NDN攻击防御方法及相关硬件与流程

本发明涉及命名数据网络（named data network，ndn）网络安全，尤指一种ndn攻击防御方法及相关硬件。

背景技术：

1、随着网络技术的发展以及互联网用户的快速增加，网络应用的主体正逐步向内容获取和信息服务演进。早期为解决端到端通信问题而设计的基于传输控制协议（transmission control protocol，tcp）/网际互连协议（internet protocol，ip）的体系架构对计算机网络性能的限制，使得传统互联网难以满足海量的网络数据处理需求，这激发了人们对未来网络架构设计的重新思考与研究。信息中心网络（information-centricnetworking，icn）作为一种革命性体系架构，其以内容为中心的特点无缝迎合了未来网络的发展趋势，因而受到研究学者的广泛关注。

2、在icn体系的诸多部署方案中，命名数据网络（named data networks，ndn）因其先进的设计理念、灵活的路由转发机制以及分布式的网内缓存方式等良好特性已经成为icn中的研究热点。

3、为了满足高效的内容分发与获取的需求，ndn在设计时通过引入网内缓存（in-network caching）机制来减少不必要的网络数据传输，从而提高数据传输效率，增强网络的可扩展性。如图1所示，在ndn中，每个网络传输节点（即内容路由器）都具有一个内容存储库（content store，cs），用于缓存经过本地节点的数据包（data packet），从而为后续请求提供路径缓存服务，如图2所示，相同的兴趣包（interest packet）请求将直接由内容存储库提供对应的数据包响应，而无需从原始来源处获得相应文件。

4、但是，ndn基于文件名称而非设备ip地址的数据传输机制，也带来了包括缓存污染攻击、兴趣包泛洪攻击等拒绝服务攻击（denial of service，dos）的缺陷。因此，如何对包括缓存污染攻击以及兴趣包泛洪攻击在内的ndn dos攻击进行防御，是目前亟待解决的问题。

技术实现思路

1、本发明实施例提供一种ndn攻击防御方法及相关硬件，用以提供一种针对ndn dos攻击（例如缓存污染攻击、兴趣包泛洪攻击等）的防御方案。

2、第一方面，本发明实施例提供了一种ndn攻击防御方法，应用于ndn中的目标节点，包括：

3、根据一个或连续多个检测时段所述目标节点的缓存命中率与正常缓存命中率范围的数值关系，和/或一个或连续多个检测时段所述目标节点的pit占用率与正常pit占用率范围的数值关系，判断所述目标节点是否受到ndn拒绝服务攻击；

4、若确定所述目标节点受到ndn拒绝服务攻击，则执行防御操作；

5、其中，所述正常缓存命中率范围根据所述目标节点的节点属性、所述目标节点在至少一个基准监测时段内的缓存命中率确定；

6、所述正常pit占用率范围根据所述目标节点的节点属性、所述目标节点在至少一个所述基准监测时段内的pit占用率确定。

7、可选地，所述根据一个或连续多个检测时段所述目标节点的缓存命中率与正常缓存命中率范围的数值关系，判断所述目标节点是否受到ndn拒绝服务攻击，包括如下至少一项：

8、若连续

n1个监测时段所述目标节点的缓存命中率均高于所述正常缓存命中率范围的上限值，且所述目标节点不属于预设的节点白名单中的节点，则确定所述目标节点受到ndn拒绝服务攻击；

9、若连续

n2个监测时段所述目标节点的缓存命中率均低于所述正常缓存命中率范围的下限值，且在所述连续

n2个监测时段中任意两个相邻监测时段所述目标节点的缓存命中率变化率均低于预设第一变化率阈值，则确定所述目标节点受到ndn拒绝服务攻击；

10、所述根据一个或连续多个检测时段所述目标节点的pit占用率与正常pit占用率范围的数值关系，判断所述目标节点是否受到ndn拒绝服务攻击，包括如下至少一项：

11、若连续

n3个监测时段所述目标节点的pit占用率均高于所述正常pit占用率范围的上限值，则确定所述目标节点受到ndn拒绝服务攻击；

12、若连续

n4个监测时段所述目标节点的pit占用率均低于所述正常pit占用率范围的下限值，且所述连续

n4个监测时段均属于目标监测时段，则确定所述目标节点受到ndn拒绝服务攻击；其中，所述目标监测时段是满足如下至少一项条件的监测时段：相对于相邻监测时段的pit占用率变化率低于预设第二变化率阈值，网速属于预设网速范围；

13、所述根据一个或连续多个检测时段所述目标节点的缓存命中率与正常缓存命中率范围的数值关系，和根据一个或连续多个检测时段所述目标节点的pit占用率与正常pit占用率范围的数值关系，判断所述目标节点是否受到ndn拒绝服务攻击，包括：

14、若连续

n5个监测时段所述目标节点的缓存命中率低于所述正常缓存命中率范围的下限值，且连续

n5个监测时段所述目标节点pit占用率高于所述正常pit占用率范围的上限值，则确定所述目标节点受到ndn拒绝服务攻击；

15、

n1、

n2、

n3、

n4、

n5均为预设数量阈值。

16、可选地，所述节点属性包括节点的重要性等级，其中所述重要性等级表征节点发生故障时对于ndn网络传输的影响范围大小。

17、更进一步可选地，所述正常缓存命中率范围的边界值的大小，与所述目标节点的重要性等级成正相关关系。

18、更进一步可选地，所述正常pit占用率范围的边界值的大小，与所述目标节点重要性等级成负相关关系。

19、更进一步可选地，

n1、

n2、

n3、

n4、

n5中的至少一项与所述目标节点的重要性等级成正相关关系。

20、可选地，所述防御操作包括如下至少一项：

21、向ndn中的其它网络传输节点发送用于指示所述目标节点受到ndn拒绝服务攻击的节点异常通知信息；以使所述ndn中的其它网络传输节点根据所述节点异常通知信息，从接收到所述节点异常通知信息起的预设第一时长内，或从所述节点异常通知信息指示的发现所述目标节点受到ndn拒绝服务攻击的发现时间起的预设第二时长内，暂停或减少与所述目标节点的通信；

22、清除所述目标节点所有的缓存数据；

23、清除所述目标节点所有的缓存数据中的异常缓存数据；其中，异常缓存数据是满足如下至少一项条件的缓存数据：

24、缓存数据的来源不属于预设的设备白名单中的设备；

25、在第一指定检测时段中，缓存数据的访问频率超出预设访问频率阈值；

26、在第二指定检测时段中，缓存数据的访问时间间隔不服从正态分布；

27、在第三指定检测时段中，缓存数据的总访问次数大于预设访问次数阈值。

28、可选地，所述基准监测时段是上一监测周期中确定所述目标节点未受到ndn拒绝服务攻击的第四指定监测时段；其中，每个监测周期包括多个监测时段。

29、第二方面，基于同一发明构思，本发明实施例还提供了一种ndn中的目标节点，包括：

30、规则确定模块m1，用于根据所述目标节点的节点属性、所述目标节点在至少一个基准监测时段内的缓存命中率确定正常缓存命中率范围；和/或根据所述目标节点的节点属性、所述目标节点在至少一个所述基准监测时段内的pit占用率确定正常pit占用率范围；

31、监测模块m2，用于根据一个或连续多个检测时段所述目标节点的缓存命中率与正常缓存命中率范围的数值关系，和/或一个或连续多个检测时段所述目标节点的pit占用率与正常pit占用率范围的数值关系，判断所述目标节点是否受到ndn拒绝服务攻击；

32、防御模块m3，用于若确定所述目标节点受到ndn拒绝服务攻击，则执行防御操作。

33、第三方面，基于同一发明构思，本发明实施例还提供了一种电子设备，包括：处理器和用于存储所述处理器可执行指令的存储器；

34、其中，所述处理器被配置为执行所述指令，以实现如第一方面所述的ndn攻击防御方法。

35、第四方面，基于同一发明构思，本发明实施例还提供了一种可读存储介质，所述可读存储介质存储有计算机程序代码，当所述程序代码在计算机上运行时，使得计算机执行如第一方面所述的ndn攻击防御方法。

36、第五方面，基于同一发明构思，本发明实施例还提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序代码，当所述计算机程序代码在计算机上运行时，使得计算机执行如第一方面所述的ndn攻击防御方法。

37、本发明有益效果如下：

38、本发明实施例提供的ndn攻击防御方法及相关硬件，通过基于缓存命中率和/或pit占有率的检测机制，能够精准识别受到ndn dos攻击的网络传输节点。并在识别出受到ndn dos攻击的网络传输节点，及时执行相应防御措施，能快速遏制攻击的蔓延，显著降低ndn dos攻击对ndn的破坏程度。