软件定义网络是未来网络发展的方向之一,其控制和转发分离的结构使网络构建过程更加灵活,适用于更新数据中心和指控中心等网络架构。网络攻击者同样将视线放到了软件定义网络上,研究软件定义网络中的DDo S攻击检测和防御,是未来网络发展的一个重点。随着软件定义网络的发展出现了数据平面可编程技术,在可编程数据平面上能够实现带内网络遥测技术,使数据平面具备了端到端实时测量网络状态参数得能力。本文以带内遥测技术为技术基础,研究软件定义网络中DDo S攻击的检测与防御。本文的主要的研究内容包括以下几个方面:(1)带内遥测技术获取网络细粒度参数原理研究。通过研究大量国内外文献和开源技术文档,对数据平面可编程技术和带内网络遥测技术进行了分析;分析了DDo S攻击的特点以及真实流量的特性;通过模拟实验生成背景流量和DDo S攻击流量,根据获取到的细粒度参数随攻击变化结果确定了DDo S攻击会对攻击路径上的交换机状态造成明显影响,验证了以带内遥测获取到的元数据作为检测DDo S攻击依据的可行性。(2)基于超对数算法和SVM算法的两级攻击检测算法研究。通过分析DDo S攻击特点,针对攻击伪造源IP的特点设计基于超对数算法的初级检测流程;针对攻击引起网络状态元数据变化的特点,采用手动与PCA方法结合的方法从带内测量获取的细粒度参数中提取检测特征,设计基于SVM算法的二级检测流程。实验结果表明在与熵阈值法和KNN方法的对比下,本文的检测方法准确性更高,并且所占用的CPU资源最低。(3)DDo S攻击防御方法研究。首先分析了现有防御方法的优缺点,随后分别从DDo S对链路上交换机性能造成的影响以及DDo S攻击伪造源IP的特点两个方面,以带内遥测技术获取到的细粒度数据为基础,分别设计了基于改进K-means的路径分类攻击溯源方法和基于源IP信息熵的路径迭代攻击溯源方法,结果表明两种方法均能有效追溯到攻击源头但后者能一次性追溯到多个攻击源并且性能受网络状态波动影响更小。本文通过模拟实验验证了本文所涉及的攻击检测算法和溯源防御方法的准确性均能达到较好程度。此外,本文还涉及两级攻击检测算法中关键参数的确定以及提出了一种自更新白名单的防御策略。