[發明專利]一種SDN環境DDoS攻擊檢測防御方法

在審

• 申請號: 202010401640.9
• 申請日: 2020-05-13
• 公開（公告）號: CN111740950A
• 公開（公告）日: 2020-10-02
• 發明（設計）人: 張登銀;劉康;董杰;趙遠鵬;趙蓉
• 申請（專利權）人: 南京郵電大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;G06K9/62
• 代理公司: 南京縱橫知識產權代理有限公司 32224
• 代理人: 董建林

1.一種SDN環境DDoS攻擊檢測防御方法，其特征在于，所述方法包括如下步驟：

代理模塊將獲取的數據消息構建為特征消息；

將特征消息發送至預先構建的檢測模型中獲得檢測結果；

根據檢測結果做出決策指令；

代理模塊根據決策指令執行控制操作。

2.根據權利要求1所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：所述檢測模型的構建方法包括如下步驟：

通過特征消息構建數據集；

對數據集進行特征選擇以及訓練得到特征子集；

對特征子集進行迭代獲得檢測模型。

3.根據權利要求2所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：所述數據信息包括交換機向控制器發送的請求、統計消息以及控制器端持有的數據中的一種或多種。

4.根據權利要求1所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：所述特征消息包括索引部分和特征域部分，

所述特征域部分包括控制信息以及組合特征；

所述組合特征包括流的平均數據包數量、每條流的平均字節數、每個流的平均持續時間、對稱流占比、非對稱流變化率以及端口變化量中的一種或多種。

5.根據權利要求1所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：根據特征消息構建數據集的方法包括如下步驟：

通過特征消息生成若干組樣本；

對每組樣本進行標記；

將標記后的若干樣本劃分為訓練樣本集和測試樣本集，即為數據集。

6.根據權利要求2所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：對數據集進行特征選擇的方法包括如下步驟：

通過分類器對數據集進行分類，并對得到的特征分類權重；

將特征權重取絕對值后進行排序；

根據排序后的絕對值對特征權重進行篩選。

7.根據權利要求2所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：所述訓練的方法包括如下步驟：

以訓練集、基尼系數的閾值作為輸入；

選取一個特征，根據特征的類型計算它每個屬性的基尼系數，最后選擇基尼系數最小的特征及其對應屬性作為分裂依據；

將樣本集劃分到子節點中，遞歸上述過程，直到基尼系數小于閾值或沒有特征，則輸出決策樹；

對決策樹進行減枝操作，生成檢測模型。

8.根據權利要求1所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：將獲取的消息發送至預先構建的檢測模型中獲得檢測結果的方法包括如下步驟：

獲取數據包在流入端口時的目的地址熵；

將獲取的熵與閾值進行比較；

當存在不少于3個端口的熵值大于閾值時，判定存在攻擊，則對端口進行限速。

9.根據權利要求1所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：所述的決策指令包括阻塞主機、阻塞端口以及隔離主機中的一種或多種。

10.根據權利要求1所述的一種SDN環境DDoS攻擊檢測防御方法，其特征在于：根據決策指令控制控制器的狀態的方法包括如下步驟：

當獲取的決策指令為阻塞主機時：

控制器執行丟棄攻擊數據包的操作；

當獲取的決策指令為阻塞端口時：

控制器執行阻塞響應的攻擊端口的操作；

當獲取的決策指令為隔離主機時：

控制器執行丟棄來自攻擊源主機的所有數據包的操作。