[发明专利]SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法及系统

说明书

本发明涉及SDN以及计算机网络领域，实现了一种SDN环境下针对Packet‑In注入攻击的轻量级自适应检测方法。其步骤包括：建立概率检测模型并设定阈值，控制器根据Packet‑In消息数目的历史样本，结合设定的参数进行建模；设置白名单过滤伪IP/MAC地址消息；基于检测模型对Packet‑In消息进行攻击检测；若检测结果为存在攻击，则使用统计排序方法来找出攻击源并进行防御；同时对白名单和阈值进行动态更新。本发明方法建立了概率模型对Packet‑In消息进行检测，能迅速识别出Packet‑In数据包注入攻击，并根据网络的实际状况对参数进行调整，具有轻量级、自适应等优点。

技术领域

本发明涉及SDN以及计算机网络技术领域，尤其涉及一种SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法及系统。

背景技术

软件定义网络SDN(Software-DefinedNetworking)是一种新型的网络架构，该架构通过OpenFlow技术将数据平面与控制平面分离开来，其中控制平面能够对传统分布式的网络状态进行集中管理，为网络管理、QoS、核心网络及应用的创新提供了良好的平台。然而其自身的安全问题也日益显露，如数据层面临的DDoS攻击、南向接口SSL协议的不安全性、控制器的单点故障、应用层的恶意应用程序攻击等等。其中控制器的单点故障将导致控制器、交换机、被攻击主机及整个网络不同程度的瘫痪。由于控制器的集中特性，每当网络出现新流时控制器便需要处理交换机发来的Packet-In消息，此时若攻击者大量注入伪造数据包，便会触发Packet-In注入攻击，导致DDoS攻击、泛洪攻击、拓扑欺骗等，使控制器无法处理正常消息，造成单点故障，甚至上层应用的瘫痪。

在针对控制器的安全防御研究中，提出了TopoGuard、PacketChecker等防御工具，以及一些针对控制器攻击提出的使用阈值检测、统计检测和机器学习等方法的防御机制。其中TopoGuard是一种针对拓扑欺骗攻击的工具。通过验证Port Down信号是否出现等方法，达到核实主机迁移真实性的效果。但该方法未考虑大量Packet-In消息注入的情况。PacketChecker提出了一种基于Packet-In合法性检测的防御策略，通过验证Packet-In消息是否合法，来决定该消息是否应该被转发给控制器处理。该方法未考虑攻击者伪造MAC地址的情况。阈值检测方法是通过判断网络中的流量是否超过规定的阈值来判断是否发生了DDoS等流量攻击。该方法不能及时区别突发流和攻击，容易造成误报。统计检测和机器学习方法是通过对网络中一些固定特征的数据，流量进行建模，用模型来预测并判断网络中的数据，流量是否异常。该方法通常需要进行大量计算。这些方法为SDN的安全防御机制提供了很多解决思路。

在此基础上中，申请人发现《基于混合制排队模型的SDN控制器性能评估研究》中提到，Packet-In消息的到达率满足泊松分布，故选择该统计模型结合阈值检测方法进行对Packet-In注入攻击的检测。为了满足实际网络的需要，加入了使参数能自行学习的自适应机制。能够达到及时检测攻击，自适应更新及开销小的效果。

目前在SDN网络环境下，经过对多种检测方法的调研，针对该种攻击提出了一种轻量且综合的新技术，使其在检测和防御方面都有较好的表现。

发明内容

本发明克服了现有技术的局限性，提出了一种SDN环境下针对Packet-In注入攻击的轻量级自适应检测方法。本发明应用在SDN环境中，将利用控制器的集中控制特性，基于概率模型对Packet-In注入攻击进行检测，还能够根据实际网络的情况对参数进行自适应的动态更新。

本发明包括以下步骤：

S1.建立概率检测模型：控制器中的模型建立模块根据该网络中Packet-In消息的历史正常流量样本，通过矩估计法计算样本均值；再根据泊松分布的性质和正态分布的公式，建立正常情况下的对照检测模型并设置阈值α；