[發明專利]多協議標記交換網絡的雙向復合信源定位方法

有效

• 申請號: 200810080211.5
• 申請日: 2008-12-25
• 公開（公告）號: CN101447916A
• 公開（公告）日: 2009-06-03
• 發明（設計）人: 張林杰;楊國瑞;吳巍;駱連合;劉存才;趙麗霞;妥艷君;鄧煒;李丹鏑;李艷
• 申請（專利權）人: 中國電子科技集團公司第五十四研究所
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/06;H04L9/30;G06F17/30
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種多協議標記交換網絡的雙向復合信源定位方法，其特征在于包括步驟：

①IP通信數據包進入多協議標記交換網絡的邊緣路由器傳輸時，邊緣路由器依設定標記概率對IP通信數據包進行標記，標記內容包括邊緣路由器的ID信息，采用基于標識的組合公鑰簽名技術對邊緣路由器的ID信息進行數字簽名，邊緣路由器將IP通信數據包加上MPLS頭變成MPLS通信數據包發送到多協議標記交換網絡中傳輸；

②MPLS通信數據包在多協議標記交換網絡中傳輸時，MPLS通信數據包經過的每個路由器將依據設定記錄概率對MPLS通信數據包進行記錄，記錄信息為MPLS通信數據包內容中具有固定長度的特征信息，記錄方法采用Bloom?filter數據結構，Bloom?filter數據結構以預定周期循環更新；在多協議標記交換網絡的出口邊緣路由器將MPLS通信數據包包頭中的標簽放進IP通信數據包包頭中的設定字段進行標記；

③當多協議標記交換網絡對標簽進行更新時，記錄歷史標簽映射關系，以設定的時間周期對歷史標簽映射關系進行更新；

④接收端的入侵檢測系統檢測到網絡攻擊時，檢測IP通信數據包的攻擊數據包中是否存在標記有邊緣路由器ID信息的標記數據包，如果存在標記數據包，則進行基于組合公鑰簽名技術的邊緣概率包標記算法的信源定位；否則，提取與設定記錄概率相關數量的樣本IP攻擊數據包，進行基于多協議標記交換網絡標簽記錄的概率包記錄算法的信源定位；

⑤基于組合公鑰簽名技術的邊緣概率包標記算法進行信源定位時，根據經過標記的攻擊數據包中標記的邊緣路由器ID信息得到對應的邊緣路由器的公鑰，利用邊緣路由器的公鑰對標記數據包中的數字簽名進行驗證，如果對標記數據包的簽名驗證通過，則提取標記數據包中的邊緣路由器ID信息一步定位到攻擊端的邊緣路由器，需要還原正向標記交換攻擊路徑時，則從攻擊端邊緣路由器開始，借助多協議標記交換網絡的標記轉發表信息或記錄的歷史標簽映射關系還原出標記交換攻擊路徑；

基于多協議標記交換網絡標簽記錄的概率包記錄算法進行信源定位時，提取樣本IP攻擊數據包的特征字段、時間信息及包頭中標記的標簽信息，構造信源定位請求包，通過與被攻擊端邊緣路由器的攻擊特征匹配確定攻擊是否來自遠程局域網，如果攻擊來自遠程局域網，則被攻擊端邊緣路由器將信源定位請求包發往其上游鄰居路由器，各上游鄰居路由器將信源定位請求包中的標簽信息與它們對應時間段標簽映射條目中的出口標簽信息進行查詢匹配，標簽信息匹配成功后進行信源定位請求中各樣本IP攻擊數據包的攻擊特征的查詢匹配，標簽信息和攻擊特征均查詢匹配成功后表示當前進行匹配的路由器為攻擊路徑上的一個路由器節點，提取匹配命中路由器中匹配命中標簽映射條目的入口標簽替代信源定位請求包中的標簽信息，再向匹配命中路由器的各上游鄰居路由器發送信源定位請求包進行標簽和攻擊特征的查詢匹配過程，直至當前匹配命中路由器的各上游鄰居路由器中再沒有匹配命中的路由器；

⑥將信源定位結果返回給接收端的入侵檢測系統，完成對本次多協議標記交換網絡中網絡攻擊的雙向復合信源定位。