[논문 리뷰] A SDN-based Flexible System for On-the-Fly Monitoring and Treatment of Security Events

Maxli Barroso Campos, Joberto S. B. Martins|arXiv (Cornell University)|2017. 01. 16.

Software-Defined Networks and 5G참고 문헌 5인용 수 3

한 줄 요약

이 논문은 프로그래밍 가능한 컨트롤러를 활용하여 실시간 모니터링과 자동 응답을 가능하게 하는 유연한 SDN 기반 시스템을 제안한다. SDN의 전역 네트워크 뷰와 동적 규칙 관리를 활용하여 공격을 분류하고 화이트리스트 및_BLK리스트를 적용하며, 실시간으로 대응 조치를 수행한다. 실제 OpenFlow 테스트베드에서 검증된 바, 효과적인 악성 침입 탐지 및 대응 능력을 보였다.

ABSTRACT

The Software Defined Networking (SDN) paradigm decouples control and data planes, offering high programmability and a global view of the network. However, it is a challenge not only provide security in these next generation networks as well as allow that network attacks could be subjected to an incident and forensic treatment procedure. This paper proposes the implementation of flexible mechanisms of monitoring and treatment of security events categorized per type of attack and associated with whitelist and blacklist resources by means of the SDN controller programmability. The resources to perform intrusion and attack analysis are validated by means of a real SDN/OpenFlow testbed.

연구 동기 및 목표

• SDN 환경에서 네트워크 공격에 대한 실시간 탐지 및 대응 과제를 해결하기 위해.
• 공격 유형과 정책에 기반하여 공격 이벤트에 대한 민첩하고 실시간 대응 조치를 가능하게 하기 위해.
• SDN 컨트롤러 내부에 화이트리스트 및 블랙리스트 메커니즘을 통합하여 적응형 보안 강제 수단을 제공하기 위해.
• 실제 SDN/OpenFlow 테스트베드에 구현을 통해 시스템의 효과성을 검증하기 위해.

제안 방법

• 시스템은 SDN 컨트롤러의 전역 가시성을 활용하여 네트워크 트래픽을 모니터링하고 실시간으로 이상 징후를 탐지한다.
• 컨트롤러 내부의 사전 정의된 분류 논리에 따라 공격 유형에 기반해 보안 이벤트를 분류한다.
• 사용자 설정이 가능한 화이트리스트 및 블랙리스트를 사용하여 동적으로 보안 정책을 강제 적용한다.
• 감지된 위협에 기반해 스위치에 흐름 규칙을 즉시 전송하기 위해 OpenFlow 프로토콜을 활용한다.
• 보안 정책에 대한 런타임 업데이트를 지원하여 새로운 위협에 실시간으로 대응할 수 있도록 한다.
• OpenFlow 호환 스위치와 컨트롤러를 갖춘 실제 SDN 테스트베드를 사용하여 접근 방식을 검증하였다.

실험 결과

연구 질문

• RQ1 SDN의 중앙집중식 제어 기능을 어떻게 활용하여 다양한 보안 이벤트의 실시간 모니터링을 가능하게 할 수 있는가?
• RQ2 공격 유형 분류에 기반해 민첩하고 실시간으로 대응 조치를 가능하게 하는 메커니즘은 무엇인가?
• RQ3 SDN 환경 내에서 화이트리스트 및 블랙리스트 통합이 위협을 동적으로 완화하는 데 얼마나 효과적인가?
• RQ4 제안된 시스템은 실제 환경 테스트베드에서 저지연 응답과 정확한 탐지 성능을 달성할 수 있는가?

주요 결과

• 시스템은 동적 흐름 규칙 업데이트를 통해 다양한 공격 유형을 실시간으로 탐지하고 대응하였다.
• 프로그래밍 가능한 화이트리스트 및 블랙리스트의 사용으로 네트워크 재구성 없이도 새로운 위협에 신속히 대응할 수 있었다.
• 테스트베드 평가를 통해 실시간 모니터링 및 대응 메커니즘의 실현 가능성과 반응성은 확인되었다.
• SDN 컨트롤러의 전역 뷰 덕분에 네트워크 전반에 걸친 보안 이벤트 간 정확한 관련성 분석이 가능했다.
• 중앙집중식 의사결정과 직접적인 흐름 규칙 삽입 덕분에 낮은 지연 시간 응답 시간을 달성하였다.
• 통제된 SDN 환경에서 공격 표면을 줄이고 사고 대응의 민첩성을 향상시키는 데 효과적이었다.