@ fnii.cn

登录邮箱

周海峰

发表日期:2015年12月11日      共浏览 690 次      编辑:


尊敬的各位领导,专家,来宾们,大家下午好,我来自浙江大学,我们实验室从06年开始着手研究未来网络关系以及关键的技术。我们已经承担了多项国家可重构柔性网络等方面的研究项目。我们从09年开始关注SDN,今天很高兴在自己的土地上,在美丽的南京来向大家报告一下关于SDN最新的研究状况。

我从五个方面展开介绍,首先看一下SDN的新挑战,新趋势。SDN在带来可编程性和引进性的同时,也带来一定程度安全防卫的需求,我们需要保护交换信息。作为目前SDN部署的主要场景,在数据中心,数据中心化的大趋势之下,很多企业用户采用了它的服务,因为数据中心会导致大量相似的设备,相似的系统都放在里面,这样一次成功的攻击,涉及到的用户是非常多的,造成的损失也是不可估量的。这也是对网络安全提出的一个新的挑战。

这几年也提出了一些新的安全方法应对这些挑战,特别是14年提出的软件定义安全,包括在14年提出的软件定义边界,以及基于大数据分析威胁感知,动态化网络配置以抵御、阻断安全威胁。我主要介绍一下第四方面的研究介绍。

目前的网络是非常被动的,因为很多的系统配置,特别是网络的配置都是不变的,在这种情况下,可以花足够的时间把这个系统了解透,最后把它攻破。基于这个静态的网络配置,我们国内外提出了相应的方法,基本上都是有那种共太化网络配置防御的一种思想。经过近段时间来,国内外初步的研究验证,已经是可以确定这种方法有它的效果。我们的研究是希望基于SDN的架构下,可以保证安全系统本身可以不断的演进。还有其他各方面的特性。当我们提到演进性的时候,我们自己生存的一个生态系统,我们生存的这个生态系统是非常好的,可能只是几条基本的原则,可以实现从化学物质到单细胞,到多细胞的产生,它的稳定性是非常高的,它的演进能力是很强的,我们也注意到很多研究学者开始在近几年,从生物系统中设计下一代网络互联网,从生物系统极具敏感,设计下一代物联网的安全架构。

生物系统在漫长的岁月中,总是需要应对环境的变化,在此过程中,我们发现基因突变起到了一个很大的作用,从生物的进化当中可以发现,最终还是属于基因不断的组合,不断的改变,不断的完善。某一项环境的变化,以及变化的程度,可以造成基因的突变。从而改善这种经济作物对于抗旱的能力。网络是不是也可以这样?把它进行一个映射,将某一项基础的网络攻击行为进行网络配置的变化。

通过这些组合,不断的组合,淘汰一些对某些攻击效果不再那么好,或者说其他方面能开发一些新的可以变化的元素,从而实现整个安全系统的演进,同时还具有其他方面的特点。

对安全体系架构提出了一些要求,首先是需要持续演进,能够与现有安全系统进行互动,同时能够符合系统的安全等级需求。是和平年代处理器不一样的,如果频繁去变化一些网络配置,本身也会带来一些损耗。能够符合用户的特点,自适应网络环境。

通过进一步研究发现,确定网络配置变化的策略有三个方面的来源,首先是网络状态的要求,已经检测到攻击行为的反应。第二个是安全等级的要求,对一些攻击是没有办法发现的,这个系统安全的等级要求就是用来防范或者大幅度提高绝大部分攻击的一个门槛。

这是我们基于目前软件定义网络控制器所设计的架构,主要有几个模块组成,第一个模块是安全信息检测模块,主要和外部的一些物理的,或者虚拟的网络安全设备实施一个互动。配置变化策略选择,就是根据信息安全模块提供的要求,包括应用系统的要求,最终在网络配置变化策略中选择相应的变化策略,然后进行实施。我们的体系架构都是围绕这个网络配置变化策略进行展开的。

对于第一不个步骤,就是安全态势的感知,我们可以从多维度角度,像这里显示的七个攻击的构成,是比较经典的,一个攻击由这七个部分构成的,不仅是针对某一类攻击类型,针对某个环节的异常情况,根据这些异常情况所获得的异常事件,然后去选择最佳的一个变化的策略。这张图就显示了整个映射过程。一个是种类的表,一个是网络变化的策略表。

这里向大家报告一下比较基础的方案,首先是搜集一些有代表性的方法,把他们分解成原子攻击,对这些原子攻击进行分类,学术量减少。这样形成了一个危险种类表,对上面的每一种原子攻击,要为它找到一个最佳的变化策略。这个策略的选择,我们可以通过建立一个网络配置变化的策略评估模型,从网络安全争议和损失两方面进行实验。

在这里还有一个关键的技术,就是几种不同变化之间的协调,在研究的过程中,发现我们的路径不断在变化的同时,如果IP地址也在变化,因为部署路径是需要IP地址的,如果IP地址也变化它就会出错,我们就提出了一个解决方法,网络配置变化的机制,IP地址变化作为一种路径来实现,作为一个公用的网络配置进行访问。系统安全需求,以及用户特定安全需求,产生最佳的网络变化种类,以及它的变化频率之类的。

我们的EDM可以不断的包含新的网络配置变化,元素,种类和新的突变策略,一定对原先同一类攻击能更有效,也能够应对未来出现的网络危险。它就有一个很好的演进性。

后面介绍两种具体的变化技术,首先是传输路径的动态变化,路径不的进行变化,特别是对于一些监督是非常有效的。这里有一个问题,如何在变化路径的时候不对网络产生代价,产生路径的时候可能会中断网络,中断用户之间的连接。

这是我们最近的一个解决方法,我们实现了在多个域之间路径的重构,现在通过技术改进,我们在一秒内实现多次的重构。如果采用原先的方案,它是会导致大量的数据丢失,我们这种方案是分别进行的测试。在这个事情里面,这里看到的是有三类域,第一类是完全在新路径上,S7S8,第二种交换机是既在新路径上,也在老路径上的交换机,是S1S3S5S6。通过严格的这三类交换机进行配置,我们就能很好的解决这个问题。

IP地址的动态变化技术。通过IP地址的动态变化技术,我们能够防范内外部的扫描,也可以限制病毒的扩散。涉及到两个问题,如何在IP地址变化的时候,能够把网络影响降到最低。呈现出一个方案,对于主机来说是只知道自己是实地址,不知道虚地址。在这种机制下,它能实现每秒几十次的变化。

最后谈几点对于未来研究的几点思考。首先是针对具体的动态网络变化元素的安全增益与代价评估,针对网络变化策略的评估模型,动态网络主动防御与软件定义安全,软件定义边界的结合。基于大数据分析的网络威胁智能感知处理,并与动态网络主动防御机制的融合;

我的报告就到这里。谢谢大家。