SDN环境下的DDoS攻击检测方案

SDN环境下的DDoS攻击检测方案 DDoS Attack Detection Scheme under SDN Environment 1 2 first-author 刘振鹏，男，教授，博士，主要研究方向为网络信息安全、隐私保护、软件定义网络等。 E⁃mail:lzp@hbu.edu.cn 刘振鹏，男，教授，博士，主要研究方向为网络信息安全、隐私保护、软件定义网络等。 E⁃mail:lzp@hbu.edu.cn lzp@hbu.edu.cn 1 3 2 河北大学 网络空间安全与计算机学院，河北 保定 071002 河北大学 网络空间安全与计算机学院，河北 保定 071002 School of Cyberspace Security and Computer， Hebei University， Baoding 071002， Hebei， China School of Cyberspace Security and Computer， Hebei University， Baoding 071002， Hebei， China 河北大学 信息技术中心，河北 保定 071002 河北大学 信息技术中心，河北 保定 071002 Information Technology Center， Hebei University， Baoding 071002， Hebei， China Information Technology Center， Hebei University， Baoding 071002， Hebei， China 河北大学 电子信息工程学院，河北 保定 071002 河北大学 电子信息工程学院，河北 保定 071002 School of Electronic Information Engineering， Hebei University， Baoding 071002， Hebei， China School of Electronic Information Engineering， Hebei University， Baoding 071002， Hebei， China DDoS攻击（分布式拒绝服务攻击）对于软件定义网络的危害是致命的，如何快速准确地检测出DDoS攻击对于SDN安全至关重要。提出一种SDN（software⁃define networking）环境下基于广义信息熵和GA⁃RBFNN（genetic algorithm⁃radical basis function neural network）的DDoS攻击检测方法。利用熵检测流量，根据划分的阈值把检测结果分为正常，异常和攻击。对于异常的警告，控制器通过提取OpenFlow交换机的8元流量特征，利用GA⁃RBFNN来检测是否发生DDoS攻击。实验表明，与其他方法相比本方案提高了检测准确率，降低了控制器开销，有较好的综合检测能力。 DDoS attacks (distributed denial of service attacks) are fatal to software⁃defined networking. How to detect DDoS attacks quickly and accurately is crucial to SDN security. ADDoS attack detection method based on general information entropy and GA⁃RBF neural network in SDN environment is proposed. The detection results are classified into normal, abnormal and attack according to the threshold value of the partition by using entropy. For abnormal warnings, the controller uses the GA⁃RBFNN (genetic algorithm⁃radical basis function neural network） to detect DDoS attacks by extracting the 8⁃element flow features of the OpenFlow switch. Experiments show that the detection accuracy is improved ， the overhead of the controller is reduced, and the comprehensive detection ability is increased with comparison of other methods. 软件定义网络 分布式拒绝服务攻击 广义信息熵 径向基神经网络 攻击检测 SDN（software⁃define networking） DDoS(distributed denial of service) attacks generalized information entropy RBFNN(genetic algorithm ⁃radical basis function neural network） attack detection 0　 引 言 1 软件定义网络(software⁃define networking，SDN)是美国斯坦福大学提出的一种新型的网络架构 [ 1 1 ] ,与传统网络最大的区别就是实现了控制层和数据层的分离。数据层与控制层之间的标准协议为OpenFlow协议 [ 2 2 ] 。分布式拒绝服务(distributed denial of service attacks，DDoS)攻击一直是互联网安全的主要威胁之一。多台傀儡主机被攻击者控制后向受害主机发送大量攻击数据包，消耗目标主机的资源，使目标主机无法正常地为合法用户提供服务 [ 3 3 ] 。DDoS攻击发起简单、危害性大，难以被精准快速检测和防御。由于SDN网络的特点，当发生DDoS攻击时不仅危害被攻击主机，还会引发交换机流表项大量增长，产生大量packet_in消息发送到控制器。在这个过程中，控制器、被攻击的主机及其所连接的交换机都会受到极大的影响。所以DDoS攻击对于SDN架构的网络的危害是巨大的 [ 4 4 ] 。如何快速准确地检测DDoS攻击是SDN网络安全的重点和难点问题之一。 对于传统网络的DDoS攻击检测方法有很多。文献[ 5 5 ]通过建立数据库，统计库中目的和源IP，虽然检测准确率高，但是需要大量的历史数据，适用性较差。文献[ 6 6 ]通过分析不同协议的流量特征，使用ANN算法对流量检测，可以检测出未知的DDoS攻击。SDN中的DDoS攻击检测方法常见的有基于信息熵的检测方法和基于机器学习的检测方法。基于信息熵的检测方案 [ 7 7 , 8 8 ] 虽然简单快速但是检测信息单一、错误率高。基于机器学习的方法 [ 9 9 , 10 10 , 11 11 ] 准确率高但是检测复杂，控制器需要实时不断提取交换机的流表信息，对控制器的资源占用量较大。基于此，本文提出广义信息熵与遗传算法-径向基函数神经网络(genetic algorithm ⁃radical basis function neural network, GA⁃RBFNN)结合的方案，利用熵值将检测结果分为正常、异常和攻击3种类型，对于异常警报，控制器使用OpenFlow技术收集流表信息提取8元流表特征，利用基于遗传算法优化的径向基神经网络来检测是否发生攻击。 1　 方案模型 1 方案模型如 图1 图1 所示，攻击检测主要是在SDN控制器中进行，在控制器中包括熵值检测模块，异常检测模块，攻击防御模块。 1.1　基于熵的检测模块 2 在信息论中，信息熵是随机变量不确定性的度量，其中变量的随机性越大，其熵值也越大。相比之下，信息变量的确定性越高则熵值越小 [ 12 12 ] 。一般正常网络情况中主机之间通信的机会大致均等，当发生DDoS攻击时，往往是多对一攻击，数台傀儡主机将攻击数据包发送到受攻击的目的主机，大量相同的目的地址的数据包降低了网络随机性。所以DDoS攻击流量的目的IP与正常流量的目的IP地址相比相对集中，攻击流量的目的IP的熵值要小于正常流量的熵值，因此可以用信息熵的方法来检测是否发生DDoS攻击。应用熵值进行攻击检测时要调整两个重要的参数，一个是阈值，另一个是窗口大小。阈值是攻击检测的衡量依据，窗口大小是基于窗口内数据包数量的。 设 M ={ M 1 , M 2 ,…, M i ,…， M n }为 n 种不同的目的IP地址集合， M i 代表目的IP地址为IP i 的所有数据包之和。 <math id="M1"><msub><mrow><mi>p</mi></mrow><mrow><mi>i</mi></mrow></msub><mo>=</mo><mfrac><mrow><msub><mrow><mi>M</mi></mrow><mrow><mi>i</mi></mrow></msub></mrow><mrow><mover><mrow><munder><mrow><mo movablelimits="false">∑</mo></mrow><mrow><mi>i</mi><mo>=</mo><mn mathvariant="normal">1</mn></mrow></munder></mrow><mrow><mi>n</mi></mrow></mover><msub><mrow><mi>M</mi></mrow><mrow><mi>i</mi></mrow></msub></mrow></mfrac></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118009&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118005&type= 17.86466599 13.20799923 为dstIP i 出现的概率。香农熵的公式定义为 <math display="block" id="M2"><mi>H</mi><mo stretchy="false">(</mo><mi>x</mi><mo stretchy="false">)</mo><mo>=</mo><mo>-</mo><mover><mrow><munder><mrow><mo movablelimits="false">∑</mo></mrow><mrow><mi>i</mi><mo>=</mo><mn mathvariant="normal">1</mn></mrow></munder></mrow><mrow><mi>n</mi></mrow></mover><msub><mrow><mi>p</mi></mrow><mrow><mi>i</mi></mrow></msub><mi mathvariant="normal">l</mi><mi mathvariant="normal">o</mi><msub><mrow><mi mathvariant="normal">g</mi></mrow><mrow><mn mathvariant="normal">2</mn></mrow></msub><msub><mrow><mi>p</mi></mrow><mrow><mi>i</mi></mrow></msub></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118016&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118011&type= 35.22133255 8.46666718 广义的信息熵是香农熵的广义形式 <math display="block" id="M3"><msub><mrow><mi>H</mi></mrow><mrow><mi>α</mi></mrow></msub><mo stretchy="false">(</mo><mi>x</mi><mo stretchy="false">)</mo><mo>=</mo><mfrac><mrow><mn mathvariant="normal">1</mn></mrow><mrow><mn mathvariant="normal">1</mn><mo>-</mo><mi>α</mi></mrow></mfrac><mi mathvariant="normal">l</mi><mi mathvariant="normal">o</mi><msub><mrow><mi mathvariant="normal">g</mi></mrow><mrow><mn mathvariant="normal">2</mn></mrow></msub><mo stretchy="false">(</mo><mover><mrow><munder><mrow><mo movablelimits="false">∑</mo></mrow><mrow><mi>i</mi><mo>=</mo><mn mathvariant="normal">1</mn></mrow></munder></mrow><mrow><mi>n</mi></mrow></mover><msubsup><mrow><mi>p</mi></mrow><mrow><mi>i</mi></mrow><mrow><mi>α</mi></mrow></msubsup><mo stretchy="false">)</mo></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118023&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118020&type= 43.18000031 8.46666718 当 α →1时，广义熵就是香农熵。当 α > 1时，广义熵的特点是高概率事件会对熵值产生更大的影响 [ 13 13 ] 。使用广义熵有利于更好地选择阈值，清晰高效地区分攻击和正常流量，增强检测能力 [ 14 14 ] ，所以本文使用广义熵来进行检测。 当有数据包发送到OpenFlow交换机时，首先与交换机的流表项进行匹配，匹配成功则进行转发；否则，交换机把这些数据包封装成Packet_in，发送到中心控制器。因为DDoS攻击的重要方式是IP欺骗，所以会有大量攻击数据包由交换机发送到控制器。 基于熵的检测模块通过解析控制器收集的Packet_in包，检测窗口内数据包的目的IP的广义熵。如同文献[ 7 7 ]中设置，每个窗口50个数据包，连续检测5个窗口，共检测250个数据包，这样比直接检测一个大小为250个数据包的窗口降低了偶然性。通过实验设定出合理的广义熵阈值 T 1 和 T 2 ，当连续5个窗口的目的IP的熵大于 T 1 时，则认为网络流量正常，当连续5个窗口的目的IP的熵小于 T 2 时，则认为发生DDoS攻击。其他的情况则发出异常警报。由于只使用熵的方式检测目的IP地址，检测内容单一对于异常情况因为不确定是正常流量还是攻击流量，为了不影响正常流量的转发，先下发流表规则到交换机之后再由异常检测模块进行进一步检测。 1.2　异常检测模块 2 1.2.1　流表采集模块 3 该模块主要通过OpenFlow协议来对流表信息进行收集，流表是数据流转发的依据，当发生异常警报后，控制器通过设置会向OpenFlow交换机发送ofp⁃flow⁃stats⁃request报文来采集流表。采集的时间间隔要合适，间隔太长会使网络在未发现攻击前就瘫痪，间隔太小会增加控制器的压力，本文设置5 s的时间间隔。当发生异常警报后流表采集模块将采集来的流表通过特征提取模块对流特征进行提取，之后通过攻击检测模块实现检测。流表项格式如 图2 图2 。 1.2.2　特征提取模块 3 要实现本文中神经网络的算法，首先需要确定特征。DDoS攻击者可以使用各式各样的攻击手段和方法，但是绝大部分的攻击流量符合一定规律。所以可以利用流表信息在单位时间内的流量分布特征的变化进行分析。文献[ 9 9 ]确定了6项特征，即流的平均数据包(APf)，流的平均字节数(ABf)，对流百分比(PPf)，流的平均持续时间(ADf)，单流增长率(GSf)，不同端口的增长率(GDP)6元特征组。我们通过保留部分特征，改变和增加一些特征，提出DDoS攻击相关的8项特征： 1) 数据流的平均包数(average packets per flow，APF)。通过研究知道攻击状态的流量与正常流量在数据包的数量上有所区别，因为DDoS攻击可以利用srcIP欺骗，随机生成假的IP地址，这一特性快速生成大量的攻击流，但是每条攻击流中数据包的数量将会减少。而在针对网络带宽的DDoS攻击中，流的数据包数会大量增加。 2) 数据流的平均字节数(average bytes per flow，ABF)。和APF一样，攻击状态的流的比特数要么太高，要么太低，因此使ABF成为检测DDoS攻击的重要特性。 3) 对流百分比(percentage of correlative flow，PCF)。网络中正常流量的IP地址具有交互性，正常流量是为了获取或者提供服务的，而攻击流中因为伪造IP地址，所以不具有交互性，没有办法提供正常服务。对流的含义是数据流A的源IP是流B的目的IP，流A的目的IP是B的源IP，流A，B的协议相同。 4) 数据流表项增速(rate of flow entries，RFE)。当DDoS攻击发生时，网络中特定的主机请求会增加，所以会使有关该主机为目的地址的流表项数目在一定时间内增加。所以流表项速率也是攻击的特征之一。 5) 数据流表匹配率(rate of flow entries matching，RFM)。流量到交换机时，交换机会查找与流匹配的数据流表项，因为攻击流量伪造了大量地址，所以数据包与流表项的匹配成功率会快速下降。 6) 源IP地址的熵(entropy of source IP addresses，ESA)。如之前所说的DDoS攻击会产生大量的伪造的源IP地址，针对受攻击的主机为目的地址的攻击流，其源IP地址的相对分散，随机性高，所以攻击流量的srcIP的熵值比正常的srcIP熵值大。 7) 目的IP地址的熵(entropy of destination IP addresses，EDA)。因为攻击流量的dstIP较正常流量相比更加的集中，随机性低，所以攻击流量的dstIP的熵值比正常的dstIP熵值小。 8) 协议的熵(entropy of protocol type, EPT)。在DDoS攻击中流量的协议类型通常是相同的，攻击流量越多，流量协议的随机性就越小，所以攻击流量的协议的熵比正常流量的熵小。 1.2.3　攻击检测模块 3 因为正常流量与攻击流量的特征是有区别的，所以攻击检测可以看作是一种分类问题。流表采集模块收集流表信息，特征提取模块从收集的流表信息提取的8元特征值作为训练样本来对攻击检测模块进行训练，，训练完成后可以进行DDoS攻击检测，区分流量正常与否。 攻击检测模块使用的检测算法是基于遗传算法优化的径向基神经网络。 径向基函数神经网络(radical basis functionneural network，RBFNN) [ 15 15 ] 是20世纪80年代末提出的神经网络，RBFNN具有训练速度快，惟一最佳逼近等优点,已成功应用于各领域。RBFNN是一个只具有一个隐含层的前反馈人工神经网络，如 图3 图3 所示。 本文使用RBF网络检测8元特征向量来判断是否发生攻击，输入层节点数为8，输出层节点数为1，隐含层节点数设为25。使用径向基神经网络的一个重要问题就是隐含层的中心 c i ，隐含层的宽度 b i 以及输出权值 w i 这3个参数的最优初始值的选择。如果这3个参数选择得不合适，会降低径向基神经网络的准确率和有效性。本文使用遗传算法来对RBFNN的3个参数进行优化。 遗传算法（genetic algorithm，GA）是一种根据生物进化而产生的全局优化算法，搜索过程中不易陷入局部最优。方案把中心值 c i ，宽度 b i 和输出权值 w i ，编码成一个染色体。 选择适当的种群大小及合适的适应度函数，通过遗传迭代逐渐优化，求得最优解作为RBFNN 3个参数的初始值。具体的步骤有： 1） 编码结构：将中心值 c i ，宽度 b i 和输出权值 w i 二进制排列编码，通常是编码越长精度越高，可是如果编码太长的话会使搜索空间急速扩大。染色体中的每个参数由10位的二进制编码表示。 2) 确定种群大小：种群的规模 G 一般在10到100之间，太大增加计算复杂度，太小的话精确度不高。经过考虑，本文选择的种群大小为50。 3) 适应度函数：通过引入适应度函数，体现每一代个体的适应能力的大小。径向基神经网络是以网络精确度函数达到最小为训练的目标，本文定义的目标函数 <math display="block" id="M4"><mi>J</mi><mo>=</mo><mn mathvariant="normal">50</mn><mover><mrow><munder><mrow><mo movablelimits="false">∑</mo></mrow><mrow><mi>i</mi><mo>=</mo><mn mathvariant="normal">1</mn></mrow></munder></mrow><mrow><mi>N</mi></mrow></mover><mfenced open="|" close="|" separators="|"><mrow><mi>e</mi><mo stretchy="false">(</mo><mi>i</mi><mo stretchy="false">)</mo></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118053&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118047&type= 24.04533386 8.46666718 其中, e(i) 代表的是实际输出与理想输出的差，一般情况下，把适应度函数定义为目标函数的倒数 <math display="block" id="M5"><mi>f</mi><mo>=</mo><mfrac><mrow><mn mathvariant="normal">1</mn></mrow><mrow><mi>J</mi></mrow></mfrac><mo>=</mo><mfrac><mrow><mn mathvariant="normal">1</mn></mrow><mrow><mn mathvariant="normal">50</mn><mover><mrow><munder><mrow><mo movablelimits="false">∑</mo></mrow><mrow><mi>i</mi><mo>=</mo><mn mathvariant="normal">1</mn></mrow></munder></mrow><mrow><mi>N</mi></mrow></mover><mo>|</mo><mi>e</mi><mo stretchy="false">(</mo><mi>i</mi><mfenced open="" close="|" separators="|"><mrow><mo stretchy="false">)</mo></mrow></mfenced></mrow></mfrac></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118059&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118055&type= 32.93533325 13.20799923 4) 选择：选择是为了从当前的群体中选择出比较优良的个体，使之有机会繁殖下一代。在本方案中使用的是轮盘赌的选择方法，个体的适应度越大则个体被选中的概率就越大。 5) 交叉：子代继承两个父代的基因继续创造新的个体的过程叫做交叉。本文使用单点交叉算子，交叉概率 P c =0.7。 6) 变异：以很小的概率对种群中个体串的某些基因值改动。本文选择的变异概率为 P m =0.01。 7) 终止条件：有两种终止条件可选择，一种是直到适应度函数不再发生变化，第二种是迭代次数达到设定的代数。本文选择第二种方法。 在获得中心值 c i ，宽度 b i 和输出权值 w i 这3个参数的最优初始值后，再通过梯度下降的方法调整。使用训练完成后的GA⁃RBFNN对异常流量进行检测，区分是否发生DDoS攻击。 1.3　攻击防御模块 2 当熵值检测模块和异常检测模块检测出DDoS攻击后发出攻击警报，这时攻击防御模块根据检测到的攻击流的特征开始向OpenFlow交换机下发或更改流表规则，阻止攻击流的转发，同时下发指令给防火墙，阻止DDoS攻击流量进入。 2　 实验设计与分析 1 2.1　实验设计 2 实验在i5 CPU，4GB内存的Ubuntu 16.04操作系统的计算机上进行。基于Java实现的Floodlight作为控制器，使用Mininet仿真软件建立实验网络拓扑。选用支持OpenFlow协议的Open vSwitch交换机，内核虚拟化作为终端主机，构建8台OVS交换机50台主机的网络拓扑。S1~S7交换机中分配40台主机，S8交换机中分配10台主机，S8网络中的主机地址设为10.0.0.41至10.0.0.50。流量来自S1~S7的主机，正常流量访问S8网络的任何主机，网络中大约包含85%的TCP流量，10%UDP流量，5%的ICMP流量 [ 16 16 ] 。当攻击时选择10.0.0.50的主机为受害主机，攻击流量则是使用经典的DDoS生成工具TFN生成。可发起的攻击类型包括TCP_SYN flood，UDP flood和ICMP flood等。 2.2　结果分析 2 首先通过计算香农熵获取正常和攻击流量的熵值。设 <math id="M6"><mi>R</mi><mo>=</mo><mfrac><mrow><msub><mrow><mi>P</mi></mrow><mrow><mi>a</mi></mrow></msub></mrow><mrow><msub><mrow><mi>P</mi></mrow><mrow><mi>n</mi></mrow></msub></mrow></mfrac><mo>×</mo><mn mathvariant="normal">100</mn><mi mathvariant="normal">%</mi></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118066&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118063&type= 27.43200111 8.55133343 为攻击强度，即DDoS攻击数据包 P a 占正常数据包 P n 的比例。通过对正常流量和对攻击强度为70%的流量分别进行了30次实验得到熵值。这里选择攻击强度为70%是因为超过这个值的流量可以认为是明显的攻击流量。 对（2）式进行熵值归一化处理 <math display="block" id="M7"><mi>H</mi><mi mathvariant="normal">'</mi><mo>=</mo><mfrac><mrow><msub><mrow><mi>H</mi></mrow><mrow><mi>α</mi></mrow></msub><mo stretchy="false">(</mo><mi>x</mi><mo stretchy="false">)</mo></mrow><mrow><mi mathvariant="normal">l</mi><mi mathvariant="normal">o</mi><msub><mrow><mi mathvariant="normal">g</mi></mrow><mrow><mn mathvariant="normal">2</mn></mrow></msub><mi>n</mi></mrow></mfrac></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118075&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118071&type= 20.23533440 8.63599968 实验得出正常流量的平均熵值0.997，70%攻击的流量的平均熵值为0.806。再使用广义熵通过变化 α 的值计算正常和攻击流量的熵值。如 图4 图4 和 图5 图5 所示。 由 图4 图4 和 图5 图5 可知流量的广义熵随着 α 的增大而减小，正常流量和攻击流量之差却随着 α 的增大而增大。正常流量和攻击流量熵之差为熵差，熵差越大代表正常与攻击的流量差别越大，更清晰明显地区分攻击和正常流量，提高检测灵敏度，增强检测能力。 α =8时熵差最大。 α =8时，参数选择如 表1 表1 。 参 数 正常流量 70%攻击 平均熵值 0.929 0.373 标准差 0.015 0.011 置信区间 <math id="M8"><mo>±</mo></math> 0.005 4 <math id="M9"><mo>±</mo></math> 0.003 9 最小熵值 0.923 6 0.369 1 最大熵值 0.934 4 0.376 9 阈值 0.92 0.38 正常流量最小值与攻击流量最大值之差 2 0.923 6-0.376 9=0.546 7 本实验正常流量熵的阈值 T 1 选择比最小熵0.923 6稍小的0.92,攻击流量熵的阈值 T 2 选择比最大熵值0.376 9稍大的0.38,这样选择会减少误报率。当连续5个含有50个数据包的窗口计算出的熵值大于0.92时网络为正常状态，当连续5个大小为50个数据包的窗口计算出熵值小于0.38时网络为攻击状态，发出攻击警报进行防御。对于其余的结果则认为网络异常，进行异常情况检测。 实验使用的数据样本一共7 000个，正常和攻击样本的数量如 表2 表2 。 样本 训练集 测试集 正常样本 2 000 1 500 攻击样本 2 000 1 500 训练集对神经网络完成训练后，使用测试集进行测试。测试的结果用以下3个指标来评估： <math display="block" id="M10"><mi mathvariant="normal">D</mi><mi mathvariant="normal">R</mi><mo>=</mo><mfrac><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi></mrow><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">P</mi></mrow></mfrac></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118121&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118117&type= 26.16199875 7.62000036 ； <math display="block" id="M11"><mi mathvariant="normal">F</mi><mi mathvariant="normal">R</mi><mo>=</mo><mfrac><mrow><mi mathvariant="normal">F</mi><mi mathvariant="normal">N</mi></mrow><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">N</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">N</mi></mrow></mfrac></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118129&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118126&type= 26.92399788 7.62000036 ； <math display="block" id="M12"><mi mathvariant="normal">A</mi><mi mathvariant="normal">R</mi><mo>=</mo><mfrac><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">T</mi><mi mathvariant="normal">N</mi></mrow><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">T</mi><mi mathvariant="normal">N</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">N</mi></mrow></mfrac></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118136&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4118131&type= 46.82066727 7.70466709 ； 这3个指标分别是检测率DR (detection rate),误报率FR (false alarm rate),准确率AR (accurate rate)。其中的TP代表攻击样本被正确标记的数量，FP代表攻击样本被错误标记的数量， TN代表正常样本被正确标记的数量，FN代表正常样本被错误标记的数量。对本文提出的8元组检测和文献[ 9 9 ]提出的6元组检测分别进行实验，其得到的结果如 表3 表3 。 2 方法 5 8元组 5 6元组 DR 3 FR AR DR 3 FR AR GA⁃RBFNN 2 98.47 1.13 2 98.67 2 96.93 1.27 2 97.83 RBFNN 2 97.67 1.47 2 98.10 2 95.87 1.74 2 97.07 BPNN 2 96.73 1.80 2 97.47 2 95.27 2.13 2 96.57 % 实验分别与反向传播神经网络(back⁃propagation neural network，BPNN)和使用RBFNN方法的检测结果比较。由 表3 表3 可知经过遗传算法优化后的径向基神经网络的检测效果最好。对于6元组特征检测得到的结果同样是GA⁃RBFNN的整体检测效果最好，而且对于这3种检测方式使用8元组特征的检测率，误报率和准确率均比6元组特征检测的效果稍好。 8元组拥有和6元组相同的前3项重要特征，6元组中的单流增速(GSf)和不同端口增速(GDP)2项特征在SDN网络中都会使以受攻击主机的流表项增速变大，通过8元组的流表项增速(RFE)特征反映出来。6元组中的对流比和单流增速2项特征都是对单流这一特征的反映。8元组的流表匹配率(RFM)是SDN网络的特有特征。其8元组的基于源IP、目的IP和协议的熵这3项特征本身也是常用区分DDoS攻击的重要特征。 最后使用本方案与只使用普通香农熵方法、GA⁃RBFNN方法、香农熵+GA⁃RBF和广义熵+BPNN方法，对3 000次的攻击和3 000次正常的流量访问进行检测，分析其准确率和控制器CPU平均占用率。实验结果如 表4 表4 。 方案 准确率 CPU占用率 香农熵 91.52 25 本方案 97.94 32 GA⁃RBFNN 98.45 38 香农熵+GA⁃RBF 94.47 29 广义熵+BPNN 97.32 32 % 实验数据表明本方案检测准确率与只使用GA⁃RBFNN方法的相差不多，但是CPU的平均占用率比GA⁃RBFNN方法低6%。本方案虽然比香农熵方法CPU占用率高7%，但是准确率远大于香农熵方法；CPU占用率比使用香农熵+GA⁃RBFNN的方法多3%，但是准确率远大于该方法，其原因是使用香农熵时正常和攻击流量的熵差较小导致误判变多；与广义熵+BPNN的方法比较，CPU占用率一样，但准确率稍高于该方法。可以看出，广义熵与BPNN结合的方案是一种检测效果较好且开销较小的方案。而本方案的综合检测效果较好。 3　 结 论 1 本文提出了一种SDN环境下的使用广义熵和GA⁃RBFNN结合的DDoS攻击检测方法。通过熵值检测把结果分为正常、异常和攻击，对异常状态的网络使用GA⁃RBFNN方法进一步检测是否发生攻击。实验表明,本方案的控制器开销较低，准确率较高，综合检测性能较好。本文的研究主要针对SDN网络中数据层的DDoS攻击检测。作为SDN的核心，控制器的安全无疑是重要的，针对控制器的盲DDoS攻击检测和防御将是未来的研究重点。 参考文献 张朝昆 , 崔勇 , 唐翯翯 , 等 . 软件定义网络(SDN)研究进展 [J]. 软件学报 , 2015 , 26 ( 1 ): 62 ⁃ 81 . DOI: 10.13328/j.cnki.jos.004701 http://dx.doi.org/10.13328/j.cnki.jos.004701 . 软件定义网络(SDN)研究进展 ZHANG C K , CUI Y , TANG H H , et al . State⁃of⁃the⁃Art survey on software⁃defined networking (SDN) [J]. Journal of Software , 2015 , 26 ( 1 ): 62 ⁃ 81 .DOI: 10.13328/j.cnki.jos.004701 (Ch) . State⁃of⁃the⁃Art survey on software⁃defined networking (SDN) 左青云 , 陈鸣 , 赵广松 , 等 . 基于OpenFlow的SDN技术研究 [J]. 软件学报 , 2013 , 24 ( 5 ): 1078 ⁃ 1097 . DOI: 10.3724/SP.J.1001.2013.04390 http://dx.doi.org/10.3724/SP.J.1001.2013.04390 . 基于OpenFlow的SDN技术研究 ZUO Q Y , CHEN M , ZHAO G S , et al . Research on OpenFlow⁃based SDN technologies [J]. Journal of Software , 2013 , 24 ( 5 ): 1078 ⁃ 1097 .DOI: 10.3724/SP.J.1001.2013.04390 (Ch) . Research on OpenFlow⁃based SDN technologies YAN Q , YU F R , GONG Q , et al . Software defined networking(SDN) and distributed denialof service(DDoS) attacks in cloud computing environments:A survey, some research issues, and challenges [J]. IEEE CommunicationsSurveys&Tutorials , 2016 , 18 ( 1 ): 602 ⁃ 622 . DOI: 10.1109/COMST.2015.2487361 http://dx.doi.org/10.1109/COMST.2015.2487361 . Software defined networking(SDN) and distributed denialof service(DDoS) attacks in cloud computing environments:A survey, some research issues, and challenges 王涛 , 陈鸿昶 , 程国振 , 等 . 软件定义网络及安全防御技术研究 [J]. 通信学报 , 2017 , 38 ( 11 ): 133 ⁃ 160 . DOI: 10.11959/j.issn.1000⁃436x.2017221 http://dx.doi.org/10.11959/j.issn.1000⁃436x.2017221 . 软件定义网络及安全防御技术研究 WANG T , CHEN H C , CHENG G Z , et al . Research on Software⁃defined network and security defense technology [J]. Journal of Communications , 2017 , 38 ( 11 ): 133 ⁃ 160 .DOI: 10.11959/j.issn.1000⁃436x.2017221 (Ch) . Research on Software⁃defined network and security defense technology 孙知信 , 姜举良 , 焦琳 , 等 . DDOS攻击检测和防御模型 [J]. 软件学报 , 2007 , 18 ( 9 ): 2245 ⁃ 2258 . DOI: 10.1360/jos182245 http://dx.doi.org/10.1360/jos182245 . DDOS攻击检测和防御模型 SUN Z X , JIANG J L , JIAO L , et al . DDOS attack detecting and defending model [J]. Journal of Software , 2007 , 18 ( 9 ): 2245 ⁃ 2258 . DOI: 10.1360/jos182245 (Ch) . DDOS attack detecting and defending model SAIED A , OVERILL R E , RADZIK T , et al . Detection of known and unknown DDoS attacks using artificial neural networks [J]. Neurocomputing , 2016 , 172 ( C ): 385 ⁃ 393 . DOI: 10.1016/j.neucom.2015.04.101 http://dx.doi.org/10.1016/j.neucom.2015.04.101 . Detection of known and unknown DDoS attacks using artificial neural networks MOUSAVI S M , ST⁃HILAIRE M . Early detection of DDoS attacks against SDN controllers [C]// Proceedings of the 2015 International Conference on Computing , Networking and Communications (ICNC) .Washington D C : IEEE , 2015 : 77 ⁃ 81 .DOI: 10.1109/ICCNC.2015.7069319. Early detection of DDoS attacks against SDN controllers GIOTIS K , ARGYROPOULOS C , ANDROULIDAKIS G , et al . Combining OpenFlow and sFlow for an effective and scalable anomaly detection and mitigation mechanismon SDN environments [J]. Computer Networks , 2014 , 62 ( 5 ): 122 ⁃ 136 . DOI: 10.1016/j.bjp.2013.10.014 http://dx.doi.org/10.1016/j.bjp.2013.10.014 . Combining OpenFlow and sFlow for an effective and scalable anomaly detection and mitigation mechanismon SDN environments BRAGA R , MOTA E , PASSITO A , et al . Lightweight DDoS flooding attack detection using NOX/OpenFlow [C]// Proceedings of the 35th IEEE Conference on Local Computer Networks(LCN) . Washington D C : IEEE ， 2010 : 408 ⁃ 415 .DOI: 10.1109/LCN.2010.5735752. Lightweight DDoS flooding attack detection using NOX/OpenFlow CUI Y , YAN L , LI S , et al . Sd⁃anti⁃DDOS: Fast and efficient DDoS defense in software⁃defined networks [J]. Journal of Network and Computer Applications , 2016 , 68 : 65 ⁃ 79 . DOI: 10.1016/j.jnca.2016.04.005 http://dx.doi.org/10.1016/j.jnca.2016.04.005 . Sd⁃anti⁃DDOS: Fast and efficient DDoS defense in software⁃defined networks LI X , YUAN D , HU H , et al . DDoS Detection in SDN switches using support vector machine classifier [C]//Proceedings of the International Mechanical, Electronicand Information Technology Conference(JIMET⁃15) . Paris : Atlantis Press , 2015 : 344 ⁃ 348 . DOI:10.2991/jimet⁃15.2015.63. DDoS Detection in SDN switches using support vector machine classifier MONOWAR H , BHUYAN D K , BHATTACHARYYA J , et al . An empirical evaluation of information metrics for low⁃rate and high⁃rate DDoS attack detection [J]. Pattern Recognition Letters , 2015 , 51 ( C ): 1 ⁃ 7 . DOI: 10.1016/j.patrec.2014.07.019 http://dx.doi.org/10.1016/j.patrec.2014.07.019 . An empirical evaluation of information metrics for low⁃rate and high⁃rate DDoS attack detection XIANG Y , LI K , ZHOU W L , et al . Low⁃Rate DDOS attacks detection and traceback by using new information metrics [J]. IEEE Transactions on Information Forensics and Security , 2011 , 6 ( 2 ): 426 ⁃ 437 . DOI: 10.1109/TIFS.2011.2107320 http://dx.doi.org/10.1109/TIFS.2011.2107320 . Low⁃Rate DDOS attacks detection and traceback by using new information metrics SUNNY B , KRISHAN K . Detection of DDoS attacks and flash events using novel information theory metrics [J]. Computer Networks , 2017 , 116 : 96 ⁃ 110 . DOI: 10.1016/j.comnet.2017.02.015 http://dx.doi.org/10.1016/j.comnet.2017.02.015 . Detection of DDoS attacks and flash events using novel information theory metrics SHEN W , GUO X P , WU C , et al . Forecasting stock indices using radial basis function neural networks optimized by artificial fish swarm algorithm [J]. Knowledge⁃Based Systems , 2011 , 24 ( 3 ): 378 ⁃ 385 . DOI: 10.1016/j.knosys.2010.11.001 http://dx.doi.org/10.1016/j.knosys.2010.11.001 . Forecasting stock indices using radial basis function neural networks optimized by artificial fish swarm algorithm BORGNAT P , DEWAELE G , FUKUDA K , et al . Seven years and one day: Sketching the evolution ofinternet traffic [C]// Proceedings of the IEEE INFOCOM . Washington D C : IEEE , 2009 : 711 ⁃ 719 .DOI: 10.1109/INFCOM.2009.5061979. □ Seven years and one day: Sketching the evolution ofinternet traffic 10.14188/j.1671-8836.2019.02.006 TP 309 A 1671-8836（2019）02-0178-07 刘振鹏,贺玉鹏,王文胜, 等.SDN环境下的DDoS攻击检测方案[J].武汉大学学报（理学版）,2019,65(2):178⁃184. 刘振鹏,贺玉鹏,王文胜, 等.SDN环境下的DDoS攻击检测方案[J].武汉大学学报（理学版）,2019,65(2):178⁃184. LIU Zhenpeng,HE Yupeng,WANG Wensheng, et al .DDoS Attack Detection Scheme under SDN Environment [J]. J Wuhan Univ （ Nat Sci Ed ）,2019,65(2):178⁃184. DOI:10.14188/j.1671⁃8836.2019.02.006(Ch). LIU Zhenpeng,HE Yupeng,WANG Wensheng,et al.DDoS Attack Detection Scheme under SDN Environment [J].J Wuhan Univ（Nat Sci Ed）,2019,65(2):178⁃184. DOI:10.14188/j.1671⁃8836.2019.02.006(Ch). 河北省创新能力提升计划项目(179676278D，17455309D)；教育部“云数融合科教创新”基金资助项目（2017A20004) 2018-09-30 2019-04-24 2020-11-25 武汉大学学报（理学版） 2 65