CN109831428B - Sdn网络攻击检测及防御的方法和装置 - Google Patents

Abstract

本发明提供一种SDN网络攻击检测及防御的方法和装置，涉及计算机领域。所述SDN网络攻击检测及防御的方法包括：S1、基于已标记的网络历史数据，训练二叉决策树模型；S2、扩充SDN交换机的匹配域；S3、将所述决策树模型转换为流规则；S4、将所述流规则部署到所述SDN交换机中；S5、进行流量级别监控过程和数据包级别过滤过程；S6、数据判断结果处理。本发明可以实时检测SDN网络攻击并进行防御。

Description

SDN网络攻击检测及防御的方法和装置

技术领域

本发明涉及计算机领域，具体涉及一种SDN网络攻击检测及防御的方法和装置。

背景技术

随着科学技术的发展，计算机网络也在不断地普及与发展。与此同时，各种网络攻击也随之而来，对网络安全造成极大的威胁。

针对网络安全问题，现有技术使用安全设备或者采用抽样和监控技术进行安全检测和监控。安全设备主要利用入侵检测系统，基本上是对旁路或者镜像流量进行分析，不阻断任何网络访问，主要以提供检测报告和事后溯源为主。抽样和监控技术主要利用OpenFlow进行安全检测和监控，利用OpenFlow交换机中的计数器，可以反映每一时刻总体流量大小的变化，并且可以针对不同的攻击建立模型进行防御。

但是在应用于SDN网络中发现，基于OpenFlow的监控抽样技术仅可以反映总体流量变化趋势，粒度较粗，无法实时检测网络攻击；安全检测系统无法实时防御攻击。因此，现有技术均难以实时检测SDN网络攻击并进行防御。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明实施例提供了一种SDN网络攻击检测及防御的方法和装置，解决了现有技术难以实时检测SDN网络攻击并进行防御的问题。

(二)技术方案

为实现以上目的，本发明实施例提出以下技术方案：

本发明实施例解决其技术问题所提供的一种SDN网络攻击检测及防御方法，包括以下步骤：

S1、基于已标记的网络历史数据，训练二叉决策树模型；

S2、根据所述二叉决策树模型扩充SDN交换机的匹配域；

S3、将所述二叉决策树模型转换为流规则；

S4、将所述流规则部署到所述SDN交换机中；

S5、进行流量级别监控过程和数据包级别过滤过程；

S6、数据判断结果处理；

所述步骤S6，具体包括以下步骤：

所述流量级别监控过程对所述二叉决策树模型中的计数器变化率进行实时监控并判断监测结果是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述流量级别监控过程；

所述数据包级别过滤过程通过所述二叉决策树模型判断数据包是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述数据包级别过滤过程。

优选的，所述二叉决策树模型基于多种协议的多个字段进行构建，包括：IP、TCP、UDP和ICMP协议。

优选的，在所述步骤S2中：

所述SDN交换机的匹配域根据所述二叉决策树模型中的字段进行扩充，具体扩充内容包括OpenVSwitch中OpenFlow结构体和所述SDN交换机预处理数据包字段中的至少一项。

优选的，在所述步骤S3中：

对所述二叉决策树模型进行前序遍历，每遍历一个节点的同时，将该节点的内容转换为相应的流规则，并在所述二叉决策树模型的叶子节点自定义处理规则。

优选的，在所述步骤S4中：

利用部署器将所述流规则部署到所述SDN交换机中，且，由所述部署器确定部署流规则的至少一个SDN交换机。

优选的，所述流规则的部署算法为：

首先遍历网络中所有主机之间路径，为每一个交换机赋予权值；

之后每次从交换机权值向量V中选择出权值最大的交换机，并且找出这台交换机S所覆盖的路径；

如果交换机S可以覆盖所有主机间交换机路径序列集合P中至少一条路径，则将交换机S加入结果集合S′中，并且从所有主机间交换机路径序列集合P中去掉交换机S所覆盖的路径，并将交换机S的权值置为0，直到所有主机间交换机路径序列集合P为空，则终止该算法，返回结果集合S′。

优选的，所述步骤S5具体为：

流量级别监控：利用提取器不断地提取每个流表中的计数器值，进行预处理后传输到分类器中进行检测；

数据包级别过滤：流量经过所述SDN交换机时依次从所述二叉决策树模型的根节点流经至叶子节点，并到达相应的流表。

本发明解决其技术问题所提供的一种SDN网络攻击检测及防御的装置，包括：

决策树模块，用于基于已标记的网络历史数据，训练二叉决策树模型；

匹配域扩充模块，用于根据所述二叉决策树模型对SDN交换机的匹配域进行扩充；

流规则模块，用于将所述二叉决策树模型转换为流规则；

流规则部署模块，用于利用部署器将所述流规则部署到所述SDN交换机中；

数据处理模块，用于进行流量级别监控过程和数据包级别过滤过程；

数据判断结果处理模块，用于对数据判断结果进行处理；

所述流量级别监控过程对所述二叉决策树模型中的计数器变化率进行实时监控并判断监测结果是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述流量级别监控过程；

所述数据包级别过滤过程通过所述二叉决策树模型判断数据包是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述数据包级别过滤过程。

优选的，在所述决策树模块中：

所述二叉决策树模型基于多种协议的多个字段进行构建，包括：IP、TCP、UDP和ICMP协议。

优选的，在所述数据处理模块中：

所述流量级别监控过程为：利用提取器不断地提取每个流表中的计数器值，进行预处理后传输到分类器中进行检测；

所述数据包级别过滤过程为：流量经过所述SDN交换机时依次从所述二叉决策树模型的根节点流经至叶子节点，并到达相应的流表。

(三)有益效果

本发明实施例提供了一种SDN网络攻击检测及防御的方法和装置。与现有技术相比，具备以下有益效果：

本发明实施例基于已标记的网络历史数据，训练二叉决策树模型，并将二叉决策树模型转换为SDN交换机的流规则，再将流规则写入SDN交换机，每当交换机处理数据包时，流量级别监控过程不断读取流规则所匹配到数据包数量变化率，实时检测网络攻击，并且数据包级别过滤过程通过二叉决策树模型实现了对数据包的逐个过滤，实时防御网络攻击。因此，本发明实施例可以实时检测SDN网络攻击并进行防御。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例所述的SDN网络攻击检测及防御的方法和装置的整体流程图；

图2为本发明实施例决策树中的字段示意图；

图3为本发明实施例决策树转换成流规则的算法示意图；

图4为本发明实施例部署规则用例图；

图5为本发明实施例流规则部署算法示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例通过提供一种SDN网络攻击检测及防御的方法和装置，解决了现有技术难以实时检测SDN网络攻击并进行防御的问题，实现了SDN网络攻击的实时检测及防御。

本申请实施例中的技术方案为解决上述技术问题，总体思路如下：

如现有技术的阐述，在SDN网络中，存在难以实时检测SDN网络攻击并进行防御的问题。本发明实施例基于已标记的网络历史数据，训练二叉决策树模型，并将二叉决策树模型转换为SDN交换机的流规则，再将流规则写入SDN交换机，每当交换机处理数据包时，流量级别监控过程不断读取流规则所匹配到数据包数量变化率，实时检测网络攻击，并且数据包级别过滤过程通过二叉决策树模型实现了对数据包的逐个过滤，实时防御网络攻击。因此，本发明实施例可以实时检测SDN网络攻击并进行防御。

为了更好的理解上述技术方案，下面将结合说明书附图以及具体的实施方式对上述技术方案进行详细的说明：

本发明实施例提供了一种SDN网络攻击检测及防御的方法，如图1所示，上述方法包括如下步骤：

S1、基于已标记的网络历史数据，训练二叉决策树模型；

S2、根据上述二叉决策树模型扩充SDN交换机的匹配域；

S3、将上述二叉决策树模型转换为流规则；

S4、将上述流规则部署到上述SDN交换机中；

S5、进行流量级别监控过程和数据包级别过滤过程；

S6、数据判断结果处理；

上述步骤S6，具体包括以下步骤：

上述流量级别监控过程对上述二叉决策树模型中的计数器变化率进行实时监控并判断监测结果是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行上述流量级别监控过程；

上述数据包级别过滤过程通过上述二叉决策树模型判断数据包是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行上述数据包级别过滤过程。

本发明实施例在具体实施时，基于已标记的网络历史数据，训练二叉决策树模型，根据二叉决策树模型扩充SDN交换机的匹配域，并将二叉决策树模型转换为SDN交换机的流规则，再将流规则写入SDN交换机中，进行流量级别监控过程和数据包级别过滤过程。具体的，每当交换机处理数据包时，流量级别监控过程不断读取流规则所匹配到数据包数量变化率，实时检测网络攻击，并且数据包级别过滤过程通过二叉决策树模型对数据包进行逐个过滤，实时防御网络攻击。如果流量级别监控过程和数据包级别过滤过程中，判断的结果异常，则执行用户自定义操作，实现实时防御；如果结果正常，则继续进行流量级别监控过程和数据包级别过滤过程。

下面对各步骤进行详细描述。

具体的，如图1所示，利用已标记的网络历史数据，通过CART决策树算法训练二叉决策树模型。决策树模型基于多种协议的多个字段进行构建，包括：IP、TCP、UDP和ICMP协议。

本实施例中所用到的字段如图2所示，字段的作用如下：

在步骤S2中：本实施例基于开源SDN交换机OpenVSwitch实现，由于SDN交换机匹配域有限，所以根据上述决策树中的字段对SDN交换机的匹配域进行扩充。扩充内容具体包括OpenVSwitch中OpenFlow结构体扩充和上述SDN交换机预处理数据包字段的扩充等。

在步骤S3中：由转换器将决策树转换成流规则。

如图3所示，上述转换算法的步骤如下：

首先输入二叉决策树T；

将决策树的根节点加入队列中；

当队列不为空时；

将队列中的第一个节点进行出队列操作；

将出队列的节点转换为流规则，并由小到大编号；

将流规则加入流表中；

把流表加入规则Rules中；

如果该节点有右孩子；

则将右孩子加入队列；

如果该节点有左孩子；

将左孩子加入队列；

循环执行，直到队列为空为止。

下面对上述转换算法进行解释说明：

由于OpenVSwitch支持GoTo_Table和Table_Miss指令，所以将二叉决策树转换为流规则。由于Table_Miss指令默认跳转到下一个流表中进行匹配，需要保证为流规则编号时Table n的Table_Miss字段的值为n+1，所以对二叉树进行前序遍历，并且从Table_Miss的子树优先遍历。每遍历一个节点的同时，将该节点的内容转换为相应的流规则。并在所述决策树叶子节点自定义处理规则，例如：对于正常数据包可进行转发，异常数据包进行丢弃或转发至蜜罐等操作。

在步骤S4中：根据部署算法，将流规则部署到必要的交换机中，覆盖网络中攻击数据包可能通过的路径。

如图4所示，由部署器决定在哪些交换机上部署流规则，以实现在覆盖所有主机的前提下在最少的设备上部署流规则的目的。例如：在网络1中如果想实现全主机通信路径的覆盖，只需要在交换机2中部署流规则即可；同理在网络2中，只需要在交换机1和3中部署流规则即可。

如图5所示，上述流规则的部署算法步骤如下：

对于集合P中的每一条路径；

统计每一台交换机是否在该路径序列中；

依次选择权值最高的交换机；

依次选择每一条路径；

判断交换机是否在该路径序列中；

如果在；

将该交换机加入结果集合；

从P中删除该路径；

将该交换机权值置为0；

重复执行选择权值最大交换机的步骤，直到P为空。

下面对该算法进行解释说明：

首先遍历网络中所有主机之间路径，为每一个交换机赋予权值，权值越大说明该交换机覆盖的路径越多。之后每次从交换机权值向量V中选择出权值最大的交换机，并且找出这台交换机S所覆盖的路径，如果交换机S可以覆盖所有主机间交换机路径序列集合P中至少一条路径，则将交换机S加入结果集合S′中，并且从所有主机间交换机路径序列集合P中去掉交换机S所覆盖的路径，并将交换机S的权值置为0，直到所有主机间交换机路径序列集合P为空，则终止该算法，返回结果集合S′。

在步骤S5中：同时进行流量级别监控和数据包级别过滤。

部署器将不同交换机的流规则部署到交换机中，当流量经过交换机时，会依次从根节点流经至叶子节点，并到达相应的流表，以实现数据包过滤的功能。同时提取器会不断提取每个流表中的计数器值，进行简单的预处理后传输到分类器中进行检测，以此实现流量层面的监控。

其中，流量级别监控对决策树中的计数器变化率进行实时监控。数据包级别过滤过程根据所生成的决策树模型，数据包从决策树根节点穿过决策树，到达叶子节点时完成判断，进行实时防御。

在步骤S6中：处理数据判断的结果。

如果流量级别监控捕获异常，则下发流规则阻止攻击继续发生，如果数据包级别过滤发现异常，则会根据用户自定义流规则进行丢弃或者转发到蜜罐等操作。如果未检测到异常或处理异常完成，则数据包级别过滤和流量级别监控继续进行。

本发明实施例还提供了一种SDN网络攻击检测及防御的装置，上述装置包括以下模块：

决策树模块，用于基于已标记的网络历史数据，训练二叉决策树模型；

匹配域扩充模块，用于根据上述二叉决策树模型对SDN交换机的匹配域进行扩充；

流规则模块，用于将上述二叉决策树模型转换为流规则；

流规则部署模块，用于利用部署器将上述流规则部署到上述SDN交换机中；

数据处理模块，用于进行数据包级别过滤过程和流量级别监控过程，并对数据判断结果进行处理；

上述流量级别监控过程对上述二叉决策树模型中的计数器变化率进行实时监控并判断监测结果是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行上述流量级别监控过程；

上述数据包级别过滤过程通过上述二叉决策树模型判断数据包是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行上述数据包级别过滤过程。

本发明实施例提供的SDN网络攻击检测及防御的装置，具体的，在上述决策树模块中：上述二叉决策树模型基于多种协议的多个字段进行构建，包括：IP、TCP、UDP和ICMP协议。

本发明实施例提供的的SDN网络攻击检测及防御的装置，具体的，在上述数据处理模块中，上述流量级别监控利用提取器不断地提取每个流表中的计数器值，进行预处理后传输到分类器中进行检测；上述数据包级别过滤过程中，流量经过所述SDN交换机时依次从上述二叉决策树模型的根节点流经至叶子节点，并到达相应的流表，实现过滤过程。

综上所述，与现有技术相比，具备以下有益效果：

1、本发明实施例基于已标记的网络历史数据，训练二叉决策树模型，并将二叉决策树模型转换为SDN交换机的流规则，再将流规则写入SDN交换机，每当交换机处理数据包时，流量级别监控过程不断读取流规则所匹配到数据包数量变化率，实时检测网络攻击，并且数据包级别过滤过程通过二叉决策树模型实现了对数据包的逐个过滤，实时防御网络攻击。因此，本发明实施例可以实时检测SDN网络攻击并进行防御。

2、本发明实施例的二叉决策树模型基于多种协议的字段进行构建，实现了数据包层面的多种攻击检测，并且由于通过读取流规则所匹配到数据包数量变化率可以实现流量层面的检测，因此本发明实施例可以从数据包层面和流量层面针对多种网络攻击类型进行检测并防御。

3、本发明实施例将决策树转换成流规则并部署到交换机中，覆盖网络中攻击数据包可能通过的路径，无需在SDN网络中添加额外的安全设备，即可增强网络的安全性，可以智能、自动和高效地检测和防护网络中的安全问题，减少人工运维成本。

4、本发明实施例在不改变数据包处理流程的情况下，通过扩充了交换机的匹配域即可检测出交换机的安全威胁，交换机在检测安全威胁时智能化，性能上的损耗极少。

5、本发明实施例可在覆盖所有主机的前提下在最少的设备上部署流规则，不需要在所有的交换机中部署流规则，从而降低对网络性能的影响。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (8)

1.一种SDN网络攻击检测及防御方法，其特征在于，包括以下步骤：

S1、基于已标记的网络历史数据，训练二叉决策树模型；

S2、根据所述二叉决策树模型扩充SDN交换机的匹配域；

S3、将所述二叉决策树模型转换为流规则；

S4、将所述流规则部署到所述SDN交换机中；

S5、进行流量级别监控过程和数据包级别过滤过程；

S6、数据判断结果处理；

所述步骤S6，具体包括以下步骤：

所述流量级别监控过程对所述二叉决策树模型中的计数器变化率进行实时监控并判断监测结果是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述流量级别监控过程；

所述数据包级别过滤过程通过所述二叉决策树模型判断数据包是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述数据包级别过滤过程；

所述步骤S4中：

利用部署器将所述流规则部署到所述SDN交换机中，且，由所述部署器确定部署流规则的至少一个SDN交换机；

所述流规则的部署算法为：

首先遍历网络中所有主机之间路径，为每一个交换机赋予权值；

之后每次从交换机权值向量V中选择出权值最大的交换机，并且找出这台交换机S所覆盖的路径；

如果交换机S可以覆盖所有主机间交换机路径序列集合P中至少一条路径，则将交换机S加入结果集合S’中，并且从所有主机间交换机路径序列集合P中去掉交换机S所覆盖的路径，并将交换机S的权值置为0，直到所有主机间交换机路径序列集合P为空，则终止该算法，返回结果集合S’。

2.如权利要求1所述的SDN网络攻击检测及防御方法，其特征在于：

所述二叉决策树模型基于多种协议的多个字段进行构建，包括：IP、TCP、UDP和ICMP协议。

3.如权利要求1所述的SDN网络攻击检测及防御方法，其特征在于，在所述步骤S2中：

所述SDN交换机的匹配域根据所述二叉决策树模型中的字段进行扩充，具体扩充内容包括OpenVSwitch中OpenFlow结构体和所述SDN交换机预处理数据包字段中的至少一项。

4.如权利要求1所述的SDN网络攻击检测及防御方法，其特征在于，在所述步骤S3中：

对所述二叉决策树模型进行前序遍历，每遍历一个节点的同时，将该节点的内容转换为相应的流规则，并在所述二叉决策树模型的叶子节点自定义处理规则。

5.如权利要求1所述的SDN网络攻击检测及防御方法，其特征在于，所述步骤S5具体为：

流量级别监控：利用提取器不断地提取每个流表中的计数器值，进行预处理后传输到分类器中进行检测；

数据包级别过滤：流量经过所述SDN交换机时依次从所述二叉决策树模型的根节点流经至叶子节点，并到达相应的流表。

6.一种SDN网络攻击检测及防御的装置，其特征在于，包括：

决策树模块，用于基于已标记的网络历史数据，训练二叉决策树模型；

匹配域扩充模块，用于根据所述二叉决策树模型对SDN交换机的匹配域进行扩充；

流规则模块，用于将所述二叉决策树模型转换为流规则；

流规则部署模块，用于利用部署器将所述流规则部署到所述SDN交换机中；

数据处理模块，用于进行流量级别监控过程和数据包级别过滤过程；

数据判断结果处理模块，用于对数据判断结果进行处理；

所述流量级别监控过程对所述二叉决策树模型中的计数器变化率进行实时监控并判断监测结果是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述流量级别监控过程；

所述数据包级别过滤过程通过所述二叉决策树模型判断数据包是否异常，若结果为是，则执行用户自定义操作；若结果为否，则继续进行所述数据包级别过滤过程；

所述流规则部署模块中：

利用部署器将所述流规则部署到所述SDN交换机中，且，由所述部署器确定部署流规则的至少一个SDN交换机；

所述流规则的部署算法为：

首先遍历网络中所有主机之间路径，为每一个交换机赋予权值；

之后每次从交换机权值向量V中选择出权值最大的交换机，并且找出这台交换机S所覆盖的路径；

如果交换机S可以覆盖所有主机间交换机路径序列集合P中至少一条路径，则将交换机S加入结果集合S’中，并且从所有主机间交换机路径序列集合P中去掉交换机S所覆盖的路径，并将交换机S的权值置为0，直到所有主机间交换机路径序列集合P为空，则终止该算法，返回结果集合S’。

7.如权利要求6所述的SDN网络攻击检测及防御的装置，其特征在于，在所述决策树模块中：

所述二叉决策树模型基于多种协议的多个字段进行构建，包括：IP、TCP、UDP和ICMP协议。

8.如权利要求6所述的SDN网络攻击检测及防御的装置，其特征在于，在所述数据处理模块中：

所述流量级别监控过程为：利用提取器不断地提取每个流表中的计数器值，进行预处理后传输到分类器中进行检测；

所述数据包级别过滤过程为：流量经过所述SDN交换机时依次从所述二叉决策树模型的根节点流经至叶子节点，并到达相应的流表。

Images