WO2019148576A1 - 一种工业SDN网络DDoS攻击检测与缓解方法 - Google Patents

一种工业SDN网络DDoS攻击检测与缓解方法 Download PDF

Info

Publication number
WO2019148576A1
WO2019148576A1 PCT/CN2018/078082 CN2018078082W WO2019148576A1 WO 2019148576 A1 WO2019148576 A1 WO 2019148576A1 CN 2018078082 W CN2018078082 W CN 2018078082W WO 2019148576 A1 WO2019148576 A1 WO 2019148576A1
Authority
WO
WIPO (PCT)
Prior art keywords
network
industrial
ddos attack
access network
data
Prior art date
Application number
PCT/CN2018/078082
Other languages
English (en)
French (fr)
Inventor
魏旻
杨涛
毛久超
庞巧月
王平
Original Assignee
重庆邮电大学
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 重庆邮电大学 filed Critical 重庆邮电大学
Priority to US16/629,964 priority Critical patent/US11483341B2/en
Publication of WO2019148576A1 publication Critical patent/WO2019148576A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H04L45/036—Updating the topology between route computation elements, e.g. between OpenFlow controllers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/64—Routing or path finding of packets in data switching networks using an overlay routing layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/29—Flow control; Congestion control using a combination of thresholds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/90—Buffering arrangements
    • H04L49/9063—Intermediate storage in different physical parts of a node or terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2212/00—Encapsulation of packets
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/42—Centralised routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks

Definitions

  • the invention belongs to the field of network security, and relates to a DDoS attack detection and mitigation method for an industrial SDN network.
  • SDN Software Defined Network
  • the industrial backhaul network is a transmission network between a wide area network (Internet network) and an access network (such as wireless WirelessHART, WIA-PA, ISA100.11a), covering a few square kilometers to several tens of square kilometers, belonging to a medium-sized network.
  • an access network such as wireless WirelessHART, WIA-PA, ISA100.11a
  • the SDN controller and the industrial access network system controller are used for cooperation and joint scheduling to effectively realize the effective allocation of resources.
  • the attacker performs DDoS attack on the industrial backhaul network OF switch: the OF switch generates a large number of unmatched packet-in information to attack the SDN controller, causing the SDN controller to crash due to a large amount of packet-in information being imported. As a result, normal packet requests cannot be processed in time.
  • the object of the present invention is to provide an industrial SDN network DDoS attack detection and mitigation method, and utilize an SDN controller and an industrial access network system manager in an industrial SDN network to extend an OF switch flow table in an industrial backhaul network.
  • the matching field of the item enables it to more accurately match the data packets from the industrial access network.
  • the SDN controller interacts with the DDoS attack and detection server to detect and mitigate DDoS attacks in industrial backhaul networks and industrial access networks. .
  • the present invention provides the following technical solutions:
  • An industrial SDN network DDoS attack detection and mitigation method includes the following steps:
  • S1 Establish an architecture of an industrial network DDoS detection and mitigation system based on an SDN-based joint scheduling architecture
  • S2 The network works normally, and the industrial access network forwards the industrial backhaul network data message
  • S5 The SDN controller queries the matching of the OF switch and marks the suspicious flow entry, and reports the Packet-in message.
  • the DDoS attack detection and mitigation system processes the suspicious flow entry or identifies the packet-in.
  • the industrial network DDoS detection system architecture of the SDN-based joint scheduling architecture includes an application plane, a control plane, and a forwarding plane;
  • the application plane includes an SDN controller control software and an anti-DDoS attack application management software;
  • the SDN controller control software is used for the user to configure the SDN controller
  • the anti-DDoS attack application management software is used to support security personnel to formulate corresponding defense strategies according to the characteristics of network DDoS attacks to ensure network security operations;
  • the control plane includes an SDN controller, an industrial access network system manager, and an industrial SDN network DDoS attack detection and mitigation system;
  • the SDN controller is responsible for resource control and scheduling of the industrial backhaul network, and is responsible for network topology discovery, state monitoring, and policy formulation of the link discovery and delivery of the flow table, and the monitored information is provided for DDoS attack detection and mitigation system query;
  • the joint scheduler running on the SDN controller is responsible for the interaction of the industrial access network system manager, and is responsible for the calculation and decision of the data transmission path and resource information of the industrial access network;
  • the Industrial Access Network System Manager is responsible for configuring the industrial access network network attributes, managing routing tables, scheduling device communication, monitoring network performance and security management; managing the operation of devices in the network and the communication of the entire wireless network, including device access And off-grid, network fault monitoring and reporting, and communication configuration management;
  • the industrial SDN network DDoS attack detection and mitigation system includes two modules: detection and mitigation: the detection module analyzes the real-time data sent by the industrial network to the OpenFlow switch according to the ISM controller status monitoring information, and extracts corresponding data features to determine whether it is subjected to a DDoS attack, and The judgment result is reported to the DDoS attack mitigation system; the mitigation module is responsible for quickly responding to the DDoS attack situation in the network, and scheduling the traffic in the industrial network through the SDN controller;
  • the forwarding plane includes an industrial backhaul network OF switch and an industrial access network device;
  • the OF switch is located in the industrial backhaul network and relies on the global view function of the SDN controller to implement a flexible and efficient configuration of the industrial backhaul network;
  • Industrial access network network equipment is a network transmission physical entity of an industrial access network, providing an industrial access network system manager for management and configuration, thereby achieving the network functions required by the industrial access network system manager; including industrial access networks
  • the border router is responsible for forwarding the message to the industrial backhaul network.
  • step S2 is specifically: when the access network routing device sends a data packet to the border route, the gateway supports the conversion of the industrial wired and industrial wireless protocols to the IPv4 or IPv6 protocol, and retains the following characteristics of the original data: the access network type, Network protocol, PAN_ID, working channel, source MAC address, destination MAC address, and source device ID.
  • step S3 is specifically: extending the OpenFlow switch flow entry matching domain, and adding the extended domain to enable the OpenFlow switch to more accurately match the data packet from the industrial access network;
  • the extended domain includes:
  • Access network type used to mark whether the industrial access network is a wired network or a wireless network
  • Network protocol a network protocol used to mark industrial access networks
  • PAN_ID ID used to mark the personal area network
  • Working channel used to mark the channel involved in the data transmission when the data comes from the wireless access network
  • Wireless network source MAC address the MAC address of the tag data source
  • Wireless network destination MAC address the MAC address of the tag data destination
  • Source Device ID The ID of the tag data source.
  • the controller After the OF switch enters the network, the controller obtains the link status and proactively delivers the extended flow table to the switch.
  • step S4 is specifically:
  • the counter in the flow entry counts once for each matching of the flow entry
  • the OF switch When the data stream does not match the matching field in the flow table, the OF switch first caches it in the buffer, and then extracts its header to be encapsulated into a packet-in message. If the buffer is full, the entire packet is directly encapsulated into a packet.
  • the -in message is sent to the SDN controller and analyzed and decided by the SDN controller, and then processed by issuing a flow-mod or packet-out message.
  • step S5 is specifically:
  • S506 The SDN controller reports the suspicious flow entry to the DDoS attack detection and mitigation system
  • the SDN controller reports the Packet-in message carrying the access network type, the network protocol, the PAN_ID, the working channel, the source MAC address, the destination MAC address, and the source device ID information to the DDoS attack detection and mitigation system; and the DDoS attack detection And the mitigation system determines whether the Packet-in is normal traffic, normal burst traffic, DDoS attack traffic, or L-DDoS attack traffic.
  • step S6 the DDoS attack detection and mitigation system processes the suspicious flow entry specifically: the DDoS attack detection and mitigation system notifies the industrial access network system manager of the suspicious flow entry information, and the industrial access network The system manager will reallocate network resources and formulate corresponding mitigation attack policies to block the continued communication of DDoS attack source devices inside the industrial access network.
  • step S6 the DDoS attack detection and mitigation system identifies the Packet-in processing specifically as follows:
  • DDoS attack detection and mitigation system trains the normal data of industrial access network and industrial backhaul network, and introduces the characteristics of industrial network, including normal traffic, normal burst traffic, DDoS in the network.
  • the data samples of attack traffic and L-DDoS attack traffic are trained and modeled. The specific process is as follows:
  • the traffic characteristics are fuzzy and discretely processed into three characteristic degree values X, Y and Z;
  • the characteristic representation X is known to be common, Y is a random change, and Z is a random change;
  • the characteristic representation X is known to be common, Y is a random weak change, and Z is a random change;
  • the characteristic representation X is known to be common, Y is a random change, and Z is a random change;
  • the characteristic representation X is an access network protocol, Y is empty, and Z is an unknown protocol;
  • the characteristic representation X is known to be common, Y is the change is randomly weak, and Z is the change is randomly strong;
  • the characteristic representation X is known to be common, Y is the change is randomly weak, and Z is the change is randomly strong;
  • the characteristic representation X is that the channel quality is high, Y is the channel quality, and Z is the channel quality is low;
  • the characteristic representation X is all within the threshold, Y is one of them within the threshold, and Z is not within the threshold;
  • the third layer node is generated in the same way as the second layer node.
  • the X, Y, and Z direction attributes of the second layer node are generated and selected respectively.
  • normal traffic, normal burst traffic, and DDoS attack traffic are completed.
  • S602 DDoS attack detection and mitigation system attack identification: the packet-in information is put into the training sample model in S701 for judgment, and the classification into which the packet-in information belongs is obtained;
  • S603-1 The normal data stream and the normal burst traffic cached in the OF switch identified by the DDoS attack detection and mitigation system through the S701 and the S702 are sent by the SDN controller to enable the cache to be cached in the OF switch.
  • the data stream is forwarded; the normal data stream that is not cached on the OF switch is forwarded directly through the OF switch output port;
  • the identified DDoS attack data stream, the L-DDoS attack data stream records the relevant features, and these features are
  • the priority is set to the highest, and is sent to the OF switch flow table 0 to block the data packets that the attack source continues to send in time;
  • the DDoS attack detection and mitigation system notifies the industrial backhaul network SDN controller of DDoS attack related information from the access network, including the source MAC address, the source network device ID, the working channel, and the PAN_ID of the attack source;
  • the SDN controller informs the industrial access network system manager that cooperates with the information of the attack data stream, and the industrial access network system manager will reallocate the network resources and formulate corresponding mitigation attack strategies to block Continued communication of DDoS attack source devices within the industrial access network;
  • S603-4 When the SDN controller reads that the OF switches ⁇ M and ⁇ N are within the normal threshold range, it is determined that the DDoS attack ends, and the “mitigation attack dedicated flow entry” is deleted. The controller reacquires the topology information and takes the initiative to the OF. The switch sends the modified flow table information update flow table, and then works by passively sending the flow table.
  • the SDN-based industrial access network joint scheduling architecture defines a dedicated flow entry for mitigating DDoS attacks and defends against attack data flows. Introduce the DDoS attack detection and mitigation system, and formulate corresponding detection and mitigation methods for DDoS attacks when combined with the two flow table delivery modes of the controller;
  • the present invention fully considers the characteristics of the industrial access network data packet when detecting the DDoS attack, and extends the flow entry matching domain defined by the OpenFlow, so that the industrial access network that does not support the IP is better compatible. And perform flow table matching.
  • the requirement of real-time performance of industrial network data is ensured first, ensuring high reliability and low latency of data transmission in industrial access networks;
  • the invention adopts the combination of the machine learning method and the statistical comparison method to identify the abnormal traffic of the DDoS attack, which is more accurate and faster than the traditional DDoS detection method.
  • FIG. 1 is an architecture of an industrial network DDoS detection system based on an SDN-based joint scheduling architecture
  • Figure 2 is a flow chart of the DDoS attack detection and mitigation mechanism
  • Figure 4 shows the structure of the extended OpenFlow flow entry
  • Figure 5 is a data classification decision tree model
  • Figure 6 is an example WIA-PA network training traffic classification decision tree model.
  • an industrial network DDoS detection and mitigation architecture based on SDN-based joint scheduling architecture is proposed. As shown in Figure 1, it includes the application plane, control plane and forwarding plane.
  • the application plane includes SDN controller control software and anti-DDoS attack application management software.
  • ⁇ SDN controller control software The user configures the SDN controller through the software.
  • Anti-DDoS attack application management software It can support security personnel to develop corresponding defense strategies according to the characteristics of network DDoS attacks to ensure network security operation.
  • the control plane includes an SDN controller, an industrial access network system manager, and an industrial SDN network DDoS attack detection and mitigation system.
  • the SDN controller is responsible for resource control and scheduling of the industrial backhaul network, and is responsible for topology discovery, state monitoring, and policy formulation of the network link discovery and delivery of the flow table, and the monitored information is provided for DDoS attack detection and mitigation system query.
  • the joint scheduler running on the SDN controller is responsible for the interaction of the industrial access network system manager, and is responsible for the calculation and decision of the data transmission path and resource information of the industrial access network;
  • Industrial access network system manager responsible for configuring industrial access network network attributes, managing routing tables, scheduling device communication, monitoring network performance and security management. Responsible for managing the operation of devices in the network and the communication of the entire wireless network, including device access and off-network, network fault monitoring and reporting, and communication configuration management.
  • ⁇ Industrial SDN network DDoS attack detection and mitigation system includes two modules for detection and mitigation:
  • the detection module analyzes the real-time data sent by the industrial network to the OpenFlow switch according to the ISM controller status monitoring information, extracts corresponding data features, determines whether the DDoS attack is received, and reports the judgment result to the DDoS attack mitigation system;
  • the mitigation module is responsible for quickly responding to DDoS attacks in the network, and scheduling traffic in the industrial network through the SDN controller.
  • the forwarding plane includes an industrial backhaul network OF switch and an industrial access network equipment.
  • the OF switch is located in the industrial backhaul network and relies on the global view function of the SDN controller to implement a flexible and efficient configuration of the industrial backhaul network.
  • ⁇ Industrial Access Network equipment is a network transmission physical entity of an industrial access network, providing an industrial access network system manager for management and configuration, thereby achieving the network functions required by the industrial access network system manager.
  • Industrial access network border router is a type of access network network equipment. It is responsible for processing the message and forwarding it to the industrial backhaul network.
  • the present invention provides a DDoS attack detection and mitigation method for an industrial backhaul network and an industrial access network based on a joint scheduling architecture of SDN.
  • the industrial SDN network DDoS attack detection and mitigation process is shown in Figure 2.
  • the attack detection and mitigation mechanism proposed by the present invention is as follows:
  • the network works normally, and the industrial access network is forwarded to the industrial backhaul network data packet.
  • the industrial access network has various forms and protocols, including wired access networks (Modbus, FF, etc.) and wireless access networks (WIA-PA, ISA100.11a, etc.), which are generally forwarded to the backhaul network through border routers. All original features of the data are not preserved. For example, after the data collected by a wireless access network node reaches the boundary, only the node ID and the collected data value are generally reserved, and the boundary route is forwarded.
  • wired access networks Modbus, FF, etc.
  • WIA-PA wireless access networks
  • This provides a condition for an attacker to initiate a DDoS attack using a node of the industrial access network. Because the industrial node ID cannot be matched by the OpenFlow protocol, only the boundary route can be located. It is difficult to specifically locate the node attacked by the DDoS.
  • a data packet for the industrial access network to be transferred to the industrial backhaul network is improved as follows:
  • the gateway When the access network routing device sends a packet to the border route, the gateway supports the conversion of the industrial wired and industrial wireless protocols to the IPv4 or IPv6 protocol, but needs to retain the following characteristics of the original data: access network type, network protocol, PAN_ID, working channel Source MAC address, destination MAC address, and source device ID. For example: convert the WIA-PA protocol to the IPv6 protocol, and keep the original data packet indicating that the data comes from the radio access network, the protocol is WIA-PA, PAN_ID, working channel, source MAC address, destination MAC address, source device ID. The information is in the converted IPv6 protocol data load, and the OF switch flow table in the industrial backhaul network is matched for use in cross-domain transmission.
  • a routing device in an industrial access network (such as a WIA-PA network or an ISA100.11a network) is used by an attacker as a device to send a large number of fake data packets to the access network, when certain attack data is generated.
  • the SDN controller cannot work normally due to the matching failure.
  • the present invention modifies the traditional OpenFlow flow table to: mainly extend the flow field entry matching field of the OpenFlow switch, and increase the extension. Domain implementations of OpenFlow switches can more accurately match packets from industrial access networks.
  • Figure 4 shows the extended flow entry structure.
  • the extended domain includes:
  • Access network type used to mark whether the industrial access network is a wired network or a wireless network
  • Network protocol A network protocol used to mark industrial access networks, such as WIA-PA, ISA100.11a, WirelessHART, etc.
  • PAN_ID ID used to mark the personal area network
  • Working channel used to mark the primary channel involved in the data transmission from the wireless access network
  • Wireless network source MAC address the MAC address of the tag data source
  • Wireless network destination MAC address the MAC address of the tag data destination
  • Source Device ID The ID of the tag data source.
  • the controller After the OF switch enters the network, the controller obtains the link status and proactively delivers the extended flow table shown in Figure 4 to the switch.
  • Matching The data stream is matched and forwarded according to the matching field in the flow table.
  • the counter is counted once in the flow entry every time the flow entry matches.
  • the data flow table cannot match the data flow.
  • the switch first caches it in the buffer, and then extracts its header to be encapsulated into a packet-in message. If the buffer is full, the entire data packet is directly encapsulated into a packet-in message. It is sent to the SDN controller and analyzed and decided by the SDN controller, and then processed by issuing a flow-mod or packet-out message.
  • the SDN controller queries the matching of the OF switch and marks the suspicious flow entry and reports the Packet-in message.
  • the flow entry is marked as a suspicious flow entry by the SDN controller.
  • the SDN controller determines that a data flow abnormality has occurred.
  • the industrial backhaul network OF switch flow table mismatch tolerances ⁇ M and ⁇ N are set by the user through the anti-DDoS attack application management software.
  • the SDN controller reports the suspect flow entry to the DDoS attack detection and mitigation system.
  • the SDN controller reports the Packet-in message carrying the access network type, network protocol, PAN_ID, working channel, source MAC address, destination MAC address, and source device ID information to the DDoS attack detection and mitigation system.
  • the DDoS attack detection and mitigation system determines that the Packet-in is caused by normal traffic, normal burst traffic, DDoS attack traffic, or L-DDoS attack traffic. The following two aspects are introduced in the DDoS attack detection and mitigation system for the processing of suspicious flow entries and the processing of Packet-in:
  • the DDoS attack detection and mitigation system notifies the industrial access network system manager of the suspicious flow entry information, and the industrial access network system manager will reallocate the network resources and formulate corresponding mitigation attack strategies to block the internal DDoS of the industrial access network. Continue communication of the attack source device.
  • the DDoS attack detection and mitigation system requires training and modeling of normal data for industrial access networks and industrial backhaul networks. After the introduction of the characteristics of the industrial network, the training modeling process for the data samples containing normal traffic, normal burst traffic, DDoS attack traffic, and L-DDoS attack traffic in the network is as follows:
  • the first step According to the C4.5 decision tree algorithm, the attributes " ⁇ M and ⁇ N" are selected as the root node.
  • the second step according to the characteristics of the industrial access network traffic performance, the traffic characteristics are fuzzy and discretely processed into three feature degree values (X, Y, Z).
  • the statistical data stream samples are taken according to X, Y and Z shown in Table 2, Table 3 and Table 4;
  • Table 2 Data sample value table when the root node takes X
  • Table 3 Data sample value table when the root node takes Y
  • the third step generate a decision tree
  • the attributes of the X, Y, and Z branches under the root node are classified to form a second layer node.
  • the third layer node is generated in a similar manner to the second layer node, and the attributes of the second layer node in the X, Y, and Z directions are respectively generated and selected.
  • the decision tree model of four data classification subsets normal traffic, normal burst traffic, DDoS attack traffic, and L-DDoS attack traffic
  • the packet-in information is placed in the training sample model in a) to determine which classification the packet-in information belongs to.
  • the first step the DDoS attack detection and mitigation system identifies the normal data stream and the normal burst traffic cached in the OF switch through the processes described in the above a), b), and sends the extended flow table through the SDN controller.
  • the data stream buffered in the OF switch is forwarded; the normal data stream not cached on the OF switch is forwarded directly through the OF switch output port.
  • the DDoS attack data stream is identified, and the L-DDoS attack data stream records the relevant features, and the features are written in the "Relief Attack Dedicated Flow Entry", and the priority is set to the highest, and is sent to the OF switch.
  • flow table 0 the data packets that the attack source continues to send are blocked in time;
  • the second step the DDoS attack detection and mitigation system notifies the industrial backhaul network SDN controller of DDoS attack related information from the access network, such as the source MAC address, source network device ID, working channel, PAN_ID, etc. of the attack source;
  • the third step the SDN controller informs the industrial access network system manager that cooperates with the information of the attack data stream, and the industrial access network system manager will reallocate the network resources and formulate corresponding mitigation attack strategies to block Continued communication of DDoS attack source devices within the industrial access network;
  • Step 4 When the SDN controller reads that the OF switches ⁇ M and ⁇ N are within the normal threshold range, it is determined that the DDoS attack ends, and the “mitigation attack dedicated flow entry” is deleted, and the controller reacquires the topology information, and actively takes the OF to the OF.
  • the switch sends the modified flow table information update flow table, and then works by passively sending the flow table.
  • the network works normally, and the WIA-PA network forwards the industrial backhaul network data packet.
  • the WIA-PA protocol is converted to the IPv4 or IPv6 protocol, and the original data packet is displayed in the original data packet from the radio access network, and the protocol is WIA-PA, PAN_ID, working channel, and source.
  • the MAC address, destination MAC address, source device ID, and other information are used in the converted IPv4 or IPv6 protocol data load for the OF switch flow table in the industrial backhaul network for cross-domain transmission.
  • the routing device in the WIA-PA network is used as an attack device by the attacker, and the attacker sends a fake data packet to the device, so that the attack data flow transmitted across the domain does not match the flow table in the OF switch of the industrial backhaul network, so that the OF is The forwarding efficiency of the switch is reduced, and the SDN controller is down due to the OF switch inquiring about a large number of packet-in messages sent by the SDN controller.
  • the present invention modifies the traditional OpenFlow flow table as follows:
  • the extended domain includes: access network type: marked as an industrial wireless network.
  • Network Protocol Marked as WIA-PA Network Protocol.
  • the rest of the extended domain content is kept configured according to the actual situation.
  • the WIA-PA network data is matched and forwarded according to the matching field in the flow table.
  • the counter in the flow entry counts once.
  • WIA-PA network data flow that the OF switch flow table cannot match.
  • the switch first caches it in the buffer, and then extracts its header to be encapsulated into a packet-in message. If the buffer is full, the entire data packet is directly encapsulated into The packet-in message is sent to the SDN controller and analyzed and determined by the SDN controller, and then processed by delivering a flow-mod or packet-out message.
  • the SDN controller queries the matching of the OF switch and marks the suspicious flow entry and reports the Packet-in message.
  • the flow entry is marked as a suspicious flow entry by the SDN controller.
  • the SDN controller determines that a data flow abnormality has occurred.
  • the industrial backhaul network OF switch data mismatch tolerance is ⁇ M and ⁇ N, which is set by the user through the anti-DDoS attack application management software.
  • the SDN controller reports the suspect flow entry to the DDoS attack detection and mitigation system.
  • the SDN controller reports the Packet-in message carrying the access network type, network protocol, PAN_ID, working channel, source MAC address, destination MAC address, and source device ID information to the DDoS attack detection and mitigation system.
  • the DDoS attack detection and mitigation system determines that the Packet-in is caused by normal traffic, normal burst traffic, DDoS attack traffic, or L-DDoS attack traffic.
  • the DDoS attack detection and mitigation system notifies the WIA-PA network system manager of the suspicious flow entry information.
  • the WIA-PA network system manager will reallocate the network resources and formulate corresponding mitigation attack policies to block the internal DDoS of the WIA-PA network. Continue communication of the attack source device.
  • the DDoS attack detection and mitigation system requires training modeling of normal data for WIA-PA networks and industrial backhaul networks. After the introduction of the characteristics of the industrial network, the training modeling process for the data samples containing normal traffic, normal burst traffic, DDoS attack traffic, and L-DDoS attack traffic in the network is as follows:
  • the first step According to the C4.5 decision tree algorithm, the attributes " ⁇ M and ⁇ N" are selected as the root node.
  • the second step according to the WIA-PA network traffic characteristic performance value table, the traffic characteristics are fuzzy and discretely processed into three characteristic degree values (X, Y, Z).
  • Table 6 shows the specific data stream sample information, and 20 samples are selected for explanation.
  • the C4.5 decision tree algorithm is used to select the root node attribute.
  • the specific process is as follows:
  • the sample S is divided into four categories (5 normal streams, 5 normal burst streams, 5 DDoS attack streams, and 5 L-DDoS attack streams).
  • the " ⁇ M and ⁇ N" gain ratios are the largest, and they are taken as the root node.
  • the decision tree algorithm contains a large number of logarithmic operations. When the sample data is sufficient, the time overhead is large. Therefore, when the leaf nodes are selected, the information gain rate is not calculated, but the single data stream feature in the whole sample is simply adopted. Vertically compare statistical values to quickly derive child nodes.
  • the number of occurrences of Z values in the eigenvalues ⁇ Z 1 , Z 2 , Z 3 , Z 4 , Z 5 , Z 6 ⁇ ⁇ 0,0,0,1,0,1 ⁇ , so the sixth data stream feature is randomly selected.
  • the attribute "source MAC address" is used as the decision child node;
  • the branch nodes of Y and Z under the root node are calculated in the same way as the above process.
  • the traffic classification process of the X, Y, and Z branches is synchronized.
  • the traffic classification decision tree model shown in Figure 6 is obtained.
  • the root node branches according to the degree of the traffic characteristic attribute X, Y, and Z, and then separately samples the samples under X, Y, and Z, if the flow under a certain value A number of 0 reduces one branch until the stream type is finally derived.
  • the node attributes can be repeated, but the child node attributes on each decision path down from the root node are not repeatable. The more sample data, the more branch layers, but only up to 8 layers (consistent with the number of selected traffic feature attributes).
  • Table 8 shows the real-time packet-in data stream obtained by the SDN controller, and compares and analyzes with the traffic classification decision tree model described above to obtain the packet-in data stream type.
  • the SDN controller processes the packet-in data in the following manner:
  • the SDN controller forwards the data stream buffered in the OF switch through the sending flow table, and The SDN controller forwards the data stream that is not cached in the OF switch directly through the output port.
  • the SDN controller For the three attack data streams numbered 5, 6, and 7 in Table 8, the SDN controller writes its characteristics to the mitigation attack-specific flow entry, and sends it to the OF switch flow table 0, setting the priority to the highest. , timely block the data packets that the attack source continues to send.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种工业SDN网络DDoS攻击检测与缓解方法，属于网络安全领域。该方法利用工业回程网络中SDN控制器的东西向接口与工业接入网络的系统管理器的协同作用，结合工业回程网络及工业接入网络数据包特征，扩展OpenFlow交换机流表项匹配域，设定流表0为"缓解DDoS攻击专用流表"及时抵御攻击数据流。利用工业回程网络的SDN控制器及DDoS攻击检测与缓解系统，识别出攻击数据流并发现DDoS攻击源，通过调度工业接入网络系统管理器实施缓解DDoS攻击的策略。本发明保证了工业回程网和工业接入网络的正常流量，克服了DDoS攻击对工业网络安全造成的威胁。

Description

一种工业SDN网络DDoS攻击检测与缓解方法 技术领域
本发明属于网络安全领域，涉及一种工业SDN网络DDoS攻击检测与缓解方法。
背景技术
软件定义网络(Software Defined Network,SDN)技术的关注度日趋明显，越来越多的研究也逐渐地将SDN引入到工业网络环境中，SDN的特点是将网络的数据转发平面和控制平面分离，从而通过控制器中的软件平台去实现可编程化控制底层硬件，实现对网络资源灵活的按需调配。SDN控制器通过利用OpenFlow协议向OpenFlow交换机(以下简称OF交换机)主动或被动下发流表，数据包通过匹配流表得到转发。利用SDN集中控制及可编程性的优点，可使得庞大的工业网络系统流量管控更灵活，减少底层重复的人工配置等问题。
工业回程网络，是广域网络(Internet网络)和接入网络(如无线WirelessHART、WIA-PA、ISA100.11a)之间的传输网络，覆盖范围为几平方公里到几十平方公里，属于中等规模网络，解决工业无线网络接入广域网“最后几公里”的传输问题。目前，针对工业接入网络和工业回程网络的资源调度问题，主要是利用SDN控制器和工业接入网络系统控制器进行合作联合调度有效实现资源的有效配置。
网络安全方面，目前针对工业SDN网络的DDoS攻击主要以下两种形态存在：
(1)攻击者针对工业回程网络OF交换机进行DDoS攻击：利用OF交换机产生大量无法匹配的packet-in信息对SDN控制器进行攻击，造成SDN控制器因大量packet-in信息汇入而宕机，导致正常数据包请求不能及时得到处理。
(2)攻击者针对工业接入网络(工业有线网络、工业无线网络如WirelessHART、WIA-PA、ISA100.11a)路由节点等关键网络设备进行DDoS攻击，造成工业接入网络和工业回程网络汇入大量无效的数据包，影响网络正常工作。
目前，对普通SDN网络DDoS攻击检测方法有很多，包括基于流量的时间特征方法、基于信息熵值方法、基于KNN算法等方法。然而，由于工业回程网络和工业控制网络自身特征，其工业网络的网络特性、实时性要求、可靠性要求等并没有被考虑，且普通SDN网络的OpenFlow协议也未针对工业网络进行特殊匹配和改进，既有研究成果很难直接应用到工业SDN网络。特别是一些在不支持IP的工业接入网络(如WIA-PA网络、WirelessHART网络等)爆发DDoS攻击，利用传统OpenFlow流表模式匹配方法、信息熵值方法等，均很难对攻击的 实际发生位置进行溯源和定位。
发明内容
有鉴于此，本发明的目的在于提供一种工业SDN网络DDoS攻击检测与缓解方法，利用工业SDN网络中的SDN控制器及工业接入网络系统管理器，扩展工业回程网络中的OF交换机流表项的匹配域，使其能够更精确的匹配来自工业接入网络的数据包，SDN控制器与DDoS攻击与检测服务器通过交互，实现对工业回程网络和工业接入网络中DDoS攻击的检测和缓解。
为达到上述目的，本发明提供如下技术方案：
一种工业SDN网络DDoS攻击检测与缓解方法，包括以下步骤：
S1：建立基于SDN的联合调度架构下工业网络DDoS检测与缓解系统架构；
S2：网络正常工作，工业接入网络转交工业回程网络数据报文；
S3：改进并扩展OpenFlow流表项；
S4：数据经过OF交换机时，进行流表匹配；
S5：SDN控制器查询OF交换机的匹配情况并标记可疑流表项，并报告Packet-in消息；
S6：DDoS攻击检测与缓解系统对可疑流表项进行处理或对Packet-in进行识别处理。
进一步，在步骤S1中，所述基于SDN的联合调度架构下工业网络DDoS检测系统架构包括应用平面、控制平面和转发平面；
所述应用平面包括SDN控制器控制软件和防DDoS攻击应用管理软件；
其中，SDN控制器控制软件用于用户配置SDN控制器；
防DDoS攻击应用管理软件用于支持安全人员根据网络DDoS攻击特点，制定相应的防御策略，保证网络安全运行；
所述控制平面包括SDN控制器、工业接入网络系统管理器和工业SDN网络DDoS攻击检测与缓解系统；
其中，SDN控制器负责工业回程网络的资源控制与调度，负责网络的链路发现拓扑管理、状态监测和策略制定并下发流表，并将监测到的信息供DDoS攻击检测与缓解系统查询；SDN控制器上运行联合调度器负责工业接入网络系统管理器进行交互，负责工业接入网络的数据传输路径和资源信息的计算和决策；
工业接入网络系统管理器负责配置工业接入网网络属性、管理路由表、调度设备间的通信、监视网络性能和安全管理；负责管理网络中设备的运行以及整个无线网络的通信，包括设备入网和离网、网络故障的监控与报告和通信配置管理；
工业SDN网络DDoS攻击检测与缓解系统包括检测和缓解两个模块：检测模块根据SDN控制器状态监测信息，分析工业网络发给OpenFlow交换机的实时数据并提取相应数据特征，判断是否受到DDoS攻击，并将判断结果报告给DDoS攻击缓解系统；缓解模块负责快速响应网络中的DDoS攻击情况，通过SDN控制器对工业网络中的流量进行调度；
所述转发平面包括工业回程网络OF交换机和工业接入网网络设备；
其中，OF交换机位于工业回程网中，依靠SDN控制器的全局视图功能，用于实现灵活、高效的配置工业回程网；
工业接入网络网络设备是工业接入网络的网络传输物理实体，提供工业接入网络系统管理器进行管理和配置，从而达到工业接入网络系统管理器所需要的网络功能；包括工业接入网络边界路由器，负责将报文处理后，转发给工业回程网络。
进一步，所述步骤S2具体为：当接入网络路由设备向边界路由发送数据包时，网关支持工业有线和工业无线协议转换为IPv4或IPv6协议，保留原始数据的以下特征：接入网络类型、网络协议、PAN_ID、工作信道、源MAC地址、目的MAC地址和源设备ID。
进一步，所述步骤S3具体为：扩展OpenFlow交换机流表项匹配域，增加扩展域实现OpenFlow交换机能够更精确的匹配来自工业接入网络的数据包；扩展域包括：
接入网络类型：用于标记工业接入网络是有线网络还是无线网络；
网络协议：用于标记工业接入网络的网络协议；
PAN_ID：用于标记个域网的ID；
工作信道：用于标记数据来自于无线接入网络时候的该数据传输所涉及的信道；
无线网络源MAC地址：标记数据来源的MAC地址；
无线网络目的MAC地址：标记数据目的地的MAC地址；
源设备ID：标记数据来源的ID。
OF交换机入网后，控制器获取链路状态，主动地向交换机下发扩展后的流表。
进一步，所述步骤S4具体为：
当数据流与流表中的匹配域匹配时，流表项每匹配一次则流表项中计数器计数一次；
当数据流与流表中的匹配域不匹配时，OF交换机则先将其缓存在缓冲区，再提取其包头封装成packet-in消息，若缓冲区已满则直接将整个数据包封装成packet-in消息，发给SDN控制器并由SDN控制器分析及决策，然后通过下发flow-mod或packet-out消息进行处理。
进一步，所述步骤S5具体为：
S501：SDN控制器查询单位时间内每个流表项的匹配数据流个数M，控制器根据经验值 设定单位时间内每个流表项的正常数据流匹配个数为M*，计算M-M*＝ΔM；
S502：SDN控制器查询单位时间内Packet-in消息数量N，以及单位时间内flow-mod与packet-out消息数量之和N*，计算N-N*＝ΔN；
S503：若某一流表项的ΔM超过阈值，则该流表项被SDN控制器标记为可疑流表项；
S504：若当前OF交换机发给SDN控制器的ΔN超过阈值，则SDN控制器判断出现数据流异常；
S505：工业回程网OF交换机流表不匹配偏差容忍度ΔM和ΔN，由用户通过防DDoS攻击应用管理软件进行设定；
S506：SDN控制器将可疑流表项报告给DDoS攻击检测与缓解系统；
S507：SDN控制器将携带接入网络类型、网络协议、PAN_ID、工作信道、源MAC地址、目的MAC地址和源设备ID信息的Packet-in消息报告给DDoS攻击检测与缓解系统；由DDoS攻击检测与缓解系统判断该Packet-in是正常流量、正常爆发流量、DDoS攻击流量还是L-DDoS攻击流量引起的。
进一步，在步骤S6中，所述DDoS攻击检测与缓解系统对可疑流表项进行处理具体为：DDoS攻击检测与缓解系统将可疑流表项信息通知工业接入网络系统管理器，工业接入网络系统管理器将重新分配网络资源，并制定相应的缓解攻击策略，阻断工业接入网络内部DDoS攻击源设备的继续通信。
进一步，在步骤S6中，所述DDoS攻击检测与缓解系统对Packet-in进行识别处理具体为：
S601：数据样本训练建模：DDoS攻击检测与缓解系统对工业接入网络和工业回程网络的正常数据进行训练建模，引入工业网络特征后，对网络中的包含正常流量、正常爆发流量、DDoS攻击流量及L-DDoS攻击流量的数据样本进行训练建模，具体过程为：
S601-1：按照C4.5决策树算法，选取不匹配偏差容忍度ΔM及ΔN作为根节点；
S601-2：根据工业接入网络流量特征表现取值表，将流量特征模糊离散处理为三种特征程度值X、Y和Z；
当流量特征为IPv6/IPv4源地址时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
当流量特征为TCP源端口时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
当流量特征为UDP源端口时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机 强；
当流量特征为网络协议时，特征表现X为接入网络协议，Y为空，Z为未知协议；
当流量特征为源设备ID时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
当流量特征为源MAC地址时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
当流量特征为工作信道时，特征表现X为该信道质量高，Y为该信道质量中，Z为该信道质量低；
当流量特征为ΔM和ΔN时，特征表现X为都在阈值内，Y为其中一个在阈值内，Z为都不在阈值内；
统计数据流样本并对X、Y和Z取值；
S601-3：生成决策树；
1)根节点X方向上的属性选择方法为：
1a)纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面X方向的子节点；
1b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面X方向的子节点；
1c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面X方向的子节点；
1d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面X方向的子节点；
2)根节点Y方向上的属性选择方法为：
2a)纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面Y方向的子节点；
2b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面Y方向的子节点；
2c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面Y方向的子节点；
2d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面Y方向的子节点；
3)根节点Z方向上的属性选择方法为：
3a)纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面Z方向的子节点；
3b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面Z方向的子节点；
3c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面Z方向的子节点；
3d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面Z方向的子节点；
至此，根节点下X、Y、Z分支的属性分类完成，形成第二层节点；
第三层节点的生成方式和第二层节点的生成方式相同，分别生成和选择第二层节点的X、Y、Z方向的属性；以此类推，完成正常流量、正常爆发流量、DDoS攻击流量及L-DDoS攻击流量4个数据分类子集决策树模型的生成；
S602：DDoS攻击检测与缓解系统攻击识别：将packet-in信息放入S701中的训练样本模型中进行判断，得到该packet-in信息属于的分类；
S603：DDoS攻击检测与缓解系统的处理：
S603-1：DDoS攻击检测与缓解系统通过S701、S702识别出的缓存在OF交换机中的正常数据流以及正常爆发流量，通过SDN控制器下发扩展后的流表，使缓存在OF交换机中的数据流被转发；未缓存在OF交换机的正常数据流则将其直接通过OF交换机输出端口转发出去；将识别出的DDoS攻击数据流，L-DDoS攻击数据流记录下相关特征，并将这些特征写入“缓解攻击专用流表项”中，其优先级被设为最高，下发给OF交换机流表0中，及时阻断攻击源继续发过来的数据包；
S603-2：DDoS攻击检测与缓解系统通知工业回程网SDN控制器来自接入网络的DDoS攻击相关信息，包括攻击源所在的源MAC地址、源网络设备ID、工作信道和PAN_ID；
S603-3：SDN控制器将攻击数据流的信息告知与之协同工作的工业接入网络系统管理器，工业接入网络系统管理器将重新分配网络资源，并制定相应的缓解攻击策略，阻断工业接入网络内部DDoS攻击源设备的继续通信；
S603-4：当SDN控制器读取到OF交换机ΔM和ΔN均在正常阈值范围内，判断为DDoS攻击结束，删除“缓解攻击专用流表项”，控制器重新获取拓扑信息，先主动向OF交换机发送修改流表信息更新流表，然后再采用被动下发流表方式工作。
本发明的有益效果在于：
(1)本发明基于SDN的工业接入网络联合调度架构，定义了缓解DDoS攻击专用流表项以及时抵御攻击数据流。引入DDoS攻击检测与缓解系统，制定针对控制器两种流表下发模式结合使用时遭受DDoS攻击的相应检测与缓解方法；
(2)本发明在检测DDoS攻击时充分考虑满足工业接入网络数据包的特征，并对OpenFlow定义的流表项匹配域进行扩展，使不支持IP的工业接入网络更好地得到兼容，并进行流表匹配。并在缓解DDoS攻击时首要保证工业网络数据实时性这一需求，确保工业接入网络数据传输的高可靠、低时延；
(3)本发明采用机器学习方法与统计对比方法结合使用，进行DDoS攻击异常流量的识别，相比传统DDoS检测方法更准确快捷。
附图说明
为了使本发明的目的、技术方案和有益效果更加清楚，本发明提供如下附图进行说明：
图1为基于SDN的联合调度架构下工业网络DDoS检测系统架构；
图2为DDoS攻击检测与缓解机制流程图；
图3为基于SDN的工业回程网联合调度架构的DDoS攻击产生过程；
图4为扩展后的OpenFlow流表项结构；
图5为数据分类决策树模型；
图6为实例WIA-PA网络训练流量分类决策树模型。
具体实施方式
下面将结合附图，对本发明的优选实施例进行详细的描述。
针对典型的基于SDN的工业回程网络架构，提出一种基于SDN的联合调度架构下工业网络DDoS检测与缓解架构，如图1所示，包括应用平面、控制平面和转发平面。
应用平面包括SDN控制器控制软件和防DDoS攻击应用管理软件。
●SDN控制器控制软件：用户通过该软件配置SDN控制器。
●防DDoS攻击应用管理软件：可支持安全人员根据网络DDoS攻击特点，制定相应的防御策略，保证网络安全运行。
控制平面包括SDN控制器、工业接入网络系统管理器以及工业SDN网络DDoS攻击检测与缓解系统。
●SDN控制器负责工业回程网络的资源控制与调度，负责网络的链路发现拓扑管理、状态监测和策略制定并下发流表，并将监测到的信息供DDoS攻击检测与缓解系统查询。SDN 控制器上运行联合调度器负责工业接入网络系统管理器进行交互，负责工业接入网络的数据传输路径和资源信息的计算和决策；
●工业接入网络系统管理器，负责配置工业接入网网络属性、管理路由表、调度设备间的通信、监视网络性能和安全管理。负责管理网络中设备的运行以及整个无线网络的通信，包括设备入网和离网、网络故障的监控和报告、通信配置管理等。
●工业SDN网络DDoS攻击检测与缓解系统包括检测和缓解两个模块：
●检测模块根据SDN控制器状态监测信息，分析工业网络发给OpenFlow交换机的实时数据并提取相应数据特征，判断是否受到DDoS攻击，并将判断结果报告给DDoS攻击缓解系统；
●缓解模块负责快速响应网络中的DDoS攻击情况，通过SDN控制器对工业网络中的流量进行调度。
转发平面包括工业回程网络OF交换机、工业接入网网络设备。
●OF交换机位于工业回程网中，依靠SDN控制器的全局视图功能，实现灵活、高效的配置工业回程网。
●工业接入网络网络设备是工业接入网络的网络传输物理实体，提供工业接入网络系统管理器进行管理和配置，从而达到工业接入网络系统管理器所需要的网络功能。
●工业接入网络边界路由器，是接入网络网络设备的一种，负责将报文处理后，转发给工业回程网络。
基于上述架构，本发明提出一种基于SDN的联合调度架构下工业回程网和工业接入网络的DDoS攻击检测与缓解方法。
工业SDN网络DDoS攻击检测和缓解过程如图2所示。本发明提出的攻击检测与缓解机制如下：
1.网络正常工作，工业接入网络转交工业回程网络数据报文
工业接入网络的形态和协议多样，既有有线接入网络(Modbus、FF等)，又存在无线接入网络(WIA-PA、ISA100.11a等)，通过边界路由器转发给回程网络时，一般不会保留数据的全部原始特征。如一个无线接入网络节点采集到的数据，到达边界后，一般只保留节点ID及采集到的数据值，由边界路由进行转发。
这就给攻击者利用工业接入网络的节点发起DDoS攻击提供了条件。因为工业节点ID并不能通过OpenFlow协议进行流表匹配，所以只能定位到边界路由，很难具体定位被DDoS攻击的节点。
基于此，为实现本发明所述方法的对接入网络的DDoS攻击检测，需一种对工业接入网络转交工业回程网络的数据报文进行如下改进：
当接入网络路由设备向边界路由发送数据包时，网关支持工业有线和工业无线协议转换为IPv4或IPv6协议，但需要保留原始数据的以下特征：接入网络类型、网络协议、PAN_ID、工作信道、源MAC地址、目的MAC地址和源设备ID。例如：将WIA-PA协议转换为IPv6协议，并保留原始数据包中应显示该数据来自无线接入网络、协议为WIA-PA、PAN_ID、工作信道、源MAC地址、目的MAC地址、源设备ID等信息在转换后的IPv6协议数据负载中，供跨域传输时工业回程网中OF交换机流表匹配使用。
2.改进并扩展OpenFlow流表项
如图3所示，在工业接入网络(如WIA-PA网络、ISA100.11a网络)中的路由设备被攻击者作为傀儡设备，向接入网络中发送大量虚假数据包，当某些攻击数据包通过工业回程网跨域传输时，因匹配失败造成SDN控制器不能正常工作。
为保证不支持IP的工业无线网络协议(如WIA-PA)能更好地得到OpenFlow交换机的兼容，本发明对传统OpenFlow流表进行修改为：主要是扩展OpenFlow交换机流表项匹配域，增加扩展域实现OpenFlow交换机能够更精确的匹配来自工业接入网络的数据包。图4为扩展的流表项结构，扩展域包括：
接入网络类型：用于标记工业接入网络是有线网络还是无线网络；
网络协议：用于标记工业接入网络的网络协议，如WIA-PA、ISA100.11a、WirelessHART等；
PAN_ID：用于标记个域网的ID；
工作信道：用于标记数据来自于无线接入网络时候的该数据传输所涉及的主要信道；
无线网络源MAC地址：标记数据来源的MAC地址；
无线网络目的MAC地址：标记数据目的地的MAC地址；
源设备ID：标记数据来源的ID。
OF交换机入网后，控制器获取链路状态，主动地向交换机下发图4所示的扩展后的流表。
3.数据经过OF交换机时，OF交换机的工作机制：
数据经过OF交换机时，进行流表匹配。存在匹配和不能匹配两种情况：
匹配：数据流根据流表中的匹配域进行匹配转发，流表项每匹配一次则流表项中计数器计数一次。
不能匹配：数据流表无法匹配数据流，交换机则先将其缓存在缓冲区，再提取其包头封 装成packet-in消息，若缓冲区已满则直接将整个数据包封装成packet-in消息，发给SDN控制器并由SDN控制器分析及决策，然后通过下发flow-mod或packet-out消息进行处理。
4.SDN控制器查询OF交换机的匹配情况并标记可疑流表项，并报告Packet-in消息
SDN控制器查询单位时间内每个流表项的匹配数据流个数M，控制器根据经验值设定单位时间内每个流表项的正常数据流匹配个数为M *,计算M-M *＝ΔM。
SDN控制器查询单位时间内Packet-in消息数量N，以及单位时间内flow-mod与packet-out消息数量之和N *，计算N-N *＝ΔN。
若某一流表项的ΔM超过阈值，则该流表项被SDN控制器标记为可疑流表项。
若当前OF交换机发给SDN控制器的ΔN超过阈值，则SDN控制器判断出现数据流异常。
工业回程网OF交换机流表不匹配偏差容忍度ΔM和ΔN，由用户通过防DDoS攻击应用管理软件进行设定。
SDN控制器将可疑流表项报告给DDoS攻击检测与缓解系统。
SDN控制器将携带接入网络类型、网络协议、PAN_ID、工作信道、源MAC地址、目的MAC地址和源设备ID信息的Packet-in消息报告给DDoS攻击检测与缓解系统。由DDoS攻击检测与缓解系统判断该Packet-in是正常流量、正常爆发流量、DDoS攻击流量或是L-DDoS攻击流量引起的。以下分两个方面介绍DDoS攻击检测与缓解系统对可疑流表项报告的处理过程和对Packet-in的处理过程：
5.DDoS攻击检测与缓解系统对于可疑流表项的处理过程
DDoS攻击检测与缓解系统将可疑流表项信息通知工业接入网络系统管理器，工业接入网络系统管理器将重新分配网络资源，并制定相应的缓解攻击策略，阻断工业接入网络内部DDoS攻击源设备的继续通信。
6.DDoS攻击检测与缓解系统对Packet-in的识别处理过程
a)数据样本训练建模过程
DDoS攻击检测与缓解系统需要对工业接入网络和工业回程网络的正常数据进行训练建模。引入工业网络特征后，对网络中的包含正常流量、正常爆发流量、DDoS攻击流量及L-DDoS攻击流量的数据样本进行训练建模过程如下：
第一步：按照C4.5决策树算法，选取属性“ΔM及ΔN”作为根节点。
第二步：根据工业接入网络流量特征表现取值表，将流量特征模糊离散处理为三种特征程度值(X，Y，Z)。
表1 工业接入网络流量特征表现取值表
Figure PCTCN2018078082-appb-000001
统计数据流样本按照表2、表3和表4所示的X、Y和Z取值；
表2 根节点取X时的数据样本取值表
Figure PCTCN2018078082-appb-000002
表3 根节点取Y时的数据样本取值表
Figure PCTCN2018078082-appb-000003
表4 根节点取Z时的数据样本取值表
Figure PCTCN2018078082-appb-000004
第三步：生成决策树
1)根节点X方向上的属性选择方法：
a)按照表2中，纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属 性作为根节点下面X方向的子节点。
b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面X方向的子节点。
c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面X方向的子节点。
d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面X方向的子节点。
2)根节点Y方向上的属性选择方法：
a)按照表3中，纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面Y方向的子节点。
b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面Y方向的子节点。
c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面Y方向的子节点。
d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面Y方向的子节点。
3)根节点Z方向上的属性选择方法：
a)按照表4中，纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面Z方向的子节点。
b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面Z方向的子节点。
c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面Z方向的子节点。
d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面Z方向的子节点。
至此，根节点下X、Y、Z分支的属性分类完成，形成第二层节点。第三层节点的生成方式和第二层节点的生成方式类似，分别生成和选择第二层节点的X、Y、Z方向的属性。以此类推，完成4个数据分类子集(正常流量、正常爆发流量、DDoS攻击流量及L-DDoS攻击流量)决策树模型的生成，如图5所示。
b)DDoS攻击检测与缓解系统攻击识别过程
将packet-in信息放入a)中的训练样本模型中进行判断，得到该packet-in信息属于哪个分类。
c)DDoS攻击检测与缓解系统的处理过程
第一步：DDoS攻击检测与缓解系统通过上述a)、b)所述过程识别出的缓存在OF交换机中的正常数据流以及正常爆发流量，通过SDN控制器下发扩展后的流表，使缓存在OF交换机中的数据流被转发；未缓存在OF交换机的正常数据流则将其直接通过OF交换机输出端口转发出去。而将识别出的DDoS攻击数据流，L-DDoS攻击数据流记录下相关特征，并将这些特征写入“缓解攻击专用流表项”中，其优先级被设为最高，下发给OF交换机流表0中，及时阻断攻击源继续发过来的数据包；
第二步：DDoS攻击检测与缓解系统通知工业回程网SDN控制器来自接入网络的DDoS攻击相关信息，如攻击源所在的源MAC地址、源网络设备ID、工作信道、PAN_ID等；
第三步：SDN控制器将攻击数据流的信息告知与之协同工作的工业接入网络系统管理器，工业接入网络系统管理器将重新分配网络资源，并制定相应的缓解攻击策略，阻断工业接入网络内部DDoS攻击源设备的继续通信；
第四步：当SDN控制器读取到OF交换机ΔM和ΔN均在正常阈值范围内，判断为DDoS攻击结束，删除“缓解攻击专用流表项”，控制器重新获取拓扑信息，先主动向OF交换机发送修改流表信息更新流表，然后再采用被动下发流表方式工作。
针对工业无线网络WIA-PA网络接入回程网络后爆发DDoS攻击的情况，具体方式为：
1.网络正常工作，WIA-PA网络转交工业回程网络数据报文
WIA-PA网络数据发给边界路由器时，将WIA-PA协议转换为IPv4或IPv6协议，并保留原始数据包中显示该数据来自无线接入网络、协议为WIA-PA、PAN_ID、工作信道、源MAC地址、目的MAC地址、源设备ID等信息在转换后的IPv4或IPv6协议数据负载中，供跨域传输时工业回程网中OF交换机流表匹配使用。
2.改进并扩展OpenFlow流表项
在WIA-PA网络中的路由设备被攻击者作为傀儡设备，攻击者向此设备发送虚假数据包，造成跨域传输的攻击数据流匹配不上工业回程网的OF交换机中的流表，使得OF交换机转发效率降低，进一步因OF交换机询问SDN控制器发送的大量packet-in消息，使得SDN控制器宕机。
为保证不支持IP的WIA-PA协议能更好地得到OpenFlow交换机的兼容，本发明对传统OpenFlow流表进行修改如下：
针对WIA-PA协议扩展后的流表项结构，扩展域包括：接入网络类型：标记为工业无线网络。网络协议：标记为WIA-PA网络协议。其余扩展域内容保持根据实际情况进行配置。
3.数据经过OF交换机时，OF交换机的工作机制：
WIA-PA网络数据经过OF交换机时，进行流表匹配。存在匹配和不能匹配两种情况：
匹配：WIA-PA网络数据根据流表中的匹配域进行匹配转发，流表项每匹配一次则流表项中计数器计数一次。
不能匹配：OF交换机流表无法匹配的WIA-PA网络数据流，交换机先将其缓存在缓冲区，再提取其包头封装成packet-in消息，若缓冲区已满则直接将整个数据包封装成packet-in消息，发给SDN控制器并由SDN控制器分析及决策，然后通过下发flow-mod或packet-out消息进行处理。
4.SDN控制器查询OF交换机的匹配情况并标记可疑流表项，并报告Packet-in消息
SDN控制器查询单位时间内每个流表项的匹配数据流个数M，控制器根据经验值设定单位时间内每个流表项的正常数据流匹配个数为M *,计算M-M *＝ΔM。
SDN控制器查询单位时间内Packet-in消息数量N，以及单位时间内flow-mod与packet-out消息数量之和N *，计算N-N *＝ΔN。
若某一流表项的ΔM超过阈值，则该流表项被SDN控制器标记为可疑流表项。
若当前OF交换机发给SDN控制器的ΔN超过阈值，则SDN控制器判断出现数据流异常。
工业回程网OF交换机数据不匹配偏差容忍度为ΔM和ΔN，由用户通过防DDoS攻击应用管理软件进行设定。
SDN控制器将可疑流表项报告给DDoS攻击检测与缓解系统。
SDN控制器将携带接入网络类型、网络协议、PAN_ID、工作信道、源MAC地址、目的MAC地址和源设备ID信息的Packet-in消息报告给DDoS攻击检测与缓解系统。由DDoS攻击检测与缓解系统判断该Packet-in是正常流量、正常爆发流量、DDoS攻击流量或是L-DDoS攻击流量引起的。
以下分两个方面介绍DDoS攻击检测与缓解系统对可疑流表项报告的处理过程和对Packet-in的处理过程：
1.DDoS攻击检测与缓解系统对于可疑流表项的处理过程
DDoS攻击检测与缓解系统将可疑流表项信息通知WIA-PA网络系统管理器，WIA-PA网络系统管理器将重新分配网络资源，并制定相应的缓解攻击策略，阻断WIA-PA网络内部DDoS攻击源设备的继续通信。
2.DDoS攻击检测与缓解系统对Packet-in的识别处理过程
a)数据样本训练建模过程
DDoS攻击检测与缓解系统需要对WIA-PA网络和工业回程网络的正常数据进行训练建模。引入工业网络特征后，对网络中的包含正常流量、正常爆发流量、DDoS攻击流量及L-DDoS攻击流量的数据样本进行训练建模过程如下：
第一步：按照C4.5决策树算法，选取属性“ΔM及ΔN”作为根节点。
第二步：根据WIA-PA网络流量特征表现取值表，将流量特征模糊离散处理为三种特征程度值(X，Y，Z)。
表5 工业接入网络流量特征表现取值表
Figure PCTCN2018078082-appb-000005
表6是具体的数据流样本信息，挑选20个样本进行说明。
表6 20个数据流样本
Figure PCTCN2018078082-appb-000006
Figure PCTCN2018078082-appb-000007
以上述WIA-PA网络流量数据集样本为例，利用C4.5决策树算法，进行根节点属性选取，具体过程如下：
1)计算20个样本的信息熵，样本S分为四类(正常流5个，正常爆发流5个，DDoS攻击流5个，L-DDoS攻击流5个)
Figure PCTCN2018078082-appb-000008
2)分别计算按不同属性对S的划分信息熵
A＝流表项匹配个数、Packet-in数量S＝{S 1,S 2,S 3}＝{X(5+3),Y(3+2),Z(5+2)}
Figure PCTCN2018078082-appb-000009
3)计算以流量种类划分信息增益
Gain(S，A)＝Entropy(S)-Entropy A(S)＝2-0.9267＝1.0733
4)计算分裂信息
Figure PCTCN2018078082-appb-000010
5)计算信息增益率
Figure PCTCN2018078082-appb-000011
重复步骤2)-5)，同理计算按其他属性划分的信息增益率
GainRatio(源IP地址)＝0.2404
GainRatio(TCP源端口)＝0.0901
GainRatio(UDP源端口)＝0.275
GainRatio(工业无线网络协议)＝0.1384
GainRatio(工业无线源网络设备ID)＝0.1216
GainRatio(工业无线网络源MAC地址)＝0.2511
GainRatio(工作信道质量)＝0.3608
由比较得出“ΔM和ΔN”增益率最大，将其作为根节点。决策树算法含有大量对数运算，样本数据足够多的情况会使得时间开销较大，因此，在选取叶子节点的时候，不再计算信息增益率，而是简单地采用全样本中单个数据流特征纵向对比统计数值，快速得出子节点。
根节点下有三个分支(X、Y、Z)，以根节点下X的分支节点计算为例，具体步骤如下：
1)将完整的20个数据流样本按根节点的取值(X、Y、Z)分支，分割出三个子样本(X＝8个，Y＝5个，Z＝7个)，子样本1(X＝8个)如下表7所示；
表7 子样本数据集
Figure PCTCN2018078082-appb-000012
2)纵向统计8个样本数据编号1-7数据流特征取值中Z出现的次数{Z 1,Z 2,Z 3,Z 4,Z 5,Z 6,Z 7}＝{1,0,1,2,0,1,2}，其中Z 4和Z 7均为2，则随机选取第7个数据流特征属性“工作信道”作为该分支下的决策子节点；
3)在“工作信道”子节点下，根据分支条件(X、Y、Z)又将分割出三个子样本(X＝3个，Y＝3个，Z＝2个)，此时子样本1(X＝3个)和子样本3(Z＝2个)只在一种类别中出现，即已得出数据流类别，则不再继续往下分支；
4)反之，步骤3中子样本2(Y＝3个)在两种数据流类别中均出现，则继续往下分支，纵向统计样本数据编号为12、13、19的余下1-6数据流特征值中Z值出现次数{Z 1,Z 2,Z 3,Z 4, Z 5,Z 6}＝{0,0,0,1,0,1}，因此随机选择第6个数据流特征属性“源MAC地址”作为决策子节点；
5)在“源MAC地址”子节点下，根据分支条件分割出三个子样本(Y＝2个，Z＝1个)，两个样本均只在一种类别出现，不再继续分支，得出数据流类别；
6)至此，根节点下X分支的流量分类完成。
根节点下Y、Z的分支节点计算与上述过程相同，X、Y、Z分支的流量分类过程同步进行，最终，得出如下图6所示的流量分类决策树模型。
在图6中的决策树模型建立过程中，根节点下按照流量特征属性程度取值X、Y、Z进行分支，再分别统计X、Y、Z下的样本情况，若某个值下的流个数为0则减少一个分支，直到最终得出流类型。靠近根节点的每一层子节点选取时，节点属性可重复，但从根节点向下的每一条决策路径上的子节点属性不可重复。样本数据越多，分支层数越多，但最多只有8层(与选取的流量特征属性个数一致)。
表8是SDN控制器获取的实时packet-in数据流，通过与上述的流量分类决策树模型进行对比分析，得出packet-in数据流类型。
表8 实时packet-in数据流
Figure PCTCN2018078082-appb-000013
SDN控制器根据表8所示结论，对packet-in数据进行处理，处理方式如下：
针对表8中编号为1、4两个正常数据流，以及编号为2、3两个正常爆发数据流，SDN控制器将其中缓存在OF交换机中的数据流通过下发流表来转发，而SDN控制器将其中未缓存在OF交换机中的数据流直接通过输出端口转发出去。
针对表8中编号为5、6、7三个攻击数据流，SDN控制器将其特征写入“缓解攻击专用流表项”中，下发给OF交换机流表0中，设优先级为最高，及时阻断攻击源继续发送的数据报文。
最后说明的是，以上优选实施例仅用以说明本发明的技术方案而非限制，尽管通过上述优选实施例已经对本发明进行了详细的描述，但本领域技术人员应当理解，可以在形式上和细节上对其作出各种各样的改变，而不偏离本发明权利要求书所限定的范围。

Claims (8)

  1. 一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：该方法包括以下步骤：
    S1：建立基于SDN的联合调度架构下工业网络DDoS检测与缓解系统架构；
    S2：网络正常工作，工业接入网络转交工业回程网络数据报文；
    S3：改进并扩展OpenFlow流表项；
    S4：数据经过OF交换机时，进行流表匹配；
    S5：SDN控制器查询OF交换机的匹配情况并标记可疑流表项，并报告Packet-in消息；
    S6：DDoS攻击检测与缓解系统对可疑流表项进行处理或对Packet-in进行识别处理。
  2. 根据权利要求1所述的一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：在步骤S1中，所述基于SDN的联合调度架构下工业网络DDoS检测系统架构包括应用平面、控制平面和转发平面；
    所述应用平面包括SDN控制器控制软件和防DDoS攻击应用管理软件；
    其中，SDN控制器控制软件用于用户配置SDN控制器；
    防DDoS攻击应用管理软件用于支持安全人员根据网络DDoS攻击特点，制定相应的防御策略，保证网络安全运行；
    所述控制平面包括SDN控制器、工业接入网络系统管理器和工业SDN网络DDoS攻击检测与缓解系统；
    其中，SDN控制器负责工业回程网络的资源控制与调度，负责网络的链路发现拓扑管理、状态监测和策略制定并下发流表，并将监测到的信息供DDoS攻击检测与缓解系统查询；SDN控制器上运行联合调度器负责工业接入网络系统管理器进行交互，负责工业接入网络的数据传输路径和资源信息的计算和决策；
    工业接入网络系统管理器负责配置工业接入网网络属性、管理路由表、调度设备间的通信、监视网络性能和安全管理；负责管理网络中设备的运行以及整个无线网络的通信，包括设备入网和离网、网络故障的监控与报告和通信配置管理；
    工业SDN网络DDoS攻击检测与缓解系统包括检测和缓解两个模块：检测模块根据SDN控制器状态监测信息，分析工业网络发给OpenFlow交换机的实时数据并提取相应数据特征，判断是否受到DDoS攻击，并将判断结果报告给DDoS攻击缓解系统；缓解模块负责快速响应网络中的DDoS攻击情况，通过SDN控制器对工业网络中的流量进行调度；
    所述转发平面包括工业回程网络OF交换机和工业接入网网络设备；
    其中，OF交换机位于工业回程网中，依靠SDN控制器的全局视图功能，用于实现灵活、高效的配置工业回程网；
    工业接入网络网络设备是工业接入网络的网络传输物理实体，提供工业接入网络系统管理器进行管理和配置，从而达到工业接入网络系统管理器所需要的网络功能；包括工业接入网络边界路由器，负责将报文处理后，转发给工业回程网络。
  3. 根据权利要求1所述的一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：所述步骤S2具体为：当接入网络路由设备向边界路由发送数据包时，网关支持工业有线和工业无线协议转换为IPv4或IPv6协议，保留原始数据的以下特征：接入网络类型、网络协议、PAN_ID、工作信道、源MAC地址、目的MAC地址和源设备ID。
  4. 根据权利要求1所述的一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：所述步骤S3具体为：扩展OpenFlow交换机流表项匹配域，增加扩展域实现OpenFlow交换机能够更精确的匹配来自工业接入网络的数据包；扩展域包括：
    接入网络类型：用于标记工业接入网络是有线网络还是无线网络；
    网络协议：用于标记工业接入网络的网络协议；
    PAN_ID：用于标记个域网的ID；
    工作信道：用于标记数据来自于无线接入网络时候的该数据传输所涉及的信道；
    无线网络源MAC地址：标记数据来源的MAC地址；
    无线网络目的MAC地址：标记数据目的地的MAC地址；
    源设备ID：标记数据来源的ID；
    OF交换机入网后，控制器获取链路状态，主动地向交换机下发扩展后的流表。
  5. 根据权利要求1所述的一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：所述步骤S4具体为：
    当数据流与流表中的匹配域匹配时，流表项每匹配一次则流表项中计数器计数一次；
    当数据流与流表中的匹配域不匹配时，OF交换机则先将其缓存在缓冲区，再提取其包头封装成packet-in消息，若缓冲区已满则直接将整个数据包封装成packet-in消息，发给SDN控制器并由SDN控制器分析及决策，然后通过下发flow-mod或packet-out消息进行处理。
  6. 根据权利要求1所述的一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：所述步骤S5具体为：
    S501：SDN控制器查询单位时间内每个流表项的匹配数据流个数M，控制器根据经验值设定单位时间内每个流表项的正常数据流匹配个数为M*，计算M-M*＝ΔM；
    S502：SDN控制器查询单位时间内Packet-in消息数量N，以及单位时间内flow-mod与packet-out消息数量之和N*，计算N-N*＝ΔN；
    S503：若某一流表项的ΔM超过阈值，则该流表项被SDN控制器标记为可疑流表项；
    S504：若当前OF交换机发给SDN控制器的ΔN超过阈值，则SDN控制器判断出现数据流异常；
    S505：工业回程网OF交换机流表不匹配偏差容忍度ΔM和ΔN，由用户通过防DDoS攻击应用管理软件进行设定；
    S506：SDN控制器将可疑流表项报告给DDoS攻击检测与缓解系统；
    S507：SDN控制器将携带接入网络类型、网络协议、PAN_ID、工作信道、源MAC地址、目的MAC地址和源设备ID信息的Packet-in消息报告给DDoS攻击检测与缓解系统；由DDoS攻击检测与缓解系统判断该Packet-in是正常流量、正常爆发流量、DDoS攻击流量还是L-DDoS攻击流量引起的。
  7. 根据权利要求1所述的一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：在步骤S6中，所述DDoS攻击检测与缓解系统对可疑流表项进行处理具体为：DDoS攻击检测与缓解系统将可疑流表项信息通知工业接入网络系统管理器，工业接入网络系统管理器将重新分配网络资源，并制定相应的缓解攻击策略，阻断工业接入网络内部DDoS攻击源设备的继续通信。
  8. 根据权利要求1所述的一种工业SDN网络DDoS攻击检测与缓解方法，其特征在于：在步骤S6中，所述DDoS攻击检测与缓解系统对Packet-in进行识别处理具体为：
    S601：数据样本训练建模：DDoS攻击检测与缓解系统对工业接入网络和工业回程网络的正常数据进行训练建模，引入工业网络特征后，对网络中的包含正常流量、正常爆发流量、DDoS攻击流量及L-DDoS攻击流量的数据样本进行训练建模，具体过程为：
    S601-1：按照C4.5决策树算法，选取不匹配偏差容忍度ΔM及ΔN作为根节点；
    S601-2：根据工业接入网络流量特征表现取值表，将流量特征模糊离散处理为三种特征程度值X、Y和Z；
    当流量特征为IPv6/IPv4源地址时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
    当流量特征为TCP源端口时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
    当流量特征为UDP源端口时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
    当流量特征为网络协议时，特征表现X为接入网络协议，Y为空，Z为未知协议；
    当流量特征为源设备ID时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
    当流量特征为源MAC地址时，特征表现X为已知常见，Y为变化随机弱，Z为变化随机强；
    当流量特征为工作信道时，特征表现X为该信道质量高，Y为该信道质量中，Z为该信道质量低；
    当流量特征为ΔM和ΔN时，特征表现X为都在阈值内，Y为其中一个在阈值内，Z为都不在阈值内；
    统计数据流样本并对X、Y和Z取值；
    S601-3：生成决策树；
    1)根节点X方向上的属性选择方法为：
    1a)纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面X方向的子节点；
    1b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面X方向的子节点；
    1c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面X方向的子节点；
    1d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面X方向的子节点；
    2)根节点Y方向上的属性选择方法为：
    2a)纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面Y方向的子节点；
    2b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面Y方向的子节点；
    2c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面Y方向的子节点；
    2d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面Y方向的子节点；
    3)根节点Z方向上的属性选择方法为：
    3a)纵向统计数据流特征取值中Z出现次数，取Z出现次数最多对应的属性作为根节点下面Z方向的子节点；
    3b)若均无Z，则统计比较Y出现次数，取Y出现次数最多对应的属性作为根节点下面Z方向的子节点；
    3c)若均无Y，则统计比较X出现次数，取X出现次数最多对应的属性作为根节点下面Z方向的子节点；
    3d)若两个以上属性的Z、Y和X出现次数相同，则随机选取一个属性作为根节点下面Z方向的子节点；
    至此，根节点下X、Y、Z分支的属性分类完成，形成第二层节点；
    第三层节点的生成方式和第二层节点的生成方式相同，分别生成和选择第二层节点的X、Y、Z方向的属性；以此类推，完成正常流量、正常爆发流量、DDoS攻击流量及L-DDoS攻击流量4个数据分类子集决策树模型的生成；
    S602：DDoS攻击检测与缓解系统攻击识别：将packet-in信息放入S701中的训练样本模型中进行判断，得到该packet-in信息属于的分类；
    S603：DDoS攻击检测与缓解系统的处理：
    S603-1：DDoS攻击检测与缓解系统通过S701、S702识别出的缓存在OF交换机中的正常数据流以及正常爆发流量，利用SDN控制器使缓存在OF交换机中的数据流被转发；未缓存在OF交换机的正常数据流则将其直接通过OF交换机输出端口转发出去；将识别出的DDoS攻击数据流，L-DDoS攻击数据流记录下相关特征，并将这些特征写入“缓解攻击专用流表项”中，其优先级被设为最高，下发给OF交换机流表0中，及时阻断攻击源继续发过来的数据包；
    S603-2：DDoS攻击检测与缓解系统通知工业回程网SDN控制器来自接入网络的DDoS攻击相关信息，包括攻击源所在的源MAC地址、源网络设备ID、工作信道和PAN_ID；
    S603-3：SDN控制器将攻击数据流的信息告知与之协同工作的工业接入网络系统管理器，工业接入网络系统管理器将重新分配网络资源，并制定相应的缓解攻击策略，阻断工业接入网络内部DDoS攻击源设备的继续通信；
    S603-4：当SDN控制器读取到OF交换机ΔM和ΔN均在正常阈值范围内，判断为DDoS攻击结束，删除“缓解攻击专用流表项”，控制器重新获取拓扑信息，先主动向OF交换机发送修改流表信息更新流表，然后再采用被动下发流表方式工作。
PCT/CN2018/078082 2018-02-05 2018-03-06 一种工业SDN网络DDoS攻击检测与缓解方法 WO2019148576A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/629,964 US11483341B2 (en) 2018-02-05 2018-03-06 DDOS attack detection and mitigation method for industrial SDN network

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810112193.8 2018-02-05
CN201810112193.8A CN108289104B (zh) 2018-02-05 2018-02-05 一种工业SDN网络DDoS攻击检测与缓解方法

Publications (1)

Publication Number Publication Date
WO2019148576A1 true WO2019148576A1 (zh) 2019-08-08

Family

ID=62836407

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/078082 WO2019148576A1 (zh) 2018-02-05 2018-03-06 一种工业SDN网络DDoS攻击检测与缓解方法

Country Status (3)

Country Link
US (1) US11483341B2 (zh)
CN (1) CN108289104B (zh)
WO (1) WO2019148576A1 (zh)

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110798442A (zh) * 2019-09-10 2020-02-14 广州西麦科技股份有限公司 数据注入攻击检测方法及相关装置
CN112165460A (zh) * 2020-09-10 2021-01-01 杭州安恒信息技术股份有限公司 流量检测方法、装置、计算机设备和存储介质
CN112866234A (zh) * 2021-01-14 2021-05-28 中国南方电网有限责任公司 一种网络攻击溯源方法、装置和系统
CN113079171A (zh) * 2021-04-13 2021-07-06 福建奇点时空数字科技有限公司 一种基于多控制器迁移的SDN抗盲DDos攻击方法
CN113162926A (zh) * 2021-04-19 2021-07-23 西安石油大学 一种基于knn的网络攻击检测属性权重分析方法
CN113392429A (zh) * 2021-05-26 2021-09-14 江苏省电力试验研究院有限公司 基于区块链的配电物联网数据安全防护方法、装置
CN113542069A (zh) * 2021-07-15 2021-10-22 恒安嘉新（北京）科技股份公司 一种流量牵引方法、装置、电子设备及存储介质
WO2021227322A1 (zh) * 2020-05-13 2021-11-18 南京邮电大学 一种SDN环境DDoS攻击检测防御方法
CN114189444A (zh) * 2021-11-05 2022-03-15 网络通信与安全紫金山实验室 纳管工业端设备的方法、时间敏感网络控制器及系统
CN114205126A (zh) * 2021-11-25 2022-03-18 北京国泰网信科技有限公司 一种工业系统中攻击检测的方法、设备及介质
CN114978964A (zh) * 2022-05-10 2022-08-30 未鲲(上海)科技服务有限公司 基于网络自检的通信公告配置方法、装置、设备及介质
CN115225353A (zh) * 2022-07-04 2022-10-21 安徽大学 兼顾DoS/DDoS洪泛和慢速HTTP DoS的攻击检测方法
CN115412368A (zh) * 2022-10-31 2022-11-29 中国人民解放军军事科学院系统工程研究院 一种抵抗DDoS攻击的SDN协同控制方法与系统
CN115967524A (zh) * 2022-10-25 2023-04-14 湖南大学 一种基于P4-MSC的DRDoS攻击检测与缓解系统
CN118337682A (zh) * 2024-06-12 2024-07-12 湖南天冠电子信息技术有限公司 基于陪测交换机对网络设备进行老化测试的方法

Families Citing this family (52)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110365591B (zh) * 2018-04-09 2021-11-19 华为技术有限公司 数据包处理方法、装置及设备
CN108632269B (zh) * 2018-05-02 2020-06-02 南京邮电大学 基于c4.5决策树算法的分布式拒绝服务攻击检测方法
GB2574468B (en) * 2018-06-08 2020-08-26 F Secure Corp Detecting a remote exploitation attack
CN111049746B (zh) * 2018-10-12 2022-04-22 华为技术有限公司 一种路由表项生成方法、字典树生成方法和装置
CN109302427B (zh) * 2018-11-30 2020-06-19 西安交通大学 一种定位考虑攻击精度的骨干链路DDoS攻击目标链路的方法
CN109831428B (zh) * 2019-01-29 2021-04-20 内蒙古大学 Sdn网络攻击检测及防御的方法和装置
CN110225037B (zh) * 2019-06-12 2021-11-30 广东工业大学 一种DDoS攻击检测方法和装置
US12034767B2 (en) * 2019-08-29 2024-07-09 Darktrace Holdings Limited Artificial intelligence adversary red team
US20220360597A1 (en) * 2019-08-29 2022-11-10 Darktrace Holdings Limited Cyber security system utilizing interactions between detected and hypothesize cyber-incidents
JP2021039754A (ja) * 2019-08-29 2021-03-11 ダークトレース リミテッドＤａｒｋｔｒａｃｅ Ｌｉｍｉｔｅｄ 電子メール用の機械学習サイバー防御システムのエンドポイント・エージェント拡張
US11563772B2 (en) 2019-09-26 2023-01-24 Radware, Ltd. Detection and mitigation DDoS attacks performed over QUIC communication protocol
CN110830469A (zh) * 2019-11-05 2020-02-21 中国人民解放军战略支援部队信息工程大学 基于SDN和BGP流程规范的DDoS攻击防护系统及方法
US11895502B2 (en) * 2019-11-29 2024-02-06 Telefonaktiebolaget Lm Ericsson (Publ) Methods, communication device and nodes for enabling handling of data packets in a wireless communication system
CN111049828B (zh) * 2019-12-13 2021-05-07 国网浙江省电力有限公司信息通信分公司 网络攻击检测及响应方法及系统
CN111083173B (zh) * 2019-12-31 2022-03-08 中国银行股份有限公司 基于openflow协议的网络通信中的动态防御方法
US11627152B2 (en) 2020-01-08 2023-04-11 Bank Of America Corporation Real-time classification of content in a data transmission
US11297085B2 (en) 2020-01-08 2022-04-05 Bank Of America Corporation Real-time validation of data transmissions based on security profiles
US11184381B2 (en) * 2020-01-08 2021-11-23 Bank Of America Corporation Real-time validation of application data
CN111600754B (zh) 2020-05-11 2022-02-25 重庆邮电大学 一种面向tsn和非tsn互联的工业异构网络调度方法
US11848959B2 (en) * 2020-05-13 2023-12-19 Nanjing University Of Posts And Telecommunications Method for detecting and defending DDoS attack in SDN environment
CN111835725B (zh) * 2020-06-12 2021-08-13 北京邮电大学 一种sdn控制器集群的网络攻击应对方法
CN112134870B (zh) * 2020-09-16 2023-05-09 北京中关村银行股份有限公司 一种网络安全威胁阻断方法、装置、设备和存储介质
CN112787861B (zh) * 2020-12-31 2022-05-10 中国电子科技集团公司第五十四研究所 一种基于sdn的网络安全监测一体化可编程控制器
CN112910889B (zh) * 2021-01-29 2022-05-13 湖南大学 SDN中基于FGD-FM的LDoS攻击检测与缓解方法
CN113009817B (zh) * 2021-02-08 2022-07-05 浙江大学 一种基于控制器输出状态安全熵的工控系统入侵检测方法
CN113132361B (zh) * 2021-03-31 2022-11-22 厦门美域中央信息科技有限公司 一种基于博弈奖惩机制的SDN网络抗DDos方法
CN113242211B (zh) * 2021-04-12 2022-10-25 北京航空航天大学 一种软件定义网络DDoS攻击检测方法
CN113242215B (zh) * 2021-04-21 2022-05-24 华南理工大学 一种针对sdn指纹攻击的防御方法、系统、装置及介质
CN113516189B (zh) * 2021-07-16 2022-08-26 广西师范大学 基于两阶段随机森林算法的网站恶意用户预测方法
CN113709156B (zh) * 2021-08-27 2022-09-27 哈尔滨工业大学 一种nids网络渗透检测方法、计算机及存储介质
CN113824700B (zh) * 2021-08-31 2022-11-15 浙江大学 基于端口相似性的双阶段软件定义网络流表溢出防御方法
CN114006725B (zh) * 2021-09-24 2024-02-06 东南大学 一种多层次信息融合的网络攻击态势实时感知方法
CN114124474B (zh) * 2021-11-03 2023-06-23 中盈优创资讯科技有限公司 一种基于BGP flowspec的DDOS攻击源处置方法及装置
CN114257423A (zh) * 2021-12-03 2022-03-29 中国人民解放军63891部队 一种基于攻击树的渗透测试综合效果评估方法及系统
CN114499941B (zh) * 2021-12-22 2023-08-04 天翼云科技有限公司 流量检测模型的训练、检测方法及电子设备
CN115250193B (zh) * 2021-12-22 2024-02-23 长沙理工大学 一种面向SDN网络的DoS攻击检测方法、装置及介质
CN114422276A (zh) * 2022-03-30 2022-04-29 南京邮电大学 基于区块链技术的DDoS攻击检测和威胁信息共享方法
CN114615078B (zh) * 2022-03-30 2024-08-06 中国农业银行股份有限公司 一种DDoS攻击检测方法、装置及设备
CN115379026B (zh) * 2022-04-19 2024-01-19 国家计算机网络与信息安全管理中心 一种报文头域的识别方法、装置、设备及存储介质
US20230344862A1 (en) * 2022-04-25 2023-10-26 At&T Intellectual Property I, L.P. Detecting and Mitigating Denial of Service Attacks Over Home Gateway Network Address Translation
CN114978667B (zh) * 2022-05-17 2024-02-09 安捷光通科技成都有限公司 一种基于图神经网络的SDN网络DDoS攻击检测方法
CN115065531B (zh) * 2022-06-14 2023-09-08 天津理工大学 一种基于SDN的针对IoT网络嗅探攻击的移动目标防御方法
CN114866347B (zh) * 2022-07-06 2022-09-30 浙江御安信息技术有限公司 一种基于人工智能进行DDoS攻击识别的网络安全预警方法
US12069498B2 (en) * 2022-07-12 2024-08-20 Dish Wireless L.L.C. Group monitoring and management of network functions of public cloud-based 5G network
CN115664740B (zh) * 2022-10-17 2024-07-23 济南大学 基于可编程数据平面的数据包转发攻击防御方法及系统
CN115580480B (zh) * 2022-10-25 2024-04-02 湖南大学 基于卡尔曼滤波和随机森林的fto攻击检测缓解方法
CN115695041B (zh) * 2022-11-17 2023-08-04 安超云软件有限公司 基于sdn的ddos攻击检测与防护的方法及应用
CN115665006B (zh) * 2022-12-21 2023-03-28 新华三信息技术有限公司 一种随流检测方法及装置
CN116132989B (zh) * 2023-04-13 2023-08-22 南京艾牛科技有限公司 一种工业互联网安全态势感知系统及方法
CN117097575B (zh) * 2023-10-20 2024-01-02 中国民航大学 一种基于跨层协同策略的低速率拒绝服务攻击防御方法
CN118233221B (zh) * 2024-05-24 2024-07-19 中国电子科技集团公司第三十研究所 一种基于熵的网络攻防不确定性度量计算方法
CN118400203B (zh) * 2024-06-27 2024-09-03 杭州迪普科技股份有限公司 基于面向攻击行为跟踪的自适应时频特征提取的检测方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106341337A (zh) * 2016-08-31 2017-01-18 上海交通大学 一种sdn下可实现应用感知的流量检测与控制机构及方法
CN106572107A (zh) * 2016-11-07 2017-04-19 北京科技大学 一种面向软件定义网络的DDoS攻击防御系统与方法
US20170111397A1 (en) * 2013-07-16 2017-04-20 Fortinet, Inc. System and method for software defined behavioral ddos attack mitigation
CN106685832A (zh) * 2016-11-08 2017-05-17 重庆邮电大学 基于SDN的WIA‑PA现场网络/IPv6回程网络联合调度方法
CN107438066A (zh) * 2017-06-21 2017-12-05 浙江大学 一种基于SDN控制器的DoS/DDoS攻击防御模块及方法

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009155411A2 (en) * 2008-06-18 2009-12-23 Emerson Process Management Lllp System and method for wireless process communication over distinct networks
KR20140088340A (ko) * 2013-01-02 2014-07-10 한국전자통신연구원 오픈플로우 스위치에서의 디도스 공격 처리 장치 및 방법
US9572020B2 (en) * 2013-09-19 2017-02-14 Honeywell International Inc. Apparatus and method supporting wireless communications between devices using different application protocols in industrial control and automation systems
CN103491095B (zh) * 2013-09-25 2016-07-13 中国联合网络通信集团有限公司 流量清洗架构、装置及流量牵引、流量回注方法
CN104378380A (zh) * 2014-11-26 2015-02-25 南京晓庄学院 一种基于SDN架构的识别与防护DDoS攻击的系统及方法
CN104539594B (zh) * 2014-12-17 2018-02-23 南京晓庄学院 融合DDoS威胁过滤与路由优化的SDN架构、系统及工作方法
CN104539595B (zh) * 2014-12-17 2018-04-10 南京晓庄学院 一种集威胁处理和路由优化于一体的sdn架构及工作方法
CN107888617A (zh) * 2014-12-17 2018-04-06 蔡留凤 软件定义的网络架构的工作方法
CN104468636A (zh) * 2015-01-09 2015-03-25 李忠 DDoS威胁过滤与链路重配的SDN架构及工作方法
CN104539625B (zh) * 2015-01-09 2017-11-14 江苏理工学院 一种基于软件定义的网络安全防御系统及其工作方法
CN105871772A (zh) * 2015-01-18 2016-08-17 吴正明 一种针对网络攻击的sdn网络架构的工作方法
CN105871771A (zh) * 2015-01-18 2016-08-17 吴正明 一种针对ddos网络攻击的sdn网络架构
CN105516129A (zh) * 2015-12-04 2016-04-20 重庆邮电大学 基于sdn技术实现僵尸网络控制信道阻断的方法和装置
KR101900154B1 (ko) * 2016-10-17 2018-11-08 숭실대학교산학협력단 DDoS 공격이 탐지가 가능한 소프트웨어 정의 네트워크 및 이에 포함되는 스위치
CN106657107B (zh) * 2016-12-30 2020-05-12 南京邮电大学 一种SDN中基于信任值的自适应启动的ddos防御方法和系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170111397A1 (en) * 2013-07-16 2017-04-20 Fortinet, Inc. System and method for software defined behavioral ddos attack mitigation
CN106341337A (zh) * 2016-08-31 2017-01-18 上海交通大学 一种sdn下可实现应用感知的流量检测与控制机构及方法
CN106572107A (zh) * 2016-11-07 2017-04-19 北京科技大学 一种面向软件定义网络的DDoS攻击防御系统与方法
CN106685832A (zh) * 2016-11-08 2017-05-17 重庆邮电大学 基于SDN的WIA‑PA现场网络/IPv6回程网络联合调度方法
CN107438066A (zh) * 2017-06-21 2017-12-05 浙江大学 一种基于SDN控制器的DoS/DDoS攻击防御模块及方法

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110798442A (zh) * 2019-09-10 2020-02-14 广州西麦科技股份有限公司 数据注入攻击检测方法及相关装置
WO2021227322A1 (zh) * 2020-05-13 2021-11-18 南京邮电大学 一种SDN环境DDoS攻击检测防御方法
CN112165460A (zh) * 2020-09-10 2021-01-01 杭州安恒信息技术股份有限公司 流量检测方法、装置、计算机设备和存储介质
CN112165460B (zh) * 2020-09-10 2023-07-25 杭州安恒信息技术股份有限公司 流量检测方法、装置、计算机设备和存储介质
CN112866234A (zh) * 2021-01-14 2021-05-28 中国南方电网有限责任公司 一种网络攻击溯源方法、装置和系统
CN112866234B (zh) * 2021-01-14 2022-03-01 中国南方电网有限责任公司 一种网络攻击溯源方法、装置和系统
CN113079171A (zh) * 2021-04-13 2021-07-06 福建奇点时空数字科技有限公司 一种基于多控制器迁移的SDN抗盲DDos攻击方法
CN113162926A (zh) * 2021-04-19 2021-07-23 西安石油大学 一种基于knn的网络攻击检测属性权重分析方法
CN113392429A (zh) * 2021-05-26 2021-09-14 江苏省电力试验研究院有限公司 基于区块链的配电物联网数据安全防护方法、装置
CN113392429B (zh) * 2021-05-26 2023-12-12 江苏省电力试验研究院有限公司 基于区块链的配电物联网数据安全防护方法、装置
CN113542069A (zh) * 2021-07-15 2021-10-22 恒安嘉新（北京）科技股份公司 一种流量牵引方法、装置、电子设备及存储介质
CN114189444B (zh) * 2021-11-05 2024-05-03 网络通信与安全紫金山实验室 纳管工业端设备的方法、时间敏感网络控制器及系统
CN114189444A (zh) * 2021-11-05 2022-03-15 网络通信与安全紫金山实验室 纳管工业端设备的方法、时间敏感网络控制器及系统
CN114205126A (zh) * 2021-11-25 2022-03-18 北京国泰网信科技有限公司 一种工业系统中攻击检测的方法、设备及介质
CN114978964A (zh) * 2022-05-10 2022-08-30 未鲲(上海)科技服务有限公司 基于网络自检的通信公告配置方法、装置、设备及介质
CN115225353A (zh) * 2022-07-04 2022-10-21 安徽大学 兼顾DoS/DDoS洪泛和慢速HTTP DoS的攻击检测方法
CN115225353B (zh) * 2022-07-04 2024-05-03 安徽大学 兼顾DoS/DDoS洪泛和慢速HTTP DoS的攻击检测方法
CN115967524A (zh) * 2022-10-25 2023-04-14 湖南大学 一种基于P4-MSC的DRDoS攻击检测与缓解系统
CN115967524B (zh) * 2022-10-25 2024-04-19 湖南大学 一种基于P4-MSC的DRDoS攻击检测与缓解系统
CN115412368B (zh) * 2022-10-31 2022-12-27 中国人民解放军军事科学院系统工程研究院 一种抵抗DDoS攻击的SDN协同控制方法与系统
CN115412368A (zh) * 2022-10-31 2022-11-29 中国人民解放军军事科学院系统工程研究院 一种抵抗DDoS攻击的SDN协同控制方法与系统
CN118337682A (zh) * 2024-06-12 2024-07-12 湖南天冠电子信息技术有限公司 基于陪测交换机对网络设备进行老化测试的方法
CN118337682B (zh) * 2024-06-12 2024-08-13 湖南天冠电子信息技术有限公司 基于陪测交换机对网络设备进行老化测试的方法

Also Published As

Publication number Publication date
CN108289104B (zh) 2020-07-17
CN108289104A (zh) 2018-07-17
US20210092153A1 (en) 2021-03-25
US11483341B2 (en) 2022-10-25

Similar Documents

Publication Publication Date Title
WO2019148576A1 (zh) 一种工业SDN网络DDoS攻击检测与缓解方法
US11032190B2 (en) Methods and systems for network security universal control point
CN106921666B (zh) 一种基于协同理论的DDoS攻击防御系统及方法
Phan et al. OpenFlowSIA: An optimized protection scheme for software-defined networks from flooding attacks
CN106982206B (zh) 一种基于ip地址自适应转换的恶意扫描防御方法及系统
KR101409563B1 (ko) 애플리케이션 프로토콜 식별 방법 및 장치
KR20180041953A (ko) 인공지능을 이용하여 DDoS 공격을 탐지하는 소프트웨어 정의 네트워크 및 이에 포함되는 컨트롤러
CN111490975A (zh) 一种基于软件定义网络的分布式拒绝服务DDoS攻击溯源系统和方法
Singh et al. ML-based approach to detect DDoS attack in V2I communication under SDN architecture
CN111049859A (zh) 一种基于拓扑分析的攻击流量分流和阻断方法
CN109347889B (zh) 一种针对软件定义网络的混合型DDoS攻击检测的方法
CN105337890B (zh) 一种控制策略生成方法以及装置
Hong et al. Dynamic threshold for DDoS mitigation in SDN environment
CN108833430B (zh) 一种软件定义网络的拓扑保护方法
Nagarathna et al. SLAMHHA: A supervised learning approach to mitigate host location hijacking attack on SDN controllers
Jiang et al. BSD‐Guard: A Collaborative Blockchain‐Based Approach for Detection and Mitigation of SDN‐Targeted DDoS Attacks
Ramprasath et al. Mitigation of malicious flooding in software defined networks using dynamic access control list
CN108667804B (zh) 一种基于SDN架构的DDoS攻击检测及防护方法和系统
Chan et al. Intrusion detection routers: design, implementation and evaluation using an experimental testbed
Maheshwar et al. Black hole effect analysis and prevention through IDS in MANET environment
Ghoshal et al. Stochastic pre-classification for software defined firewalls
Zhu et al. Introducing Additional Network Measurements into Active Queue Management
US12058156B2 (en) System and method for detecting and mitigating port scanning attacks
RU181257U1 (ru) Межсетевой экран на основе кластеризации данных
Priya et al. Smart Campus Network To Detect Distributed Denial Of Service Attacks In Software Defined Networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18903627

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18903627

Country of ref document: EP

Kind code of ref document: A1