[論文レビュー] A SDN-based Flexible System for On-the-Fly Monitoring and Treatment of Security Events

Maxli Barroso Campos, Joberto S. B. Martins|arXiv (Cornell University)|Jan 16, 2017

Software-Defined Networks and 5G参考文献 5被引用数 3

ひとこと要約

本稿では、プログラマブルなコントローラーを活用して、リアルタイムでの監視とセキュリティイベントへの自動応答を実現する柔軟なSDNベースのシステムを提案する。SDNのグローバルなネットワーク視認性と動的ルール管理を活用することで、攻撃の分類、ホワイトリストおよびブラックリストの適用、および即時の対処が可能となる。実際のOpenFlowテストベッドで検証された結果、効果的なインシデント検出および応答能力を有していることが確認された。

ABSTRACT

The Software Defined Networking (SDN) paradigm decouples control and data planes, offering high programmability and a global view of the network. However, it is a challenge not only provide security in these next generation networks as well as allow that network attacks could be subjected to an incident and forensic treatment procedure. This paper proposes the implementation of flexible mechanisms of monitoring and treatment of security events categorized per type of attack and associated with whitelist and blacklist resources by means of the SDN controller programmability. The resources to perform intrusion and attack analysis are validated by means of a real SDN/OpenFlow testbed.

研究の動機と目的

• SDN環境におけるネットワーク攻撃のリアルタイム検出と応答の課題に対処すること。
• 攻撃の種別とポリシーに基づいて、柔軟かつ即時のセキュリティイベント対処を可能にすること。
• SDNコントローラー内にホワイトリストおよびブラックリストメカニズムを統合し、適応的なセキュリティ強化を実現すること。
• 実際のSDN/OpenFlowテストベッドへの実装を通じて、システムの有効性を検証すること。

提案手法

• システムは、SDNコントローラーのグローバル可視性を活用して、ネットワークトラフィックをリアルタイムで監視し、異常を検出する。
• コントローラー内に事前に定義された分類論理を用いて、攻撃の種別に基づいてセキュリティイベントを分類する。
• 構成可能なホワイトリストおよびブラックリストを用いて、動的かつ柔軟にセキュリティポリシーを強制する。
• 検出された脅威に基づき、即時のトラフィック制御が可能なように、OpenFlowプロトコルを活用してスイッチにフロールールをプッシュする。
• セキュリティポリシーのランタイム更新をサポートし、新たな脅威に即座に適応可能にする。
• OpenFlow準拠のスイッチおよびコントローラーを備えた実際のSDNテストベッドを用いて、手法の検証が行われた。

実験結果

リサーチクエスチョン

• RQ1 SDNの集中管理特性をどのように活用して、多様なセキュリティイベントのリアルタイム監視を可能にするか？
• RQ2 攻撃分類に基づいて、柔軟かつ即時の攻撃対処を可能にするメカニズムは何か？
• RQ3 ホワイトリストおよびブラックリストの統合は、SDN環境内での脅威の動的緩和にどの程度効果的か？
• RQ4 提案されたシステムは、実世界のテストベッドにおいて低レイテンシ応答と正確な検出を達成できるか？

主な発見

• 動的フロールール更新を活用して、本システムは多様な攻撃種別をリアルタイムで検出および応答した。
• プログラマブルなホワイトリストおよびブラックリストの活用により、ネットワーク再構成を伴わず、新たな脅威への迅速な適応が可能となった。
• テストベッド評価により、即時の監視および対処メカニズムの実現可能性と応答性が確認された。
• SDNコントローラーのグローバルな視認性により、ネットワーク全体にわたるセキュリティイベントの正確な相関が可能となった。
• 集中管理による意思決定と直接的なフロールールインジェクションのおかげで、低レイテンシ応答時間が達成された。
• このアプローチは、制御されたSDN環境において攻撃表面を縮小し、インcidnet応答の機動性を向上させることに有効であることが示された。