【摘要】：隨著計(jì)算機(jī)的不斷成熟和發(fā)展,使得傳統(tǒng)的網(wǎng)絡(luò)架構(gòu)暴露出了很多問題,所以這一大環(huán)境下SDN(Software-Defined Network,軟件定義網(wǎng)絡(luò))這種新型網(wǎng)絡(luò)架構(gòu)應(yīng)運(yùn)而生。SDN將控制層面與數(shù)據(jù)轉(zhuǎn)發(fā)層面相分離,控制器來對(duì)全網(wǎng)集中管控,而底層基礎(chǔ)設(shè)備致力于轉(zhuǎn)發(fā)數(shù)據(jù),提高了網(wǎng)絡(luò)的靈活性和可編程性,降低了成本,但是SDN在帶來了新機(jī)遇的同時(shí)也更容易成為DDoS(Distributed Denial of Service,分布式拒絕服務(wù))攻擊的目標(biāo)。目前在SDN中使用的大部分DDoS攻擊檢測(cè)和路徑回溯方法是從傳統(tǒng)網(wǎng)絡(luò)中借鑒過去的,難于很好的適配到SDN架構(gòu)中,而本文是在充分了解了SDN的新特性和現(xiàn)有方法的不足之處后而提出的新型DDoS攻擊檢測(cè)和路徑回溯方法。本文的兩個(gè)創(chuàng)新點(diǎn)和主要研究?jī)?nèi)容介紹如下:(1)基于信息熵和Hurst指數(shù)的DDoS攻擊檢測(cè)方法。本方法是將源IP地址與目的IP地址的信息熵比值和Hurst指數(shù)結(jié)合在一起來檢測(cè)DDoS攻擊。信息熵可以反映隨機(jī)變量的隨機(jī)程度,當(dāng)網(wǎng)絡(luò)中出現(xiàn)大量源IP地址偽造而目的IP地址集中且單一的DDoS攻擊時(shí),源IP地址與目的IP地址的信息熵比值會(huì)驟升并超出閾值。Hurst指數(shù)是用來反映網(wǎng)絡(luò)流量自相似性的,如果網(wǎng)絡(luò)遭受了DDoS攻擊Hurst指數(shù)就會(huì)偏離正常范圍。當(dāng)信息熵比值和Hurst指數(shù)兩個(gè)參數(shù)同時(shí)發(fā)生異常時(shí)可判定為DDoS攻擊。通過實(shí)驗(yàn)將本檢測(cè)方法與單一的源IP地址與目的IP地址的信息熵比值和單一的Hurst指數(shù)檢測(cè)方法進(jìn)行比較,得出本檢測(cè)方法具有更低誤報(bào)率和更高準(zhǔn)確率的結(jié)論。(2)基于信息熵的DDoS攻擊路徑回溯方法。本方法提出了兩個(gè)算法,交換機(jī)端口信息熵比值的計(jì)算算法和攻擊路徑的重建算法,利用交換機(jī)端口信息熵比值的計(jì)算算法來計(jì)算各個(gè)端口的源IP地址與目的IP地址信息熵比值,判斷源IP地址與目的IP地址信息熵比值是否超出閾值進(jìn)而確定端口是否位于攻擊路徑上,然后用攻擊路徑重建算法還原出攻擊路徑。本方法對(duì)同一時(shí)刻網(wǎng)絡(luò)中只發(fā)生一種DDoS攻擊并且攻擊流量大于正常流量的情況十分有效,通過將本路徑回溯方法與現(xiàn)有SDN中的DDoS攻擊路徑回溯方法進(jìn)行對(duì)比后發(fā)現(xiàn),本方法彌補(bǔ)了現(xiàn)有方法存在的不足之處,更好的回溯出攻擊路徑,方便下一步防御工作的快速開展。經(jīng)過仿真實(shí)驗(yàn)分析,本文提出的針對(duì)SDN環(huán)境下的DDoS攻擊檢測(cè)和路徑回溯方法可以有效的檢測(cè)出DDoS攻擊并回溯出攻擊路徑,為進(jìn)一步提高SDN架構(gòu)的網(wǎng)絡(luò)安全性作出一定的貢獻(xiàn)。
【圖文】：

圖 2-1 SDN 的三層架構(gòu)面由若干個(gè)網(wǎng)元構(gòu)成，每個(gè)網(wǎng)元都可以由一個(gè)或多個(gè) SDN Dat代表著所有或者某一部分的物理資源，它可以用來處理和轉(zhuǎn)發(fā)用。面有 SDN 控制器，SDN 控制器是一個(gè)邏輯上完整的實(shí)體，它可以成，而且所有的控制器實(shí)例既可以集中分布在一個(gè)相同的位置。SDN 控制器的主要作用有兩個(gè)，一方面可以將應(yīng)用層發(fā)來的另一方面將底層網(wǎng)絡(luò)的抽象模型提供給 SDN 應(yīng)用。面是由多個(gè)用戶較為在意的 SDN 應(yīng)用程序所構(gòu)成，SDN 控制器與使用的是 SDN 北向接口。這些應(yīng)用都是開放可編程操作的，可

圖 2-2 OpenFlow 基本架構(gòu)w 基本架構(gòu)中，流表、安全通道、OpenFlow 協(xié)議占有重要位置。概念：數(shù)據(jù)分組的查詢和轉(zhuǎn)發(fā)，OpenFlow V1.0 中每臺(tái)交換機(jī)有一張存當(dāng)一個(gè)數(shù)據(jù)分組進(jìn)去交換機(jī)之后，首先需要與流表中的流表項(xiàng)進(jìn)功，，就根據(jù)要求進(jìn)行處理操作。若未能匹配到流表項(xiàng)，則封裝為制器，由控制器進(jìn)行操作。w 的流表項(xiàng)由分組頭域、計(jì)數(shù)器、動(dòng)作表構(gòu)成，如圖 2-3 所示：圖 2-3 OpenFlow 流表項(xiàng)
【學(xué)位授予單位】：河南大學(xué)
【學(xué)位級(jí)別】：碩士
【學(xué)位授予年份】：2018
【分類號(hào)】：TP393.08

【參考文獻(xiàn)】

相關(guān)期刊論文 前5條

1 張世軒;劉靜;賴英旭;何運(yùn);楊盼;;基于SDN構(gòu)架的DoS/DDoS攻擊檢測(cè)與防御體系[J];電子技術(shù)應(yīng)用;2015年12期

2 鄭亞;陳興蜀;尹學(xué)淵;;基于PCC時(shí)間序列的DDoS檢測(cè)算法[J];四川大學(xué)學(xué)報(bào)(工程科學(xué)版);2015年S2期

3 肖甫;馬俊青;黃洵松;王汝傳;;SDN環(huán)境下基于KNN的DDoS攻擊檢測(cè)方法[J];南京郵電大學(xué)學(xué)報(bào)(自然科學(xué)版);2015年01期

4 左青云;陳鳴;王秀磊;劉波;;一種基于SDN的在線流量異常檢測(cè)方法[J];西安電子科技大學(xué)學(xué)報(bào);2015年01期

5 傅雷揚(yáng);王汝傳;王海艷;任勛益;;R/S方法求解網(wǎng)絡(luò)流量自相似參數(shù)的實(shí)現(xiàn)與應(yīng)用[J];南京航空航天大學(xué)學(xué)報(bào);2007年03期

相關(guān)碩士學(xué)位論文 前4條

1 王曉瑞;SDN中DDoS攻擊檢測(cè)與流表過載防御技術(shù)研究[D];鄭州大學(xué);2017年

2 候海軍;基于SDN的DoS攻擊檢測(cè)技術(shù)研究[D];北京交通大學(xué);2016年

3 李鶴飛;基于軟件定義網(wǎng)絡(luò)的DDoS攻擊檢測(cè)方法和緩解機(jī)制的研究[D];華東師范大學(xué);2015年

4 夏彬;基于軟件定義網(wǎng)絡(luò)的WLAN中DDoS攻擊檢測(cè)和防護(hù)[D];上海交通大學(xué);2015年

本文編號(hào)：2605949