劉文懋:SDN網絡的新型安全架構和實踐

責任編輯:editor004

2014-08-18 10:40:57

摘自:中國移動研究院

SDN是集中控制的架構,控制器和應用容易受到攻擊,造成底層網絡設備的流控制不一致。我們這邊給出一個案例,就是抗DDoS的攻擊,在我們系統(tǒng)中,安全應用和安全設備都會向這個控制器去注冊。

2014 年8月14日至15日,第七屆移動互聯網國際研討會在北京國際會議中心隆重舉行,本次大會以“4G移動互聯網時代的創(chuàng)新與變革”為主題,圍繞4G網絡技術及未來發(fā)展、虛擬運營商、移動互聯網應用、信息安全、物聯網、融合通信等產業(yè)熱點展開。以下為綠盟科技有限公司劉文懋博士在“面向移動互聯網的開放API及應用安全”分論壇發(fā)表演講。

  以下為演講速記:

大家好,我是來自綠盟科技的劉文懋,今天我給大家?guī)淼倪@個主題演講主要是在SDN環(huán)境下一些新型的安全架構和實踐。這個標題應該叫做軟件定義安全,軟件定義這個詞非常火,包括軟件定義網絡,軟件定義數據中心,軟件定義存儲等等,好像還有叫軟件定義一切。那我們今天談的這個軟件定義安全是指在一個新型網絡中,整個使用一種可以編程的方式,開放的接口的方式把安全解決方案適用于新型的數據中心也好,運營商也好,這些新型的網絡。

我的演講包括兩方面,一個就是新型網絡現在遇到的一些安全的挑戰(zhàn)。然后,面向這種挑戰(zhàn),我們會提出什么樣的一些安全解決方案。談到新型網絡,什么是新型網絡,剛才何博士談到新型網絡,李總也談到網絡虛擬化,應該也算是新型網絡,他們都是對網絡當前30年,基本上半個世紀的計算機網絡做的一些形態(tài)上,或者轉化層面的一些改變,這些東西叫新型網絡。而且我們在運營商層面,都會談到網絡虛擬化,或者功能虛擬化,還有SDN,這兩個技術可能都會一起用解決問題,這兩個東西一般是正交的關系,網絡虛擬化,實際上就是用軟件的形式管理硬件的或者軟件的資源,能夠把它作為一個虛擬的網絡的池,我可以很快構建一套虛擬網絡,把虛擬網絡,虛擬交換機,虛擬網卡都準備好,再把這些存儲設備很方便的連接到虛擬網絡上,能夠快速的搭建一個虛擬計算系統(tǒng)。

那么,什么是SDN?假定我們實現了虛擬化之后,我們可以在若干個數據中心,甚至可跨物理環(huán)境的數據中心,比如上海和北京,兩個數據中心多臺虛擬機,怎么樣將一個虛擬機的數據包轉化到另外一個虛擬機中,我們可以可編程的把這些虛擬機連接的交換機,或者集中設備進行控制,這樣我們能更方便星火的控制我們的策略,當然也可以加入我們一些安全的控制策略。所以說,這兩個方面非常容易結合在一起解決我們當前的一些問題。關于SDN Openflow,只要支持SDN和Openflow,兩方面控制一些數據轉發(fā)。大概這就是我們談的新型的網絡的雛形。

在我們綠盟也做了一些安全曲線,這個時間場景中是虛擬化的開源的解決方案,SDN使用,看開源的應用,這兩者要相結合,這個大概就是在一個IaaS環(huán)境中,上面這個節(jié)點是三層轉發(fā)的一個物理服務器,另外的節(jié)點主要負責虛擬機的管理,以及數據報的發(fā)送,其實這兩個可以不在一個數據,甚至跨物理的環(huán)境都沒有問題。比如我們要對這兩臺機器的數據包做一個檢測,我們通過SDN控制器,和GRE的交換機。所以說,我們可以很方便的控制網絡流量,也可以很方便的做這些網絡控制,我們可以在SDN控制器上做應用,也可以做一些檢測,因為在虛擬化的環(huán)境中,不同租戶的機器也可能發(fā)生惡意攻擊,你在虛擬環(huán)境中如何檢測這種攻擊,我們通過SDN的方式很否一的融入到這種管理中。當然,如果你安的設備是管理化,那更好,你可以部署在很多地方進行保護。大概就是這么一個場景,這種場景會遇到什么問題呢?我們先看一下有什么可能遇到的問題,然后分析這些安全問題的根源在哪兒,為什么有這些問題,然后再提出解決辦法。

第一、SDN是集中控制的架構,控制器和應用容易受到攻擊,造成底層網絡設備的流控制不一致。所以,這就是在上層可能會遇到的一些問題,這些問題就是SDN現在的挑戰(zhàn),就是你增加一些控制器,SDN應用,這些必然要成為你保護的優(yōu)先對象。解決辦法就是你涉及到面向控制器和應用的機制,如果控制器受到攻擊了,要在空置平面增長一些服務的設備,如果APP受到一些攻擊,你可能要部署一些防火墻等等。

第二、在虛擬化環(huán)境中,你的防火墻放在那兒,其實這個不是很好做。因為虛擬的二層網絡可能部署在各個地方,這個不好做,如果在一個虛擬網絡中,物理設備根本接收不到這種包,即使你收到包也是第三方的,你在多租戶的環(huán)境中,能不能理解多租戶的隔離問題,這都對我們現有設備帶來一定的挑戰(zhàn)。這應該說是虛擬化帶來的挑戰(zhàn),解決辦法也很簡單,既然是虛擬化帶來的挑戰(zhàn),我們同樣用虛擬化的方式,用SDN的方式,使你的流量可以控制到。當我們用虛擬化的設備,用各種辦法解決了問題,我們會發(fā)現客戶使用虛擬化方式,可以從計算、存儲、和網絡秒級可能就部署完了,但是我們能不能很快的檢測攻擊,我們能不能通過各種各樣的方式分析這種攻擊,至少現在很難,現在這種規(guī)則從發(fā)現到上房可能長達數個月,這種周期非常長,我們能不能通過一種辦法去解決呢?這個其實在原來不是問題,網絡可能前面變化很慢,現在網絡變化很快樂,這個業(yè)務可能上線了,你安全了,很難那么快就上線。所以,這個其實是SDN自動化對安全帶來的挑戰(zhàn)。

我們應該怎么解決?我們應該設計一套軟件定義安全的技術。我們先分析,因為SDN這個控制器,就第一點,這個解決本身其實挺多,但是主要這塊是業(yè)務相關的,是SDN控制器業(yè)務相關的,而且這塊SDN在快速發(fā)展,所以我們主要還是在上面兩個部分,第一個就是用SDN和虛擬化解決當前的一些問題,我們必須保證安全設備,能夠理解這些虛擬環(huán)境中的流。

這是我們做的一個案例,這兩個虛擬機的流量都會被融入到IPS的入口,然后有一個出口,這個時候控制器會集成虛擬機的流量,所以我們可以通過SDN+虛擬的技術很容易的部署安全設備,免得把這個流量牽引出來,免得把它扔回去,在二層環(huán)境中,不需要使用一些傳統(tǒng)的比較麻煩的技術。解決這個問題之后,我們還需要設計一個自動化的軟件定義安全,第一要分離安全數據和控制平面,提供開放、可擴展的應用接口,實現自動化的安全運維。第二控制器能夠組建全局的流視圖,能夠做到快速的防護。根據這種思想,我們也是借鑒了SDN的想法,既然你有控制器,我們也作為一個安全的控制器,上面是設備,然后和你做一個開放接口的一些交互。那么,在SDN網絡方面,網絡控制器來看,其實就是它上面的安全應用。但是,在安全來看,又是分布式的,分層的一套安全解決方案,而且我們可以和IaaS進行交互。其實這個安全控制器和網絡控制器一樣是一個非常重要的措施系統(tǒng),上面提供不同的API層,底層有管理這個安全設備,安全智慧池一個池化的管理系統(tǒng),左邊會與SDN控制器進行交流,右邊是虛擬化平臺,會做一個交互,會了解虛擬網絡,虛擬路由等等這些信息,放在它的資產庫中,這樣實現了我們整個非常大的松偶合,而且分布式的一個安全解決方案。

我們這邊給出一個案例,就是抗DDoS的攻擊,在我們系統(tǒng)中,安全應用和安全設備都會向這個控制器去注冊。它對這個流感興趣,說明這些流可能符合DDoS的一些特征,這個信息收到之后,這個監(jiān)控模塊會去匹配,一旦有了,它會向安全應用提交這些流,安全應用會對這些數據進行分析,比如結合虛擬化環(huán)境中的租戶、用戶、虛擬機等等這些級別的信息展示策略,它會最后解析成一條,應該將虛擬機1已虛擬機2等等這些虛擬機的流量先引入到一個設備上去。這條命令,我們會通過流推送模塊,把這個流命令推送,我們會通過代理去解析,這個虛擬機到虛擬設備,計算的路徑,比如通過Openflow這個協議,向網絡的交換機發(fā)指令。

這個整個流程來說有什么好處呢?第一我們使用流級別的檢測,而且可以獲取全局的交換機的信息,更全一些。而且我們發(fā)送這個指令是通過Openflow,比以前更快一些,秒級就可以把路徑搭建起來。完成這個之后,我們基本上進入了一個自動化的過程。但是,我們就想,如果做到這個之后,我們的安全設備是不是要做一些額外的配置,因為你的控制器能夠和業(yè)務很緊密的結合起來,但是你這個設備,能不能驅動起來,這是我們提出的一個問題,我們希望設備具備一個全面開放的標準化的接口。所以,我們想提出這個疑問,也是因為我們遇到了和網絡,網絡設備相似的一個問題,就是你前面網絡設備都是封閉的,都是開放的,我們也希望做一個開放的設備,也能做到多家廠商,也能夠協同去做這個事情。所以,我們做一個安全設備,能夠把安全邏輯簡化,然后提供一些比較開放的,比如安全接口,供控制器去調用。

我們再舉兩個例子,一個是APT,就是實時使用流監(jiān)測,端點分析等方式,事后做各種各樣的數據分析,然后通過流量分析找到一些異常的流,然后再放到IDS上,它可以做一個文件級別的檢測,基本上它如果能提出報警,這可能是惡意行為。那么,我們再把它惡意行為所感染到的機器做一個掃描,然后哪些被感染了,再做一個修復,這是從檢測,到防護,再到修復,再到智能化。

另外,軟件定義的訪問控制,我們想做的就是軟件定義的,我們使用不同的交換機,SDN交換機可以通過流量認證,然后把你所對應的數據流經過若干設備進行調整,這些我們都是在做已經有了一定的成績。謝謝大家!

鏈接已復制,快去分享吧

企業(yè)網版權所有?2010-2024 京ICP備09108050號-6京公網安備 11010502049343號