[发明专利]一种SDN控制器盲DDoS攻击防护方法及系统

权利要求书

1.一种SDN控制器盲DDoS攻击防护方法，其步骤包括：

1）采用不少于一个控制器组成控制器资源池，并由资源池监控服务器维护控制器状态列表，同时控制器获取所述控制器状态列表并下发到SDN交换机；

2）SDN交换机根据所述控制器状态列表随机选择通信数据发往的控制器；

3）对流入SDN网络的通信数据流进行检测，当检测到盲DDoS攻击流时，根据发生盲DDoS攻击时的攻击流量大小，动态调节控制器的数量；

4）提取该盲DDoS攻击流中的信息，进行攻击特征识别，生成对应的SDN交换机防护流表规则，根据控制器上SDN交换机上传的攻击首包记录，识别攻击来源信息，得到SDN交换机防护位置权重；

5）将所述SDN交换机防护位置权重和SDN交换机防护流表规则结合得到防护策略，下发到相应交换机进行攻击拦截。

2.如权利要求1所述的SDN控制器盲DDoS攻击防护方法，其特征在于，所述控制器状态分为：已工作状态S_on、待工作状态S_ready、和未工作状态S_off，按照如下方法维护控制器状态列表：

将负载未饱和的可工作状态的控制器和待工作状态的控制器，定期生成可用控制器列表{S_on，IP_on}和/或{S_ready，IP_ready}，定期同步到各控制器和交换机中。

3.如权利要求1或2所述的SDN控制器盲DDoS攻击防护方法，其特征在于，所述SDN交换机首次接入控制器时，在非盲DDoS攻击状态下，交换机优先选择标注已工作状态控制器{S_on，IP_on}进行通信；当发生盲DDoS攻击时，交换机优先随机选择待工作状态控制器{S_ready，IP_ready}进行通信；当盲DDoS攻击停止是，交换机重新切换成从{S_on，IP_on}中选择控制器。

4.如权利要求3所述的SDN控制器盲DDoS攻击防护方法，其特征在于，当发生盲DDoS攻击时，所述SDN交换机根据如下步骤选择控制器：

1）对{S_on，IP_on}中任意单控制器的流量进行阈值H_s匹配，判断当前工作的任意单控制器{S_on，IP_on}中盲DDoS数据流量是否超过性能预警线；

2）对{S_on，IP_on}所有控制器的全部流量进行阈值H_all匹配，判断当前工作的所有控制器{S_on，IP_on}中盲DDoS数据流量是否超过性能预警线；

3）若所述任意步骤1）、2）中数据流量超过性能预警线则现有控制器无法承受攻击流量，交换机进入随机选择多控制器模式；

4）SDN交换机优先随机选择待工作状态控制器{S_ready，IP_ready}进行通信增加控制器数量。

5.如权利要求4所述的SDN控制器盲DDoS攻击防护方法，其特征在于，对流量超过性能预警线的盲DDoS攻击数据流中的数据包进行如下分析：

如果大量首包为空目的IP数据包或者虚假目的IP首包，则检测为攻击进行攻击特提取；

对于首包目的IP正常的数据包，如果数据包协议字段异常，则检测为攻击进行攻击特提取；

对于目的IP和协议字段正常的数据包，则采用特征挖掘算法，进行攻击识别。

6.如权利要求1所述的SDN控制器盲DDoS攻击防护方法，其特征在于，手动设置和调整交换机的防护位置权重P_sip，所述防护位置权重P_sip取值范围为0～1之间的小数，权重越高，越接近攻击源头，其值越接近于1。

7.如权利要求1所述的SDN控制器盲DDoS攻击防护方法，其特征在于，当检测到攻击停止时，攻击检测应用模块等待一延迟时间T_con后通知控制器下发控制指令，撤销相应交换机上的防护策略。