[發明專利]一種軟件定義網絡中DDos攻擊的檢測方法及系統

在審

• 申請號: 202010057257.6
• 申請日: 2020-01-17
• 公開（公告）號: CN111294342A
• 公開（公告）日: 2020-06-16
• 發明（設計）人: 李曼;車向北;歐陽宇宏
• 申請（專利權）人: 深圳供電局有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 深圳匯智容達專利商標事務所(普通合伙) 44238
• 代理人: 熊賢卿

1.一種軟件定義網絡中DDos攻擊的檢測方法，其特征在于，包括如下步驟：

步驟S1,流表信息收集模塊周期性地向交換機進行流表狀態信息采集；

步驟S2,特征提取模塊從采集到的交換流表信息中提取與DDos相關的特征值同時計算流對比例；

步驟S3,分類器進行分類，區分正常流量和攻擊異常流量。

2.如權利要求1所述的方法，其特征在于，在所述步驟S1中，所述流標狀態信息采集具體為，流表信息收集模塊周期性地通過OpenFlow協議向交換機發送一個流表請求，交換機周期性地響應控制器發送的請求信息，向流表信息收集模塊返回相應的流表信息。

3.如權利要求2所述的方法，其特征在于，在所述步驟S1中，所述流標狀態信息采集過程中，流表的獲取周期與控制器的流刪除時間一致，并經過一個周期執行一次命令收集流表的狀態信息。

4.如權利要求3所述的方法，其特征在于，在所述步驟S2中，所述提取與DDos相關的特征值具體為，對每個時間周期計算內的特征值進行提取。

5.如權利要求4所述的方法，其特征在于，在所述步驟S2中，所述特征值包括流對比例，具體根據以下公式進行計算：

其中，Pair_Sum為交互流表項的數量，N為在發生攻擊時該時間周期的流條目總數；

進一步，交互流是滿足下列公式的交互流表項：

Src_IP_i＝Dst_IP_j

Dst_Port_i＝Src_Port_j

Dst_IP_i＝Src_IP_j

Src_Port_i＝Dst_Port_j

其中，Src_IP_i表示數據包i的源IP，Dst_IP_j表示數據包j的目的IP，Dst_Port_i表示數據包i的目的端口號，Src_Port_j表示數據包j的源端口號，Dst_IP_i表示數據包j的目的IP，Src_IP_j表示數據包j的源IP，Src_Port_i表示數據包i的源端口號，Dst_Port_j表示數據包j的目的端口號。

6.如權利要求5所述的方法，其特征在于，所述步驟S2中，所述特征值包括熵值的計算，具體根據以下公式進行計算：

其中，集合F＝{f₁,f₂,…,f_n}表示每個不同的值的頻率，f_i表示值i出現的頻率，n表示一共有多少個不同的值。

7.如權利要求6所述的方法，其特征在于，在所述步驟S3中，所述分類器進行分類的過程具體為，提取給定數據中的特征根據分類模型進行分類，判斷當前網絡的狀態是否正常，其中，所述分類模型為XGBoost。

8.如權利要求7所述的方法，其特征在于，在所述步驟S3中，所述分類器根據時間間隔從流表狀態信息中提取特征值序列判斷當前網絡的狀態是否正常，并給樣本序列一個標志，標記網絡為非正常狀態或正狀態。

9.一種軟件定義網絡中DDos攻擊的檢測系統，用以實現如權利要求1-8任一所述的方法，其特征在于，包括：

流表信息收集模塊，用以周期性地向交換機發送一個流表請求，并接受交換機返回相應的流表信息；

特征提取模塊，用以從交換流表信息中提取與DDos相關的特征值；

分類器，用以通過分類模型進行分類，區分正常流量和攻擊異常流量。

10.如權利要求9所述的系統，其特征在于，所述分裂模型進行分類具體為，通過不斷地進行特征分裂生成函數，沒分裂一次生成一個新函數，擬合上一次預測的殘差；當訓練完成得到多個函數，根據函數的特征，將相對應的函數值相加得到樣本的預測值。