基于SDN的DDoS分布式防御體系研究.pdf

1、軟件定義網(wǎng)絡(luò)(SoftWare Defined Network，SDN)是一種新型網(wǎng)絡(luò)架構(gòu)，美國斯坦福大學(xué)Clean Slate研究組于2006年首次提出。這種架構(gòu)的出現(xiàn)使傳統(tǒng)網(wǎng)絡(luò)發(fā)生了顛覆性的變革。在SDN的實(shí)現(xiàn)方面，開放網(wǎng)絡(luò)基金會（ONF）提出了OpenFlow協(xié)議，并受到廣泛認(rèn)可。其核心技術(shù)OpenFlow通過將網(wǎng)絡(luò)設(shè)備控制面與數(shù)據(jù)面分離開來，實(shí)現(xiàn)了網(wǎng)絡(luò)流量的靈活控制，為核心網(wǎng)絡(luò)及應(yīng)用的創(chuàng)新提供了良好的平臺，但它的發(fā)展也面臨著諸多

2、挑戰(zhàn)，安全性就是其中之一。
　　本研究主要內(nèi)容包括：⑴基于SDN網(wǎng)絡(luò)控制層中的DDoS攻擊的檢測方法進(jìn)行研究，主要針對轉(zhuǎn)發(fā)層流表中的流表項(xiàng)，提出流表統(tǒng)計(jì)模塊對流表進(jìn)行處理，本方法的核心思想分為三個(gè)方面：流表收集、流表預(yù)處理和流表分類。按照OpenFlow v1.0協(xié)議的標(biāo)準(zhǔn)，調(diào)整合適的周期時(shí)間對SDN交換機(jī)發(fā)送 Ofp_Flow_Stats_Request報(bào)文，通過反饋的流表進(jìn)行預(yù)處理，將收集到的隊(duì)列流表特征進(jìn)行特征對比，之后發(fā)送

3、到控制層的檢測模塊。⑵針對SDN的DDoS分布式防御包括兩個(gè)方面：一是在控制層提出一種基于熵值算法的DDoS檢測模塊和防御模塊；檢測模塊包括熵值計(jì)算和攻擊判斷，通過對熵值和閾值的比較進(jìn)行攻擊判斷，若存在攻擊，則通過添加在控制層的ACL管控和流量管理模塊對攻擊流量進(jìn)行防御措施；若不存在攻擊，流量的通過按照正常的轉(zhuǎn)發(fā)程序進(jìn)行。二是在SDN應(yīng)用層通過主機(jī)識別、服務(wù)重定向和流量精準(zhǔn)識別三個(gè)方面對DDoS進(jìn)行防御。⑶搭建了實(shí)驗(yàn)環(huán)境，利用OpenD