论文部分内容阅读
软件定义网络(Software Defined Networking,简称SDN)是一种新型的网络体系架构,利用分层的思想解耦了传统网络中的控制和转发,从而实现对网络的集中控制。控制-转发分离是SDN的主要特性之一,而攻击者可以利用这一特性向SDN发动攻击,造成网络瘫痪。分布式拒绝服务攻击(Distributed Denial of Service,简称DDoS)具有破坏性强和攻击面广的特点,是SDN面临的主要威胁之一。随着SDN体系架构在云数据中心的广泛应用,如何保障SDN的安全也是重中之重。本文针对SDN的特性和DDoS攻击特点,主要从DDoS攻击的检测、溯源以及缓解三个方面出发,进行了以下分析和研究:(1)分析DDoS攻击特点并在现有相关流表项特征提取方法的基础上,利用SDN中OpenFlow交换机流表项提取了8个特征构成特征向量以此更好地区分正常流量和攻击流量。与传统机器学习方法用于DDoS攻击检测不同,深度学习中的循环神经网络(RNN)不仅可以利用当前序列特征,还可以利用历史序列的特征信息。因此循环神经网络可以充分利用DDoS攻击流量的历史信息,从而做出更准确的分类检测。综合分析现有循环神经网络的压缩方法,提出了一种改进的长短记忆网络(LSTM,RNN的一种)压缩模型,并基于改进压缩LSTM搭建了深度学习模型,利用数据集对模型进行训练并持久化。利用持久化模型设计了SDN环境下的DDoS攻击检测方法:主要包含流表收集、流表特征提取、分类检测以及模型再训练四个部分。(2)结合SDN特性,对传统网络中的包标记(PPM)溯源算法进行了改进设计。改进溯源算法利用IP数据包头部较少使用的三个字段共25bits作为标记空间,算法分为标记过程和路径重构过程,并把标记过程应用到OpenFlow交换机的Actions中。该算法的标记过程与传统网络中PPM溯源的标记过程不同之处是无需构造网络拓扑,因此更为简洁,同时利用动态概率来标记数据包以此加快溯源速度。该算法的路径重构过程会结合控制器掌握全网拓扑的特性,利用标记信息完成攻击路径树的重构。(3)分析传统网络中DDoS攻击缓解方法的不足之处,结合SDN特性设计了DDoS攻击缓解方法以及介绍该缓解方法的工作流程。通过Mininet仿真平台搭建模拟SDN环境,验证了攻击检测方法、攻击溯源方法以及攻击缓解方法的可行性,为实际应用场景中如何保障SDN安全提供一种解决思路。