论文部分内容阅读
SDN作为新一代网络技术,数控分离、开放接口以及网络虚拟化的特性使其在当前网络资源需求不断变化的环境下,比传统网络更具有适用性,得到了广大厂商以及学者的推崇。但也正是由于SDN的这些特性使其比传统网络更容易遭受攻击,而南向接口作为连接控制平面与数据平面的通信接口,其安全问题更是重中之重。基于此背景下,本文实现了SDN网络南向安全防护系统,主要包括对SDN南向安全通信的保护、对SDN网络DDoS攻击的检测以及对SDN控制器性能的监测;并在对SDN网络南向安全防护技术的研究过程中,根据SDN网络的不足或特点提出了针对性的改进方案。论文的主要工作如下:(1)针对SDN系统原有TLS安全信道的不足,提出了SDN网络南向安全认证方案。本方案将默认执行南向TLS安全信道,由可信任机构CA对SDN网络中合法的控制器以及交换机进行签名认证,实现控制器与交换机之间的双向认证,根据非对称加密算法以及对称加密算法的不同特点,采用RSA非对称加密算法进行密钥协商,最终获得双方一致的对称密钥,采用AES对称加密算法对后续的通信消息进行加密,以达到更高的安全性以及更高的效率。通过对本方案的安全性分析,可以证明所提方案可以有效的防止中间人攻击,实现SDN南向通信的完整性与机密性;(2)提出了基于CNN的SDN网络DDoS攻击检测算法,用CNN模型对SDN网络流量的特征进行分类,实现DDoS攻击检测。首先基于SDN网络流量的特点,分析了传统CNN在网络流量分析场景下的不适用性,引入信息熵的概念,改进了传统CNN中的池化算法;然后为了提高网络模型的泛化能力,将网络模型预先在NSL KDD数据集上进行预训练,再在SDN数据集上进行微调学习;最后通过实验所提算法在测试集上达到了98.1%的准确率。(3)实现了SDN网络南向安全防护系统。利用SDN南向安全认证方案实现对SDN南向接口的安全防护,采用基于CNN的流量分类算法实现对SDN网络的DDoS攻击检测,记录控制器性能监测数据,并实现了前端可视化展示,以方便网络管理员对控制器性能具有更直观的了解;通过实验验证了系统能够做到实时监测各个性能参数,并以可视化的方式展示给用户,让用户可以更好地了解系统的运行情况,同时也说明了本文研究内容的可行性与实用性。