[发明专利]一种基于SDN控制器的DoS/DDoS攻击防御模块及方法

说明书

本发明公开了一种基于SDN控制器的DoS/DDoS攻击防御模块及方法，该DoS/DDoS攻击防御模块维护一个计数器，其记录了过去n秒钟里SDN控制器收到的数据包的数量，并设置了了两个阈值，即一级阈值和二级阈值，二级阈值大于一级阈值，当计数器小于一级阈值时，数据包会被传递给默认的处理模块处理，而当计数器超过一级阈值时，则意味者DoS/DDoS攻击的发生，则数据包首先经过DoS/DDoS攻击防御模块进行过滤，此时控制器进入防御模式；当每秒钟接收数据包的数量超过二级阈值时，则意味着发生了更强的DoS/DDoS攻击。该模块可以有效过滤恶意攻击数据包，并保证正常数据包的通信，使得该模块可以在一定程度上抵御针对SDN控制器的DoS/DDoS攻击。

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种基于SDN控制器的DoS/DDoS攻击防御模块及方法。

背景技术

SDN作为一种新的技术，在其快速发展的同时也面临着很多安全问题。正因为SDN架构、体系和协议等方面的设计还不够成熟，安全问题日益突出，DoS/DDoS攻击作为一种传统的攻击手段，对SDN网络的攻击也成为新的威胁。

OpenFlow作为SDN南向协议的一种，在安全方面存在一定的问题，容易造成数据面到控制面之间的DoS/DDoS攻击。攻击者可以生成大量的不规则数据包发送给交换机，而交换机中没有能与这些数据包匹配的流表，这时交换机会发送大量的packet_in消息给控制器。这种DoS/DDoS攻击既消耗了控制器和交换机的缓存空间，又占用了数据面和控制面之间的网络带宽。如果采用多分布式主机进行发送就会产生危害更大的分布式拒绝服务攻击。所以对于SDN环境中的DoS/DDoS攻击进行检测和防御是非常重要的。

发明内容

本发明的目的是克服现有技术的不足，提出一种基于SDN控制器DoS/DDoS攻击防御技术。

本发明解决技术问题所采用的技术方案如下：一种基于SDN控制器的DoS/DDoS攻击防御模块，将SDN控制器中的数据包处理模块设置成DoS/DDoS攻击防御模块，使得所有即将交给数据包处理模块的数据包都会先经过DoS/DDoS攻击防御模块防御模块；DoS/DDoS攻击防御模块维护一个计数器，其记录了过去n秒钟里SDN控制器收到的数据包的数量，n为1-10的正整数，并设置了两个阈值，即一级阈值和二级阈值，二级阈值大于一级阈值，当计数器小于一级阈值时，数据包会被传递给默认的处理模块处理，而当计数器超过一级阈值时，则意味者DoS/DDoS攻击的发生，则数据包首先经过DoS/DDoS攻击防御模块进行过滤，此时控制器进入防御模式；当每秒钟接收数据包的数量超过二级阈值时，则意味着发生了更强的DoS/DDoS攻击。

进一步的，所述DoS/DDoS攻击防御模块部署在SDN控制器中或单独部署。

本发明的另一目的是提供一种基于SDN控制器的DoS/DDoS攻击防御方法，该方法具体步骤如下：

1)防御模块维护一个计数器，其记录了过去n秒钟里SDN控制器收到的数据包的数量，n为1-10的正整数，并设置了一级阈值和二级阈值，二级阈值大于一级阈值。

2)当计数器小于一级阈值时，此时认为没有Dos/DDoS攻击产生，数据包会被传递给默认的处理模块处理。

3)若计数器超过一级阈值，但是没有超过二级阈值时，首先控制器会判断本地是否存在与该数据包相关的流表缓存，如果存在本地缓存，则下发Timeout值为之前值两倍的流表；如果不存在，则下发初始Timeout的流表。下发新的流表后，均将这些流表项加入本地缓存，并在B秒后删除。