基于软件定义网络的链路泛洪攻击防御方法及系统.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN114205147A(43)申请公布日2022.03.18(21)申请号202111507854.5(22)申请日2021.12.10(71)申请人济南大学地址250022山东省济南市市中区南辛庄西路336号(72)发明人荆山解集润赵川魏亮陈贞翔(74)专利代理机构济南圣达知识产权代理有限公司37221代理人黄海丽(51)Int.Cl.H04L9/40(2022.01)H04L45/00(2022.01)权利要求书2页说明书9页附图3页(54)发明名称基于软件定义网络的链路泛洪攻击防御方法及系统(57)摘要本发明公开了基于软件定义网络的链路泛洪攻击防御方法及系统，其中方法包括：获取软件定义网络中各个链路的信息；根据各个链路的信息，确定关键链路；确定关键链路是否发生拥堵，对发生拥堵的链路进行缓解；对网络拥堵的时长和数量均超过设定阈值的链路，启动链路泛洪攻击检测；对产生泛洪攻击的链路进行攻击防御和预防。能够在保留软件定义网络灵活性的同时也能有效缓解链路泛洪攻击对网络带来的伤害。CN114205147ACN114205147A权利要求书1/2页1.基于软件定义网络的链路泛洪攻击防御方法，其特征是，包括：获取软件定义网络中各个链路的信息；根据各个链路的信息，确定关键链路；确定关键链路是否发生拥堵，对发生拥堵的链路进行缓解；对网络拥堵的时长和数量均超过设定阈值的链路，启动链路泛洪攻击检测；对产生泛洪攻击的链路进行攻击防御和预防。2.如权利要求1所述的基于软件定义网络的链路泛洪攻击防御方法，其特征是，根据各个链路的信息，确定关键链路；具体包括：根据各个链路的信息，计算链路关键度；选择链路关键度大于设定阈值的链路，作为关键链路。3.如权利要求1所述的基于软件定义网络的链路泛洪攻击防御方法，其特征是，确定关键链路是否发生拥堵，对发生拥堵的链路进行缓解；具体包括：根据设定的链路容量警戒值来进行确定关键链路是否发生拥堵；对发生拥堵的链路采用负载均衡的方式进行缓解。4.如权利要求1所述的基于软件定义网络的链路泛洪攻击防御方法，其特征是，确定关键链路是否发生拥堵，对发生拥堵的链路进行缓解；具体包括：(1)：记录超出链路容量警戒值的链路编号，将拥堵链路编号加入拥堵名单中，并且同时调整软件定义网络中链路的权值；并将权值以及链路编号上传到软件定义网络的控制器；(2)：控制器使用最短链路算法，重新计算软件定义网络中的最短路径，同时启用备用链路；将备用链路编号加入拥堵名单中；(3)：将计算过后的最短路径转化成流表命令下发到对应的交换机；(4)：检查网络拥堵状况，若拥堵重复(1)～(3)；(5)：同一链路引起的拥堵名单在三分钟内数量超过设定的初始阈值B_Max，启动链路洪泛攻击检测。5.如权利要求1所述的基于软件定义网络的链路泛洪攻击防御方法，其特征是，对网络拥堵的时长和数量均超过设定阈值的链路，启动链路泛洪攻击检测；具体包括：先把拥塞链路与危险链路名单相比较，如果拥塞链路存在于危险链路名单中，就直接进入分类步骤，否则就再检查拥塞链路是否存在于临时危险链路名单，检查后如果拥塞链路存在于临时危险链路名单，就进入分类步骤，如果不存在就将其加入临时危险链路名单，然后返回继续负载均衡；分类步骤：对流经当前链路的流量以及因为当前链路拥塞而启用的备用链路的流量均分别输入第一分类器和第二分类器中，并根据两个分类器的分类结果，给出对应的响应。6.如权利要求5所述的基于软件定义网络的链路泛洪攻击防御方法，其特征是，第一分类器为随机森林模型；第二分类器为支持向量机模型；当第一分类器的分类结果为正常，第二分类器的分类结果为正常，则返回继续负载均衡，重置拥塞名单；当第一分类器的分类结果为正常，第二分类器的分类结果为异常，当前链路的标签为非危险链路，则执行的动作为返回负载均衡，将当前链路添加到危险主机名单中；当第一分类器的分类结果为异常，第二分类器的分类结果为正常，当前链路的标签为2CN114205147A权利要求书2/2页非危险链路，则执行的动作为返回负载均衡，将当前链路添加到危险主机名单中；当第一分类器的分类结果为正常，第二分类器的分类结果为异常，当前链路的标签为危险链路，则执行的动作为将当前链路添加到黑名单中；当第一分类器的分类结果为异常，第二分类器的分类结果为正常，当前链路的标签为危险链路，则执行的动作为将当前链路添加到黑名单中；当第一分类器的分类结果为异常，第二分类器的分类结果为异常，当前链路的标签为非危险链路，则执行的动作为将当前链路添加到黑名单中；将当前链路添加到危险主机名单中；当第一分类器的分类结果为异常，第二分类器的分类结果为异常，当前链路的标签为危险链路，则执行的动作为将当前链路添加到黑名单