SDN控制層主要提供哪些安全功能

SDN控制層主要提供以下安全功能：

• 認證：SDN控制器對SDN應用程序進行身份認證，以確保SDN應用程序是真實的，不是偽造的；SDN控制器對SDN交換機進行身份認證，以確保SDN交換機是真實的，不是偽造的；SDN控制器對管理員進行身份認證，以確保管理員身份是真實的。常用的身份認證機制包括但不限于基于用戶名/密碼的身份驗證、基于相移鍵控的身份驗證、基于證書的身份驗證。

• 授權：SDN應用程序和管理員訪問SDN控制器時需要遵守訪問控制策略。常用的訪問控制機制包括但不限于白名單/黑名單、訪問控制列表、基于角色的訪問控制。

• 數據保密性：SDN控制層應具備數據加密功能，并在必要時對通過南向接口向交換機下發的流規則進行加密，以防止攻擊者竊聽。敏感信息（如配置信息、用戶信息）應加密存儲在SDN控制器，防止信息被竊取。

• 數據完整性：SDN應用程序下發的網絡策略（包括安全策略和QoS策略）在被解釋為流規則前，需要先由SDN控制器進行數據完整性驗證；SDN控制器在利用南向接口向交換機下發流規則時，應對該流規則進行完整性保護，以防止攻擊者篡改；SDN控制器在接收SDN交換機的流規則查詢請求時，應先對該請求進行完整性驗證，再查詢相應的流規則。管理控制平臺下發的配置信息，應先由SDN控制器進行完整性驗證，再執行相應的配置更新；應為存儲在SDN控制器上的敏感信息（如配置信息、用戶信息）提供完整性保護功能，防止其被攻擊者篡改。常用的數據完整性保護技術包括但不限于散列值、MAC、HMAC和數字簽名。

• 密鑰/證書管理：密鑰/證書管理中的密鑰管理同ITU-T X.800中所定義的一致，證書管理同IETF RFC 4210中所定義的一致。

• 流規則推送機制：表項被推送至SDN交換機的方式分為實時推送和周期性推送。對于由安全防護系統/應用（如防火墻、DPI、IDP）產生的用于緩解或阻斷攻擊行為的表項，必須采用實時推送機制；對于可容忍延緩執行的表項，可采用周期性推送機制。

• 防止流規則沖突：目前，SDN控制層無法對流規則加以區分，新生成的流規則可能會與原有的流規則發生沖突，導致原有流規則或預先部署的安全防護措施失效。因此，SDN控制層應具備判斷一個應用程序是否具備插入/更新/刪除流表中的流規則的權限，從而避免流規則沖突。

• 安全監測：為管理員提供整個網絡的安全監測功能。

• 操作系統加固：操作系統加固能夠最大限度地消除安全風險，使操作系統更加安全。操作系統加固涉及一系列操作，如正確配置系統和網絡組件、刪除無用的文件、刪除所有不必要的軟件程序、更新補丁、格式化硬盤、只安裝服務器必需的功能、禁用來賓賬戶、重命名管理員賬戶等。

• 軟件漏洞檢測：軟件漏洞檢測技術分為靜態檢測（如模式匹配和數據流分析）和動態檢測（如故障注入、Fuzzing測試）兩類，通常需要兩類技術配合使用。

• 硬件管理：硬件管理系統可以使管理員及時發現硬件故障，并定位受影響的網元，從而可以更快、更早地恢復系統，增強網絡的可用性。

• 安全管理：安全管理是指對系統平臺、資源進行訪問控制，避免非授權使用或修改相關安全策略。安全管理可以對用戶進行審計、控制錯誤密碼嘗試次數、最小化系統平臺需要的配置、強制執行操作系統的安全策略。安全管理還可以對網絡中的各類信息數據進行整合分析，用來支撐相應攻擊檢測等功能。