基于OpenFlow交换机端口混淆的移动目标防御机制

发布时间：2021-06-21 14:00

　　软件定义网络中数据平面节点非法接入会导致拒绝服务攻击或实施中间人攻击进行信息的窃取和篡改。为防范OpenFlow伪交换机对网络服务造成危害,提出了一种利用网络中数据报文的包头信息,动态混淆OpenFlow交换机端口的移动目标防御机制。交换机根据控制器流规则的下发次数进行动态端口混淆,并且根据端口生存时间以当前处理的数据报文包头中的端口和IP地址等信息作为下一轮端口混淆的种子信息,保证混淆端口具有充分的随机性,有效提高网络的动态性。还提出了利用控制器和交换机间的通信消息flow_mod实现控制器与交换机之间的端口混淆同步,不仅保证双方数据转发端口的一致性,而且省却了双方在同步方面的开销。经过仿真实验验证,伪交换机无法正确解析出包含混淆端口号的流表项,从而有效阻止伪交换机发动网络攻击。 

【文章来源】：计算机技术与发展. 2020,30(12)

【文章页数】：6 页

【部分图文】：

端口混淆算法流程

使用MATLAB Performance Test测试框架对2.3节提出的端口混淆算法运行时间性能进行测试,解析基于类的测试得到的原始数据,对每一次算法运行时间绘制折线图,如图2所示。MATLAB通过测量数据集是否达到统计目标决定运行次数,从图2的结果中可以看出,一共对算法进行了8次性能测试。其中前4次测试结果是预备代码[21],后4次测试结果是对代码的正式测试。对测试结果进行3阶拟合,可以明显看出正式测试与预备代码在运行时间上有着不同的分布,预备代码测试时间明显高于正式测试,随着预备代码,算法运行时间变短,正式测试代码运行时间趋于平缓。为避免代码在运行过程中的编译和优化对代码测试性能造成影响,剔除预备代码测试结果,对正式测试结果求均值得到统计意义上的结果,如图3所示。可以看出代码运行时间极短,端口混淆不会增加过多的数据处理时延,能有效满足当前数据传输的需要。

MATLAB通过测量数据集是否达到统计目标决定运行次数,从图2的结果中可以看出,一共对算法进行了8次性能测试。其中前4次测试结果是预备代码[21],后4次测试结果是对代码的正式测试。对测试结果进行3阶拟合,可以明显看出正式测试与预备代码在运行时间上有着不同的分布,预备代码测试时间明显高于正式测试,随着预备代码,算法运行时间变短,正式测试代码运行时间趋于平缓。为避免代码在运行过程中的编译和优化对代码测试性能造成影响,剔除预备代码测试结果,对正式测试结果求均值得到统计意义上的结果,如图3所示。可以看出代码运行时间极短,端口混淆不会增加过多的数据处理时延,能有效满足当前数据传输的需要。3.2 防御机制有效性测试

【参考文献】：
期刊论文
[1]软件定义网络数据平面安全综述[J]. 郭中孚,张兴明,赵博,王苏南.  网络与信息安全学报. 2018(11)
[2]软件定义网络安全研究[J]. 王月,吕光宏,曹勇.  计算机技术与发展. 2018(04)
[3]基于OpenFlow的网络层移动目标防御方案[J]. 胡毅勋,郑康锋,杨义先,钮心忻.  通信学报. 2017(10)
[4]软件定义网络中基于加密的端口跳变技术研究[J]. 赵子郁,郭渊博,刘伟.  计算机应用与软件. 2017(04)
[5]基于端口跳变的SDN网络防御技术[J]. 唐秀存,张连成,史晓敏,徐良华.  计算机应用研究. 2016(10)
[6]软件定义网络（SDN）研究进展[J]. 张朝昆,崔勇,唐翯翯,吴建平.  软件学报. 2015(01)
[7]基于可变时隙与动态同步的端口跳变技术研究[J]. 范晓诗,李成海,王昊.  计算机工程与设计. 2013(10)
[8]基于OpenFlow的SDN技术研究[J]. 左青云,陈鸣,赵广松,邢长友,张国敏,蒋培成.  软件学报. 2013(05)
[9]端信息跳变中的分布式时间戳同步技术(英文)[J]. 林楷,贾春福,翁臣.  中国通信. 2011(04)



本文编号：3240806