[發明專利]惡意攻擊的檢測方法和裝置

有效

• 申請號: 201810712113.2
• 申請日: 2013-11-22
• 公開（公告）號: CN108667853B
• 公開（公告）日: 2021-06-01
• 發明（設計）人: 林科;王永燦;田應軍
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/741;H04L12/759;H04L12/26
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種惡意攻擊的檢測方法，其特征在于，包括：

控制器接收第一交換機發送的Packet-in消息，所述Packet-in消息中包括第一交換機未查找到流表項的數據包的源主機標識和目的主機標識；

控制器判斷SDN網絡中不存在所述目的主機標識指示的主機時，向第一交換機發送異常流表項；所述異常流表項中包括源主機標識；

控制器接收第一交換機發送的觸發次數；所述觸發次數是所述異常流表項的觸發次數；

控制器根據所述觸發次數判斷所述源主機標識指示的源主機是否存在惡意攻擊。

2.根據權利要求1所述的方法，其特征在于，控制器根據所述觸發次數判斷所述源主機標識指示的源主機是否存在惡意攻擊包括：

控制器根據所述觸發次數以及所述異常流表項的老化時間計算異常流表項的觸發速率；

控制器判斷所述觸發速率是否大于速率閾值，如果大于，則控制器判斷所述源主機存在惡意攻擊；否則，控制器判斷所述源主機不存在惡意攻擊。

3.根據權利要求1所述的方法，其特征在于，控制器根據所述觸發次數判斷所述源主機標識指示的源主機是否存在惡意攻擊包括：

控制器判斷所述觸發次數是否大于次數閾值，如果大于，則控制器判斷所述源主機存在惡意攻擊；否則，控制器判斷所述源主機不存在惡意攻擊。

4.根據權利要求1至3任一項所述的方法，其特征在于，控制器向第一交換機發送異常流表項之前，還包括：

控制器判斷是否已經向第一交換機下發了所述源主機標識指示的源主機的異常流表項；如果否，控制器執行向第一交換機發送異常流表項的步驟。

5.根據權利要求1所述的方法，其特征在于，還包括：

控制器確定第一交換機中最后一張流表是包括源主機標識匹配域的精配表時，向第一交換機發送第一指示，所述第一指示用于指示第一交換機將所述精配表配置為只匹配源主機標識匹配域的精配表，以便第一交換機將所述異常流表項存儲在最后一張流表中，其中，所述精配表中的流表項的匹配域具有確定的值。

6.根據權利要求1所述的方法，其特征在于，還包括：

控制器確定第一交換機中最后一張流表是精配表，且第一交換機中存在包括源主機標識匹配域的通配表時，向第一交換機發送第二指示，所述第二指示用于指示第一交換機將所述包括源主機標識匹配域的通配表調整為最為一張流表，以便第一交換機將所述異常流表項存儲在最后一張流表中，其中，所述精配表中的流表項的匹配域具有確定的值，所述通配表中的流表項只給定部分匹配域的值。

7.根據權利要求1所述的方法，其特征在于，所述異常流表項的優先級是所述第一交換機中流表項的最低優先級。

8.根據權利要求1所述的方法，其特征在于，還包括：

控制器根據所述觸發次數判斷所述源主機標識指示的源主機存在惡意攻擊時，向第一交換機發送第三指示，所述第三指示用于指示第一交換機抑制來自所述源主機的數據包。

9.一種惡意攻擊的檢測方法，其特征在于，包括：

第一交換機確定未查找到數據包對應的流表項時，向控制器發送Packet-in消息，所述Packet-in消息中包括所述數據包的源主機標識和目的主機標識；

第一交換機接收并保存異常流表項，所述異常流表項中包括源主機標識；

第一交換機記錄所述異常流表項的觸發次數，并將所述觸發次數發送給控制器。

10.根據權利要求9所述的方法，其特征在于，還包括：

第一交換機接收控制器發送的第一指示，根據所述第一指示將本地最后一張精配表配置為只匹配源主機標識匹配域的精配表，其中，所述精配表中的流表項的匹配域具有確定的值；或者，

第一交換機接收控制器發送的第二指示，根據所述第二指示將包括源主機標識匹配域的通配表調整為最為一張流表，其中，所述通配表中的流表項只給定部分匹配域的值。