[发明专利]一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法

权利要求书

1.一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，其特征在于，包括以下步骤：

(1)基于接入路由器检测每个接口的状态，对于确定受到兴趣包泛洪攻击的接口，限制受攻击接口的兴趣包接收速度；对于存在异常但无法确定是否为兴趣包泛洪攻击的接口，将异常信息上报控制器；

(2)控制器通过收到的异常信息判断网络中是否存在兴趣包泛洪攻击，并将判定结果通知接入路由器；

(3)若控制器通知该接入路由器未受到攻击，则接入路由器将其所有接口视为正常接口，攻击防御结束；否则，接入路由器从通知报文中读取被攻击接口列表，限制恶意接口的兴趣包接收速度；

所述步骤(2)包括以下步骤：

(21)控制器持续监测是否有接入路由器通知异常，若有，转步骤(22)，否则，表示网络中无兴趣包泛洪攻击，转步骤(27)；

(22)控制器接收到接入路由器的异常通知，回复该通知表示确认并开始周期性发送带有特定名称标识的兴趣包请求接入路由器监测到的兴趣包泛洪攻击相关异常信息；

(23)控制器判断上报异常的接入路由器数目是否超过一定比例，若超过，则立刻转步骤(25)，否则，转步骤(24)；

(24)控制器等待一段时间确保所有异常接入路由器最新周期内所检测到的异常信息均已到达，然后转步骤(25)；

(25)根据所有已接收到的异常信息，控制器计算每个异常接入路由器上报的异常流量从接入路由器到相应内容提供者之间的传输路径，计算每条链路上传输的异常流量的大小；控制器获取所经过异常流量最多的若干条链路的能力限制；控制器判断是否存在某一条或多条链路上传输的异常流量大于此链路能力限制的一定比例，若存在，则控制器判定网络中存在兴趣包泛洪攻击，转步骤(26)，否则，若一定时间内始终无链路达到攻击判定条件，控制器判定网络中无兴趣包泛洪攻击，转步骤(27)；

(26)控制器判断各受攻击链路上所传输的异常流量的来源，即所上报的异常流量经过该链路的接入路由器及异常流量进入该接入路由器的接口；

(27)控制器攻击判定结束。

2.根据权利要求1所述的一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，其特征在于，步骤(1)所述的异常信息主要包括各异常接口的标识ID和接收到的兴趣包的信息。

3.根据权利要求1所述的一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，其特征在于，所述步骤(1)包括以下步骤：

(11)接入路由器监测其每个接口是否存在异常，若存在且可确定为受到兴趣包泛洪攻击，则将该接口判定为恶意接口；若存在但无法独立地确定是否为兴趣包泛洪攻击，转步骤(12)；否则，转步骤(15)；

(12)接入路由器发送带有特定名称标识的兴趣包通知控制器发现异常；

(13)控制器在收到接入路由器的通知后，回复该通知表示确认并开始周期性地发送兴趣包请求该接入路由器发现的异常信息；

(14)接入路由器在收到控制器的异常信息请求兴趣包后，回复检测到的最新的异常信息；

(15)接入路由器攻击检测结束。

4.根据权利要求1所述的一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，其特征在于，步骤(25)所述的链路的能力限制的计算方法为：将链路的能力限制表示为根据每个接口所对应链路的物理能力计算得到的从该接口转发出去的兴趣包数目的限制，公式为：

其中，Interest Limit为链路的传输能力限制大小，Delay为兴趣包被满足所需时间，Bandwidth为链路带宽，Data packet size为返回的数据包的大小。