[发明专利]一种基于SDN的网络安全防御系统及其工作方法

说明书

本发明涉及网络安防技术领域，具体地说，涉及一种基于SDN的网络安全防御系统及其工作方法。其包括密钥配置单元、数据处理单元、加密单元和选路单元，其特征在于：所述密钥配置单元用于在接到业务请求时，在控制器与源宿节点设备上，预配置相同的对称密钥；所述数据处理单元用于对数据进行分块处理；所述加密单元用于对配置的对称密钥中的加密算法进行加密处理；所述选路单元用于计算路径，并为处理后的IP包随机选择工作路径。该基于SDN的网络安全防御系统及其工作方法中，采用SDN技术，能够实现基于流的调度，改变信息流在网络中的行为，使得防御由被动变为主动，提高网络安全。

技术领域

本发明涉及网络安防技术领域，具体地说，涉及一种基于SDN的网络安全防御系统及其工作方法。

背景技术

传统的安全策略对信息本身进行处理，防御处于被动状态，由于信息流在网络中的行为是随机的、动态的、不可预见的，因此被动的网络防御无法及时捕捉信息流的异常现象，进而导致网络安全性低。

发明内容

本发明的目的在于提供一种基于SDN的网络安全防御系统及其工作方法，以解决上述背景技术中提出的问题。

为实现上述目的，一方面，本发明提供一种基于SDN的网络安全防御系统，包括密钥配置单元、数据处理单元、加密单元和选路单元，其特征在于：所述密钥配置单元用于在接到业务请求时，在控制器与源宿节点设备上，预配置相同的对称密钥；所述数据处理单元用于对数据进行分块处理；所述加密单元用于对配置的对称密钥中的加密算法进行加密处理；所述选路单元用于计算路径，并为处理后的IP包随机选择工作路径。

作为优选，所述密钥配置单元包括分组加密模块和DES密钥。

作为优选，所述分组加密模块基于Feistel密码设计，其定义为：Feistel密码为长度为2t-bit的F₂区块密码，令长度为2t-bit的明文为(L₀,R₀)，其中L₀为左半-bit，R₀为右半-bit，加密过程为r个回合函数运算，即：

其中，L_i＝R_i-1，则：

其中，K_i为密钥所导出的子钥，其加密函数为：

E_K(L₀,R₀)＝(L_r,R_r)……(式1-2)。

作为优选，所述DES密钥的公式定义如下：

令字串则K为DES密钥，公式如下：

而DES密钥总数为2⁵⁶＝72057594037927926。

作为优选，所述数据处理单元基于IP分片，将数据进行分块处理，IP头部中与分片相关的字段包括标识、标志和片偏移。

其中，标识，占16位，是一个计数器，用来产生数据报的标识，具有唯一性，一个IP地址在每发送一个IP报文，其标志位数值增加一，来自同一个IP报文的分片具有相同ID，以备将来各分片重组时，把具有相同标识的各分片重组到一起，恢复成原来完整的数据报。

其中，标志，占3位，目前只有前两位有意义，标志字段的最低位是MF，MF取值为1时，表示后面“还有分片”；MF取值为0时，表示这是最后一个分片，标志着此数据报分片结束。标志字段中间的一位是DF(Don'tFragment)，只有当DF取值为0时，才允许分片。