[發(fā)明專利]SDN網(wǎng)絡(luò)攻擊檢測及防御的方法和裝置

有效

• 申請?zhí)枺?/td>: 201910086892.4
• 申請日: 2019-01-29
• 公開（公告）號: CN109831428B
• 公開（公告）日: 2021-04-20
• 發(fā)明（設(shè)計(jì)）人: 劉麒;李華;阮宏瑋;連超;李曉迪;王顯榮
• 申請（專利權(quán)）人: 內(nèi)蒙古大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京久誠知識產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 11542
• 代理人: 余罡

1.一種SDN網(wǎng)絡(luò)攻擊檢測及防御方法，其特征在于，包括以下步驟：

S1、基于已標(biāo)記的網(wǎng)絡(luò)歷史數(shù)據(jù)，訓(xùn)練二叉決策樹模型；

S2、根據(jù)所述二叉決策樹模型擴(kuò)充SDN交換機(jī)的匹配域；

S3、將所述二叉決策樹模型轉(zhuǎn)換為流規(guī)則；

S4、將所述流規(guī)則部署到所述SDN交換機(jī)中；

S5、進(jìn)行流量級別監(jiān)控過程和數(shù)據(jù)包級別過濾過程；

S6、數(shù)據(jù)判斷結(jié)果處理；

所述步驟S6，具體包括以下步驟：

所述流量級別監(jiān)控過程對所述二叉決策樹模型中的計(jì)數(shù)器變化率進(jìn)行實(shí)時(shí)監(jiān)控并判斷監(jiān)測結(jié)果是否異常，若結(jié)果為是，則執(zhí)行用戶自定義操作；若結(jié)果為否，則繼續(xù)進(jìn)行所述流量級別監(jiān)控過程；

所述數(shù)據(jù)包級別過濾過程通過所述二叉決策樹模型判斷數(shù)據(jù)包是否異常，若結(jié)果為是，則執(zhí)行用戶自定義操作；若結(jié)果為否，則繼續(xù)進(jìn)行所述數(shù)據(jù)包級別過濾過程；

所述步驟S4中：

利用部署器將所述流規(guī)則部署到所述SDN交換機(jī)中，且，由所述部署器確定部署流規(guī)則的至少一個(gè)SDN交換機(jī)；

所述流規(guī)則的部署算法為：

首先遍歷網(wǎng)絡(luò)中所有主機(jī)之間路徑，為每一個(gè)交換機(jī)賦予權(quán)值；

之后每次從交換機(jī)權(quán)值向量V中選擇出權(quán)值最大的交換機(jī)，并且找出這臺交換機(jī)S所覆蓋的路徑；

如果交換機(jī)S可以覆蓋所有主機(jī)間交換機(jī)路徑序列集合P中至少一條路徑，則將交換機(jī)S加入結(jié)果集合S’中，并且從所有主機(jī)間交換機(jī)路徑序列集合P中去掉交換機(jī)S所覆蓋的路徑，并將交換機(jī)S的權(quán)值置為0，直到所有主機(jī)間交換機(jī)路徑序列集合P為空，則終止該算法，返回結(jié)果集合S’。

2.如權(quán)利要求1所述的SDN網(wǎng)絡(luò)攻擊檢測及防御方法，其特征在于：

所述二叉決策樹模型基于多種協(xié)議的多個(gè)字段進(jìn)行構(gòu)建，包括：IP、TCP、UDP和ICMP協(xié)議。

3.如權(quán)利要求1所述的SDN網(wǎng)絡(luò)攻擊檢測及防御方法，其特征在于，在所述步驟S2中：

所述SDN交換機(jī)的匹配域根據(jù)所述二叉決策樹模型中的字段進(jìn)行擴(kuò)充，具體擴(kuò)充內(nèi)容包括OpenVSwitch中OpenFlow結(jié)構(gòu)體和所述SDN交換機(jī)預(yù)處理數(shù)據(jù)包字段中的至少一項(xiàng)。

4.如權(quán)利要求1所述的SDN網(wǎng)絡(luò)攻擊檢測及防御方法，其特征在于，在所述步驟S3中：

對所述二叉決策樹模型進(jìn)行前序遍歷，每遍歷一個(gè)節(jié)點(diǎn)的同時(shí)，將該節(jié)點(diǎn)的內(nèi)容轉(zhuǎn)換為相應(yīng)的流規(guī)則，并在所述二叉決策樹模型的葉子節(jié)點(diǎn)自定義處理規(guī)則。

5.如權(quán)利要求1所述的SDN網(wǎng)絡(luò)攻擊檢測及防御方法，其特征在于，所述步驟S5具體為：

流量級別監(jiān)控：利用提取器不斷地提取每個(gè)流表中的計(jì)數(shù)器值，進(jìn)行預(yù)處理后傳輸?shù)椒诸惼髦羞M(jìn)行檢測；

數(shù)據(jù)包級別過濾：流量經(jīng)過所述SDN交換機(jī)時(shí)依次從所述二叉決策樹模型的根節(jié)點(diǎn)流經(jīng)至葉子節(jié)點(diǎn)，并到達(dá)相應(yīng)的流表。