[發(fā)明專利]一種SDN環(huán)境下DDoS攻擊檢測系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 202010639933.0
• 申請日: 2020-07-06
• 公開（公告）號: CN111800419B
• 公開（公告）日: 2021-06-15
• 發(fā)明（設計）人: 畢遠國;郅明見;鄭文舉;項天敖;胡兵;陳香伊
• 申請（專利權）人: 東北大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 大連理工大學專利中心 21200
• 代理人: 陳玲玉

1.一種SDN環(huán)境下DDoS攻擊檢測系統(tǒng)，其特征在于，包括異常檢測模塊、防誤判模塊、流量處理模塊、異常存儲模塊及信息查看模塊；

異常檢測模塊，用于數(shù)據(jù)平面輕量級檢測和控制平面重量級檢測，其中數(shù)據(jù)平面進行的輕量級檢測選取DDoS有代表性的特征對流量進行判斷，當新進來的流量特征超過訓練時流量的允許范圍，則滿足其中一個異常條件，當所選的特征均滿足時，就認為在數(shù)據(jù)平面輕量級檢測的流量是異常的；當數(shù)據(jù)平面檢測出異常流量后，進行控制平面的重量級檢測，首先對特定特征集合的數(shù)據(jù)集進行訓練，所用的算法是隨機森林，對數(shù)據(jù)平面?zhèn)鬟f來的異常流量信息進行特征提取，然后將提取的特征集合輸入隨機森林進行細粒度分類，分析出流量的異常情況；

防誤判模塊，用于減少誤報率，針對異常檢測模塊篩選出的異常流量，選取設定比例的流量進行再分配，一部分作為正常流量轉(zhuǎn)發(fā)，一部分當作異常流量進行丟棄；

流量處理模塊，用于把分類好的流量進行分別處理，正常流量正常轉(zhuǎn)發(fā)，異常流量通過下發(fā)相應的流表規(guī)則進行處理；具體如下：若是正常流，控制器就向交換機下發(fā)流表規(guī)則，根據(jù)原始流中的信息進行相關設置，并且將正常流交還給交換機，在交換機中匹配到相關規(guī)則，根據(jù)流表規(guī)則進行轉(zhuǎn)發(fā)，至此，流量經(jīng)過異常檢測模塊，被標記成可疑流，最終經(jīng)過分類器又分成了正常流量，最終到達目的主機端；

若是異常流，在控制器設置一個黑名單，針對異常流的流表規(guī)則進行二級存儲，記錄到異常黑名單中，當流量信息進入到控制器中的時候，先去匹配黑名單，如果沒有就進行異常檢測模塊控制平面重量級算法的檢測，同時將識別后的異常流量記錄到黑名單中，如果有相應的流表規(guī)則，就將流表規(guī)則下發(fā)到流表中，不再對這些流量進行檢測；

異常存儲模塊，通過DataBroker將相應的威脅信息記錄到DataStore中，用戶通過RPC查看記錄在DataStore中的威脅信息；

信息查看模塊，用于實現(xiàn)管理員在網(wǎng)頁端進行查看攻擊記錄。

2.根據(jù)權利要求1所述的SDN環(huán)境下DDoS攻擊檢測系統(tǒng)，其特征在于，異常存儲模塊主要用來存儲檢測出來的異常信息，以便后續(xù)的調(diào)用和查看；在MD-SAL中通過DataStore存儲數(shù)據(jù)，與DataStore的交互通過DataBroker實現(xiàn)，DataStore中存儲的數(shù)據(jù)發(fā)生變化會觸發(fā)onDataChange()事件，在onDataChange()中響應DataStore的變化；數(shù)據(jù)是通過樹形結(jié)構(gòu)在DataStore中存儲的，在將數(shù)據(jù)存儲之前，首先通過yang語言來對存儲模型進行定義，yang在組織數(shù)據(jù)的時候是按著層次結(jié)構(gòu)進行的，最后建成一棵樹的形式；

RPC即遠程過程調(diào)用，屬于消息傳遞中的單播方式，在消息使用者和提供者之間以單播的方式進行通信，消息使用者發(fā)送請求消息到提供者，以異步方式作為應答。

3.權利要求1或2所述SDN環(huán)境下DDoS攻擊檢測系統(tǒng)的方法，其特征在于，包括步驟如下：

(1)進入到系統(tǒng)中的流量在流表中進行匹配流表規(guī)則，如果匹配成功，說明流表中已經(jīng)有針對匹配成功流量的規(guī)則了，所以直接按著流表規(guī)則進行處理；

(2)對沒有匹配到流表規(guī)則的流量則進入異常檢測模塊，通過計算交換機計數(shù)器來進行流量特征的提取，以進行輕量級的檢測，分析出可疑流量：先用正常流量進行訓練出正常流量的特征值的范圍，以此作為輕量級階段異常流量檢測的模板，然后將提取的特征值與訓練好的模板進行對照，當所有的特征都不在規(guī)定的范圍內(nèi)，則視為異常流量，否則，則視為正常流量，就不再走重量級檢測的算法，直接進行正常轉(zhuǎn)發(fā)即可；

(3)對于步驟(2)沒能識別出異常的流量，則視為正常流量，則下發(fā)流表規(guī)則使其正常轉(zhuǎn)發(fā)，對于識別出的可疑流量，則先和異常黑名單中的記錄進行匹配，如果異常黑名單里有，則將這些流直接丟棄，如果沒有，則進行控制平面的重量級檢測；

(4)在重量級檢測階段，首先進行特征的提取，主要從源IP增速、成對流百分比、單流量增長、流包數(shù)中位值、流持續(xù)時間中位值和端口增速特征進行提取，最后使用隨機森林進行分類；

(5)根據(jù)分類的結(jié)果，正常流量下發(fā)流表進行正常轉(zhuǎn)發(fā)，對于異常流量則進行設定比例在轉(zhuǎn)發(fā)，剩下的就丟棄，同時將異常流量的信息存儲到DataStore中，方便后面的遠程調(diào)用，并且更新異常黑名單；

(6)進行遠程過程調(diào)用，使用RPC將異常信息在控制器提供的網(wǎng)頁端進行調(diào)用查看，根據(jù)提前定義好的yang模型，通過源IP或者目的IP進行調(diào)用。