Facilitating defense against MAC table overflow attacksA method for defending against MAC table overflow attacks comprises a plurality of operations. An operation is performed for determining whether each one of a plurality of MAC addresses within a MAC table has one-way traffic or two-way traffic corresponding thereto. Thereafter, operations are performed for designating each MAC address having two-way traffic corresponding thereto as a first category of MAC address and for designating each MAC address having one-way traffic corresponding thereto as a second category of MAC address. In response to the number of the MAC addresses designated as the second category of MAC address exceeding a prescribed threshold value, an operation is performed for causing a timeout value of at least a portion of the MAC addresses designated as the second category of MAC address to be less than a timeout value of the MAC addresses designated as the first category of MAC address.An Ethernet switch, comprising: at least one data processing device; instructions processable by said at least one data processing device; and an apparatus from which said instructions are accessible by said at least one data processing device; wherein said instructions are configured for enabling said at least one data processing device to facilitate: a MAC table being populated to have a plurality of MAC address entries therein, wherein each one of said entries designates a respective MAC address, a respective MAC address category and a respective timeout value and wherein the respective MAC address category is one of a MAC address category corresponding to one-way traffic and a MAC address category corresponding to two-way traffic; a flood determining mechanism determining when an increase in the number of MAC address entries designating said one-way traffic MAC address category exceeds a prescribed threshold value; and a timeout value adjustment mechanism adjusting said timeout values dependent upon MAC address category, wherein said adjusting includes causing the timeout value of at least a portion said MAC address entries designating said one-way traffic MAC address category to be less than a default timeout value; wherein the flood determining mechanism is configured for determining when: an increase in the number of said MAC address entries designating said one-way traffic MAC address category exceeds a first prescribed penalty threshold value; an increase in the number of said MAC address entries designating said one-way traffic MAC address category exceeds a second prescribed penalty threshold value; and an increase in the number of said MAC address entries designating said one-way traffic MAC address category exceeds a prescribed drop threshold value; and the timeout value adjustment mechanism is configured for: setting the timeout value in said MAC address entries designating said one-way traffic MAC address category at a first reduced value relative to the default timeout value in response to the number of said MAC address entries designating said one-way traffic MAC address category exceeding the first prescribed penalty threshold value; setting the timeout value in said MAC address entries designating said one-way traffic MAC address category at a second reduced value relative to said default timeout value in response to the number of said MAC address entries designating said one-way traffic MAC address category exceeding the second prescribed penalty threshold value; and dropping traffic associated with at least a portion of said MAC address entries designating said one-way traffic MAC address category in response to the number of said MAC address entries designating said one-way traffic MAC address category exceeding the prescribed drop threshold value.
MAC 테이블 오버플로우 공격에 대해 방어하는 방법 및 이더넷 스위치MAC 테이블 오버플로우 공격에 대해 방어하는 방법은 복수의 동작을 포함한다. MAC 테이블 내의 복수의 MAC 주소 중 각각의 MAC 주소가 대응하는 단방향 트래픽 또는 양방향 트래픽을 가지는지 여부를 판정하는 동작이 수행된다. 그 후, 대응하는 양방향 트래픽을 가진 각각의 MAC 주소를 MAC 주소의 제 1 카테고리로서 지정하는 동작과, 대응하는 단방향 트래픽을 가진 각각의 MAC 주소를 MAC 주소의 제 2 카테고리로서 지정하는 동작이 수행된다. MAC 주소의 제 2 카테고리로서 지정된 MAC 주소의 수가 사전 정의된 임계치를 초과하는 것에 응답하여, MAC 주소의 제 2 카테고리로서 지정된 MAC 주소의 적어도 일부의 타임아웃 값이 MAC 주소의 제 1 카테고리로서 지정된 MAC 주소의 타임아웃 값보다 작도록 하는 동작이 수행된다.MAC 테이블 오버플로우 공격에 대해 방어하는 방법에 있어서,복수의 MAC 주소 엔트리를 내부에 갖는 MAC 테이블을 작성하는 동작을 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션―상기 MAC 주소 엔트리의 각각은 각각의 MAC 주소, 각각의 MAC 주소 카테고리 및 각각의 타임아웃 값을 지정하고, 상기 각각의 MAC 주소 카테고리는 단방향 트래픽에 대응하는 MAC 주소 카테고리와 양방향 트래픽에 대응하는 MAC 주소 카테고리 중 하나이며, 상기 각각의 타임아웃 값은 상기 MAC 주소 엔트리의 각각에 대해 디폴트 타임아웃 값으로 설정됨―을 상기 적어도 하나의 데이터 처리 장치가 상기 적어도 하나의 데이터 처리 장치에 결합된 메모리로부터 액세스하는 단계와,상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 수의 증가가 제 1 사전 정의된 패널티 임계치를 초과할 때를 판단하는 동작을 상기 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션을 상기 적어도 하나의 데이터 처리 장치가 상기 메모리로부터 액세스하는 단계와,상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 수의 증가가 제 2 사전 정의된 페널티 임계치를 초과하는 때를 판단하는 동작을 상기 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션을 상기 적어도 하나의 데이터 처리 장치가 상기 메모리로부터 액세스하는 단계와,상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 수의 증가가 사전 정의된 드롭 임계치를 초과하는 때를 판단하는 동작을 상기 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션을 상기 적어도 하나의 데이터 처리 장치가 상기 메모리로부터 액세스하는 단계와,상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 수가 사전 정의된 임계치를 초과하는 것에 응답하여, MAC 주소 카테고리에 의존하는 상기 각각의 타임아웃 값의 적어도 일부를 조정하는 동작을 상기 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션을 상기 적어도 하나의 데이터 처리 장치가 상기 메모리로부터 액세스하는 단계와,상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 수가 상기 제 1 사전 정의된 페널티 임계치를 초과하는 것에 응답하여, 상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리 내의 상기 각각의 타임아웃 값을 상기 디폴트 타임아웃 값에 대하여 제 1 감소된 타임아웃 값으로 설정하는 동작을 상기 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션을 상기 적어도 하나의 데이터 처리 장치가 상기 메모리로부터 액세스하는 단계와,상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 수가 상기 제 2 사전 정의된 페널티 임계치를 초과하는 것에 응답하여, 상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리 내의 상기 타임아웃 값을 상기 디폴트 타임아웃 값에 대하여 제 2 감소된 타임아웃 값으로 설정하는 동작을 상기 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션을 상기 적어도 하나의 데이터 처리 장치가 상기 메모리로부터 액세스하는 단계와,상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 수가 사전 정의된 드롭 임계치를 초과하는 것에 응답하여, 상기 단방향 트래픽 MAC 주소 카테고리를 지정하는 상기 MAC 주소 엔트리의 적어도 일부와 연관된 트래픽을 드롭하는 동작을 상기 적어도 하나의 데이터 처리 장치로 하여금 수행하도록 하는 인스트럭션을 상기 적어도 하나의 데이터 처리 장치가 상기 메모리로부터 액세스하는 단계를 포함하는MAC 테이블 오버플로우 공격에 대해 방어하는 방법.