CN105119930A

CN105119930A - 基于OpenFlow协议的恶意网站防护方法

Info

Publication number: CN105119930A
Application number: CN201510571986.2A
Authority: CN
Inventors: 陆一飞; 谭晓楠
Original assignee: Nanjing University of Science and Technology
Current assignee: Nanjing University of Science and Technology
Priority date: 2015-09-09
Filing date: 2015-09-09
Publication date: 2015-12-02
Anticipated expiration: 2035-09-09
Also published as: CN105119930B

Abstract

本发明公开了一种基于OpenFlow协议的恶意网站防护方法。本发明基于SDN网络的架构和特性，通过OpenFlow协议将端系统发出的域名解析报文转发至控制器，在控制器模块中对报文进行安全检测并作出处理决策。本发明主要可以应用于SDN架构的企业网络、校园网络等环境。本发明在控制器端首先将DNS报文中的域名提取出来，再应用域名模糊匹配算法与控制器中的黑白名单进行对比，利用对比结果执行对域名解析请求的具体处理操作。本发明不仅能够有效的对终端对恶意网站的访问进行审查和隔离，同时也做到了对于域名相似的钓鱼网站的检测，而且能够在基于SDN的网络架构中便捷地改变控制器的安全策略。

Description

基于OpenFlow协议的恶意网站防护方法

技术领域

本发明属于恶意网站防护技术，特别是一种基于OpenFlow协议的恶意网站防护方法。

背景技术

钓鱼攻击是网络攻击中比较典型的一种攻击。这种攻击方式通过在网页或邮件中植入恶意代码或欺骗性链接，使用户在不察觉的情况下访问恶意网站并透露自己的隐私信息，这种攻击方式的特点是隐蔽性欺骗性强、富有诱惑性，是一种成功率比较高的网络攻击方式。传统的对于这种恶意网站的防护方式受到了网络架构的限制，防护效果并不理想。

目前SDN架构下的安全防护方案仍然处于初始研究阶段，大部分研究工作致力于加强SDN架构中控制器的安全，如通过在控制器南向接口处增加逻辑分层组件，在控制器原有设计基础上增加资源池，应用管理等模块，并对各数据交换接口和基础控制模块的业务控制进行安全改进。(薛聪,马存庆,刘宗斌,等.一种安全SDN控制器架构设计[J].信息网络安全,2014,(9):34-38.DOI:10.3969/j.issn.1671-1122.2014.09.008)；另一部分提出了基于OpenFlow协议的简单安全防护方案，如通过提取OpenFlow流统计信息中与DDOS攻击相关的六元组，采用人工神经网络方法识别DDOS攻击。(DettiA,Blefari-MelazziN,SalsanoS,PomposiniM.CONET:Acontentcentricinter-networkingarchitecture.In:Proc.oftheSIGCOMM2011WorkshoponInformation-CentricNetworking(ICN).Toronto:ACMPress,2011.50-55.[doi:10.1145/2018584.2018598])。但是上述的安全防护方案都是主动防护的安全方案，并未考虑到当用户在不知情的前提下主动访问恶意网站时的情况，更没有在SDN应用层面上对一般网络用户访问过程进行保护的防护方案。

发明内容

本发明的目的在于提供一种能够在SDN网络架构下对恶意网站进行防护和主动识别的防护方法，并能通过OpenFlow协议向用户发出警告并将危险流量引导至审查节点对域名进行进一步审查。

实现本发明目的的技术解决方案为：一种基于OpenFlow协议的恶意网站防护方法，该方法应用于符合SDN架构定义的网络环境中，该网络环境包含域名解析服务器DNS、SDN交换机、控制器节点、用于承载危险流量的告警节点以及负责进一步安全审查的审查节点，上述各节点都与SDN交换机相连接，且它们之间进行数据的传递，上述审查节点的网络安全防护措施均高于用户节点；该防护方法具体包括以下步骤：

步骤1、对所有的OpenFlow报文进行监听，捕获TCP报文且端口号为53的报文，即域名解析请求报文，随后，对该报文进行解析，提取应用层的域名信息；

步骤2、将该域名信息与控制器节点中的黑白名单进行匹配，根据匹配结果判断域名是否可以信任，如果该域名信息与黑名单中的信息相匹配，则执行步骤3，如果该域名信息与白名单中的信息相匹配，则执行步骤4，如果该域名信息与黑白名单均不匹配，则执行步骤5；所述黑名单是指已知的恶意网站域名信息列表，白名单是指已知的可信性的网站域名信息列表；

步骤3、控制器将报文丢弃，并重新构造一个新DNS报文，该新报文的目的地址为网络中用于警示用户的告警节点地址，封装为OpenFlow协议报文下发给SDN交换机；之后，执行步骤6；

步骤4、控制器不对该DNS请求报文做任何处理并且向SDN交换机下发正常转发该流的流表信息；之后，正常访问该网站；

步骤5、采用基于KMP算法的字形模糊匹配算法对域名进行检测，如果检测结果是恶意网站网址，则执行步骤6，否则执行步骤7；

步骤6、告警节点将DNS请求报文丢弃，并发出告警信息；

步骤7、控制器放弃转发该报文，并重建解析应答报文，该报文的目的地址指向网络中审查节点的地址，并下发至SDN交换机；并利用审查节点访问该网站，之后将该网站信息进行备份审查，同时审查节点将会对用户上网过程进行监控。所述备份审查为记录网站域名等信息，方便网络管理人员事后进行安全审核。

本发明与现有技术相比，其显著优点为：(1)本发明的方法通过对域名的黑白名单模糊匹配来进行基于用户访问过程的保护，在实际场景中应用了SDN架构灵活和细粒度的控制能力。(2)本发明的方法不仅进行了本地库的黑白名单的匹配对比，还应用了一种用于恶意域名伪装检测的基于KMP的字形模糊匹配算法，防止了用户受伪装成敏感站点的钓鱼网站域名的欺骗。(3)对于可疑流量，通过将其导引至告警站点提醒用户和交付审查站点进行进一步审查来处理，免去了传统防护方法中利用在用户节点上安装防火墙软件的麻烦。(4)本发明的方法利用了SDN架构的集中控制的特点，黑白名单数据库和安全策略可以在控制器节点中统一更新。

下面结合附图对本发明作进一步详细描述。

附图说明

图1是本发明基于SDN技术的恶意网站防护系统的消息处理流程图。

图2是网络架构示意图。

图3是字形匹配KMP算法示意图。

图4是域名处理流程图。

图5是恶意域名处理流程图。

图6是可信域名处理流程图。

图7是伪装域名处理流程图。

具体实施方式

结合附图，本发明的一种基于OpenFlow协议的恶意网站防护方法，该方法应用于符合SDN架构定义的网络环境中，该网络环境包含域名解析服务器DNS、SDN交换机、控制器节点、用于承载危险流量的告警节点以及负责进一步安全审查的审查节点，上述各节点都与SDN交换机相连接，且它们之间进行数据的传递，上述审查节点的网络安全防护措施均高于用户节点；该防护方法具体包括以下步骤：

步骤1、对所有的OpenFlow报文进行监听，捕获TCP报文且端口号为53的报文，即域名解析请求报文，随后，对该报文进行解析，提取应用层的域名信息；对所有的OpenFlow报文进行监听并对报文进行解析具体为：

步骤1-1、对收到的OpenFlow报文进行分析，检测传输层中的端口号，对端口号为53的报文进行保存，其它报文正常转发；

步骤1-2、将步骤1-1中保存的端口号为53的报文进行处理，具体是去掉域中.com、.cn、.org、.net这些不域名信息，生成核心域名信息。

重新构造一个新DNS报文，具体为：

步骤3-1、新建一个空的DNS报文，填入告警节点的IP地址，设置标志位为0x8180，即支持递归查询的成功的标准DNS响应报文，填入源解析请求报文中的TransactionID，该字段用来表示相应的一对DNS查询\响应报文；

步骤3-2、新建一个空的UDP报文，填入源解析请求中的源与目的端口，将步骤3-1中的DNS报文封装在内；新建一个IP报文，填入源解析请求报文中的源与目的IP地址，将UDP报文封装在内；新建一个以太网报文，填入源解析请求报文中的源与目的MAC地址，将IP报文封装在内；

步骤3-3、新建一个OpenFlow报文，使用控制器中获取网络环境参数的方法得到源OpenFlow消息的来源端口，并设置OpenFlow消息的action为向来源端口转发，最后将这个报文发送至SDN交换机等待转发。

步骤5、采用基于KMP算法的字形模糊匹配算法对域名进行检测，如果检测结果是恶意网站网址，则执行步骤3，否则执行步骤7；

采用基于KMP算法的字形模糊匹配算法对域名进行检测具体包括以下步骤：

步骤5-1、使用KMP算法将核心域名信息与白名单中的条目进行比较，在比较时，若字符与字形相似库中的任意一个字符相似匹配成功，则也是比对成功，并记录下该位置，同时继续往后比较，以此确定出一个最大相似匹配字符串；

字形相似库为：

序号	相似字符
		1	{I,1,l}
2	{0,o,O}
		3	{2,Z,z}
4	{q,9}

步骤5-2、判断最大相似匹配字符串的长度与白名单中的某域名长度是否相同，若相同且步骤5-1中记录的结果中存在相似字符的位置，则认为该域名是伪装成白名单中的敏感站点的钓鱼站点，为恶意站点。

步骤6、告警节点将DNS请求报文丢弃，并发出告警信息；

步骤7、控制器放弃转发该报文，并重建解析应答报文，该报文的目的地址指向网络中审查节点的地址，并下发至SDN交换机；并利用审查节点访问该网站，之后将该网站信息进行备份审查，同时审查节点将会对用户上网过程进行监控。

软件定义网络是一种新的网络架构，这种网络架构下的新的网络特性可以用来解决以前不方便解决的问题。软件定义网络中的控制器作为整个网络的大脑，可以方便的控制整个网络数据流的转发状态，当用户终端节点被钓鱼网站欺骗发出访问请求时，控制器可以分析DNS请求报文并对这个数据流的访问进行隔离。同时，集中式的控制管理可以实时地更新的危险域名数据库，不用在用户侧做任何修改，因此也不会增加终端节点的计算开销和网络负载，这种方法可以以一个较小的开销保护用户网络的安全。

下面结合实施例对本发明做进一步详细的描述：

实施例

结合图1，用户通过浏览器访问www.1cbc.com.cn的恶意网站，在基于OpenFlow协议的恶意网站防护方法，步骤如下：

第一步、对网络中OpenFlow报文进行监听。利用控制器获取SDN网络信息的接口，对网络中所有上报至控制器节点的OpenFlow报文进行监听。对收到的报文进行处理，提取报文传输层中的端口号，对于端口号为53的报文进行解析，提取应用层的域名信息，最终得到“1cbc”的核心域名；对于端口号不为53的报文进行正常转发。

第二步、将该域名信息与控制器节点中的黑白名单进行匹配，如图4所示，根据匹配结果判断域名是否可以信任，具体步骤分为三步：

(1)与控制器中的白名单信息不匹配，继续执行下面步骤(2)；

(2)与控制器中的黑名单信息不匹配，继续执行下面步骤(3)；

(3)采用基于KMP算法的字形模糊匹配算法对域名进行检测，如图3所示，具体步骤如下：

1)初始化字形匹配库P，库中存储了容易使人混淆的字形匹配对，包括il1、o0O、以及不容易分辨的大小写等容易进行域名伪装的字形对；

2)利用KMP算法将待审查的域名“1cbc”与白名单中的信息进行逐一匹配，在匹配的过程中，域名“1cbc”中有一个字符“1”与字形匹配库P中的“i”构成一对匹配字符，也继续匹配下去，直至最终生成一个最大相似匹配字符串“1cbc”。

3)对最大相似匹配字符串“1cbc”进行分析。“1cbc”与白名单名单中的“icbc”的域名信息匹配长度一致且不完全相等，则认定该域名为试图伪装为敏感域名来欺骗用户的恶意网站网址，执行第三步。

第三步、控制器将报文丢弃，并重新构造一个新DNS报文，该新报文的目的地址为网络中用于警示用户的告警节点地址，封装为OpenFlow协议报文下发给SDN交换机；告警节点将DNS请求报文丢弃，并像用户发出告警信息。

由此可知，本方法对用户的上网行为进行防护时，具有较高的安全性和灵活性，而不需要终端用户进行软件和硬件的修改。

Claims

1.一种基于OpenFlow协议的恶意网站防护方法，其特征在于，该方法应用于符合SDN架构定义的网络环境中，该网络环境包含域名解析服务器DNS、SDN交换机、控制器节点、用于承载危险流量的告警节点以及负责进一步安全审查的审查节点，上述各节点都与SDN交换机相连接，且它们之间进行数据的传递，上述审查节点的网络安全防护措施均高于用户节点；该防护方法具体包括以下步骤：

步骤6、告警节点将DNS请求报文丢弃，并发出告警信息；

2.根据权利要求1所述的基于OpenFlow协议的恶意网站防护方法，其特征在于，步骤1中对所有的OpenFlow报文进行监听并对报文进行解析具体为：

3.根据权利要求1所述的基于OpenFlow协议的恶意网站防护方法，其特征在于，步骤3中重新构造一个新DNS报文，具体为：

4.根据权利要求1所述的基于OpenFlow协议的恶意网站防护方法，其特征在于，步骤5中采用基于KMP算法的字形模糊匹配算法对域名进行检测具体包括以下步骤：

5.根据权利要求4所述的基于OpenFlow协议的恶意网站防护方法，其特征在于，字形相似库为：

序号相似字符 1 {I,1,l} 2 {0,o,O} 3 {2,Z,z} 4 {q,9}