[發明專利]一種DDoS攻擊的移動目標防御方法

在審

• 申請號: 202011026007.2
• 申請日: 2020-09-25
• 公開（公告）號: CN112134894A
• 公開（公告）日: 2020-12-25
• 發明（設計）人: 繆祥華;方紹敏;袁梅宇
• 申請（專利權）人: 昆明理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 昆明明潤知識產權代理事務所(普通合伙) 53215
• 代理人: 馬海紅

1.一種DDoS攻擊的移動目標防御方法，其特征在于：包括如下步驟：

(1)構建由SDN控制器、多個OpenFlow交換機、多個客戶端和多個服務器構成的網絡系統；

(2)端址跳變模塊以及DDoS攻擊檢測模塊部署在SDN控制器上，每臺服務器通過OpenFlow交換機接入網絡；

(3)DDoS的攻擊檢測模塊是部署在SDN控制器上，在SDN環境中每條新的網絡數據流途經入口交換機時需要通過Packet-in消息上傳至控制器進行路由計算，通過分析發送給SDN控制器數據包信息，解析數據包的目的IP地址計算其熵值大小來判斷是否有攻擊產生，根據正常網絡環境與DDoS攻擊網絡環境中數據包目的地址的隨機性變化快速檢測出DDoS攻擊；

(4)DDoS攻擊檢測模塊檢測到攻擊，將根據數據包的目的IP地址對其所在的交換機下發阻斷流表過濾攻擊流量，同時將該IP地址加入到黑名單中，控制器將向受攻擊的服務器所在的OpenFlow交換機發送新的流表項，對受攻擊服務器實施端址跳變以躲避DDoS攻擊；

(5)端址跳變模塊部署在SDN控制器上，通信數據流所經過的每一跳OpenFlow交換機都會根據匹配的隨機地址端口表對數據包中的源和目的IP地址與源和目的端口進行隨機修改，在兩臺主機的通信過程中，端址跳變過程如下所示：

1)主機A通過交換機1、交換機2和交換機3到達主機B，源IP：rIPa，源端口：rPORTa，目的IP：rIPb，目的端口：rPORTb；

2)到達交換機1，從交換機1發送Packet-in數據包給SDN控制器，SDN控制器判斷是否目的地址直接連接到當前交換機，SDN控制器收到錯誤消息，即目的地址未直接連接到當前交換機，根據當前時隙所生成的隨機地址端口表，由SDN控制器下發流表項，把流表項輸出到交換機，修改源IP：vIP1，源端口：vPORT1，目的IP：vIP2，目的端口：vPORT2，將數據包轉發到下一跳；

3)傳入數據包到交換機2，從交換機2發送Packet-in數據包給SDN控制器，SDN控制器判斷是否目的地址直接連接到當前交換機，SDN控制器收到錯誤消息，即目的地址未直接連接到當前交換機，根據當前時隙所生成的隨機地址端口表，則由SDN控制器下發流表項，修改源IP：vIP3，源端口：vPORT3，目的IP：vIP4，目的端口：vPORT4，將數據包轉發到下一跳；

4)傳入數據包到交換機3，從交換機3發送Packet-in數據包給SDN控制器，SDN控制器判斷是否目的地址直接連接到當前交換機，SDN控制器收到真實消息，從SDN控制器發送Packet-out數據包給交換機3，修改源IP：rIPa，源端口：rPORTa，目的IP：rIPb，目的端口：rPORTb，完成通信，該連接結束時，由SDN控制器負責將該流表項刪除。

2.根據權利要求1中一種DDoS攻擊的移動目標防御方法，其特征在于：在步驟(3)中所述分析：使用基于指數加權移動平均算法的信息熵值檢測DDoS攻擊，指數移動加權平均算法是一種確定預測值的方法，通過給予觀察值不同的權數，按不同權數求得移動平均值，然后以最后的移動平均值為基礎，獲取下一時刻預測值，各數值的加權系數隨時間呈指數式遞減，越靠近當前時刻的數值加權系數就越大，其計算公式如下：

θ_t可理解為t時刻數據包的預測熵值，f_t為t時刻數據包的預測熵值，β為平滑系數表示加權下降的快慢。

3.根據權利要求1中一種DDoS攻擊的移動目標防御方法，其特征在于：在步驟(3)中所述分析：當SDN網絡發生DDoS攻擊時，短時間內，網絡中會出現大量交換機無法匹配的數據包，隨后交換機會發送的大量packet-in消息至SDN控制器，整個網絡訪問的隨機性也會發生變化，通過分析發送給控制器數據包信息，設定窗口的大小，然后統計控制器的packet_in數據包的個數，到達預定窗口值后，解析數據包里的目的IP地址，計算窗口內數據包每一個目的IP的信息熵值，再計算最近正常窗口的移動加權平均熵作為下一窗口的閾值；如果某一窗口的熵值低于本窗口的預測閾值，則標記該窗口為異常窗口，并開始計數異常窗口數量，規定若連續的3個窗口都標記為異常，則可判斷此時控制器正在遭受DDoS攻擊。

4.根據權利要求1中一種DDoS攻擊的移動目標防御方法，其特征在于：在步驟(5)中所述分析，端址跳變模塊中根據隨機IP地址生成算法和隨機端口生成算法，對SDN控制器生成的隨機地址端口表進行更改：

隨機IP地址生成算法為：

IP＝Hash(Timestamp)₁₆|(HashNonce)₁₆ (2)

其中，Timestamp是時間戳，Nonce是隨機數，Hash(Timestamp)₁₆表示取時間戳經過Hash之后的前16b，Hash(Nonce)₁₆表示取隨機數經過Hash之后的后16b，由2者組成隨機的IP地址；

隨機端口生成算法為：

PORT＝Hash(Timestamp|Nonce)₁₆ (3)

其中，Hash(Timestamp|Nonce)₁₆表示取時間戳和隨機數經過Hash之后的前16b，作為隨機端口，其中時間戳Timestamp和隨機數Nonce由SDN控制器隨機生成。