CN104219218B - 一种主动安全防御的方法及装置 - Google Patents

Abstract

本发明提供了一种主动安全防御的方法和装置。根据OpenFlow协议的特性，在接入的SDN交换机上探测到访问事件时上报给SDN控制器，SDN控制器通过构造与该访问事件对应的安全检测报文，并要求SDN接入交换机发送给该服务器，根据SDN接入交换机上报的安全检测结果，判定接入终端是否安全，如果判定检测的结果是安全的，则允许接入终端继续访问。否则，则下发流策略阻断接入终端访问对应的业务，并通知网络管理员对之进行安全处理。

Description

一种主动安全防御的方法及装置

技术领域

本发明涉及数据通信领域，尤其涉及一种在SDN（Software Defined Network，软件定义网络）网络中主动安全防御的方法及装置。

背景技术

随着网络技术的发展，在当今现实的网络中，存在着大量的服务器、客户终端等网络节点。现今运行的网络经常遭受着各种安全事件的影响。例如：当服务器的数据库存在弱口令，或者机器未打补丁而存在安全漏洞，容易被人破解；客户终端未打补丁或机器登录口令弱等而成为“肉鸡”。“肉鸡”亦被称为“傀儡机”，是指可以被黑客远程控制的机器。它们通常被黑客攻破或用户自己不小心种植了木马，黑客可以随意操纵它并利用它进行各种攻击），“肉鸡”成为网络攻击的跳板等，会对网络的安全造成严重的影响，例如会导致数据库数据泄漏，客户信息被盗取。

目前，为了应对这些网络安全威胁，往往需要通过单独控制某些服务的访问权限，客户端需要安装专门的客户端软件来提供安全保障。这些措施虽然可以实现相当的安全性，但其缺点是也是非常明显的。其主要的缺点包括：灵活性非常差，对新增的网络节点，或者网络节点发生了变化时经常无法及时响应。

发明内容

有鉴于此，本发明提供一种主动安全防御的方法及装置，以解决现有技术方案中存在的问题与不足。

本发明是通过如下技术方案实现的：

一种主动安全防御的装置，应用在SDN网络中，所述SDN网络中至少包括一个SDN控制器、一个SDN接入交换机和一个服务器，其中所述装置包括接收单元、报文构造单元、安全判定单元以及流策略下发单元，其中，

接收单元，用于接收来自SDN接入交换机探测到访问服务器的事件，并在接收到访问事件后通知报文构造单元；

报文构造单元，用于根据接收单元的通知构造该与访问事件对应的安全检测报文并要求SDN接入交换机发送给服务器；

安全判定单元，用于根据SDN接入交换机上报的安全检测结果判定接入终端是否满足安全要求，并将判定结果通知流策略下发单元；

流策略下发单元，用于根据安全判定单元通知的判定结果，允许或者阻断接入终端继续访问。

本发明同时提供一种主动安全防御的方法，应用在SDN网络中，所述SDN网络中至少包括一个SDN控制器、一个SDN接入交换机和一个服务器，其中所述方法包括如下步骤：

步骤1、接收来自SDN接入交换机探测到访问服务器的事件；

步骤2、构造与访问事件对应的安全检测报文并要求SDN接入交换机发送给服务器；

步骤3、根据SDN接入交换机上报的安全检测结果，判定接入终端是否安全，根据判定结果允许或者阻断接入终端继续访问。

与现有的技术相比，本发明可以有效的解决网络安全管理过程中部署复杂、灵活性差的问题，能够实现精确、灵活的网络安全检测及控制。并且不需要接入终端安装专用的客户端软件，同时避免了使用传统的安全扫描工具进行周期性的安全扫描，实时性差，消耗较多网络带宽、不够灵活等问题。

附图说明

图1是本发明主动安全防御的装置结构示示意图；

图2是本发明主动安全防御的方法流程示意图；

图3是某SDN网络环境下依据本发明实现主动安全防御的示例图。

具体实施方式

根据OpenFlow协议的特性，在接入的SDN交换机上探测到访问事件时上报给SDN控制器，SDN控制器通过构造与该访问事件对应的安全检测报文，并要求SDN接入交换机发送给该服务器，根据SDN接入交换机上报的安全检测结果，判定接入终端是否安全，如果判定检测的结果是安全的，则允许接入终端继续访问。否则，则下发流策略阻断接入终端访问对应的业务，并通知网络管理员对之进行安全处理。

以软件实现为例，本发明提供一种主动安全防御的装置，应用在SDN网络中，所述SDN网络中至少包括一个SDN网络控制器、一个SDN网络交换机和一个服务器。其中该装置作为逻辑装置通常运行在SDN控制器上，作为该逻辑装置运行的载体，SDN控制器的硬件环境通常至少都包括CPU、内存以及非易失性存储器来支持上述逻辑装置的运行。当然，SDN控制器可能还包括其他的业务硬件，由于这些并非为实现本发明目的的必需组件，在此不赘述。如图1所示，本发明装置包括：配置单元、接收单元、报文构造单元、安全判定单元以及流策略下发单元，其中所述装置在SDN网络中主动安全防御的过程如图2所示：

步骤1、接收单元接收来自SDN接入交换机探测到的服务器访问事件，在接收到访问事件后通知报文构造单元。

具体地，在SDN网络环境下，接入层设备通常采用支持OpenFlow协议的SDN交换机，因此可以实现SDN网络环境下网络设备间基本的互通互联。在本发明中，为了实现本发明目的，需要通过流策略下发单元在接入层SDN交换机上下发流策略规则，要求SDN交换机对所有访问目标服务器的访问事件上报给接收单元。这样，一旦用户访问目标服务器且得到了服务器的回应时，接入层SDN交换机就可以根据其自身维护的流策略规则将探测到的该访问事件的访问事件通过Packet_In方式上报给接收单元。其中，上报的该访问事件的具体内容，可以为服务器响应用户登录请求的响应报文中携带的具体内容，例如：服务器的IP地址、使用的协议等。

举例如下：假设管理者关心某种类型数据库的访问安全性，该访问该类型数据库的端口号是1433；此时其可以通过SDN控制器上流策略下发单元事先在某SDN接入交换机上下发对应的流策略规则，要求该SDN交换机将目的端口号是1433的响应报文通过Packet_In上报给接收单元。所述流策略规则建立后，该SDN交换机就会按照该流策略规则对经过其转发的报文进行匹配，如果按照流策略规则匹配到了访问1433端口的响应报文，则就按照对应的规则上报给接收单元。

步骤2、报文构造单元根据接收单元的通知，构造与该访问事件对应的安全检测报文并要求SDN接入交换机发送给服务器。

为实现本发明目的，在本发明中，网络管理员需要事先通过配置单元在本发明装置内配置好与不同的访问事件对应的安全检测报文。具体地，所述安全检测报文在本发明实施中，为网络管理员事先配置好的与不同访问事件对应的一些安全检测的参数，例如：常见的弱口令字典、或某种已知漏洞的构造方式等。这样，当报文构造单元获知接收单元接收到访问事件后，就可以根据该访问事件构造与该访问事件对应的安全检测报文，并通过Packet_Out下发给对应的SDN接入交换机，并要求SDN交换机在接收到安全检测报文后，将该安全检测报文发送给服务器。服务器在接收到该安全检测报文后，根据该安全检测报文中携带的信息内容回应响应报文。这样，SDN接入交换机在获取到安全检测报文对应的安全检测结果后，就可以通过Packet_In上报给安全判定单元。

举例如下：假设管理者关心用户访问Sqlserver数据库的安全情况，当本发明装置接收到SDN接入交换机上报的访问Sqlserver数据库的事件后，报文构造单元将构造相应的TDS（Tabular Data Stream Protocol，表格数据流协议）请求报文用来发送给SDN接入交换机来模拟用户登录，其中所述报文中携带了目标服务器的IP地址、对应的端口号、使用的协议、根据弱口令字典构造的用户登录密码等。目标服务器在接收到该模拟的TDS请求报文后，将回复对应的安全检测结果（登录成功或者失败）给SDN接入交换机，SDN接入交换机在接收到来自服务器的安全检测响应后，将通过Packet_In上报给安全判定单元。

步骤3、安全判定单元根据SDN接入交换机上报的安全检测结果，判定接入终端是否安全，如果是，则进入步骤4，否则转入步骤5。

当安全判定单元接收到SDN接入交换机上报的安全检测结果，就可以通过该SDN接入交换机上报的安全检测结果来判定接入终端是否安全。例如：还是以用户登录服务器上的Sqlserver数据库为例，假设步骤2通过报文构造单元构造的TDS请求报文用来实现用户模拟登录，如果服务器返回的TDS响应报文表明登录成功，则说明服务器存在弱口令，这时，通过流策略下发单元阻断接入终端继续访问。如果常见口令登录失败，说明服务器是比较安全的，允许接入终端继续访问。

步骤4、流策略下发单元允许接入终端继续访问。

如果经安全判定单元判定SDN接入交换机上报的安全检测的结果是满足安全要求的，则此时流策略下发单元允许接入终端访问服务器上的数据库或者与服务器正常通信。当然，在本发明中，也可以根据预设的安全策略，通过流策略下发单元进一步下发规则将接入终端访问的权限限定在预设的资源范围内，但对本领域技术人员应理解，这种限定并不是必须的，不应对本发明思想作任何限制。

步骤5、流策略下发单元阻断接入终端继续访问。

如果经安全判定单元判定SDN接入交换机上报的安全检测结果是不满足安全要求的，则流策略下发单元下发阻断相关业务的流规则给该SDN接入交换机，要求SDN接入交换机收到终端的此类访问事件后直接丢弃此类报文（例如下发的流规则是：当报文的目的端口号是1433，则要求SDN接入交换机对应收到此报文的动作是丢弃此报文）。这样，接入终端就不再能够访问服务器数据库或者与服务器正常通信。同时还将此不满足安全要求的访问事件通知管理员进行相应的安全处理。

为了使本领域技术人员更加清楚和明白，以下结合图3所示的某应用场景下示例，详细描述在SDN网络中依据本发明主动安全防御的实现过程。

假设在图3所示的某SDN网络中，包括有一个SDN控制器（OpenFlow Controller）、2个接入层SDN交换机、1个汇聚层SDN交换机以及2个接入终端、两台服务器。进一步假设某台服务器运行Sqlserver数据库服务，SDN接入交换机监听该服务器1433端口上数据库连接请求。当没有人连接该数据库时，系统不做任何限制。一旦有用户尝试连接此服务器的1433端口，并得到了服务器的回应时，SDN接入交换机则会将此连接访问事件上报给本发明装置接收单元。本发明接收单元接收到此安全事件后，会通知报文构造单元构造一个与该访问事件对应的安全检测报文，并通过Packet_Out发送一个模拟的数据库连接请求到SDN接入交换机向该服务器请求连接。SDN接入交换机接收到该安全检测报文后，将该安全检测报文发送给服务器，并根据服务器返回的响应报文获取对应的检测结果，并通过Packet_In的方式将该检测结果上报给安全判定单元，如果经安全判定单元判定该服务器数据库存在弱口令等情况，则通知流策略下发单元将向服务器下发流策略，以中断接入终端对此服务器1433端口的访问，并通知管理员进行相应的安全处理。

与现有的技术相比较，本发明对于新接入的终端，或新开启服务的终端，不需专门配置即可及时检测并处理，灵活性非常高。并且可以有效的解决网络安全管理部署复杂，灵活性差的问题，实现精确、灵活的网络安全检测及控制。并且不需要接入终端安装客户端软件。同时避免了使用传统的安全扫描工具进行周期性的安全扫描，实时性差，消耗较多网络带宽、不够灵活等问题。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种主动安全防御的装置，应用在SDN网络中，所述SDN网络中至少包括一个SDN控制器、一个SDN接入交换机和一个服务器，其中所述装置包括：接收单元、报文构造单元、安全判定单元以及流策略下发单元，其特征在于，

接收单元，用于接收来自SDN接入交换机上报的访问目标服务器的访问事件，并在接收到访问事件后通知报文构造单元，所述SDN接入交换机是在目标服务器在回应用户时上报的所述访问事件；

报文构造单元，用于根据接收单元的通知构造与访问事件对应的安全检测报文并要求SDN接入交换机发送给该目标服务器；

安全判定单元，用于根据SDN接入交换机上报的目标服务器回复的所述安全检测报文对应的安全检测结果判定接入终端是否满足安全要求，并将判定结果通知流策略下发单元；

流策略下发单元，用于根据安全判定单元通知的判定结果，允许或者阻断接入终端继续访问。

2.如权利要求1所述的装置，其特征在于，所述流策略下发单元进一步用于事先向SDN接入交换机下发安全流策略规则以要求SDN接入交换机对访问该目标服务器的事件上报给接收单元。

3.如权利要求1或2所述的装置，其特征在于，在安全判定单元判定接入终端满足安全要求时，所述流策略下发单元根据预设的策略，进一步向SDN接入交换机下发流策略规则以将接入终端访问的权限限定在预设的资源范围内。

4.如权利要求1所述的装置，其特征在于，所述装置进一步包括有配置单元，所述报文构造单元根据不同访问事件构造对应的安全检测报文，具体是通过网络管理员在配置单元事先配置好需要检测的安全参数来实现的。

5.一种主动安全防御的方法，应用在SDN网络中，所述SDN网络中至少包括一个SDN控制器、一个SDN接入交换机和一个服务器，其特征在于，所述方法包括如下步骤：

步骤1、接收来自SDN接入交换机上报的访问目标服务器的访问事件，所述SDN接入交换机是在目标服务器在回应用户时上报的所述访问事件；

步骤2、构造与访问事件对应的安全检测报文并要求SDN接入交换机发送给目标服务器；

步骤3、根据SDN接入交换机上报的目标服务器回复的所述安全检测报文对应的安全检测结果，判定接入终端是否安全，根据判定结果允许或者阻断接入终端继续访问。

6.如权利要求5所述的方法，其特征在于，在所述步骤1之前，所述SDN控制器需要事先向SDN接入交换机下发流策略规则，要求SDN接入交换机对访问目标服务器的事件上报。

7.如权利要求5或6所述的方法，其特征在于，在所述步骤3中当判定接入终端满足安全要求时，所述SDN控制器根据预定的策略，进一步下发规则将接入终端访问的权限限定在预设的资源范围内。

8.如权利要求5所述的方法，其特征在于，所述步骤2中构造与访问事件对应的安全检测报文，具体是通过网络管理员在配置单元事先配置好需要检测的安全参数来实现的。