SDN中基于多維條件熵的DDoS攻擊檢測與防護研究.pdf

1、隨著新時代的不斷發(fā)展，網(wǎng)絡(luò)中業(yè)務規(guī)模和復雜程度的增大，新型網(wǎng)絡(luò)架構(gòu)—軟件定義網(wǎng)絡(luò)（Software Defined Network，SDN）受到追捧而逐漸流行開來。然而SDN在給網(wǎng)絡(luò)建設(shè)提供便利的同時也帶來了新的安全隱患。網(wǎng)絡(luò)中單點失效的安全風險使得SDN容易遭受分布式拒絕服務（Distributed Denial of Service，DDoS）攻擊。DDoS攻擊種類繁多，手段多樣，是目前流行的網(wǎng)絡(luò)攻擊方法之一。當下對DDoS的攻擊檢

2、測和防護研究很多，但大都是在傳統(tǒng)網(wǎng)絡(luò)環(huán)境下的，在SDN環(huán)境中效果并不理想。
　　當下對于SDN中DDoS的攻擊檢測方法主要基于入侵檢測的思想，分成誤用檢測和異常檢測兩類：誤用檢測能準確檢測已知攻擊，但對新攻擊乏力；異常檢測能檢測已知攻擊和新攻擊，但誤報率較高，本文屬于異常檢測范圍。異常檢測的算法又分為基于統(tǒng)計分析算法和基于機器學習的算法，前者套用傳統(tǒng)網(wǎng)絡(luò)DDoS攻擊檢測算法，沒有得到SDN特性的充分支持，后者算法復雜、機器訓練時間

3、長，占用的資源和時間難以滿足SDN對網(wǎng)絡(luò)快速配置的需要。而更進一步的SDN中DDoS攻擊防護方法的研究更是進展緩慢，傳統(tǒng)方案難以做到移植后完美適用，新型方案又未能和攻擊檢測的方法相結(jié)合，造成檢測和防護脫節(jié)，加大了網(wǎng)絡(luò)部署難度和復雜度。
　　本文基于同種思路對SDN中DDoS攻擊檢測和防護兩方面進行研究，結(jié)合了SDN自身特性和DDoS攻擊特征，提出一種基于多維條件熵算法的檢測和防護方案。該算法利用SDN控制器對全局流表中流表項的提取

4、，使用軟件計算多個流表項的條件熵得到多維向量并利用滑動窗口下非參數(shù)CUSUM算法進行攻擊判別。當檢測到攻擊時，通過控制器分析多維條件熵值建立攻擊路徑，進行攻擊溯源找到攻擊源頭。再進一步對靠近攻擊源的交換機下發(fā)新流表，采取多種攻擊緩解手段，如過濾攻擊數(shù)據(jù)包、限制流量發(fā)送速率、平衡鏈路負載等。本文提出的該方案有效利用了SDN集中控制和軟件驅(qū)動的特性，占用較少的資源和時間快速準確地對DDoS攻擊進行檢測和防護。經(jīng)模擬仿真實驗證明，該檢測方案明