CN106341418A - Dns分布式反射型拒绝服务攻击检测、防御方法与系统 - Google Patents

Abstract

本发明公开了一种DNS分布式反射型拒绝服务攻击检测、防御方法与系统。本方法为：1)SDN控制器提取网络中匹配各个交换机流表的数据包字节数，计算同一交换机中相同IP地址的上下行流量差异值P，若P大于阈值，则生成对较小流量进行采样标记的流表规则并下发到交换机；2)各交换机根据该流表规则对数据包进行采样；3)分析模块根据采样信息将数据包的源、目的IP地址以及经过的所有交换机ID和入口端口信息发送到SDN控制器；4)SDN控制器根据网络拓扑确定数据包进入网络的首个交换机ID和入口端口，将该首个交换机ID与该数据包的地址对应的流表所属的交换机ID信息进行比较，若不匹配，则检测为攻击流量，对其进行隔离。

Description

DNS分布式反射型拒绝服务攻击检测、防御方法与系统

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于SDN的DNS分布式反射型拒绝服务攻击检测防御方法与系统。

背景技术

分布式拒绝服务攻击(DDoS)是当前互联网所面临的主要威胁之一，根据网络安全领域首屈一指的供应商阿卡迈技术公司《2015年第二季度互联网发展状况安全报告》显示，在过去三个季度内，DDoS攻击量同比增长了一倍，分布式反射DDoS攻击(DRDoS)作为其中的一种类型相比于洪泛型DDoS攻击更难于防范。国际网络安全解决方案顶级提供商arbor在2015年年度报告中指出，本年度受访者反馈的目前最大型攻击是攻击带宽为500Gbps的分布式拒绝服务攻击，其中利用协议漏洞进行的反射和放大攻击依然流行，并且几乎所有的受访者发现其大多数攻击都针对DNS服务，即攻击者可以利用小小的查询获取大量响应并将其导引至他们选定的攻击目标上。因此，针对DNS的分布式反射型拒绝服务攻击泛滥，且攻击数量呈上升趋势。

DNS分布式反射型拒绝服务攻击是DDoS攻击的一种特殊方法，又称为DNS放大攻击。攻击者指示僵尸网络向DNS服务器发送查询TXT资源记录的DNS请求包，其中请求包的源IP地址为被攻击主机的IP地址，DNS服务器将包含大文本的DNS响应包发送到被攻击主机，被攻击主机收到来自多个DNS服务器的响应包。DNS响应包远远大于DNS请求包，被攻击主机资源被响应流量消耗，从而形成拒绝服务攻击。由于攻击者可以伪造源地址的数据包，发送很少的DNS请求包就能产生流量巨大的DNS响应包，因此传统DDoS方法很难通过流量特征检测DNS放大攻击行为。

目前，已经有国内外关于DRDoS攻击检测和防御技术的研究与发明。比如申请号为CN200910085708.0的发明专利申请公开了一种域名服务器DNS放大攻击的有效检测和抵御方法，其通过检测周期内DNS请求与响应数据包的数量差异检测是否存在放大攻击，并利用布隆过滤器发现异常响应包，从而对攻击流量进行过滤，但是该技术需要在边缘路由器进行诸多配置，对网络管理员的部署能力有较高要求。又如在论文“Amplification Hell:Revisiting Network Protocols for DDoS Abuse”中，针对多种类型的分布式反射型拒绝服务攻击，通过构建特征威胁模型进行特征匹配来检测是否存在放大攻击，然而论文中提出的防御措施会降低效率，并且存在兼容性等问题。

SDN是由美国斯坦福大学提出的一种新型网络创新架构，通过将网络设备控制面与数据面分离开来解决传统网络中无法避免的一些问题，与传统网络相比，SDN具有易于管理与网络编排的特点。SDN技术的诸多优势使其具有对数据包进行采样和标记的源生特性，因此SDN为解决DNS分布式反射型拒绝服务攻击提供了可靠的技术平台。

发明内容

本发明提供一种基于SDN的DNS分布式反射型拒绝服务攻击检测方法、防御方法及系统，利用SDN对网络数据包进行采样和标记的特性，识别网络中的DNS分布式反射型拒绝服务攻击，并对攻击及时进行自动阻断。

一方面，本发明提供了一种基于SDN的DNS分布式反射型拒绝服务攻击检测防御方法，该方法通过特征提取、阈值检测、采样追踪、数据分析、端口匹配以及攻击隔离等关键步骤检测SDN网络中的DNS放大攻击，发现攻击后迅速进行隔离阻断，具体方法包括：

1)所述特征提取，为SDN控制器查询网络中匹配各个交换机流表的数据包字节数；

a)所述匹配各个交换机流表的数据包字节数，是指控制器通过状态查询指令获取所有交换机流表的状态响应信息，提取信息中匹配流表的数据包字节数；

2)所述阈值检测，为SDN控制器根据1)的匹配各个交换机流表的数据包字节数计算同一交换机中相同IP地址的上下行流量差异值P，若差异值P大于检测阈值，触发SDN控制器对上下行流量中的较小流量进行采样追踪操作；

a)所述上下行流量，以F表示；

b)所述上下行流量差异值P，计算公式为：

c)所述检测阈值，表示上下行流量差异的最大限度；

3)所述采样追踪，是指如果上下行流量差异值大于检测阈值，SDN控制器触发采样追踪操作，生成对较小流量进行采样标记的流表规则并下发到交换机，采样操作结束；数据包进入交换机首先与该流表规则进行匹配，如果匹配，则按照流表规则对匹配的数据包进行采样操作；

a)所述较小流量，是指所述2)中如果下行流量远大于上行流量，上行流量即为较小流量；反之，下行流量为较小流量；

b)所述具有采样标记功能的流表规则，匹配字段包括入口端口、源IP地址、目的IP地址以及目的端口，执行指令包括采样、标记和转发；

i.所述采样指令，是指对满足匹配要求的数据包的包头信息进行复制；

ii.所述标记指令，是指在复制的数据包头的头部添加交换机ID和入口端口信息；

iii.所述转发指令，是指把采样信息从指定端口转发到数据收集分析模块；

4)所述数据分析，是指对所有交换机发送的采样信息进行收集，分析同一数据包经过的所有交换机ID和入口端口信息，把该数据包的源IP地址、目的IP地址以及经过的所有交换机ID和入口端口信息发送到SDN控制器；

5)所述端口匹配，是指控制器收到所述4)的信息，根据网络拓扑分析确定数据包进入网络的首个交换机ID和入口端口信息，将进入网络的首个交换机ID与该数据包的地址对应的流表所属的交换机ID进行比较，若不匹配，则检测到攻击流量，对攻击进行隔离；

6)所述攻击隔离，是指控制器生成隔离流表，并下发到所述5)中数据包进入网络的首个交换机中；

a)所述隔离流表，匹配字段包括所述5)中数据包的源IP地址、目的IP地址以及数据包进入网络的首个交换机ID和入口端口，执行的指令是丢包。

另一方面，本发明公开了一种基于SDN的DNS分布式反射型拒绝服务攻击检测防御系统，该系统由SDN控制器安全模块、SDN交换机安全模块，数据收集模块和数据分析模块组成。

1)SDN控制器安全模块包括统计信息分析模块、采样流表生成模块、拓扑创建模块、采样信息分析模块、统计信息与采样信息综合分析模块、隔离流表生成模块以及统计信息数据库：

a)统计信息分析模块通过状态查询指令获取所有交换机流表的状态响应信息，提取信息中匹配流表的数据包字节数，利用公式计算分析同一交换机中相同IP地址的上下行流量差异值；当差异值超过检测阈值时，将较小流量所匹配的流表信息发送到统计信息数据库和采样流表生成模块；

b)采样流表生成模块根据统计信息分析模块的发送数据，提取流表匹配的IP地址，生成具有采样标记功能的流表，将流表下发到所有SDN交换机；

c)拓扑创建模块根据网络连接实时信息确定数据转发层的网络拓扑结构，向采样信息分析模块提供网络拓扑结构与各个节点的连接信息；

d)采样信息分析模块收到从数据分析模块的信息，利用拓扑创建模块的实时网络拓扑分析数据包的传输路径以及数据包进入的首个交换机ID和入口端口，并把交换机ID和入口端口信息发送到统计信息与采样信息综合分析模块；

e)统计信息与采样信息综合分析模块根据采样信息分析模块发来数据包的源和目的IP地址信息，查询数据库中具有相同源和目的IP地址的流表，分析采样数据包进入的首个交换机ID是否与数据库流表所属交换机的ID一致。如果不一致，将数据包的源和目的IP地址、交换机ID和入口端口信息发送给隔离流表生成模块；如果一致，将统计信息数据库中该流表的记录表项删除；

f)隔离流表生成模块负责根据统计信息与采集信息综合分析模块收到的源和目的IP地址、交换机ID和入口端口信息生成阻断攻击的流表，并下发到该ID所属的交换机；

g)统计信息数据库接收来自统计信息收集模块的信息并进行保存，同时对统计信息与采样信息综合分析模块提供查询和删除功能。

2)SDN交换机安全模块包括攻击检测模块和攻击阻断模块：

a)攻击检测模块即SDN交换机执行SDN控制器下发的采样流表。采样流表中包含匹配、采样、标记和转发操作。对于进入SDN交换机的数据包，如果数据包与采样流表中的匹配字段能够匹配，则执行采样将数据包包头信息进行复制。对于复制的包头副本信息，在其MAC字段标记该交换机ID和入口端口，并转发到数据收集模块；对于原完整数据包，按照交换机中正常流表进行匹配转发等；

b)攻击阻断流表即SDN交换机执行SDN控制器下发的隔离流表。隔离流表中包含匹配和丢包操作。如果SDN交换机中的数据包与隔离流表中的匹配字段能够匹配，则将与之匹配的所有数据包进行丢弃操作；如果SDN交换机中的数据包与隔离流表中的匹配字段不能够匹配，则按照交换机中正常流表进行匹配转发等。

3)数据收集模块对接收到的数据包按照包标记中的交换机标签信息进行分类，利用数据包中SEQ信息将不同交换机的数据包分别进行排序整理。

4)数据分析模块负责对整理好的所有数据包进行分析，提取数据包的转发路径和端口信息，将数据进入网络首个交换机及端口信息以(源IP地址、目的IP地址、交换机ID1、入口端口1、交换机ID2、入口端口2)的格式反馈给SDN控制器的采样信息综合分析模块。

本发明技术方案带来的有益效果：

在不增加SDN控制器与交换机之间传输负载的前提下，对网络流量进行实时采样标记分析，快速检测SDN网络中的DNS分布式反射型拒绝服务攻击源并进行及时阻断，同时不影响正常网络通信，有效增强网络安全性。

附图说明

图1是本发明SDN网络中DNS分布式反射型拒绝服务攻击检测防御方法的具体流程图；

图2是本发明SDN网络中DNS分布式反射型拒绝服务攻击检测防御系统的功能模块图；

图3是本发明SDN网络中DNS分布式反射型拒绝服务攻击检测防御系统的网络拓扑图。

具体实施方式

本发明基于DNS放大攻击对数据包源IP地址伪造和数据流量不对称的特点，利用SDN技术对数据流采样和标记的原生特性，提出了一种基于SDN的DNS分布式反射型拒绝服务攻击检测防御系统，自动检测识别网络中的DNS放大攻击流量，并迅速做出响应积极阻断攻击，从而有效避免网络遭受DNS放大攻击的威胁和破坏。

为使本发明的实施例的目的、技术方案和优点更加清楚，下面进一步结合附图对本发明作详细描述。

一种基于SDN的DNS分布式反射型拒绝服务攻击检测防御方法，该方法的网络拓扑图如图3所示，检测防御流程如图1所示，具体流程为：

步骤201，SDN控制器通过状态查询指令获取所有交换机流表的状态响应信息，提取信息中匹配流表的数据包字节数；

步骤202，SDN控制器根据步骤201的匹配各个流表的字节数计算上下行流量差异值P；其中，上下行流量以F_{(源IP地址，目的IP地址)}的格式表示，假设上行流量为F_(IP1，IP2)，相应的下行流量为F_(IP2，IP1)，差异值P计算公式如下：

$P=\left|\frac{F_{(IP1,IP2)}-F_{(IP2,1P1)}}{F_{(IP1,IP2)}+F_{(IP2,1P1)}}\right|$

步骤203，若P的值不超过检测阈值(表示上下行流量差异的最大限度，在[0.40，0.55]内取值，优先选择0.55)，即P<＝0.55，返回步骤201；

步骤204，若P的值超过检测阈值，即P>0.55，假设F_(IP1，IP2)大于F_(IP2，IP1)，生成采样流表，其中采样流表的源IP地址为IP2，目的IP地址为IP1，即差异值计算公式中较小流量的源和目的IP地址。采样流表匹配字段包括交换机入口端口ingress port、源IP地址、目的IP地址和目的端口，执行的指令包括采样、标记和转发。采样即对满足匹配采样流表的数据包包头进行复制，标记即在复制的数据包包头位置添加字段，填入交换机ID和入口端口信息，转发即把采样数据从固定端口转发到数据收集分析模块。此外，设置流表规则的生存期为30秒，当超过该流表的生存期，流表自动删除；

步骤205，数据包进入交换机首先与采样流表进行匹配：

步骤206，如果不匹配，数据包按照正常流表操作；

步骤207，如果匹配，对数据包包头进行复制，在复制数据包头中添加交换机ID和入口端口，并从端口转发到数据收集分析模块，对于原来数据包，按照正常流表操作；

步骤208，数据收集分析模块对收集的采样数据进行处理，分析数据包在网络中经过的所有交换机ID和入口端口信息，把采样分析结果(IP2，IP1，交换机ID 1，入口端口1，交换机ID 2，入口端口2，…)发送给SDN控制器；

步骤209，SDN控制器对收到的采样分析结果进行分析，确定数据包进入的首个交换机ID和入口端口即(IP2，IP1，首个交换机ID，入口端口)；

步骤210，SDN控制器向数据库查询源IP地址为IP2，目的IP地址为IP1的流表所属的交换机ID；

步骤211，SDN控制器把步骤209中数据包进入的首个交换机ID与步骤210中确定的流表所属的交换机ID进行比对；

步骤212，如果一致，没有检测到攻击流量，数据包按照正常流表操作，返回步骤201；

步骤213，如果不一致，检测到攻击流量，生成源IP地址为IP2，目的IP地址为IP1，即差异值计算公式中较小流量的源和目的IP地址的隔离流表，该流表的指令是丢包，把隔离流表下发到步骤209中数据包进入的首个交换机ID对应的交换机中。

一种基于SDN的DNS分布式反射型拒绝服务攻击检测防御系统基于SDN网络实现，由SDN控制器安全模块、SDN交换机模块、数据收集模块和数据分析模块构成，具体如图2所示。

1)SDN控制器安全模块包括统计信息分析模块、采样流表生成模块、拓扑创建模块、采样信息分析模块、统计信息与采样信息综合分析模块、隔离流表生成模块以及统计信息数据库。

a)统计信息分析模块通过状态查询指令获取所有交换机流表的状态响应信息，提取信息中匹配流表的数据包字节数，利用公式计算分析同一交换机中相同IP地址的上下行流量差异值P；当差异值P超过检测阈值时，将较小流量所匹配的流表信息发送到统计信息数据库和采样流表生成模块。

b)采样流表生成模块根据统计信息分析模块的发送数据，提取流表匹配的IP地址，生成具有采样标记功能的流表，将流表下发到所有SDN交换机，采样流表的数据结构如表1所示：

表1采样流表的数据结构

c)拓扑创建模块根据网络连接实时信息确定数据转发层的网络拓扑结构，向采样信息分析模块提供网络拓扑信息。

d)采样信息分析模块收到从数据分析模块的信息，利用拓扑创建模块的实时网络拓扑分析数据包的传输路径以及数据包进入的首个交换机ID和入口端口，并把交换机ID和入口端口信息发送到统计信息与采样信息综合分析模块。

e)统计信息与采样信息综合分析模块根据采样信息分析模块发来数据包的源和目的IP地址信息，查询数据库中具有相同源和目的IP地址的流表，分析采样数据包进入的首个交换机ID是否与数据库流表所属交换机的ID一致。如果不一致，将数据包的源和目的IP地址、交换机ID和入口端口信息发送给隔离流表生成模块；如果一致，将统计信息数据库中该流表的记录表项删除。

f)隔离流表生成模块负责根据统计信息与采集信息综合分析模块收到的源和目的IP地址、交换机ID和入口端口信息生成阻断攻击的流表，并下发到该攻击流量对应的数据包进入网络的首个交换机，隔离流表的数据结构如表2所示：

表2隔离流表的数据结构

入口端口

源IP地址

目的IP地址

丢包

g)统计信息数据库接收来自统计信息收集模块的信息并进行保存，同时对统计信息与采样信息综合分析模块提供查询和删除功能。

2)SDN交换机安全模块包括攻击检测模块和攻击阻断模块。

a)攻击检测模块即SDN交换机执行SDN控制器下发的采样流表。采样流表中包含匹配、采样、标记和转发操作。对于进入SDN交换机的数据包，如果数据包与采样流表中的匹配字段能够匹配，则执行采样将数据包包头信息进行复制。对于复制的包头副本信息，在其MAC字段标记该交换机ID和入口端口，并转发到数据收集模块；对于原完整数据包，按照交换机中正常流表进行匹配转发等。

b)攻击阻断流表即SDN交换机执行SDN控制器下发的隔离流表。隔离流表中包含匹配和丢包操作。如果SDN交换机中的数据包与隔离流表中的匹配字段能够匹配，则将与之匹配的所有数据包进行丢弃操作；如果SDN交换机中的数据包与隔离流表中的匹配字段不能够匹配，则按照交换机中正常流表进行匹配转发等。

3)数据收集模块对接收到的数据包按照包标记中的交换机标签信息进行分类，利用数据包中SEQ信息将不同交换机的数据包分别进行排序整理。

4)数据分析模块负责对整理好的所有数据包进行分析，提取数据包的转发路径和端口信息，将数据进入网络首个交换机及端口信息以(源IP地址、目的IP地址、交换机ID1、入口端口1、交换机ID2、入口端口2)的格式反馈给SDN控制器的采样信息综合分析模块。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种DNS分布式反射型拒绝服务攻击检测方法，其步骤为：

1)SDN控制器提取网络中匹配各个交换机流表的数据包字节数；

2)SDN控制器根据提取的数据包字节数计算同一交换机中相同IP地址的上下行流量的差异值P，若该差异值P大于检测阈值，则SDN控制器生成对该上下行流量中较小流量进行采样标记的流表规则并下发到交换机；

3)各交换机根据该流表规则对数据包进行匹配，如果匹配，则按照该流表规则对匹配的数据包进行采样；然后将采样信息转发到数据收集分析模块；

4)数据收集分析模块根据收到的采样信息统计同一数据包经过的所有交换机ID和入口端口信息，然后将该数据包的源IP地址、目的IP地址以及经过的所有交换机ID和入口端口信息发送到SDN控制器；

5)SDN控制器根据网络拓扑确定数据包进入网络的首个交换机ID，将该首个交换机ID与该数据包的地址对应的流表所属的交换机ID信息进行比较，若不匹配，则检测为攻击流量。

2.一种DNS分布式反射型拒绝服务攻击防御方法，其步骤为：

1)SDN控制器提取网络中匹配各个交换机流表的数据包字节数；

2)SDN控制器根据提取的数据包字节数计算同一交换机中相同IP地址的上下行流量差异值P，若该差异值P大于检测阈值，则SDN控制器生成对该上下行流量中较小流量进行采样标记的流表规则并下发到交换机；

3)各交换机根据该流表规则对数据包进行匹配，如果匹配，则按照该流表规则对匹配的数据包进行采样；然后将采样信息转发到数据收集分析模块；

4)数据收集分析模块根据收到的采样信息统计同一数据包经过的所有交换机ID和入口端口信息，然后将该数据包的源IP地址、目的IP地址以及经过的所有交换机ID和入口端口信息发送到SDN控制器；

5)SDN控制器根据网络拓扑确定数据包进入网络的首个交换机ID和入口端口信息，将该首个交换机ID与该数据包的地址对应的流表所属的交换机ID信息进行比较，若不匹配，则检测为攻击流量；

6)SDN根据控制器生成隔离流表对攻击流量进行隔离。

3.如权利要求1或2所述的方法，其特征在于，所述流表规则的匹配字段包括入口端口、源IP地址、目的IP地址以及目的端口。

4.如权利要求3所述的方法，其特征在于，步骤3)中，交换机生成采样信息的方法为：交换机对于匹配的数据包的包头信息进行复制，然后在复制的数据包头的头部添加交换机ID和入口端口信息。

5.如权利要求1或2所述的方法，其特征在于，步骤1)中，SDN控制器通过状态查询指令获取所有交换机流表的状态响应信息，提取状态响应信息中匹配流表的数据包字节数。

6.如权利要求1或2所述的方法，其特征在于，所述差异值P的计算公式为F_下行流量、F_上行流量分别为同一交换机中相同IP地址的上下行流量。

7.如权利要求2所述的方法，其特征在于，所述隔离流表中的匹配字段包括数据包的源IP地址、目的IP地址以及数据包进入网络的首个交换机ID和入口端口；对攻击流量进行隔离的方法为：SDN控制器将生成的隔离流表下发到该攻击流量对应的数据包进入网络的首个交换机中，并设置隔离流表的执行指令为丢包指令。

8.一种DNS分布式反射型拒绝服务攻击检测、防御系统，其特征在于，包括SDN控制器安全模块、SDN交换机安全模块，数据分析模块；其中，SDN控制器安全模块包括统计信息分析模块、采样流表生成模块、拓扑创建模块、采样信息分析模块、统计信息与采样信息综合分析模块、隔离流表生成模块以及统计信息数据库；

统计信息分析模块，用于提取网络中匹配各个交换机流表的数据包字节数；并计算同一交换机中相同IP地址的上下行流量的差异值P；当差异值P超过检测阈值时，将该上下行流量中较小流量所匹配的流表信息发送到统计信息数据库和采样流表生成模块；

采样流表生成模块，用于根据统计信息分析模块的发送数据，提取流表匹配的IP地址，生成具有采样标记功能的流表，将流表下发到各交换机；

拓扑创建模块，用于生成网络拓扑结构；

采样信息分析模块，用于根据网络拓扑分析数据包的传输路径以及数据包进入的首个交换机ID和入口端口，并把该数据包进入的首个交换机ID和入口端口信息发送到统计信息与采样信息综合分析模块；

统计信息与采样信息综合分析模块，用于根据采样信息分析模块发来的数据包的源IP地址和目的IP地址信息，查询数据库中具有相同源IP地址和目的IP地址的流表，然后判断该数据包进入的首个交换机ID是否与该流表所属交换机的ID一致；如果不一致，则将该数据包确定为攻击流量，并将该数据包的源IP地址和目的IP地址、交换机ID和入口端口信息发送给隔离流表生成模块；

隔离流表生成模块，用于根据统计信息与采集信息综合分析模块收到的源IP地址和目的IP地址、交换机ID和入口端口信息生成阻断攻击的隔离流表，并下发到该攻击流量对应的数据包进入网络的首个交换机交换机；

SDN交换机安全模块，用于执行SDN控制器下发的采样流表和隔离流表；

数据分析模块，用于提取数据包的转发路径和端口信息，将数据进入网络首个交换机及端口信息反馈给SDN控制器的采样信息综合分析模块。

9.权利要求8所述的系统，其特征在于，SDN交换机安全模块对与采样流表匹配的数据包的包头信息进行复制，然后在复制的数据包头的头部添加交换机ID和入口端口信息，得到采样信息并将其转发到数据分析模块。

10.如权利要求8或9所述的系统，其特征在于，数据分析模块将数据进入网络首个交换机及端口信息以(源IP地址、目的IP地址、交换机ID1、入口端口1、交换机ID2、入口端口2)的格式反馈给SDN控制器的采样信息综合分析模块。