[發(fā)明專利]一種基于區(qū)塊鏈的軟件定義機會網(wǎng)絡(luò)DDoS防御方法

有效

• 申請?zhí)枺?/td>: 201910349501.3
• 申請日: 2019-04-28
• 公開（公告）號: CN110113328B
• 公開（公告）日: 2021-01-15
• 發(fā)明（設(shè)計）人: 顏昕;馬千里;柳星
• 申請（專利權(quán)）人: 武漢理工大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 武漢科皓知識產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 42222
• 代理人: 羅飛

1.一種基于區(qū)塊鏈的軟件定義機會網(wǎng)絡(luò)DDoS防御方法，其特征在于，包括：

對軟件定義機會網(wǎng)絡(luò)中的數(shù)據(jù)流進行監(jiān)控，其中，監(jiān)控的數(shù)據(jù)流特征包括數(shù)據(jù)流標(biāo)識和路徑標(biāo)識，數(shù)據(jù)流標(biāo)識包括源地址、目的地址、源端口、目的端口以及協(xié)議號，路徑標(biāo)識包括交換機ID和入口端口號；

根據(jù)監(jiān)控的數(shù)據(jù)流標(biāo)識和路徑標(biāo)識，采用數(shù)據(jù)流溯源算法確定數(shù)據(jù)流的攻擊源地址，并將攻擊源地址與數(shù)據(jù)流的源地址進行對比，當(dāng)不一致時，則將數(shù)據(jù)流對應(yīng)的請求源交換機ID標(biāo)記為異常源，形成異常源集合；

采用區(qū)塊鏈的智能合約存儲上述異常源集合，維護一個可公共訪問的攻擊者黑名單，以實現(xiàn)DDoS攻擊的防御；

其中，根據(jù)監(jiān)控的數(shù)據(jù)流標(biāo)識和路徑標(biāo)識，采用數(shù)據(jù)流溯源算法確定攻擊源地址，包括：

分析截獲的數(shù)據(jù)包的數(shù)據(jù)流標(biāo)識，得到該數(shù)據(jù)包的特征向量然后掃描網(wǎng)絡(luò)中所有交換機的支點，對傳送了包含特征向量的部分進行標(biāo)記，采用數(shù)據(jù)流溯源算法對數(shù)據(jù)流進行路徑重構(gòu)，并獲得溯源結(jié)果，溯源結(jié)果包括攻擊源地址；

采用區(qū)塊鏈的智能合約存儲上述異常源集合，維護一個可公共訪問的攻擊者黑名單，包括：

定義兩個全局?jǐn)?shù)組auth_users和attackers，數(shù)組auth_users用于存儲網(wǎng)絡(luò)拓撲中的終端設(shè)備地址，數(shù)組attackers用于存儲采用數(shù)據(jù)流溯源算法得到的攻擊源地址，當(dāng)智能合約被創(chuàng)建時，通過調(diào)用其構(gòu)造函數(shù)將合約執(zhí)行過程記錄下來，同時將所有終端設(shè)備地址添加到auth_users數(shù)組中，從而使所有交換機和控制器擁有攻擊者黑名單內(nèi)容的權(quán)限；

所述方法還包括：通過添加函數(shù)用于實現(xiàn)黑名單的添加、刪除、修改以及查詢功能，其中，查詢功能通過查詢黑名單函數(shù)queryAttackers實現(xiàn)，通過queryAttackers函數(shù)能夠獲取攻擊源信息。

2.如權(quán)利要求1所述的方法，其特征在于，對軟件定義機會網(wǎng)絡(luò)中的數(shù)據(jù)流的狀態(tài)進行監(jiān)控，包括：

采用MiniNet-WIFI的流量監(jiān)控軟件對軟件定義機會網(wǎng)絡(luò)拓撲結(jié)構(gòu)中的數(shù)據(jù)流進行監(jiān)控；

當(dāng)數(shù)據(jù)包的設(shè)定帶寬放大因素大于閾值時，將超出閾值部分的數(shù)據(jù)包截獲并記錄；

根據(jù)預(yù)設(shè)規(guī)則將數(shù)據(jù)流提取為數(shù)據(jù)流標(biāo)識和路徑標(biāo)識兩個部分，其中，路徑標(biāo)識用以唯一標(biāo)識該數(shù)據(jù)包傳輸路徑的每一跳位置的信息。

3.如權(quán)利要求1所述的方法，其特征在于，在采用數(shù)據(jù)流溯源算法對數(shù)據(jù)流進行路徑重構(gòu)，并獲得溯源結(jié)果之前，所述方法還包括：

根據(jù)數(shù)據(jù)流標(biāo)識Flow_ID對各個數(shù)據(jù)流進行分組，每組的分類結(jié)果為一個數(shù)據(jù)流的所有采樣字段集合，將其記錄為Set_flow；

將Set_flow集合中所有交換機ID進行提取，構(gòu)成集合Set_sw＝{SW_i}，每個SW_i包含入口端口號Input_port和其他端口號，入口端口號用P_i表示，其他端口號用P_others表示。