CN104468624A - Sdn控制器、路由/交换设备及网络防御方法 - Google Patents

Sdn控制器、路由/交换设备及网络防御方法 Download PDF

Info

Publication number
CN104468624A
CN104468624A CN201410830604.9A CN201410830604A CN104468624A CN 104468624 A CN104468624 A CN 104468624A CN 201410830604 A CN201410830604 A CN 201410830604A CN 104468624 A CN104468624 A CN 104468624A
Authority
CN
China
Prior art keywords
tcp
connection table
message
illegal
request message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410830604.9A
Other languages
English (en)
Other versions
CN104468624B (zh
Inventor
翟跃
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Perston Automatic Control Engineering Technology Co.,Ltd.
Original Assignee
Shanghai Feixun Data Communication Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Feixun Data Communication Technology Co Ltd filed Critical Shanghai Feixun Data Communication Technology Co Ltd
Priority to CN201410830604.9A priority Critical patent/CN104468624B/zh
Publication of CN104468624A publication Critical patent/CN104468624A/zh
Application granted granted Critical
Publication of CN104468624B publication Critical patent/CN104468624B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供一种SDN控制器、路由/交换设备及网络防御方法，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，本发明在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略；本发明采用了SDN架构，能够感知攻击者的位置，并可准确归类攻击报文。

Description

SDN控制器、路由/交换设备及网络防御方法
技术领域
本发明涉及网络通信技术领域，特别是涉及一种SDN控制器、路由/交换设备及网络防御方法。
背景技术
随着互联网的发展，网络带来方便的同时，网络安全事件也时有发生，网络攻击威慑着网上用户，信息的安全性和保密性受到很大的威胁。拒绝服务攻击(DoS)由于其工具随处可得，容易操作，攻击范围广、隐蔽性强、简单有效等特点，使其发生频率越来越高，极大地影响着网络和业务主机系统的有效服务，尤其是分布式拒绝服务攻击(DDoS)已经被公认为互联网上最难解决的问题之一。
TCP(Transmission Control Protocol传输控制协议)泛洪攻击是DDoS最常见的攻击手段。由于TCP协议连接三次握手的需要，在每个TCP建立连接时，都要发送一个带SYN(synchronous，同步)标记的数据报，如果在服务器端发送应答报后，客户端不发出确认，服务器会等待到数据超时，如果大量的受控制客户发出大量的带SYN标记的TCP请求数据报到服务器端后都没有应答，会使服务器端的TCP资源迅速枯竭，导致正常的连接不能进入，甚至会导致服务器的系统崩溃。
对于拒绝服务攻击而言，目前还没有比较完善的解决方案。拒绝服务攻击是与目前使用的网络协议密切相关的，它的彻底解决是极为困难的。拒绝服务攻击的对策主要可以分为三个方面：检测防御、增强容忍性和攻击源追踪。
部分网络设备为了防御DDoS攻击采取了随机丢报的方法，这种方法利用了网络设备本身的特性，网络设备常常在流量较大的时候采取丢报的方式来维持其功能的正常。随机丢报是在难于获取有效特征或无其它有效防御措施的情况下所采取的一种方法，要维持网络正常，只好随机地将数据报丢弃，尽量保证能提供服务，当然丢弃的报并不一定就是攻击的数据报。而放行的也并不一定就是正常的报文。
主动发送RST也是一种防御SYN攻击的办法，SYN攻击造成危害的原因主要是很多不正常的SYN请求占据了TCB表，从而让新的请求无法得到回应。当服务器接受到RST报的时候，就会将TCB中的相应记录释放。主动发送RST的方法就是利用了这种特点，通过第三方主动发送RST(TCP首部中的6个标志比特之一，表示重置连接、复位连接)报文，让服务器的缓冲区尽快释放。但是，这种办法并未将攻击请求报和正常请求报区别对待。
并且，由于现有的网络是分布式控制方式，很难感知报文的转发路径和攻击者位置。所以无法精准地找到离攻击者最近的交换机或路由器做入口过滤。
发明内容
鉴于以上所述现有技术的缺点，本发明的目的在于提供一种SDN控制器、路由/交换设备及网络防御方法，解决现有技术中网络防御手段存在定位攻击者困难、过滤不准确等问题。
为实现上述目标及其他相关目标，本发明提供一种SDN控制器，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，所述SDN控制器包括：建立模块，用于建立合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表并送至所述路由/交换设备储存；流表生成模块，用于在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略。
可选的，所述过滤策略包括：在所述入口路由/交换设备接收到来自客户端的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；若在所屈合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；判断所述目的IP地址的TCP半连接数是否达到预设阈值；若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端发送SYN加ACK报文，并检查客户端是否反馈ACK报文；若所述客户端有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端发送RST报文；若所述客户端未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文。
可选的，所述SYN加ACK报文包含根据所述SYN请求报文的四元组信息生成的加密信息；所述反馈ACK是通过解密所述加密信息而生成的，以证明所述客户端合法。
可选的，所述非法TCP半连接表中的条目具有老化时间；所述增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文，包括：
在所述非法TCP半连接表中找到最老的条目，产生对应的RST并发送给所述服务器端；
生成对应所述SYN请求报文的条目来替换所述最老条目。
可选的，所述过滤策略包括：在所述入口路由器收到RST或FIN报文时，根据所述RST或FIN报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则从所述合法TCP连接表中删除所述RST或FIN报文的相关条目。
为实现上述目标及其他相关目标，本发明提供一种路由/交换设备，网络连接于客户端及服务器端间并连接于SDN控制器，所述路由/交换设备包括：储存模块，用于储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；过滤控制模块，用于从所述SDN控制器接收含有过滤动作类型的流表，以控制所述路由/交换设备据以执行对应的过滤策略；其中，所述流表是由所述SDN控制器在所述网络受到攻击时，生成并下发的。
为实现上述目标及其他相关目标，本发明提供一种网络防御方法，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备、及控制各所述路由/交换设备的SDN控制器的网络中，所述方法包括：在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略。
可选的，所述过滤策略包括：在所述入口路由/交换设备接收到来自客户端的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；若在所屈合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；判断所述目的IP地址的TCP半连接数是否达到预设阈值；若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端发送SYN加ACK报文，并检查客户端是否反馈ACK报文；若所述客户端有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端发送RST报文；若所述客户端未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文。
可选的，所述SYN加ACK报文包含根据所述SYN请求报文的四元组信息生成的加密信息；所述反馈ACK是通过解密所述加密信息而生成的，以证明所述客户端合法。
可选的，所述非法TCP半连接表中的条目具有老化时间；所述增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文，包括：在所述非法TCP半连接表中找到最老的条目，产生对应的RST并发送给所述服务器端；生成对应所述SYN请求报文的条目来替换所述最老条目。
可选的，所述过滤策略包括：在所述入口路由器收到RST或FIN报文时，根据所述RST或FIN报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则从所述合法TCP连接表中删除所述RST或FIN报文的相关条目。
如上所述，本发明提供一种SDN控制器、路由/交换设备及网络防御方法，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，本发明在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略；本发明采用了SDN架构，能够感知攻击者的位置，并通过下流表到入口路由器的方式动态地实现对攻击报文的入口过滤，并可结合加密的SYN加ACK报文及回复ACK的机制准确确定被归类为攻击的数据报文，解决了未将攻击请求报和正常请求报区别对待的问题，且即使黑客发起TCP泛洪攻击，也不会影响TCP服务器对合法用户的请求处理。
附图说明
图1显示为本发明一实施例中SDN控制器及所应用网络环境的结构示意图。
图2显示为本发明一实施例中过滤策略处理SYN请求报文的流程示意图。
图3显示为本发明一实施例中非法TCP半连接表老化功能的流程示意图。
图4显示为本发明一实施例中过滤策略处理RST或者FIN报文的流程示意图。
图5显示为本发明一实施例中过滤策略中通过非法TCP半连接表处理的流程示意图。
图6显示为本发明一实施例中路由/交换设备的结构示意图。
图7显示为本发明一实施例中网络防御方法的流程示意图。
元件标号说明
1       SDN控制器
11      建立模块
12      流表生成模块
2       客户端
3       服务器端
4       路由/交换设备
41      储存模块
42      过滤控制模块
S1～S2  方法步骤
具体实施方式
以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
本发明应用于SDN网络架构中，SDN即软件定义网络(Software Defined Network，SDN)，是Emulex网络一种新型网络创新架构，其核心技术OpenFlow通过将网络设备控制面与数据面分离开来，从而实现了网络流量的灵活控制。
如图1所示，本发明提供一种SDN控制器1，应用于包括客户端2、服务器端3、及连接所述客户端2及服务器端3间的路由/交换设备4(例如交换机或路由器)的SDN网络中，所述SDN控制器1包括：储存模块41、及流表生成模块12。
所述建立模块11，用于建立合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表并送至所述路由/交换设备4储存。在一实施例中，所述合法TCP连接表记录合法客户端2的TCP连接，其表明了合法的TCP请求用户，匹配合法TCP连接表的TCP SYN请求报文将被转发到TCP服务器进行处理；在一实施例中，所述合法TCP连接表应包含源IP地址、目的IP地址、源TCP端口及目的TCP端口信息的相关条目以对报文的四元组信息进行匹配，此内容会于后文作详细描述；非法TCP半连接表表明了正在攻击的黑客用户或处于TCP半连接的用户，而所述非法TCP半连接数目表表明各个所述非法TCP半连接的次数，所述非法TCP半连接表应包含源IP地址、目的IP地址、源TCP端口、及目的TCP端口信息的相关条目。在一实施例中，所述合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表是可以流表形式发送并保存于所述路由/交换设备4设备的，当然亦可通过其他方式，仅需便于查找匹配即可，并非以此为限。
所述流表生成模块12，用于在所述网络受到攻击(例如为TCP泛洪攻击)时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备4(例如离攻击者最近的路由器或交换机，即图示路由/交换设备A)，以控制所述路由/交换设备4据以执行对应的过滤策略。在一实施例中，例如在SDN控制器1下发交换机或路由器的OpenFlow流表中增加了包含执行过滤的动作类型(ACTION)的流表项，该流表项还可包括用于将需要防范攻击的对象(例如需要防御的服务器端3IP地址)作为对应所述过滤动作类型的匹配字段，在交换机匹配到相关的攻击信息时，可对应执行所述过滤动作。
在一实施例中，所述SDN控制器1可通过进行全网的路径分析而了解流量分布，从而定位可能的攻击者，
本发明对于同一匹配目的IP的数据流而根据合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表内容，在入口路由器侧实现对攻击报文的入口过滤，具体来说，在一实施例中，如图2所示，所述过滤策略包括：
(a)在所述入口路由/交换设备4接收到来自客户端2的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；
(b)若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；优选的，刷新合法TCP连接表，所述合法TCP连接表可具有硬件老化功能，所述刷新指的是指合法TCP连接表中条目被命中并重新老化；
(c)若在所屈合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；
(d)若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；
(e)若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；
(f)判断所述目的IP地址的TCP半连接数是否达到预设阈值；在一实施例中，所述的达到为大于或等于；
(g)若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备4收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；
(h)若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端2发送SYN加ACK报文，并检查客户端2是否反馈ACK报文；
(i)若所述客户端2有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端2发送RST报文；
(j)若所述客户端2未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端3发送相关的RST报文。
在一实施例中，优选的，SDN网络中的交换机在硬件上需要支持合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；本发明将SDN网络中的交换机的控制面都上移到SDN控制器1，交换机只保留数据面，而支持扩展的SDN网络内流表(例如SDN控制器1下发流表)和OpenFlow协议；SDN控制器1和交换机还需要支持扩充OpenFlow流表指令集，为支持防御TCP泛洪攻击而新增流表Action类型例如名称为：“OFPAT_ANTI_TCP_FLOODING”；SDN交换机在硬件上支持合法TCP连接表和非法TCP半连接表的新增，删除和老化，并且也可支持非法TCP半连接数目表的动态统计。
在一实施例中，所述非法TCP半连接表中的条目具有老化时间即例如硬件老化功能，用户可以根据实际需求修改老化时间，需要注意的是老化时间需要在下个老化周期生效。缺省的老化时间为75秒，和伯克利实现的TCP连接总的超时时间保持一致。
所述增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端3发送相关的RST报文，包括：在所述非法TCP半连接表中找到最老的条目，产生对应的RST并发送给所述服务器端3；生成对应所述SYN请求报文的条目来替换所述最老条目；在一具体实施例中，可参考图3的示例。
在一实施例中，当支持SDN的入口路由器收到RST或者FIN报文，并且在合法TCP连接表中匹配到有效条目，系统将从合法TCP连接表中删除相关条目。则所述过滤策略包括：在所述入口路由器收到RST或FIN报文时，根据所述RST或FIN报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则从所述合法TCP连接表中删除所述RST或FIN报文的相关条目；在一具体实施例中，可参考图4的示例。
在一实施例中，所述SYN加ACK报文包含根据所述SYN请求报文的四元组信息生成的加密信息；所述反馈ACK是通过解密所述加密信息而生成的，以证明所述客户端2合法。
具体来讲，当TCP的半连接数没有超出指定的阈值，TCP SYN请求报文将会被透传给TCP服务器，否则SDN交换机向客户端2发送一个类似的SYN+ACK消息，在这个消息中，所述加密信息(例如序列号形式)是服务器根据客户端2的IP地址、端口号、服务器的IP地址、端口号以及时间等通过一个加密的函数生成的，所述加密算法可以为现有的加密算法或自定义的加密算法；当接收到从客户端2发来的ACK报文时，针对这个SYN+ACK报文的ACK报文，将表明这是一个合法的TCP客户端2，因为非法的TCP客户端2不可能解密SYN+ACK报文中的加密信息而反馈ACK报文的；路由/交换设备4将向TCP客户端2发送RST报文来忽略第一次SYN请求，同时增加对应的条目到合法TCP连接表；此合法用户的第二次SYN请求由于匹配到合法TCP连接表而被正常处理；如果客户端2并没有响应SDN交换机发送的SYN+ACK消息，此SYN请求报文将被当作攻击报文被丢弃，同时需替换非法TCP半连接表中最老的条目；具体处理流程请参照图5。
如图6所示，结合上述内容，本发明所提供的路由/交换设备4，网络连接于客户端2及服务器端3间并连接于SDN控制器1，所述路由/交换设备4包括：储存模块41，用于储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；过滤控制模块42，用于从所述SDN控制器1接收含有过滤动作类型的流表，以控制所述路由/交换设备4据以执行对应的过滤策略；其中，所述流表是由所述SDN控制器1在所述网络受到攻击时，生成并下发的。
如图7所示，本发明提供一种网络防御方法，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备、及控制各所述路由/交换设备的SDN控制器的网络中，所述方法同上述实施例中的技术原理大致相同，因此以下对部分重复的技术细节将不再赘述；所述方法包括：
步骤S1：在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；
步骤S2：在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略。
在一实施例中，所述过滤策略包括：在所述入口路由/交换设备接收到来自客户端的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；若在所屈合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；判断所述目的IP地址的TCP半连接数是否达到预设阈值；若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端发送SYN加ACK报文，并检查客户端是否反馈ACK报文；若所述客户端有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端发送RST报文；若所述客户端未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文。
在一实施例中，所述SYN加ACK报文包含根据所述SYN请求报文的四元组信息生成的加密信息；所述反馈ACK是通过解密所述加密信息而生成的，以证明所述客户端合法。
在一实施例中，所述非法TCP半连接表中的条目具有老化时间；所述增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文，包括：在所述非法TCP半连接表中找到最老的条目，产生对应的RST并发送给所述服务器端；生成对应所述SYN请求报文的条目来替换所述最老条目。
在一实施例中，所述过滤策略包括：在所述入口路由器收到RST或FIN报文时，根据所述RST或FIN报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则从所述合法TCP连接表中删除所述RST或FIN报文的相关条目。
综上所述，本发明提供一种SDN控制器、路由/交换设备及网络防御方法，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，本发明在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略；本发明采用了SDN架构，能够感知攻击者的位置，并通过下流表到入口路由器的方式动态地实现对攻击报文的入口过滤，并可结合加密的SYN加ACK报文及回复ACK的机制准确确定被归类为攻击的数据报文，解决了未将攻击请求报和正常请求报区别对待的问题，且即使黑客发起TCP泛洪攻击，也不会影响TCP服务器对合法用户的请求处理。
上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所屈技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (11)

1.一种SDN控制器，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，其特征在于，所述SDN控制器包括：
建立模块，用于建立合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表并送至所述路由/交换设备储存；
流表生成模块，用于在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略。
2.根据权利要求1所述的SDN控制器，其特征在于，所述过滤策略包括：
在所述入口路由/交换设备接收到来自客户端的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；
若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；
若在所属合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；
若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；
若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；
判断所述目的IP地址的TCP半连接数是否达到预设阈值；
若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；
若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端发送SYN加ACK报文，并检查客户端是否反馈ACK报文；
若所述客户端有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端发送RST报文；
若所述客户端未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文。
3.根据权利要求2所述的SDN控制器，其特征在于，所述SYN加ACK报文包含根据所述SYN请求报文的四元组信息生成的加密信息；所述反馈ACK是通过解密所述加密信息而生成的，以证明所述客户端合法。
4.根据权利要求2所述的SDN控制器，其特征在于，所述非法TCP半连接表中的条目具有老化时间；所述增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文，包括：
在所述非法TCP半连接表中找到最老的条目，产生对应的RST并发送给所述服务器端；
生成对应所述SYN请求报文的条目来替换所述最老条目。
5.根据权利要求1所述的SDN控制器，其特征在于，所述过滤策略包括：
在所述入口路由器收到RST或FIN报文时，根据所述RST或FIN报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；
若在所述合法TCP连接表中匹配，则从所述合法TCP连接表中删除所述RST或FIN报文的相关条目。
6.一种路由/交换设备，网络连接于客户端及服务器端间并连接于SDN控制器，其特征在于，所述路由/交换设备包括：
储存模块，用于储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；
过滤控制模块，用于从所述SDN控制器接收含有过滤动作类型的流表，以控制所述路由/交换设备据以执行对应的过滤策略；其中，所述流表是由所述SDN控制器在所述网络受到攻击时，生成并下发的。
7.一种网络防御方法，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备、及控制各所述路由/交换设备的SDN控制器的网络中，其特征在于，所述方法包括
在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；
在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略。
8.根据权利要求7所述的网络防御方法，其特征在于，所述过滤策略包括：
在所述入口路由/交换设备接收到来自客户端的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；
若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；
若在所属合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；
若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；
若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；
判断所述目的IP地址的TCP半连接数是否达到预设阈值；
若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；
若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端发送SYN加ACK报文，并检查客户端是否反馈ACK报文；
若所述客户端有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端发送RST报文；
若所述客户端未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文。
9.根据权利要求8所述的网络防御方法，其特征在于，所述SYN加ACK报文包含根据所述SYN请求报文的四元组信息生成的加密信息；所述反馈ACK是通过解密所述加密信息而生成的，以证明所述客户端合法。
10.根据权利要求8所述的网络防御方法，其特征在于，所述非法TCP半连接表中的条目具有老化时间；所述增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文，包括：
在所述非法TCP半连接表中找到最老的条目，产生对应的RST并发送给所述服务器端；
生成对应所述SYN请求报文的条目来替换所述最老条目。
11.根据权利要求7所述的网络防御方法，其特征在于，所述过滤策略包括：
在所述入口路由器收到RST或FIN报文时，根据所述RST或FIN报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；
若在所述合法TCP连接表中匹配，则从所述合法TCP连接表中删除所述RST或FIN报文的相关条目。
CN201410830604.9A 2014-12-22 2014-12-22 Sdn控制器、路由/交换设备及网络防御方法 Active CN104468624B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410830604.9A CN104468624B (zh) 2014-12-22 2014-12-22 Sdn控制器、路由/交换设备及网络防御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410830604.9A CN104468624B (zh) 2014-12-22 2014-12-22 Sdn控制器、路由/交换设备及网络防御方法

Publications (2)

Publication Number Publication Date
CN104468624A true CN104468624A (zh) 2015-03-25
CN104468624B CN104468624B (zh) 2018-01-02

Family

ID=52913996

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410830604.9A Active CN104468624B (zh) 2014-12-22 2014-12-22 Sdn控制器、路由/交换设备及网络防御方法

Country Status (1)

Country Link
CN (1) CN104468624B (zh)

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104883362A (zh) * 2015-05-11 2015-09-02 北京交通大学 异常访问行为控制方法及装置
CN106453367A (zh) * 2016-10-27 2017-02-22 上海斐讯数据通信技术有限公司 一种基于sdn的防地址扫描攻击的方法及系统
CN106534048A (zh) * 2015-09-11 2017-03-22 中国电信股份有限公司 一种防范sdn拒绝服务攻击的方法、交换机和系统
CN107483431A (zh) * 2017-08-10 2017-12-15 杭州迪普科技股份有限公司 一种基于tcp/ip协议的交换机端口安全防护方法和装置
CN107707513A (zh) * 2017-01-10 2018-02-16 贵州白山云科技有限公司 一种防御网络攻击的方法以及装置
CN108183917A (zh) * 2018-01-16 2018-06-19 中国人民解放军国防科技大学 基于软件定义网络的DDoS攻击跨层协同检测方法
CN109327426A (zh) * 2018-01-11 2019-02-12 白令海 一种防火墙攻击防御方法
WO2019101054A1 (zh) * 2017-11-27 2019-05-31 华为技术有限公司 聚合速率控制方法、设备以及系统
CN109962879A (zh) * 2017-12-22 2019-07-02 中国电信股份有限公司 针对分布式反射拒绝服务DRDoS的安全防御方法和控制器
CN110366170A (zh) * 2019-06-15 2019-10-22 浙江大学 一种基于软件定义安全的无线网络安全防御办法
CN111200505A (zh) * 2018-11-19 2020-05-26 中移(苏州)软件技术有限公司 一种报文处理方法及装置
CN111756713A (zh) * 2020-06-15 2020-10-09 Oppo（重庆）智能科技有限公司 网络攻击识别方法、装置、计算机设备及介质
CN111800419A (zh) * 2020-07-06 2020-10-20 东北大学 一种SDN环境下DDoS攻击检测系统及方法
CN111885092A (zh) * 2020-09-10 2020-11-03 中国联合网络通信集团有限公司 一种边缘节点的DDoS攻击检测方法、处理方法及SDN
CN112866031A (zh) * 2021-02-05 2021-05-28 杭州迪普科技股份有限公司 路由配置方法、装置、设备及计算机可读存储介质
CN112887210A (zh) * 2021-01-06 2021-06-01 新华三大数据技术有限公司 一种流表管理方法及装置
CN114244625A (zh) * 2021-12-30 2022-03-25 山东安控信息科技有限公司 一种物理隔离设备的报文快速转发方法及系统
CN114374563A (zh) * 2022-01-19 2022-04-19 深圳市天机云信息技术有限公司 网络连接方法、装置、存储介质及电子设备
CN115334136A (zh) * 2022-07-05 2022-11-11 北京天融信网络安全技术有限公司 一种连接老化控制方法、系统、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103281317A (zh) * 2013-05-09 2013-09-04 浙江师范大学 一种软件定义网络的攻击测试方法
CN103561011A (zh) * 2013-10-28 2014-02-05 中国科学院信息工程研究所 一种SDN控制器盲DDoS攻击防护方法及系统
CN104104651A (zh) * 2013-04-02 2014-10-15 杭州市电力局 数据处理方法、装置及电动交通工具网络管理系统
CN104184749A (zh) * 2014-09-15 2014-12-03 上海斐讯数据通信技术有限公司 一种sdn网络访问方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104104651A (zh) * 2013-04-02 2014-10-15 杭州市电力局 数据处理方法、装置及电动交通工具网络管理系统
CN103281317A (zh) * 2013-05-09 2013-09-04 浙江师范大学 一种软件定义网络的攻击测试方法
CN103561011A (zh) * 2013-10-28 2014-02-05 中国科学院信息工程研究所 一种SDN控制器盲DDoS攻击防护方法及系统
CN104184749A (zh) * 2014-09-15 2014-12-03 上海斐讯数据通信技术有限公司 一种sdn网络访问方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
唐欢容，曾一晶: ""基于半连接列表的SYN泛洪攻击检测"", 《计算机工程》 *

Cited By (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104883362A (zh) * 2015-05-11 2015-09-02 北京交通大学 异常访问行为控制方法及装置
CN106534048A (zh) * 2015-09-11 2017-03-22 中国电信股份有限公司 一种防范sdn拒绝服务攻击的方法、交换机和系统
CN106453367A (zh) * 2016-10-27 2017-02-22 上海斐讯数据通信技术有限公司 一种基于sdn的防地址扫描攻击的方法及系统
CN107707513A (zh) * 2017-01-10 2018-02-16 贵州白山云科技有限公司 一种防御网络攻击的方法以及装置
CN107707513B (zh) * 2017-01-10 2019-05-17 北京数安鑫云信息技术有限公司 一种防御网络攻击的方法以及装置
CN107483431A (zh) * 2017-08-10 2017-12-15 杭州迪普科技股份有限公司 一种基于tcp/ip协议的交换机端口安全防护方法和装置
WO2019101054A1 (zh) * 2017-11-27 2019-05-31 华为技术有限公司 聚合速率控制方法、设备以及系统
US11088956B2 (en) 2017-11-27 2021-08-10 Huawei Technologies Co., Ltd. Aggregate rate control method, device, and system
CN109962879A (zh) * 2017-12-22 2019-07-02 中国电信股份有限公司 针对分布式反射拒绝服务DRDoS的安全防御方法和控制器
CN109327426A (zh) * 2018-01-11 2019-02-12 白令海 一种防火墙攻击防御方法
CN108183917A (zh) * 2018-01-16 2018-06-19 中国人民解放军国防科技大学 基于软件定义网络的DDoS攻击跨层协同检测方法
CN108183917B (zh) * 2018-01-16 2018-12-14 中国人民解放军国防科技大学 基于软件定义网络的DDoS攻击跨层协同检测方法
CN111200505A (zh) * 2018-11-19 2020-05-26 中移(苏州)软件技术有限公司 一种报文处理方法及装置
CN110366170A (zh) * 2019-06-15 2019-10-22 浙江大学 一种基于软件定义安全的无线网络安全防御办法
CN111756713A (zh) * 2020-06-15 2020-10-09 Oppo（重庆）智能科技有限公司 网络攻击识别方法、装置、计算机设备及介质
CN111800419A (zh) * 2020-07-06 2020-10-20 东北大学 一种SDN环境下DDoS攻击检测系统及方法
CN111800419B (zh) * 2020-07-06 2021-06-15 东北大学 一种SDN环境下DDoS攻击检测系统及方法
CN111885092A (zh) * 2020-09-10 2020-11-03 中国联合网络通信集团有限公司 一种边缘节点的DDoS攻击检测方法、处理方法及SDN
CN112887210B (zh) * 2021-01-06 2022-04-01 新华三大数据技术有限公司 一种流表管理方法及装置
CN112887210A (zh) * 2021-01-06 2021-06-01 新华三大数据技术有限公司 一种流表管理方法及装置
CN112866031A (zh) * 2021-02-05 2021-05-28 杭州迪普科技股份有限公司 路由配置方法、装置、设备及计算机可读存储介质
CN112866031B (zh) * 2021-02-05 2022-07-01 杭州迪普科技股份有限公司 路由配置方法、装置、设备及计算机可读存储介质
CN114244625A (zh) * 2021-12-30 2022-03-25 山东安控信息科技有限公司 一种物理隔离设备的报文快速转发方法及系统
CN114374563A (zh) * 2022-01-19 2022-04-19 深圳市天机云信息技术有限公司 网络连接方法、装置、存储介质及电子设备
CN115334136A (zh) * 2022-07-05 2022-11-11 北京天融信网络安全技术有限公司 一种连接老化控制方法、系统、设备及存储介质
CN115334136B (zh) * 2022-07-05 2024-02-02 北京天融信网络安全技术有限公司 一种连接老化控制方法、系统、设备及存储介质

Also Published As

Publication number Publication date
CN104468624B (zh) 2018-01-02

Similar Documents

Publication Publication Date Title
CN104468624A (zh) Sdn控制器、路由/交换设备及网络防御方法
EP2854361B1 (en) Apparatus and method for protecting communication pattern of network traffic
Prasad et al. An efficient detection of flooding attacks to Internet Threat Monitors (ITM) using entropy variations under low traffic
US9807092B1 (en) Systems and methods for classification of internet devices as hostile or benign
CN109005175B (zh) 网络防护方法、装置、服务器及存储介质
Jamil et al. Security issues in cloud computing and countermeasures
US20100071054A1 (en) Network security appliance
CN103347016A (zh) 一种攻击的防御方法
US20140090060A1 (en) Trusted network interface
Sanmorino et al. DDoS attack detection method and mitigation using pattern of the flow
CN109587167B (zh) 一种报文处理的方法和装置
Gilad et al. Off-Path Attacking the Web.
US9800593B2 (en) Controller for software defined networking and method of detecting attacker
Arukonda et al. The innocent perpetrators: reflectors and reflection attacks
US20130139214A1 (en) Multi dimensional attack decision system and method thereof
CN110266650B (zh) Conpot工控蜜罐的识别方法
CN106797378B (zh) 用于控制通信网络的装置和方法
Huang et al. An authentication scheme to defend against UDP DrDoS attacks in 5G networks
CN106487790B (zh) 一种ack flood攻击的清洗方法及系统
Subbulakshmi et al. A unified approach for detection and prevention of DDoS attacks using enhanced support vector machines and filtering mechanisms
Liu et al. Real-time detection of covert channels in highly virtualized environments
Prasad et al. IP traceback for flooding attacks on Internet threat monitors (ITM) using Honeypots
KR101380096B1 (ko) 분산 서비스 거부 공격 대응 시스템 및 그 방법
CN106230815A (zh) 一种告警日志的控制方法和装置
WO2019242053A1 (zh) 一种针对HTTP Flood攻击的防护方法及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
EXSB Decision made by sipo to initiate substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20201103

Address after: 318015 no.2-3167, zone a, Nonggang City, no.2388, Donghuan Avenue, Hongjia street, Jiaojiang District, Taizhou City, Zhejiang Province

Patentee after: Taizhou Jiji Intellectual Property Operation Co.,Ltd.

Address before: 201616 Shanghai city Songjiang District Sixian Road No. 3666

Patentee before: Phicomm (Shanghai) Co.,Ltd.

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20230810

Address after: 313000 room 1019, Xintiandi commercial office, Yishan street, Wuxing District, Huzhou, Zhejiang, China

Patentee after: Huzhou YingLie Intellectual Property Operation Co.,Ltd.

Address before: 318015 no.2-3167, area a, nonggangcheng, 2388 Donghuan Avenue, Hongjia street, Jiaojiang District, Taizhou City, Zhejiang Province

Patentee before: Taizhou Jiji Intellectual Property Operation Co.,Ltd.

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20240104

Address after: Room 1028, 1st Floor, Building 1, No. 9 Xinghuo Road, Fengtai District, Beijing, 100000

Patentee after: Beijing Perston Automatic Control Engineering Technology Co.,Ltd.

Address before: 313000 room 1019, Xintiandi commercial office, Yishan street, Wuxing District, Huzhou, Zhejiang, China

Patentee before: Huzhou YingLie Intellectual Property Operation Co.,Ltd.

TR01 Transfer of patent right