1、收稿日期:2 0 2 2 0 9 0 8作者简介:侯泽鹏(1 9 9 3-),男,工程师,主要从事网络信息安全、信息通信的研究工作。S D N中基于R e n y i交叉熵和RM S p r o p算法的双层D D o S识别模型侯泽鹏,赵 炜,王 尧,付 强(国网河北省电力有限公司信息通信分公司,河北 石家庄 0 5 0 0 0 0)摘要:针对软件定义网络(S D N)中存在的D D o S攻击,提出了基于R e n y i交叉熵和RM S p r o p算法的D D o S识别模型。首先,引入计算双向流比例作为检测模块的初检方法,降低常态化监控负荷的同时,能够及时发现异常流量;然后,引入R
2、 e n y i交叉熵算法作为识别模块流量特征相似性定值计算方法,有效扩大异常与正常流量数据间的信息距离,对D D o S初期小流量攻击,可以更早地识别;最后,识别模块引入RM S p r o p算法计算当前网络阈值,可以吸收瞬时突变,进一步提升识别准确性。实验结果表明,该模型具备时间开销低、识别成功率高的特点,可以有效地增加S D N的安全性。关键词:软件定义网络;分布式拒绝服务;R e n y i交叉熵;RM S p r o p算法;网络安全中图分类号:T P 3 9 3.0;TM 7 1 1 文献标志码:B 文章编号:1 0 0 1 9 8 9 8(2 0 2 3)0 3 0 0 7 9
3、 0 6MM uu ll tt ii-ll ee vv ee llDD DD oo SSII dd ee nn tt ii ff ii cc aa tt ii oo nnMM oo dd ee llBB aa ss ee ddoo nnRR ee nn yy iiCC rr oo ss ss-ee nn tt rr oo pp yyaa nn ddRRMM SS pp rr oo ppAA ll gg oo rr ii tt hh mmii nnSS DD NNHOUZ e p e n g,Z HAO W e i,WAN DY a o,F U Q i a n g(I n f o r m a t
4、 i o na n dC o mm u n i c a t i o nB r a n c ho fS t a t eG r i dH e b e iE l e c t r i cP o w e rC o.,L t d.,S h i j i a z h u a n g0 5 0 0 0 0,C h i n a)AA bb ss tt rr aa cc tt:A i m i n ga t t h eD D o sa t t a c k i nS o f t w a r eD e f i n e dN e t w o r k(S D N),aD D o sr e c o g n i t i o nm
5、 o d e l b a s e do nR e n y i c r o s se n-t r o p ya n dt h eRM S p r o p(R o o tM e a nS q u a r eP r o p)a l g o r i t h mi sp r o p o s e d.T h em o d e l i sd i v i d e d i n t o t w o-l a y e rm o d u l e s:T h e f i r s tm o d u l e i n t r o d u c e s t h eb i d i r e c t i o n a l f l o wr
6、 a t i oa s t h e i n i t i a l d e t e c t i o nm e t h o do f t h ee a r l yw a r n i n gm o d u l e,w h i c hc a nt i m e l yd e-t e c t a b n o r m a l t r a f f i c i nt i m ew h i l er e d u c i n gt h en o r m a lm o n i t o r i n gl o a d.T h e i d e n t i f i c a t i o nm o d u l ee m p l a
7、 y s t h eR e n y i c r o s se n-t r o p ya l g o r i t h ma s t h e s i m i l a r i t yc a l c u l a t i o nm e t h o d f o r t r a f f i c c h a r a c t e r i s t i c s.T h i se f f e c t i v e l y i n c r e a s e s t h e i n f o r m a t i o nd i s t a n c eb e t w e e na b n o r m a l a n dn o r
8、m a l t r a f f i cd a t a,a n dc a n i d e n t i f yt h e i n i t i a l l o w-t r a f f i ca t t a c k so fD D o Se a r l i e r.M e a n w h i l e,RM S p r o pa l g o r i t h mi s i n t r o d u c e d i n t o t h e i d e n t i f i c a t i o nm o d u l e t o c a l c u l a t e t h e c u r r e n t n e t
9、 w o r k t h r e s h o l d,w h i c hc a na b s o r b i n s t a n t a n e o u sm u t a t i o na n d f u r t h e r i m p r o v e t h e i d e n t i f i c a t i o na c c u r a c y.T h e e x p e r i m e n t a l r e s u l t s s h o wt h a t t h em o d e l h a s t h e c h a r a c t e r i s t i c so fl o wt
10、 i m ec o s t a n dh i g hr e c o g n i t i o ns u c c e s sr a t e,w h i c hc a ne f f e c t i v e l y i n c r e a s e t h es e c u r i t yo fS D N.KK ee yyww oo rr dd ss:S o f t w a r eD e f i n e dN e t w o r k;D D o S;R e n y iC r o s s-E n t r o p y;RM S p r o pA l g o r i t h m;n e t w o r ks
11、e c u r i t y0 引言随着网络业务需求不断扩展,网络资源管理呈现多元化趋势,对网络架构的可扩展性、可靠性以及可管理性提出了更高的要求。为应对上述新的网络架构部 署 需 求,软 件 定 义 网 络(S o f t w a r eD e f i n e dN e t w o r k,S D N)应运而生。S D N起源于2 0 0 6年斯坦福大学的C l e a nS t a t e研究课题,其核心思想是控制平面与转发平面相分离1,克服了网络基础设施部署的局限性,具有开放性和可编程性的特点23。在S D N中,控制层可以实时掌握全局的网络信息,并通过南向接口将转发规则下发到交换机等一些
12、基础设备中,从而实现网络的集中管控4。分布式拒绝服务(D i s t r i b u t e dD e n i a lo fS e r v-i c e,D D o S)攻击是一种基于D o S的分布的大规模拒绝服务攻击,主要为一种资源耗尽型攻击。研究人员发现针对S D N本身的D D o S攻击可以分为两类:针对S D N控制器设备的P a c k e t_i n流量D D o S攻击5、针 对S D N网 络 设 备 的I P数 据 包 流 量D D o S攻击6。因此,研究针对S D N的实时D D o S97V o l.4 2N o.3 河北电力技术 第4 2卷 第3期J u n.2 0
13、 2 3 HE B E IE L E C T R I CP OWE R 2 0 2 3年6月攻击检测与识别方法非常重要。到目前为止,针对S D N环境下的D D o S攻击检测与识别方法总体分为基于统计学计算阈值的方法和基于机器学习分类的方法。基于统计学的检测方法是选取S D N中若干流量特征,利用统计学对规定时间窗内的特征量进行计算并设定阈值,如果某特征量超过其设定的对应阈值,则判断为D D o s攻击。S h a r i q等7人将I P是否存在于流表中、是否存在成功的T C P连接、协议类型、数据通信速率作为统计特征,对4个特征量进行统计评分;同时采用自适应阈值算法判定D D o S攻击
14、是否发生。Z HE NG等8利用R/S分析算法计算网络流量H u r s t指数,即用该指数反映网络流量的相似性并确定阈值。当发生D D o S攻击时,网络流量的H u r s t指数会出现向上或向下偏离阈值。但是该方法的检测率和误报率有待提高。X i a n gY o u等9将P a c k e t_i n流量作为特征量,利用信息熵计算该特征量的离散程度,如果超过阈值,则判定为D D o S攻击。该方法普适性较差,不同网络环境下及同一网络环境下不同时刻的阈值变化较大。但是以上使用的各种基于熵的统计方法对于小流量的检测效果不够明显。基于机器学习的检测方法是选取S D N中若干流量特征,并利用机
15、器学习的方法对恶意流量进行判别,目前被广泛应用的包括S OM、S VM、神经网络等 算 法。J i n Y e等1 0首 先 利 用O n p_F l o w_S t a t s收集各流表和各端口的统计信息,然后根据统计信息计算源I P和源端口的增长率,并同时计算流数据包数量、字节量标准差和可配对比例,最后以S VM算法作为分类依据判定D D o S攻击。但是该方法忽略了匹配为通配符的情况,导致计算结果不准确。姚琳元等1 1利用神经网络检测方法,对流量中的七元组进行特征提取并开展机器训练,最终使其具有检测D D o S的能力。李曼等1 2设计了一种基于X G B o o t的D D o S攻击
16、检测方法,该方法使用X G B o o t对流量进行建模、特征提取和训练。但是该算法参数过多,耗费过多的控制器计算资源。综上所述,针对目前S D N环境下D D o S攻击检测方法准确率较低、额外负载较高的问题,本文提出一种S D N环境下基于R e n y i交叉熵和RM-S p r o p算法的D D o S攻击检测方法。该方法以轻量化的流量采集方式,引入双向流比例作为第一层检测方法。如果检测发现异常,利用R e n y i交叉熵计算当前网络窗口流量特征熵值,同时利用RM-S p r o p算法计算当前网络窗口流量特征熵值的阈值,通过比较熵值与阈值的大小识别D D o S攻击是否发生。2 S D N架构、R e n y i交叉熵及R M S p r o p算法原理2.1 S D N架构S D N网络架构由上到下包含三层:应用层、控制层和转发层。在应用层上按照A P I标准开发应用程序;控制层是S D N的核心层,其按照O p e n-f l o w协议规定的通信规则,以流表项的形式将转发规则下发给交换机和路由器,并对网络的拓扑和状态信息进行维护和管理;转发层只负责数据的转发和状态收
