[发明专利]一种面向软件定义网络的轻量级网络流量异常检测方法

说明书

本发明公开了一种面向软件定义网络的轻量级网络流量异常检测方法，通过分析控制器接收到的packet‑in消息以检测软件定义网络中出现的网络流量异常现象，其包括以下步骤：首先解析packet‑in消息，计算packet‑in消息到达速率、各交换机发送的packet‑in消息比例、packet‑in消息封装的报文协议类型比例、packet‑in消息封装的不同协议的报文到达速率；然后使用基于聚类的离群点技术检测上述packet‑in消息特征以判断网络流量是否出现异常。本发明方法为面向软件定义网络的轻量级网络流量异常检测方法，能够快速地检测出软件定义网络中的流量异常。

技术领域

本发明涉及网络通信技术领域，特别涉及一种面向软件定义网络的轻量级网络流量异常检测方法。

背景技术

随着计算机网络技术的不断进步，网络安全问题也随之受到用户及网络服务提供商的日益重视。网络流量异常检测技术作为网络安全中的重要技术，在防范网络攻击中起着不可忽视的作用。目前的网络流量异常检测技术通常使用镜像流量或者周期采样的方法抓取网络中的通信报文，随后对抓取的通信报文进行分析，以检测网络流量是否出现了异常。

上述两种方法均需要获取网络中所有的网络报文以供网络流量异常检测算法检测。这种方法一方面需要获取大量的网络报文，容易导致网络出现网络拥塞、时延增高、丢包率加大等问题；另一方面该方法需要耗费大量的计算资源，导致计算资源开销急剧上升。因此上述网络流量异常检测方法存在着不可避免的缺陷。研究如何既能快速地检测出网络中的异常行为，又能以轻量级的形式进行检测的技术，具有实际的意义。

软件定义网络(Software Defined Network，SDN)是一种新型的网络体系结构，其实现了数据转发平面与控制平面解耦合。OpenFlow协议作为SDN中控制层与基础设施层间通信的标准协议(南向接口协议)，目前已被工业界及学术界广泛认定为SDN中的事实标准。

作为OpenFlow协议中一种特殊的报文，packet-in消息(packet-in消息为OpenFlow协议中的一种特殊消息，在OpenFlow协议中，底层交换机使用packet-in消息将其上发生的事件上报至控制器)能够反映SDN底层网络的流量情况，一方面由于交换机上一般在无相应报文达到时不存在处理该类型报文的流表，另一方面由于交换机上的流表存在生存时间，因此，交换机发送至控制器的packet-in消息一般呈现出规律性。而在网络中有异常事件发生时，交换机发送至控制器的packet-in消息将出现异常变化，因此，可以利用OpenFlow协议中所特有的packet-in消息特征，设计一种轻量级的面向软件定义网络的网络流量异常检测方法。

发明内容

本发明所要解决的技术问题是提供一种面向软件定义网络的轻量级网络流量异常检测方法，通过分析SDN中所特有的packet-in消息，以达到快速地检测SDN中的流量异常事件，进而对SDN中的流量异常事件进行响应的目的。

为解决上述技术问题，本发明采用的技术方案是：

一种面向软件定义网络的轻量级网络流量异常检测方法，包括以下步骤：

步骤1：网络初始化完成后，在控制器上建立用于统计控制器收到的packet-in消息的计数器、统计packet-in消息中封装的不同协议报文数目的字典、统计packet-in消息源交换机的字典，同时初始化计数器和两个字典的参数值为0，并记录当前时刻t0；

步骤2：所述控制器解析收到的packet-in消息，提取该packet-in消息封装的报文类型及该packet-in消息的来源交换机；

步骤3：更新所述统计packet-in消息中封装的不同协议报文数目的字典及统计packet-in消息源交换机的字典；

步骤4：所述控制器收到底层交换机发送的packet-in消息时，所述packet-in消息计数器数值加1；