[發(fā)明專利]適于解決網絡安全的SDN系統(tǒng)的工作方法

在審

• 申請?zhí)枺?/td>: 201711362500.X
• 申請日: 2014-12-17
• 公開（公告）號: CN107835199A
• 公開（公告）日: 2018-03-23
• 發(fā)明（設計）人: 不公告發(fā)明人
• 申請（專利權）人: 朱保生
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/725
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種融合DDoS威脅過濾與路由優(yōu)化的SDN系統(tǒng)的工作方法，其特征在于包括如下步驟：

步驟S100，網絡初始化；

步驟S200，分布式DDoS威脅監(jiān)測；以及

步驟S300，威脅處理和/或路由優(yōu)化；

所述步驟S200中分布式DDoS威脅監(jiān)測的方法包括：

依次對鏈路層和網際層地址的欺騙行為，網際層和傳輸層標志位設置異常行為，以及

應用層和傳輸層的泛洪式攻擊行為進行檢測；

若上述過程中任一檢測判斷出報文存在相應行為時，則將該報文轉入步驟S300。

2.根據權利要求1所述的SDN系統(tǒng)的工作方法，其特征在于，

對鏈路層和網際層地址的欺騙行為進行檢測的方法包括：

通過欺騙報文檢測模塊對欺騙行為進行檢測，即

首先，通過欺騙報文檢測模塊調用網絡設備信息綁定表；

其次，通過欺騙報文檢測模塊將封裝在Packet-In消息中報文的類型進行解析，以獲得相應的源、目的IP地址、MAC地址以及上傳此Packet-In消息的交換機DPID號和端口號，并將上述各信息分別與網絡設備信息綁定表中的相應信息進行比對；

若報文中的上述信息匹配，則將報文進行下一檢測；

若報文中的上述信息不匹配，則將報文轉入步驟S300；

所述網際層和傳輸層標志位設置異常行為進行檢測的方法包括：

通過破壞報文檢測模塊對標志位設置異常行為進行檢測，即

對報文的各標志位進行檢測，以判斷各標志位是否符合TCP/IP協議規(guī)范；

若報文的各標志位符合，則將報文轉入進行下一檢測；

若報文的各標志位不符合，則將報文轉入步驟S300；

所述應用層和傳輸層的泛洪式攻擊行為進行檢測的方法包括：

通過異常報文檢測模塊對泛洪式攻擊行為進行檢測，即

在異常報文檢測模塊構建用于識別泛洪式攻擊報文的哈希表，并根據該哈希表中設定的閥值判斷報文是否具有泛洪式攻擊行為，且將判斷結果轉入步驟S300。

3.根據權利要求2所述的SDN系統(tǒng)的工作方法，其特征在于，所述步驟S300中威脅處理和/或路由優(yōu)化的方法包括：

若報文具有欺騙行為，且攻擊威脅在OpenFlow域中，則所述IDS決策服務器適于通過控制器屏蔽主機；以及當攻擊威脅不在OpenFlow域中，則通過控制器將該報文所對應的交換機接入端口流量重定向至流量清洗中心進行過濾；

若報文具有異常行為，則所述IDS決策服務器通過控制器對攻擊程序或攻擊主機的流量進行屏蔽；

若報文具有泛洪式攻擊行為，則所述IDS決策服務器通過控制器將該報文所對應的交換機接入端口流量重定向至流量清洗中心進行過濾；和/或

根據鏈路負載系數計算出優(yōu)化路徑，即檢測兩相鄰節(jié)點的鏈路剩余帶寬，獲得該鏈路的負載系數，在根據該負載系數和初始化的網絡拓撲圖獲得任意兩點的最優(yōu)路徑，所述控制器根據該最優(yōu)路徑得出對應的轉發(fā)流表并下發(fā)各交換機。

4.根據權利要求3所述的SDN系統(tǒng)的工作方法，其特征在于，所述IDS決策服務器屏蔽發(fā)送報文的程序和/或主機的方法包括：

首先，構建計數用的相應哈希表及設定相應閾值，即

單位時間內，所述IDS決策服務器中構建對欺騙行為進行計數的第一哈希表，標志位設置異常行為進行計數的第二哈希表，以及對泛洪式攻擊行為進行計數的第三哈希表；

同時設定第一、第二、第三哈希表中的第一、第二、第三閥值；

其次，屏蔽發(fā)送該報文的程序和/或主機，即

針對轉入IDS決策服務器的報文的行為，利用相應哈希表進行計數，當計數值超過相應閥值時，屏蔽發(fā)送該報文的程序和/或主機。