[发明专利]软件定义网络中识别攻击流的方法、装置以及设备

权利要求书

1.一种软件定义网络中识别攻击流的方法，所述软件定义网络包括交换机和控制器，其特征在于，所述交换机中存储有非法流过滤表，所述识别攻击流的方法包括以下步骤：

所述交换机接收数据流的数据包，并根据所述数据包的特征值在所述非法流过滤表中查找与所述数据流对应的过滤表项的状态字段；

当所述状态字段为疑似攻击流状态或者非攻击流状态时，所述交换机向控制器发送上报消息；

所述交换机确定向所述控制器发送所述上报消息的速率值，将所述速率值填充在所述过滤表项的速率字段；

当所述速率值大于预设的速率阈值时，所述交换机将所述过滤表项的状态字段修改为攻击流状态；

其中，所述过滤表项是所述交换机接收到所述数据流的第一个数据包时创建的。

2.根据权利要求1所述的方法，其特征在于，所述第一个数据包的特征值填充在所述过滤表项的匹配域字段，所述特征值用于识别属于所述数据流的其他数据包。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括如下步骤：

所述交换机确定向所述控制器发送所述上报消息的持续时间值，将所述持续时间值填充在所述过滤表项的持续时间字段；

当所述速率值小于或等于所述速率阈值时，所述交换机判断所述持续时间值是否大于预设的最大持续时间值；

当所述持续时间大于所述预设的最大持续时间时，所述交换机将所述过滤表项的状态字段修改为疑似攻击流状态。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

所述交换机确定向所述控制器发送所述上报消息的流量值，将所述流量值填充在所述过滤表项的流量字段；

当所述持续时间小于或者等于所述预设的最大持续时间时，所述交换机判断所述流量值是否大于预设的流量阈值；

如果所述流量值大于所述预设的流量阈值，所述交换机将所述过滤表项的状态字段修改为疑似攻击流状态；

如果所述流量值小于或者等于所述预设的流量阈值，所述交换机将所述过滤表项的状态字段修改为非攻击流状态。

5.根据权利要求3所述的方法，其特征在于，所述方法还包括：

当所述过滤表项的状态字段修改为疑似攻击流状态时，所述交换机将所述疑似攻击流状态发送给所述控制器；

所述交换机接收所述控制器返回的判定结果，并根据所述判定结果确认是否修改所述过滤表项的状态字段。

6.根据权利要求3所述的方法，其特征在于，所述方法还包括：

当所述过滤表项的状态字段为疑似攻击流状态时，所述交换机降低向所述控制器发送所述上报消息的速率。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述状态字段为攻击流状态时，所述交换机丢弃所述数据流的后续数据包。

8.一种软件定义网络中识别攻击流的装置，其特征在于，所述装置包括接收模块、发送模块、填充模块以及修改模块，

所述接收模块用于接收数据流的数据包，并根据所述数据包的特征值在非法流过滤表中查找与所述数据流对应的过滤表项的状态字段，所述接收模块将所述状态字段发送给所述发送模块；

所述发送模块用于接收所述状态字段，当所述状态字段为疑似攻击流状态或者非攻击流状态时，向控制器发送上报消息；

所述填充模块用于确定向所述控制器发送所述上报消息的速率值，将所述速率值填充在所述过滤表项的速率字段，所述填充模块将所述速率值发送给所述修改模块；

所述修改模块用于接收所述速率值，当所述速率值大于预设的速率阈值时，将所述过滤表项的状态字段修改为攻击流状态；

其中，所述过滤表项是所述装置接收到所述数据流的第一个数据包时创建的。

9.根据权利要求8所述的装置，其特征在于，所述第一个数据包的特征值填充在所述过滤表项的匹配域字段，所述特征值用于识别属于所述数据流的其他数据包。