面向SDN拓扑发现的LDoS攻击防御技术研究

1. 引言

低速率拒绝服务攻击（Low rate Denial of Service， LDoS）利用网络协议中自适应机制所存在的安全漏洞， 通过发送周期性的短脉冲数据流，使网络一直处于不稳定状态。
SDN中LDoS攻击威胁：控制器通过下发封装有LLDP帧的pack_out消息，通过相邻交换机之间的链路传递LLDP帧确认链路信息。一旦在一段时间内未接收到经由某条链路转 发的LLDP帧报文，则认为该链路断开。因此，利用该机制需要周期性发送LLDP帧的特点，攻击者可以在探 测LLDP帧周期的基础上，对两个OpenFlow交换机之间链路发起LDoS攻击，造成LLDP帧在该链路中连续 丢失，进而使得控制器误以为该链路断开.

2. SDN 拓扑发现原理

1. 控制器会对所有与之连接的交换 机下发匹配LLDP帧的流表项。该流表项的优先级为 100（高优先级），动作为将匹配到的 LLDP 帧封装进 packet_in消息中，并发送给控制器。
2. 控制 器会向与之连接的交换机通过安全通道下发封装有 LLDP帧且动作类型为泛洪的packet_out消息。交换机 接收到控制器的packet_out消息后，将封装的LLDP帧 通过其所有端口转发出去。当对端交换机从某一端口 接收到一个 LLDP 帧后，根据安装的匹配流表项，将 LLDP帧封装进packet_in消息中，转发给控制器。基于 该过程，控制器利用下发交换机和上传交换机的ID确 定了链路 <s1, s2>,<s1,s3>的有效性。