安全挑战
如下图例子:防火墙策略为:禁止A和C通信,通过重写IP字段,达到了绕过的效果
美 国德克萨斯农工大学研究小组提出了一种其 中 提 出 了 基 于 别 名 集 的 SDN 安 全 策 略 冲 突 检 测 方 法 .该 方 法 将 通 信 中 源 地 址 和 目 的 地 址 分 别 放 到 两 个 地 址 集 合 中 ,并 将 Set-Field 操 作 中 被 修 改 的 地 址 也 加 入 到 上 述 两 个 集合,然后将源地址集合和目的地址集合与防火墙 的安全规则进行比较从而发现策略冲突。
但是上述方法可能存在误报。
比如
S1:Match(src=A,dst=B)→Set(src=D,dst=B)
S2:Match(src=D,dst=B)→Set(src=D,dst=C)
S3:Match(src=D,dst=C)→Set(src=D,dst=B)
会检测出(A ,D )→ (B ,C ) 的冲突,但其实数据包只是从A到B没有违反安全规则。
基于 Flowpath 的 SDN 安全策略动态冲突检测方法
lowpath 指 的 是 SDN 中 每 个 Flow 的 转 发 路径, 他的建立依赖于HSA算法 ,HSA提供一个提供了一个数据包路径计算模型。