СПОСОБ И УСТРОЙСТВО ДЕТЕКТИРОВАНИЯ ЗЛОНАМЕРЕННОЙ АТАКИ

1. Способ детектирования злонамеренной атаки, содержащий этапы, на которых:
принимают, посредством контроллера, сообщение о входящем пакете, переданное первым коммутатором, причем сообщение о входящем пакете содержит идентификатор хост-устройства источника и идентификатор хост-устройства назначения пакета данных, для которого первый коммутатор не находит запись о потоке;
при определении, что хост-устройство, указанное идентификатором хост-устройства назначения, не существует в сети SDN, передают, посредством контроллера, запись о ненормальном потоке в первый коммутатор, причем запись о ненормальном потоке включает в себя идентификатор хост-устройства источника;
принимают, посредством контроллера, запускающую величину подсчета запуска, переданную первым коммутатором, причем величина подсчета запуска передается первым коммутатором после истечения времени записи о ненормальном потоке, и величина подсчета запуска представляет собой количество раз запуска записи о ненормальном потоке; и
определяют, посредством контроллера, в соответствии с величиной подсчета запуска, была ли инициирована злонамеренная атака из хост-устройства источника, указанного идентификатором хост-устройства источника.
2. Способ по п. 1, в котором на этапе определения, посредством контроллера, в соответствии с величиной подсчета запуска, инициирована ли злонамеренная атака из хост-устройства источника, указанного идентификатором хост-устройства источника:
вычисляют, посредством контроллера, частоту запуска записи о ненормальном потоке в соответствии с величиной подсчета запуска и. временем старения записи о ненормальном потоке; и
определяют, посредством контроллера, превышает ли частота запуска пороговое значение частоты; и если частота запуска больше порогового значения частоты, определяют посредством контроллера, что инициирована злонамеренная атака из хост-устройства источника; а если частота запуска не больше порогового значения частоты, определяют посредством контроллера, что злонамеренная атака не была инициирована из хост-устройства источника.
3. Способ по п. 1, в котором на этапе определения посредством контроллера в соответствии с величиной подсчета запуска, инициирована ли злонамеренная атака из хост-устройства источника, указанного идентификатором хост-устройства источника:
определяют, посредством контроллера, превышает ли величина подсчета запуска пороговое значение величины подсчета; и если величина подсчета запуска больше, чем пороговая величина подсчета, определяют посредством контроллера, что инициирована злонамеренная атака из хост-устройства источника; а если величина подсчета запуска не больше, чем пороговая величина подсчета, определяют, посредством контроллера, что не была инициирована злонамеренная атака из хост-устройства источника.
4. Способ по п. 1, который перед этапом передачи посредством контроллера записи о ненормальном потоке в первый коммутатор дополнительно содержит этапы, на которых:
определяют, посредством контроллера, была ли предоставлена запись о ненормальном потоке хост-устройства источника, указанного идентификатором хост-устройства источника, в первый коммутатор; и если запись о ненормальном потоке хост-устройства источника, указанного идентификатором хост-устройства источника, не была доставлена в первый коммутатор, выполняют посредством контроллера этап передачи записи о ненормальном потоке в первый коммутатор.
5. Способ по п. 1, дополнительно содержащий этап, на котором:
при определении, что последняя таблица потока в первом коммутаторе представляет собой таблицу точного соответствия, содержащую область соответствия идентификатору хост-устройства источника, передают, посредством контроллера, первую инструкцию в первый коммутатор, причем первая инструкция используется для указания первому коммутатору сконфигурировать таблицу точного соответствия в виде таблицы точного соответствия, которая соответствует только области соответствия идентификатора хост-устройства источника, с тем чтобы первый коммутатор сохранил запись о ненормальном потоке в последней таблице потока.
6. Способ по п. 1, дополнительно содержащий этап, на котором:
при определении, что последняя таблица потока в первом коммутаторе представляет собой таблицу точного соответствия, и обобщенная таблица, включающая в себя область соответствия идентификатору хост-устройства источника, существует в первом коммутаторе, передают посредством контроллера вторую инструкцию в первый коммутатор, причем вторая инструкция используется для указания первому коммутатору отрегулировать обобщенную таблицу, содержащую область соответствия идентификатора хост-устройства источника, чтобы она была последней таблицей потока, с тем чтобы первый коммутатор сохранил запись о ненормальном потоке в последней таблице потока.
7. Способ по п. 1, в котором приоритет записи о ненормальном потоке представляет собой наиболее низкий приоритет для записи о потоке в первом коммутаторе.
8. Способ по любому из пп. 1-7, дополнительно содержащий этап, на котором:
при определении, в соответствии с величиной подсчета запуска, что злонамеренная атака инициирована из хост-устройства источника, указанного идентификатором хост-устройства источника, передают посредством контроллера третью инструкцию в первый коммутатор, причем третья инструкция используется для указания первому коммутатору сдерживать пакет данных от хост-устройства источника.
9. Способ детектирования злонамеренной атаки, содержащий этапы, на которых:
при определении, что запись о потоке, соответствующая пакету данных, не найдена, передают, посредством первого коммутатора сообщение о входящем пакете в контроллер, причем сообщение о входящем пакете включает в себя идентификатор хост-устройства источника и идентификатор хост-устройства назначения пакета данных;
принимают и сохраняют, посредством первого коммутатора, запись о ненормальном потоке, причем запись о ненормальном потоке передается контроллером при определении, что хост-устройство, указанное идентификатором хост-устройства назначения, не существует в сети SDN; и
записывают, посредством первого коммутатора в пределах времени старения записи о ненормальном потоке, величину подсчета запуска записи о ненормальном потоке, и передают величину подсчета записи в контроллер после истечения времени записи о ненормальном потоке, с тем чтобы контроллер определил, в соответствии с величиной подсчета запуска, инициирована ли злонамеренная атака из хост-устройства источника, указанного идентификатором хост-устройства источника.
10. Способ по п. 9, дополнительно содержащий этапы, на которых:
принимают, посредством первого коммутатора, первую инструкцию, переданную контроллером, и конфигурируют, в соответствии с первой инструкцией, локальную таблицу точного соответствия, являющуюся последней таблицей потока, в виде таблицы точного соответствия, соответствующей только области соответствия идентификатора хост-устройства источника; или
принимают, посредством первого коммутатора, вторую инструкцию, переданную контроллером, и регулируют обобщенную таблицу, содержащую область соответствия идентификатора хост-устройства источника, чтобы она стала последней таблицей потока, в соответствии со второй инструкцией.
11. Способ по п. 10, в котором на этапе сохранения, посредством первого коммутатора, записи о ненормальном потоке:
сохраняют, посредством первого коммутатора, запись о ненормальном потоке в последней таблице потока.
12. Способ по любому из пп. 9-11, дополнительно содержащий этапы, на которых:
принимают, посредством первого коммутатора, третью инструкцию, переданную контроллером, причем третья инструкция передается контроллером при определении, в соответствии с величиной подсчета запуска, что инициирована злонамеренная атака из хост-устройства источника, указанного идентификатором хост-устройства источника; и
сдерживают, посредством первого коммутатора в соответствии с третьей инструкцией, пакет данных от хост-устройства источника.
13. Устройство детектирования злонамеренной атаки, содержащее:
первый модуль приема, выполненный с возможностью приема сообщения о входящем пакете, передаваемого первым коммутатором, причем сообщение о входящем пакете включает в себя идентификатор хост-устройства источника и идентификатор хост-устройства назначения пакета данных, для которого первый коммутатор не находит запись о потоке;
первый модуль передачи, выполненный с возможностью: когда определено, что хост-устройство, указанное идентификатором хост-устройства назначения, принимаемым первым модулем приема, не существует в сети SDN, передачи записи о ненормальном потоке в первый коммутатор, причем запись о ненормальном потоке содержит идентификатор хост-устройства источника, при этом
первый модуль приема дополнительно выполнен с возможностью приема величины подсчета запуска, передаваемого первым коммутатором, причем величина подсчета запуска передается первым коммутатором после истечения времени записи о ненормальном потоке, и величина подсчета записи представляет собой количество раз запуска записи о ненормальном потоке; и
модуль детектирования, выполненный с возможностью определения, в соответствии с величиной подсчета запуска, принимаемой первым модулем приема, инициирована ли злонамеренная атака из хост-устройства источника, указанного идентификатором хост-устройства источника.
14. Устройство по п. 13, в котором модуль детектирования, в частности, выполнен с возможностью:
вычислять частоту запуска записи о ненормальном потоке в соответствии с величиной подсчета запуска, принимаемой первым модулем приема, и временем старения записи о ненормальном потоке; и
определять, превышает ли частота запуска пороговое значение частоты; и если частота запуска выше порогового значения частоты, определять, что злонамеренная атака инициирована из хост-устройства источника; а если частота запуска не выше порогового значения частоты, определять, что злонамеренная атака не была инициирована из хост-устройства источника.
15. Устройство по п. 13, в котором модуль детектирования, в частности, выполнен с возможностью:
определять, превышает ли величина подсчета запуска пороговое значение величины подсчета; и если величина подсчета запуска больше порогового значения подсчета, определять, что инициирована злонамеренная атака из хост-устройства источника; а если величина подсчета запуска не больше порогового значения подсчета, определять, что злонамеренная атака не была инициирована из хост-устройства источника.
16. Устройство по п. 13, дополнительно содержащее:
модуль определения, выполненный с возможностью определения, была ли доставлена запись о ненормальном потоке из хост-устройства источника, указанного идентификатором хост-устройства источника, в первый коммутатор; и если запись о ненормальном потоке из хост-устройства источника, указанного идентификатором хост-устройства источника, не была доставлена в первый коммутатор, инициирования первого модуля передачи для передачи записи о ненормальном потоке в первый коммутатор.
17. Устройство по п. 13, в котором первый модуль передачи дополнительно выполнен с возможностью: когда определено, что последняя таблица потока в первом коммутаторе представляет собой таблицу точного соответствия, включающую в себя область соответствия идентификатора хост-устройства источника, указывать первому коммутатору сконфигурировать таблицу точного соответствия в виде таблицы точного соответствия, соответствующей только области соответствия идентификатора хост-устройства источника, с тем чтобы первый коммутатор сохранил запись о ненормальном потоке в последней таблице потока.
18. Устройство по п. 13, в котором первый модуль передачи дополнительно выполнен с возможностью:
когда определено, что последняя таблица потока в первом коммутаторе представляет собой таблицу точного соответствия, и обобщенная таблица, включающая в себя область соответствия идентификатора хост-устройства источника, существует в первом коммутаторе, передавать вторую инструкцию в первый коммутатор, причем вторая инструкция используется для указания первому коммутатору отрегулировать обобщенную таблицу, включающую в себя область соответствия идентификатора хост-устройства источника, так чтобы она стала последней таблицей потока, с тем чтобы первый коммутатор сохранил запись о ненормальном потоке в последней таблице потока.
19. Устройство по любому из пп. 13-18, в котором первый модуль передачи дополнительно выполнен с возможностью:
когда определено, в соответствии с величиной подсчета запуска, что злонамеренная атака инициирована из хост-устройства источника, указанного идентификатором хост-устройства источника, передавать третью инструкцию в первый коммутатор, причем третья инструкция используется для указания первому коммутатору сдерживать пакет данных от хост-устройства источника.
20. Устройство детектирования злонамеренной атаки, содержащее:
второй модуль передачи, выполненный с возможностью: когда определено, что запись о потоке, соответствующая пакету данных, не найдена, передавать сообщение о входящем пакете в контроллер, причем сообщение о входящем пакете содержит идентификатор хост-устройства источника и идентификатор хост-устройства назначения пакета данных;
второй модуль приема, выполненный с возможностью приема записи о ненормальном потоке, причем запись о ненормальном потоке передается контроллером, когда определено, что хост-устройство, указанное идентификатором хост-устройства назначения, не существует в сети SDN;
модуль сохранения, выполненный с возможностью сохранения записи о ненормальном потоке, принимаемой вторым модулем приема; и
модуль записи величины подсчета, выполненный с возможностью записи, в пределах времени старения записи о ненормальном потоке, сохраненной модулем сохранения, величины подсчета запуска записи о ненормальном потоке, причем
второй модуль передачи дополнительно выполнен с возможностью: после истечения времени записи о ненормальном потоке, сохраненной в модуле сохранения, передавать величину подсчета запуска, записанную модулем записи величины подсчета, в контроллер, с тем чтобы контроллер определил, в соответствии с величиной подсчета запуска, инициирована ли злонамеренная атака из хост-устройства источника, указанного идентификатором хост-устройства источника.
21. Устройство по п. 20, в котором второй модуль приема дополнительно выполнен с возможностью принимать первую инструкцию, передаваемую контроллером; при этом
устройство дополнительно содержит: модуль конфигурирования, выполненный с возможностью конфигурировать, в соответствии с первой инструкцией, локальную таблицу точного соответствия, являющуюся последней таблицей потока, в виде таблицы точного соответствия, соответствующей только области соответствия идентификатора хост-устройства источника; или
второй модуль приема дополнительно выполнен с возможностью принимать вторую инструкцию, передаваемую контроллером; при этом
устройство дополнительно содержит: модуль конфигурирования, выполненный с возможностью регулировать обобщенную таблицу, содержащую область соответствия идентификатора хост-устройства источника, с тем чтобы она представляла собой последнюю таблицу потока, в соответствии со второй инструкцией.
22. Устройство по п. 21, в котором модуль сохранения, в частности, выполнен с возможностью сохранять запись о ненормальном потоке в последней таблице потока.
23. Устройство по любому из пп. 20-22, в котором второй модуль приема дополнительно выполнен с возможностью принимать третью инструкцию, передаваемую первым коммутатором; при этом
устройство дополнительно содержит: модуль управления, выполненный с возможностью сдерживать пакет данных от хост-устройства источника.