắt các hành vi bất thường. Tuy nhiên, đội đã có thể thực hiện của họlý thuyết và kiệt sức chuyển đổi AVANT-bảo vệ trong thời gian ngắn. Như một phần mở rộng họđề xuất Lineswitch, một biến thể chuyển mà phân biệt các gói dữ liệu dựa trên địa chỉ IPvà proxy gói chỉ cho đến khi bắt tay TCP thành công đầu tiên. Sau đó tất cả TCPSYN gói tin được chuyển tiếp đến máy chủ nhưng có chọn lọc đưa bởi AVANT-GUARDcơ chế dựa trên một giá trị được xác định xác suất. Nếu một kẻ tấn công thiết lập một kết nối hợp pháp trước và bắt đầu một trận lụt SYN tiếp theo các nỗ lực cuối cùng phát hiện rasau khi kiểm tra và IP toàn bộ tự động tạm thời cấm bởi việc chuyển đổi.Do đó, kẻ tấn công có sử dụng IP thực tế để có thể đáp ứng SYN-ACKgói dữ liệu, nhưng bị chặn ngay sau khi một nỗ lực lũ lụt đã bắt đầu. Mặc dù một phần mở rộngAVANT-GUARD, Lineswitch phải đối mặt với cùng một vấn đề thực tiễn và dựa vào các sửa đổi hoạt động của OpenFlow thiết bị chuyển mạch và bộ điều khiển. Cả hai của các mẫu thiết kế nói trên có thểđể bảo vệ kiểm soát máy bay và máy chủ đặc biệt nhạy cảm tương tự như một ID hoặc tường lửa,nhưng không cung cấp các cơ chế tự động để giành lại quyền kiểm soát toàn bộ mạng trongmột cuộc tấn công. Giải pháp bổ sung, tự động công nhận và ngăn ngừa độc hại lưu lượng truy cậpDựa trên phát hiện địa phương bất thường, đã được xuất bản.Mihai-Gabriel & Victor-Valeriu, năm 2014 [114], dựa trên bên ngoài thông minh và phát triển mộtHệ thống phát hiện xâm nhập SDN. Họ sử dụng sFlow, một giao diện giám sát tốc độ cao, dựa trên mẫu được hỗ trợ bởi một số loại chuyển đổi và các nhà cung cấp. Thiết bị chuyển mạch OpenFlowxuất khẩu các mẫu lưu lượng truy cập vào một máy ảo riêng biệt tính một ngưỡng nguy cơ. NếuMáy xác định một nguy cơ, nó sẽ gửi một lệnh để điều khiển để ngăn chặn hoặc chuyển hướnglưu lượng truy cập vào máy tính cho mục đích kiểm tra lưu lượng truy cập. Nhóm đã chỉ phát triển một bằng chứng củakhái niệm và các kế hoạch để phát triển một ứng dụng ghi gốc để thay thế riêng ảomáy. Gkounis, Kotronis & Xenofontas, năm 2014 [115] đang điều tra một giải pháp để ngăn chặnCrossFire cuộc tấn công, một kỹ thuật tấn công tại tích tụ không thể phát hiện và hợp phápbăng thông thấp chảy để lũ lụt và quá tải liên kết mạng cần thiết.Cuối cùng, OpenDaylight kết hợp ứng dụng DDoS tùy chọn Defense4All [47] như mộtgiải pháp khả thi và thực tế để bảo vệ mạng. Các ứng dụng hợp tác với cácBộ điều khiển OpenDaylight và tách biệt nhau tấn công giảm nhẹ hệ thống hoặc chà Trung tâm. Sau khicài đặt, Hệ thống cài đặt lưu lượng mục trên thiết bị chuyển mạch được chỉ định để giám sát liên tụclưu lượng truy cập và học hành vi bình thường mạng từ một vị trí trung tâm. Sau khi một cuộc tấn côngxác định, bộ điều khiển được hướng dẫn để chuyển hướng dòng chảy vào giảm nhẹ chà kỹ hoặc tấn côngcentres to cleanse the traffic. This model presents a potential path to leverage the centralposition of the SDN controller and simultaneously provide thorough protection against DoSin the network.All of these designs, however, rely on external dedicated machines to support their techniques. It is desirable to install native detection and mitigation applications in the controllersin order to reduce capital and operational cost of the network and to prevent traffic flowamplification. A selected attempt to incorporate native IDS applications and to protectcloud provider networks in the controller is DaMask, developed by Wang et al., 2014 [116].The Floodlight application inspects unknown packets, which the controller has received, andidentifies potential anomalies using the open-source IDS software Snort as a basis. If an attack is detected, the system installs FORWARD, DROP or MODIFY table entries on the affected switches, depending on a pre-defined administrator policy.

Kết quả (Việt) 2:

Có thể lập luận rằng các cuộc tấn công dễ dàng nhận dạng bởi các hệ thống phát hiện xâm nhập
như nó biểu hiện hành vi bất thường. Tuy nhiên, nhóm nghiên cứu đã có thể thực hiện của họ
về lý thuyết và cạn kiệt các switch AVANT-GUARD trong thời gian ngắn. Là một phần mở rộng mà họ
đề xuất Lineswitch, sửa đổi một switch trong đó phân biệt các gói tin dựa trên địa chỉ IP
và proxy gói chỉ cho đến khi người đầu tiên bắt tay TCP thành công. Tất cả TCP tiếp
các gói tin SYN được gửi đến máy chủ nhưng có chọn lọc đại diện bởi các AVANT-GUARD
cơ chế dựa trên một giá trị xác định. Nếu kẻ tấn công thiết lập một kết nối hợp pháp trước và bắt đầu một SYN lũ tiếp theo những nỗ lực cuối cùng cũng phát hiện ra
sau khi kiểm tra và toàn bộ IP được tự động tạm thời danh sách đen của các switch.
Do đó, những kẻ tấn công đã sử dụng IP thực để có thể đáp ứng SYN-ACK
gói, nhưng bị chặn lại ngay sau khi một nỗ lực lũ lụt đã bắt đầu. Mặc dù một phần mở rộng để
AVANT-GUARD, Lineswitch phải đối mặt với các vấn đề thực tiễn cùng và dựa trên điều chỉnh hoạt động của các thiết bị chuyển mạch OpenFlow và bộ điều khiển. Cả hai thiết kế nói trên có thể
để bảo vệ các máy bay điều khiển và máy chủ đặc biệt nhạy cảm tương tự như một IDS hoặc tường lửa,
nhưng không cung cấp cơ chế tự động để kiểm soát lại toàn bộ mạng trong
một cuộc tấn công. Giải pháp bổ sung, tự động nhận biết và ngăn chặn lưu lượng nguy hiểm
dựa trên phát hiện bất thường ở địa phương, đã được công bố.
Mihai-Gabriel & Victor-Valeriu năm 2014 [114], dựa trên thông tin tình báo bên ngoài và phát triển một
hệ thống phát hiện xâm nhập SDN. Họ sử dụng sFlow, một tốc độ cao, lấy mẫu dựa trên giao diện giám sát hỗ trợ bởi một số loại hình chuyển đổi và các nhà cung cấp. Các OpenFlow chuyển
giao mẫu xuất khẩu cho một máy ảo riêng biệt, mà tính một ngưỡng rủi ro. Nếu
máy sẽ xác định được nguy cơ, nó sẽ gửi một lệnh để điều khiển một trong hai khối hoặc chuyển hướng
lưu lượng truy cập đến các máy tính cho mục đích thanh tra giao thông. Các đội duy nhất đã phát triển một bằng chứng của
khái niệm và kế hoạch phát triển một ứng dụng bản địa Đèn pha thay thế cho riêng ảo
máy. Gkounis, Kotronis & Xenofontas năm 2014 [115] đang điều tra một giải pháp để ngăn chặn
các cuộc tấn công làn, một kỹ thuật tấn công mới đây mà tích tụ không thể phát hiện và hợp pháp
thấp băng thông dòng chảy lũ và làm quá tải các liên kết mạng cần thiết.
Cuối cùng, OpenDaylight kết hợp các DDoS ứng dụng tùy chọn Defense4All [ 47] như là một
giải pháp khả thi và thiết thực để bảo vệ mạng. Các ứng dụng hợp tác với các
bộ điều khiển OpenDaylight và hệ thống giảm thiểu tấn công tách hoặc trung tâm chà. Sau khi
cài đặt, hệ thống cài đặt mục lưu trên thiết bị chuyển mạch được chỉ định để liên tục theo dõi
lưu lượng truy cập và biết hành vi của mạng thông thường từ một vị trí trung tâm. Một khi một cuộc tấn công được
xác định, bộ điều khiển sẽ được hướng dẫn để chuyển hướng dòng chảy vào chà hoặc giảm thiểu tấn công
các trung tâm để làm sạch các lưu lượng truy cập. Mô hình này trình bày một con đường tiềm năng để thúc đẩy các trung tâm
vị trí của bộ điều khiển SDN và đồng thời cung cấp bảo vệ toàn diện chống lại DoS
trong mạng.
Tất cả những thiết kế này, tuy nhiên, dựa trên các máy chuyên dụng bên ngoài để hỗ trợ kỹ thuật của họ. Đó là mong muốn để cài đặt phát hiện và giảm nhẹ các ứng dụng bản địa trong các bộ điều khiển
để giảm vốn và chi phí hoạt động của mạng và để ngăn chặn dòng chảy giao thông
khuếch đại. Một nỗ lực được lựa chọn để kết hợp IDS ứng dụng gốc và để bảo vệ
các mạng cung cấp dịch vụ điện toán đám mây trong bộ điều khiển là Damask, được phát triển bởi Wang et al., 2014 [116].
Các ứng dụng Đèn pha kiểm tra các gói tin không rõ, đó bộ điều khiển đã nhận được, và
xác định các bất thường tiềm năng sử dụng mã nguồn mở phần mềm IDS Snort làm cơ sở. Nếu một lúc
tack được phát hiện, hệ thống cài đặt FORWARD, thả hoặc MODIFY mục bảng trên các công tắc bị ảnh hưởng, tùy thuộc vào chính sách quản trị được xác định trước.