Ứng dụng mô hình điều khiển mạng SDN trong thiết kế mạng cho công ty TNHH thương mại dịch vụ quốc tế hoàng gia

Lớp ứng dụng: là các ứng dụng được triển khai trên mạng, kết nối tới lớp điều khiển thông qua các API, cung cấp khả năng cho phép lớp ứng dụng lập trình lại cấu hình lại mạng điều chỉnh

LỜI CẢM ƠN

Lời đầu tiên, em xin gửi lời cảm ơn chân thành đến Khoa công nghệ thông tin cũng như trường Đại học công nghệ thông tin và truyền thông Thái Nguyên đã tạo mọi điều kiện,tốt nhất cho em thực hiện đồ án tốt nghiệp đại học năm nay

Tiếp theo, em xin gửi lời cảm ơn chân thành và sâu sắc đến Thầy ThS Trần Duy Minh – người đã tận tình hướng dẫn, quan tâm chỉ bảo chúng em trong suốt thời gian thực hiện đề tài Ngoài ra, không quên cảm ơn quý thầy cô trong khoa đã tận tình giảng dạy, trang bị cho em những kiến thức quý báu trong những năm học vừa qua

Cuối cùng, em xin gởi lời biết ơn sâu sắc đến cha mẹ, bạn bè đã ủng hộ, giúp đỡ, động viên chúng em trong suốt quá trình học cũng như thời gian làm đồ

án Một lần nữa xin cảm ơn và rất mong nhận được sự đóng góp chân thành của các quý thầy cô, bạn bè

LỜI CAM ĐOAN

Sau quá trình học tập tại trường Đại học công nghệ thông tin và truyền thông Thái Nguyên, có sự kết hợp, vận dụng giữa lý thuyết và thực tế, em đã tìm hiểu nghiên cứu và tập hợp các tài liệu để hoàn thành đồ án tốt nghiệp của mình

Em xin cam đoan đồ án tốt nghiệp này là công trình do chính sức lực bản than em tự tìm hiểu, nghiên cứu và hoành thành dưới sự hướng dẫn của thầy giáo ThS Trần Duy Minh Em xin cam đoan đồ án này chưa từng được sử dụng để bảo

vệ ở bất cứ học vị nào

Thái Nguyên, tháng 6 năm 2016

Sinh viên

Ma Quang Thượng

DANH MỤC HÌNH ẢNH

Hình 1.1 Khó khăn cho người vận hành 8

Hình 1.2 Controller quản lý tập trung các thiết bị switch thông qua API 9

Hình 1.3 Quản lý tập trung thông qua controller duy nhất 9

Hình 1.4 Cấu trúc của SDN – mô hình 1 11

Hình 1.5 Cấu trúc của SDN - mô hình 2 11

Hình 2.1 Phân phối logical plane trong hệ thống mạng truyền thống 27

Hình 2.2 Các giải pháp bảo mật chung 29

Hình 2.3 Sử dụng tường lửa để tăng cường an toàn cho các host trong SDN

34

Hình 2.4 Bảng mô tả các giải pháp đề xuất 35

Hình 2.5 Các phiên bản controller hỗ trợ Replication và faul-tolerance 39Hình 2.6 Tích hợp bảo vệ mạng với Replication và Diversity 39

Hình 3.9 Bắt gói tin bằng Wireshark 65

Hình 3.10 Công cụ system monitor 66

DANH MỤC TỪ VIẾT TẮT

AAA Authentication Authorization and Accounting

ACL Access Control List

API Application Programming Interface

BYOD Bring-Your-Own-Device

DDoS Distributed Denial of Service

DFD Data Flow Diagram

IaaS Infrastructure as a Service

IDS Intrusion Detection System

ONF Open Networking Foundation

SDN Software-Defined Networking

SDO Standard Organisation

SIEM Security Information and Event Management

TCAM Ternary Content-Addressable Memory

TLS Transport Layer Security

LỜI NÓI ĐẦU

Ngày nay mạng máy tính ngày càng phát triển vượt bậc Nhu cầu mở rộng mạng ngày càng tăng, đòi hỏi số lượng thiết bị ngày càng lớn gây ra nhiều khó khăn cho người quản trị Hệ thống mạng phức tạp, chính sách không nhất quán, khả năng mở rộng kém, chi phí cao, nhiều nguy cơ về bảo mật Sự phức tạp trong việc tích hợp các giải pháp bảo mật cho hệ thống mạng là vấn đề được quan tâm

hàng đầu Công nghệ SDN - Software Defined Networking (Mạng định nghĩa

bằng phần mềm) ra đời như một giải pháp cho hệ thống mạng hiện nay Do đó em

quyết định chọn đề tài “Ứng dụng mô hình điều khiển mạng SDN trong thiết kế mạng cho công ty TNHH thương mại dịch vụ quốc tế hoàng gia”.

Mục đích chính nghiên cứu này là đưa ra cái nhìn tổng quan về một kiến trúc mạng hoàn toàn mới, tìm hiểu về vấn đề bảo mật đối với hệ thống mạng SDN,demo mô phỏng hệ thống mạng đơn giản

Nội dung của đồ án được chia thành 3chương:

Chương I : Tổng quan về SDN – Software Defined Networking

Chương II : Các vấn đề bảo mật trong SDN

Chương III : Khảo sát hệ thống và xây dựng demo chương trình

Chương 1 : TỔNG QUAN VỀ SDN – Software Defined Networking 1.1 Sự cần thiết của một kiến trúc mạng mới.

Trong một kiến trúc mạng truyền thống data plane và control plane đều cùng nằm trên một thiết bị vật lý (chế độ tự trị) và mỗi thiết bị độc lập với nhau, các chính sách chuyển tiếp lưu lượng nằm riêng trên mỗi thiết bị, vì vậy không có khả năng hiển thị toàn bộmạng, các chính sách chuyển tiếp có thể không phải là tốt nhất

Nếu số lượng thiết bị càng nhiều, càng gây nên sự phức tạp trong mạng và điều đó cũng gây khó khăn cho người quản trị mạng trong quá trình vận hành và

điều khiển

Hình 1.1 Khó khăn cho người vận hành

Các thay đổi mô hình lưu thông, sự gia tăng của các dịch vụ đám mây và nhu cầu phát triển của các nhà khai thác băng thông dịch vụ cần tìm ra giải pháp mới Vì công nghệ mạng truyền thống không thể đáp ứng những nhu cầu đó và nảy sinh các vấn đề Các yếu tố hạn chế:

Phức tạp

Chính sách không nhất quán.

Khả năng mở rộng quy mô kém

Phụ thuộc vào nhà cung cấp

1.2 Định nghĩa SDN.

Software-Definded Networking (SDN) là một cách tiếp cận mới trong

việc thiết kế, xây dựng và quản lý hệ thống mạng Về cơ bản, SDN chia tách độc

lập hai cơ chế hiện đang tồn tại trong cùng một thiết bị mạng: Control Plane (cơ chế điều khiển, kiểm soát luồng mạng), DataPlane (cơ chế chuyển tiếp dữ liệu,

luồng dữ liệu) để có thể tối ưu hoạt động của hai cơ chế này

SDN dựa trên giao thức mã nguồn mở (Open Flow) và là kết quả nghiên

cứu của Đại học Stanford và California Berkeley SDN tách việc định tuyến và chuyển tiếp các luồng dữ liệu riêng rẽ và chuyển kiểm soát luồng sang thành phần mạng riêng có tên gọi là thiết bị kiểm soát luồng (Flow Controller) Điều này cho phép luồng các gói dữ liệu đi qua mạng được kiểm soát theo lập trình

Hình 1.2 Controller quản lý tập trung các thiết bị switch thông qua API

Trong SDN, control plane được tách ra từ các thiết bị vật lý và chuyển đến các controller Controller này có thể nhìn thấy toàn bộ mạng và do đó cho phép các

kỹ sư mạng làm cho chính sách chuyển tiếp được tối ưu dựa trên toàn bộ mạng Các controller tương tác với các thiết bị mạng vật lý thông qua một giao thức chuẩn OpenFlow Với SDN, việc quản lý mạng có thể được thực hiện thông qua một giao diện duy nhất, trái ngược với việc cấu hình ở mỗi thiết bị mạng riêng lẻ.

Hình 1.3 Quản lý tập trung thông qua controller duy nhất.

1.3.Ưu điểm của SDN.

 Controller có thể được lập trình trực tiếp

 Mạng được điều chỉnh, thay đổi một cách nhanh chóng thông qua việc thay đổi trên controller

 Mạng được quản lý tập trung do phần điều khiển được tập trung trên controller

 Cấu hình lớp cơ sở hạ tầng có thể được lập trình trên lớp ứng dụng và truyền đạt xuốngcác lớp dưới

 Giảm CapEx: SDN giúp giảm thiểu các yêu cầu mua phần cứng theo mục đích xây dựng các dịch vụ, phần cứng mạng trên cơ sở ASIC và hỗ trợ mô hình pay-as-yougrow (trả những gì bạn dùng) để tránh lãng phí cho việc dự phòng

 Giảm OpEx: thông qua các phần tử mạng đã được gia tăng khả năng lập trình, SDN giúp dễ dàng thiết kế, triển khai, quản lý và mở rộng mạng Khả năng phối hợp và dự phòng tự động không những giảm thời gian quản lý tổng thể, mà còn giảm xác suất lỗi do con người tới việc tối ưu khả năng và

độ tin cậy của dịch vụ

 Truyền tải nhanh chóng và linh hoạt: giúp các tổ chức triển khai nhanh hơn các ứng dụng, các dịch vụ và cơ sở hạ tầng để nhanh chóng đạt được các mục tiêu kinh doanh

 Cho phép thay đổi: cho phép các tổ chức tạo mới các kiểu ứng dụng, dịch

vụ và mô hình kinh doanh, để có thể tạo ra các luồng doanh thu mới và nhiều giá trị hơn từ mạng

 Mở ra cơ hội cho các nhà cung cấp thiết bị trung gian khi phần điều khiển được tách rời khỏi phần cứng

Hình 1.4 Cấu trúc của SDN – mô hình 1

Hình 1.5 Cấu trúc của SDN - mô hình 2

1.4.1.Application layer.

Lớp ứng dụng: là các ứng dụng được triển khai trên mạng, kết nối tới lớp

điều khiển thông qua các API, cung cấp khả năng cho phép lớp ứng dụng lập trình lại (cấu hình lại) mạng (điều chỉnh các tham số trễ, băng thông, định tuyến, …) thông qua lớp điều khiển lập trình giúp cho hệ thống mạng để tối ưu hoạt động theo một yêu cầu nhất định

1.4.2.Control layer.

Lớp điều khiển: là nơi tập trung các controller thực hiện việc điều khiển

cấu hình mạng theo các yêu cầu từ lớp ứng dụng và khả năng của mạng Các controller này có thể là các phần mềm được lập trình

Một Controller (bộ điều khiển) là một ứng dụng quản lý kiểm soát luồng

lưu lượng trong môi trường mạng Đnể truyền thông điều khiển lớp cơ sở hạ tầng, lớp điều khiển sử dụng các cơ chế như OpenFlow, ONOS, ForCES, PCEP, NETCONF, SNMP hoặc thông qua các cơ chế riêng biệt Hầu hết các SDN

controller hiện nay dựa trên giao thức OpenFlow

SDN controller hoạt động như một loại hệ điều hành (OS) cho mạng Tất cả thông tin lien lạc giữa các ứng dụng và các thiết bị phải đi qua controller Controller sử dụng giao thức OpenFlow để cấu hình các thiết bị mạng và chọn đường đi tốt nhất cho các lưu lượng ứng dụng Cùng với chức năng chính, nó có thể tiếp tục được mở rộng để thực hiện thêm các nhiệm vụ quan trọng như định tuyến và truy cập mạng

Vai trò:

 Cung cấp API để có thể xây dựng các ứng dụng cho hệ thống mạng

 Thu nhận thông tin từ hệ thống mạng vật lý, điều khiển hệ thống mạng vật lý

1.4.3.Infrastructure layer.

Lớp vật lý (lớp cơ sở hạ tầng) của hệ thống mạng, bao gồm các thiết bị

mạng thực tế (vật lý hay ảo hóa) thực hiện việc chuyển tiếp gói tin theo sự điều khiển của lớp điểu khiển Một thiết bị mạng có thể hoạt động theo sự điều khiển của nhiều controller khác nhau, điều này giúp tăng cường khả năng ảo hóa của mạng

So sánh với kiến trúc mạng truyền thống:

 Trong hệ thống mạng truyền thống, các thiết bị mạng (Layer 2, layer 3) phải mang trên mình nhiều chức năng để đảm bảo hoạt động VD: Các chức

năng của Layer Switch hiện nay: VLAN, Spanning tree, Quality of Service, Security và đa số các thiết bị mạng và các giao thức này hoạt động độc lập với nhau vì mỗi nhà sản xuất cung cấp các giải pháp mạng khác nhau Những điều này tạo ra sự phân mảnh hệ thống mạng, giảm hiệu năng hoạt động.

 Với SDN, việc điều khiển được tập trung tại Controller Layer, các thiết bị mạng chỉ có nhiệm vụ chuyển tiếp gói tin do đó sự khác biệt giữa những nhà sản xuất không ảnh hưởng tới toàn hệ thống mạng Điều này cũng giống như sự phát triển của máy tính hiện nay, mỗi máy tính được cung cấp

và sản xuất bởi những nhà sản xuất khác nhau (Dell, HP, IBM, Apple, Google ), chạy các hệ điều hành khác nhau (Windows, MacOS, Linux, Unix, ) nhưng đều có khả năng truy cập và sử dụng internet dựa trên giao thức mạng TCP/IP

 Về phía người sử dụng, người dùng không phải có mặt trực tiếp tại các thiết

bị mạng để cấu hình cho các thiết bị mạng, họ chỉ cần thông qua các API đã được cung cấpcùng với một chút kiến thức về TCP/IP để có thể xây dựng ứng dụng cho toàn hệthống mạng Với SDN, mọi thứ đều được quản lý tập trung Điều này mang lại nhiều lợi ích tuy nhiên cũng mở ra nhiều nguy cơ

về bảo mật hơn so với hệ thống mạng truyền thống

1.5.Các bước triển khai SDN

Doanh nghiệp cần phải bắt đầu một cách thật chính xác SDN là sự chuyển đổi từ một hệthống mạng có thể cấu hình sang một hệ thống mạng có thể lập trình

Do đó, có một sốbước mà doanh nghiệp buộc phải tuân theo

1.5.1.Bước thứ nhất.

Doanh nghiệp phải tích hợp mọi thiết bị, gồm bộ cân bằng tải, tường lửa, hệ thống truyền thông, thiết bị không dây hoặc hệ thống lưu trữ… vào các SDN controller Các nhà sản xuất SDN có các công cụ có thể di dời cấu hình hiện thời sang các SDN controller cho doanh nghiệp Mọi thiết bị trên mạng đều phải hỗ trợ

SDN Đây là yếu tố rất quan trọng bởi vì bây giờ doanh nghiệp đang tạo ra một chức năng mạng SDN duy nhất, phủ khắp mọi thiết bị của mọi nhà sản xuất và nền tảng Nhà quản trị phải đảm bảo tất cả thiết bị được chuyển đổi thông qua cập nhật phần mềm IOS (phần mềm chuyển đổi), hoặc mua các thiết bị mới có hỗ trợ SDN

Khi trang bị thiết bị mới, cần cẩn thận về việc các nhà sản xuất hỗ trợ công nghệ SDN nào và công nghệ SDN nào là tốt nhất cho từng loại triển khai hệ thống khác nhau (thiết bị hỗ trợOpenFlow hay OpenStack) Chọn lựa giữa OpenFlow và OpenStack ngay từ ban đầu dựa trên hạtầng hiện thời của doanh nghiệp và loại mạng SDN mà doanh nghiệp cần

Khi di dời, chuyển đổi cấu hình thiết bị, cẩn thận khi định nghĩa các chính sách để di dời hoàn toàn, đủ các chính sách bảo mật cũng như đặt chúng vào SDN controller một cách hoàn chỉnh

1.5.3.Bước thứ 3.

Là bước quan trọng nhất, cấu hình SDN tương tác được với ứng dụng Để ứng dụng hoàn toàn tận dụng được mạng SDN, đầu tiên cần áp dụng các chính sách như ưu tiên lệnh thực thi cao hơn lệnh báo cáo để cho luồng dữ liệu quan trọng nhất chạy mượt mà trong hệ thống mạng Khi SDN đã sẵn sàng, có thể cho các ứng dụng gửi các bộ nhận diện bổ sung vào header, khôngchỉ đơn giản là các giao thức, TCP/UDP và cổng dữ liệu nữa Các SDN controllersẽ phải nhận diện được các gói dữ liệu thông qua header mà không phải đọc toàn bộ dữ liệu để nhận diện loại dữ liệu

1.5.4.Bước thứ 4

Thiết lập bảo mật vào các lớp ứng dụng Doanh nghiệp có thể thêm bảo mật dạng rule ởlớp thứ 7 bằng cách đầu tiên là nhận diện tương tác ứng dụng thích hợp

và không thích hợp, sau đó áp dụng các rule bổ sung dựa trên hành vi (nếu hành vi này xuất hiện) Một khi đã thiết lập được mạng SDN, nên giám sát mạng thông qua các SDN controller Vài công ty tách chức năng giám sát ra khỏi controller, ví dụ như tách riêng giám sát ứng dụng và giám sát gói dữ liệu Tách ra như vậy phải sử dụng các công cụ giám sát chạy ở cấp cao hơn và phải có giao diện của controller, mạng và ứng dụng SDN Doanh nghiệp cũng nên giám sát cả các chính sách bảo mật

 Bảo mật: Làm thế nào để SDN được bảo vệ từ các cuộc tấn công?

 Khả năng tương thích: Làm thế nào các giải pháp SDN được tích hợp vào mạng hiệntại?

 Liệu công nghệ SDN có thể thực hiện được không, khi mà thị trường Data Center còntrì trệ?

 Liệu SDN sẽ định hình tương lai cho hệ thống mạng như thế nào? Liệu giao thức nguồn mở có đủ sức bật, hay vẫn chịu lép vế trước một giao thức nào khác?

 Việc chuyển đổi sang hệ thống mạng mới này sẽ phải là một quá trình lâu dài, giống như ảo hóa

1.6.Ứng dụng của SDN.

Với những lợi ích mà mình đem lại, SDN có thể triển khai trong phạm vi doanh nghiệp (Enterprises) hoặc nhà cung cấp hạ tầng và dịch vụ viễn thông để giải quyết các yêu cầu của các nhà cung cấp tại mỗi phân khúc thị trường

1.6.1.Phạm vi doanh nghiệp.

Áp dụng trong mạng doanh nghiệp : Khi được sử dụng để hỗ trợ một môi

trường đám mây riêng hoặc tích hợp, SDN cho phép các tài nguyên mạng được cấp phát theo phương thức linh hoạt cao, cho phép dự phòng nhanh các dịch vụ đám mây và chuyển giao linh hoạt hơn vớicác nhà cung cấp đám mây bên ngoài Với các công cụ để quản lý an toàn các mạng ảo của mình, các doanh nghiệp và các đơn vị kinh doanh sẽ tin vào các dịch vụ đám mây hơn

1.6.2.Phạm vi các nhà cung cấp hạ tầng và dịch vụ viễn thông.

SDN cung cấp cho các nhà mạng, các nhà cung cấp đám mây công cộng và các nhà cung cấp dịch vụ khả năng mở rộng và tự động cần thiết để triển khai một

mô hình tính toán có ích cho ITaaS (IT-as-a-Service) Điều này được thực hiện thông qua việc đơn giản hóa triển khai các dịch vụ tùy chọn và theo yêu cầu, cùng với việc chuyển dời sang mô mình self-service Mô hình tập trung, dự phòng và điều khiển tự động của SDN dễ dàng hỗ trợ cho thuê linh hoạt các tài nguyên, đảm bảo tài nguyên mạng được triển khai tối ưu, giảm CapEx và OpEx, tăng giá trị và tốc độ dịch vụ

Tương lại của SDN.

Hiện nay, SDN thực sự là một hướng đi được quan tâm đặc biệt trong cả nghiên cứu lẫn ứng dụng Có thể dễ dàng nhận ra rằng, SDN phù hợp với những môi trường hệ thống mạng tập trung và có mức lưu lượng cực kỳ lớn bao gồm:

 Các hệ thống mạng doanh nghiệp: Mạng Campus và mạng trung tâm dữ liệu (Data Center)

 Hệ thống mạng phục vụ điện toán đám mây – Cloud

SDN đã nhận được sự quan tâm từ những "gã khồng lồ" trong làng công nghệ khi cảGoogle và Facebook đều đã tham gia nghiên cứu và xây dựng cho riêng mình những trung tâm dữ liệu sử dụng SDN Theo dự đoán trong một tương lai không xa, SDN sẽ xóa bỏ sự độc quyền thương mại trong lĩnh vực thiết bị mạng vốn lâu nay bị CISCO nắm giữ và sẽ mở ra một cuộc cách mạng như Apple đã làm

ra iPhone

Để tách biệt hẳn phần điều khiển ra khỏi phần chuyển tiếp và cung cấp khả

năng lập trình cho lớp điều khiển, ONF sử dụng giao thức OpenFlow OpenFlow

là tiêu chuẩn đầu tiên, cung cấp khả năng truyền thông giữa các giao diện của lớp điều khiển và lớp chuyển tiếp trong kiến trúc SDN OpenFlow cho phép truy cập trực tiếp và điều khiển mặt phẳng chuyển tiếp của các thiết bị mạng như switch và router, cả thiết bị vật lý và thiết bị ảo, do đó giúp di chuyển phần điều khiển mạng

ra khỏi các switch thực tế tới phần mềm điều khiển trung tâm

Sự xuất hiện của OpenFlow thực sự là một cuộc cách mạng, đưa sự phát triển của SDN lên một tầm cao mới OpenFlow là giao thức hoạt động giữa tầng điều khiển (Control Layer) và tầng vật lý (Infrastructure Layer) Trong kiến trúc của SDN, tất các các thiết bị được liên kết với tầng điều khiển và thông qua OpenFlow OpenFlow có 2 nhiệm vụ chính:

 Giám sát hoạt động của các thiết bị mạng: Lưu lương mạng, trạng thái hoạt động của các nút mạng, các thông tin cơ bản về các thiết bị …

 Điều khiển hoạt động của thiết bị mạng: Điều khiển luồng dữ liệu (routing), Bảo mật, Quality of Service

Về cơ bản, OpenFlow cung cấp số lượng lớn các chức năng đã được định

nghĩa và thông qua bởi Open Networking Foundation (ONF) Các thiết bị mạng

chỉ cần được thêm vào thư viện của OpenFlow là có thể tham gia hoạt động trong mạng OpenFlow

Một điểm rất mạnh của OpenFlow là có thể hoạt động tốt giữa cả các thiết

bị mạng ảo và thiết bị mạng vật lý Sự tăng trưởng mạng mẽ của công nghệ ảo hóa hiện nay đã nâng cao vai trò của các thiết bị mạng ảo, do đó, việc đồng bộ giữa các thiết bị mạng ảo và thực là điều hết sức quan trọng

1.7.1 Các đặc trưng của OpenFlow

 OpenFlow có thể được sử dụng bởi ứng dụng phần mềm ngoài để điều khiển mặt phẳng chuyển tiếp của các thiết bị mạng, giống như tập lệnh của

CPU điều khiển một hệ thống máy tính.

 Giao thức OpenFlow được triển khai trên cả hai giao diện kết nối giữa các thiết bị cơ sở hạ tầng mạng và phần mềm điều khiển SDN

 OpenFlow sử dụng khái niệm các “flow” (luồng) để nhận dạng lưu lượng mạng trên cơ sở định nghĩa trước các qui tắc phù hợp (được lập trình tĩnh hoặc động bởi phầnmềm điều khiển SDN) Giao thức này cũng cho phép định nghĩa cách mà lưu lượng phải được truyền qua các thiết bị mạng trên

cơ sở các tham số, chẳng hạn như mô hình lưu lượng sử dụng, ứng dụng và tài nguyên đám mây Do đó OpenFlow cho phép mạng được lập trình trên

cơ sở luồng lưu lượng Một kiến trúc SDN trên cơ sởOpenFlow cung cấp điều khiển ở mức cực kỳ chi tiết, cho phép mạng phản hồi sự thay đổi theo thời gian thực của ứng dụng, người dùng và mức phiên Mạng định tuyến trên cơ sở IP hiện tại không cung cấp mức này của điều khiển, tất cả các luồng lưulượng giữa hai điểm cuối phải theo cùng một đường thông qua mạng, mặc dù yêu cầu của chúng khác nhau

 Giao thức OpenFlow là một chìa khóa để cho phép các mạng định nghĩa bằng phần mềm và cũng là giao thức tiêu chuẩn SDN duy nhất cho phép điều khiển mặt phẳng chuyển tiếp của các thiết bị mạng Từ việc áp dụng khởi đầu tới mạng trên cơ sởEthernet, các SDN trên cơ sở OpenFlow có thể được triển khai trên các mạng đang tồn tại, cả vật lý và ảo hóa - OpenFlow đang ngày càng được hỗ trợ rộng rãi bởi các nhà cung cấp cơ sở hạ tầng khác nhau, thông qua việc triển khai một firmware đơn giản hoặc nâng cấp phần mềm Kiến trúc SDN trên cơ sở OpenFlow có thể tích hợp từ từvới cơ

sở hạ tầng hiện có của doanh nghiệp hoặc nhà khai thác mạng và cung cấp phương thức tích hợp đơn giản cho các phần của mạng cần đến các chức năng

SDN nhất.

1.7.2 Cấu tạo

Một thiết bị OpenFlow bao gồm ít nhất 3 thành phần:

 Flow Table: một liên kết hành động với mỗi luồng, giúp thiết bị xử lý các luồng thếnào

 Secure Channel: kênh kết nối thiết bị tới controller (controller), cho phép các lệnh và các gói tin được gửi giữa controller và thiết bị,

 OpenFlow Protocol: giao thức cung cấp phương thức tiêu chuẩn và mở cho mộtcontroller truyền thông với thiết bị

1.7.3 Hoạt động

Trong router hay switch cổ điển, các gói tin chuyển tiếp nhanh chóng (data path) và các quyết định định tuyến mức độ cao (control path) xảy ra trên cùng một thiết bị OpenFlow Switch tách hai chức năng đó ra Phần data patth vẫn nằm trên switch, trong khi control path được chuyển đến một controller riêng biệt, thường là một máy chủ tiêu chuẩn OpenFlow Switch và Controller giao tiếp thông qua giao thức OpenFlow, trong đó xác định các tin nhắn, chẳng hạn như gói nhận được, gửi gói tin ra, sửa đổi bảng chuyển tiếp và nhận số liệu thống kê

Các data path của một OpenFlow Switch được trình bày rõ ràng trong flow table; mỗi mục flow table chứa một tập các trường gói tin phù hợp và một hành động (như gửi ra cổng, sửa đổi trường hoặc hủy) Khi một OpenFlow Switch nhận được một gói tin nó chưa bao giờ thấy trước đây mà không có trong flow table, nó

sẽ gửi gói tin này đến bộ điều khiển Controller sau đó đưa ra quyết định về cách

xử lý gói tin này Nó có thể hủy (drop) các gói tin, hoặc nó có thể them một flow entry chỉ đạo việc chuyển đổi trên làm thế nào để chuyển tiếp các gói tin tương tựtrong tương lai

1.7.4 Lợi ích khi sử dụng OpenFlow.

Công nghệ SDN trên cơ sở OpenFlow cho phép nhân viên IT giải quyết các ứng dụng băng thông cao và biến đổi động hiện nay, khiến cho mạng thích ứng với các nhu cầu kinh doanh thay đổi và làm giảm đáng kể các hoạt động và quản lý

phức tạp Những lợi ích mà các doanh nghiệp và nhà khai thác mạng có thể đạt được thông qua kiến trúc SDN trên cơ sởOpenFlow bao gồm:

 Tập trung hóa điều khiển trong môi trường nhiều nhà cung cấp thiết bị: phần mềm điều khiển SDN có thể điều khiển bất kỳ thiết bị mạng nào cho phép OpenFlow từ bất kỳ nhà cung cấp thiết bị nào, bao gồm switch, router

và các switch ảo

 Giảm sự phức tạp thông qua việc tự động hóa: kiến trúc SDN trên cơ sở OpenFlow cung cấp một framework quản lý mạng tự động và linh hoạt Từ framework này có thểphát triển các công cụ tự động hóa các nhiệm vụ hiện đang được thực hiện bằng tay

 Tốc độ đổi mới cao hơn: việc áp dụng OpenFlow cho phép các nhà khai thác mạng lập trình lại mạng trong thời gian thực để đạt được các nhu cầu kinh doanh và yêu cầu từ người dùng cụ thể khi có sự thay đổi

 Gia tăng độ tin cậy và khả năng an ninh của mạng: các nhân viên IT có thể định nghĩa các trạng thái cấu hình và chính sách ở mức cao và áp dụng tới

cơ sở hạ tầng thong qua OpenFlow Kiến trúc SDN trên cơ sở OpenFlow cung cấp điều khiển và tầm nhìn hoàn chỉnh trên mạng, nên có thể đảm bảo điều khiển truy nhập, định hình lưu lượng, QoS, an ninh và các chính sách khác được thực thi nhất quán trên toàn bộ cơ sở hạtầng mạng không dây và

có dây, bao gồm cả các văn phòng chi nhánh, các cơ sở chính và DC

 Điều khiển mạng chi tiết hơn: mô hình điều khiển trên cơ sở flow của OpenFlow cho phép nhân viên IT áp dụng các chính sách tại mức chi tiết, bao gồm phiên, người dùng, thiết bị và các mức ứng dụng trong một sự trừu tượng hóa cao, tự động điều chỉnh thích hợp - Tốt hơn với trải nghiệm người dùng: bằng việc tập trung hóa điều khiển mạng và tạo ra trạng thái thông tin có sẵn cho các ứng dụng mức cao hơn, kiến trúc SDN trên cơ sở OpenFlow có thể đáp ứng tốt hơn cho các nhu cầu thay đổi của người dùng

1.7.5 Các thành phần trong OpenFlow switch.

 Data Plane

Trong OpenFlow, data plane có khả năng xử lý và chuyển tiếp lưu lượng mạng Các giao thức được thiết kế để thích ứng với khái niệm mới mà không bị hạn chế đối với các công nghệvận chuyển như Ethernet và IP Về mặt kỹ thuật, tiêu chuẩn OpenFlow chỉ xác định các chức năng của các yếu tố chuyển tiếp và thực hiện một API hướng dẫn cho các cấp cao hơn Để kiểm soát, có thể sử dụng các ngôn ngữ được cung cấp bởi OpenFlow Là một giao diện Southbound, nó thiết lập một kết nối giữa hai plane nhưng không hạn chế tự do dữ liệu, kiểm soát và thiết kếứng dụng Tuy nhiên, các đặc điểm kỹ thuật chuyển mạch và các yêu cầu cơ bản của nó cho ta cái nhìn rõ ràng về cấu trúc data plane của OpenFlow Để đơn giản ONF đưa bất kỳ đơn vị mà chứa một data path và kết nối điều khiển như chuyển đổi OpenFlow, lớp hai và lớp ba với chức năng định tuyến của mô hình OSI được chuyển đến control plane Để đẩy nhanh tiến độ triển khai, giải pháp OpenFlow switch có thể chứa cả định tuyến thông minh cổ điển và logic OpenFlow độc lập Tuy nhiên, trong tất cả các biến thể thì cấu trúc switch cơ bản vẫn giữ nguyên

 Control Plane.

Control plane là bộ chỉ huy trung tâm trong SDN và một khía cạnh quan

trọng trong sựthành công và triển khai các phần mềm mạng được định nghĩa Nó được đại diện bởi thành phần kiểm soát các thiết bị Do sự phát triển của các phần mềm và các yếu tố không bị ràng buộc bởi OpenFlow hoặc bị hạn chế bởi các tiêu chuẩn, nhiều phiên bản triển khai đã được phát triển Mỗi phiên bản cố gắng để thành công trong tầm nhìn của một mạng lưới và thực hiện tốt các khía cạnh khác nhau để phát triển Hơn nữa, các công ty đang tiếp tục đề ra các controller độc quyền của riêng của họ nhằm thích nghi với các thiết bị độc quyền

 Application và Management Plane.

Các ứng dụng SDN tính toán và phát triển các chính sách và hướng dẫn mà controller cài đặt trên lớp chuyển tiếp Các ứng dụng thường có toàn quyền kiểm soát các mạng con được kết nối với controller phải đồng bộ các chính sách và hành

động trái ngược nhau Để tránh quyết định và hoạt động xung đột, các ứng dụng thường được đóng gói với controller, hoặc hợp nhất như một thực thể duy nhất với controller để giải quyết vấn đề xung đột nội bộ.

Chương 2: CÁC VẤN ĐỀ BẢO MẬT TRONG SDN 2.1 Các mối nguy hiểm bảo mật.

SDN xuất hiện như là một công nghệ có thể giải quyết tất cả những khó khăn, vướng mắc của mạng truyền thống Tuy nhiên, những nghiên cứu phần lớn được thử nghiệm trong môi trường an toàn, quy mô nhỏ, không có môi trường thực

tế doanh nghiệp hoặc trung tâm dữ liệu Vì vậy, cho đến nay SDN vẫn chưa là mối quan tâm lớn đối với những kẻ tấn công và tin tặc

Câu hỏi đặt ra là liệu SDN có khả năng khắc phục các vấn đề bảo mật, độ tin cậy, khảnăng mở rộng như đã có hoặc được thừa kế từ các mạng truyền thống hay không Khi SDN thu hút được nhiều sự chú ý hơn, các đánh giá bảo mật và kiểm tra sẽ được thực hiện trên mô hình mới Một số cuộc điều tra toàn diện đã đánh giá về tình hình an toàn của SDN do Jarraya, Madi và Debbabi đã dành một chương để trình bày về bảo mật và các nghiên cứu trong các cuộc khảo sát của họ Scott-Hayward, O'Callaghan và Sezer tập trung vào những vấn đề bảo mật, những thách thức và cơ hội trong cuộc khảo sát của họ về SDN Đã có nhiều nỗ lực để cụ thể để phân tích giao thức OpenFlow Sử dụng STRIDE và cây tấn công, Kl¨oti vào năm 2014 đã sử dụng một cách tiếp cận tương tự như đồ án này, nhưng không

mở rộng phạm vi vượt ra ngoài giao thức OpenFlow 1.0, các switch OpenFlow và chỉ thực hiện ba trong sáu mối đe dọa Trong khuôn khổcủa các cuộc điều tra, phần này sẽ cố gắng kiểm tra kỹ lưỡng các vấn đề an ninh của một SDN chuẩn, biên

dịch các tài liệu mới nhất.

2.1.1 Các kiểu tấn công và mối đe dọa.

Mô hình mối đe dọa là một phương pháp phổ biến đe dọa mạnh mẽ đến an ninh của hệthống hoặc toàn bộ công ty Có nhiều loại model khác nhau Cách tiếp cận phù hợp nhất chođồ án này là mô hình phần mềm trung tâm (software-centric model), trong đó tách riêng các tài nguyên và các thành phần của hệ thống với mục đích là để làm nổi bật các cấu hình sai tiềm tàng hoặc các thành phần bị trục trặc

Nhiều phương pháp thiết kế an toàn trong công nghệ thông tin là có căn cứ trong tám nguyên tắc thiết kế an toàn do Saltzer và Schroeder đề xuất vào năm

1975 Microsoft Security Development Lifecycle (SDL) bao gồm các nguyên tắc trong mô hình mẫu của họ và sử dụng phương pháp STRIDE Mặc dù không phải

là hoàn toàn SDN dựa trên phần mềm, phương pháp tiếp cận SDL cũng được áp dụng cho thiết kế tổng thể của mạng và các thành phần kỹ thuật của nó

STRIDE mô tả và phân rã một hệ thống để suy ra mâu thuẫn hoặc thiếu hụt tiềm ẩn Đểgiảm độ phức tạp và để đạt được một cái nhìn tổng quan, STRIDE được chia thành các thành phần nhạy cảm riêng biệt và mô hình hóa thành một sơ

đồ luồng dữ liệu (DFD) Thuật ngữ tựnó là một từ viết tắt của sáu mối đe dọa bảo mật cơ bản: Spoofing, Tampering, Repudiation,Information Disclosure, Denial of Service, and Elevation of Privilege Những mối đe dọa xâm phạm một số thuộc tính, vốn được coi là cần thiết để thiết lập một hệ thống an toàn:

 Spoofing: (Giả mạo) tấn công vào các thuộc tính xác thực và cho phép kẻ

tấn công che giấu hay giả mạo danh tính để đạt được quyền truy cập vào thông tin hoặc tấn công dữ liệu đám mây Các mục tiêu tiềm năng có thể bị giả mạo trong một hệ thống là các interactor hay tiến trình hệ thống Việc xác thực không chính xác cho phép kẻgiả mạo truy cập và có thể dẫn đến tấn công man-in-the-middle (MITM) Do sự phụthuộc lẫn nhau, một mối đe dọa STRIDE duy nhất có thể kích hoạt hoặc gây ra nhiều khả năng tấn công hơn nữa Do đó, các cuộc tấn công MITM được liên kết với một sốlỗ hổng trong mạng

 Tampering: (Thay đổi dữ liệu) là mối đe dọa thứ hai và ảnh hưởng đến

tính toàn vẹn của dữ liệu và hệ thống, các quy trình hệ thống, các luồng dữ liệu hoặc bất kỳ các dữ liệu đã lưu có thể bị sửa đổi Một sự thay đổi trong tính toàn vẹn dữ liệu hoặc các thành phần hệ thống phải được ngay lập tức nhận biết hay nhìn thấy và báo cáo Nếu không kẻ tấn công có thể đạt được lợi thế về tài chính, gây thiệt hại tài sản doanh nghiệp hoặc gây ra các hậu quả pháp lý

 Repudiation: (Chối bỏ trách nhiệm) là một vấn đề liên quan chặt chẽ

Interactors và tiến trình phải không có khả năng từ chối bất kỳ hành động trong hệ thống hoặc truy cập vào các thành phần hoặc các khu vực hạn chế Bất kỳ hành động nào đều phải được theo dõi một cách chính xác Ngoài ra, khả năng làm giả mạo các bản ghi, bản ghi âm và các tài liệu phải được loại bỏ để đảm bảo trách nhiệm tuyệt đối

 Information disclosure: (Làm lộ thông tin) là một lỗ hổng quan trọng và

ảnh hưởng đến tính bảo mật của hệ thống, một khía cạnh cơ bản của IT Security Nếu luồng dữliệu, quá trình lưu trữ hoặc xử lý vô tình phơi bày thông tin nhạy cảm

có thể gây ảnh hưởng nghiêm trọng Nghe lén trên các luồng dữ liệu hay kênh truyền thông khiến người dùng gặp nhiều nguy cơ

 Denial of service: (Từ chối dịch vụ) làm giảm tỷ lệ sẵn sàng của hệ thống,

ngăn chặn khách hàng và người dùng truy cập dữ liệu hoặc dịch vụ Trong khi interactors thường không thể bị quá tải hoặc tắt hoàn toàn, các thành phần kỹ thuật khác cũng rất có thểgặp phải Lợi dụng khả năng của hệ thống là một trong những phương pháp đơn giản nhất và phổ biến để đe dọa hoặc gây tổn hại về tài chính Đảm bảo tính luôn luôn sẵn sàng là một trong những mối quan tâm hàng đầu đối với các nhà mạng và công ty

 Elevation of privilege: (Leo thang đặc quyền) là phương thức cuối cùng và

vi phạm quyền hợp pháp Nếu một kẻ tấn công có thể tự tăng quyền cho mình, kẻ tấn công có thể truy cập vào phần lớn các hệ thống, vượt qua các cơ chế bảo vệ và làm chomình không bị phát hiện Mối đe dọa này xuất hiện do thiếu cơ chế kiểm

soát truycập, phân quyền người dùng hoặc Spoofing thành công.

Sau khi mô hình hóa các DFD, mỗi thành phần được đánh giá và phân tích các điểm mạnh hoặc các lỗ hổng của nó dựa trên các khía cạnh này STRIDE có thể được mở rộng với cây tấn công để xác định đường lối và hành vi của kẻ tấn công tiềm năng Mô hình này là một phương pháp phổ biến để phản ánh về an ninh tổng thể của kiến trúc hệ thống và đánh giá tính khả thi của các cuộc tấn công khác nhau

2.1.2 So sánh với kiến trúc truyền thống.

Sự phát triển của SDN đặt ra một vấn đề trong việc xác định các rủi ro tiềm

ẩn trong các mạng dịch vụ chia sẻ Ứng dụng doanh nghiệp chi phối hoặc triển khai chưa xuất hiện để đánh giá các quyết định thiết kế cứng Trong khi Google đã cài đặt một quy mô trung tâm dữ liệu SDN lớn, họ tránh được các vấn đề xung đột ứng dụng sử dụng các khối ứng dụng duy nhất và giải quyết xung đột nội bộ Ngoài ra, không có cơ chế thực tế để chia sẻ nguồn lực điều khiển giữangười sử dụng mạng khác nhau hoặc các tổ chức có sẵn nào FlowVisor là một giải pháp phổbiến để phân chia mạng lưới an ninh, bảo vệ hoặc điều khiển khác nhau, nhưng

đã cho thấy vô số các lỗ hổng trong thiết kế Nhìn chung, uỷquyền và phân phối quyền hạn thích hợp là một nền tảng quan trọng trong việc triển khai các phần mềm mạng với quy mô lớn, cần được xem xét phát triển

2.2 Tích hợp các giải pháp bảo mật.

2.2.1 So sánh với hệ thống mạng truyền thống.

Một hệ thống tự trị phân quyền (mạng truyền thống) phải được bảo vệ đầy

đủ Tuy nhiên, các biện pháp an ninh chuyên biệt cho mỗi phần tử mạng riêng biệt

có thể có một tác động to lớn về hiệu suất và tổng chi phí mạng Việc quản trị do

đó dựa trên các thiết bị khác nhau giữa các điểm phân giới biên hoặc vùng quan trọng để làm mạng vững chắc hơn

Một hệ thống mạng doanh nghiệp thường được chia thành các vùng logic khác nhau Phần bên trong của một tổ chức tạo thành mạng nội bộ Bất kỳ thông

tin trao đổi, lưu trữ, hoặc xuất bản ở đây được chỉ định là riêng tư và bảo vệ khỏi phạm vi công cộng Nếu công ty muốn trao đổi các dịch vụ và thông tin với các doanh nghiệp khác mà không để lộ mạng riêng của họ, một extranet có thể được thiết lập để kết nối hai trang web trên internet Mặc dù một extranet được dựa trên

sự tin tưởng lẫn nhau, nó cho biết thêm cơ hội tấn công mới và phải được bảo vệ một cách độc lập Trong nhiều trường hợp, các tổ chức có tài nguyên mà có thểhoặc cần phải được truy cập bởi mọi người, bao gồm cả các dịch vụ web hoặc email Vì các giao tiếp từ bên ngoài làm cho những máy chủ trở thành một mục tiêu có thể bị tấn công, chúng được nằm trong một khu vực riêng biệt gọi là khu vực phi quân sự (DMZ – demilitarizedzone) DMZ nằm giữa hai vùng an ninh và

có thể được xem như là các khu vực ngoài của một mạng công ty

Một kỹ thuật đơn giản để thực thi sự tách biệt này và để tăng cường an ninh cho một mạng là gia tăng các bộ công cụ của các thiết bị định tuyến và chuyển mạch Để ngăn chặn ARP spoofing, thiết bị có thể được cấu hình để phản ứng với những địa chỉ MAC được xác định trước Tương tự như vậy, các vùng mạng ảo (VLAN) của một switch có thể giới hạn số lượng các mối đe dọa tiềm năng và hỗ trợ trong việc phân chia mạng thành các cấp độ bảo mật khác nhau Nếu người quản trị mong muốn để ngăn chặn dữ liệu cụ thể hoặc các gói tin người dung đi qua mạng, bộ định tuyến và chuyển mạch của họ được trang bị Access Control Lists (ACLs) ACL chỉ định hoặc là Whitelist hoặc là Blacklist cho một giao thức TCP / UDP cụ thể hoặc các địa chỉ IP và bảo vệ máy chủ hoặc trong trường hợp router ngoài cùng ranh giới mạng hay một đoạn của toàn bộ mạng từ các cuộc tấn công Tương tự như vậy, các bộ định tuyến vàchuyển mạch ghi log các hoạt động mạng và cung cấp truy cập thông qua các control plane của các thiết bị Cơ chế để theo dõi thông tin này là một giao diện dòng lệnh tùy chỉnh (CLI) của các nhà cung cấp, các giao thức tiêu chuẩn Simple Network Management Protocol (SNMP) hoặc các giao thức mới, truy cập cấu hình NETCONF dựa trên XML Các kết nối thường được bảo đảm sửdụng TLS hoặc Secure Shell (SSH), nhưng đôi khi có thể

bị thiết lập không an toàn như khi sửdụng Telnet Người quản trị có thể sử dụng những công cụ này để xác định hành vi bất thường trong mạng hoặc để cấu hình một router bị ảnh hưởng Các kết nối quản lý có thể được thực hiện out-of-band Một giao tiếp out-of-band vật lí hoặc ảo hầu như tách khỏi mạng và không đi trên cùng một kênh như là dữ liệu thông thường Mặc dù chi phí cao hơn so với truy cập inband, các nhà điều hành vẫn có thể giữ kiểm soát hoàn toàn qua mạng ngay

cả khi liên kết bình thường đang quá tải và có thể cấu hình lại các thiết bị cá nhân mà không bị cản trở

Tuy nhiên, một kẻ xâm nhập chuyên nghiệp có thể dễ dàng vượt qua các tính năng này Để bảo vệ đầy đủ một mạng thông thường, các nhà khai thác sử dụng các thiết bị chuyên biệt giữa các nút, thường gọi là middleboxes Một công

cụ bảo vệ phổ biến và cần thiết là tường lửa Mặc dù các ACL của một router có thể lọc địa chỉ IP và cổng, nó không có khả năng ghi nhớ trạng thái của một kết nối hoặc phản ứng tự động Các nhà quản trị phải cấu hình bằng tay các thiết bị cá nhân để xác định địa chỉ và chỉ có thể phản ứng với các mối đe dọa Tường lửa Stateful cũ có các chức năng tương tự như của ACL và ngăn chặn các hoạt động không mong muốn Các gói tin không phù hợp với các qui trình điển hình của một giao tiếp nào đó (ví dụnhư bắt tay TCP bất thường) Phiên bản tường lửa hiện đại thậm chí còn có khả năng ngăn chặn các hành vi không xác định của các ứng dụng đáng tin cậy hoặc phát hiện những nỗ lực do thám như quá trình quét các cổng đang mở trên máy chủ

Thường tích hợp vào tường lửa là Network Address Translation (NAT), trong đó chuyểnđổi địa chỉ IP global thành địa chỉ IP local để tiết kiệm không gian địa chỉ IPv4 Mặc dù ban đầu không có ý định để hoạt động như một thiết bị bảo mật, NAT giấu cấu trúc của các mạng nội bộ và bảo vệ máy chủ từ các cuộc tấn công nhắm vào mục tiêu Như khả năng lưu trữ của thiết bị định tuyến và chuyển mạch thường được giới hạn, tường lửa bổ sung cung cấp cơ chế logging và khả năng kiểm toán truy cứu trách nhiệm cho các control plane Chúng thường được

đặt giữa chỗ nghẽn mạng hoặc gateway để quan sát số lượng truy cập tối đa, nhưng tuyến phòng thủhơn nữa cũng có thể bảo vệ các máy hoặc các khu vực mạng có độ nhạy cảm cao

Tường lửa là đủ để ngăn chặn các ứng dụng mạng hoặc lưu lượng truy cập

cụ thể trong hầu hết các trường hợp, nhưng không có bất kỳ phương tiện để phát hiện hoạt động đáng ngờ Tính năng phòng thủ mạng này được thực hiện trong một

hệ thống phát hiện xâm nhập (IDS) Một IDS có một chức năng tương tự như một chương trình anti-virus đơn giản Nó phát hiện và báo cáo các mối đe dọa dựa trên dấu hiệu gói tin độc hại quen thuộc hay hành vi mạng bất thường Một phiên bản phổ biến là hệ thống phát hiện xâm nhập dựa trên mạng Tương tựnhư tường lửa,

nó được đặt tại các điểm chiến lược thuận lợi và theo dõi lưu lượng truy cập vào và ra

Tuy nhiên phương pháp phản ứng phải đối mặt với một vấn đề quan trọng Khi xâm nhập được phát hiện, biện pháp đối phó có thể đã là quá muộn Hệ thống ngăn chặn xâm nhập (IPS) do đó mở rộng các chức năng để không chỉ báo cáo các mối đe dọa đến trạm quản lí nhưng cũng cố gắng làm giảm hoặc đẩy lùi một cuộc tấn công phát hiện càng sớm càng tốt Trong thời gian qua, các chức năng của tường lửa và IPS đã tập trung đáng kể, như phản ứng xâm nhập đã trở nên quan trọng hơn Trong nhiều trường hợp các giải pháp đe dọa được phân phối như Unified Threat Management (UTM), một tập hợp tường lửa, IDS/IPS và các biện

pháp bổsung Một loại cơ chế mới phát triển cho UTM là Deep Packet Inspection (DPI), trong đó độ tải của lưu lượng được chọn sẽ được kiểm tra về virus hay mẫu

thư rác và lọc phù hợp Trong nhiều trường hợp lưu lượng có để thông qua một trình tự của tất cả các thiết bị an ninh tĩnh trước khi nó được phép vào mạng nội bộ

Tuy nhiên, một phần hết sức quan trọng của một khuôn khổan ninh là bản thân người quản trị Họ được yêu cầu để nhận thức bất kỳ mối nguy hại nào đang đến hoặc sự cố trong mạng và nhận ra cảnh báo tích cực hay tiêu cực Để có thể

thực hiện đầy đủ các yêu cầu này, người quản trị dựa vào thông tin an ninh và quản

lý sự kiện (SIEM) hệthống Bất kỳ thiết bị có liên quan báo cáo sự cố, dữ liệu thời gian thực và các bản ghi vớiSIEM, mà đơn giản hóa các dữ liệu đến một mức độ cao và trình bày nó theo cách con người có thể đọc được Kể từ khi một SIEM nói chung không phải là một công cụ tự động và cung cấp một giao diện hoạt động, nó

có thể được coi là “cánh tay mở rộng” của người quản trị và một phần của management plane

Hình 2.1 Phân phối logical plane trong hệ thống mạng truyền thống

2.2.2 Tích hợp các giải pháp bảo mật cho hệ thống mạng SDN.

a Các giải pháp bảo mật tổng thể cho hệ thống mạng SDN.

Với sự phát triển ngày càng mạnh mẽ và mở rộng của SDN, các vấn đề về bảo mật trong mạng SDN ngày càng được quan tâm và nhiều câu hỏi được đặt ra liệu các giải pháp bảo mật hiện tại có đủ bảo vệ hệ thống mạng SDN Cơ sở hạ tầng CNTT đang di chuyển sang cloud, tạo ra sự thay đổi lớn trong các Trung tâm

dữ liệu Mạng lưới hoạt động được chuyển đổi từ quản lý điều hành chuyên sâu sang tựđộng hóa cao Các trung tân dữ liệu trong tương lai là một môi trường ảo

phải giải quyết đa dạng tập hợp các nhu cầu của người sử dụng, bất cứ lúc nào, bất

cứ nơi nào truy cập vào dữ liệu của họ Vấn đềbảo mật luôn là một mối quan tâm lớn trong các trung tâm dữ liệu Trong khi đó dữ liệu người dùng là hết sức quan trọng phải luôn được đảm bảo Trong doanh nghiệp, các thiết bị đầu cuối, các tài nguyên trung tâm dữ liệu bao gồm các thiết bị lưu trữ, máy chủ, switch và các bộ định tuyến phải được đảm bảo

Các mối nguy hiểm đe dọa rất đa dạng, việc ảo hóa mạng dẫn đến nhiều mối nguy hiểm mới cần phải được tìm hiểu và có các chiến lược bảo mật phù hợp

để hạn chế tối đa những rủi ro bảo mật có thể xảy ra

Hiện nay các giải pháp bảo mật là sẵn có, tuy nhiên, rất khó khăn để triển khai, quản lý, quy mô và an toàn Chính sách được kết chặt chẽ với các nguồn lực vật chất như với các dịch vụvà ứng dụng Giải pháp an ninh nỗ lực để cung cấp nhanh chóng một giải pháp giảm thiểu mốiđe dọa và phải tự động trên thiết bị từ nhiều nhà cung cấp khác nhau.Chính sách bảo mật phù hợp rất khó để quản lý qua tính toán, lưu trữ và mạng lưới tên miền và nhiều trung tâm dữliệu Không có giải pháp nào hiện nay cho phép bảo mật hoàn toàn cho các mạng doanh nghiệp hay trung tâm dữ liệu

Các giải pháp bảo mật hiện nay được tích hợp để bảo vệ hệ thống mạng:

 Tường lửa cho phòng thủ và kiểm soát vùng miền nội bộ

 Hệ thống phát hiện xâm nhập (IDS) và hệ thống ngăn chặn xâm nhập (IPS) khỏi các họat động giám sát mạng, hoạt động độc hại hoặc vi phạm chính sách và cố gắng đểngăn chặn các cuộc tấn công

 Secure Sockets Layer (SSL), mạng riêng ảo (SSL VPN) cung cấp các giải pháp an toàn cho khách hàng và các miền riêng biệt khi truy cập từ xa

 Các giải pháp quản lý mạng cố gắng để quản lý tập trung rất nhiều các chức năng bảo mật thông qua một giao diện điều khiển

 IEEE 802.1X xác thực dựa trên port và kiểm soát truy cập

 IPsec để xác thực end-to-end và mã hóa các gói dữ liệu IP trong một phiên truyền thông.

 Transport Layer Security (TLS) cho lớp ứng dụng mã hóa thông tin liên lạc bảo mật ởtầng Transport

 Các truy cập từ xa sử dụng dịch vụ RADIUS, trong đó cung cấp chứng thực tập trung, ủy quyền và xác thực (AAA) quản lý cho các thiết bị cuối để sử dụng một dịch vụ mạng

Hình 2.2 Các giải pháp bảo mật chung

SDN dựa trên Openflow cung cấp một số thuộc tính đặc biệt thích hợp cho việc thực hiện một môi trường an toàn cao và dễ quản lý:

 Các mô hình luồng là lý tưởng cho việc xử lý an toàn bởi vì nó cung cấp một kết nối end-to-end, mô hình dịch vụ có định hướng kết nối mà không bị ràng buộc bởi chếđộ định tuyến truyền thống.

 Controller logic tập trung cho phép thực hiện có hiệu quả và giám sát mối

đe dọa trên toàn bộ mạng

 Quản lý chính sách có thể dựa trên ứng dụng, dịch vụ, tổ chức và các tiêu chí địa lý chứ không phải là cấu hình vật lý

 Các chính sách an ninh tài nguyên dựa trên nguyên tắc quản lý hợp nhất đa dạng các thiết bị với các mối đe dọa có nguy cơ khác nhau, từ tường lửa bảo mật cao và bảo mật các thiết bị để truy cập vào thiết bị

 Linh động và điều chỉnh linh hoạt các chính sách bảo mật được cung cấp dưới chương trình kiểm soát

 Tấn công được ngăn chặn nhanh chóng và cô lập của sự xâm nhập mà không ảnh hưởng đến người sử dụng mạng khác

Bằng cách kết hợp dữ liệu trạng thái mạng và hiệu suất cao và thời gian thực, SDN tạo điều kiện cho việc ra quyết định thông minh, khả năng linh hoạt, vận hành dễ dàng và cải thiện an ninh cho cơ sở hạ tầng chung

Với sự ra đời của SDN, một phương pháp mới là cần thiết cho việc đảm bảo bảo mật Trong các mạng IP truyền thống bảo mật Control Plane dưới hình thức các biện pháp bảo mật giao thức định tuyến có liên quan đến sử dụng MD5 cho EIGRP, IS-IS, hoặc OSPFv2, IPsec trong trường hợp của OSPFv3, hoặc GTSM / ACLs / mật khẩu cho MP-BGP Một số người thực hiện thậm chí không làm theo những kỹ thuật đơn giản cho các mạng IP truyền thống Để đảm bảo một hệ thống dựa trên SDN an toàn ta cần quan tâm bảo mật cho cả 3 lớp của một kiến trúc SDN

b Bảo mật Data Plane.

Để đảm bảo an toàn cho lớp Data Plane ta cần quan tâm đến 8 nguyên tắc:

Xác định rõ các vùng ranh giới an toàn và tin cậy

Các nguyên tắc bảo mật đầu tiên đòi hỏi một cách rõ ràng chính xác của sự tin tưởngranh giới giữa các yếu tố và một sự tương thích của các cơ chế bảo mật Tất cả các yếu tố chạy các giao thức xác thực cần hỗ trợ lẫn nhau Các thuật toán bảo vệ toàn vẹn (ví dụ như SHA-3)nên được gắn vào bất kỳ tin nhắn trao đổi giao thức để xác minh tính hợp pháp của nó Các biện pháp xác thực thích hợp và bắt buộc giải quyết một phần lớn sự giả mạo và Spoofing Các khảnăng của kẻ tấn công để truyền các thông tin sang mạng, switch làm xáo trộn, hoặc dữ liệu điều khiển và cấu hình lại các thiết bị được giới hạn ởmột mức độ lớn Việc sử dụng xác thực lẫn nhau ngăn chặn fingerprinting và xác định các máy chủ điều khiển

Đảm bảo danh tính mạnh mẽ

Nguyên tắc thứ hai khắc phục vấn đề của sự chối bỏ và truy xuất nguồn gốc thích hợp Theo nhóm nghiên cứu bảo mật, bất kỳ yếu tố SDN phải có một ID xác định duy nhất chủsở hữu thiết bị hiện hành hoặc người biểu diễn của các hoạt động

và do đó làm đơn giản hóa việc theo dõi các thiết bị độc hại Tuy nhiên, nó không

có vẻ rằng các nhà nghiên cứu yêu cầu IDduy nhất cho controller hoặc các ứng dụng và không giải quyết truy xuất nguồn gốc trongtrường hợp đó một thiết bị là độc hại, nhưng điều hành bởi một chủ sở hữu hợp pháp bị cáo buộc Sự chối bỏ do

đó không hoàn toàn giảm bớt Đề nghị khác để đảm bảo sự tin cậy bảo vệđường dữ liệu ID của kết nối phụ đang được bắt chước Để ngăn chặn việc tiêm các gói tin UDP có hại, các ID của các kết nối phụ trợ cần được đệm thêm cho 96 bit và ngẫu nhiên

Xây dựng bảo mật dựa trên tiêu chuẩn mở

Nếu nguyên tắc thứ ba được áp dụng, các biện pháp an ninh không an toàn hay chưa phát triển sẽ không được sử dụng, đảm bảo an ninh cơ sở tốt hơn và sử dụng các thuật toánmạnh mẽ và thử nghiệm trong môi trường mạng Các vấn đề về

cơ chế yêu cầu xác thực hoặc các lỗ hổng fall-back là cần nỗ lực giải quyết nhất Nhóm nghiên cứu cũng đòi hỏi phải có một định nghĩa rõ ràng và thủ tục thực hiện nghiêm túc để xử lý các gói tin bị lỗi cho tất cả các thực thể sử dụng giao thức

OpenFlow , bao gồm cả control plane Như gói tin bị thay đổi biểu thịmột mối đe dọa đáng kể cho các controller hoặc switch trong SDN Việc thực hiện một cách rõ ràng hướng phát triển trong giao thức OpenFlow có thể giảm thiểu vector tấn công

từ chối dịch vụ

Bảo vệ an toàn thông tin Traid

Nguyên tắc thứ tư thu hút sự chú ý đến " bộ ba an ninh thông tin

“Confidentiality, Integrity,and Availability” cho thấy một quá trình đánh giá liên

tục và xác định sự lựa chọn thiết kế tiêu chuẩn Ngoài ra, các giao thức có thể kết hợp với các giải pháp hoặc cơ chế bảo mật mới nhất Có thể là các thông báo tự động của các controller khác ngay sau khi một controller đã yêu cầu một thay đổi vai trò tổng thể, sử dụng các key duy nhất hoặc giấy chứng nhận cho bất kỳ kết nối đang hoạt động Trong khi các yêu cầu này không giảm thiểu một cách rõ ràng một mối đe dọa STRIDE, người ta đề xuất một quy trình rà soát cho toàn bộ đặc điểm

kỹ thuật có thể làm giảm nguy cơ của DoS, Spoofing hoặc giả mạo

Bảo vệ dữ liệu các hoạt động liên quan

Khía cạnh thứ năm liên quan đến vấn đề tiếp xúc các dữ liệu quan trọng trong các thiết bị SDN và tấn công leo thang đặc quyền (Elevation of Privilege) Tất cả các chính sách, khóa, chứng chỉ bảo mật hoặc cách thức bảo mật tương tự

có liên quan đến thông tin cần được bảo vệ kiểm tra tính toàn vẹn và các cơ chế mã hóa tùy chọn để ngăn chặn hoặc ít nhất làm chậm việc tiết lộ thông tin (một biện pháp tương tự để mã hóa và bảo vệ dữ liệu mật khẩu) Nếu tài sản OpenFlow có liên quan được kiểm tra tính toàn vẹn hoặc mã hóa, các lớp bảo vệ có thể ngăn chặn việc khai thác dễ dàng thông tin mạng và leo thang đặc quyền trên các máy chủ dễ bị tổn thương

Làm cho hệ thống mặc định an toàn

Thiết kế an toàn theo nguyên tắc thiết kế nổi tiếng Saltzer - Schroeder và áp dụng cho mạng SDN ONF yêu cầu bắt buộc triển khai mặc định dựa trên an toàn, bất kể là cấu hình hay thiết kế mạng Các yêu cầu không rõ ràng, ví dụ như thuật

toán mã hóa, kiểm soát truy cập cấu hình, hỗ trợ cho các cơ chế bảo mật bắt buộc như các tính năng tiêu chuẩn được đề nghị Việcthiếu hụt thông tin về việc sử dụng TLS và việc xử lý kết nối gián đoạn được trích dẫn như là một điểm của sự chỉ trích đối với các đặc điểm kỹ thuật OF-Switch và yêu cầu làm rõ Có thể cho rằng một cấu hình TLS theo mặc định được hàm ý trong sự an toàn của mạng lưới mặc định Tương tự như sự cần thiết phải xác định rõ ranh giới tin cậy, an toàn một cách mặc định giải quyết một phần đáng kể của hai mối đe dọa STRIDE đầu tiên, Spoofing và giả mạo.

Bảo vệ trách nhiệm và truy xuất nguồn gốc

Cung cấp trách nhiệm và truy xuất nguồn gốc của interactors và quá trình của hệ thống, một đặc điểm được liên kết chặt chẽ để điều tra trách nhiệm và phân tích pháp chứng Bất kỳthiết bị SDN nào đều phải duy trì các bản ghi và ngay lập tức thông báo cho tất cả các thiết bịkết nối hoặc các SIEM khi xảy ra các sự kiện Thuật toán mã hóa đảm bảo tính bảo mật và tính toàn vẹn và bảo vệ các tập tin bản ghi khỏi các cuộc tấn công và các yếu tố gây hại Nếu một kẻtấn công cố gắng để đánh lừa các ID của một kết nối chính hoặc phụ, hệ thống sẽ được thong báo Tương tự như vậy, tất cả các controller kết nối với một switch phải nhận thức được

sự thay đổi vai trò và thay đổi bên ngoài trong bảng flow, trừ khi chúng bị hủy đăng ký nhận thong báo Chức năng ghi chép và theo dõi kéo dài này nhằm ngăn chặn các khả năng để từ chối hay che giấu hành động của thiết bị và cung cấp các công cụ pháp lý để chuẩn bị cho các cuộc tấn công trong tương lai

Các tính chất quản lí an ninh tập trung

Cuối cùng, một kiểm soát an ninh có thể quản lý được khuyến khích tập trung về tự động phân phối chính, tự do lựa chọn cơ chế bảo mật và khả năng tùy chỉnh của hệ thống an ninh Các ủy ban ONF chỉ trích sự thiếu chính sách điều khiển giải quyết xung đột phù hợp và không đủ mô tả về phân phối và quản lý chủ chốt Kể từ khi cơ chế pre-shared key không được đề cập trong các giao thức, các nhóm nghiên cứu giả định rằng chỉ có giấy chứng nhận là có sẵn như là một cơ chế

xác thực và chỉ trích sự thiếu linh hoạt Các khía cạnh chính nó không nhắm mục tiêu một mối đe dọa STRIDE cụ thể, nhưng việc sửa đổi các giao thức có thể dễ dàng bảo mật cấu hình và triển khai trong các mạng lớn

Bên cạnh đó những phiên HTTP tồn tại lâu dài dễ bị nhiễm một loạt các cuộc tấn công có thể gây nguy hiểm cho tính toàn vẹn của data plane Các tổ chức nên sử dụng TLS để xác thực và mã hóa lưu lượng giữa các thiết bị mạng và controller Sử dụng TLS giúp xác thực thiết bịmạng SDN, tránh bị nghe trộm thông tin và khả năng giả mạo

Tùy thuộc vào các giao thức Southbound đang được sử dụng, có thể có tùy chọn để bảo đảm thông tin liên lạc này Một số giao thức có thể được sử dụng trong phiên TLS như đã đềcập trước đó Các giao thức khác có thể sử dụng mật khẩu để ngăn chặn các cuộc tấn công replay Giao thức như SNMPv3 cung cấp bảo mật hơn SNMPv2c và SSH là tốt hơn nhiều so với Telnet Giao thức Southbound của các hãng có thể có phương pháp riêng để xác thực các thiết bị mạng, controller và mã hóa dữ liệu với nhau, do đó cản trở việc nghe trộm của kẻ tấn công và giả mạo

Tương tự như vậy, tùy thuộc vào Trung tâm dữ liệu liên kết (DCI), giao thức được sử dụng, có thể có tùy chọn cấu hình để xác thực điểm cuối tunnel và bảo mật lưu lượng trong tunnel Một lần nữa, mật khẩu preshared-key có thể là một lựa chọn Tuy nhiên, một số giao thức DCI có thểkhông có bất kỳ tùy chọn để bảo mật

Các tổ chức có thể tin rằng một mạng riêng có khả năng bảo mật nhất định Khi các tổchức mở rộng mạng SDN ảo của họ với các dịch vụ điện toán đám mây

và các trung tâm dữ liệu từ xa, việc kiểm tra các đường dẫn vật lý có thể không dễ dàng như vậy Ngăn chặn truy cập trái phép là dễ dàng hơn khi một tổ chức kiểm soát việc truy cập vật lý, nhưng đối với mạng ảo, các đường dẫn vật lý thực tế sẽ gặp một chút khó khăn Ngoài ra ta có thể sử dụng các điều khiển truy cập: như tường lửa hay một ACL filtering

Trong Data Plane của SDN mô hình mạng là ảo nên luồng dữ liệu không bắt buộc phảiqua thiết bị bảo mật vật lí mà có thể quản lí thông qua các rule của luồng điều khiển Các host cần phải được cô lập khi phát hiện ra mốt nguy hiểm.

Hình 2.3 Sử dụng tường lửa để tăng cường an toàn cho các host trong SDN

c Bảo mật Control Plane.

Controller là một mục tiêu tấn công chính và do đó nó cần phải được bảo vệ

an toàn Các tổ chức sẽ muốn theo dõi chặt chẽ các controller của họ đối với các hoạt động đáng ngờ, ngăn chặn truy cập trái phép vào mạng điều khiển SDN Hệ thống SDN cần cho phép cấu hình truy cập quản trị và điều khiển một cách bảo mật và xác thực Role-Based Access Control (RBAC) thậm chí có thể được yêu cầu đối với người quản trị Đăng nhập và kiểm tra có thể hữu ích cho việc kiểm tra cho những thay đổi trái phép bởi người quản trị hoặc kẻ tấn công Nếu có một cuộc tấn công DoS vào controller, controller cần có khả năng sẵn sàng cao (high availability) SDN sử dụng controller dự phòng khi một controller chính đang chịu những tổn hại và tiếp tục hoạt động Điều này sẽ yêu cầu kẻ tấn công phải cố gắng nhiều hơn để DoS tất cảcác controller trong hệ thống Bên cạnh đó, cuộc tấn công

đó sẽ không phải lén lút và mục tiêu tiếp theo của kẻ tấn công không bị phát hiện

Control Plane an toàn và tin cậy

Để chỉ ra sự thiếu hụt các yếu tố bảo mật trong SDN, Kreutz et al., 2013 đã xác định bảy mối đe dọa phổ biến ở SDN Các nhóm nghiên cứu giả định rằng các tiêu chuẩn mới thay đổi bản chất của yêu cầu an ninh mạng Họ chỉ tập trung vào

khả năng lập trình như "honeypots hấp dẫn đối với kẻ tấn công và là vấn đề nan giải đối với các nhà khai thác mạng ít đềphòng" Nhìn chung, bảy vectơ tấn công tiềm năng được tìm thấy Ba trong số đó là hoàn toàn mới trong SDN, trong khi tác động của bốn vấn đề còn lại trở nên nguy hiểm hơn Mỗi mối đe dọa nhắm vào một thành phần kiến trúc khác nhau và mở rộng bề mặt tấn công trên tổng thểmạng Trái ngược với STRIDE, các vectơ không cho thấy mục tiêu của một kẻ tấn công nhưng làm nổi bật điểm yếu tiềm năng Tuy nhiên, nó có thể kết hợp các vectơ mối đe dọa tương ứng như Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service hoặc Elevation of Privilege.

Để giảm bớt những thiếu hụt các nhà nghiên cứu điều tra chín giải pháp tiềm năng và đềxuất tầm nhìn cá nhân của một phần mềm mạng được xác định an toàn và đáng tin cậy Mặc dù khái niệm được thiết kế để thực hiện mà không cần thêm độ an toàn, middleboxes hoặc dành cho máy chủ được coi là có lợi Middleboxes có thể hợp tác với các controller để giảm tải tổng thể trên các thiết bị

và tăng cường an ninh trong mạng Đồ án này sẽ kiểm tra các phương pháp tiếp cận của các nỗ lực nghiên cứu và cố gắng để kết hợp thực tế, hiện thực tồn tại để thực hiện các yêu cầu Để thích ứng với những thay đổi nhanh chóng của các đặc điểm kỹ thuật, đánh giá được đưa đầy đủ nhằm xem xét và tạo thành các giao thức OpenFlow cơ sở mới khi đánh giá sựcần thiết của các giải pháp bảo mật hay cách giải quyết Để đánh giá sự an toàn hiện tại của SDN, tính khả thi và sự sẵn có của các cơ chế riêng biệt được tóm tắt