访问控制策略的实时冲突和检测

安全挑战

如下图例子：防火墙策略为：禁止A和C通信，通过重写IP字段，达到了绕过的效果

美 国德克萨斯农工大学研究小组提出了一种其 中 提 出 了 基 于 别 名 集 的 SDN 安 全 策 略 冲 突 检 测 方 法 .该 方 法 将 通 信 中 源 地 址 和 目 的 地 址 分 别 放 到 两 个 地 址 集 合 中 ，并 将 Set-Field 操 作 中 被 修 改 的 地 址 也 加 入 到 上 述 两 个 集合，然后将源地址集合和目的地址集合与防火墙 的安全规则进行比较从而发现策略冲突。
但是上述方法可能存在误报。
比如

S1:Match(src=A，dst=B)→Set(src=D，dst=B) 
S2:Match(src=D，dst=B)→Set(src=D，dst=C) 
S3:Match(src=D，dst=C)→Set(src=D，dst=B)

会检测出(A ，D )→ (B ，C ) 的冲突，但其实数据包只是从A到B没有违反安全规则。

基于 Flowpath 的 SDN 安全策略动态冲突检测方法

lowpath 指 的 是 SDN 中 每 个 Flow 的 转 发 路径， 他的建立依赖于HSA算法 ，HSA提供一个提供了一个数据包路径计算模型。