一种基于SDN的DDoS攻击检测方法技术

本发明专利技术涉及一种基于SDN的DDoS攻击检测方法，属于软件定义网络领域。本发明专利技术使用队列论及条件熵作为SDN环境中到达流的粗粒度检测模块，使用机器学习作为细粒度检测模块，准确的从合法包中检测出恶意流量，保护控制器免受攻击的同时，减少网络中服务器被攻击的可能。粗粒度检测由两个并行的检测模块构成，多维条件熵检测模块与控制器入口队列长度检测模块，任何一个模块检测结果超过阈值则触发细粒度检测，细粒度检测模块基于OpenFlow协议向交换机收集流表项及计数器信息进行统计处理，使用已训练好并置入控制器内的随机森林(RF)分类模型对流量进行最终的判决，进而对攻击流量进行有效检测，防止控制器受到破坏。防止控制器受到破坏。防止控制器受到破坏。

【技术实现步骤摘要】
一种基于SDN的DDoS攻击检测方法


[0001]本专利技术涉及一种基于SDN的DDoS攻击检测方法，属于软件定义网络领域。

技术介绍

[0002]软件定义网络(Software
‑
Defined Networking,SDN)，是一种逻辑集中控制 的新网络架构，SDN将网络的控制平面和数据平面解耦分离，抽象了数据平面网 络资源，并支持通过统一的接口对网络直接进行编程控制，SDN通过对流表的控 制与下发来管理整个网络的流向。在SDN环境下，一切都由控制器进行管理，根 据OpenFlow协议，一个新的报文来到交换机时，交换机中的转发表没有匹配的 路由规则，交换机会利用Packet_In数据帧将其封装并发送至控制器，请求新的 路由规则。控制器收到消息之后提供相应的应答策略，通过Packet_Out消息将 指示发送给对应的交换机，交换机根据接收到的规则处理报文。
[0003]尽管SDN拥有许多其他网络架构无法比拟的优势，但其存在的安全隐患依旧 令人担忧。分布式拒绝服务攻击(DDoS)是互联网上一个日益严重的问题。攻击 者以一本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于SDN的DDoS攻击检测方法，其特征在于：包括如下步骤：(1)根据公开DDoS数据集计算多维条件熵阈值；(2)使用M/M/1队列论计算控制器入口队列长度阈值；(3)通过SDN控制器实时监控SDN状态，实时计算到达流量中各维条件熵；(4)通过SDN控制器实时监控控制器入口Packet_In数据帧队列长度；(5)根据实时计算得到的条件熵值与队列长度值判断当前网络是否存在DDoS攻击，若有，则进入步骤(6)，反之则正常下发路由规制至相应交换机；(6)将Packet_In数据帧送入细粒度检测模块，该模块基于OpenFlow协议向发送Packet_in数据帧的交换机收集流表项及计数器信息进行统计处理，提取特征向量，使用已训练好的随机森林分类模型对流量是否有为攻击流量进行判决，一旦判决为攻击流量，将该流量特征存入攻击流量特征数据库；(7)当检测到存在DDoS攻击到达一定次数时，计算攻击流量特征数据库多维条件熵，根据计算结果对相应条件熵阈值进行订正调整。2.根据权利要求1所述的基于SDN的DDoS攻击检测方法，其特征在于：所述步骤(1)包括如下步骤：1.1、根据大量公开DDoS数据集共同特点，选取条件熵特征值H(Sip|Dip)、H(Sip|Dport)、H(Dport|Dip)，H(Sip|Dip)表示源地址关于目的地址的条件熵，可分辨双方地址之间的随机性大小，H(Sip|Dport)表示源地址关于目的端口的条件熵，可分辨源地址与目的服务器端口间的随机性大小，H(Dport|Dip)表示目的端口与目的地址间条件熵，可描述目的端口与目的地址间的随机性大小；1.2、根据选取的特征值，使用窗口大小W计算该特征值条件熵，分别构建频率直方图，根据统计结果使用错误拒绝率FRR与错误接受率FAR相等时的值作为该特征的阈值T
i
，其中条件熵计算公式为：其中A，B为随机变量，H(A|B)表示B给定的条件下A的不确定性，P(a，b)表示A＝a，B＝b的联合分布概率，P(b)表示B＝b时的概率；1.3、根据各特征值阈值进一步得到各特征值的权重w
i
，其表达式为：其中A
i
为每个特征值的接受率，A
i
＝1
‑
E
i
，E
i
为该特征选定阈值T
i
后的识别错误率。3.根据权利要求1所述的基于SDN的DDoS攻击检测方法，其特征在于：所述步骤(2)包括如下步骤：2.1、根据M/M/1队列论计算控制器临界服务强度λ
i
和μ
c
分别表示数据包到达率与控制器服务率；2.2、用L
t
表示队列长度阈值，其表达式为：
L
t
＝L
q
+kσ
q
其中L
q
表示队列...

【专利技术属性】
技术研发人员：谢汶锦，张智斌，张三妞，徐一轩，匡波安，
申请(专利权)人：昆明理工大学，
类型：发明
国别省市：