[發明專利]DDoS威脅過濾與鏈路重配的SDN架構及工作方法

在審

• 申請號: 201510016256.6
• 申請日: 2015-01-09
• 公開（公告）號: CN104468636A
• 公開（公告）日: 2015-03-25
• 發明（設計）人: 李忠
• 申請（專利權）人: 李忠
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種SDN架構，其特征在于，包括：控制器、IDS決策服務器和分布式的IDS設備；

當任一IDS設備檢測到具有DDoS攻擊特征的報文時，即上報至IDS決策服務器，通過該IDS決策服務器制定出與所述報文對應的處理策略，并將處理策略下發至控制器以進行威脅處理，以及所述控制器在威脅處理后重新規劃路由路徑。

2.根據權利要求1所述的SDN架構，其特征在于，所述IDS設備內包括：

欺騙報文檢測模塊，對鏈路層和網際層地址的欺騙行為進行檢測；

破壞報文檢測模塊，對網際層和傳輸層標志位設置的異常行為進行檢測；

異常報文檢測模塊，對應用層和傳輸層泛洪式攻擊行為進行檢測；

通過所述欺騙報文檢測模塊、破壞報文檢測模塊、異常報文檢測模塊依次對報文進行檢測；且若任一檢測模塊檢測出報文存在上述相應行為時，則將該報文轉入IDS決策服務器。

3.根據權利要求2所述的SDN架構，其特征在于，

所述IDS決策服務器適于當報文具有欺騙行為，且攻擊威脅在OpenFlow域中，則通過控制器屏蔽攻擊主機；或當攻擊威脅不在OpenFlow域中，則通過控制器將該報文所對應的OF交換機接入端口流量重定向至流量清洗中心進行過濾；

所述IDS決策服務器還適于當報文具有異常行為，則通過控制器對攻擊程序或攻擊主機的流量進行屏蔽；以及

當報文具有泛洪式攻擊行為，則所述IDS決策服務器適于通過控制器將該報文所對應的OF交換機接入端口流量重定向至流量清洗中心進行過濾；

所述控制器內設一屏蔽計時模塊，所述屏蔽計時模塊內設有步進時間，該步進時間適于限定屏蔽攻擊主機時間，且跟隨主機屏蔽次數而遞增。

4.根據權利要求3所述的SDN架構，其特征在于，所述控制器適于在屏蔽攻擊主機后，重新規劃路由路徑；即檢測兩相鄰節點的鏈路剩余帶寬，獲得該鏈路的負載系數，再根據該負載系數調整路由路徑，并將該路由路徑得出對應的轉發流表并下發各OF交換機。

5.一種SDN架構的工作方法，包括如下步驟：

步驟S100，網絡初始化；

步驟S200，分布式DDoS威脅監測；

步驟S300，威脅處理；

步驟S400，重新規劃路由路徑。

6.根據權利要求5所述的SDN架構的工作方法，其特征在于，所述SDN架構包括：控制器、IDS決策服務器和分布式的IDS設備；

網絡初始化的步驟如下：

步驟S101，所述IDS決策服務器與各IDS設備建立專用的SSL通信信道；

步驟S102，所述控制器構建網絡設備信息綁定表，并且將網絡設備信息綁定表實時更新到各IDS設備中；

步驟S104，所述控制器下發鏡像策略的流表，即將OF交換機所有拖載有主機的端口流量鏡像轉發給網域內對應的IDS設備；以及

步驟S105，所述控制器下發DDoS威脅識別規則給IDS設備。

7.根據權利要求6所述的SDN架構的工作方法，其特征在于，所述步驟S200中分布式DDoS威脅監測的方法包括：

依次對鏈路層和網際層地址的欺騙行為，網際層和傳輸層標志位設置異常行為，以及應用層和傳輸層的泛洪式攻擊行為進行檢測；

若上述過程中任一檢測判斷出報文存在相應行為時，則將該報文轉入步驟S300。