吴若豪，董 平，郑 涛

(北京交通大学 电子信息工程学院，北京 100044)(*通信作者电子邮箱15120159@bjtu.edu.cn)

0 引言

网络安全问题一直是影响网络技术发展的重要因素之一，随着信息化的不断加快，其重要性也不断增加。传统的网络层安全防护技术普遍集成在防火墙设备当中，这些设备随着近年来各种网络技术的兴起已经逐渐暴露出一些弊端，例如设备的二次部署和集中管理问题[1]。为了解决这类问题，研究人员提出了一体化防火墙、下一代防火墙[2]等概念，目前正处于深入研究阶段。

相比之下，软件定义网络(Software Defined Network, SDN)采用集中式架构，能够在控制器端感知网络整体的信息，并且控制器具有操作网络转发行为的能力[3]，这使得利用软件定义网络技术实现新型网络层安全防护技术成为可能[4]。与传统同类网络安全技术相比，基于软件定义网络的网络层安全防护技术最重要的优势在于其便于统一管理、灵活调用，因此具有较大的研究和应用价值[5]。

且众所周知，分布式拒绝服务(Distributed Denial of Service， DDoS)攻击对当前的网络安全有着巨大的危害性。2015年12月31日，英国广播公司(British Broadcasting Corporation， BBC)和Iplayer服务器由于遭到了分布式拒绝服务攻击，网站瘫痪数个小时；2016年1月6日，知名互联网金融门户网贷天下发布公告，称其遭到了DDoS攻击，造成了严重的经济损失。类似的事情数数不胜数，可见分布式拒绝服务攻击已经成为了网络安全的头号公敌。而该攻击过程大体可以分为以下几步[6]：1)恶意的探测扫描大量主机以寻找可入侵的主机目标；……