查看更多>>摘要:软件定义网络凭借着自身灵活的优势,被广泛应用在各类网络场景,但由于控制平面控制集中、资源有限,控制平面饱和攻击成为该网络中最大的安全威胁.控制平面饱和攻击作为DDoS攻击的特殊实践,其目标是消耗控制器的处理资源,影响控制器下发流规则,最终使网络瘫痪.与传统网络中攻击主要影响单一网络结点不同,在软件定义网络中,一旦控制器遭受攻击,子域下交换机都将失去工作能力,甚至引发更大范围的级联故障.近年来,学者们为了提高分布式软件定义网络的安全性作出了很多创新,但大多数研究采用弹性扩容和动态映射的方法,不断地增删设备和改变网络映射配置,在提高了防御成本的同时,还降低了网络的可靠性,且复杂的网络配置违背了软件定义网络的初衷,为网络管理增加了难度.本文针对控制平面遭受的饱和攻击,提出了一种基于交换机迁移的防御方法.首先,通过分析软件定义网络中控制器的负载来源,提出了由北向开销、南向开销和水平开销组成的计算负载,并利用阈值检测机制,监测控制器负载情况,实现了对控制平面的实时饱和检测.然后,综合流表统计信息和空间特征图,提出了与平均数据包、上下行流量比率和交换机重要程度相关联的迁移系数,以准确识别处于攻击路径上的交换机.最后,在交换机迁移策略的支持下,将其迁移至低载控制器子域当中,缓解受攻击控制器的单点故障问题,从而完成对攻击的防御效果.在实验验证阶段,本文首先证明了控制平面饱和攻击的攻防过程实质上是一场资源竞争博弈,可以通过资源的调配缓解攻击影响.然后,本文证明了所提方法所具有的灵活性和动态性,能够根据资源情况和网络情况动态选择目标,实现迁移操作.最后通过多组实验,本文证明了所提出的方法能够有效地缓解不同拓扑的控制平面饱和攻击,控制器饱和次数平均减少90%和65%,迁移目标首选率和单次迁移率都超过70%,有效避免了级联故障的产生,与其他方法相比,在64%左右的时间里负载标准差最低,迁移总次数最少降低11%,且迁移时间开销最少降低60%.