SDN能解決很多問題但不包括安全

　　Iccsz訊 隨著數(shù)字化企業(yè)努力尋求最佳安全解決方案來保護其不斷擴張的網(wǎng)絡(luò)，很多企業(yè)正在尋求提供互操作性功能的下一代工具。

　　軟件定義網(wǎng)絡(luò)(SDN)具有很多的優(yōu)勢，通過將多個設(shè)備的控制平面整合到單個控制器中，該控制器將成為整個網(wǎng)絡(luò)中的決策者，實現(xiàn)集中控制。但是開發(fā)人員在構(gòu)建SDN產(chǎn)品時仍然沒有安全保證，因此SDN中存在可能危及企業(yè)安全的弱點。

　　羅馬Sapienza大學(xué)博士生Fabio De Gaspari表示：“SDN相關(guān)的主要風(fēng)險是控制平面的妥協(xié)以及控制平面潛在的可擴展性問題。”

　　控制平面的實現(xiàn)方式?jīng)Q定了其脆弱性，但是如果攻擊者能夠訪問控制器，那么攻擊者造成的災(zāi)難范圍就擴大到對整個網(wǎng)絡(luò)的完全控制，在多控制器SDN中有很高的安全風(fēng)險，其中非妥協(xié)控制器(non compromised controllers)可以檢測和減輕受損的控制器。

　　一般來說，主要的安全風(fēng)險來自設(shè)備配置不良或不正確，這不僅是SDN中面臨的問題。盡管安全方面存在差距，但SDN仍然是現(xiàn)代網(wǎng)絡(luò)問題的新興替代解決方案。 Hellfire Security的網(wǎng)絡(luò)安全行動Gregory Pickett表示，SDN帶來了很多好處。

　　Gregory Pickett表示：“SDN能夠改變提供商幾十年來的運營方式，如用戶出口選擇等，通過基于可信任路由選擇增強的BGP安全性、更快的路由收斂和IXP的粒度對等操作。”

　　Pickett在Black Hat 2015演示文稿“濫用軟件定義網(wǎng)絡(luò)”中表示，SDN提供了讓網(wǎng)絡(luò)能夠自動應(yīng)對威脅的能力，但SDN仍然有很多安全漏洞。Pickett說：“人們在發(fā)布產(chǎn)品之前并不關(guān)注安全漏洞，他們還沒有認真對待安全問題。”

　　Pickett認為，安全性仍然是SDN的挑戰(zhàn)的一個原因是，軟件定義網(wǎng)絡(luò)實際上并沒有明確的定義。他說：“我的印象是，這個概念至今不明確，你的SDN可能不是我的SDN，而根據(jù)提供商的不同，SDN的各種版本也各不相同。提供商以適應(yīng)其產(chǎn)品線的方式定義了SDN，現(xiàn)在的情況是產(chǎn)品線不是在向SDN的方向發(fā)展，而SDN的定義在向產(chǎn)品線發(fā)展。”

　　諷刺的是高級首席分析師Jon Oltsik表示，SDN本應(yīng)該為網(wǎng)絡(luò)帶來一致性，但是SDN本身具有很大的歧義，因為企業(yè)正在圍繞SDN進行戰(zhàn)略規(guī)劃，他們需要讓安全團隊參與其中。Oltsik表示安全從業(yè)者是能夠識別和降低風(fēng)險的人員，他說：“安全從業(yè)者可以在技術(shù)、實施或操作中找出風(fēng)險，并降低這些風(fēng)險。”

　　雖然SDN不是新發(fā)展出來的，但是由于新設(shè)計了很多協(xié)議，使得它與新技術(shù)非常相似。Oltsik表示：“我們還沒有動搖所有的BUG，就已經(jīng)發(fā)生了很大的創(chuàng)新，但并不像現(xiàn)有技術(shù)那樣穩(wěn)定。”

　　Oltenik表示軟件正在迅速變化，但是相關(guān)的SDN領(lǐng)域的安全專家并不多。他說：“這是由一個想要簡化網(wǎng)絡(luò)團隊或數(shù)據(jù)中心運營團隊建立的，他們正在試圖通過軟件來實現(xiàn)這一目標(biāo)，但他們不是安全專家。”擁有控制網(wǎng)絡(luò)的現(xiàn)代手段的愿望引發(fā)了新一輪的網(wǎng)絡(luò)管理工具，但新產(chǎn)品面臨的安全風(fēng)險并沒有減輕。

　　ScaleFT聯(lián)合創(chuàng)始人兼CTO abc Paul Querna表示：“安全風(fēng)險與網(wǎng)絡(luò)中的風(fēng)險并沒有什么不同，目前攻擊者已經(jīng)知道如何在SDN領(lǐng)域中訪問網(wǎng)絡(luò)，對于較弱的攻擊者來說，SDN相對安全，因為它們可以更容易地實現(xiàn)路由功能。”

　　然而，風(fēng)險根據(jù)所使用的SDN技術(shù)而有所不同。Querna表示：“如果您正在部署SDN，則需要注意交換機，以及如何在硬件中實現(xiàn)這些規(guī)則。”

　　卡巴斯基實驗室的解決方案業(yè)務(wù)主管，數(shù)據(jù)中心和虛擬化安全解決方案業(yè)務(wù)主管Vitaly Mzokov表示：“無論組織是否擁有SDN，他們的安全策略都應(yīng)該繼承多層網(wǎng)絡(luò)安全來保護企業(yè)環(huán)境。組織不得不預(yù)測網(wǎng)絡(luò)犯罪分子將如何攻擊公司的基礎(chǔ)設(shè)施，以及他們可能使用的攻擊載體，然后開始設(shè)計合適的IT環(huán)境，并配置網(wǎng)絡(luò)和防火墻策略。”

　　但現(xiàn)代網(wǎng)絡(luò)犯罪分子已經(jīng)學(xué)會了靈活性是成功的關(guān)鍵。隨著技術(shù)的發(fā)展，他們必須近乎實時地改變他們的攻擊戰(zhàn)術(shù)。較新的網(wǎng)絡(luò)威脅很難識別，因為業(yè)界對這些威脅的理解較少，難以用老式的安全解決方案進行檢測。Mzokov說：“SDN使得企業(yè)更快地重新配置環(huán)境，并且還可以將微分段引入其中。”

　　Mzokov表示：“如果沒有適當(dāng)?shù)募苫蚺c惡意軟件解決方案的互操作性，任何SDN技術(shù)都只是人們利用不足的工具。組織應(yīng)該從安全角度簡單地讓SDN知道虛擬機內(nèi)部正在發(fā)生的事情，他們將看到更多的內(nèi)容、更高效的SDN運營。”

　　傳統(tǒng)保護控制器的手段仍然可以應(yīng)用于保護軟件定義網(wǎng)絡(luò)的安全，但仍然需要全新的方式去實現(xiàn)SDN的安全。