基于虚拟化安全网络扩展的SDN安全架构

采用控制、转发分离架构的软件定义网络（SDN）为网络的可编程性与开放性提供极大便利,但也给网络的安全性带来诸多挑战。提出一种虚拟安全网络（Virtualized Security Networks）与数据层中间盒扩展相结合的SDN安全架构,给出该架构的实现要点,并以实验验证其架构实现。测试表明该架构较其他方式具有更好的性能与可扩展性,同时其更有利于传统网络环境下的安全保障机制面向SDN网络架构的过渡迁徙。     

面向SDN环境的软件定义安全架构

Open Flow协议无深度包检测能力使其在安全应用中受限,同时现有安全解决方案不能适应软件定义网络(software-defined networking,SDN)的发展。提出了一个分布式的软件定义安全架构(software-defined security architecture,SDSA),可将安全功能从SDN控制器解耦到专有的安全控制器和安全APP,提供了全局流和局部数据包层面的检测和防护,以抵御SDN和虚拟化环境中的各类攻击。全局视图和知识库有助于进行快速准确的决策,安全数据和控制分离既极大简化了安全设备的处理逻辑,又使得安全控制器具有灵活的控制平面,并且实时下发策略到设备和动态牵引流量,从而使得整个防护响应大大加快。实验表明SDSA架构可有效防护Do S、端口扫描和异常大流量等各类攻击。     

基于SDN和NFV技术的网络安全架构

基于软件定义网络(SDN)和网络功能虚拟化(NFV)的新型网络取代传统网络势在必行,因此研究基于新网络环境的网络安全体系结构迫在眉睫.介绍了一种开放且通用的软件定义的SDS安全架构,它可以为安全服务、安全设备和安全管理提供一个开放的接口,并且支持不同的网络安全供应商部署其安全产品和安全解决方案.此外,可以实现虚拟安全功...     

基于OpenFlow的SDN网络攻防方法综述

软件定义网络(Software Defined Network,SDN)的控制与转发分离、统一配置管理的特性使其网络部署的灵活性、网络管理的动态性以及网络传输的高效性均有大幅提升,但是其安全性方面的问题却比较突出。综述了基于OpenFlow的SDN在安全方面的研究现状,首先根据SDN的三层架构分析了其脆弱性,介绍SDN不同平面面临的安全威胁,并根据网络攻击的流程来介绍当前主要的攻击手段,包括目标网络探测、伪造欺骗实现网络接入以及拒绝服务攻击和信息窃取;其次,针对不同攻击环节,分别从探测阻断、系统加固、攻击防护3个方面对当前主要的防御手段进行论述;最后,从SDN潜在的攻击手段和可能的防御方法两方面来探讨未来SDN安全的研究趋势。     

浅议SDN发展对网络安全的影响

文章简要介绍了软件定义网络（software defined network,SDN）的基本思想和特点,分析了SDN与虚拟化技术的关系,着重讨论了SDN对网络安全带来的影响,并提出了大安全思路和软件定义安全方向以应对SDN发展对网络安全的影响。     

基于SDN技术构建数据中心虚拟网络

网络与计算系统的发展彼此影响并相互联系,促使计算虚拟化为如何更宽泛地考虑IT基础架构提供了一个样板。本文对网络虚拟化的必要性、传统网络技术的局限性以及软件定义网络技术特点做了分析,提出了基于SDN技术构建数据中心虚拟网络,阐述了方案的应用前景。     

基于SDN的大型企业网络研究

文中讨论将软件定义网络（ SDN）应用到大型企业网络,通过智能软件将通信网络资源进行抽象,使得大型企业网络更加人性化、软件化和智能化,为满足大型企业数据通信尤其是大型企业开展设计和试验对网络动态重组的需求,提供安全、可控和灵活的资源调度能力。文中针对传统网络对大型企业开展新技术体制试验存在的问题,将通信网络、安全和管理进行整合,实现网络自动部署、安全高效整合、运维快速故障定位与排除,为提高企业运维管理人员效率、降低成本提供一种手段和方法。     

软件定义网络架构下的安全问题综述

随着网络业务的多元化与网络基础服务能力的不断提升,企业网、云计算、数据中心等大量新兴应用场景迅速丰富,传统网络已不能满足其不断涌现的可扩展性、可管理性及安全保障等新需求,这一现状有力地推动以SDN为代表的当代网络架构的发展。然而随着学术界与产业界对SDN技术的研究及其设备的普及,安全问题逐渐成为制约其进一步发展的关键因素之一。针对SDN架构的技术发展背景进行分析,然后简析SDN技术的核心架构原理及目前的发展现状;结合SDN架构特点,针对其安全特性及其所面临的安全威胁进行详细分析,并深入讨论SDN网络安全研究的范畴与新兴发展方向。     

SDN的技术及应用研究

目前,软件定义网络(Software Defined Network,简称SDN)已经成为当前研究的热点。SDN通过路由控制和数据转发相分离,改变了现有的网络架构,实现了网络和业务的可编程。本文从SDN产生背景和概念入手,归纳了SDN的关键技术和实现机制,并对SDN的应用及所面临的挑战进行了深入的分析和总结。     

基于SDN的虚拟网络映射问题研究综述

传统IP网络架构越来越不适应日益增长的网络业务与应用,一种新型的网络架构应运而生,即软件定义网络。它实现数据面和控制面相分离,同时具有集中控制、开放接口、可编程等特性。研究了基于该网络架构的虚拟网络映射问题,即如何将带有约束条件的虚拟网络请求映射到由传统电信商提供的底层物理网络中。首先给出虚拟网络映射问题的定义及目标,然后对现有的多种经典映射算法进行分类,并同时对比与分析,最后在此基础上对未来虚拟网络映射算法提出一些建议与改进思路。     

软件定义网络可信连接设计与实现

软件定义网络（software defined networking,SDN）将控制层和数据转发层分离,由控制层对数据转发层进行统一管理。目前控制层及数据转发层设备间完整性认证机制尚不完善,若平台完整性损坏的设备接入网络,会给整个SDN网络带来严重的安全问题。为确保双方设备在完整可信的前提下建立连接,进而在源头上保障设备安全、网络可信,提出了一种新的SDN可信连接方案。该方案以可信网络远程设备认证技术为基础,利用可信平台模块作为可信支撑,在SDN数据转发设备与控制器的连接过程中添加完整性认证环节。测试分析表明,该方案有效可行,符合实际应用。     

基于拟态防御的SDN控制层安全机制研究

软件定义网络（Software-Defined Networking,SDN）的集中式管控为网络带来了创新与便利,但主控制器被赋予了足够的管理权限,仅依赖其自身内部的防御技术,难以确保其不发生异常,以独裁的能力来危害整个网络。本文提出基于拟态防御的SDN控制层安全机制,以一种多样化民主监督的方式,使用多个异构的等价控制器同时处理数据层的请求,通过对比它们的流表项来检测主控制是否存在恶意行为。其中,重点研究了如何在语义层面对比多个异构控制器的流表项,以解决它们在语法上的差异化问题。该安全机制不依赖于对恶意行为的先验知识,实验结果验证了它检测恶意行为是有效的,同时具有较好的性能。     

基于贝叶斯−斯坦科尔伯格博弈的SDN安全控制平面模型

提出一种基于动态异构冗余的安全控制平面,通过动态地变换异构的控制器以增加攻击者的难度。首先,提出基于贝叶斯?斯坦科尔伯格博弈模型的控制器动态调度方法,将攻击者和防御者作为博弈参与双方,求得均衡解,进而指导调度策略;其次,引入一种自清洗机制,与博弈策略结合形成闭环的防御机制,进一步地提高了控制层的安全增益;最后,实验定量地描述了基于该博弈策略的安全控制层相比与传统部署单个控制器以及采用随机策略调度控制器的收益增益,并且自清洗机制能够使控制平面一直处于较高的安全水平。     

EPC引入SDN/NFV的关键问题分析

首先介绍了运营商在EPC中引入SDN/NFV驱动力的原因,然后分析了基于SDN/NFV的EPC架构演进以及引入SDN/NVF后EPC的网络管理。     

基于节点可靠度的虚拟SDN网络映射算法

为应对网络故障,提升网络的可靠性,该文针对SDN网络环境设计了节点的可靠度指标,提出了基于节点可靠度的虚拟SDN映射算法。在初始可靠映射阶段,该算法根据节点可靠度指标进行vSDN映射,部署控制器时兼顾了控制器与交换机的时延,同时考虑控制网络的重要性,为控制网络构建相应的备份资源;在故障恢复阶段,针对物理SDN网络单节点或单链路故障,算法使用迁移方法应对控制节点失效的情况,使用重映射方法应对其他故障。仿真结果表明,算法在请求接受率、故障恢复率、有效承载率和平均控制时延等指标上取得了较好的结果。     

一种新的SDN架构下端到端网络主动测量机制

SDN是近年来网络界的研究热点之一,自斯坦福大学首次提出SDN概念以来已引起国内外研究人员的极大关注和研究。SDN是一种新的网络体系结构,其核心原则是分离控制平面和数据平面。随着SDN网络的快速发展,对SDN网络进行有效的网络测量变得越来越重要。SDN网络的构架与传统的TCP / IP网络完全不同。这使得传统的端到端网络测量工具对于SDN网络都不再适用。为了在SDN构架下实现端到端的网络测量,本文提出一种新的SDN网络主动测量机制。这种机制以主动测量为目的,依据SDN网络的新型构架,对SDN协议和交换机进行了扩展完成相应测试功能。仿真结果表明,该机制可以获得准确的网络测量结果,并且具有良好的可扩展性。     

传统网络安全防御面临的新威胁:APT攻击

高级持续威胁(APT)攻击不断被发现,传统网络安全防御体系很难防范此类攻击,由此给国家、社会、企业、组织及个人造成了重大损失和影响。对近几年典型APT攻击事件和攻击代码进行了研究,分析了攻击的产生背景、技术特点和一般流程。彻底防御APT攻击被认为是不可能的,重视组织面临的攻击风险评估,建立新的安全防御体系,重点保护关键数据成为共识。为此,提出了建立一种新的安全防御体系,即安全设备的联动、安全信息的共享、安全技术的协作,并给出了基于社会属性、应用属性、网络属性、终端属性及文件属性的多源态势感知模型,以及安全信息共享和安全协作的途径。