CN104168144A - 一种对sdn网络进行审计的方法 - Google Patents

Abstract

一种对SDN网络进行审计的方法,属于信息审计领域，步骤1、通过管理平台在SDN网络的控制平面和转发平面分别部署探针/监视模块，用以对SDN网络流量、事件进行监视统计；步骤2、部署于控制平面的监视模块采集数据，并发送给审计控制模块，审计控制模块中控制平面子模块对该数据进行接收/存储，并依预定规则进一步审计分析，审计结果/日志/报告输出至审计综合处理模块；步骤3、部署于转发平面的监视模块采集数据，并发送给审计控制模块，审计控制模块中转发平面子模块对该数据进行接收/存储，并依预定规则进一步审计分析，审计结果/日志/报告输出至审计综合处理模块。

Description

一种对SDN网络进行审计的方法

技术领域

本发明涉及一种对SDN网络进行审计的方法,属于信息审计领域，尤其是对SDN网络(Software Defined Network,软件定义网络)进行审计的方法与装置。

背景技术

随着互联网和数据中心规模的迅速发展，尤其是在虚拟化技术的冲击下，运营商和大型数据中心的运营者遇到越来越多的挑战，例如:网络设备没有开放接口，很难实现运维活动的自动化，难以降低运营成本；依赖网络设备供应商的响应，无法满足业务部门快速变化的业务需求；网络设备之间的互操作性不好，容易导致供应商锁定；网络规模很难快速扩容和降容(ScaleUP/DOWN)；由于网络IP地址和物理位置绑定，很难做业务迁移；传统路由策略太复杂，很难管理，容易失控等等。软件定义网络SDN(Software DefinedNetworking)的提出为解决以上大型数据中心的运营问题提供了可能的解决方案，因此虽然SDN还存在许多技术问题没有解决，但己有大量云计算中心、运营商及相关厂家的进行了SDN的实践。

SDN网络是对现有网络架构的重大革新，现有网络中，对流量的控制和转发都依赖于网络设备实现，且设备中集成了与业务特性紧耦合的操作系统和专用硬件，这些操作系统和专用硬件都是各个厂家自己开发和设计的。因此对现有的网络审计，无论是控制协议、应用还是数据报文都是基于统一的采集点进行。

SDN是一种新型的网络架构，它的设计理念是将网络的控制平面与数据转发平面进行分离，从而通过集中的控制器中的软件平台去实现可编程化控制底层硬件，实现对网络资源灵活的按需调配。在SDN网络中，网络设备只负责单纯的数据转发，可以采用通用的硬件,而原来负责控制的操作系统将提炼为独立的网络操作系统，负责对不同业务特性进行适配，而且网络操作系统和业务特性以及硬件设备之间的通信都可以通过编程实现。

SDN网络机构及与现有网络的对比参见图1a.由图可见，与传统网络相比，SDN的基本特征有3点：

1)、控制与转发分离；转发平面由受控转发的设备组成，转发方式以及业务逻辑由运行在分离出去的控制面上的控制应用所控制。

2)、控制平面与转发平面之间的开放接口。SDN为控制平面提供开放可编程接口。通过这种方式，控制应用只需要关注自身逻辑，而不需要关注底层更多的实现细节。

3)、逻辑上的集中控制；逻辑上集中的控制平面可以控制多个转发平面设备，也就是控制整个物理网络，因而可以获得全局的网络状态视图，并根据该全局网络状态视图实现对网络的优化控制。

从网络安全的角度，SDN带来了网络架构方面的革新，也面临诸多新出现的、相对独特的安全威胁和挑战:

1)、SDN控制器的自身安全；SDN网络中的集中控制器(Controller)是SDN体系中的核心，由于SDN网络的可编程性、开放性，SDN控制器安全的重要性远大于传统网络中网管系统的安全。所以控制器的安全是SDN体系自身安全的最关键环节。

2)、开放带来的安全隐患。开放是一把双刃剑，第三方的应用和各种插件可能会带有恶意功能、未声明功能、安全漏洞等多种风险。

3)、规则冲突带来的安全隐患。安全和网络的应用插件都具备一定的规则写入权限，及时发现，处理及避免安全策略冲突或被绕过可能带来的服务中断等都是SDN网络的安全需求。

4)、分布式部署和全局视野。SDN网络中流量可全局调度，但是当前的安全设备普遍不具备全局视野能力，无法对跨设备的流进行完整的还原和分析，从而导致漏报。

发明内容

为了克服现有技术的不足,为针对上述问题从安全审计的角度提出的解决方案，通过本方案的应用，能够有效的对SDN网络进行审计，从而使SDN网络在网络安全以及业务性能方面得到大幅度提升。

本发明提供一种针对SDN网络的审计方法，通过本方案的使用能够有效对SDN网络进行审计，发现、处理和追溯SDN网络的安全问题、安全隐患，提升SDN网络业务性能，解决新兴SDN网络架构的审计问题。

一种对SDN网络进行审计的方法,含有以下步骤；

步骤1、通过管理平台在SDN网络的控制平面和转发平面分别部署探针/监视模块，用以对SDN网络流量、事件进行监视统计；

步骤2、部署于控制平面的监视模块采集数据，并发送给审计控制模块，审计控制模块中控制平面子模块对该数据进行接收/存储，并依预定规则进一步审计分析，审计结果/日志/报告输出至审计综合处理模块；

步骤3、部署于转发平面的监视模块采集数据，并发送给审计控制模块，审计控制模块中转发平面子模块对该数据进行接收/存储，并依预定规则进一步审计分析，审计结果/日志/报告输出至审计综合处理模块；

步骤4、审计综合处理模块对审计控制模块输出的审计结果即为控制平面子模块输出结果和转发平面子模块输出结果的一个或全部进行综合分析，输出审计报告，部分审计结果反馈至SDN网络管理平台，为SDN网络管理、性能优化提供参考。

一种对SDN网络进行审计的方法,对SDN网络控制平面和转发平面进行独立审计，综合处理，具体包括探针部署步骤、监视步骤、审计控制步骤以及审计综合处理步骤。

由于SDN网络控制平面与转发平面业务功能不同，运作方式不同，因此审计监视步骤的部署、事件采集、审计内容及方式也完全不同：

——对控制平面的审计内容包括但不限于应用鉴权、网元身份认证、病毒/攻击检测防护、安全/控制策略冲突，配置错误等，对控制平面的采集/审计方式包括但不限于旁路监听/规则匹配，深度报文检测(DPI)；具体依审计需求设定；

——对转发平面的审计内容相对简单，主要是业务流量，用于异常流量/违规业务报警，全局路由分析，负载均衡等，对转发平面的采集/审计方式包括但不限于监视与统计、深度报文检测(DPI)；具体依审计需求设定。

本发明的优点是通过该方法的应用，能够有效的对SDN网络进行审计，从审计的角度为SDN网络提供安全防护和问题追溯机制，同时也为SDN网络性能优化提供一定的借鉴参考信息。

附图说明

当结合附图考虑时，通过参照下面的详细描述，能够更完整更好地理解本发明以及容易得知其中许多伴随的优点，但此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定，如图其中：

图1a为现有技术SDN网络与传统网络架构区别示意图；

图1b为现有技术SDN网络控制转发分离示意图；

图2为本发明方案-基于SDN网络的审计模型；

图3为本发明方法流程图；

图4为本发明实施例2的控制平面审计；

图5为本发明实施例3的转发平面审计；

图6为本发明实施例4的控制平面与转发平面审计综合；

下面结合附图和实施例对本发明进一步说明。

具体实施方式

显然，本领域技术人员基于本发明的宗旨所做的许多修改和变化属于本发明的保护范围。

图1a为SDN网络与传统网络架构区别示意图，由图可见传统网络控制平面与转发平面集成于同一网络实体(交换机/路由器)，除转发外所有控制平面网络协议，流量策略，安全策略等均各个网络实体分别实现，应用层分布于各个网络实体；SDN网络则将控制平面从网络设备抽离，统一由controller控制器完成控制平面协议，网络实体仅负责维护controller控制器下达的转发表项，并根据转发表项进行转发，应用层统一部署在controller控制器上。

图1b为SDN网络控制转发分离示意图，进一步说明SDN网络工作机制，由图可见，控制平面由一台或多台controller控制器组成，主要完成传统网络设备控制平面功能，此外相比于传统网络因控制平面掌握了全局网络拓扑视图，可以很容易地实现对底层资源的灵活调配，依据网络状况制定路由策略、根据流量分布进行负载均衡，虚拟机迁移等；转发平面有多台具备转发能力的网络实体组成，根据controller的指令进行相关报文转发；控制平面与转发平面通过标准的openflow协议进行交互。

由图1背景说明可见，SDN相对于传统网络格局发生了颠覆性的变化，相应的安全防护重点，安全隐患，安全策略也随之改变，然而目前还没有针对SDN网络的安全审计方案，本发明方案即针对此情况提出一种适用于SDN网络的审计方法。

实施例1：图2为本发明方案，基于SDN网络的审计模型，其中虚线框为现有设备，实线方框为本发明方案装置，其中：

探针部署步骤根据管理层决策在SDN网络控制平面和转发平面分别部署探针，即监视步骤；管理层决策依据网络自身状况，审计报告建议或SLA(service level agreement)等综合制定；

监视步骤，用以对SDN网络流量、事件进行监视统计。具体来讲，对控制平面的审计内容包括但不限于应用鉴权、网元身份认证、病毒/攻击检测防护、安全/控制策略冲突，配置错误等，对控制平面的采集/审计方式包括但不限于旁路监听/规则匹配，深度报文检测(DPI)；具体依审计需求设定；对转发平面的监视内容主要是业务流量，用于异常流量/违规业务报警，路由分析，负载均衡等，对转发平面的采集/审计方式包括但不限于监视与统计、深度报文检测(DPI)；具体依审计需求设定。

审计控制步骤，包括控制平面子步骤和转发平面子步骤。每个子步骤分别集成了采集数据接收/存储和审计分析两个功能单元，其中采集数据接收/存储单元用于接收和存储对应监视步骤发送的采集数据，审计分析步骤用于根据预定的审计规则、分析模版对采集的数据进行审计分析，并输出分析结果。控制平面子步骤与转发平面子步骤可进行信息交互，用做关联事件的参照与审计，比如对控制平面负载均衡策略的审计分析，可参考转发平面实际转发路径/流量，反之亦然。

审计综合处理步骤对审计控制步骤输出的审计结果(可以为控制平面子步骤输出结果和转发平面子步骤输出结果的一个或全部)进行综合分析，输出审计报告，部分审计结果反馈至SDN网络管理平台，为SDN网络管理、性能优化提供参考。

图3为本发明方法流程图，步骤如下：

步骤31：管理平台制定及发布审计策略，策略制定可依据网络状况、网络性能需求、安全需求、管理需求、审计需求、审计报告建议、审计合同约定等；

步骤32：依照惯例平台策略，分别在控制平面和转发平面部署监视步骤，用于对网络流量，网络事件的监测，探针/监视步骤的部署原则为数据采集高效、不影响/尽量少的影响SDN网络业务；

步骤33：部署于控制/转发平面的监视步骤依据配置原则对网络数据进行采集，采集方式包括但不限于镜像、旁路监听、匹配过滤，深度报文检测(DPI)，报文监视与统计等；采集数据结果发送审计控制步骤进一步处理；

步骤34：接收并存储步骤33采集数据。所述存储可使用存储器/磁盘阵列等容器，供步骤35分析使用；

步骤35：对监视步骤采集的数据作进一步审计分析，输出审计结果，发送审计综合处理步骤；

步骤36：对步骤35输出的控制平面审计子步骤、转发平面审计子步骤的审计结果以及本地策略进行综合分析处理；然后执行步骤37，38；

步骤37：根据要求输出审计报告，然后转步骤40；

步骤38：依据预先设定规则，判断审计结果是否反馈至SDN网络管理平台，若是则执行39，若否则执行40；

步骤39：审计结果反馈至管理平台，为SDN网络管理、网规网优、安全策略或审计策略的制定提供参考，转步骤40；

步骤40：流程结束。

实施例2：如图4所示的控制平面审计步骤，

本实施例以SDN控制平面比较典型的应用鉴权为例，控制平面的监视设备通过DPI深度报文检测技术对所有包含鉴权信息的数据进行采集(DPI采集的方式具体可为DPI识别步骤根据预定特征字进行鉴权相关信息识别，DPI控制步骤对识别出的数据进行采集发送)，并发送给控制平面审计控制子步骤(图中审计控制设备103)进行处理，其中采集数据接收/存储单元对收到的数据进行缓存，审计分析单元根据预定规则(比如基于鉴权结果/时间/应用类型等)对数据进行审计分析，分析结果发送审计综合处理步骤，审计综合处理步骤综合其他信息根据用户需求生成审计报告。

实施例3：如图5所示的转发平面审计步骤。

本实施例通过旁路监听/统计的手段对转发平面流经第一设备101的第一端口，第二设备102的第二端口和第三端口的流量进行采集，首先管理平台基于客户要求或管理需求在转发平面进行探针/监视器部署，本实施例主要部署于第一设备101和第二设备102的部分端口，探针/监视器通过预先设定的旁路监听/统计的方式对第一端口、第二端口以及第三端口流量进行采集，采集数据通过监视器与审计控制步骤接口传送给审计控制步骤(图中审计控制设备103)，其中采集数据接收/存储单元对收到的数据进行缓存，审计分析单元根据预定规则(比如端口流量/阈值设定等)对数据进行审计分析，分析结果发送审计综合处理步骤，审计综合处理步骤综合其他信息根据用户需求生成审计报告(比如端口流量统计日志，异常流量报警等)；

实施例4：如图6所示的控制平面与转发平面审计综合步骤；

本例以流量负载均衡为审计目标，通过探针部署步骤在控制平面部署探针/监视步骤，对相关数据进行匹配过滤出负载均衡相关的策略信息，发送给对应控制平面审计控制子步骤，该步骤对监视步骤发送来的信息进行缓存分析，并将分析结果发送审计综合处理步骤；同时，探针部署步骤也要相应在转发平面部署探针/监视步骤，对转发设备相应端口流量进行采集统计，统计信息发送给对应转发平面审计控制子步骤，步骤对信息进行缓存分类，并将分析结果发送审计综合处理步骤；审计综合处理步骤对比控制平面审计子步骤(流量策略)和转发平面审计子步骤(实际流量)的审计分析结果，进行综合处理，根据用户需求生成审计报告。

如上所述，对本发明的实施例进行了详细地说明，但是只要实质上没有脱离本发明的发明点及效果可以有很多的变形，这对本领域的技术人员来说是显而易见的。因此，这样的变形例也全部包含在本发明的保护范围之内。

Claims (7)

1.一种对SDN网络进行审计的方法,其特征在于含有以下步骤；

步骤1、通过管理平台在SDN网络的控制平面和转发平面分别部署探针/监视模块，用以对SDN网络流量、事件进行监视统计；

步骤2、部署于控制平面的监视模块采集数据，并发送给审计控制模块，审计控制模块中控制平面子模块对该数据进行接收/存储，并依预定规则进一步审计分析，审计结果/日志/报告输出至审计综合处理模块；

步骤3、部署于转发平面的监视模块采集数据，并发送给审计控制模块，审计控制模块中转发平面子模块对该数据进行接收/存储，并依预定规则进一步审计分析，审计结果/日志/报告输出至审计综合处理模块；

步骤4、审计综合处理模块对审计控制模块输出的审计结果即为控制平面子模块输出结果和转发平面子模块输出结果的一个或全部进行综合分析，输出审计报告，部分审计结果反馈至SDN网络管理平台，为SDN网络管理、性能优化提供参考。

2.根据权利要求1所述的一种对SDN网络进行审计的方法，其特征在于含有以下步骤；

步骤31：管理平台制定及发布审计策略，策略制定可依据网络状况、网络性能需求、安全需求、管理需求、审计需求、审计报告建议、审计合同约定；

步骤32：依照惯例平台策略，分别在控制平面和转发平面部署监视模块，用于对网络流量，网络事件的监测，探针/监视模块的部署原则为数据采集高效、不影响/尽量少的影响SDN网络业务；

步骤33：部署于控制/转发平面的监视模块依据配置原则对网络数据进行采集，采集方式包括但不限于镜像、旁路监听、匹配过滤，深度报文检测(DPI)，报文监视与统计；采集数据结果发送审计控制模块进一步处理；

步骤34：接收并存储步骤33采集数据；所述存储可使用存储器/磁盘阵列容器，供步骤35分析使用；

步骤35：对监视模块采集的数据作进一步审计分析，输出审计结果，发送审计综合处理步骤；

步骤36：对步骤35输出的控制平面审计子步骤、转发平面审计子步骤的审计结果以及本地策略进行综合分析处理；然后执行步骤37，38；

步骤37：根据要求输出审计报告，然后转步骤40；

步骤38：依据预先设定规则，判断审计结果是否反馈至SDN网络管理平台，若是则执行39，若否则执行40；

步骤39：审计结果反馈至管理平台，为SDN网络管理、网规网优、安全策略或审计策略的制定提供参考，转步骤40；

步骤40：流程结束。

3.根据权利要求1所述的一种对SDN网络进行审计的方法，其特征在于对SDN网络控制平面和转发平面进行独立审计，综合处理，具体包括探针部署步骤、监视步骤、审计控制步骤以及审计综合处理步骤；

由于SDN网络控制平面与转发平面业务功能不同，运作方式不同，因此审计监视步骤的部署、事件采集、审计内容及方式也完全不同：

——对控制平面的审计内容包括但不限于应用鉴权、网元身份认证、病毒/攻击检测防护、安全/控制策略冲突，配置错误，对控制平面的采集/审计方式包括但不限于旁路监听/规则匹配，深度报文检测(DPI)；具体依审计需求设定；

——对转发平面的审计内容相对简单，主要是业务流量，用于异常流量/违规业务报警，全局路由分析，负载均衡，对转发平面的采集/审计方式包括但不限于监视与统计、深度报文检测(DPI)；依审计需求设定。

4.根据权利要求3所述的一种对SDN网络进行审计的方法，其特征在于探针部署步骤根据管理层决策在SDN网络控制平面和转发平面分别部署探针，即监视步骤；管理层决策依据网络自身状况，审计报告建议或SLA(service level agreement)综合制定；

监视步骤，用以对SDN网络流量、事件进行监视统计；对控制平面的审计内容包括但不限于应用鉴权、网元身份认证、病毒/攻击检测防护、安全/控制策略冲突，配置错误，对控制平面的采集/审计方式包括但不限于旁路监听/规则匹配，深度报文检测(DPI)；具体依审计需求设定；对转发平面的监视内容主要是业务流量，用于异常流量/违规业务报警，路由分析，负载均衡，对转发平面的采集/审计方式包括但不限于监视与统计、深度报文检测(DPI)；具体依审计需求设定；

审计控制步骤，包括控制平面子步骤和转发平面子步骤；每个子步骤分别集成了采集数据接收/存储和审计分析两个功能单元，其中采集数据接收/存储单元用于接收和存储对应监视步骤发送的采集数据，审计分析步骤用于根据预定的审计规则、分析模版对采集的数据进行审计分析，并输出分析结果；控制平面子步骤与转发平面子步骤可进行信息交互，用做关联事件的参照与审计；

审计综合处理步骤对审计控制步骤输出的审计结果,为控制平面子步骤输出结果和转发平面子步骤输出结果的一个或全部进行综合分析，输出审计报告，部分审计结果反馈至SDN网络管理平台，为SDN网络管理、性能优化提供参考。

5.根据权利要求1所述的一种对SDN网络进行审计的方法，其特征在于步骤2还包括控制平面的审计步骤:

控制平面的监视设备依据监视需求对控制平面数据进行采集(可使用DPI深度报文检测技术，DPI采集的方式具体可为DPI识别步骤根据预定特征字进行鉴权相关信息识别，DPI控制步骤对识别出的数据进行采集发送)，并发送给控制平面审计控制子步骤进行处理，其中采集数据接收/存储单元对收到的数据进行缓存，审计分析单元根据预定规则(基于鉴权结果/时间/应用类型)对数据进行审计分析，分析结果发送审计综合处理步骤，审计综合处理步骤综合其他信息根据用户需求生成审计报告。

6.根据权利要求1所述的一种对SDN网络进行审计的方法，其特征在于步骤3还包括转发平面审计步骤:

首先管理平台基于客户要求或管理需求在转发平面进行探针/监视器部署，探针/监视器通过预先设定的数据采集方式对转发平面流量进行采集，采集数据通过监视器与审计控制步骤接口传送给审计控制步骤，其中采集数据接收/存储单元对收到的数据进行缓存，审计分析单元根据预定规则(端口流量/阈值设定)对数据进行审计分析，分析结果发送审计综合处理步骤，审计综合处理步骤综合其他信息根据用户需求生成审计报告。

7.根据权利要求1所述的一种对SDN网络进行审计的方法，其特征在于步骤4还包括控制平面与转发平面审计综合步骤:

通过探针部署步骤在控制平面部署探针/监视步骤，对相关数据进行匹配过滤出控制平面应用相关的策略信息，发送给对应控制平面审计控制子步骤，该步骤对监视步骤发送来的信息进行缓存分析，并将分析结果发送审计综合处理步骤；同时，探针部署步骤也要相应在转发平面部署探针/监视步骤，对转发设备相应端口流量进行采集统计，统计信息发送给对应转发平面审计控制子步骤，步骤对信息进行缓存分类，并将分析结果发送审计综合处理步骤；审计综合处理步骤对比控制平面审计子步骤(流量策略)和转发平面审计子步骤(实际流量)的审计分析结果，进行综合处理，根据用户需求生成审计报告。