CN107404466A - 一种sdn的网络安全防护方法及装置 - Google Patents

Abstract

本发明公开了一种SDN的网络安全防护方法及装置，该方法包括从SDN的控制器上获取租户当前的流表数据，对租户当前的流表数据进行分析，确定租户的当前网络行为，确定出的当前网络行为可以用来判断是否符合日常网络行为，若租户的当前网络行为不符合日常网络行为，则对租户的当前网络行标记为新的标签，并发出告警信息。通过判断租户的当前网络行为不符合日常网络行为，来将租户的当前网络行为进行告警，以使人工来识别该当前网络行为的安全性，从而提高了SDN的网络防护性能，精细化了网络安全防控。

Description

一种SDN的网络安全防护方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种SDN(Software DefinedNetwork，软件定义网络)的网络安全防护方法及装置。

背景技术

SDN架构中当前最流行的技术即OpenFlow(开放流)技术，OpenFlow提供了一个开放的协议，用户可以通过该协议对不同的交换机中的流表进行控制。可以通过选择数据转发通路以及它们需要怎样的处理来轻松地控制数据流的走向。通过这种方式可以在网络中尝试创新型的路由协议、安全网络模型、新型网络服务、甚至可以用其替换现有的TCP/IP协议。

在SDN架构中，流表(Flow Table)是OpenFlow交换机的关键组件，负责数据包的高速查询和转发。OpenFlow控制器负责控制OpenFlow交换机中的流表。包括对流表的添加、修改以及删除等基本操作。流表本身的生成、维护、下发完全由外置的控制器来实现。流表的下发可以是主动的，也可以是被动的。主动模式下，控制器将自己收集的流表信息主动下发给网络设备，随后网络设备可以直接根据流表进行转发；被动模式是指网络设备收到一个报文没有匹配的FlowTable记录时，将该报文转发给控制器，由后者进行决策该如何转发，控制器对网络中的流量、流向具有全局观，并能下发更新流表给交换机，指引交换机的数据流走向。如果控制器受到攻击或通过某手段篡改了控制器的流表，如篡改流表为可访问另一个租户的网络，租户下某二级租户子网用户篡改流表可访问另一个二级租户子网，就会导致另一个租户受到攻击，威胁到SDN网络的安全。

发明内容

本发明实施例提供一种SDN的网络安全防护方法及装置，用以实现SDN的网络安全防护，及时发现网络风险及网络内部攻击行为。

本发明实施例提供的一种SDN的网络安全防护方法，包括：

从SDN的控制器上获取租户当前的流表数据；

对所述租户当前的流表数据进行分析，确定所述租户的当前网络行为；

若所述租户的当前网络行为不符合日常网络行为，则对所述租户的当前网络行标记为新的标签，并发出告警信息，所述日常网络行为是根据所述租户的历史网络数据确定的。

优选地，所述日常网络行为中包括多类别的日常网络行为，其中，每类日常网络行为通过以下方式获得：

从所述控制器上获取所述租户的历史的流表数据；

分析所述历史的流表数据，将具有相同属性的历史的流表数据中的访问行为标记为一类日常网络行为。

优选地，还包括：

获取所述租户创建子网时的子网网络访问策略；

将每类子网访问策略标记为一类日常网络行为。

优选地，所述租户当前的流表数据或所述租户的历史的流表数据是通过所述控制器的北向接口获取的。

优选地，所述日常网络行为包括访问时间、访问的数据流量、访问的网络拓扑信息；

所述租户的当前网络行为不符合日常网络行为，包括：

根据所述租户的当前网络行为的网络拓扑信息，确定对应的日常网络行为的类别；

若所述租户的当前网络行为中的任一项不符合对应的日常网络行为，则确定所述租户的当前网络行为不符合日常网络行为。

相应地，本发明实施例还提供了一种SDN的网络安全防护装置，包括：

获取单元，用于从SDN的控制器上获取租户当前的流表数据；

确定单元，用于对所述获取单元获取的所述租户当前的流表数据进行分析，确定所述租户的当前网络行为；

处理单元，用于若所述确定单元确定的租户的当前网络行为不符合日常网络行为，则对所述租户的当前网络行标记为新的标签，并发出告警信息，所述日常网络行为是根据所述租户的历史网络数据确定的。

优选地，所述日常网络行为中包括多类别的日常网络行为，所述获取单元，还用于从所述控制器上获取所述租户的历史的流表数据；

所述处理单元，还用于分析所述历史的流表数据，将具有相同属性的历史的流表数据中的访问行为标记为一类日常网络行为。

优选地，所述获取单元，还用于获取所述租户创建子网时的子网网络访问策略；

所述处理单元，还用于将每类子网访问策略标记为一类日常网络行为。

优选地，所述租户当前的流表数据或所述租户的历史的流表数据是通过所述控制器的北向接口获取的。

优选地，所述日常网络行为包括访问时间、访问的数据流量、访问的网络拓扑信息；

所述处理单元具体用于：

根据所述租户的当前网络行为的网络拓扑信息，确定对应的日常网络行为的类别；

若所述租户的当前网络行为中的任一项不符合对应的日常网络行为，则确定所述租户的当前网络行为不符合日常网络行为。

本发明实施例表明，通过从SDN的控制器上获取租户当前的流表数据，对租户当前的流表数据进行分析，确定租户的当前网络行为，确定出的当前网络行为可以用来判断是否符合日常网络行为，若租户的当前网络行为不符合日常网络行为，则对租户的当前网络行标记为新的标签，并发出告警信息。通过判断租户的当前网络行为不符合日常网络行为，来将租户的当前网络行为进行告警，以使人工来识别该当前网络行为的安全性，从而提高了SDN的网络防护性能，精细化了网络安全防控。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种SDN的网络安全防护方法的流程示意图；

图2为本发明实施例提供的一种SDN的网络安全防护方法的流程示意图；

图3为本发明实施例提供的一种SDN的网络安全防护装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

SDN是一种创新的数据网络体系架构。在SDN架构中，一方面将网络中的控制平面从设备上分离出来集中管理，同时提供向应用程序标准的API；另一方面对驻留在设备上的转发平面，进行统一的转发模型化，使得网络基础设施抽象化，可以把网络当成一个逻辑或虚拟实体。由于网络控制平面集中，企业和运营商可以通过规范的编程环境进行可编程化、自动化的网络管理。SDN的开放可编程性将推动运营商开放网络能力的实现，根据业务需求动态调整网络策略。

在SDN架构中，流表(Flow Table)是OpenFlow交换机的关键组件，负责数据包的高速查询和转发。

如果流表被租户下的子网用户篡改，使得该租户可以访问另一个租户的子网，会导致另一个租户受到攻击，威胁到SDN的安全。

基于上述描述，图1示出了本发明实施例提供的一种SDN的网络安全防护方法的流程，该流程可以由SDN的网络安全防护装置执行。

如图1所示，该流程的具体步骤包括：

步骤101，从SDN的控制器上获取租户当前的流表数据。

步骤102，对租户当前的流表数据进行分析，确定租户的当前网络行为。

步骤103，判断租户的当前网络行为是否符合日常网络行为，若是，则转入步骤102，若否，则转入步骤104。

步骤104，对租户的当前网络行标记为新的标签，并发出告警信息。

在本发明实施例中，租户当前的流表数据或租户的历史的流表数据都是通过上述控制器的北向接口获取的。上述日常网络行为是根据租户的历史网络数据确定的。该日常网络行为中包括多类别的日常网络行为，其中，每类日常网络行为可以通过以下方式获取：

从控制器上获取租户的历史的流表数据，具体的，可以通过控制器的北向接口的APP(，应用程序)获取。然后分析获取的租户的历史的流表数据，将具有相同属性的历史的流表数据中的访问行为标记为一类日常网络行为。可以建立标签数据库，将所有类别的日常网络行为标记成功后，放在该标签数据库中，以备对比租户的当前网络行为时使用。

进一步地，还可以获取租户创建子网时的子网网络访问策略，将每类子网访问策略标记为一类日常网络行为。租户下面的子网的网络访问策略单独分类，可以更精细的对比租户的当前网络行为，从而得到更准确的结果。

上述对日常网络行为进行分类且标记的过程，可以称为根据不同维度为租户或租户子网画像，通过大数据给租户的网络行为进行标记，设定标签。在将当前网络行为的标签与已有的标签不一致，或当前网络行为没有标签时，给出告警信息，提示该当前网络行为有安全隐患。

上述日常网络行为包括访问时间、访问的数据流量、访问的网络拓扑信息，在判断租户的当前网络行为不符合日常网络行为时，可以根据租户的当前网络行为的网络拓扑信息，确定对应的日常网络行为的类别，若租户的当前网络行为中的任一项不符合对应的日常网络行为，则确定该租户的当前网络行为不符合日常网络行为，进而将该当前网络行为标记为新的标签，并向管理员发出告警信息。通过将当前网络行为与日常网络行为进行对比，可以快速的查找出没有进行标签的网络行为和具有危险性的网络行为，经过人工干预后，确定该当前网络行为是否为具有危险性的网络行为。

举例来说，当租户有新的网络行为，如在管理员不知的情况下，通过某种手段篡改了控制器的流表，如篡改流表可以访问另一个租户的网络，或者租户下某二级租户子网用户篡改流表可以访问另一个二级租户子网。通过北向接口的APP获取流表的修改信息，经过与日常网络行为对比后，发现管理员有流表修改却没有标记，因此，不符合日常网络行为，将该流表修改行为标记为一个新的网络行为，并向管理员发出告警信息。管理员在核实的时候，可以发现安全风险。

上述实施例表明，通过从SDN的控制器上获取租户当前的流表数据，对租户当前的流表数据进行分析，确定租户的当前网络行为，确定出的当前网络行为可以用来判断是否符合日常网络行为，若租户的当前网络行为不符合日常网络行为，则对租户的当前网络行标记为新的标签，并发出告警信息。通过判断租户的当前网络行为不符合日常网络行为，来将租户的当前网络行为进行告警，以使人工来识别该当前网络行为的安全性，从而提高了SDN的网络防护性能，精细化了网络安全防控。

为了更好的解释本发明实施例，下面将在具体的实施场景下描述SDN的网络安全防护方法的流程。

如图2所示，基于SDN架构，通过控制器的北向接口的APP，可以获取整个SDN网络行为和租户网络行为的行为数据，对租户网络行为进行分析，从而判断是否有内部攻击行为发生。具体步骤包括：

步骤201，APP跟踪和获取租户创建网络的历史。

位于控制器北向接口的APP应用帮助租户创建和管理其子网，其创建历史信息(如子网、子网互通路由、防火墙等网络策略、以及网络名称、创建时间、IP、子网持续时间等)都将被APP记录下来。

步骤202，APP获取控制器上历史流表数据。

租户可以通过APP创建网络，也可以自行配置网络，网络拓扑都会由APP通过控制器上的流表进行搜集，包括网络拓扑信息、流量统计信息和主机信息等等。APP定期将流表信息搜集，补充非APP创建网络的网络创建历史信息；或者由控制器将流表变化信息上报APP。

步骤203，历史行为分析，标签日常网络行为。

通过以上历史数据的搜集，APP将租户和其网络行为关联，并按时间、目标网元等维度汇总租户的数据流信息。并可要求租户的网络管理员给租户的日常网络行为打上标签，或通过大数据的分析定义租户的日常网络行为标签。其中，标签库可以通过以下方式建立：

首先，租户通过APP创建子网、互通路由等信息，APP提示租户创建网络时按标签库中已有标签定义。其次，APP搜集租户通过控制器创建网络的信息，同时搜集租户下各子网网络行为，并进一步提示管理员给租户的网络行为打上标签。此外，还可以通过大数据根据不同维度为租户或租户子网画像，自动设定标签。最后，新设定的标签将补充到标签库中。

步骤204，APP获取当前控制器上流表数据。

当租户有数据转发需求时，APP可以通过控制器上的流表获取网络拓扑信息、流量统计信息和主机信息等等，并记录租户的数据访问行为，包括访问哪个子网、哪个虚机、持续时间、流量；或者由控制器将APP订阅的相关信息上报APP。

步骤205，当前行为分析。根据当前控制器上流表数据对租户当前网络行为进行分析。

步骤206，判断当前行为是否符合日常网络行为。将租户当前行为分析结果与日常网络行为进行比较，判断是否符合日常网络行为的特征，如访问的是否为日常子网、持续时间和流量是否在合理范围等。如果符合，则转入步骤208；如果不符合，则转入步骤207。

步骤207，标记新行为，并向租户管理员提示。如果租户当前行为分析结果与日常网络行为不符合，则将该当前行为标记为新行为，同时向租户和管理员进行预警，转入步骤208结束。

步骤208，结束。

基于相同的技术构思，图3示出了本发明实施例提供的一种SDN的网络安全防护装置的结构，该装置可以执行SDN的网络安全防护的流程。

如图3所示，该装置具体包括：

获取单元301，用于从SDN的控制器上获取租户当前的流表数据；

确定单元302，用于对所述获取单元获取的所述租户当前的流表数据进行分析，确定所述租户的当前网络行为；

处理单元303，用于若所述确定单元确定的租户的当前网络行为不符合日常网络行为，则对所述租户的当前网络行标记为新的标签，并发出告警信息，所述日常网络行为是根据所述租户的历史网络数据确定的。

优选地，所述日常网络行为中包括多类别的日常网络行为，所述获取单元，还用于从所述控制器上获取所述租户的历史的流表数据；

所述处理单元，还用于分析所述历史的流表数据，将具有相同属性的历史的流表数据中的访问行为标记为一类日常网络行为。

优选地，所述获取单元，还用于获取所述租户创建子网时的子网网络访问策略；

所述处理单元，还用于将每类子网访问策略标记为一类日常网络行为。

优选地，所述租户当前的流表数据或所述租户的历史的流表数据是通过所述控制器的北向接口获取的。

优选地，所述日常网络行为包括访问时间、访问的数据流量、访问的网络拓扑信息；

所述处理单元具体用于：

根据所述租户的当前网络行为的网络拓扑信息，确定对应的日常网络行为的类别；

若所述租户的当前网络行为中的任一项不符合对应的日常网络行为，则确定所述租户的当前网络行为不符合日常网络行为。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种SDN软件定义网络的网络安全防护方法，其特征在于，包括：

从SDN的控制器上获取租户当前的流表数据；

对所述租户当前的流表数据进行分析，确定所述租户的当前网络行为；

若所述租户的当前网络行为不符合日常网络行为，则对所述租户的当前网络行标记为新的标签，并发出告警信息，所述日常网络行为是根据所述租户的历史网络数据确定的。

2.如权利要求1所述的方法，其特征在于，所述日常网络行为中包括多类别的日常网络行为，其中，每类日常网络行为通过以下方式获得：

从所述控制器上获取所述租户的历史的流表数据；

分析所述历史的流表数据，将具有相同属性的历史的流表数据中的访问行为标记为一类日常网络行为。

3.如权利要求2所述的方法，其特征在于，还包括：

获取所述租户创建子网时的子网网络访问策略；

将每类子网访问策略标记为一类日常网络行为。

4.如权利要求1所述的方法，其特征在于，所述租户当前的流表数据或所述租户的历史的流表数据是通过所述控制器的北向接口获取的。

5.如权利要求1至4任一项所述的方法，其特征在于，所述日常网络行为包括访问时间、访问的数据流量、访问的网络拓扑信息；

所述租户的当前网络行为不符合日常网络行为，包括：

根据所述租户的当前网络行为的网络拓扑信息，确定对应的日常网络行为的类别；

若所述租户的当前网络行为中的任一项不符合对应的日常网络行为，则确定所述租户的当前网络行为不符合日常网络行为。

6.一种SDN软件定义网络的网络安全防护装置，其特征在于，包括：

获取单元，用于从SDN的控制器上获取租户当前的流表数据；

确定单元，用于对所述获取单元获取的所述租户当前的流表数据进行分析，确定所述租户的当前网络行为；

处理单元，用于若所述确定单元确定的租户的当前网络行为不符合日常网络行为，则对所述租户的当前网络行标记为新的标签，并发出告警信息，所述日常网络行为是根据所述租户的历史网络数据确定的。

7.如权利要求6所述的装置，其特征在于，所述日常网络行为中包括多类别的日常网络行为，所述获取单元，还用于从所述控制器上获取所述租户的历史的流表数据；

所述处理单元，还用于分析所述历史的流表数据，将具有相同属性的历史的流表数据中的访问行为标记为一类日常网络行为。

8.如权利要求7所述的装置，其特征在于，所述获取单元，还用于获取所述租户创建子网时的子网网络访问策略；

所述处理单元，还用于将每类子网访问策略标记为一类日常网络行为。

9.如权利要求6所述的装置，其特征在于，所述租户当前的流表数据或所述租户的历史的流表数据是通过所述控制器的北向接口获取的。

10.如权利要求6至9任一项所述的装置，其特征在于，所述日常网络行为包括访问时间、访问的数据流量、访问的网络拓扑信息；

所述处理单元具体用于：

根据所述租户的当前网络行为的网络拓扑信息，确定对应的日常网络行为的类别；

若所述租户的当前网络行为中的任一项不符合对应的日常网络行为，则确定所述租户的当前网络行为不符合日常网络行为。