[发明专利]基于端口相似性的双阶段软件定义网络流表溢出防御方法

说明书

本发明公开了一种基于端口相似性的双阶段软件定义网络流表溢出防御方法，属于网络安全技术领域。该关联方法利用交换机端口的相似性判断流表溢出攻击，并依据流量拥塞程度采取双阶段的方式过滤恶意流规则，控制流表容量。本发明首先将流表溢出攻击检测的问题建模为交换机端口相似性判断的问题。处于同一隔离域的交换机端口连接同种类型的网络设备，因此各个端口在网络流量、流规则数量上处于同一量级。通过计算每个端口占据流表容量的偏移度来判断攻击的发生。之后基于攻击的严重程度，分阶段地限制可疑流规则数量、过滤删除恶意流规则。与已有的防御相比，本关联方法可以防御更隐蔽的溢出攻击，实现更有效的防御。

技术领域

本发明属于网络安全技术领域，尤其涉及一种基于端口相似性的双阶段软件定义网络流表溢出防御方法。

背景技术

软件定义网络(Software-Defined Network)是一种控制逻辑与转发逻辑分离的网络架构。控制器负责处理网络数据包的转发逻辑，并生成对应的流规则，将这些流规则下发到交换机上，而交换机则通过流表存储来自控制器的转发指令，并按照这些转发指令处理对应的数据包。然而，交换机的流表在满足高速转发性能的同时无法兼顾大容量的流表存储，其容量往往仅支持几千条流规则的存储。这使得流表成为攻击者的重点攻击对象。攻击者通过伪造大量的陌生数据包，来诱骗控制器下发对应的流规则，从而占据流表空间，阻碍正常数据包的转发。

现有的针对流表溢出攻击的防御有多种多样，例如通过packet-in消息的频率，通过CPU、内存的使用情况来判断攻击等。但是这些已有的防御都存在被攻击者绕过的漏洞。比如慢速攻击可以精准地探测交换机流表的参数，从而在有效地减少攻击流量的同时完成同样的攻击效果。在这种攻击下，攻击流量不会表现出明显的峰值特征，使用这些方法进行的检测将会失效。

发明内容

本发明的目的在于针对现有技术的不足，提供一种基于端口相似性的双阶段软件定义网络流表溢出防御方法。

本发明的目的是通过以下技术方案来实现的：一种基于端口相似性的双阶段软件定义网络流表溢出防御方法，包括以下步骤：

(1)软件定义网络中的控制器实时监听统计各交换机端口所占用的流表信息，包括每一条流规则的加入、删除、以及超时事件等；对交换机每个端口接收到的流量的流表占用情况进行及时更新；统计网络中各个流因table-miss而触发packet-in报文的次数。

(2)根据步骤(1)中统计的每个端口流表占用情况，计算得出每个端口占用流规则数量的偏移度d，每当产生流规则超时事件、流表溢出事件、新规则添加事件时，更新基础信息，重新计算d，并对每个端口的偏移度进行排序。

(3)当流表容量被用尽时，取出偏移度的排序结果，判断是否有端口的偏移度大于判断阈值。如果是，则说明攻击流量集中于特定的端口，整个交换机面对攻击流量的压力适中。此时对与之对应的端口流量进行流规则删除，使之所占据的流规则数量减少到平均端口流规则占用数量。

(4)对于步骤(3)中的判断结果，如果没有端口的偏移度超出判断阈值，说明交换机多数端口面临较大的流量压力，此时对于偏移度大于等于0的端口进行流规则的删除，使这些端口每个占据的流规则数量等同于端口平均流规则占用数量。

进一步地，步骤(2)中，计算偏移度d具体为：

对每个端口p_i，统计从该端口接收到的流所占用的流规则的数量f_pi，计算交换机平均每端口占用流规则数量f_ave:

依据f_ave计算出每个端口流规则占用数量的的偏移度d_pi:

进一步地，当步骤(3)(4)中判断端口偏移度是否超出阈值时：