基于SDN架构的灾备中心数据安全威胁及应对方法

◆杨 波

（北京市地震局 北京 100080）

基于SDN架构的灾备中心数据安全威胁及应对方法

◆杨 波

（北京市地震局 北京 100080）

SDN是一种新兴的维护网络安全的技术，为系列网络安全问题提供了解决之道。基于SDN架构用于灾备中心，能大大地提高灾备中心数据的安全性，具有一定的实践应用意义。本文分析了灾备的定义、分类、恢复资源要素及安全威胁等，利用SDN架构一种全新的灾备数据网络，为灾备中心数据安全提供了极大的保障。

SDN；灾备中心数据；威胁；应对

1 灾备相关概述及其存在的安全威胁分析

1.1 灾备定义、分类及恢复资源要素

所谓的灾备，是灾难备份的简称，具体指当突发灾难，包括地震、水灾、火灾、设备瘫痪故障以及各种人为故障时，可以利用信息系统数据的远程备份，来将原有数据恢复的一种方式。

根据灾备的使用与实际情况来看，灾备多分为三大类，即数据级灾备、应用级灾备和业务级灾备。其中数据级灾备主要是针对大数据系统的各项数据进行灾难备份，通过对数据的远程备份，确保发生灾难后，能快速完整地恢复数据信息，确保原有数据不会遭受破坏。这也是灾备的基础环节，构建简单，成本投入较低。而应用级灾备在数据级灾备的基础上，新增了应用系统级灾备的内容，遇到突发灾难时，能短时间恢复数据，还能完整接管整个信息系统，保障性较数据级灾备更高[2]。

众所周知，无论是数据级灾备还是应用级灾备都属于IT范围，而对于业务而言，除了IT保障外，还需要一定的非IT系统保障，才能确保在出现灾难时，在保证数据、应用系统完好的情况下，拥有一个备份工作场所，继续开展业务。这就是所谓的业务级灾备，需要电话、扫描仪、打印机、传真等办公设备，这一灾备级别是最高级的。

从《信息安全技术信息系统灾难恢复规范》中不难发现，支持灾难恢复资源的共有7大要素，分别为数据备份系统、备用数据处理系统、备用网络系统、备用基础设施、专业技术支持能力、运行维护管理能力、灾难恢复预案等[3]。每一个要素都为灾难资源恢复做出了一定的支持与贡献，是不可或缺的组成部分。

1.2 灾备中心数据存在的安全威胁分析

随着对计算机网络的大量应用，数据量也随之急剧增长，据相关数据统计，2008年较2007年各种新增数据就高达281ExaByte，增长近75%，远远超过了可用存储介质264 ExaByte总容量约6%。而数据的飞速增加，给灾备数据中心带来的最直观问题，就是存储问题，需要不断地增加存储介质，部署灾备中心数据空间等。同时，数据量的急剧增长也给灾备中心数据系统带来极大挑战，需要对大量的硬件进行整体升级以提升系统处理能力。

灾备系统多需要异地部署，对数据传输具有较高要求，相应地也加大了对传输宽带的要求，而传统的传输宽带由于传输时间长，很可能降低系统的运行效率，无法及时完成相关数据的传输，从而导致灾备系统功能发挥效果不佳。

数据量的加大，在敏感数据的完整安全保护上也提出了新的挑战，需要同时关注数据的可用性、完整性以及机密性。而原有的一些灾备系统，在数据处理上更集中于其可用性，而忽略了对数据完整性及机密性的重视，也给灾备中心数据带来一定的安全威胁。

2 基于SDN架构的灾备中心威胁应对方法探析

随着社会各界对灾备中心数据安全的关注提高，了解到传统灾备中心存在着数据存储不足、数据传输不及时、网络安全存在隐患等重大挑战。本文在软件定义网络（SDN）基础上，架构一个虚拟融合的灾备中心网络，力求进一步提高对灾备中心数据的安全防护。

2.1 SDN概述

（1）定义

SDN源自于美国斯坦福大学的一个研究，主要利用上层开放的应用资源接口，通过进行软件编程来实现对网络架构中的问题解决。简单来说，SDN就是基于OpenFlow 技术的一种软件定义网络。

（2）支持技术

SDN的广泛应用实践，在于其具有很多其他无法比拟的关键性技术，包括：网络操作系统、转发面抽象建模、OpenFlow技术等。SDN的智能化性能实现离不开网络操作系统（NOS）的支持，主要任务是进行转发面数据流的有效管控。转发面抽象建模是SDN的核心关键技术之一，采用抽象建模的方式更便于上下层之间的交互，并统一为上层应用提供接口，支持数据的交流。而OpenFlow技术则在转发面控制协议基础上，将其抽象成多级流表转发模型，通过将OpenFlow流表由网络控制器，传到OpenFlow交换机的过程，来加强对交换机转发的控制[4]。

（3）SDN架构

根据SDN网络架构可以明显看出，其有效的将传统的网络设备解耦成了分离形式，以此实现控制与转发分离的目的。在这一架构中，主要包含应用、控制、转发3层架构。

2.2 灾备中心数据的安全防护

依据灾备中心数据实际进行SDN架构，其安全防护更多在控制和应用平面上，可以通过增强安全策略的冲突检测，确保其一致性以及网络的可用性，在控制平面上能有效地维护数据转发的稳定，或是通过在应用平面上，加大安全应用的开发部署，也能实现对灾备中心数据的安全防护。

而在SDN应用平面上进行安全应用的部署，最常见的就是防火墙的应用。尤其是Neutron在虚拟网络安全中的应用具有良好的数据安全防护效果，不仅如此其也加快了对负载均衡、VPN等功能的研发。Neutron防火墙功能的实现，主要由防火墙策略、防火墙规则以及虚拟防火墙组成。

其中最基础的就是防火墙规则，对包过滤所涉及的信息、执行动作进行定义；防火墙策略就是对防火墙规则的一个大集合[5]；虚拟防火墙需要依靠OpenStack平台来实现，同时要与防火墙策略相适应才能发挥防火墙功能。加强SDN架构下灾备数据中心防火墙技术，有利于进一步阻碍对数据的破坏，提供一层保护膜。

除了防火墙技术外，OpenFlow技术还能有效地防止DDoS的攻击，为灾备中心数据安全防护提供帮助。日本某公司在2012年就利用SDN对其灾备中心网络进行了革新，并重新进行了网络部署，还巧妙地利用OpenFlow交换机实现了对DDoS攻击的防护，具有一定的借鉴价值。

首先，需要在灾备数据总入口路由器及其他涉及到的路由器旁设置一台OpenFlow交换机，并将入侵检测设备部署在总入口处。SDN控制器会巧妙的将路由器、IPS与软件接口相连，当检测到了DDoS攻击时，IPS通过接口发送通知给SDN控制器，就会自动的更改入口路由器的相关配置，并将发送目标流量引至OpenFlow交换机，就会对这些进行相关处理[6]。即对DDoS恶意攻击报文进行分析、删除、清理，而将正常的报文的IP地址还原，再送回总入口的路由器，接收相关数据信息。

同时为了确保数据的安全，还可以利用子数据中心的OpenFlow交换机进行二次清洗，大大地提高了灾备中心数据的安全性。

通过与传统灾备中心系统的对比，可以看出基于SDN架构的网络系统，具有一定的优势，尤其在数据安全防护上。可以利用控制器和软件接口就能对路由器、流量清洗设备进行统一的管理，体现了其高效的可控性，更加严谨科学。同时，在DDoS攻击防护中，成本低，成效显著，只需利用SDN架构中的OpenFlow协议和控制器就能实现，且其对攻击的监测是全天24小时的自动化管理，通过报警设备提醒技术人员进行安全防护。

同时OpenFlow交换机在识别流量时具有一定的灵活性，通过规制的不同，在清洗完成恶意流量后，还能自动回复原有IP地址，避免形成环路，带来不便。当然，利用OpenFlow技术进行DDoS攻击防护，不会对整个灾备中心SDN架构产生较大影响，无需进行修改，具有一定的通用性和便捷性。

3 结语

综上所述，灾备对于数据、系统等的恢复重建具有积极作用，能有效地降低由于突发灾难造成的各种破坏。灾备的重要性日益突出，也逐渐受到各领域的关注与重视，尤其是如何在当前技术条件下，建立完善的灾备数据系统，以及确保其安全稳定性成为重要话题。

SDN是一种新兴并应用范围较广的技术，能将系统分离为应用、控制、转发3部分，将其应用到灾备数据中心安全防护上，其效果不容小觑。

[1]邵延峰，贾哲.软件定义网络安全技术研究[J].无线电工程，2016.

[2]白勇.数据级灾难备份技术的理论与实践[J].金融科技时代，2012.

[3]杨义先，姚文斌，陈钊.信息系统灾备技术综论[J].北京邮电大学学报，2010.

[4]王淑玲，李济汉等.SDN架构及安全性研究[J].电信科学，2013.

[5]郭春梅，张如辉，毕学尧.SDN网络技术及其安全性研究[J].信息网络安全，2012.

[6]陶冶，张尼等.SDN安全防护技术研究[J].电信技术，2014.