[論文レビュー] A Framework and Comparative Analysis of Control Plane Security of SDN and Conventional Networks

AbdelRahman Abdou, Paul C. van Oorschot+1 more|arXiv (Cornell University)|Mar 20, 2017

Software-Defined Networks and 5G参考文献 34被引用数 8

ひとこと要約

本稿は、ソフトウェア定義ネットワーキング（SDN）と従来のネットワーク（CNs）におけるコントロールプレーンのセキュリティを比較分析するフレームワークを提案する。主に、アーキテクチャの違いがセキュリティリスクと防御に与える影響に焦点を当てている。両パラダイムが同じ脅威モデル下で類似したコントロールプレーンの脅威に直面する一方、SDNは中央集権的なコントローラーの特性上、従来のネットワークとは異なり、より強固な暗号保護と分散型一貫性管理メカニズムを要することが判明した。

ABSTRACT

Software defined networking implements the network control plane in an external entity, rather than in each individual device as in conventional networks. This architectural difference implies a different design for control functions necessary for essential network properties, e.g., loop prevention and link redundancy. We explore how such differences redefine the security weaknesses in the SDN control plane and provide a framework for comparative analysis which focuses on essential network properties required by typical production networks. This enables analysis of how these properties are delivered by the control planes of SDN and conventional networks, and to compare security risks and mitigations. Despite the architectural difference, we find similar, but not identical, exposures in control plane security if both network paradigms provide the same network properties and are analyzed under the same threat model. However, defenses vary; SDN cannot depend on edge based filtering to protect its control plane, while this is arguably the primary defense in conventional networks. Our concrete security analysis suggests that a distributed SDN architecture that supports fault tolerance and consistency checks is important for SDN control plane security. Our analysis methodology may be of independent interest for future security analysis of SDN and conventional networks.

研究の動機と目的

• 同じ脅威モデル下でのSDNと従来ネットワークのコントロールプレーンセキュリティを分析・比較すること。
• 特にSDNにおけるコントロールプレーンの集中化というアーキテクチャ的差異が、セキュリティリスクと対策戦略にどのように影響を与えるかを特定すること。
• 両パラダイムにおけるコントロールプレーンセキュリティを、同等の条件で比較可能な体系的フレームワークを構築すること。
• 既存の防御策がSDNおよびCNsにおいて、特に内部者攻撃やDoS攻撃に対してどれほど効果的であるかを評価すること。
• すべての要素（内部者を含む）を想定した脅威モデル下で、将来のSDNコントローラー設計が耐障害性を高めることを支援すること。

提案手法

• ループ防止、冗長性、トポロジ一貫性といった基本的なネットワーク特性に基づく比較的セキュリティフレームワークを構築する。
• ネットワークデバイスおよびネットワークを、純粋なSDN、従来型、ハイブリッドの3つに分類し、脅威表面の境界を明確にする。
• エンドホストおよびすべての要素（内部者を含む）を想定した二重の脅威モデルを適用し、両パラダイムにおける露出度を評価する。
• SDNにおける既存のセキュリティメカニズム（例：フローアグリゲーション、FloodGuard、TopoGuard）およびCNsにおけるもの（例：エッジフィルタリング、ルーティングプロトコルの強化）を評価する。
• モジュール型でマイクロサービスアーキテクチャを採用した分散型SDNアーキテクチャが、一貫性チェックとフォールトトレランスの両面で効果を発揮すると提言する。
• 実世界のSDNコントローラー（例：ONOS、OpenDaylight）およびプロトコル（例：OpenFlow、NETCONF）を実用的分析の基準として用いる。

実験結果

リサーチクエスチョン

• RQ1 同じ脅威モデル下で、同等のネットワーク特性を提供するSDNと従来ネットワークにおいて、コントロールプレーンセキュリティリスクはどのように比較できるか？
• RQ2 なぜエッジベースのフィルタリングは、従来ネットワークとは異なり、SDNのコントロールプレーン保護にはあまり効果が薄いか？
• RQ3 コントロールプレーンの集中化が、SDNにおける攻撃表面の拡大またはシフトに果たす役割は何か？
• RQ4 内部者攻撃および設定改ざん攻撃に対する防御を実現するため、SDNコントローラーにおいて一貫性チェックとフォールトトレランスを効果的に実装するにはどうすればよいか？
• RQ5 SDNと従来ネットワークにおける防御メカニズムの主な違いは何か。また、それらはアーキテクチャ的制約とどのように整合しているか？

主な発見

• アーキテクチャ的差異があるにもかかわらず、同じ脅威モデル下で同等のネットワーク特性を提供する限り、SDNと従来ネットワークは類似したコントロールプレーンセキュリティリスクを示す。
• SDNでは、コントローラーが通常ネットワークエッジに露出しているため、従来ネットワークとは異なり、エッジベースのフィルタリングに依存できない。
• 特にエンドホスト脅威モデル下では、不正な参加を防ぐために暗号保護がSDNにおいて不可欠である。
• 集中型制御のため、一貫性チェックはSDNにおいてより複雑である。分散型でモジュール化されたコントローラーアーキテクチャは、その実装可能性と有効性を高める。
• フローアグリゲーション、レートリミッティング（例：FloodGuard）、および事前ルールサンプリング（例：Chi et al.）といった防御策は、SDNにおけるDoS攻撃およびステート枯渇攻撃を緩和するために不可欠である。
• TopoGuard や Sphinx といったツールは、コントローラーのネットワークトポロジのビューを検証することで、MITM攻撃やトポロジスプーフィング攻撃を検出するのを支援する。