[发明专利]一种SDN中基于深度学习的DDOS防御装置及方法

摘要

本发明公开了一种SDN中基于深度学习的DDOS防御装置及方法，本发明装置包括特征提取模块、深度学习DDoS检测模块、模型更新模块(Model Updater)、信息统计模块及流表产生模块；本发明利用了特征提取模块提取系统中输入数据包的特征，构建特征矩阵，然后将处理后的特征输入到深度学习DDOS检测模块，深度学习DDOS检测模块利用学习好的模型判断当前系统中输入的数据包是否为攻击包。本发明利用了深度学习对进入系统的数据包检测，相比于传统的DDOS攻击入侵检测方法，在检测效率，准确率上有很大提升。

主权项

1.一种SDN中基于深度学习的DDOS防御方法，其特征在于，该方法在DDOS防御装置上实现，所述DDOS防御装置包括特征提取模块(Features Extraction)、深度学习DDoS检测模块(Deep Learning DDoS Detector)、模型更新模块(Model Updater)、信息统计模块(Information Statistics)及流表产生模块(Flow Table Generator)，其中：所述特征提取模块(Features Extraction)：对进入OpenFlow交换机的所有数据包进行特征提取，构建满足深度学习DDoS检测模块(Deep Learning DDoSDetector)输入要求的特征矩阵；所述深度学习DDoS检测模块(Deep Learning DDoS Detector)：使用已训练好的深度学习模型对特征提取模块(Features Extraction)处理后的特征进行学习，检测当前OpenFlow交换机中输入的数据包是否为攻击包；所述信息统计模块(Information Statistics)：对检测到的攻击包的特征进行提取，并对这些特征出现的频次进行统计；所述流表产生模块(Flow Table Generator)：根据信息统计模块(Information Statistics)特征统计的结果，确定可以对各类攻击包进行丢弃处理的流表项及其优先级，并将他们下发到OpenFlow交换机；所述模型更新模块(Model Updater)：对深度学习DDoS检测模块(Deep Learning DDoS Detector)的深度学习模型进行更新；该方法包含如下步骤：1)根据深度学习DDoS检测模块(Deep Learning DDoS Detector)的输入要求，特征提取模块(Features Extraction)对OpenFlow交换机的所有输入数据包进行特征提取，构建特征矩阵，并输出到深度学习DDoS检测模块(Deep Learning DDoS Detector)；2)深度学习DDoS检测模块(Deep Learning DDoS Detector)根据特征提取模块(Features Extraction)处理后的特征，使用已训练好的深度学习模型，检测当前OpenFlow交换机中输入的数据包是否为攻击包，若是，则将攻击包转交给信息统计模块(Information Statistics)，否则不做处理；3)信息统计模块(Information Statistics)在管理者设定的时间间隔周期T内对所有攻击包进行特征统计，根据所有特征在攻击包中出现的频率确定特征的权值{W}，并将相关特征信息及权值转交给流表产生模块(Flow Table Generator)；该步骤具体包括以下子步骤：3.1)将攻击包计数器置0，重新设置定时器，周期为T；3.2)提取的数据包特征按照各自总计数器数值排序，若前后两轮排序没有改变，根据计数器数值频率，确定相应特征权值{W}，否则，跳转到步骤3.3)；3.3)根据新的排序确定各个特征的频率，每个特征计数器数值越大，频率越大；3.4)丢弃频率小于阈值Q的该频率所对应的攻击包特征，确定剩余攻击包的特征数量N；3.5)根据统计后的频率{P}，频率越大对应的特征的权值越大，根据n＝0,1,2,N‑1，依次确定每个特征的权值大小，其中n＝0表示最大的特征的权值，ε取0.01，确定特征的权值{W}；4)流表产生模块(Flow Table Generator)根据信息统计模块(Information Statistics)统计的相应特征的权值{W}结果，产生可以对具有该类特征的数据包进行丢弃操作的流表项，及这些流表项的优先级；该步骤具体包括以下子步骤：4.1)提取信息统计模块中攻击包的特征项所对应的TCP源端口，TCP目的端口，UDP源端口，UDP目的端口，IP源地址，IP目的地址，确定流表项；4.2)对每个攻击包所对应的特征项的权值求和，结果最大，所对应的流表项优先级最大；5)流表产生模块(Flow Table Generator)将新产生的流表项下发到OpenFlow交换机；该步骤具体包括以下子步骤：5.1)定时器重新计时，周期为T，攻击包计数器置0；5.2)判断该轮攻击包的特征项所对应的TCP源端口，TCP目的端口，UDP源端口，UDP目的端口，IP源地址，IP目的地址和流表项优先级与下发的流表项是否相同，若相同，不做处理，否则跳转到步骤5.3)；5.3)根据OpenFlow流表项结构，分别将攻击包的特征项所对应的TCP源端口，TCP目的端口，UDP源端口，UDP目的端口，IP源地址，IP目的地址填充到流表项匹配域；5.4)流表项的指令集中包含修改动作集指令，将动作集指令设置为Drop；5.5)补齐流表项的其他字段，生成流表；6)OpenFlow交换机执行流表产生模块(Flow Table Generator)下发的流表指令，丢弃当前进入OpenFlow交换机的数据包。