未来网络虚拟片层的安全__安全视角看虚拟网络和SDN等

专题会议主题：专题会议分类：专题会议主题：专题会议分类：潘柱廷、叶润国启明星辰公司未来网络虚拟片层的安全安全视角看虚拟网络和SDN等云安全摘要虚拟化是云计算等新兴计算技术实现的关键之一，包括服务器虚拟化、存储虚拟化、虚拟客户端、应用虚拟化、网络虚拟化等等。其中服务器、存储、客户端的虚拟化都可以被理解为空间节点的虚拟化，而常被提到的虚拟交换机技术还只是局部网络空间的虚拟化。而在软件定义网络SDN等技术所代表的发展趋势看，真正覆盖较大范围的虚拟化网络必将出现。本演讲试图探讨网络空间的根本性变化所带来网络安全理论、方法和技术的变化。几个不得不搞清楚的概念安全的本质安全服务网络的本质传统网络（非虚拟网络）的本质体现虚拟网络的本质体现4网络的本质传统网络(非虚拟网络)虚拟网络片层(虚拟点和连接)安全、网络、虚拟安全本质安全服务5网络的本质传统网络(非虚拟网络)虚拟网络片层(虚拟点和连接)安全、网络、虚拟安全本质安全服务6首先我们先简单回顾一下那些不变的安全本质。安全的方方面面强认证入侵检测组织体系多功能网关UTM工作流管理平台等级保护规划/计划项目管理应急响应三观论宏观/中观/微观合作/外包分布式拒绝服务攻击办公安全骨干网服务器安全设备故障网络渗透电磁泄漏终端安全文档安全垃圾信息漏洞/脆弱性黑客分布式拒绝服务攻击办公安全骨干网服务器安全设备故障网络渗透电磁泄漏终端安全文档安全垃圾信息漏洞/脆弱性黑客梳理手上的牌强认证入侵检测组织体系多功能网关UTM工作流管理平台等级保护规划/计划项目管理应急响应三观论宏观/中观/微观合作/外包资产威胁措施使命脆弱性安全需求安全措施资产价值资产威胁风险残余风险事件依赖拥有被满足抗击利用暴露降低增加增加增加导出演变成未被满足未控制可能诱发残留成本最精简的风险管理３要素三要素风险模型：R3-AST资产和业务Asset保障措施Safeguard威胁Threat不变的三类信息安全核心技术安全的原则和思路…风险三要素需求驱动力矩阵PPT结构三大类安全技术PDR及PDCERF通用检测模型分层和分域，三观论Zachman(nW1H,虚实层)流和时空安全域+业务流…基于时间和基于缓冲的安全结构和解构安全度量和安全可视化生命周期三大过程敏捷和瀑布模式君臣佐使的配伍思想可信与可控云模式、虚拟化大数据分析解决APT宏观态势感知…网络的本质传统网络(非虚拟网络)虚拟网络片层(虚拟点和连接)安全、网络、虚拟安全本质安全服务12形形色色的网络交通运输网，邮政网，电话通信网，计算机网，互联网，万维网社会关系网，产品供销网，金融借贷网智能电网，无线网，传感网，物联网神经网，生物代谢网，食物链（网）攻守同盟网，恐怖主义网络人人网，新浪微博网，QQ，团购网…13当我们想到“网络”这个词语...事物、情况事物情况14节点：vertex,point边：连接,链接,关系,联系；edge,link联系网络中的路径15以点的关系为主，不关注路径社交网络路径不固定，会按需临时建立无线网络、物联网、无线传感网、DTN等路径连接着点，数据在路径上流动互联网、局域网更抽象更具体网络的本质传统网络(非虚拟网络)虚拟网络片层(虚拟点和连接)安全、网络、虚拟安全本质安全服务16网络的本质传统网络(非虚拟网络)虚拟网络片层(虚拟点和连接)安全、网络、虚拟安全本质安全服务17业务流业务流@网络结构网络的本质传统网络(非虚拟网络)虚拟网络片层(虚拟点和连接)安全、网络、虚拟安全本质安全服务20虚拟化常被提到的虚拟化服务器虚拟化存储虚拟化桌面虚拟化应用虚拟化网络虚拟化21虚拟服务器虚拟存储虚拟桌面虚拟应用虚拟网络设备应用片层系统片层网络片层网络虚拟化的不同范围不同的网络协议层单网络节点虚拟化•虚拟交换机多网络节点虚拟化•分布式虚拟交换机网络区域虚拟化•在局域实现SDN/Openflow大范围网络虚拟化•？22网络虚拟化的不同范围不同的网络协议层单网络节点虚拟化•虚拟交换机多网络节点虚拟化•分布式虚拟交换机网络区域虚拟化•在局域实现SDN/Openflow大范围网络虚拟化•？23网络虚拟化-虚拟交换机软件模块、VM数据交换；局限在物理服务器中与物理L2交换机兼容，可以构建VLAN代表：VmwarevSwitch、LinuxBridge存在的问题流量不可见问题网络隔离问题管理复杂问题策略一致性问题网络性能问题应用程序操作系统应用程序操作系统应用程序操作系统VMM虚拟化服务器VM3VM1VM2物理交换机虚拟交换机VM间流量不可见问题解决方案软件SPAN、RSPAN和netflow功能硬件交换机导流方案：VEPA和VN-TAG虚拟交换机环境下的安全产品部署部署串行网关部署旁路检测26操作系统应用程序操作系统应用程序操作系统应用程序操作系统应用程序HypervisorvSwitch1vSwitch2vSwitch3TenantATenantB混杂端口混杂端口PublicNetwork网络虚拟化的不同范围不同的网络协议层单网络节点虚拟化•虚拟交换机多网络节点虚拟化•分布式虚拟交换机网络区域虚拟化•在局域实现SDN/Openflow大范围网络虚拟化•？27网络虚拟化-分布式虚拟交换机可扩展到多个物理服务器，集中管理平面，简化网络管理典型代表：VmwarevDS、Cisco1KV和Openvswitch存在的问题大二层扁平网络：广播风暴，VLAN局限性虚拟和物理网络隔离问题MAC表爆炸跨子网迁移问题操作系统应用程序操作系统应用程序操作系统应用程序操作系统应用程序操作系统应用程序操作系统应用程序操作系统应用程序操作系统应用程序操作系统应用程序分布式虚拟交换机虚拟交换机虚拟交换机虚拟交换机分布式虚拟交换机管理中心管理平面数据平面分布式交换机环境下的安全部署29vDS1vDS2APPOSAPPOSAPPOSTenantA(VLAN101)publicnetworkESX1ESX2APPOSTenantB(VLAN102)旁路IDS串行网关旁路IDSSPAN/RSPANSPAN/RSPAN网络虚拟化的不同范围不同的网络协议层单网络节点虚拟化•虚拟交换机多网络节点虚拟化•分布式虚拟交换机网络区域虚拟化•在局域实现SDN/Openflow大范围网络虚拟化•？30网络虚拟化正在拖云计算后腿任意物理位置计算资源池存储资源池计算和存储虚拟化物理网络虚拟机和客户业务仍然被物理服务器和物理网络拓扑束缚网络设备虚拟化任意应用/数据解耦合•虚拟机无法跨网移动，无法高度共享•VLAN只能提供有限的租户隔离能力•缺乏可编程的灵活网络控制能力网络局部虚拟化导致的问题硬件依赖问题（配置虚拟网络需要配置硬件，私有API）网络隔离问题（MAC表爆炸/虚拟IP不重叠/VM跨网迁移）服务升级问题（硬件服务依赖，升级周期长，成本高）可扩展性问题（虚拟域和应用隔离需求，VLAN数量有限）安服集成困难（实施点苛刻，串行网关，动态虚拟边界）云计算需要全网络域的虚拟化任意物理位置计算资源池存储资源池计算虚拟化/存储虚拟化/网络虚拟化物理网络设备资源池虚拟网络片层（NetworkHypervisor）任意应用/数据解耦合解耦合•两层独立发展•软件定义网络•VM跨网迁移•底层硬件维护•高共享资源池虚拟网络片层-适合云的网络虚拟化上层虚拟网络和底层网络硬件分离，硬件维护简单，网络资源共享虚拟网络具有物理L2网络全部功能，无缝迁移虚拟网络和物理网络地址空间隔离虚拟网络具有完整生命周期：创建、调整、删除SDN/Openflow：虚拟网络片层实现核心技术SpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareOperatingSystemOperatingSystemOperatingSystemOperatingSystemOperatingSystemAppAppAppAppAppApp应用层NetworkOperatingSystem控制层数据层SDN解耦了数据、控制及应用平面，创造了一个可编程的网络。SDN/Openflow：虚拟网络片层实现核心技术36ControllerOpenFlowSwitchPC虚拟网络片层：传统SDN/openflow网络OpenFlowSwitchOpenFlowSwitchOpenFlowProtocolControllerOpenFlowvSwitchPC虚拟网络片层：演进的虚拟覆盖网络OpenFlowvSwitchOpenFlowProtocolHost1VM2VM4Host2VM1VM3标准物理交换机L2OverL3TunnelVXLANNVGRE虚拟网络孤岛1虚拟网络孤岛2nicira的NVPN1KV-VXLAN虚拟片层带来的独特安全问题和机会独特安全问题集中控制节点问题，网络大脑，确保controller安全，提升controller可用性App安全问题，恶意App，app可信，白名单通信安全问题，伪造controller，数据交换安全规则冲突问题，安全APP和其它App之间规则冲突，安全策略失效，需要可靠的安全策略实施框架安全机会数据平面和控制平面分离模式，集中控制平面易实现PDP+PEP模式的动态安全策略39虚拟片层环境下的安全服务部署安全服务实现模式与传统网络有些不同两种安全服务部署模式Proactive（静态openflow规则）Reactive（动态openflow规则）40Reactive模式安全服务41SwitchHostBHostASwitchSwitchSwitchOpenflowSecurityApps•全局网络视野•一致安全策略•在线安全决策•策略分散执行•流过滤防火墙•蠕虫扫描检测•恶意流量牵引•网络探测欺骗流过滤防火墙实例VM1(1.1.1.1)VM21.1.1.2VM31.1.1.3WebServerAppServerDBServerHTTP,80HTTP,8080TDS,443业务拓扑1.AllowanytoaccessWebServeratPort80withHTTP2.AllowWebServertoaccessAppServerat8080withHTTP3.AllowAppServertoaccessDBServerat443withTDS4.Denyall业务安全策略ControlleropenflowGlobalNetworkViewFireWallAppFlowTableFlowTable网络虚拟化的不同范围不同的网络协议层单网络节点虚拟化•虚拟交换机多网络节点虚拟化•分布式虚拟交换机网络区域虚拟化•在局域实现SDN/Openflow大范围网络虚拟化•？43云计算发展当前阶段的安全策略资产威胁措施谢谢网络的本质传统网络虚拟网络片层安全本质安全服务