[发明专利]基于OpenFlow的网络架构安全监控系统

摘要

基于OpenFlow的网络架构安全监控系统，本系统充分发挥OpenFlow网络控制器集中化管控的优势与sFlow‑RT实时线速率流量监控的能力，充分利用控制器被动模式和主动模式在不同网络状态下的优势，在网络受到攻击时以保护网络中控制器、交换机的安全，使用上层应用更改控制器的操作模式，并对异常交换机端口进行限速处理，进而保证网络设备和网络服务的稳定和安全。经测试验证，本系统通过更改控制器操作模式降低控制器负载，并通过交换机端口限速减小异常流量对网络中主机及网络本身的影响。该系统可快速部署在现有的OpenFlow园区网络环境中，也可经过调整部署在其他OpenFlow网络环境中，从而为网络中的控制器、交换机设备及网络服务本身提供可视、可控、有效的安全性保障。

主权项

基于OpenFlow的网络架构安全监控系统，其特征在于：本系统结合OpenFlow和sFlow进行有效的网络异常监控和威胁缓解；系统使用sFlow‑RT实时监控网络流量状态，在网络流量异常出现时及时报警，触发上层应用的响应操作；上层应用通过调用API将Floodlight控制器的操作模式从被动模式切换为主动模式，并通过控制器下发主动模式规则；在控制器操作模式转换之后sFlow‑RT及上层应用仍将继续监测网络流量状况，在异常流量特征出现时，上层应用结合控制器提供的信息较准确的定位异常流量源，并对其交换机端口进行限速处理，以进行异常缓解；sFlow包括sFlow客户端和sFlow收集器；sFlow客户端进行很少的处理操作，它只将数据打包进sFlow报文中并立刻送至网络；数据的立刻转发使与sFlow客户端相关的内存和CPU需求最小化；网络中的sFlow客户端持续发送sFlow报文流给中央sFlow收集器进行处理，以生成丰富、实时、网络范围的流量视图；本系统使用sFlow‑RT作为sFlow收集器，并用其设置相互关联的流量规则和阈值规则；流量特征超过监控规则会触发sFlow‑RT报警事件；本方案的上层应用是由sFlow‑RT的事件驱动的，因此定义流规则和阈值是上层应用正常运行的前提。