[發(fā)明專利]一種檢測(cè)基于流表超時(shí)機(jī)制的分布式拒絕服務(wù)攻擊的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201610114588.2
• 申請(qǐng)日: 2016-03-01
• 公開（公告）號(hào): CN105554041B
• 公開（公告）日: 2018-05-25
• 發(fā)明（設(shè)計(jì)）人: 岳建明;竇萬春;范英;王聯(lián)民;劉孟;周承志;孫玲玲
• 申請(qǐng)（專利權(quán)）人: 江蘇三棱智慧物聯(lián)發(fā)展股份有限公司;南京大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 江蘇圣典律師事務(wù)所 32237
• 代理人: 胡建華

1.一種檢測(cè)基于流表超時(shí)機(jī)制的分布式拒絕服務(wù)攻擊的方法，其特征在于，包括以下步驟：

步驟1：創(chuàng)建可疑表：為軟件定義網(wǎng)絡(luò)檢測(cè)基于流表超時(shí)機(jī)制的分布式拒絕服務(wù)攻擊創(chuàng)建一個(gè)可疑表，可疑表由一組可疑表項(xiàng)構(gòu)成；

步驟2：獲取當(dāng)前網(wǎng)絡(luò)狀態(tài)快照：創(chuàng)建軟件定義網(wǎng)絡(luò)流表在當(dāng)前檢測(cè)周期中的快照；

步驟3：更新可疑表：對(duì)比步驟2中的流表快照，更新每一個(gè)可疑表項(xiàng)；

步驟4：攻擊檢測(cè)：迭代步驟2和步驟3，直至最終檢測(cè)警報(bào)響起，保存在可疑表中的有效表項(xiàng)對(duì)應(yīng)的流即分布式拒絕服務(wù)攻擊流量；

創(chuàng)建一個(gè)可疑表，可疑表表項(xiàng)是一個(gè)五元組：<匹配項(xiàng)，最后訪問，時(shí)間戳，標(biāo)志，計(jì)數(shù)器>，<匹配項(xiàng)>字段即該可疑表項(xiàng)對(duì)應(yīng)的流表項(xiàng)中的匹配項(xiàng)字段，<最后訪問>字段是該可疑表項(xiàng)對(duì)應(yīng)的流表項(xiàng)到目前為止的最后訪問間隔之和，<時(shí)間戳>字段指明該可疑表項(xiàng)被插入可疑表的檢測(cè)周期，<標(biāo)志>字段表明該可疑表項(xiàng)當(dāng)前是否有效，<計(jì)數(shù)器>字段指明該可疑表項(xiàng)對(duì)應(yīng)的流表項(xiàng)連續(xù)存在的檢測(cè)周期數(shù)；

在每個(gè)檢測(cè)周期獲取當(dāng)前流表的快照，并將每個(gè)流表項(xiàng)和可疑表中的表項(xiàng)對(duì)比，若存在一個(gè)可疑表項(xiàng)的<匹配項(xiàng)>字段和快照中流表項(xiàng)<匹配項(xiàng)>字段相同，并且該可疑表項(xiàng)<標(biāo)志>字段有效，則更新對(duì)應(yīng)的可疑表項(xiàng)；如果不存在任何一個(gè)可疑表項(xiàng)和該流表項(xiàng)<匹配項(xiàng)>字段相同，則找到當(dāng)前可疑表中第一個(gè)<標(biāo)志>字段是無效的可疑表項(xiàng)，將該流表項(xiàng)插入該位置，插入后的可疑表項(xiàng)標(biāo)志字段置為有效；處理完當(dāng)前快照中所有流表項(xiàng)后，對(duì)于每一個(gè)有效表項(xiàng)，如果其<時(shí)間戳>字段指明其是前一個(gè)檢測(cè)周期插入的，則將其標(biāo)志字段設(shè)置為無效。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述軟件定義網(wǎng)絡(luò)中基于流表超時(shí)機(jī)制的分布式拒絕服務(wù)攻擊，根據(jù)流表超時(shí)機(jī)制，周期性地持續(xù)發(fā)送相同的流量，從而長期占據(jù)流表中的表項(xiàng)。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，在每個(gè)檢測(cè)周期迭代步驟2和步驟3，如果一個(gè)可疑表項(xiàng)的<計(jì)數(shù)器>字段大于檢測(cè)系統(tǒng)設(shè)定的閾值100，則響起檢測(cè)警報(bào)：該可疑表項(xiàng)對(duì)應(yīng)的流即判定為攻擊流。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，對(duì)警報(bào)的可疑表項(xiàng)根據(jù)訪問數(shù)與計(jì)數(shù)器的比值從大到小排序，將排在最前面1％的可疑表項(xiàng)劃分為正常流量，剩下的即對(duì)應(yīng)攻擊流量，則檢測(cè)完畢。