[發(fā)明專利]基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202011147287.2
• 申請(qǐng)日: 2020-10-23
• 公開（公告）號(hào): CN112261052B
• 公開（公告）日: 2022-10-25
• 發(fā)明（設(shè)計(jì)）人: 武澤慧;魏強(qiáng);王允超;張文鑌;周國淼;黃輝輝
• 申請(qǐng)（專利權(quán)）人: 中國人民解放軍戰(zhàn)略支援部隊(duì)信息工程大學(xué)
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 鄭州大通專利商標(biāo)代理有限公司 41111
• 代理人: 周艷巧

1.一種基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法，其特征在于，包含如下內(nèi)容：

收集并獲取SDN網(wǎng)絡(luò)區(qū)域范圍內(nèi)數(shù)據(jù)平面交換機(jī)流規(guī)則；

分析流規(guī)則數(shù)量變化異常趨勢，結(jié)合網(wǎng)絡(luò)拓?fù)錁?gòu)建數(shù)據(jù)流路徑，獲取所有數(shù)據(jù)流路徑并記錄構(gòu)建過程中流規(guī)則錯(cuò)誤轉(zhuǎn)發(fā)行為特征；

結(jié)合流規(guī)則錯(cuò)誤轉(zhuǎn)發(fā)行為特征，對(duì)數(shù)據(jù)流路徑及數(shù)據(jù)流路徑之間的沖突和行為異常進(jìn)行檢測，以獲取數(shù)據(jù)平面異常行為；

依據(jù)流規(guī)則變化率和流規(guī)則匹配率分析流規(guī)則數(shù)量在時(shí)間段內(nèi)的變化量，通過設(shè)定閾值判定流規(guī)則數(shù)量變化異常趨勢；

流規(guī)則變化率FCR和流規(guī)則匹配率FMR分別表示為：

其中，Δall_rules_num為Δt時(shí)間段內(nèi)流規(guī)則總數(shù)變化量，matched_rules_num和all_rules_num分別為當(dāng)前時(shí)刻匹配到數(shù)據(jù)包的規(guī)則總數(shù)和所有流規(guī)則數(shù)量；若滿足FCR大于設(shè)定閾值α、FMR小于設(shè)定閾值β，則判定流規(guī)則數(shù)量變化異常。

2.根據(jù)權(quán)利要求1所述的基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法，其特征在于，利用交換機(jī)標(biāo)準(zhǔn)接口在設(shè)定時(shí)間周期內(nèi)遍歷網(wǎng)絡(luò)區(qū)域范圍內(nèi)的所有交換機(jī)來獲取數(shù)據(jù)平面交換機(jī)流規(guī)則。

3.根據(jù)權(quán)利要求1所述的基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法，其特征在于，構(gòu)建數(shù)據(jù)流路徑時(shí)，首先獲取流路徑的起始交換機(jī)和流規(guī)則，然后，對(duì)于每一對(duì)起始交換機(jī)和流規(guī)則，結(jié)合網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)獲取下一跳交換機(jī)，依據(jù)流表中是否有處理對(duì)應(yīng)數(shù)據(jù)包的流規(guī)則，將交換機(jī)添加至對(duì)應(yīng)流路徑中，迭代添加交換機(jī)，直至路徑結(jié)束。

4.根據(jù)權(quán)利要求3所述的基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法，其特征在于，路徑結(jié)束的判斷標(biāo)準(zhǔn)包含：不存在下一跳交換機(jī)和/或數(shù)據(jù)包被丟棄或被轉(zhuǎn)發(fā)至主機(jī)。

5.根據(jù)權(quán)利要求3所述的基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法，其特征在于，獲取流路徑的起始交換機(jī)和流規(guī)則時(shí)，對(duì)于每一臺(tái)交換機(jī)，結(jié)合網(wǎng)絡(luò)拓?fù)鋪慝@取其相鄰交換機(jī)集合；檢查交換機(jī)的每一條流規(guī)則，依據(jù)相鄰交換機(jī)流規(guī)則匹配域及是否存在轉(zhuǎn)發(fā)到交換機(jī)的流規(guī)則來判定交換機(jī)和流規(guī)則否為數(shù)據(jù)流路徑的起始交換機(jī)和流規(guī)則。

6.根據(jù)權(quán)利要求1所述的基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法，其特征在于，流規(guī)則沖突檢測包括如下情形的檢測：同一臺(tái)交換機(jī)流表中流規(guī)則之間的沖突；及多條流規(guī)則構(gòu)成的跨交換機(jī)數(shù)據(jù)流路徑之間存在的沖突。

7.根據(jù)權(quán)利要求1所述的基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測方法，其特征在于，流規(guī)則行為異常檢測包括如下情形：造成交換機(jī)惡意丟包行為的流規(guī)則錯(cuò)誤檢測；及造成交換機(jī)惡意轉(zhuǎn)發(fā)行為的流規(guī)則錯(cuò)誤檢測。

8.一種基于流規(guī)則分析的SDN數(shù)據(jù)平面異常行為檢測系統(tǒng)，其特征在于，基于權(quán)利要求1所述的方法實(shí)現(xiàn)，包含：數(shù)據(jù)收集模塊、數(shù)據(jù)分析模塊和行為檢測模塊，其中，

數(shù)據(jù)收集模塊，用于收集并獲取SDN網(wǎng)絡(luò)區(qū)域范圍內(nèi)數(shù)據(jù)平面交換機(jī)流規(guī)則；

數(shù)據(jù)分析模塊，用于分析流規(guī)則數(shù)量變化異常趨勢，結(jié)合網(wǎng)絡(luò)拓?fù)錁?gòu)建數(shù)據(jù)流路徑，獲取所有數(shù)據(jù)流路徑并記錄構(gòu)建過程中流規(guī)則錯(cuò)誤轉(zhuǎn)發(fā)行為特征；

行為檢測模塊，用于結(jié)合流規(guī)則錯(cuò)誤轉(zhuǎn)發(fā)行為特征，對(duì)數(shù)據(jù)流路徑及數(shù)據(jù)流路徑之間的沖突和行為異常進(jìn)行檢測，以獲取數(shù)據(jù)平面異常行為。