[论文解读] A SDN-based Flexible System for On-the-Fly Monitoring and Treatment of Security Events

Maxli Barroso Campos, Joberto S. B. Martins|arXiv (Cornell University)|Jan 16, 2017

Software-Defined Networks and 5G参考文献 5被引用 3

一句话总结

本文提出了一种灵活的、基于软件定义网络（SDN）的系统，用于利用可编程控制器实时监控和自动响应安全事件。通过利用SDN的全局网络视图和动态规则管理，该系统能够对攻击进行分类，应用白名单和黑名单，并实现实时处理——在真实的OpenFlow测试平台上得到验证，具备有效的入侵检测和响应能力。

ABSTRACT

The Software Defined Networking (SDN) paradigm decouples control and data planes, offering high programmability and a global view of the network. However, it is a challenge not only provide security in these next generation networks as well as allow that network attacks could be subjected to an incident and forensic treatment procedure. This paper proposes the implementation of flexible mechanisms of monitoring and treatment of security events categorized per type of attack and associated with whitelist and blacklist resources by means of the SDN controller programmability. The resources to perform intrusion and attack analysis are validated by means of a real SDN/OpenFlow testbed.

研究动机与目标

• 解决在SDN环境中实时检测和响应网络攻击的挑战。
• 基于攻击类型和策略，实现灵活的、实时的事件处理。
• 在SDN控制器中集成白名单和黑名单机制，实现自适应安全策略执行。
• 通过在真实SDN/OpenFlow测试平台上实现，验证系统的有效性。

提出的方法

• 系统利用SDN控制器的全局可见性，实时监控网络流量并检测异常。
• 通过控制器内预定义的分类逻辑，基于攻击类型对安全事件进行分类。
• 控制器使用可配置的白名单和黑名单动态实施安全策略，实现流量过滤。
• 利用OpenFlow协议向交换机推送流表规则，基于检测到的威胁立即控制流量。
• 系统支持运行时更新安全策略，实现实时适应新威胁。
• 使用配备OpenFlow兼容交换机和控制器的真实SDN测试平台对方法进行了验证。

实验结果

研究问题

• RQ1 如何利用SDN的集中式控制实现对多样化安全事件的实时监控？
• RQ2 哪些机制能够实现基于攻击分类的灵活、实时处理？
• RQ3 在SDN环境中，白名单和黑名单的集成在动态缓解威胁方面有多有效？
• RQ4 所提出的系统能否在真实世界测试平台中实现低延迟响应和准确检测？

主要发现

• 通过动态流规则更新，系统成功实现了对多种攻击类型的实时检测与响应。
• 使用可编程白名单和黑名单，实现了对新兴威胁的快速适应，无需重新配置网络。
• 测试平台评估证实了实时监控与处理机制的可行性与响应速度。
• SDN控制器的全局视图使得跨网络的安全事件能够被准确关联。
• 由于集中式决策和直接的流规则注入，系统表现出低延迟响应时间。
• 该方法在受控的SDN环境中有效减少了攻击面，并提升了事件响应的敏捷性。