CN104601557A - 一种基于软件定义网络的恶意网站防护方法及系统 - Google Patents

Abstract

本发明提供一种基于软件定义网络的恶意网站防护方法及系统，所述方法首先检测DNS请求数据的域名信息是否存在于白名单和黑名单生成的布隆过滤器内，然后对于可疑的DNS请求数据提取主机名，判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。本发明方法仅需把第一次出现的DNS请求数据包送到中心控制器检测，不需要解析所有的数据包，且根据检测结果把过滤规则下发到各个OpenFlow交换机，实现恶意网站请求在最靠近源的交换机端进行过滤，在进入网络主干之前进行拦截，而且本发明无需安装任何防火墙和杀毒工具，使用更加有效、简便。本发明方法和系统结合实现了基于软件定义网络的恶意网站防护。

Description

一种基于软件定义网络的恶意网站防护方法及系统

技术领域

本发明涉及网络安全技术领域，更具体地，涉及一种基于软件定义网络的恶意网站防护方法及系统。

背景技术

恶意网站一直都是木马、病毒传播和网民染毒的主要途经之一。恶意网站利用操作系统或软件的安全漏洞，在网页内嵌入恶意的病毒、蠕虫以及木马等，当用户访问这些网页时，内嵌的恶意程序会在用户不知情的情况下，强行修改用户操作系统和应用软件的配置信息，导致成为僵尸系统，严重影响互联网的可信性，制约互联网应用发展。传统的针对恶意网站的安全工具，如防火墙必须放在流量的必经之路上，对所有数据包进行解析，只适合于在网络边界使用。如漏洞扫描、杀毒软件等要求用户在PC客户端上安装杀毒软件或安全浏览器，为用户安装或使用造成不便。

软件定义网络(software defined network，SDN)为一种新型的软件技术的网络架构，其最大的特点是控制平面与数据平面的松耦合性、网络状态控制的集中化支持和实现底层网络设施对上层应用的透明化，SDN具有灵活的软件编程能力，促使网络的自动化管理与控制能力得到空前的提升，因此给了在恶意网站防护系统的研究上又提供了新的方向。

发明内容

本发明的首要目的是克服现有技术使用不便的缺陷，提供一种有效、简便的基于软件定义网络的恶意网站防护方法。

本发明的进一步目的是提供一种有效、简便的基于软件定义网络的恶意网站防护系统。

为解决上述技术问题，本发明的技术方案如下：

一种基于软件定义网络的恶意网站防护方法，所述方法包括以下步骤：

S1：采集DNS(域名)请求数据；

S2：解析DNS请求数据中的DNS报文头部，获取opcode字段信息，根据opcode字段的数值触发名单修改或者跳转到步骤S3；

S3：判断DNS请求数据中的域名信息是否在白名单列表生成的布隆过滤器内，如果是则对该DNS请求数据进行转发，否则跳转到步骤S4；

S4：判断DNS请求数据中的域名信息是否在黑名单列表生成的布隆过滤器内，如果是则丢弃该DNS请求数据，否则跳转到步骤S5；

S5：提取DNS请求数据的域名信息中的主机名，判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。

在一种优选的方案中，步骤S1中，采集DNS请求数据的具体方法为：OpenFlow交换机收到数据包时，如果在流表中没有匹配项，或者在流表中被认为是发送到控制器，则将该数据包封装为Packet_in数据包发送到中心控制器；

在一种优选的方案中，步骤S2中，中心控制器对OpenFlow交换机发送来的Packet_in数据包进行解析，检查其是否为DNS请求数据，如果是，则解析DNS头部获取opcode字段信息，如果opcode字段的数值大于10，则触发名单修改，否则跳转到步骤S3。

在一种优选的方案中，步骤S2中，所述名单修改的具体方法为：重新定义opcode字段的10～15的数值及其对应的操作，从而将DNS请求数据中的域名添加到白名单、黑名单或顶级域名名单列表生成的布隆过滤器中，或者将DNS请求数据中的域名从白名单、黑名单或顶级域名名单列表生成的布隆过滤器中删除。

在一种优选的方案中，步骤S3中，首先，读取可信域名列表，逐条域名存放到白名单布隆过滤器，然后，中心控制器通过对DNS请求数据中的域名信息进行哈希运算，判断其是否在白名单列表生成的布隆过滤器内，如果是则对该DNS请求数据进行转发，否则跳转到步骤S4。

在一种优选的方案中，步骤S4中，首先，读取恶意域名列表，逐条域名存放到黑名单布隆过滤器，然后，中心控制器通过对DNS请求数据中的域名信息进行哈希运算，判断其是否在黑名单列表生成的布隆过滤器内，如果是则丢弃该DNS请求数据，否则跳转到步骤S5。

在一种优选的方案中，步骤S5中，对各级域名进行多次提取并对各级域名进行多个哈希运算，判断其是否在顶级域名以及二级域名名单列表生成的布隆过滤器内，根据得到的最后的主机名，判断其与合法主机名编辑距离min Dist是否在满足α≤min Dist≤β，其中α和β为预设的编辑距离的阈值，从而判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。

在一种优选的方案中，所述方法还包括：对DNS请求数据进行转发的具体方法为：中心控制器下发过滤规则给各OpenFlow交换机，所述过滤规则通过源MAC地址与OpenFlow交换机端口的动态映射表生成对应流表项所实现，查询OpenFlow交换机的流表获取转发规则，从而实现DNS请求数据的转发。

一种基于软件定义网络的恶意网站防护系统，所述系统包括：

数据包解析模块：用于采集DNS请求数据，并解析DNS请求数据中的DNS报文头部，获取opcode字段信息；

白名单检测模块：用于判断DNS请求数据中的域名信息是否在白名单列表生成的布隆过滤器内；

黑名单检测模块：用于判断DNS请求数据中的域名信息是否在黑名单列表生成的布隆过滤器内；

可疑域名智能检测模块：用于提取DNS请求数据的域名信息中的主机名，判定该主机名是否可信；

名单修改模块：用于重新定义opcode字段的10～15的数值及其对应的操作，从而将DNS请求数据中的域名添加到白名单、黑名单或顶级域名名单列表生成的布隆过滤器中，或者将DNS请求数据中的域名从白名单、黑名单或顶级域名名单列表生成的布隆过滤器中删除；

数据转发模块：用于对DNS请求数据进行转发。

与现有技术相比，本发明技术方案的有益效果是：本发明基于软件定义网络的恶意网站防护方法，首先检测DNS请求数据的域名信息是否存在于白名单和黑名单生成的布隆过滤器内，然后对于可疑的DNS请求数据提取主机名，判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。本发明基于软件定义网络，仅需把第一次出现的DNS请求数据包送到中心控制器检测，不需要解析所有的数据包，且根据检测结果，中心控制器把过滤规则下发到各个OpenFlow交换机，实现恶意网站请求在最靠近源的交换机端进行过滤，在进入网络主干之前进行拦截，而且本发明无需安装任何防火墙和杀毒工具，使用更加有效、简便。本发明基于软件定义网络的恶意网站防护系统是上述方法实现的基础，所述方法和系统结合实现了基于软件定义网络的恶意网站防护。

附图说明

图1为本发明的总体框架示意图。

图2为本发明的数据包采集示意图。

图3为本发明的数据包解析示意图。

图4为本发明的DNS报文首部标志位。

图5为本发明的白名单检测示意图。

图6为本发明的黑名单检测示意图。

图7为本发明的可疑域名检测示意图。

图8为本发明的完整域名示例图。

图9为本发明的数据包转发示意图。

具体实施方式

附图仅用于示例性说明，不能理解为对本专利的限制；

对于本领域技术人员来说，附图中某些公知结构及其说明可能省略是可以理解的。

下面结合附图和实施例对本发明的技术方案做进一步的说明。

实施例1

一种基于软件定义网络的恶意网站防护方法，如图1所示，所述方法包括以下步骤：

S1：采集DNS请求数据；

采用OpenFlow协议，把OpenFlow交换机的各端口收到的DNS请求包发送给中心控制器，如图2所示。具体执行过程如下：

采用OpenFlow协议把各OpenFlow交换机端口收到的DNS请求包发送给中心控制器，当OpenFlow交换机收到一个数据包，在流表中没有匹配项，或者在流表中被认为是发送到控制器，则封装成Packet_in数据包发送给中心控制器。

中心控制器启动时触发数据包采集模块，下发“基于DNS访问请求都转发至中心控制器”的流表项至网络中OpenFlow交换机，OpenFlow交换机就会把DNS请求数据包封装成Packet_in数据包源源不断地送给中心控制器。

S2：解析DNS请求数据中的DNS报文头部，获取opcode字段信息，根据opcode字段的数值触发名单修改或者跳转到步骤S3；

OpenFlow交换机会收到很多来自于各层设备的数据包，对于没有流表可循的流会询问中心控制器。如图3所示，在数据包解析模块中，中心控制器把从OpenFlow交换机送上来的Packet_in数据包进行解析，检查数据包是否为DNS请求数据包，如果不是则跳出，否则，解析DNS请求数据的DNS头部获取opcode字段信息，对于opcode数值大于10的DNS请求数据，跳转到步骤S3，否则触发名单修改。

所述名单修改的具体方法为：对DNS报文首部标志位的opcode字段的空闲值加以利用，如图4所示，opcode字段占4位，用于指定查询的类型，值为0表示标准查询，值为1表示逆向查询，值为2表示查询服务器状态，值为3保留，值为4表示通知，值为5表示更新报文，值为6～15预留为以后的新增操作使用。重新定义opcode字段的10～15的数值及其对应的操作，从而将DNS请求数据中的域名添加到WL_CBF(白名单布隆过滤器)、BL_CBF(黑名单布隆过滤器)或TLD_CBF(顶级域名名单布隆过滤器)中，或者将DNS请求数据中的域名从WL_CBF、BL_CBF或TLD_CBF中删除。

重新定义后，opcode字段的的10～15的数值以及对应的操作见表1。

表1

S3：判断DNS请求数据中的域名信息是否在白名单列表生成的布隆过滤器内，如果是则对该DNS请求数据进行转发，否则跳转到步骤S4；

采用布隆过滤器的方法实现可信网站URL列表快速查询和可删除。如图5所示，依次将可信域名列表读入，逐条域名存放到布隆过滤器CBF(countingbloomfilter)，形成白名单布隆过滤器WL_CBF(WhiteListCBF)。然后，中心控制器通过对提取的域名信息进行哈希运算，判断其是否在白名单列表生成的布隆过滤器WL_CBF内，如果是，则对该DNS请求数据进行转发，否则跳转到步骤S4。

S4：判断DNS请求数据中的域名信息是否在黑名单列表生成的布隆过滤器内，如果是则丢弃该DNS请求数据，否则跳转到步骤S5；

采用布隆过滤器的方法实现恶意网站URL列表快速查询和可删除。如图6所示，依次将恶意域名列表读入，逐条域名存放到布隆过滤器CBF中，形成黑名单布隆过滤器BL_CBF(BlackListCBF)。然后，中心控制器通过对提取的域名信息进行哈希运算，判断其是否在黑名单列表生成的布隆过滤器BL_CBF内，如果是则直接丢弃DNS请求并报警和记录，否则跳转到步骤S5。

S5：如图7所示，提取DNS请求数据的域名信息中的主机名，判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。

不在BL_CBF内的域名被认定为潜在可疑域名。

首先，提取潜在可疑域名的主机名：为了得到其主机名，需要对各级域名进行多次提取并对各级域名进行多个哈希运算判断其是否在顶级域名布隆过滤器TLD_CBF中，直到提取出最后的主机名再与真实的可信主机名进行比较。如图8所示，最右边的顶级域名TLD以及二级域名SLD，以此类推对域名进行提取。只要主机名是可信的，因为低一级的所有域名只能由高一级的域名来分配，所以其对应的下一或多级域名也是可信；如果主机名是可疑的，则其下一或多级域名也是可疑的。

然后，判定潜在可疑域名的主机名是否可信：可疑主机名的特点是与可信主机名编辑距离很小，但不为零。从白名单中提取所有不重复的主机名，并将其存放在BK-tree数据结构中。BK-tree在每次访问5％～8％的节点的情况下就能找到编辑距离最近的节点，并得到最小的编辑距离min Dist，计算开销非常小。对于编辑距离，采用动态规划算法求解，能有效降低计算开销。当α≤min Dist≤β时，认为域名是可疑的，控制器进行报警并记录可疑域名；否则认为域名是可信的，对该DNS请求数据进行转发。其中α和β为预设的编辑距离的阈值，本实施例中α和β取1和2，

在具体实施过程中，对DNS请求数据进行转发的具体方法为：中心控制器下发过滤规则给各OpenFlow交换机，完成数据流的转发，实现网络分布式控制。其过滤规则是通过源MAC地址与交换机端口的动态映射表生成对应流表项所实现。OpenFlow交换机的处理单元由流表构成，每个流表由许多表项组成，流表项则代表转发规则，进入交换机的数据包通过查询流表来取得对应的操作。如图9所示，在恶意网站防护系统中，过滤规则由中心控制器下发给各OpenFlow交换机，使得OpenFlow交换机能对数据包正确转发。

一种基于软件定义网络的恶意网站防护系统，所述系统包括：

数据包解析模块：用于采集DNS请求数据，并解析DNS请求数据中的DNS报文头部，获取opcode字段信息；

白名单检测模块：用于判断DNS请求数据中的域名信息是否在白名单列表生成的布隆过滤器内；

黑名单检测模块：用于判断DNS请求数据中的域名信息是否在黑名单列表生成的布隆过滤器内；

可疑域名智能检测模块：用于提取DNS请求数据的域名信息中的主机名，判定该主机名是否可信；

名单修改模块：用于重新定义opcode字段的10～15的数值及其对应的操作，从而将DNS请求数据中的域名添加到白名单、黑名单或顶级域名名单列表生成的布隆过滤器中，或者将DNS请求数据中的域名从白名单、黑名单或顶级域名名单列表生成的布隆过滤器中删除；

数据转发模块：用于对DNS请求数据进行转发。

本发明基于软件定义网络的恶意网站防护方法，首先检测DNS请求数据的域名信息是否存在于白名单和黑名单生成的布隆过滤器内，然后对于可疑的DNS请求数据提取主机名，判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。本发明基于软件定义网络，仅需把第一次出现的DNS请求数据包送到中心控制器检测，不需要解析所有的数据包，且根据检测结果，中心控制器把过滤规则下发到各个OpenFlow交换机，实现恶意网站请求在最靠近源的交换机端进行过滤，在进入网络主干之前进行拦截，而且本发明无需安装任何防火墙和杀毒工具，使用更加有效、简便。本发明基于软件定义网络的恶意网站防护系统是上述方法实现的基础，所述方法和系统结合实现了基于软件定义网络的恶意网站防护。

本发明的上述实施例仅仅是为清楚地说明本发明所作的举例，而并非是对本发明的实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明权利要求的保护范围之内。

Claims (9)

1.一种基于软件定义网络的恶意网站防护方法，其特征在于，所述方法包括以下步骤：

S1：采集DNS请求数据；

S2：解析DNS请求数据中的DNS报文头部，获取opcode字段信息，根据opcode字段的数值触发名单修改或者跳转到步骤S3；

S3：判断DNS请求数据中的域名信息是否在白名单列表生成的布隆过滤器内，如果是则对该DNS请求数据进行转发，否则跳转到步骤S4；

S4：判断DNS请求数据中的域名信息是否在黑名单列表生成的布隆过滤器内，如果是则丢弃该DNS请求数据，否则跳转到步骤S5；

S5：提取DNS请求数据的域名信息中的主机名，判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。

2.根据权利要求1所述的基于软件定义网络的恶意网站防护方法，其特征在于，步骤S1中，采集DNS请求数据的具体方法为：OpenFlow交换机收到数据包时，如果在流表中没有匹配项，或者在流表中被认为是发送到控制器，则将该数据包封装为Packet_in数据包发送到中心控制器。

3.根据权利要求2所述的基于软件定义网络的恶意网站防护方法，其特征在于，步骤S2中，中心控制器对OpenFlow交换机发送来的Packet_in数据包进行解析，检查其是否为DNS请求数据，如果是，则解析DNS头部获取opcode字段信息，如果opcode字段的数值大于10，则触发名单修改，否则跳转到步骤S3。

4.根据权利要求1所述的基于软件定义网络的恶意网站防护方法，其特征在于，步骤S2中，所述名单修改的具体方法为：重新定义opcode字段的10～15的数值及其对应的操作，从而将DNS请求数据中的域名添加到白名单、黑名单或顶级域名名单列表生成的布隆过滤器中，或者将DNS请求数据中的域名从白名单、黑名单或顶级域名名单列表生成的布隆过滤器中删除。

5.根据权利要求1所述的基于软件定义网络的恶意网站防护方法，其特征在于，步骤S3中，首先，读取可信域名列表，逐条域名存放到白名单布隆过滤器，然后，中心控制器通过对DNS请求数据中的域名信息进行哈希运算，判断 其是否在白名单列表生成的布隆过滤器内，如果是则对该DNS请求数据进行转发，否则跳转到步骤S4。

6.根据权利要求1所述的基于软件定义网络的恶意网站防护方法，其特征在于，步骤S4中，首先，读取恶意域名列表，逐条域名存放到黑名单布隆过滤器，然后，中心控制器通过对DNS请求数据中的域名信息进行哈希运算，判断其是否在黑名单列表生成的布隆过滤器内，如果是则丢弃该DNS请求数据，否则跳转到步骤S5。

7.根据权利要求1所述的基于软件定义网络的恶意网站防护方法，其特征在于，步骤S5中，对各级域名进行多次提取并对各级域名进行多个哈希运算，判断其是否在顶级域名以及二级域名名单列表生成的布隆过滤器内，根据得到的最后的主机名，判断其与合法主机名编辑距离min Dist是否在满足α≤min Dist≤β，其中α和β为预设的编辑距离的阈值，从而判定该主机名是否可信，如果可信则对该DNS请求数据进行转发，否则进行报警并记录可疑域名。

8.根据权利要求1所述的基于软件定义网络的恶意网站防护方法，其特征在于，所述方法还包括：对DNS请求数据进行转发的具体方法为：中心控制器下发过滤规则给各OpenFlow交换机，所述过滤规则通过源MAC地址与OpenFlow交换机端口的动态映射表生成对应流表项所实现，查询OpenFlow交换机的流表获取转发规则，从而实现DNS请求数据的转发。

9.一种基于软件定义网络的恶意网站防护系统，其特征在于，所述系统包括：

数据包解析模块：用于采集DNS请求数据，并解析DNS请求数据中的DNS报文头部，获取opcode字段信息；

白名单检测模块：用于判断DNS请求数据中的域名信息是否在白名单列表生成的布隆过滤器内；

黑名单检测模块：用于判断DNS请求数据中的域名信息是否在黑名单列表生成的布隆过滤器内；

可疑域名智能检测模块：用于提取DNS请求数据的域名信息中的主机名，判定该主机名是否可信；

名单修改模块：用于重新定义opcode字段的10～15的数值及其对应的操作， 从而将DNS请求数据中的域名添加到白名单、黑名单或顶级域名名单列表生成的布隆过滤器中，或者将DNS请求数据中的域名从白名单、黑名单或顶级域名名单列表生成的布隆过滤器中删除；

数据转发模块：用于对DNS请求数据进行转发。