[论文解读] Provably Secure Networks: Methodology and Toolset for Configuration Management

Cornelius Diekmann|arXiv (Cornell University)|Jan 1, 2017

Network Security and Intrusion Detection参考文献 165被引用 1

一句话总结

本文提出了一套形式化方法与工具集，用于可证明安全的网络配置管理，通过自动合成与验证访问控制策略实现。该工作引入了 topoS 用于策略驱动的网络设计，以及 fffuu 用于对现有 iptables 规则进行静态分析，两者均在 Isabelle 中形式化验证，从而实现对传统与现代网络（包括 SDN 和微服务）的安全、可扩展且非侵入式的配置管理。

ABSTRACT

Network administration is an inherently complex task, in particular with regard to security. Using the Isabelle interactive proof assistant, we develop two automated, formally verified tools which help uncovering and preventing bugs in network-level access control configurations. Our first tool guides the process of designing networks from scratch. Our second tool facilitates the analysis of existing iptables configurations. Combined, the two form a powerful toolset.

研究动机与目标

• 解决网络管理中因配置错误导致的安全漏洞高发问题。
• 开发一种方法论，实现对网络访问控制与信息流策略的形式化验证。
• 提供对管理员友好、无需深入形式化方法专业知识的工具。
• 以非侵入方式同时支持新策略的生成与对现有遗留配置的验证。
• 通过 Isabelle 中机器可检查的证明，确保网络策略的正确性与可扩展性。

提出的方法

• 在 topoS 中提出基于图的网络建模方法，从高层安全需求自动生成符合策略的、安全的网络配置。
• 开发 fffuu，一个完全自动化的工具，用于对现有 iptables 规则集进行静态分析与合规性检查，以符合指定策略。
• 采用形式化方法，使用 Isabelle/HOL 证明助手，对 topoS 和 fffuu 的正确性进行数学验证。
• 引入从高层策略抽象到低层防火墙规则的转换管道，实现不同抽象层级之间的互操作性。
• 通过将策略转换为 OpenFlow 规则，支持与 SDN 的集成，且已实现首个形式化验证的转换模块。
• 设计该方法论以保留管理员对底层配置的完全控制，确保非侵入性与与遗留配置的向后兼容性。

实验结果

研究问题

• RQ1 如何从高层安全需求自动合成网络访问控制策略，同时确保正确性？
• RQ2 能否在不需手动重新配置的前提下，对现有 iptables 配置进行形式化分析与验证，以符合指定策略？
• RQ3 何种形式化方法可确保网络配置工具从构造之初即正确且无逻辑错误？
• RQ4 如何使形式化验证在实践中对网络管理员可用，同时避免暴露于复杂的形式化语言？
• RQ5 该方法论在统一、互操作的框架中，能在多大程度上同时支持策略合成与策略验证？

主要发现

• 该工具集实现了安全、可扩展的策略生成，通过使用高层抽象避免了传统访问控制列表的二次方时间复杂度。
• fffuu 已成功分析了目前公开可获取的最大规模真实世界 iptables 转储集合，为遗留配置所实施的策略提供了清晰、形式化的概览。
• 该方法论同时支持对现有配置的非侵入式验证与新策略部署的完全自动化，使管理员可自由选择工具集成程度。
• 已演示从 iptables 到 OpenFlow 规则的形式化验证转换，实现了安全的 SDN 配置。
• 该方法已在真实系统（包括飞机客舱数据网络与 Android 测量应用）上得到验证，证明了其实际适用性。
• Isabelle 验证的工具提供了数学上的正确性保证，显著提升了对网络配置的信任度，且无需管理员具备形式化方法的专业知识。