论文部分内容阅读
传统网络资源的分布式特性使得管理员较难实现网络的集中管控,在分布式拒绝服务攻击(Distributed Denial of Service,DDoS)发生时难以快速准确地检出攻击并溯源。针对这一问题,结合软件定义网络(Software-Defined Networks,SDN)集中管控、动态管理的优势和分布式拒绝服务攻击特点,本文对软件定义网络中的DDoS攻击展开了研究,具体工作如下:本文的第一部分内容意在为SDN网络构建一种简单高效的DDoS检测方案。首先,我们基于流表特征引入了双向流量概念,提出了攻击检测四元组特征,并利用增长型分层自组织映射(Growing Hierarchical Self-Organizing Maps,GHSOM)算法对网络流中提取的四元组特征向量快速准确地分析并分类,同时提出了一种通过自适应改变监控流表粒度以定位潜在受害者的检测方案。仿真实验结果表明,本文提出的四元组特征及下发适量监控流表项的检测方案能以近似96%的准确率检出攻击并定位受害者,且对控制器造成的计算开销较小。其次,本文SDN场景中的DDoS攻击检测方案是基于网络流特征提取分类的,针对后向传播(Back Propagation,BP)神经网络应用于DDoS网络流特征训练分类时检测率较低、训练时间过长的问题,本文提出了一种改进差分进化算法优化BP神经网络的异常检测算法。该算法引入了模拟退火算法和一种融合DE/rand/1与DE/best/1的变异算子对差分进化算法进行改进以提高其全局寻优能力。用改进后的算法优化BP神经网络权值阈值,通过逐次的迭代训练使BP神经网络收敛,将优化过的BP神经网络用于入侵检测。将本文算法在SDN实验场景中做了仿真实验,结果显示,优化的BP网络在收敛速度和精度方面有明显提升,用于网络流异常检测时提高了检测准确率,缩短了训练时间。最后,根据SDN控制器下发配置流表项的简便性,本文利用OpenFlow流表特性提出了一套SDN场景中的DDoS缓解策略,并在系统检测出受害者之后触发。同时,为保证合法流量正常通信,本文提出了攻击者网段定位算法,用以搜索最小粒度范围的攻击者网段,并通过控制器下发相关流表项以阻塞相关恶意流量发往受害者。最后,通过仿真实验证明了本节DDoS缓解策略是高效且合理的。