王文蔚，肖军弼，程 鹏，张 悦

(1.中国石油化工股份有限公司胜利油田分公司物探研究院,山东 东营 257022；2.中国石油大学(华东)计算机科学与技术学院，山东 青岛 266580)

0 引 言

随着计算机的迅猛发展，网络用户越来越多，网络规模越来越大，以TCP/IP为基础的传统网络模式面临网络管理困难、灵活性差等问题，使其无法满足日益增长和不断变化的需求[1]。软件定义网络(Software Defined Networking， SDN)[2]是一种新型的网络架构，其核心思想是控制层和转发层分离，交换机只负责高速转发，所有交换机的控制、管理和决策功能全部集中在控制器[3]，使得网络控制更加灵活和集中。虽然SDN网络架构的这些特点提高了网络管理和网络维护的灵活性，为维护人员带来了便利，但是SDN控制器的高度集中化，很容易造成单点故障，一旦SDN控制器受到攻击，会导致控制器和交换机的通信失败，致使整个网络瘫痪[4-5]。

当今SDN网络面临的最大威胁之一是分布式服务攻击(Distributed Denial of Service， DDoS)攻击[6]。DDoS是DoS攻击的分布式版本，攻击者控制大量的傀儡主机组成僵尸网络，在短时间内对服务器发送大量的攻击流量[7]。DDoS攻击会造成服务器资源被攻击者占用，导致服务器无法对其他正常用户提供服务，是一种危害极大的攻击手段。SDN网络中，攻击者通常会利用僵尸网络对控制器发起DDoS攻击[8]。由于SDN集中管控的特性，当DDoS攻击出现时，交换机与控制器之间通信次数急剧增加，交换机流表数呈爆炸式增长，最终会使交换机流表缓存耗尽，链路拥塞[9]，控制器系统资源耗尽，最终导致SDN网络崩溃。……