[发明专利]一种防御软件定义网络中LLDP中继攻击的方法

说明书

本发明公开了一种防御软件定义网络中LLDP中继攻击的方法，该方法包括以下步骤：记录每个端口和其连接的设备类型以及链路信息；记录LLDP帧延时并根据延时计算出当前的网络拥塞状态以及延时阈值；判断网络中新增链路的两个端口的设备类型是否都是HOST‑REMOVED，如果是则认为满足LLDP中继攻击条件，需要进一步判断，如果不是则认为不满足LLDP中继攻击条件，将该LLDP判定为正常；若满足LLDP中继攻击的条件，此时结合网络拥塞状态判断该LLDP延时是否大于延时阈值，若大于延时阈值则判定为攻击并丢弃当前LLDP帧。该发明用以防御攻击者使用两台主机进行LLDP中继攻击，提高SDN控制器的安全性。

技术领域

本发明涉及计算机网络技术领域，特别是软件定义网络(Software DefinedNetwork，SDN)新式网络技术领域，具体涉及一种防御软件定义网络中LLDP中继攻击的方法。

背景技术

软件定义网络(SDN)是一种新型的网络范式，它赋予控制器及其应用以全局的网络可视性和灵活的网络可编程性，实现了网络协议和应用的创新。SDN的核心优势之一就是SDN控制器提供了许多SDN应用所依赖的整个网络可视性。

SDN控制器使用链路层发现协议(Link Layer Discovery Protocol，LLDP)发现所有交换机之间的链路，当交换机的端口开启时，交换机会首先发送该端口的Port_up消息至控制器，控制器收到Port_up消息后为该端口生成LLDP并将生成的LLDP通过交换机相应的端口发送出去，若控制器从另外一台交换机收到了该LLDP，那么控制器就会认为这两台交换机之间存在一条链路。

由上述过程可以看出，即使是主机也可以收到控制器所发的LLDP，因此攻击者可以通过两台主机中继各自收到LLDP在网络中伪造一条虚假链路。

目前防御LLDP中继攻击的方法有：1、一种软件定义网络的拓扑保护方法；2、一种拓扑污染攻击防御方法和系统；3、TopoGuard+。简单介绍如下：

现有技术一：一种软件定义网络的拓扑保护方法

原理：初始化并维护每一个存活交换机端口的端口信息；根据收集到的Packet-in消息，进行主机状态检测，然后根据主机状态检测结果及所维护的端口信息对LLDP报文进行分类；针对不同类型的LLDP报文，采用相应的攻击检测方法进行攻击检测；若检测到攻击报文，则将攻击报文的报文规则实时记录在控制器的过滤规则中，从而通过报文规则过滤的方式实现攻击防御；持续收集数据平面的Packet-in消息并根据收集到的Packet-in消息更新所维护的端口信息，同时重复执行攻击检测和防御的步骤。

缺点：该方法需要训练链路模型，使得所述链路检测模型学习到正常链路和异常链路的流量特征，以此判断链路是正常链路还是异常链路，因此当攻击者通过LLDP中继攻击伪造了一条链路后，只需要在这条链路上伪造出类似正常链路的流量特征即可绕过该防御方法。

现有技术二：一种拓扑污染攻击防御方法和系统

原理：1)通过监听SDN控制器收到的Packet-In消息，记录网络中主机，判断该主机是否是真实的主机，所述真实主机是指该主机使用本机的IP和MAC地址发送主机流量；2)通过监听SDN控制器下发流表项信号和SDN交换机上传的流表项删除消息，维护每个交换机端口流表项的记录表，并且通过该表判断某个端口的主机是否离开了网络，以防止流量劫持攻击；3)通过给SDN控制器下发的LLDP帧加上随机字符串作为校验字段，并对SDN控制器收到的LLDP帧进行检查，以防止利用LLDP帧来伪造链路的攻击。

缺点：该方法在防御LLDP中继攻击时，攻击者只需要重启相应主机的网卡再发起LLDP中继攻击即可绕过该方法成功伪造链路，因此无法完全防御LLDP中继攻击。

现有技术三：TopoGuard+