[发明专利]一种检测基于流表超时机制的分布式拒绝服务攻击的方法

摘要

本发明公开了一种检测基于流表超时机制的分布式拒绝服务攻击的方法，包括四个步骤：步骤1：可疑表创建：为软件定义网络检测基于超时机制的分布式拒绝服务攻击创建一个可疑表，可疑表由若干个可疑表项构成。步骤2：获取当前网络状态快照：创建软件定义网络流表在当前检测周期中的快照。步骤3：可疑表更新：对比步骤2中的流表快照，更新每一个可疑表项。步骤4：攻击检测：迭代步骤2和3，观察可疑表，直至检测到基于流表超时机制的分布式拒绝服务攻击。

主权项

1.一种检测基于流表超时机制的分布式拒绝服务攻击的方法，其特征在于，包括以下步骤：步骤1：创建可疑表：为软件定义网络检测基于流表超时机制的分布式拒绝服务攻击创建一个可疑表，可疑表由一组可疑表项构成；步骤2：获取当前网络状态快照：创建软件定义网络流表在当前检测周期中的快照；步骤3：更新可疑表：对比步骤2中的流表快照，更新每一个可疑表项；步骤4：攻击检测：迭代步骤2和步骤3，直至最终检测警报响起，保存在可疑表中的有效表项对应的流即分布式拒绝服务攻击流量；创建一个可疑表，可疑表表项是一个五元组：<匹配项，最后访问，时间戳，标志，计数器>，<匹配项>字段即该可疑表项对应的流表项中的匹配项字段，<最后访问>字段是该可疑表项对应的流表项到目前为止的最后访问间隔之和，<时间戳>字段指明该可疑表项被插入可疑表的检测周期，<标志>字段表明该可疑表项当前是否有效，<计数器>字段指明该可疑表项对应的流表项连续存在的检测周期数；在每个检测周期获取当前流表的快照，并将每个流表项和可疑表中的表项对比，若存在一个可疑表项的<匹配项>字段和快照中流表项<匹配项>字段相同，并且该可疑表项<标志>字段有效，则更新对应的可疑表项；如果不存在任何一个可疑表项和该流表项<匹配项>字段相同，则找到当前可疑表中第一个<标志>字段是无效的可疑表项，将该流表项插入该位置，插入后的可疑表项标志字段置为有效；处理完当前快照中所有流表项后，对于每一个有效表项，如果其<时间戳>字段指明其是前一个检测周期插入的，则将其标志字段设置为无效。