LỜI MỞ ĐẦU Ngày mạng máy tính ngày phát triển vượt bậc Nhu cầu mở rộng mạng ngày tăng, đòi hỏi số lượng thiết bị ngày lớn gây nhiều khó khăn cho người quản trị Hệ thống mạng phức tạp, sách không quán, khả mở rộng kém, chi phí cao, nhiều nguy bảo mật Sự phức tạp việc tích hợp giải pháp bảo mật cho hệ thống mạng vấn đề quan tâm hàng đầu Công nghệ SDN - Software Defined Networking (Mạng định nghĩa phần mềm) đời giải pháp cho hệ thống mạng Sự thay đổi cấu trúc mạng có nhiều tác động trọng yếu đến vấn đề bảo mật cho nhà khai thác Nó đặt thách thức việc đảm bảo an ninh an toàn liệụ Đó lý nhóm chọn đề tài “GIẢI PHÁP BẢO MẬT CHO HỆ THỐNG MẠNG SDN” để đưa nhìn tổng quan kiến trúc mạng hoàn toàn mới, tìm hiểu mối nguy hiểm SDN ; mối nguy hiểm bảo mật SDN tích hợp giải pháp bảo mật cho hệ thống mạng Nội dung đề tài gồm phần sau: Chương : Tổng quan SDN – Software Defined Networking Chương : OpenFlow Chương : Các vấn đề bảo mật SDN Do thời gian hiểu biết hạn chế nên chắn đề tài không tránh khỏi nhiều thiếu sót Chúng em mong nhận dẫn thầy góp ý bạn để đề tài hoàn thiện Chúng em xin chân thành cảm ơn ! Hà Nội, ngày 09 tháng 06 năm 2016 Sinh viên Nguyễn Đức Thắng Nguyễn Văn Thanh Nguyễn Thị Hằng Trần Quốc Trung MỤC LỤC MỤC LỤC HÌNH ẢNH DANH MỤC VIẾT TẮT AAA Authentication Authorization and Accounting ACL Access Control List API Application Programming Interface BYOD Bring-Your-Own-Device DDoS Distributed Denial of Service DFD Data Flow Diagram IaaS Infrastructure as a Service IDS Intrusion Detection System ONF Open Networking Foundation SDN Software-Defined Networking SDO Standard Organisation SIEM Security Information and Event Management TCAM Ternary Content-Addressable Memory TLS Transport Layer Security CHƯƠNG : TỔNG QUAN VỀ SDN – Software Defined Networking SỰ CẦN THIẾT CỦA MỘT KIẾN TRÚC MẠNG MỚI Trong kiến trúc mạng truyền thống data plane control plane nằm thiết bị vật lý (chế độ tự trị) thiết bị độc lập với nhau, sách chuyển tiếp lưu lượng nằm riêng thiết bị, khả hiển thị toàn mạng, sách chuyển tiếp tốt Nếu số lượng thiết bị nhiều, gây nên phức tạp mạng điều gây khó khăn cho người quản trị mạng trình vận hành điều khiển Hình 1.1: Khó khăn cho người vận hành Các thay đổi mô hình lưu thông, gia tăng dịch vụ đám mây nhu cầu phát triển nhà khai thác băng thông dịch vụ cần tìm giải pháp Vì công nghệ mạng truyền thống đáp ứng nhu cầu nảy sinh vấn đề Các yếu tố hạn chế: • • • • Phức tạp Chính sách không quán Khả mở rộng quy mô Phụ thuộc vào nhà cung cấp SDN LÀ GÌ? TẠI SAO LẠI LÀ SDN? Software-Definded Networking (SDN) cách tiếp cận việc thiết kế, xây dựng quản lý hệ thống mạng Về bản, SDN chia tách độc lập hai chế tồn thiết bị mạng: Control Plane (cơ chế điều khiển, kiểm soát luồng mạng), Data Plane (cơ chế chuyển tiếp liệu, luồng liệu) để tối ưu hoạt động hai chế SDN dựa giao thức mã nguồn mở (Open Flow) kết nghiên cứu Đại học Stanford California Berkeley SDN tách việc định tuyến chuyển tiếp luồng liệu riêng rẽ chuyển kiểm soát luồng sang thành phần mạng riêng có tên gọi thiết bị kiểm soát luồng (Flow Controller) Điều cho phép luồng gói liệu qua mạng kiểm soát theo lập trình Hình 1.2: Controller quản lý tập trung thiết bị Switch thông qua API Trong SDN, control plane tách từ thiết bị vật lý chuyển đến Controller Controller nhìn thấy toàn mạng cho phép kỹ sư mạng làm cho sách chuyển tiếp tối ưu dựa toàn mạng Các controller tương tác với thiết bị mạng vật lý thông qua giao thức chuẩn OpenFlow Với SDN, việc quản lý mạng thực thông qua giao diện nhất, trái ngược với việc cấu hình thiết bị mạng riêng lẻ Hình 1.3: Quản lý tập trung thông qua controller ƯU ĐIỂM CỦA SDN • Controller lập trình trực tiếp • Mạng điều chỉnh, thay đổi cách nhanh chóng thông qua việc thay đổi controller • Mạng quản lý tập trung phần điều khiển tập trung controller • Cấu hình lớp sở hạ tầng lập trình lớp ứng dụng truyền đạt xuống lớp • Giảm CapEx: SDN giúp giảm thiểu yêu cầu mua phần cứng theo mục đích xây dựng dịch vụ, phần cứng mạng sở ASIC hỗ trợ mô hình pay-as-yougrow (trả bạn dùng) để tránh lãng phí cho việc dự phòng • Giảm OpEx: thông qua phần tử mạng gia tăng khả lập trình, SDN giúp dễ dàng thiết kế, triển khai, quản lý mở rộng mạng Khả phối hợp dự phòng tự động giảm thời gian quản lý tổng thể, mà giảm xác suất lỗi người tới việc tối ưu khả độ tin cậy dịch vụ • Truyền tải nhanh chóng linh hoạt: giúp tổ chức triển khai nhanh ứng dụng, dịch vụ sở hạ tầng để nhanh chóng đạt mục tiêu kinh doanh • Cho phép thay đổi: cho phép tổ chức tạo kiểu ứng dụng, dịch vụ mô hình kinh doanh, để tạo luồng doanh thu nhiều giá trị từ mạng • Mở hội cho nhà cung cấp thiết bị trung gian phần điều khiển tách rời khỏi phần cứng KIẾN TRÚC CỦA SDN Về bản, SDN chia làm ba phần lớn: phần ứng dụng (Application Layer), phần điều khiển (Control Layer) phần thiết bị hạ tầng (Infrastructure Layer) Các phần liên kết với thông qua giao thức API Hình 1.4: Cấu trúc SDN- mô hình Hình 1.5: Cấu trúc SDN-mô hình 4.1 Application layer: Lớp ứng dụng: ứng dụng triển khai mạng, kết nối tới lớp điều khiển thông qua API, cung cấp khả cho phép lớp ứng dụng lập trình lại (cấu hình lại) mạng (điều chỉnh tham số trễ, băng thông, định tuyến, …) thông qua lớp điều khiển lập trình giúp cho hệ thống mạng để tối ưu hoạt động theo yêu cầu định 4.2 Control layer: Lớp điều khiển: nơi tập trung controller thực việc điều khiển cấu hình mạng theo yêu cầu từ lớp ứng dụng khả mạng Các controller phần mềm lập trình Một Controller (bộ điều khiển) ứng dụng quản lý kiểm soát luồng lưu lượng môi trường mạng Để truyền thông điều khiển lớp sở hạ tầng, lớp điều khiển sử dụng chế OpenFlow, ONOS, ForCES, PCEP, NETCONF, SNMP thông qua chế riêng biệt Hầu hết SDN controller dựa giao thức OpenFlow SDN controller hoạt động loại hệ điều hành (OS) cho mạng Tất thông tin liên lạc ứng dụng thiết bị phải qua controller Controller sử dụng giao thức OpenFlow để cấu hình thiết bị mạng chọn đường tốt cho lưu lượng ứng dụng Cùng với chức chính, tiếp tục mở rộng để thực thêm nhiệm vụ quan trọng định tuyến truy cập mạng Vai trò: • Cung cấp API để xây dựng ứng dụng cho hệ thống mạng • Thu nhận thông tin từ hệ thống mạng vật lý, điều khiển hệ thống mạng vật lý 4.3 Infrastructure layer: Lớp vật lý (lớp sở hạ tầng) hệ thống mạng, bao gồm thiết bị mạng thực tế (vật lý hay ảo hóa) thực việc chuyển tiếp gói tin theo điều khiển lớp điểu khiển Một thiết bị mạng hoạt động theo điều khiển nhiều controller khác nhau, điều giúp tăng cường khả ảo hóa mạng So sánh với kiến trúc mạng truyền thống: • Trong hệ thống mạng truyền thống, thiết bị mạng (Layer 2, layer 3) phải mang nhiều chức để đảm bảo hoạt động VD: Các chức Layer Switch nay: VLAN, Spanning tree, Quality of Service, Security đa số thiết bị mạng giao thức hoạt động độc lập với nhà sản xuất cung cấp giải pháp mạng khác Những điều tạo phân mảnh hệ thống mạng, giảm hiệu hoạt động • Với SDN, việc điều khiển tập trung Controller Layer, thiết bị mạng có nhiệm vụ chuyển tiếp gói tin khác biệt nhà sản xuất không ảnh hưởng tới toàn hệ thống mạng Điều giống phát triển máy tính nay, máy tính cung cấp sản xuất nhà sản xuất khác (Dell, HP, IBM, Apple, Google ), chạy hệ điều hành khác (Windows, MacOS, Linux, Unix, ) có khả truy cập sử dụng internet dựa giao thức mạng TCP/IP • Về phía người sử dụng, người dùng có mặt trực tiếp thiết bị mạng để cấu hình cho thiết bị mạng, họ cần thông qua API cung cấp với chút kiến thức TCP/IP để xây dựng ứng dụng cho toàn hệ thống mạng Với SDN, thứ quản lý tập trung Điều mang lại nhiều lợi ích nhiên mở nhiều nguy bảo mật so với hệ thống mạng truyền thống CÁC THÁCH THỨC ĐẶT RA VỚI SDN • Hiệu suất tính linh hoạt: Làm để lập trình chuyển mạch đạt hiệu suất cao linh hoạt? • Khả mở rộng: Làm phép Controller cung cấp nhìn toàn mạng? • Bảo mật: Làm để SDN bảo vệ từ công? • Khả tương thích: Làm giải pháp SDN tích hợp vào mạng tại? • Liệu công nghệ SDN thực không, mà thị trường Data Center trì trệ? • Liệu SDN định hình tương lai cho hệ thống mạng nào? Liệu giao thức nguồn mở có đủ sức bật, hay chịu lép vế trước giao thức khác? • Việc chuyển đổi sang hệ thống mạng phải trình lâu dài, giống ảo hóa ỨNG DỤNG CỦA SDN Với lợi ích mà đem lại, SDN triển khai phạm vi doanh nghiệp (Enterprises) nhà cung cấp hạ tầng dịch vụ viễn thông để giải yêu cầu nhà cung cấp phân khúc thị trường 5.1 Phạm vi doanh nghiệp Áp dụng mạng doanh nghiệp : Khi sử dụng để hỗ trợ môi trường đám mây riêng tích hợp, SDN cho phép tài nguyên mạng cấp phát theo phương thức linh hoạt cao, cho phép dự phòng nhanh dịch vụ đám mây chuyển giao linh hoạt với nhà cung cấp đám mây bên Với công cụ để quản lý an toàn mạng ảo mình, doanh nghiệp đơn vị kinh doanh tin vào dịch vụ đám mây 5.2 Phạm vi nhà cung cấp hạ tầng dịch vụ viễn thông SDN cung cấp cho nhà mạng, nhà cung cấp đám mây công cộng nhà cung cấp dịch vụ khả mở rộng tự động cần thiết để triển khai mô hình tính toán có ích cho ITaaS (IT-as-a-Service) Điều thực thông qua việc đơn giản hóa triển khai dịch vụ tùy chọn theo yêu cầu, với việc chuyển dời sang mô self-service Mô hình tập trung, dự phòng điều khiển tự động SDN dễ dàng hỗ trợ cho thuê linh hoạt tài nguyên, đảm bảo tài nguyên mạng triển khai tối ưu, giảm CapEx OpEx, tăng giá trị tốc độ dịch vụ 10 switch data plane Shin et al., 2014 phát triển mô-đun chuyển đổi kết nối OpenFlow hoạt động proxy để che chắn control plane khỏi công làm ngập gói tin TCP SYN Switch lưu trữ SYN cookies, hủy bỏ bắt tay chưa hoàn thành chuyển cho controller, hoạt động tường lửa bảo vệ cho máy chủ mạng dễ bị tổn thương Thứ hai, có điều kiện xác định trước hành vi đó, switch sử dụng module actuating triggers thực kích hoạt Actives bảng flow xử lý kiện mạng hủy, chuyển hướng, giới hạn lưu lượng truy cập Các công DoS ngăn chặn xử lý mà không cần can thiệp vào kết nối Một tính bổ sung ngăn chặn quét cổng, chuyển đổi AVANT-GUARD phản ứng với gói tin TCP SYN Đồng thời, trình quét báo cáo với SIEM controller Tuy nhiên, có số nhược điểm phương pháp tiếp cận bảo vệ SDN AVANT-GUARD phức tạp tốn để triển khai, switch phần cứng ảo hay thực tế phải sửa đổi để kết hợp mô-đun Tương tự vậy, tiêu chuẩn OpenFlow cần mở rộng để hỗ trợ gói tin controller phải sửa đổi cho phù hợp Lớp proxy ngăn chặn yêu cầu TCP, UDP Hơn nữa, Ambrosi et al., 2015 cho thấy switch điểm yếu đáng kể chứng minh phương pháp công Nó ảnh hưởng giao tiếp TCP qua switch cách thiết lập kết nối TCP hợp pháp làm đầy đệm proxy thiết bị Bất kỳ client sau trả lại thiết lập kết nối qua switch mục tiêu Có thể thấy công dễ dàng nhận dạng hệ thống phát xâm nhập biểu hành vi bất thường Tuy nhiên, nhóm nghiên cứu thực nghiên cứu họ lý thuyết làm suy yếu switch AVANTGUARD thời gian ngắn Họ đề xuất sử dụng Lineswitch, sửa đổi switch phân biệt gói tin dựa địa IP proxy gói tin người bắt tay TCP thành công Tất kết nối TCP gửi gói tin SYN đến máy chủ có chọn lọc chế AVANT-GUARD dựa giá trị xác định Nếu kẻ công thiết lập kết nối hợp pháp trước bắt đầu SYN flood phát sau kiểm tra toàn IP tự động tạm thời đưa vào danh sách đen switch Do đó, kẻ công sử dụng IP thực để hồi đáp gói SYN-ACK, bị chặn lại sau nỗ lực làm ngập bắt đầu Mặc dù phần mở rộng cho AVANT-GUARD, Lineswitch phải đối mặt 62 với vấn đề thực tiễn cần điều chỉnh hoạt động switch OpenFlow controller Cả hai thiết kế nói bảo vệ control plane máy chủ đặc biệt nhạy cảm tương tự IDS tường lửa, không cung cấp chế tự động kiểm soát lại toàn mạng công Giải pháp bổ sung, tự động nhận biết ngăn chặn lưu lượng nguy hiểm dựa phát bất thường local, công bố Mihai-Gabriel & Victor-Valeriu năm 2014 phát triển hệ thống phát xâm nhập SDN Họ sử dụng sFlow lấy mẫu dựa giao diện giám sát hỗ trợ số loại switch nhà cung cấp Các OpenFlow chuyển giao mẫu cho máy ảo riêng biệt tính toán ngưỡng rủi ro Nếu máy xác định nguy cơ, gửi lệnh để controller chuyển hướng lưu lượng truy cập đến máy tính nhằm mục đích điều tra lưu lượng Cuối cùng, OpenDaylight kết hợp ứng dụng DDoS tùy chọn Defense4All giải pháp khả thi thiết thực để bảo vệ mạng Các ứng dụng hợp tác với controller OpenDaylight hệ thống giảm thiểu công Sau cài đặt, hệ thống cài đặt mục lưu switch định để liên tục theo dõi lưu lượng truy cập biết hành vi mạng thông thường từ vị trí trung tâm Một công xác định, controller hướng dẫn để chuyển hướng luồng liệu giảm thiểu công trung tâm để giảm bớt lưu lượng truy cập Mô hình trình bày cách thức tiềm để tăng cường vị trí trung tâm SDN controller đồng thời cung cấp bảo vệ toàn diện chống lại DoS mạng Tất thiết kế này, nhiên, dựa thiết bị chuyên dụng bên để hỗ trợ kỹ thuật Đó mong muốn để cài đặt ứng dụng phát giảm nhẹ controller để giảm chi phí hoạt động mạng để ngăn chặn luồng băng thông khuếch đại Một nỗ lực lựa chọn để kết hợp ứng dụng IDS gốc để bảo vệ mạng cung cấp dịch vụ điện toán đám mây controller Damask, phá triển Wang et al., 2014 Các ứng dụng Floodlight kiểm tra gói tin không rõ d controller nhận xác định bất thường tiềm sử dụng phần mềm mã nguồn mở IDS Snort Nếu cống bị phát hiện, hệ thống cài đặt FORWARD, DROP MODIFY entry bảng flow switch bị công tùy thuộc vào sách quản trị xác định trước Trong việc tích hợp ứng dụng mạng IDS controller không yêu cầu máy trạm bổ sung theo dõi, đổi lại thiếu giám sát mạng lưới tải trọng đáng kể ứng dụng độ trễ điều khiển hiệu suất Để giải 63 vấn đề độ trễ có tác động vào việc giám sát lưu lượng, Giotis et al., 2012 tích hợp sFlow vào máy chủ controller Các kiểm tra thử nghiệm cho thấy giảm đáng kể CPU tác động hiệu sử dụng sFlow, chứng minh khả giám sát hiệu hệ thống phản ứng xâm nhập tự động tích hợp vào control plane Các phép đo tốc độ luồng lưu lượng công cụ hạn chế cung cấp khả phòng chống DoS đáng kể để giảm lưu lượng có nguồn gốc từ phần mạng định mà không cắt đứt hoàn toàn liên lạc SDN tận dụng chế Self-Healing mạng Một số giải pháp để ngăn chặn công từ chối dịch vụ đề xuất control plane bảo vệ cách sử dụng switch đặc biệt ứng dụng Tương tự vậy, chế xác minh để ngăn chặn tiêm thông điệp độc hại cho controller sử dụng Nhìn chung, chế Self-Healing nguyên tắc thiết kế khả thi khía cạnh hứa hẹn SDN Dynamic Device Association – Kết hợp thiết bị Cơ chế bảo mật thứ tư xung quanh nguyên tắc Dynamic Device Association Theo nhóm nghiên cứu, switch tự kết hợp với nhiều controller để chịu công để tăng cường tổng thể vững mạnh mạng Cách tiếp cận này, nhiên, phần lớn bao phủ với đời Replication chế Self-Healing Một khía cạnh gợi ý để cung cấp switch lập trình CPU đa mục đích Mục đích để tạo switch thông minh, có khả phát mã độc điều khiển tự động kênh điều khiển cân tải Nhóm nghiên cứu cho data plane hữu ích việc cung cấp bảo mật khả chịu lỗi Switch lập trình bị hướng công lỗi phần mềm Switch cần phải cấu hình riêng để hoạt động đúngd Ngoài ra, phát triển switch lập trình thiết bị tương thích chuyên dụng phải dựa vào chấp nhận nhà cung cấp, rào cản mà thiết kế mạng không vượt qua khứ Switch cần điều chỉnh để thích ứng với mô hình có khả cung cấp tự báo cáo cấu trúc liên kết, lỗ đen hay nút quan trọng mạng Thật vậy, số lượng đáng kể biện pháp thiết kế chuyển đổi nhằm đưa tự động cân tải định tuyến chọn lọc mặt phẳng liệu công bố AVANT-GUARD Lineswitch, hai mẫu thiết kế mà yêu cầu chuyển đổi thay đổi tùy chỉnh Chúng tập trung vào biện pháp bảo mật vốn có để chuyển đổi, 64 nhắm mục tiêu phòng chống DoS bảo vệ control plane Theo đó, dự án mở rộng nà data plane phát controller switch độc hại mạng Thiết bị không thông minh mục tiêu dễ dàng, bị tổn thương đến cấu hình lỗi phần mềm hệ thống phức tạp Phần lớn đề xuất thiết kế bao phủ trước chế hiệu tổng thể chưa rõ ràng Sự phụ thuộc vào hỗ trợ nhà cung cấp giải pháp tình hình Do đó, nguyên tắc không cần thiết thời điểm hay tương lai không xem xét thiết kế cuối báo cáo Xây dựng mối tin tưởng controller thiết bị Một yêu cầu xây dựng tin cậy controller switch mạng Do đó, nhóm nghiên cứu đề xuất mối quan hệ phù hợp đáng tin cậy controller switch control plane quản lý danh sách thiết bị xác thực mạng Cần lưu ý nguyên tắc thiết kế thứ năm không yêu cầu xác thực lẫn nhau, sơ suất tiềm thiết kế Nếu switch không xác thực controller, kẻ công kết nối thiết bị để thực công Nếu giao thức OpenFlow cập nhật theo thông số kỹ thuật bảo mật phát hành chế nghiêm ngặt xác định trước bắt buộc, xác thực đáng tin cậy dự kiến có mặt thiết kế mạng không cần phải giải tiếp Thiết kế tập trung vào khía cạnh giảm nhẹ giao thức OpenFlow thiết kế an toàn Tuy nhiên, Kreutz et al., 2013 cho xác thực controller quản lý thiết bị kiềm chế linh hoạt mạng (một vấn đề mà giải với chứng tự động đề nghị quản lý chủ chốt dự án ONF Security) Ngoài ra, khả thiết bị OpenFlow mạng bị công lạm dụng luôn diện Các nhà nghiên cứu đề xuất chế điều tra phát bất thường để tìm theo dõi hành vi đáng ngờ mạng Switch controller trì ngưỡng tin tưởng xứng đáng thiết bị Một đạt đến giới hạn, thiết bị tự động phân lập, bất chấp có xác thực hay không Các thuật toán, ứng dụn controller nhằm phát báo cáo hành vi bất thường mạng phát triển Xây dựng mối tin tưởng controller phần mềm Tại thời điểm tại, tổ chức riêng biệt để xác định yêu cầu nghiêm ngặt chế bảo mật cho giao diện hướng Bắc Ủy ban an ninh ON 65 không mở rộng phạm vi họ vượt giao diện hướng Nam Tuy nhiên, đa dạng cấu hình mạng, ứng dụng điểm yếu nhạy cảm SDN Cơ chế bảo mật để xác minh theo dõi tính hợp pháp ứng dụng mạng cần thiết Vì lý này, nguyên tắc thiết kế thứ năm đòi hỏi mối quan hệ tin cậy ứng dụng phần mềm điều khiển Vì controller xử lý hệ điều hành mạng, đặt vai trò dựa mô hình cho phép kiểm soát truy cập thực điều khiển đề xuất phổ biến Các dự án thực chi tiết để thực thi an ninh controller Security-EnhancedFloodlight (SE-Floodlight) Security Mode ONOS SE-Floodlight phần mở rộng controller, cung cấp vô số ứng dụng chế an ninh mạng Các nhà phát triển đặc biệt tập trung vào kiểm soát truy cập ứng dụng quy tắc xung đột Trong SE-Floodlight API chạy phía Northbound bảo đảm sử dụng xác thực OpenSSL Ứng dụng tích hợp trực tiếp vào controller ký kết người quản trị đóng gói với thông tin trước chúng thực Tất ứng dụng chia thành cấp độ đặc quyền, gồm APP (mặc định), SEC (ứng dụng bảo mật) ADMIN Tùy thuộc vào vai trò ứng dụng, cho phép để thực tập hợp quy tắc thay đổi yêu cầu Hoạt động vượt đặc quyền giao bị từ chối Nếu quy tắc xung đột phát sinh lệnh bắt nguồn từ ứng dụng khác nhau, SE-Floodlight chọn hoạt động đặc quyền cao hơn, cung cấp hiệu ứng dụng đặc biệt với khả ghi đè lên flow rule tầng thấp Các ứng dụng đăng ký nhận dạng tất hoạt động ghi nhận cho mục đích kiểm soát điều tra Một phần mở rộng giống với Floodlight OperationCheckpoint Trái ngược với chức tĩnh dựa vai trò phổ biến, ứng dụng cấp lựa chọn riêng rẽ cho phép cấu hình để giữ linh hoạt việc tiếp cận bảo đảm cho phép thay đổi động Các thành viên nhóm nghiên cứu đề xuất SEFloodlight làm việc Security Mode ONOS So với SE-Floodlight, chức chế độ bảo mật thu hẹp định điều khiển truy cập Tuy nhiên, ứng dụng chia thành nhóm admin chế độ không admin dựa xác thực chúng phải yêu cầu cho phép cho nhiệm vụ khác trước Nếu vai trò không phù hợp, yêu cầu bị từ chối ID ứng dụng ghi hoạt động tính ONOS nhiều khả sử dụng để phân tích điều tra Các phương pháp 66 xác thực dựa vai trò làm giảm đáng kể mối đe dọa ứng dụng xấu SDN Hơn nữa, khác biệt cấp độ truy cập hạn chế nguy leo thang đặc quyền Hình 3.9: Sơ đồ tổng quan kiến trúc Security-Enhanced-Floodlight chế xác thực Kiểm soát truy cập vấn đề trung tâm SDN SDN mô cấu trúc thành phần hệ điều hành thông thường đưa điểm yếu tương tự để tùy chỉnh ứng dụng Nếu truy cập dựa vai trò, xác thực ủy nhiệm truy vấn áp dụng cho phần mềm điều khiển, bảo mật cải thiện Ứng dụng cần cnhận nhiều sức mạnh mạng control plane Vì chúng lỗi phần mềm, dễ bị lỗ hổng cài đặt kẻ công, controllers phải tận dụng phương pháp biện pháp để hạn chế quyền truy cập tác động vào cấu hình Các giải pháp đạt đề xuất tập trung vào nâng cao khả điều khiển nó, cách tiếp cận giới hạn phần mềm điều khiển cụ thể hạn chế đa dạng Tuy nhiên, điều khiển hệ thống hoạt động có khả khống chế ứng dụng sử dụng giao thức OpenFlow an toàn ONF cũg giảm nhẹ số lượng đáng kể mối đe dọa an ninh thông thường OpenFlow Security Domains Miền bảo mật phương pháp để hạn chế truy cập cung cấp dịch vụ cho cấp độ người dùng khác nhau, chi tiết chế không đề cập nhiều OF-Protocol phân biệt mức độ tin cậy xác thực Trong data plane, 67 tách miền bảo mật phải xử lý ứng dụng proxy FlowVisor Hyperflow Phương pháp tập trung vào tảng điều khiển cần thiết để cô lập phần mềm từ bên hệ thống Bộ điều khiển lỗi không ảnh hưởng đến chương trình lại máy chủ ngược lại Kiểm soát hệ thống RADIUS Kerberos hạn chế truy cập vào dịch vụ nhạy cảm control plane giới hạn phạm vi công từ máy chủ bị xâm nhập mạng Bộ điều khiển SE-Floodlight Fort-NOX truy cập dựa vai trò xác thực ứng dụng Ứng dụng cung cấp từ trình bên hoàn toàn độc lập với phần mềm điều khiển vô tình cố ý chấm dứt điều khiển Việc tiêu thụ nhớ ứng dụng bị hạn chế công cụ giám sát tài nguyên, hạn chế sử dụng CPU nhớ dựa ngưỡng xác định trước Các thử nghiệm tích hợp lai ứng dụng hypervisor chế rollback để cô lập kernel điều khiển từ ứng dụng tùy chỉnh, cho phép khôi phục nhanh chóng trạng thái ổn định trường hợp cấu hình bị lỗi Gần tất mối nguy hiểm bắt nguồn từ ứng dụng giả mạo xác thực lừa đảo Tuy có kiến trúc mạnh mẽ, hiệu suất yếu tố hạn chế Khía cạnh quan trọng thứ hai việc tách host mạng phần mềm vào miền bảo mật để giới hạn truy cập Truy cập vào dịch vụ mạng quan trọng, đặc biệt dịch vụ cấu hình OpenFlow, giới hạn máy chủ xác thực phân vùng mạng để giảm thiết bị công mạng Tuy nhiên, OpenFlow tận dụng chế 802.1X giao thức Authentication, Access Accounting (AAA) Nếu 802.1X không hỗ trợ thiết bị OpenFlow, điều khiển tích hợp giao thức xác thực hay giao tiếp với máy chủ chuyên dụng xác thực Cơ chế AuthFlow phù hợp với yêu cầu thông tin đăng nhập truy cập dịch vụ để hạn chế dòng chảy dựa thông tin host vị trí mạng Truy cập vào dịch vụ nhạy cảm control plane từ host không an toàn phần mạng bị ngăn chặn hiệu Tóm lại, hiểu Miền bảo mật kỹ thuật hữu hiệu để hạn chế tiếp cận với SDN Cụ thể để SDN cần thiết phải tách riêng điều khiển khỏi ứng dụng dịch vụ mạng lại Khai thác ứng dụng điều khiển đôi với 68 kiểm soát truy cập chặt chẽ làm giảm nguy hư hỏng phần mềm ngăn chặn nhiều mối đe dọa control plane Tăng cường kiểm soát truy cập mạng, xác minh máy chủ hạn chế dịch vụ SDN cách hữu hiệu đối an toàn mạng Secure Component Để đảm bảo bí mật toàn vẹn liệu, thành phần bên SDN thiết bị cần phải bảo vệ Các liệu nhạy cảm sách, thông tin mô tả dịch vụ Một làm lộ thông tin sở liệu tiết lộ số lượng lớn thông tin mạng Hai biện pháp xác thực TLS SSH sử dụng, nhiện hai yếu tố biện pháp xác thực không cần thiết Việc mã hóa gây độ trễ dòng chảy hiệu suất Do đó, nguyên tắc bảo mật dư thừa Mở rộng nguyên tắc, việc kiểm soát cấu trúc liên kết điều khiển bảng dòng switch coi phận mạng phải đảm bảo an toàn Một vài công cụ để kiểm tra mạng lưới sách, cấu trúc liên kết tính đắn tổng thể hệ thống mạng có sẵn Các thuật toán kiểm tra kiểm tra cấu hình mạng mô hình cảnh báo cho người quản trị xảy vi phạm cung cấp cụ thể Như chứng từ chối dịch vụ đe dọa, kích thước bảng TCAM vấn đề quan trọng khai thác thiết kế SDN hành Các module ứng dụng SPHINX dự án toàn diện để bảo vệ điều khiển kích thước bảng switch Các hoạt động hệ thống phát xâm nhập phát vô số kiểu công, bao gồm công làm tràn bảng TCAM, mô hình mạng giả mạo, định tuyến “lỗ đen” lưu lượng nói chung DoS nhắm mục tiêu vào điều khiển Các ứng dụng đưa vào lớp proxy control plane data plane Căn vào liệu gói tin, đồ thị mạng sở liệu lưu lượng xây dựng Bất kỳ sai lệch cấu trúc liên kết tin cậy, cố gắng để giới hạn mục bảng switch, mô hình lưu lượng mức báo cáo cho quản trị viên Vì không giải cảnh báo, SPHINX coi chế tự sửa chữa Tuy nhiên, phát xâm nhập giải pháp để bảo vệ toàn vẹn kho liệu SDN 69 Hình 3.10: Cơ chế phát luồng liệu lớp bảo mật SPHINX Những nỗ lực nghiên cứu bổ sung lựa chọn Trong phần sau đây, số chế bảo mật chọn trình bày Các giải pháp phân loại thành nguyên tắc thiết kế an toàn định không thiết phải giải mối đe dọa STRIDE cụ thể, dù trình bày cách tiếp cận đáng ý mức khái niệm để đảm bảo an ninh tăng cường độ mạnh tổng thể mạng OpenFlow OpenFlow Random Host Mutation Một cách để ngăn chặn nỗ lực thăm dò thuật toán OpenFlow Random Host Mutation (OF-RHM) Những kẻ công thường xuyên sử dụng quét cổng để xác định IP máy chủ dễ bị công mạng cho mục đích sau Để bảo vệ mạng khỏi hậu việc quét cổng, OF-RHM che IP thực máy chủ mạng sử dụng địa ảo liên tục thay đổi để chống lại Các thiết bị nhận địa ảo controller, cài đặt quy tắc chuyển tiếp tạm thời để ánh xạ giấu địa thực Nếu máy chủ hợp pháp mạng cố gắng giao tiếp, switch gửi gói tin tin nhắn để điều khiển, gán địa ảo cho thông tin liên lạc tạm thời Chỉ có gói tin từ nguồn có thẩm quyền liên tục chuyển tiếp tới điểm đến thực Thậm chí kẻ công thành công việc quét máy chủ với địa IP ảo, IP thay đổi sau thời gian ngắn bị hiệu lực Các nhóm báo cáo tỷ lệ huỷ bỏ hiệu lực lên đến 99% OF-RHM thay điểm cộng bảo mật NAT middleboxes giấu địa IP thực máy chủ nội Tuy nhiên, phải tính toán chi phí hạn chế bảng flow (mỗi kết nối hợp pháp đòi hỏi hai mục bảng chuyển tiếp switch), ứng dụng phù hợp cho mạng nhỏ 70 Location-Based Authentication – Xác thực dựa vị trí Bifulco & Karame năm 2014 tận dụng thiết kế trung tâm SDN để phát triển giao thức Network Proofs of Location (NPoL) dựa chế kiểm soát truy cập Nếu máy chủ kết nối vào mạng, định danh xác nhận cách gửi chứng ký kết thông tin vị trí để điều khiển Controller phê duyệt key đồ định danh máy chủ đến IP cổng kết nối Một entry chuyển tiếp tương ứng cài đặt switch thiết bị lưu trữ phép giao tiếp mạng Nếu thay đổi vị trí định chuyển máy chủ, kết nối bị chặn khẳng định lần thông điệp ký kết Cơ chế có hiệu ngăn chặn giả mạo IP nội máy chủ Thứ hai, ánh xạ thiết bị tương tác với controller, ví dụ ứng dụng quản trị máy chủ đến cổng chuyển đổi đặc biệt để ngăn chặn việc giả mạo tin nhắn cấu hình mạng Nếu vị trí IP thay đổi, controller mặt lý thuyết cảnh báo SIEM cảnh báo cho người quản trị hành vi bất thường Mặc dù xác thực người dùng đảm bảo cách sử dụng chế AAA RADIUS, phương pháp tiếp cận dựa địa điểm có tiềm cung cấp xác thực lớp thứ hai cho máy chủ mà không đòi hỏi thiết bị bổ sung máy chủ Stateful Firewalls Flowguard Controller trung tâm trì thông tin trạng thái luồng liệu cho chuyển đổi riêng lẻ tường lửa.Trong mạng hoạt động, hình điều khiển thu thập thông tin luồng cụ thể gửi gói mẫu vào ứng dụng Nếu trạng thái kết nối vi phạm sách xác định quy định trước, ứng dụng thông báo cho controller cài đặt flow entry để drop lưu lượng truy cập tương ứng switch Nếu trạng thái kết nối hợp pháp, controller cài đặt flow entry vĩnh viễn Mục đích việc giải pháp để giảm tác động hiệu tường lửa stateful giám sát toàn mạng Tuy nhiên, tác dụng hiệu controller không xem xét đề nghị sáng chế Mặc dù OpenFlow có khả phân phối tường lửa switch OpenFlow mạng, mâu thuẫn vi phạm sách phát sinh trình cấu hình tự động triển khai quy tắc mạng Như minh chứng STRIDE Spoofing, phá vỡ tường lửa cách lợi dụng mâu thuẫn bảng flow switch Flowguard mở rộng chế tường lửa chung OpenFlow để phát giải vi 71 phạm sách mạng Ứng dụng theo dõi đường mạng xác định sai lệch tiềm qua mặ tường lửa Nếu xung đột quy luật phát hiện, tường lửa vá lỗ hổng, tối thiểu thay đổi luồng mạng lại Quan điểm Software-Defined Middleboxes Cho dù social engineering hay hijacking thiết bị BYOD, kẻ công có nhiều khả để tìm thấy cách truy cập vào máy chủ mạng nội Mặc dù controller phát công dựa mô hình tin nhắn Packet IN chứng minh chương trước, đảm bảo toàn lưu lượng mạng host cá nhân đặt thách thức Chuyển hướng tất lưu lượng truy cập thông qua controller tiêu tốn tài nguyên contron plane Data plane mặt khác không đủ thông minh để phát đẩy lùi công, trừ thay đổi chuyên biệt cao AVANT-GUARD triển khai Mặc dù tường lửa có thiết kế OpenFlow, việc thiếu khả vốn có để thực phát xâm nhập phòng ngừa, kiểm soát trạng thái độc lập tường lửa kiểm tra sâu gói tin nguy tiếp xúc với công tinh vi Lưu lượng bất thường gói tin phải nhanh chóng xác định loại trừ để tránh thiệt hại Như hệ quả, ví dụ middleboxes UTM cần thiết để bảo vệ đầy đủ SDN Cấu trúc SDN cung cấp hội để khuếch đại đáng kể phạm vi tính thiết bị an ninh, controller nhanh chóng ban hành chuẩn bị biện pháp phản ứng Một lợi khả để xây dựng đường dẫn an toàn chuyển hướng truy cập đến trung tâm kiểm tra chuyên biệt, tránh cần thiết phải cẩn thận xem xét vị trí middleboxes Báo cáo chứng minh số phương pháp mà controller tận dụng thông tin phần mềm bảo mật cài đặt máy chủ thông thường, phương pháp chưa thực nghiệm dựa báo cáo phần cứng bảo mật truyền thống Mặc dù tạm thời có giá trị giải pháp cho triển khai, việc sử dụng middleboxes cổ điển vi phạm mục đích lâu dài SDN để bãi bỏ thiết bị độc quyền phức tạp mạng Một dự án thực hứa hẹn song song với SDN mạng Network Function Virtualization (NFV) NFV nhằm bãi bỏ việc sử dụng phần cứng chuyên biệt cố gắng tích hợp chức middlebox vào phần cứng để giảm chi phí cung cấp linh hoạt khả tùy biến Cách tiếp cận bổ sung cho SDN hai dự án cuối hợp nhất, chúng 72 giao nguyên tắc chia sẻ đặc điểm chung Thật vậy, số giải pháp đề xuất báo cáo này, ví dụ chế bảo vệ DDoS sử dụng trí thông minh bên chế Self-Healing phân loại thành loại NFV Về lý thuyết, mạng sử dụng hai SDN NFV hướng dẫn lựa chọn switch để định tuyến lại lưu lượng truy cập đến máy chủ NFV, thực kiểm tra gói tin phát xâm nhập báo cáo kiện với controller Các controller phản ứng theo mối đe dọa thủ công tự động cấu hình lại tình trạng mạng lưới Trong tầm nhìn NFV SDN, controller tạo đường dẫn động cách nhanh chóng thay đổi luồng switch để vượt qua trung tâm kiểm soát đặt nơi mạng.Kết là, thiết bị tự di chuyển sở hạ tầng Các chi tiết NFV, nỗ lực nghiên cứu riêng biệt từ SDN, không đề cập báo cáo này, cung cấp nhìn sâu sắc vào hội nhập tương lai việc thay phần cứng bảo mật độc quyền 3.2.4 Bảo mật Application Plane : Application Plane cho phép ta lập trình dịch vụ ứng dụng bảo mật thông qua giao diện điều khiển hướng Bắc Hình 3.11: Bảo mật lớp Application DefenseFlow biến bảo vệ DDoS từ thiết bị dựa vào mạng lưới rộng khắp dịch vụ cách sử dụng Control plane SDN để thu thập kiểm soát Data plane DefenseFlow giới thiệu độc đáo hành vi dựa công nghệ để phát công mạng thời gian thực - mức độ thông minh làm tăng giá trị mà chiết xuất từ mạng với chi phí thấp DefenseFlow ứng dụng phát mạng DDoS công dòng lưu lượng triển khai lớp ứng dụng SDN Sử dụng TLS hay SSH để bảo đảm thông tin liên lạc hướng Bắc xem cách tốt Một cách khác để giúp 73 bảo mật cuối đảm bảo ứng dụng hướng bắc mã hóa an toàn Điều có nghĩa phương pháp xác thực mã hóa nên triển khai tất thông tin liên lạc ứng dụng dịch vụ yêu cầu dịch vụ SDN liệu điều khiển phục vụ yêu cầu 74 KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN Kết đạt Qua đề tài này, phần lý thuyết, nhóm e kiến thức công nghệ mạng SDN, xem công nghệ mạng tương lai, hiểu thêm việc đảm bảo an toàn SDN Những phần chưa đạt Về phần lý thuyết, đề tài nhiều thiếu sót, chưa sâu giải pháp cho mối đe dọa an toàn SDN Hướng phát triển Tìm kiếm thêm tài liệu để hoàn thiện phần lý thuyết thiếu sót Mở rộng quy mô mô hình triển khai, tăng cường thêm hệ thống phòng thủ cho mạng 75 TÀI LIỆU THAM KHẢO Bùi Trung Thành SOFTWARE DEFINED NETWORKING - Công nghệ làm thay đổi cấu trúc mạng ONF White Paper Software-Defined Networking: The New Norm for Networks (2012) Thomas D Nadeau and Ken Gray SDN: Software Defined Networks Seungwon Shin and Guofei Gu Attacking Software-Defined Networks: A First Feasibility Study 76