[發明專利]SDN環境下針對Packet-In注入攻擊的輕量級自適應檢測方法及系統

在審

• 申請號: 201910371747.0
• 申請日: 2019-05-06
• 公開（公告）號: CN110138759A
• 公開（公告）日: 2019-08-16
• 發明（設計）人: 詹心語;章玥;蒲戈光
• 申請（專利權）人: 華東師范大學;上海工業控制安全創新科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海麥其知識產權代理事務所(普通合伙) 31257
• 代理人: 董紅曼

1.一種SDN環境下針對Packet-In注入攻擊的輕量級自適應檢測方法，其特征在于，包括以下步驟：

S1.建立概率檢測模型：控制器中的模型建立模塊根據該網絡中Packet-In消息的歷史正常流量樣本，通過矩估計法計算樣本均值；再根據泊松分布的性質和正態分布的公式，建立正常情況下的對照檢測模型并設置閾值α；

S2.設置白名單并過濾偽IP/MAC消息：控制器中的消息過濾模塊根據收到的Packet-In消息和Port-Status消息記錄當前網絡時段的過濾白名單，其處理步驟包括：

步驟S201控制器監聽并接收到Packet-In消息或Port-Status消息；

步驟S202消息過濾模塊判斷收到的消息是否為Packet-In消息；

步驟S203若收到Port-Status消息，檢驗該消息中的PORT-DOWN字段是否置位；若PORT-DOWN字段已置位，記錄該消息的端口信息，轉步驟S204；否則，轉步驟S201，繼續監聽OpenFlow消息；

步驟S204若收到攻擊源的端口信息，則從白名單中刪除相關條目；

步驟S205若收到Packet-In消息，檢驗該消息的合法性，構造并更新白名單：若該消息合法，則轉步驟S301；若不合法，則該消息的源主機為被攻擊主機，將該源主機的端口信息發送到防御模塊，轉步驟S402；

S3.基于檢測模型進行自適應攻擊檢測：其處理步驟如下：

步驟S301控制器中的檢測模塊獲取待檢測窗口內的Packet-In消息數目,計算其概率密度，并與閾值α比較；

步驟S302與檢測模型中的概率密度進行對比，若連續兩個窗口比值均小于閾值α，則判定為發生攻擊，啟動防御模塊，轉步驟S401；若否，則運行正常，轉步驟S303；

步驟S303通知模型建立模塊使用指數加權移動平均法，利用最新的正常窗口內的消息數來更新當前參數；

S4.根據檢測結果進行防御并自適應調整參數：其處理步驟如下：

步驟S401控制器中的防御模塊通過找出消息數目最大的端口來找出攻擊源，記錄其端口信息；

步驟S402防御模塊構造并下發Flow_Mod消息到交換機，丟棄與攻擊源端口信息相匹配的數據包，并發送端口信息到消息過濾模塊，令其更新白名單，以丟棄非法的數據包，轉步驟S204。

2.根據權利要求1所述的SDN環境下針對Packet-In注入攻擊的輕量級自適應檢測方法，在步驟S201中，消息過濾模塊通過讀取Packet-In數據包的頭字段，設定白名單。

3.根據權利要求1所述的SDN環境下針對Packet-In注入攻擊的輕量級自適應檢測方法，其特征在于，在S1中，模型建立模塊計算樣本期望參數時，使用矩估計法的計算公式為：

其中，m表示樣本的期望，m_i為第i個窗口內樣本的數目，n為樣本窗口的個數。

4.根據權利要求1所述的SDN環境下針對Packet-In注入攻擊的輕量級自適應檢測方法，其特征在于，在S1中，模型建立模塊建立泊松分布概率檢測模型時，使用的概率密度計算公式為：

其中，f(m)表示期望為m的概率密度的值，m表示樣本的期望。

5.根據權利要求1所述的SDN環境下針對Packet-In注入攻擊的輕量級自適應檢測方法，其特征在于，在步驟S301中，檢測模塊計算概率密度的公式為：

其中，f(m_t)表示待檢測窗口的概率密度函數，m_t為待檢測窗口內采樣的Packet-In消息數目，m表示檢測模型的期望參數。