[论文解读] Securing Edge Networks with Securebox

Ibbad Hafeez, Aaron Yi Ding+1 more|arXiv (Cornell University)|Dec 20, 2017

Software-Defined Networks and 5G参考文献 35被引用 6

一句话总结

本文提出 Securebox，一种低成本、基于云的网络安全即服务（Security-as-a-Service）解决方案，利用软件定义网络（SDN）和虚拟化中间件设备，实现对小型办公室/家庭办公（SOHO）及小型企业网络的自动化、远程网络安全管理。通过将 SDN 与集中式云安全服务（CSS）集成，Securebox 实现了协同威胁检测、快速策略分发以及低延迟、低用户干预的可扩展流量分析，已通过基于低成本硬件（如树莓派）的原型验证。

ABSTRACT

The number of mobile and IoT devices connected to home and enterprise networks is growing fast. These devices offer new services and experiences for the users; however, they also present new classes of security threats pertaining to data and device safety and user privacy. In this article, we first analyze the potential threats presented by these devices connected to edge networks. We then propose Securebox: a new cloud-driven, low cost Security-as-a-Service solution that applies Software-Defined Networking (SDN) to improve network monitoring, security and management. Securebox enables remote management of networks through a cloud security service (CSS) with minimal user intervention required. To reduce costs and improve the scalability, Securebox is based on virtualized middleboxes provided by CSS. Our proposal differs from the existing solutions by integrating the SDN and cloud into a unified edge security solution, and by offering a collaborative protection mechanism that enables rapid security policy dissemination across all connected networks in mitigating new threats or attacks detected by the system. We have implemented two Securebox prototypes, using a low-cost Raspberry-PI and off-the-shelf fanless PC. Our system evaluation has shown that Securebox can achieve automatic network security and be deployed incrementally to the infrastructure with low management overhead.

研究动机与目标

• 解决物联网（IoT）和自带设备（BYOD）设备在家庭和小型企业网络中激增所带来的日益严峻的安全挑战。
• 降低非企业用户使用传统企业级安全解决方案所面临的高昂成本和管理开销。
• 通过基于云的安全服务（CSS）实现自动、远程且可扩展的网络安全管理，最大限度减少用户干预。
• 将 SDN 与基于云的虚拟化中间件设备整合到统一的边缘安全架构中，以提升监控能力和策略强制执行效率。
• 通过低成本硬件原型验证方案的可行性与低延迟性能。

提出的方法

• 设计一种基于云的架构，其中集中式云安全服务（CSS）通过 SDN 原理管理多个边缘 Securebox 网关。
• 实现 Securebox 为轻量级、可远程管理的网关，采用树莓派、无风扇 PC 等低成本硬件。
• 利用 SDN 动态引导网络流量通过云中托管的虚拟化中间件设备（如防火墙、DPI）以实现实时威胁分析。
• 通过 CSS 在所有连接的 Securebox 之间共享攻击指标和安全策略，实现协同威胁检测。
• 在云中部署虚拟化中间件设备，将流量检查和异常检测等计算密集型任务从边缘设备卸载。
• 在 Securebox 架构中集成家长控制、设备到设备（D2D）通信限制以及 QoS 优化等功能。

实验结果

研究问题

• RQ1 SDN 与基于云的虚拟化中间件设备能否有效用于为低成本 SOHO 网络提供企业级安全？
• RQ2 协同式、云管理的安全模型在分布式异构边缘网络中如何提升威胁检测与响应速度？
• RQ3 Securebox 网关在树莓派等低成本硬件上实现时，对网络性能或安全性的降级程度如何？
• RQ4 SDN 与远程管理及虚拟化安全服务的集成如何降低家庭和小型企业网络的运维开销？
• RQ5 所提出系统在真实部署中对网络延迟和用户隐私的影响如何？

主要发现

• Securebox 可成功部署于树莓派等低成本硬件，实现高可移植性与低成本的边缘安全解决方案。
• 该系统仅引入微小的、几乎可忽略的网络延迟，有效保障用户体验。
• 云安全服务（CSS）可实现跨多个网络的集中式流量分析与威胁检测，显著提升可扩展性与检测准确性。
• 各 Securebox 之间的协同威胁共享可实现安全策略的快速传播，显著提升对新兴威胁的响应速度。
• 系统支持渐进式部署且用户干预极少，适用于真实世界中的 SOHO 和小型企业环境。
• 评估结果表明，所提出的架构能有效缓解物联网（IoT）和自带设备（BYOD）相关威胁，同时通过基于订阅的数据处理模式保障用户隐私。