一种针对基于openflow的sdn网络中控制层面的dos攻击研究

针对openflow协议报文交换机制里所有非数据报文均需要通过packet_in报文上传控制器的弱点,提出一种不停查询未知转发地址从而造成sdn网络控制层面资源耗尽的新型dos攻击方式,同时基于sdn网络可编程性提出检测攻击与降低网络时延的解决策略。首先通过sdn控制器北向应用接口,使用defense4all应用中自定义功能,针对dos攻击特性检测网络中恶意流量。然后利用控制器动态配置特性,实时更新交换机配置文件,改变网络转发策略,从而减轻攻击对整个网络造成的影响。实验仿真表明,在大规模高速攻击中,该方法的检测成功率接近100%,在攻击源较少的慢速攻击中检测成功率低于80%,整体网络延迟降低10ms以上。所提出的解决策略可以有效减少针对控制平面的dos攻击对整个网络的干扰。