[发明专利]SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法及系统

权利要求书

1.一种SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法，其特征在于，包括以下步骤：

S1.建立概率检测模型：控制器中的模型建立模块根据该网络中Packet-In消息的历史正常流量样本，通过矩估计法计算样本均值；再根据泊松分布的性质和正态分布的公式，建立正常情况下的对照检测模型并设置阈值α；

S2.设置白名单并过滤伪IP/MAC消息：控制器中的消息过滤模块根据收到的Packet-In消息和Port-Status消息记录当前网络时段的过滤白名单，其处理步骤包括：

步骤S201控制器监听并接收到Packet-In消息或Port-Status消息；

步骤S202消息过滤模块判断收到的消息是否为Packet-In消息；

步骤S203若收到Port-Status消息，检验该消息中的PORT-DOWN字段是否置位；若PORT-DOWN字段已置位，记录该消息的端口信息，转步骤S204；否则，转步骤S201，继续监听OpenFlow消息；

步骤S204若收到攻击源的端口信息，则从白名单中删除相关条目；

步骤S205若收到Packet-In消息，检验该消息的合法性，构造并更新白名单：若该消息合法，则转步骤S301；若不合法，则该消息的源主机为被攻击主机，将该源主机的端口信息发送到防御模块，转步骤S402；

S3.基于检测模型进行自适应攻击检测：其处理步骤如下：

步骤S301控制器中的检测模块获取待检测窗口内的Packet-In消息数目,计算其概率密度，并与阈值α比较；

步骤S302与检测模型中的概率密度进行对比，若连续两个窗口比值均小于阈值α，则判定为发生攻击，启动防御模块，转步骤S401；若否，则运行正常，转步骤S303；

步骤S303通知模型建立模块使用指数加权移动平均法，利用最新的正常窗口内的消息数来更新当前参数；

S4.根据检测结果进行防御并自适应调整参数：其处理步骤如下：

步骤S401控制器中的防御模块通过找出消息数目最大的端口来找出攻击源，记录其端口信息；

步骤S402防御模块构造并下发Flow_Mod消息到交换机，丢弃与攻击源端口信息相匹配的数据包，并发送端口信息到消息过滤模块，令其更新白名单，以丢弃非法的数据包，转步骤S204。

2.根据权利要求1所述的SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法，在步骤S201中，消息过滤模块通过读取Packet-In数据包的头字段，设定白名单。

3.根据权利要求1所述的SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法，其特征在于，在S1中，模型建立模块计算样本期望参数时，使用矩估计法的计算公式为：

其中，m表示样本的期望，m_i为第i个窗口内样本的数目，n为样本窗口的个数。

4.根据权利要求1所述的SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法，其特征在于，在S1中，模型建立模块建立泊松分布概率检测模型时，使用的概率密度计算公式为：

其中，f(m)表示期望为m的概率密度的值，m表示样本的期望。

5.根据权利要求1所述的SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法，其特征在于，在步骤S301中，检测模块计算概率密度的公式为：

其中，f(m_t)表示待检测窗口的概率密度函数，m_t为待检测窗口内采样的Packet-In消息数目，m表示检测模型的期望参数。