[發(fā)明專利]一種基于協(xié)同理論的DDoS攻擊防御系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 201710128028.7
• 申請日: 2017-03-06
• 公開（公告）號: CN106921666B
• 公開（公告）日: 2020-10-02
• 發(fā)明（設計）人: 黃以華;黃陽欣
• 申請（專利權）人: 中山大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州粵高專利商標代理有限公司 44102
• 代理人: 林麗明

1.一種基于協(xié)同理論的DDoS攻擊防御系統(tǒng)，具體應用于SDN網(wǎng)絡，其特征在于：包括控制器和設置在交換機上的清洗設備，所述控制器用于對全網(wǎng)交換機的端口進行監(jiān)測，然后將監(jiān)測到的交換機異常端口的網(wǎng)絡流量牽引到清洗設備；所述清洗設備用于對接收到的網(wǎng)絡流量進行分析及清洗，并基于分析的結果向控制器提供安全防御策略；控制器基于安全防御策略配置交換機，從而對攻擊進行緩解；

所述控制器包括位于控制層的入包統(tǒng)計模塊、流量統(tǒng)計模塊、流表配置模塊和設備管理模塊，以及位于應用層的防御策略配置模塊、交互管理模塊和日志記錄模塊；

其中入包統(tǒng)計模塊用于對發(fā)往控制器的Packet-In包進行統(tǒng)計分析，并基于分析的結果確定受到虛假IP地址DDoS攻擊和針對控制器的DDoS攻擊的交換機異常端口；

所述流量統(tǒng)計模塊用于對SDN網(wǎng)絡中各個交換機的端口流量進行實時監(jiān)測，然后基于監(jiān)測的結果確定受到僵尸網(wǎng)絡發(fā)起的DDoS攻擊的交換機異常端口；

流表配置模塊用于下發(fā)流表到指定交換機中，實現(xiàn)異常端口網(wǎng)絡流量牽引到清洗設備；

設備管理模塊用于管理SDN網(wǎng)絡中的清洗設備，記錄清洗設備的狀態(tài)信息；

所述防御策略配置模塊用于與清洗設備進行交互，接收來自清洗設備的安全防御策略，然后基于安全防御策略配置交換機；

所述交互管理模塊用于提供可視化界面供管理員使用；

所述日志記錄模塊用于將防御系統(tǒng)產(chǎn)生的日志信息上傳到數(shù)據(jù)庫；

所述清洗設備包括流量收集模塊、流量分類模塊、流量處理模塊和策略配置模塊；

其中流量收集模塊用于監(jiān)控清洗設備的網(wǎng)絡端口，對發(fā)往清洗設備的網(wǎng)絡流量數(shù)據(jù)包進行緩存；

所述流量分類模塊用于周期性地對緩存的網(wǎng)絡流量進行分類檢測，得到其攻擊類型；

所述流量處理模塊用于根據(jù)攻擊類型剔除網(wǎng)絡流量中的異常流量，然后將正常流量回流到網(wǎng)絡中；

策略配置模塊用于對攻擊類型和異常流量的統(tǒng)計分布情況進行綜合分析后得出安全防御策略，并發(fā)往控制器的防御策略配置模塊；

所述入包統(tǒng)計模塊在確定受到虛假IP地址DDoS攻擊的交換機異常端口時，首先使用基于目的IP地址的熵值統(tǒng)計方法對發(fā)往控制器的Packet-In包進行統(tǒng)計，當檢測到熵值低于預設閾值時，選取提供最大貢獻率的交換機中占比率最大的端口作為異常端口；

所述入包統(tǒng)計模塊在確定受到針對控制器的DDoS攻擊的交換機異常端口時，通過檢測各交換機端口的MAC-IP綁定表的更新速率來確定異常端口，當某個交換機的端口的更新速率超過預設速率時，則將其確定為異常端口。

2.根據(jù)權利要求1所述的基于協(xié)同理論的DDoS攻擊防御系統(tǒng)，其特征在于：所述流量統(tǒng)計模塊通過檢測交換機各個端口的流量帶寬來確定異常端口，當交換機端口的流量帶寬超過了設定的閾值，并且在設定的預警時長內未能降低到預設閾值以下，則將該端口確定為異常端口。

3.根據(jù)權利要求1所述的基于協(xié)同理論的DDoS攻擊防御系統(tǒng)，其特征在于：所述流表配置模塊通過下發(fā)流表的方式實現(xiàn)異常端口網(wǎng)絡流量的牽引；當清洗設備和異常端口屬于同一臺交換機時，流表配置模塊直接向該交換機下發(fā)Flow_Mod消息進行本地端口轉發(fā)；當清洗設備和異常端口分屬不同交換機時，流表配置模塊根據(jù)拓撲信息基于Dijkstra算法得到從異常端口到清洗設備的最優(yōu)路徑；在得到最優(yōu)路徑后，流表配置模塊通過Openflow1.1協(xié)議支持的QinQ技術，在異常端口處給網(wǎng)絡流量添加VLAN Tag；在最優(yōu)路徑涉及的交換機上轉發(fā)匹配該VLAN Tag的網(wǎng)絡流量，最后在清洗設備端口處將該VLAN Tag移除，實現(xiàn)流量牽引。

4.根據(jù)權利要求1所述的基于協(xié)同理論的DDoS攻擊防御系統(tǒng)，其特征在于：所述流量分類模塊周期性地從緩存中提取網(wǎng)絡流量數(shù)據(jù)包進行特征分析，得到特征元組，將特征元組輸入到經(jīng)過訓練的BP神經(jīng)網(wǎng)絡中進行分類，得出DDoS攻擊類型。

5.根據(jù)權利要求1所述的基于協(xié)同理論的DDoS攻擊防御系統(tǒng)，其特征在于：所述策略配置模塊通過SSL信道將安全防御策略發(fā)送至控制器的防御策略配置模塊。

6.一種根據(jù)權利要求1所述系統(tǒng)的方法，其特征在于：包括以下步驟：

步驟1：控制器通過入包統(tǒng)計模塊和流量統(tǒng)計模塊對全網(wǎng)交換機的端口進行實時監(jiān)測，搜尋并確認受到DDoS攻擊的異常端口；

步驟2：確認異常端口后，控制器通過流表配置模塊和設備管理模塊，將異常端口的網(wǎng)絡流量牽引到清洗設備；

步驟3：清洗設備通過流量收集模塊接收來自異常端口的網(wǎng)絡流量；

步驟4：清洗設備通過流量分類模塊周期性地從流量收集模塊中獲取網(wǎng)絡流量，并經(jīng)過分類檢測后得到DDoS攻擊類型；

步驟5：根據(jù)攻擊類型，清洗設備中的流量處理模塊將符合該攻擊類型的流量剔除，而將其余的正常流量回流到網(wǎng)絡中；

步驟6：清洗設備的策略配置模塊結合攻擊類型和異常流量的統(tǒng)計分布情況進行分析，得出安全防御策略并發(fā)往控制器的防御策略配置模塊；

步驟7：防御策略配置模塊接受到清洗設備提供的安全防御策略后根據(jù)安全防御策略配置交換機，同時清除交換機中牽引到清洗設備的相關流表項，并上傳日志到數(shù)據(jù)庫；

步驟8：清洗設備根據(jù)安全防御策略對后續(xù)緩存的網(wǎng)絡流量進行清洗，直至所有流量處理完畢，之后通知控制器更新設備管理模塊。