[发明专利]一种SDN网络下对DHCP泛洪攻击的检测与防御方法

说明书

本发明公开了一种SDN网络下对DHCP泛洪攻击的检测与防御方法，在防御方法中提出了一种针对交换机的实时动态的DHCP泛洪攻击检测阈值设定的方法，并对攻击端口进行准确的定位。在防御方法结合SDN自身特点对攻击行为进行有效的防御，并利用ARP协议对IP池进行有效的清洗。本专利实现了对DHCP泛洪攻击的有效检测和预防。

技术领域

本发明属于网络通信安全技术领域，涉及一种网络攻击行为的应对方法，具体涉及一种SDN网络下对DHCP泛洪攻击的检测与防御方法。

技术背景

软件定义网络(SDN)一种新型的网络架构，它是可编程的并允许应用服务实时进入抽象网络数据流的控制层，其基础设施可以被虚拟化。SDN相较传统网络，实现了控制平面可数据平面的分离，使得控制平面能够对网络实现中心化的集中控制，为网络操作员实现控制和管理网络提供了极大地便利。SDN控制器在南向接口用openflow协议实现对交换机的控制，北向接口提供了公开的接口，和网络底层的抽象，这使得中心化可编程的网络控制成为可能。

动态主机配置协议(DHCP)是一个局域网的网络协议，用于以一定的方式去动态的配置网络设备的IP信息，使他们能在IP网络中进行通信。这些IP信息包括，IP地址，网关地址，DNS服务器地址等等内容。当主机需要连入网络时会向网络广播DHCP Discover报文，DHCP服务器收到后，会返回DHCP Offer报文到主机，主机再次发出DHCP Request报文，DHCP服务器确认后会返回DHCP ACK给主机，分配结束。IP地址租期到约后，主机会向DHCP服务器提交DHCP Release释放自己占用的IP地址。以上是DHCP和主机交互的大致流程。

传统网络中的DHCP协议提供了有限的网络集中化控制的手段，这种协议工作方式非常符合SDN网络构架的思路。因此在SDN网络中，我们很自然的会将DHCP服务以软件的形式部署到SDN控制器中，这样的好处有很多。例如，可以很好的杜绝了伪DHCP服务和DHCP服务中间人的入侵；大大降低广播DHCP Discover报文引起的链路负载问题和广播风暴等等。即便是有很多好处，在SDN控制器中部署DHCP服务仍然存在一些风险：

(1)DHCP的IP池被恶意消耗的问题；

(2)大量恶意的DHCP报文导致的openflow交换机与控制器之间链路带宽的消耗；

这些攻击属于DHCP泛洪攻击。第一个问题在传统额网络中也非常常见，类似于SYNflood攻击，这种攻击常常会带来一些问题，比如在IP池耗尽后，DHCP服务会拒绝为新连进来的主机分配IP。第二个问题是SDN的结构带来的问题，尤其是在proactive模式下，DHCP成为少有的能通过reactive方式进入控制器的协议报文种类，所以这使得DHCP报文更容易成为对控制器和openflow交换机之间链路消耗攻击的来源。

在SDN网络中，实现对DHCP流量的监控和预防DHCP泛洪攻击很有必有。传统的方法通常在交换机中开启DHCP snooping，来过滤不受信任主机的DHCP请求，以此来预防DHCP泛洪攻击，但无法拒绝合法的主机发起的DHCP泛洪攻击。同时，也有通过检测DHCP请求速率来判断服务器是否遭受DHCP泛洪攻击，但是速率阈值的设置静态化，无法动态适应网络DHCP正常速率变化对检测的影响，容易误判等等。也有更为复杂的方式很有效，但计算过程太复杂，不利于模型的维护，也对服务器的负载带来影响。

发明内容

为了解决现有技术的缺陷，并致力于解决新型SDN网络构架下DHCP泛洪攻击对网络的影响，本发明通过对DHCP流量的实时监测，根据DHCP泛洪攻击的特点，结合SDN网络自身的优势，提出了针对其检测和防御的方法。

本发明提供的一种SDN网络下对DHCP泛洪攻击的检测方法，其特征在于，包括以下步骤：

步骤A1：初始化DHCP速率阈值D；