[發(fā)明專利]軟件定義網(wǎng)絡(luò)中識別攻擊流的方法、裝置以及設(shè)備

有效

• 申請?zhí)枺?/td>: 201480045679.4
• 申請日: 2014-06-17
• 公開（公告）號: CN105474602B
• 公開（公告）日: 2019-02-05
• 發(fā)明（設(shè)計）人: 鐘來軍;趙秀楚;祁凱
• 申請（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市威世博知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44280
• 代理人: 何青瓦

1.一種軟件定義網(wǎng)絡(luò)中識別攻擊流的方法，所述軟件定義網(wǎng)絡(luò)包括交換機(jī)和控制器，其特征在于，所述交換機(jī)中存儲有非法流過濾表，所述識別攻擊流的方法包括以下步驟：

所述交換機(jī)接收數(shù)據(jù)流的數(shù)據(jù)包，并根據(jù)所述數(shù)據(jù)包的特征值在所述非法流過濾表中查找與所述數(shù)據(jù)流對應(yīng)的過濾表項的狀態(tài)字段；

當(dāng)所述狀態(tài)字段為疑似攻擊流狀態(tài)或者非攻擊流狀態(tài)時，所述交換機(jī)向控制器發(fā)送上報消息；

所述交換機(jī)確定向所述控制器發(fā)送所述上報消息的速率值，將所述速率值填充在所述過濾表項的速率字段；

當(dāng)所述速率值大于預(yù)設(shè)的速率閾值時，所述交換機(jī)將所述過濾表項的狀態(tài)字段修改為攻擊流狀態(tài)；

其中，所述過濾表項是所述交換機(jī)接收到所述數(shù)據(jù)流的第一個數(shù)據(jù)包時創(chuàng)建的。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述第一個數(shù)據(jù)包的特征值填充在所述過濾表項的匹配域字段，所述特征值用于識別屬于所述數(shù)據(jù)流的其他數(shù)據(jù)包。

3.根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述方法還包括如下步驟：

所述交換機(jī)確定向所述控制器發(fā)送所述上報消息的持續(xù)時間值，將所述持續(xù)時間值填充在所述過濾表項的持續(xù)時間字段；

當(dāng)所述速率值小于或等于所述速率閾值時，所述交換機(jī)判斷所述持續(xù)時間值是否大于預(yù)設(shè)的最大持續(xù)時間值；

當(dāng)所述持續(xù)時間大于所述預(yù)設(shè)的最大持續(xù)時間時，所述交換機(jī)將所述過濾表項的狀態(tài)字段修改為疑似攻擊流狀態(tài)。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述方法還包括：

所述交換機(jī)確定向所述控制器發(fā)送所述上報消息的流量值，將所述流量值填充在所述過濾表項的流量字段；

當(dāng)所述持續(xù)時間小于或者等于所述預(yù)設(shè)的最大持續(xù)時間時，所述交換機(jī)判斷所述流量值是否大于預(yù)設(shè)的流量閾值；

如果所述流量值大于所述預(yù)設(shè)的流量閾值，所述交換機(jī)將所述過濾表項的狀態(tài)字段修改為疑似攻擊流狀態(tài)；

如果所述流量值小于或者等于所述預(yù)設(shè)的流量閾值，所述交換機(jī)將所述過濾表項的狀態(tài)字段修改為非攻擊流狀態(tài)。

5.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述方法還包括：

當(dāng)所述過濾表項的狀態(tài)字段修改為疑似攻擊流狀態(tài)時，所述交換機(jī)將所述疑似攻擊流狀態(tài)發(fā)送給所述控制器；

所述交換機(jī)接收所述控制器返回的判定結(jié)果，并根據(jù)所述判定結(jié)果確認(rèn)是否修改所述過濾表項的狀態(tài)字段。

6.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述方法還包括：

當(dāng)所述過濾表項的狀態(tài)字段為疑似攻擊流狀態(tài)時，所述交換機(jī)降低向所述控制器發(fā)送所述上報消息的速率。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

當(dāng)所述狀態(tài)字段為攻擊流狀態(tài)時，所述交換機(jī)丟棄所述數(shù)據(jù)流的后續(xù)數(shù)據(jù)包。

8.一種軟件定義網(wǎng)絡(luò)中識別攻擊流的裝置，其特征在于，所述裝置包括接收模塊、發(fā)送模塊、填充模塊以及修改模塊，

所述接收模塊用于接收數(shù)據(jù)流的數(shù)據(jù)包，并根據(jù)所述數(shù)據(jù)包的特征值在非法流過濾表中查找與所述數(shù)據(jù)流對應(yīng)的過濾表項的狀態(tài)字段，所述接收模塊將所述狀態(tài)字段發(fā)送給所述發(fā)送模塊；

所述發(fā)送模塊用于接收所述狀態(tài)字段，當(dāng)所述狀態(tài)字段為疑似攻擊流狀態(tài)或者非攻擊流狀態(tài)時，向控制器發(fā)送上報消息；

所述填充模塊用于確定向所述控制器發(fā)送所述上報消息的速率值，將所述速率值填充在所述過濾表項的速率字段，所述填充模塊將所述速率值發(fā)送給所述修改模塊；

所述修改模塊用于接收所述速率值，當(dāng)所述速率值大于預(yù)設(shè)的速率閾值時，將所述過濾表項的狀態(tài)字段修改為攻擊流狀態(tài)；

其中，所述過濾表項是所述裝置接收到所述數(shù)據(jù)流的第一個數(shù)據(jù)包時創(chuàng)建的。

9.根據(jù)權(quán)利要求8所述的裝置，其特征在于，所述第一個數(shù)據(jù)包的特征值填充在所述過濾表項的匹配域字段，所述特征值用于識別屬于所述數(shù)據(jù)流的其他數(shù)據(jù)包。