[發明專利]網絡安全防御方法及SDN控制器

有效

• 申請號: 201611002110.7
• 申請日: 2016-11-14
• 公開（公告）號: CN108076014B
• 公開（公告）日: 2020-11-17
• 發明（設計）人: 何名欽
• 申請（專利權）人: 南寧富桂精密工業有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市賽恩倍吉知識產權代理有限公司 44334
• 代理人: 饒智彬

1.一種網絡安全防御方法，應用于軟件定義網絡(SDN)控制器，所述SDN控制器位于網絡拓撲中，所述網絡拓撲包括至少一個安全設備及多個轉發設備，其特征在于，所述SDN控制器包括所述網絡拓撲的拓撲信息，所述方法包括：

監測第一網絡裝置和第二網絡裝置之間基于多路徑傳輸協議連接的至少兩個子流，其中第一子流沿包括有所述安全設備的第一傳輸路線進行數據傳輸，第二子流沿不包括所述安全設備的第二傳輸路線進行數據傳輸；

根據所述網絡拓撲的拓撲信息分析出所述第二傳輸路線中與所述安全設備連接的一個第一轉發設備，及分析出所述第一子流經由所述安全設備流入的第二轉發設備；

生成第一流表并將該第一流表下發至所述第一轉發設備中，以控制所述第一轉發設備鏡像該第二子流以得到鏡像子流，并將該鏡像子流經由所述安全設備轉發至所述第二轉發設備中；

生成第二流表并將該第二流表下發至第二轉發設備中，以使所述第二轉發設備監測是否在預定時間內經由所述安全設備接收到所述鏡像子流；及

若所述第二轉發設備在所述預定時間內未經由所述安全設備接收到所述鏡像子流，向所述第二傳輸路線中的一個或多個轉發設備下發攔截所述第二子流的第三流表。

2.如權利要求1所述之網絡安全防御方法，其特征在于，監測第一網絡裝置和第二網絡裝置之間基于多路徑傳輸協議連接的至少兩個子流的步驟之后，還包括：

識別該至少兩個子流所關聯的應用程序；及

依據該應用程序，決策是否要下發所述第一流表及所述第二流表以執行安全防御操作。

3.如權利要求1所述之網絡安全防御方法，其特征在于，所述第一轉發設備是所述第二傳輸路線的多個轉發設備中與所述安全設備最接近的一個轉發設備。

4.如權利要求1所述之網絡安全防御方法，其特征在于，所述第一流表包括第一有效時間段，用于指示所述第一轉發設備在該第一有效時間段內轉發所述鏡像子流。

5.如權利要求1所述之網絡安全防御方法，其特征在于，所述第二流表包括第二有效時間段，用于指示所述第二轉發設備以該第二有效時間段為所述預定時間。

6.一種SDN控制器，所述SDN控制器位于網絡拓撲中，所述網絡拓撲包括至少一個安全設備及多個轉發設備，其特征在于，所述SDN控制器包括所述網絡拓撲的拓撲信息，所述SDN控制器包括：

監測模塊，用于監測第一網絡裝置和第二網絡裝置之間基于多路徑傳輸協議連接的至少兩個子流，其中第一子流沿包括有所述安全設備的第一傳輸路線進行數據傳輸，第二子流沿不包括所述安全設備的第二傳輸路線進行數據傳輸：

分析模塊，用于根據所述網絡拓撲的拓撲信息分析出所述第二傳輸路線中與所述安全設備連接的一個第一轉發設備，及分析出所述第一子流經由所述安全設備流入的第二轉發設備；

第一部署模塊，用于生成第一流表并將該第一流表下發至所述第一轉發設備中，以控制所述第一轉發設備鏡像該第二子流以得到鏡像子流，并將該鏡像子流經由所述安全設備轉發至所述第二轉發設備中；

第二部署模塊，用于生成第二流表并將該第二流表下發至第二轉發設備中，以使所述第二轉發設備監測是否在預定時間內經由所述安全設備接收到所述鏡像子流；及

第三部署模塊，用于若所述第二轉發設備在所述預定時間內未經由所述安全設備接收到所述鏡像子流，向所述第二傳輸路線中的一個或多個轉發設備下發攔截所述第二子流的第三流表。

7.如權利要求6所述之SDN控制器，其特征在于，還包括識別模塊及決策模塊：

所述識別模塊，用于識別該至少兩個子流所關聯的應用程序；及

所述決策模塊，用于依據該應用程序，決策是否要下發所述第一流表及所述第二流表以執行安全防御操作。

8.如權利要求6所述之SDN控制器，其特征在于，所述第一轉發設備是所述第二傳輸路線的多個轉發設備中與所述安全設備最接近的一個轉發設備。