Software defined networking (SDN) has emerged over the past few years as a novel networking technology that enables fast and easy network management. Separating the control plane and the data plane in SDNs allows for dynamic network management, implementation of new applications, and implementing network specific functions in software. This paper addresses the problem of SYN flood attacks in SDNs which are considered among the most challenging threats because their effect exceeds the targeted end system to the controller and TCAM of OpenFlow switches. These attacks exploit the three-way handshaking connection establishment mechanism in TCP, where attackers overwhelm the victim machine with flood of spoofed SYN packets resulting in a large number of half-open connections that would never complete. Therefore, degrading the performance of the controller and populating OpenFlow switches’ TCAMs with spoofed entries. In this paper, we propose ISDSDN, a mechanism for SYN flood attack mitigation in software defined networks. The proposed mechanism adopts the idea of intentional dropping to distinguish between legitimate and attack SYN packets in the context of software defined networks. ISDSDN is implemented as an extension module of POX controller and is evaluated under different attack scenarios. Performance evaluation shows that the proposed mechanism is very effective in defending against SYN flood attacks.

中文翻译：

---

ISDSDN：减轻软件定义网络中的 SYN Flood 攻击

软件定义网络 (SDN) 在过去几年中作为一种新颖的网络技术出现，可实现快速、轻松的网络管理。在 SDN 中分离控制平面和数据平面允许动态网络管理、新应用程序的实现以及在软件中实现网络特定功能。本文解决了 SDN 中的 SYN 洪水攻击问题，这些攻击被认为是最具挑战性的威胁之一，因为它们的影响超出了目标终端系统对 OpenFlow 交换机的控制器和 TCAM 的影响。这些攻击利用 TCP 中的三向握手连接建立机制，攻击者用大量欺骗性 SYN 数据包淹没受害机器，导致大量半开连接永远无法完成。所以，降低控制器的性能并使用欺骗条目填充 OpenFlow 交换机的 TCAM。在本文中，我们提出了 ISDSDN，这是一种在软件定义网络中缓解 SYN 洪水攻击的机制。所提出的机制采用有意丢弃的思想来区分软件定义网络环境中的合法和攻击 SYN 数据包。ISDSDN 作为 POX 控制器的扩展模块实现，并在不同的攻击场景下进行评估。性能评估表明，所提出的机制在防御 SYN Flood 攻击方面非常有效。所提出的机制采用有意丢弃的思想来区分软件定义网络环境中的合法和攻击 SYN 数据包。ISDSDN 作为 POX 控制器的扩展模块实现，并在不同的攻击场景下进行评估。性能评估表明，所提出的机制在防御 SYN Flood 攻击方面非常有效。所提出的机制采用有意丢弃的思想来区分软件定义网络环境中的合法和攻击 SYN 数据包。ISDSDN 作为 POX 控制器的扩展模块实现，并在不同的攻击场景下进行评估。性能评估表明，所提出的机制在防御 SYN Flood 攻击方面非常有效。