[发明专利]一种集威胁处理和路由优化于一体的SDN架构及工作方法

说明书

技术领域

本发明涉及网络安全领域，特别是涉及一种集DDoS威胁过滤、路由优化于一体的SDN架构及工作方法。

背景技术

当前，高速广泛连接的网络已经成为现代社会的重要基础设施。然而，随着互联网规模的膨胀，传统规范体系的缺陷也日益呈现出来。

国家计算机网络应急技术处理协调中心(CNCERT/CC)最新发布的报告表明：黑客活动日趋频繁，网站后门、网络钓鱼、Web恶意挂马等攻击事件呈大幅增长趋势，国家、企业的网络安全性面临着严峻挑战。

其中，分布式拒绝服务攻击(Distributed Denial of Service，DDoS)仍然是影响互联网运行安全最主要的威胁之一。在过去的几年里，DDoS攻击的数目、大小、类型都大幅上涨。

软件定义网络(Software Defined Network，SDN)具有可实时更新路由策略与规则、支持深层次的数据包分析等特性，因而可针对复杂网络环环境中的DDoS威胁提供更迅速准确的网络监控及防御功能。

发明内容

本发明的目的是提供一种集威胁处理和路由优化于一体的SDN架构及工作方法,以解决现有网络中大量DDoS攻击所造成的网络安全问题，以实现快速、高效、全面地识别与防御DDoS攻击。

为了解决上述技术问题，本发明提供了一种SDN网络架构，包括：应用平面、数据平面和控制平面；其中

数据平面，当位于数据平面中任一IDS设备检测到DDoS攻击特征的报文时，即通过SSL通信信道上报至应用平面；

应用平面，用于对攻击类型进行分析，并根据攻击类型定制相应的攻击威胁处理策略；

控制平面，为应用平面提供攻击威胁处理接口，并为数据平面提供最优路径计算和/或攻击威胁识别接口。

优选的，为了在IDS设备中实现DDoS检测，所述IDS设备内包括：欺骗报文检测模块，对链路层和网际层地址的欺骗行为进行检测；破坏报文检测模块，对网际层和传输层标志位设置的异常行为进行检测；异常报文检测模块，对应用层和传输层泛洪式攻击行为进行检测；通过所述欺骗报文检测模块、破坏报文检测模块、异常报文检测模块依次对报文进行检测；且若任一检测模块检测出报文存在上述相应行为时，则将该报文转入应用平面。

优选的，所述应用平面适于当报文具有欺骗行为，且攻击威胁在OpenFlow域中，则通过控制平面中的控制器屏蔽主机；或当攻击威胁不在OpenFlow域中，则通过控制器将该报文所对应的交换机接入端口流量重定向至流量清洗中心进行过滤；

所述应用平面还适于当报文具有异常行为，则通过控制器对攻击程序或攻击主机的流量进行屏蔽；以及

当报文具有泛洪式攻击行为，则所述应用平面适于通过控制器将该报文所对应的交换机接入端口流量重定向至流量清洗中心进行过滤。

本发明的有益效果：本发明将DDoS威胁监测、威胁防护、路由优化等业务功能模块分别部署于数据平面、控制平面和应用平面。可使网络在遭受大规模DDoS威胁时，能够根据链路的实时状况实现路由优化的流量转发，同时迅速准确的进行DDoS威胁识别和处理响应，全面保障网络通信质量。

又一方面，本发明还提供了一种DDoS威胁过滤SDN系统的工作方法，以解决防御DDoS攻击的技术问题。

为了解决上述技术问题，所述DDoS威胁过滤SDN系统的工作方法包括：当任一IDS设备检测到具有DDoS攻击特征的报文时，即通过SSL通信信道上报至IDS决策服务器；所述IDS决策服务器根据上报信息，制定出与具有DDoS攻击特征的报文对应的处理策略，然后将该报文通过控制器屏蔽或者将该报文所对应的交换机接入端口流量重定向到流量清洗中心进行过滤。

优选的，为了在IDS设备中实现DDoS检测，所述IDS设备内包括：欺骗报文检测模块，对链路层和网际层地址的欺骗行为进行检测；破坏报文检测模块，对网际层和传输层标志位设置的异常行为进行检测；异常报文检测模块，对应用层和传输层泛洪式攻击行为进行检测；通过所述欺骗报文检测模块、破坏报文检测模块、异常报文检测模块依次对报文进行检测；且若任一检测模块检测出报文存在上述相应行为时，则将该报文转入IDS决策服务器。