SDN环境中基于交叉熵的分阶段DDoS攻击检测与识别

刘 涛 尹 胜

(西安科技大学通信与信息工程学院 陕西 西安 710054)

0 引 言

移动设备数量激增导致网络规模不断壮大，研究学者们提出软件定义网络(Software Define Network,SDN)解决方案缓解网络压力[1]。尽管SDN有很多优点，但仍有一些问题需要解决。在SDN网络中，控制器遭受故障可能对整个网络造成恶劣影响，但SDN网络易被攻击的控制节点数要比传统网络少两个数量级[2-3]，因此可以将抵御攻击的目标放在重要的节点上，从而把恶意攻击阻止在网络外。

针对SDN中的DDoS攻击，本文提出一种分阶段多层次的DDoS攻击识别模型。包含基于CPU使用率触发检测模块、目的IP交叉熵值、PACKET_IN数据包的预警检测模块和流量特征识别模块。引入交换机CPU使用率的初检方法，期望在降低常态化监控负荷的同时，能够及时发现异常；引入交叉熵值的知识，对正常与异常流量特征分布上的相似性进行定量分析，验证是否能提高灵敏度，降低漏报率和误报率，以期提升攻击识别检测效果。

1 相关研究

近年来，学者们对SDN中的DDoS攻击识别展开了相关研究。Giotis等[4]提出在SDN中提取流特征信息，采用信息熵的算法进行检测。Basicevic等[5]引入广义熵值区分异常攻击，但计算负荷也随之上升。Mousavi等[6]对目的IP信息熵值进行计算，并与指定阈值对比判断网络是否正在遭受攻击。Ma等[7]采用源IP和目的IP的信息熵来检测攻击流量，Jun等[8]在此基础上添加了对数据包速度的监控检测DDoS攻击。但单一的属性检测对攻击的覆盖面不够广，且信息熵值只能表明两种分布分散程度的差异性，无法体现相似性。……