[论文解读] A Framework and Comparative Analysis of Control Plane Security of SDN and Conventional Networks

AbdelRahman Abdou, Paul C. van Oorschot+1 more|arXiv (Cornell University)|Mar 20, 2017

Software-Defined Networks and 5G参考文献 34被引用 8

一句话总结

本文提出了一种用于分析软件定义网络（SDN）和传统网络（CNs）控制平面安全性的比较框架，重点关注架构差异如何影响安全风险与防御措施。研究发现，在相同威胁模型下，尽管两种范式面临相似的控制平面威胁，但由于SDN采用集中式控制器，其需要更强的加密保护和分布式一致性机制，而传统网络则依赖边缘过滤机制。

ABSTRACT

Software defined networking implements the network control plane in an external entity, rather than in each individual device as in conventional networks. This architectural difference implies a different design for control functions necessary for essential network properties, e.g., loop prevention and link redundancy. We explore how such differences redefine the security weaknesses in the SDN control plane and provide a framework for comparative analysis which focuses on essential network properties required by typical production networks. This enables analysis of how these properties are delivered by the control planes of SDN and conventional networks, and to compare security risks and mitigations. Despite the architectural difference, we find similar, but not identical, exposures in control plane security if both network paradigms provide the same network properties and are analyzed under the same threat model. However, defenses vary; SDN cannot depend on edge based filtering to protect its control plane, while this is arguably the primary defense in conventional networks. Our concrete security analysis suggests that a distributed SDN architecture that supports fault tolerance and consistency checks is important for SDN control plane security. Our analysis methodology may be of independent interest for future security analysis of SDN and conventional networks.

研究动机与目标

• 在相同威胁模型下，分析并比较SDN与传统网络控制平面的安全性。
• 识别架构差异（尤其是SDN中控制平面的集中化）如何重塑安全风险与缓解策略。
• 构建一个系统性的框架，实现两种范式下控制平面安全性的直接对比。
• 评估现有防御机制在SDN和CNs中的有效性，特别是针对内部人员和拒绝服务（DoS）攻击。
• 为未来SDN控制器设计提供指导，使其在涵盖内部人员威胁的全要素威胁模型下具备韧性。

提出的方法

• 基于环路预防、冗余性和拓扑一致性等关键网络属性，构建比较安全框架。
• 将网络设备和网络分类为纯SDN、传统网络或混合网络，以明确威胁面边界。
• 采用双重威胁模型：终端主机威胁模型与全要素威胁模型（包括内部人员），以评估两种范式下的暴露程度。
• 评估SDN中的现有安全机制（如流聚合、FloodGuard、TopoGuard）和传统网络中的机制（如边缘过滤、路由协议加固）。
• 提出采用分布式SDN架构，结合模块化、微服务化设计，以增强一致性检查与故障容错能力。
• 以实际SDN控制器（如ONOS、OpenDaylight）和协议（如OpenFlow、NETCONF）为参考点，开展实际分析。

实验结果

研究问题

• RQ1 当SDN和传统网络在相同威胁模型下提供相同网络属性时，其控制平面安全风险如何比较？
• RQ2 为何基于边缘的过滤在保护SDN控制平面方面不如在传统网络中有效？
• RQ3 控制平面集中化在SDN中如何增加或转移攻击面暴露？
• RQ4 如何在SDN控制器中有效实施一致性检查与故障容错机制，以抵御内部人员和配置攻击？
• RQ5 SDN与传统网络在防御机制上的关键差异是什么？这些差异如何与架构约束相匹配？

主要发现

• 尽管存在架构差异，但在相同威胁模型下，若提供等效网络属性，SDN与传统网络在控制平面安全风险方面表现相似。
• SDN无法依赖基于边缘的过滤来保护控制平面，因为其控制器通常位于网络边缘暴露，而传统网络中控制协议被限制在设备内部。
• 在终端主机威胁模型下，加密保护对SDN至关重要，以防止未经授权参与控制平面。
• 由于集中式控制，一致性检查在SDN中更为复杂，而分布式、模块化的控制器架构可显著提升其可行性与有效性。
• 诸如流聚合、速率限制（如FloodGuard）以及主动规则采样（如Chi等人提出的方法）等防御机制，对缓解SDN中的拒绝服务和状态耗尽攻击至关重要。
• 如TopoGuard和Sphinx等工具可通过验证控制器对网络拓扑的视图，有效检测中间人攻击和拓扑欺骗攻击。