软件学报

作者：武文浩，张磊磊，潘恒，李恩晗，周建二，李振宇

单位：武文浩，中国科学院 计算技术研究所, 北京 10019011,张磊磊，中国科学院 计算技术研究所, 北京 10019002,潘恒，中国科学院 计算技术研究所, 北京 10019003,李恩晗，中国科学院 计算技术研究所, 北京 10019004,周建二，南方科技大学, 广东 深圳 51805505,李振宇，中国科学院 计算技术研究所, 北京 10019006

关键词：分布式拒绝服务攻击;可编程数据平面;异常检测;P4;网络安全

基金：国家自然科学基金(62002344, U20A20180, 62072437)

传统的分布式拒绝服务攻击(DDoS)检测与防御机制需要对网络流量进行镜像、采集以及远程集中式的攻击特征分析, 这直接造成额外的性能开销, 无法满足高性能网络的实时安全防护需求. 随着可编程交换机等新型网络设备的发展, 可编程数据平面能力得到增强, 为直接在数据面进行高性能的DDoS攻击检测提供了实现基础. 然而, 当前已有的基于可编程数据面的DDoS攻击检测方法准确率低, 同时受限于编程约束, 难以在可编程交换机 (如Intel Tofino)中进行直接部署. 针对上述问题, 提出了一种基于可编程交换机的DDoS攻击检测与防御机制. 首先, 使用基于源目地址熵值差的攻击检测机制判断DDoS攻击是否发生. 在DDoS攻击发生时, 设计了一种基于源目地址计数值差的攻击流量过滤机制, 实现对DDoS攻击的实时防御. 实验结果表明, 该机制能够有效地检测并防御多种DDoS攻击. 相较于现有工作, 该机制在观察窗口级攻击检测中的准确率平均提升了17.75%, 在数据包级攻击流量过滤中的准确率平均提升了3.7%.

来源：2025年第8期

《软件学报》期刊编辑部

查看软件学报杂志2025年第8期