CN112968882A - 一种基于网络功能虚拟化的推演多域网络安全策略的系统和方法 - Google Patents

一种基于网络功能虚拟化的推演多域网络安全策略的系统和方法 Download PDF

Info

Publication number
CN112968882A
CN112968882A CN202110140044.4A CN202110140044A CN112968882A CN 112968882 A CN112968882 A CN 112968882A CN 202110140044 A CN202110140044 A CN 202110140044A CN 112968882 A CN112968882 A CN 112968882A
Authority
CN
China
Prior art keywords
network
security
policy
domain
security policy
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110140044.4A
Other languages
English (en)
Inventor
陈鸣
邓理
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing Huayao Information Technology Co ltd
Original Assignee
Nanjing Huayao Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing Huayao Information Technology Co ltd filed Critical Nanjing Huayao Information Technology Co ltd
Priority to CN202110140044.4A priority Critical patent/CN112968882A/zh
Publication of CN112968882A publication Critical patent/CN112968882A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

针对目前在网络安全设备采用严格的“白名单”安全策略的多域网络中，一旦出现网络故障或结构改变，将出现通信死锁、修复困难的问题，提出一种基于网络功能虚拟化(NFV)的推演多域网络安全策略(Deducing Secure Policy for Multi‑domain Networks based on NFV,DSPMN‑NFV)技术。DSPMN‑NFV先在等价的虚拟化多域网络系统中推演出防火墙/访问控制列表(ACL)集合的安全策略，然后通过虚拟化系统中域内策略实施器配置该安全策略集合，实际验证其是否有效，从而为该多域网络提供一种动态、实时配置防火墙/ACL安全策略的解决方案。

Description

一种基于网络功能虚拟化的推演多域网络安全策略的系统和 方法
技术领域
本发明属于网络通信和网络安全领域，具体地说是在实施严格安全策略的多域网络中提出了一种基于网络功能虚拟化技术动态实时地推演并验证防火墙/访问控制列表(Access Control List,ACL)安全策略的技术，以解决当网络出现故障或结构变化时出现的通信死锁、修复困难的问题。
背景技术
随着网络的规模增大，网络结构就会越来越复杂。同时，随着网络成为人类社会的基础设施，网络面临的安全威胁正在增加，这些都导致网络中设置安全设备越来越多，其上配置的安全规则也越来越复杂。由于配置每台安全设备的过程非常复杂且极易出错，特别是大型网络通常划分为多个自治域(AS)，每个AS可能由一个电信运营商拥有并管理。一个AS既是一个采用相同路由协议的区域，也是一个设置相同网络安全规则的区域。因此，在多域网络环境下，网络安全设备的配置是一个极为复杂、耗时的过程，需要多个网络安全管理员协作才能完成。
当网络安全要求很高时，多域网络的每个出入口都要设置防火墙，大部分路由器也都设置ACL，其中防火墙和具有ACL的防火墙称为安全对象。并且，网络安全设备采用严格的“白名单”安全策略，即不在“白名单”上的“IP地址+端口号列表”的应用分组无法穿越一系列网络安全设备进行通信。我们将采取前述网络安全措施的网络称为“安全白网络”。这里网络用户与关键网络应用称为应用对象，控制“安全白网络”的网络安全策略包括：安全对象允许或拒绝应用对象的分组通过，其中涉及的分组参数包括：用户的IP地址、运输层协议TCP/UDP及其端口号。
设想若某“安全白网络”中的某设备(如路由器、链路或防火墙)出现了故障，或者网络结构进行了调整变动，此时用户之间端到端的路由就可能进行相应调整，分组经过的路由器(防火墙)序列就会变化。如果某台或某些防火墙/路由器的安全策略与变动之前的有所不同，就会切断多域用户之间的端到端路径。更糟糕的是，由于多域“安全白网络”的网络管理者因网络安全和网络管理权限的限制，无法感知或探测各AS域出现的故障情况以及相应的路由变换情况，因而也就无法为多域网络的防火墙/ACL集合规划出新的网络安全策略。
综上所述，多域“安全白网络”存在如下网络安全策略设置问题：
第一，当网络运行正常时，为各种重要网络应用/用户设计的用于防火墙/ACL设备的安全策略能够正常工作，而一旦网络设备故障或结构调整时，将可能引发相关应用和用户的通信中断，会对网络应用带来难以估量的严重影响。
第二，一旦网络中断时，人类管理者只能使用初级工具与技术来确定、排除问题，设法为新“网络应用/用户”组合涉及的“防火墙/ACL集合”设置新安全策略集合，而这个过程是非常缓慢、低效的。显然，“安全白网络”存在的这种因网络结构的改变而出现的通信死锁、修复困难的问题，是承担关键任务多域网络必须要解决的问题。
本专利给出了一种解决多域“安全白网络”设置网络安全策略问题的技术方案。
发明内容
[发明目的]：
针对目前在多域“安全白网络”中，一旦出现网络故障或结构改变，将出现通信死锁、修复困难的问题，提出一种基于网络功能虚拟化(NFV)的推演多域网络安全策略(Deducing Secure Policy for Multi-domain Networks based on NFV,DSPMN-NFV)技术。DSPMN-NFV先在虚拟化多域“安全白网络”系统中推演出防火墙/访问控制列表(ACL)集合的安全策略，然后通过虚拟化系统中域内策略实施器配置该安全策略集合，实际验证其是否有效，从而为“安全白网络”提供一种动态、实时配置防火墙/ACL安全策略的解决方案。
[技术方案]：
本发明的技术方案是：
1、一种支持DSPMN-NFV的系统，其特征在于它包括：
A.该系统具有一个与现实世界中的多域“安全白网络”(简称物理网络)完全相同的基于NFV的虚拟网络(简称虚拟网络)，这两个网络具有相同的网络结构、网络协议、网络安全设备和网络安全策略，并且两者保留着各自的配置参数。因此，虚拟网络能够产生与物理网络一样的行为，如网络故障或网络结构变化等。
B.虚拟网络具有一个安全策略管理系统，该管理系统能够基于物理网络故障或网络结构变化等信息，控制虚拟网络产生相同的变化，即产生相同的网络故障或网络结构变化的虚拟网络。图1显示了该支持DSPMN-NFV的系统组成。
C.安全策略管理系统具有如图2所示的架构，其中包括用于存放多域网络中所有安全对象和应用对象配置信息的目录服务器，用于提供策略编程的策略编辑器，用于决策推理以获得优化安全策略的策略决策管理器，在每个自治域中对域内防火墙、具有ACL功能的路由器实施安全策略的域策略实施器，和防火墙和具有ACL的路由器等安全设备。
2、一种基于DSPMN-NFV的推演安全策略方法，其特征在于它包括：
A.策略管理系统推演安全策略的工作流程是：
(1)当物理网络出现设备故障或调整网络结构时，相关外部应用信息传递给目录管理器；
(2)目录管理器搜索并计算相关信息，将其交付给策略决策管理器，由该管理器对虚拟网络进行设置，使虚拟网络产生与物理网络相同的现象；
(3)策略决策管理器将所有安全设备设置为“允许来自所有IP地址的所有端口号的分组通过”；
(4)策略决策管理器根据应用对象的通信需求，发起端到端网络测量以获取通信路径集合及其安全对象的信息；
(5)策略决策管理器根据各种应用的安全需求，计算安全对象应设置的安全参数集FWPara；
(6)策略决策管理器根据多域信息，将FWPara拆分为各域的安全参数子集SubFWPara。
B.策略管理系统推演安全策略的算法如算法1所示。
Figure BDA0002930433720000031
3、一种基于DSPMN-NFV的验证安全策略方法，其特征在于它包括：
A.策略管理系统验证安全策略的工作流程是：
(1)策略决策管理器与域策略实施器进行通信，该管理器将各域的安全参数子集SubFWPara分发给各个域的域策略实施器；
(2)各个域策略实施器按照SubFWPara对本域安全对象设置安全参数；
(3)策略决策管理器在虚拟网络中根据所有应用涉及的流进行测试，如果所有测试通过则安全策略验证成功，否则验证不成功；
(4)策略管理系统将验证成功的安全策略集合交付给管理员，可供物理网络按此安全策略集合。
B.策略管理系统验证安全策略的算法如算法2所示。
Figure BDA0002930433720000032
Figure BDA0002930433720000041
[有益效果]：本发明的意义在于提出来一种基于网络功能虚拟化的推演多域网络安全策略(DSPMN-NFV)技术，以解决在安全措施严格的多自治域网络中一旦出现网络故障或网络结构变化将通信中断并难以有效设置防火墙/ACL安全策略的问题，从而为“安全白网络”提供一种动态、实时配置防火墙/ACL安全策略的解决方案。
[附图说明]：
图1支持DSPMN-NFV的系统组成
图2安全策略管理系统架构
图3支持DSPMN-NFV的原型系统
图4原型系统随策略数量的所需时间情况
[具体实施方式]：
以下结合附图和具体实例具体介绍本发明的应用。
1、构建支持DSPMN-NFV的原型系统
原型系统运行在一台Inspur NF5280M5服务器上，服务器CPU是Intel XeonSilver 4210(40cores,2.20GHz)，内存是128G B，磁盘为1TB。试验环境NETsec是一个虚拟网络环境(参见图3)，它包括某物理网络的基于NFV的虚拟网络，具有支持DSPMN-NFV的系统功能。其中，R2、R3和R4为防火墙，R41、R42、R21、R22、R31和R32为具有ACL的路由器，H13运行目录管理器和策略决策管理器，虚拟主机H411、H211、H311充当域策略实施器，而虚拟主机H411、H412、H421、H422、H211、H212、H221、H222、H311、H312、H321、H322运行Iperf等常见网络工具，可以发送/接收特定IP地址的特定TCP或UDP流分组。原型系统的节点都基于LXD实现，其中安装虚拟网络功能软件来形成路由器、主机、防火墙等虚拟设备与功能，例如虚拟路由器运行Frrouting并配置好了OSPF路由协议，使用netfilter软件，提供路由器ACL功能；所有虚拟防火墙运行nftables软件，提供防火墙功能；还可以运行nginx以提供Web服务等。
H13中的目录管理器用MySQL数据库作为目录管理器，其中存放NETsec中的每个防火墙、带有ACL的路由器的安全配置信息及其网络安全策略，它与R11防火墙连接。原型系统中所有容器中都运行一个基于Golang的代理，以使用GRPC协议获取和修改Frrouting的运行配置参数，读取和修改iptables的配置信息；此外，还能够启动Traceroute过程，并读取Traceroute的结果等。H13中的策略决策管理器存放编排虚拟网络功能和设置安全策略等控制功能，它由一个Python程序实现，该程序可以读入用户输入的、JSON格式的安全策略，并与目录管理器交互生成路由安全配置参数，并下发到一个Python实现的域策略执行器上，最终由执行器与代理通信实现修改ACL规则的功能。
2、系统功能测试
通过系统功能测试来检查验证系统已经具备本专利提出的在多域“安全白网络”环境下，能够动态、实时配置防火墙/ACL安全策略的功能。
(1)我们首先通过修改目录管理器的方式以指定H212节点运行了一个Web服务，该服务运行在TCP/80端口上，解析来使用策略编辑器向系统传入了一个安全策略，该策略要求H411能够访问H12节点上运行的Web服务，该策略即刻执行。在策略下发前后，在H411节点上运行curl工具访问H212的80端口。结果是，策略下发后curl访问成功，这证明该安全策略已经在系统上顺利执行。通过检查R4和R2的frr配置参数以及R21和R41的iptables配置参数，发现确实增加了针对该策略的ACL规则。H411、H412、
(2)我们保持这条规则生效的前提下，继续下发两个安全策略，分别是允许H411访问H222节点，和允许H421访问H321的ssh服务。两条配置均按照要求顺利完成规则下发工作，且所有的安全策略均能同时生效且不会相互干扰。同样对网络中所有设备的ACL规则进行检查，发现增加了相应的配置。
(3)设置某台设备发生故障，无法配置ACL的情况。在保持H411与H212连通的情况下，如断开R4与R2的虚拟链路，此时H411与H212不再连通。策略决策管理器运行算法1，获取所需的端到端路径，重新计算安全对象的安全策略，并且按域将FWPara分割为SubFWPara。
(4)策略决策管理器运行算法2，将SubFWPara下发给各个域策略实施器，交由它配置各个安全设备的安全策略。再检查H411与H212的连通性，此时通过traceroute我们可以发现，端到端路径已改为R4->R3->R2；相应地，相关安全策略已经配置在各个安全设备上。
原型系统NETsec上的试验结果表明，一旦出现网络故障或网络结构变化，DSPMN-NFV技术能够解决在安全措施严格的多自治域网络中有效设置防火墙/ACL安全策略的问题。此时，只需将推演出来并经过验证的安全策略SubFWPara，交由各自治域策略实施器实施，并能解决物理网络中存在的难题。
3、系统性能测试
通过性能测试来检查DSPMN-NFV原型系统对于安全策略处理的速度是否能够满足应用需求。
首先，我们生成了30个策略组，每组的策略数量从10个至1000个，分别向NETsec传输这些策略组，统计策略组从传入策略决策管理器到组内所有的策略均下发完毕所总共耗费时间。根据系统工作原理，费时应当为策略解析时间tparse、读取目录管理器时间tdb、生成配置参数集tgen以及发布配置参数集的时间texec之和，即tpre＝tparse+tdb+tgen。其中没有包括测量traceroute的耗费时间。图4显示了原型系统处理不同数量的策略时所需要的时间，两条时间曲线分别代表tpre和texec。
综上，本发明提出的DSPMN-NFV技术，能够在虚拟化多域“安全白网络”系统中推演验证防火墙/ACL集合的安全策略，为多域“安全白网络”提供一种动态、实时配置防火墙/ACL安全策略的高效解决方案。

Claims (3)

1.一种支持DSPMN-NFV的系统，其特征在于它包括：
A.该系统具有一个与现实世界中的多域“安全白网络”(简称物理网络)完全相同的基于NFV的虚拟网络(简称虚拟网络)，这两个网络具有相同的网络结构、网络协议、网络安全设备和网络安全策略，并且两者保留着各自的配置参数。因此，虚拟网络能够产生与物理网络一样的行为，如网络故障或网络结构变化等。
B.虚拟网络具有一个安全策略管理系统，该管理系统能够基于物理网络故障或网络结构变化等信息，控制虚拟网络产生相同的变化，即产生相同的网络故障或网络结构变化的虚拟网络。图1显示了该支持DSPMN-NFV的系统组成。
C.安全策略管理系统具有如图2所示的架构，其中包括用于存放多域网络中所有安全对象和应用对象配置信息的目录服务器，用于提供策略编程的策略编辑器，用于决策推理以获得优化安全策略的策略决策管理器，在每个自治域中对域内防火墙、具有ACL功能的路由器实施安全策略的域策略实施器，和防火墙和具有ACL的路由器等安全设备。
2.一种基于DSPMN-NFV的推演安全策略方法，其特征在于它包括：
A.策略管理系统推演安全策略的工作流程是：
(1)当物理网络出现设备故障或调整网络结构时，相关外部应用信息传递给目录管理器；
(2)目录管理器搜索并计算相关信息，将其交付给策略决策管理器，由该管理器对虚拟网络进行设置，使虚拟网络产生与物理网络相同的现象；
(3)策略决策管理器将所有安全设备设置为“允许来自所有IP地址的所有端口号的分组通过”；
(4)策略决策管理器根据应用对象的通信需求，发起端到端网络测量以获取通信路径集合及其安全对象的信息；
(5)策略决策管理器根据各种应用的安全需求，计算安全对象应设置的安全参数集FWPara；
(6)策略决策管理器根据多域信息，将FWPara拆分为各域的安全参数子集SubFWPara。
B.策略管理系统推演安全策略的算法如算法1所示。
Figure FDA0002930433710000011
Figure FDA0002930433710000021
3.一种基于DSPMN-NFV的验证安全策略方法，其特征在于它包括：
A.策略管理系统验证安全策略的工作流程是：
(1)策略决策管理器与域策略实施器进行通信，该管理器将各域的安全参数子集SubFWPara分发给各个域的域策略实施器；
(2)各个域策略实施器按照SubFWPara对本域安全对象设置安全参数；
(3)策略决策管理器在虚拟网络中根据所有应用涉及的流进行测试，如果所有测试通过则安全策略验证成功，否则验证不成功；
(4)策略管理系统将验证成功的安全策略集合交付给管理员，可供物理网络按此安全策略集合。
B.策略管理系统验证安全策略的算法如算法2所示。
Figure FDA0002930433710000022
CN202110140044.4A 2021-02-03 2021-02-03 一种基于网络功能虚拟化的推演多域网络安全策略的系统和方法 Pending CN112968882A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110140044.4A CN112968882A (zh) 2021-02-03 2021-02-03 一种基于网络功能虚拟化的推演多域网络安全策略的系统和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110140044.4A CN112968882A (zh) 2021-02-03 2021-02-03 一种基于网络功能虚拟化的推演多域网络安全策略的系统和方法

Publications (1)

Publication Number Publication Date
CN112968882A true CN112968882A (zh) 2021-06-15

Family

ID=76273096

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110140044.4A Pending CN112968882A (zh) 2021-02-03 2021-02-03 一种基于网络功能虚拟化的推演多域网络安全策略的系统和方法

Country Status (1)

Country Link
CN (1) CN112968882A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116962087A (zh) * 2023-09-20 2023-10-27 北京安天网络安全技术有限公司 一种辅助信息分配方法、电子设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101083549A (zh) * 2006-06-02 2007-12-05 华为技术有限公司 一种实现vpn配置服务的方法和系统
CN106850616A (zh) * 2017-01-24 2017-06-13 南京理工大学 利用sdn技术解决分布式防火墙网络一致更新的方法
US20190394081A1 (en) * 2018-06-22 2019-12-26 Intel Corporation Localized service resiliency

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101083549A (zh) * 2006-06-02 2007-12-05 华为技术有限公司 一种实现vpn配置服务的方法和系统
CN106850616A (zh) * 2017-01-24 2017-06-13 南京理工大学 利用sdn技术解决分布式防火墙网络一致更新的方法
US20190394081A1 (en) * 2018-06-22 2019-12-26 Intel Corporation Localized service resiliency

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
李畅;徐琪;李光磊;周华春;: "基于服务功能链的多域安全服务按需适配方法" *
邓理: "NFV系统的管理技术研究" *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116962087A (zh) * 2023-09-20 2023-10-27 北京安天网络安全技术有限公司 一种辅助信息分配方法、电子设备及存储介质
CN116962087B (zh) * 2023-09-20 2023-12-01 北京安天网络安全技术有限公司 一种辅助信息分配方法、电子设备及存储介质

Similar Documents

Publication Publication Date Title
Panda et al. Verifying reachability in networks with mutable datapaths
Jayaraman et al. Validating datacenters at scale
US9553845B1 (en) Methods for validating and testing firewalls and devices thereof
TWI582636B (zh) 用於電腦網路之企業任務管理之系統及方法
Jero et al. Beads: Automated attack discovery in openflow-based sdn systems
Derhab et al. BMC-SDN: Blockchain-based multicontroller architecture for secure software-defined networks
US20130298221A1 (en) Firewalls for filtering communications in a dynamic computer network
EP3269087B1 (en) Adding metadata associated with a composite network policy
WO2008099403A2 (en) A method and device for determining network device status
Valenza et al. A formal model of network policy analysis
Basile et al. Inter‐function anomaly analysis for correct SDN/NFV deployment
Asif et al. ROCA: Auto‐resolving overlapping and conflicts in Access Control List policies for Software Defined Networking
CN112968882A (zh) 一种基于网络功能虚拟化的推演多域网络安全策略的系统和方法
Hussein A Proposed Multi-Layer Firewall to Improve the Security of Software Defined Networks.
US20230353540A1 (en) Enforcing a segmentation policy in co-existence with a system firewall
Jarraya et al. Verification of firewall reconfiguration for virtual machines migrations in the cloud
Al-Zewairi et al. An experimental software defined security controller for software defined network
Al-Haj et al. Flowtable pipeline misconfigurations in software defined networks
Gardiner et al. Controller-in-the-middle: Attacks on software defined networks in industrial control systems
Ali et al. Network architecture and security issues in campus networks
Halder et al. Detection of flow violation in distributed SDN controller
Patzer et al. Context-aware software-defined networking for automated incident response in industrial networks
Zhang et al. Toward comprehensive network verification: Practices, challenges and beyond
Chi et al. SandboxNet: An Online Malicious SDN Application Detection Framework for SDN Networking
Zhang et al. A novel method against the firewall bypass threat in OpenFlow networks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20210615

WD01 Invention patent application deemed withdrawn after publication