[发明专利]一种基于软件定义的网络安全防御系统及其工作方法

摘要

本发明公开了一种基于软件定义网络的网络安全防御系统及其工作方法，本网络安全防御系统，包括SDN控制器、IDS决策服务器和IDS设备；所述IDS设备适于对报文进行抽检，即当IDS设备检测到具有DDoS攻击特征的报文时，即上报至IDS决策服务器；所述IDS决策服务器根据上报信息，制定出与具有DDoS攻击特征的报文对应的处理策略，并将处理策略下发至SDN控制器以进行威胁处理；本发明通过对报文采用抽检的方式进行检测，极大的降低了SDN控制器的负担，并且通过检测与决策分离的方式，进一步降低了服务器的负担，更加适合大流量数据的网络传输。

主权项

一种网络安全防御系统，其特征在于包括：SDN控制器、IDS决策服务器和IDS设备；所述IDS设备适于对报文进行抽检，即当IDS设备检测到具有DDoS攻击特征的报文时，上报至IDS决策服务器；所述IDS决策服务器根据上报信息以制定出与具有DDoS攻击特征的报文对应的处理策略，并将该处理策略下发至SDN控制器以进行威胁处理；所述IDS设备包括：定时模块，设定报文的抽检间隔时间；欺骗报文检测模块，对链路层和网际层地址的欺骗行为进行检测；破坏报文检测模块，对网际层和传输层标志位设置的异常行为进行检测；异常报文检测模块，对应用层和传输层泛洪式攻击行为进行检测；在各间隔时间内通过所述欺骗报文检测模块、破坏报文检测模块、异常报文检测模块依次对报文进行检测；且若任一检测模块检测出报文存在上述相应行为时，则将该报文转入IDS决策服务器；所述IDS决策服务器适于当报文具有欺骗行为，且攻击威胁在OpenFlow域中，则通过SDN控制器屏蔽攻击主机；或当攻击威胁不在OpenFlow域中，则通过SDN控制器将该报文所对应的OF交换机接入端口流量重定向至流量清洗中心进行过滤；所述IDS决策服务器还适于当报文具有异常行为，则通过SDN控制器对攻击程序或攻击主机的流量进行屏蔽；以及当报文具有泛洪式攻击行为，则所述IDS决策服务器适于通过SDN控制器将该报文所对应的OF交换机接入端口流量重定向至流量清洗中心进行过滤；所述SDN控制器内设一屏蔽计时模块和屏蔽计数器；所述屏蔽计时模块内设有屏蔽时间，该屏蔽时间适于限定屏蔽攻击主机时间；所述屏蔽计数器设有一屏蔽阈值，适于当攻击主机屏蔽次数超过该屏蔽阈值时，永久屏蔽该攻击主机。