[发明专利]一种基于软件定义网络的网络异常流量检测防御系统

摘要

本发明公开一种基于软件定义网络的网络异常流量检测防御系统，包括：IP地址防伪模块，位于软件定义网络中OpenFlow控制器中，用于对通过DHCP与静态配置IP两种类型的用户实现IP地址的动态绑定，实现源IP防伪；攻击检测模块，位于客户端，利用sFlow‑rt提取网络信息，建立正常流量模型，利用TCPReplay重放数据集建立正常与异常网络特征信息模型，基于客户端的SVM分类算法检测异常，将网络状态的改变信息发送给服务端；攻击阻断模块，位于服务端，用于根据所述网络状态的改变信息与阈值信息，对特定IP相关流表项进行提取计算访问速度，且与预设阈值进行比较，下发阻断流表项，实现异常流量的防御。采用本发明的技术方案，可以实现DDoS攻击的检测与防御。

主权项

1.一种基于软件定义网络的网络异常流量检测防御系统，其特征在于，包括：IP地址防伪模块，位于软件定义网络中OpenFlow控制器中，用于对通过DHCP与静态配置IP两种类型的用户实现IP地址的动态绑定，实现源IP防伪；攻击检测模块，位于客户端，利用sFlow‑rt提取网络信息，建立正常流量模型，利用TCPReplay重放数据集建立正常与异常网络特征信息模型，基于客户端的SVM分类算法检测异常，将网络状态的改变信息发送给服务端；攻击阻断模块，位于服务端，用于根据所述网络状态的改变信息，对特定IP相关流表项进行提取计算访问速度，且与预设阈值进行比较，下发阻断流表项，实现异常流量的防御；攻击阻断模块在检测‑防御C/S模型中扮演Server端，其需要连接多个Client并执行防御程序，其逻辑如下：进程1:监听端口等待新的Client连接；当有新连接成功时，开启子进程2；进程2:接受Client端发送的消息，收到受攻击消息时启动子进程3，收到攻击解除消息时终止子进程3；进程3:执行异常流量阻断；通过控制器提供的南向接口与北向接口，上层应用得到所有向受害Client发送数据的主机，然后将这些主机向受害Client发送数据速率与受害Client设置的阈值进行比较，若超出阈值，则阻断此主机向受害Client发送数据。