最近关于美国国家安全局在IT基础架构植入后门事件的报道很多，其中软件定义网络（SDN）肯定也会成为间谍窃听的目标。

事实上，在这些技术成为主流之前，整个行业都必须解决一些SDN安全问题，同时要让网络工程师保证SDN基本软件堆的完整性。

就职于一家全球网络公司的网络工程师Nick Buraglio说：“NSA事件让我重新思考了一下这个问题。当转发控制面板与各个设备完全无关，而且控制面板只有一两台Linux设备时，这意味着什么？如果有人攻击了这台设备呢？他们可以随意改变您的流量流。”

ONF已经发现了两个基本的SDN安全问题

SDN社区已经知道这个问题。负责管理OpenFlow协议的开放网络联盟（ONF）在去年10月发表了一篇论文，文中指出了两个潜在的SDN安全问题，也是行业必须封堵的两个攻击途径：

• 集中控制是一个“潜在的单点攻击和故障源”。
• 控制器与数据转发设备之间的南向接口（如OpenFlow）很容易“受到攻击而降低网络的可用性、性能和完整性。”

Matthew Palmer是SDNCentral.com的共同创始人和SDN供应商及云服务提供商咨询公司Wiretap Ventures的合伙人，他说：“我们从客户听到的最主要的反馈是：‘我们把安全性视为SDN的首要问题。’”

SDN控制器将成为攻击目标

SDN控制器是黑客一个主要攻击目标，因为它既是一个集中的网络干扰点，也是一个潜在的单点故障源。

Voodoo Security安全咨询师和IANS领导成员Dave Shackleford说：“如果不注意控制器，那么它会成为攻击者的最重要目标，他们可能会轻松攻破它，修改代码库，改变流量控制，从而在一些位置过滤或藏匿数据，任由攻击者操控数据。”

“只需要修改控制器，攻击者就会有许多机会修改网络流量行为的整个运行基础。我们遇到的问题是前所未有的。即使传统网络管理工具也无法这样灵活地动态修改各个节点的网络行为。”

SDN控制器的可编程性是一把双刃剑。工程师可以在控制器的北向接口上安装安全应用程序，从而得到一种在网络中应用安全策略的新方法。这些应用程序可以指示控制器交换机和路由器，然后将它们作为策略执行点。

然而，这种可编程北向接口也是一个潜在的漏洞。这些应用程序可以通过控制器对网络进行重新编程。黑客可以欺骗工程师安装一些受攻击的应用程序。由于对控制器上运行的良性应用程序有足够的了解，所以黑客只需要给网络发送一些精心设置的数据包，就可以控制网络去做一些完全让人出乎意料的事情。

非盈利性研究与创新中心SRI International的项目主管Phil Porras说：“OpenFlow应用程序之间可以相互影响。它们可以插入一些组合规则，产生让人意想不到和不想看到的交叉效应。”

SDN控制器通常还不无法让安全应用程序获得高于其他应用程序的通信优先级。如果控制器不知道如何处理与安全策略冲突的应用请求，那么即使是一个无恶意的应用程序也可能破坏安全策略。

Porras说：“假设OpenFlow安全应用程序认为有一个内部主机的运行方式像是感染了病毒。那么这个安全应用程序就会隔离这个主机，去除它与网络的通信能力。同时，有一个负载均衡应用程序可能会监视这个主机，然后让网络中负载最小的主机接管它的负载。这样负载均衡应用程序就会决定让流量开始转到被隔离的主机上。”

请继续阅读SDN安全：SDN软件堆栈是否安全？（二）