MNOS：拟态网络操作系统设计与实现

王禛鹏 扈红超 程国振

(国家数字交换系统工程技术研究中心 郑州 450003) (whuwzp@whu.edu.cn)

2017-06-11；

2017-08-01

国家自然科学基金项目(61309020,61602509)；国家自然科学基金创新群体项目(61521003)；国家重点研发计划项目(2016YFB0800100,2016YFB0800101)；河南省科技攻关项目(172102210615,172102210441) This work was supported by the National Natural Science Foundation of China (61309020, 61602509), the Foundation for Innovative Research Groups of the National Natural Science Foundation of China (61521003), the National Key Research and Development Program of China (2016YFB0800100, 2016YFB0800101), and the Key Technologies Research and Development Program of Henan Province of China (172102210615, 172102210441).

扈红超(13633833568@139.com)

MNOS：拟态网络操作系统设计与实现

王禛鹏 扈红超 程国振

(国家数字交换系统工程技术研究中心 郑州 450003) (whuwzp@whu.edu.cn)

控制层的漏洞利用攻击，如恶意APP、流表篡改等是软件定义网络(software defined networking, SDN)面临的主要威胁之一，而传统基于漏洞修复技术的防御策略无法应对未知漏洞或后门.提出一种基于拟态防御思想的网络操作系统安全架构——拟态网络操作系统(mimic network operating system, MNOS)——保障SDN控制层安全.该架构采用异构冗余的网络操作系统(network operating system, NOS)，并在传统的SDN数据层和控制层间增设了拟态层，实现动态调度功能.首先拟态层动态选取若干NOS作为激活态并行提供服务，然后根据各NOS的处理结果决定最终的有效响应返回底层交换机.实验评估表明：在增加有限的时延开销下，MNOS可以有效降低SDN控制层被成功攻击的概率，并具备良好的容错容侵能力；在此基础上，提出的选调策略和判决机制，可以有效提升系统的异构度和判决的准确性，进一步提升安全性能.

软件定义网络；主动防御；拟态安全防御；动态异构冗余；网络操作系统

软件定义网络(software defined networking, SDN)将传统数据平面和控制平面解耦，在逻辑上实现了网络的集中控制，使得网络配置、网络服务部署等都在网络操作系统(network operating system, NOS, 也称SDN控制器)之上实现，有利于简化网络管理.然而，SDN应用实……