基于OpenFlow的移動目標防御研究與應用.pdf

1、隨著大數(shù)據(jù)、云計算技術的不斷發(fā)展，傳統(tǒng)網(wǎng)絡架構(gòu)已經(jīng)越來越難以滿足當前的網(wǎng)絡應用和服務的需求了，因而產(chǎn)生了軟件定義網(wǎng)絡這一新型網(wǎng)絡架構(gòu)，該架構(gòu)的主要特征是轉(zhuǎn)發(fā)與控制分離、集中控制、網(wǎng)絡可編程。傳統(tǒng)網(wǎng)絡中應對安全威脅時采取的靜態(tài)配置部署防御措施，這種一定程度上固定不變的、被動的方式很容易被攻擊者搜集到其所需要的信息，并通過滲透節(jié)點對其他主機進行擴散。而在軟件定義網(wǎng)絡(Software Defined Network,SDN)環(huán)境中則可以利用

2、集中控制的優(yōu)勢，引入移動目標防御思想，并在結(jié)合掌握全局網(wǎng)絡信息的情況下來構(gòu)建一個動態(tài)的，不可預測的網(wǎng)絡環(huán)境，這種基于OpenFlow的移動目標防御技術通過化被動為主動的方式將會是未來網(wǎng)絡安全領域的一個重要的發(fā)展方向。
　　針對靜態(tài)網(wǎng)絡容易被偵查滲透的缺點，本文在軟件定義網(wǎng)絡中發(fā)揮新型架構(gòu)的優(yōu)勢同時在保證地址不斷變化的同時還能不影響網(wǎng)絡數(shù)據(jù)包的轉(zhuǎn)發(fā)，提出一種基于OpenFlow的移動目標防御技術。在控制器中產(chǎn)生虛擬地址，通過下發(fā)流表

3、到交換機并在數(shù)據(jù)包交付主機時用虛擬地址替代真實地址的效果，發(fā)送數(shù)據(jù)包時源主機查詢目的主機的IP地址時返回的是目的主機的虛擬地址，而當數(shù)據(jù)包到達目的主機時，數(shù)據(jù)包的源地址封裝的是源主機的虛擬地址，保證通信雙方是不能看到對方的真實地址，網(wǎng)絡主機變成移動目標，并進行路徑跳變，防御網(wǎng)絡偵查滲透。同時使用sFlow協(xié)議對軟件定義網(wǎng)絡網(wǎng)絡進行監(jiān)控，引入一個時間周期和觸發(fā)機制，當鏈路流量滿足觸發(fā)條件時下發(fā)新流表執(zhí)行改變目標地址，阻斷鏈路流量，防止?jié)B透