SDN中基于流特征的DDoS攻击与闪拥事件检测

姜文醍，谷 宇，任丹妮，李华康，孙国梓

(南京邮电大学 计算机学院，南京 210046)

0 引 言

随着当前网络市场的需求越来越高，软件定义网络(software define network, SDN)被提出，它定义了一种新的网络设计方式和管理方法[1]。SDN控制器通过下发流表与控制原则来决定流量的流向，以此达到路由机制、封包分析、网络虚拟化等功能的实现。尽管SDN具有其优势，但SDN却存在一些固有的安全挑战，如可靠性、可扩展、延迟和控制器布局等。分布式拒绝服务(distributed denial of service，DDoS)攻击为攻击者提供了一种有利的方式来破坏这些系统的安全。如果攻击者从多个IP发送大量数据包，这些数据包将被转发给控制器，那么流量将消耗控制器的所有可用资源，并使合法用户的访问不可用。因此，DDoS防御是SDN的重要研究课题。

目前，除了DDoS攻击之外，还有另外一种网络流量在安全人员的研究中越来越受欢迎，即闪拥，它导致对Web合法用户的请求拒绝服务。

FC类似于高速的DDoS攻击，成千上万的合法用户试图同时访问特定的计算资源，例如世界杯的举办、某国领导人换届选举等。FC事件很容易被误认为是一系列的DDoS攻击。DDoS攻击和FC有很多共同点，例如源IP在短时间内增多，流量大小的变化，网络服务器的响应延迟等，它们之间的参数差异很小。这种情况就使得区分DDoS和FC的难度增大[2]。

目前，大部分针对SDN中DDoS攻击检测的方法还是利用了传统网络中对数据包的一系列特征分析方法，且其中大部分都没有有效区分DDoS攻击与FC事件，这就可能导致正常的突发流量的访问被拒绝，而对打击DDoS攻击的关键是如何从海量的网络数据中高效地识别和提取电子证据[3]。……