[发明专利]一种基于SDN的数据流溯源方法

说明书

本发明提供一种基于SDN的数据流溯源方法，其步骤包括：1)SDN交换机对指定的字段进行定期采样，得到数据包信息Flow_ID和交换机信息，其中交换机信息包括交换机标识Switch_ID和数据包入端口input port；2)以Flow_ID为Key对上述数据包信息Flow_ID和交换机信息进行分组得到每个分组的数据集SA_i，其中下标i标记不同分组的数据集；3)根据SDN的网络拓扑结构G对上述每个分组的数据集SA_i进行路径分析；4)根据上述路径分析结果确定路径起点，进行路径重构，得到数据包或数据流的路径。该方法通过实现数据包或数据流路径的重构，从而能够追溯到攻击源的源头。

技术领域

本发明涉及计算机网络领域，尤其涉及一种基于SDN的数据流溯源方法。

背景技术

一般地，要想有效防范日趋严重的拒绝服务攻击，根本方法是要找到攻击源，从源头上遏制攻击的产生，是最为有效也是最经济的方法。受到攻击时如果不能定位攻击源并对其进行惩罚，将导致攻击者更加无所顾忌。因而，溯源技术在网络防御体系中占据着十分重要的地位。随着互联网的应用范围越来越大，网络犯罪与日剧增，溯源技术可以追溯到攻击源，为追究攻击者的法律责任提供依据。而现有的溯源技术理论中，基于数据包标识的方法，需要利用有限的包头空间记录所走过每一跳路由器或交换机的标识信息，为了防止伪造标识信息会添加认证信息，这将导致在数据包中所需要的存储信息更多，从而必须分多个数据包存储路径信息，然后这又导致需要的数据包收敛数更多。而对于基于日志的溯源方法，则是需要在路由器上记录每一个数据包标识信息的摘要，用来应答查询，显然在高速网络环境下，路由器存储空间是有限的。还有如基于链路测试的方法，则是要依赖于ISP和网络拓扑，这些在传统网络中是不容易实现的。

目前涉及到溯源的专利是CN200810103996.3，该专利溯源的方法是通过设置溯源日志，将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中，当查询模块接收到溯源请求，从而发起溯源操作，将记录在日志中终端唯一标识与该终端的IP地址对应起来，但该方法实现的前提是可以准确获取每一个终端的标识及其IP地址，在确保信息正确的前提下，存入日志中用于溯源查询。在传统网络中很难保证可以准确获取所有终端及网络的信息，因此该方法不能很好的应用于溯源找到攻击源。

发明内容

本发明的目的是提供一种基于SDN的数据流溯源方法，该方法能够实现数据包或数据流路径的重构，从而能够追溯到攻击源的源头。

为达到上述目的，本发明所采用的技术方案为：

一种基于SDN的数据流溯源方法，其步骤包括：

1)SDN交换机对指定的字段进行定期采样，得到数据包信息Flow_ID和交换机信息，其中交换机信息包括交换机标识Switch_ID和数据包入端口input port；

2)以Flow_ID为Key对上述数据包信息Flow_ID和交换机信息进行分组得到每个分组的数据集SA_i，其中下标i标记不同分组的数据集；

3)根据SDN的网络拓扑结构G对上述每个分组的数据集SA_i进行路径分析；

4)根据上述路径分析结果确定路径起点，进行路径重构，得到数据包或数据流的路径。

进一步地，步骤1)中所述对指定的字段进行定期采样是指控制器接收来自上层应用下发的采样规则，SDN交换机对该采样规则进行解析并根据解析出来的所需要采样的字段参数进行定期采样。

更进一步地，所述采样规则是指所需要采样的数据包中字段的位移和长度。

进一步地，步骤1)中所述数据包信息Flow_ID是指用于区分不同数据包或数据流的标识；所述交换机信息是指用于记录路径每一跳SDN交换机的信息。