SDN网络拓扑污染攻击防御机制研究

郑 正 徐明伟 李 琦 张 云

1(清华大学深圳研究生院 广东深圳 518055)

2(清华大学计算机科学与技术系 北京 100084)

(13222026288@163.com)

软件定义网络(software-defined networking, SDN)起源于2006年斯坦福大学的Clean Slate研究课题，2009年SDN的概念正式被提出.此后SDN相关技术的研究迅速开展起来，成为近年来的研究热点.与传统网络不同，SDN是逻辑上集中的网络，将网络中的控制平面和数据转发平面分离，从而让网络管理者能够更加灵活地管理网络、解决网络突发情况.目前越来越多的公司部署了SDN相关技术，例如谷歌公司采用SDN技术优化其数据中心互连.然而，SDN系统设计之初没有考虑到的安全漏洞逐渐暴露出来，例如SDN拓扑污染攻击[1].随着SDN应用越来越广泛，SDN安全性问题也凸显出来.

SDN拓扑污染漏洞是控制器底层的拓扑服务中存在的安全漏洞，直接影响SDN的可用性.拓扑服务通过搜集下层网络信息，给上层应用和计算路由等主要网络服务提供全网的拓扑信息.因此，解决拓扑服务的安全漏洞对于研究和应用SDN至关重要.Hong等人[1]首次研究防御SDN拓扑污染攻击的方案.但是，该方案中提出的方法并不能有效地防御拓扑攻击.此外，该方案不仅破坏了SDN的控制和数据相分离的原则，而且引入了非常大的存储开销.

本文提出新的防御方案——SecTopo，通过监控交换机和控制器之间传输的拓扑信息——主机接入和位置改变、流表项的增删、发送和接收的LLDP消息等来收集主机信息和交换机流表项变化信息等相关信息，然后对拓扑变化的消息进行……