SDN是一種概念，也是改變IT世界的一種趨勢。SDN并不是解決網(wǎng)絡問題的萬金油，況且，出于安全部署的目的，它本身還存在需要解決的威脅。瞻博網(wǎng)絡首席安全架構師Christopher Hoff在網(wǎng)絡安全領域經(jīng)驗豐富。當談到SDN的時候，他認為為了創(chuàng)建安全的架構可以繼續(xù)遵循相同的規(guī)則和最佳實例。

▲瞻博網(wǎng)絡首席安全架構師詳述SDN安全的風險與補救措施

“如果我們增加方便我們在現(xiàn)有架構和外部控制器之間溝通的連接器或代理，我們不得不確保溝通路徑受到保護，”Hoff稱。“目前，這通常意味著運行SSL/TLS并且對數(shù)據(jù)傳輸進行證書加密。”

“這樣其實并沒有對攻擊向量和威脅進行嚴肅考慮，”Hoff補充道。

在SDN環(huán)境中，通常由網(wǎng)絡設備控制真正的數(shù)據(jù)，控制器則會管理數(shù)據(jù)流。位于控制器頂部的是SDN應用，這些應用為網(wǎng)絡提供各種功能。Hoff稱SDN應用為“受信任的應用”，這些應用同樣需要得到適當保護。

SPOF單點故障?

在SDN網(wǎng)絡中，控制器可能被視為網(wǎng)絡中的單點故障威脅。如果控制器被人攻擊，那么控制器控制的整個網(wǎng)絡都面臨潛在威脅。“我們想對路由器和交換機外部的功能進行控制和管理的時候，就會擴大受攻擊面。”Hoff說。

控制器安全嗎?

Hoff指出，控制器架構的安全存在缺陷。“如果你看完所有參數(shù)，就會發(fā)現(xiàn)有些安全性能是可選項，”Hoff說。“在控制器和交換機之間沒有強制使用SSL/TLS。”從根本上說，保障SDN的安全就是深度防御，這和其他IT層面的安全問題一樣。安全專家仍然需要思考攻擊者會用什么方式損壞網(wǎng)絡架構，并開發(fā)出有效的威脅模擬來緩解這種威脅。

SDN網(wǎng)絡中對每個層級的可視性也至關重要。這種可視性在物理硬件和服務器軟件，虛擬化屬性和功能上都要得到發(fā)展。

真相來源

談到SDN網(wǎng)絡中需要被控制和看清楚的地方，會有很多地方使安全問題復雜化。OpenFlow模式中，有一個單獨的控制器對網(wǎng)絡進行配置，但這并非Hoff眼里的SDN網(wǎng)絡部署。他希望在復雜的環(huán)境中有多個控制器與其他若干控制器互動。

如何保護SDN

保護SDN其實和其他IT安全問題類似。就是要進行威脅模擬，風險分析并把策略落實到工作負載中。使用SSL/TLS加密這種組合方法，SDN就可以像其他IT功能一樣被保護起來了。