[发明专利]一种SDN控制器的DDoS攻击防御方法及防御系统

摘要

本发明提供了一种SDN控制器DDoS攻击的防御方法及防御系统，首先通过两阶段对攻击进行检测，从而判断DDoS攻击是否存在，在攻击发生的时候通过攻击定位的方法筛选出可疑的交换机集合，在攻击发生后，通过缓解攻击将恶意的Packet‑in消息丢弃，并通过设置合适的流表项Timeout值来保护交换机流表空间。本发明解决了在满足OpenFlow策略下，精确地检测可疑的Packet‑in消息的问题，尽快地对SDN控制器进行攻击防御，使得正常的数据包能够获得较好的服务质量，从而恢复网络的正常状态且确保正常的数据包处理。本发明检测速度快、检测精度高、结构简单，具有很强的推广应用价值。

主权项

1.一种SDN控制器的DDoS攻击防御方法，其特征在于，包括如下步骤：(S1)通过SDN控制器实时监控SDN网络状态，获取交换机的Packet‑in消息到达率以及Packet‑in消息的信息熵；(S2)根据所述交换机的Packet‑in消息到达率以及Packet‑in消息的信息熵，检测当前网络状态是否存在DDoS攻击，若有，则进入步骤(S3)，反之，则给所述Packet‑in消息建立最大值的流表项Timeout＝Tmax，并进入步骤(S4)，其中，Timeout为交换机流表项超时值，Tmax为Packet‑in消息对应的流表项最大Timeout值；(S3)根据检测结果进行攻击定位，并根据攻击定位结果判断所述Packet‑in消息是否来自可疑交换机集合S_switch，若是，则丢弃所述Packet‑in消息,结束攻击防御，反之，则给所述Packet‑in消息建立动态的流表项Timeout＝Tdym，并进入步骤(S4)，其中，Timeout为交换机流表项超时值，Tdym为Packet‑in消息对应的流表项动态Timeout值；(S4)将Timeout＝Tmax的流表项或Timeout＝Tdym的流表项返回至SDN交换机进行转发，从而实现对SDN控制器的DDoS攻击防御。