推荐星级：

SDN网络拓扑污染攻击防御机制研究

更新时间：2019-12-29 21:39:58 大小：3M 上传用户：xiaohei1810 查看TA发布的资源 标签：sdn网络 下载积分：1分评价赚积分（如何评价?）打赏收藏评论(0) 举报

资料介绍

软件定义网络(software-defined networking,SDN)是一种新型的网络体系结构,SDN网络将传统网络的数据层和控制层进行分离,数据层由支持OpenFlow协议的交换机实现,控制层由控制器来实现.控制器维护全网拓扑信息,集中管理网络流的路由决策.现有研究表明,在控制器的拓扑服务管理中存在严重的漏洞,主要存在于主机发现服务和链路发现服务中,攻击者利用这类漏洞可以进行网络拓扑污染攻击.目前研究者们提出的拓扑污染防御方案存在设计漏洞,很容易被攻击者绕过.故提出一种轻量级的符合SDN场景的防御方案——SecTopo——实现拓扑污染防御,通过在Floodlight控制器上测试SecTopo表明,SecTopo不仅能有效防御攻击,而且仅引入的开销极小.

部分文件列表

文件名	大小
SDN网络拓扑污染攻击防御机制研究.pdf	3M

立即下载

【关注B站账户领20积分】

部分页面预览

（完整内容请下载后查看）

计算机研究与发展DOI：10．7544／issnl000—1239．2018．20160740

Research and

Development

55(1)：207—215，2018

Journal

Computer

SDN网络拓扑污染攻击防御机制研究

云1

正1

李

张

郑

徐明伟2

琦1

广东深圳

518055)

100084)

1(清华大学深圳研究生院

2(清华大学计算机科学与技术系北京

(13222026288@163．com)

Attacks

_AgainstSDNNetwork

Poisoning

Defending

Topology

Yunl

Mingwei2，Li Qil，and Zhang

Zheng Zhen91，Xu

School at

518055)

1(Graduate

Shenzhen，Tsinghua University，Shenzhen，Guangdong

Science and

100084)

Computer

Technology，Tsinghua University，Beijing

!(Department of

new network

the conventional

Abstract Software—defined

networking(SDN)is

paradigm．Unlike

function of

the data

the control

from the data

plane．The

network，SDN

plane

separates

plane

while

the controller

the functions of the control

plane．The

enabled in switches

only

provides

learns

of the whole networks and makes the traffic

decisions．

forwarding

controller

topologies

However．recent studies show that there exist some serious vulnerabilities

topology management

link

service and

tracking

services of the current SDN controller

exists in host

poison

designs，which mainly

vulnerabilities to

these

the network

topology

service．Attackers can

exploit

discovery

information in the SDN controllers．What’S more，attackers can even make the whole network down．

and their defense

proposed

have

some attention to this serious

Fortunately，researchers

solution．However，the

paid

problem

countermeasures can be

evaded

the attackers．In this

paper，

existing

easily

an effective

called

defend

SecTopo，to against

the network

topology poisoning

propose

approach

shows that the defense solution can

attacks．Our evaluation

the

controller

minor

impact

SecTopo

Floodlight

normal

OpenFlow

secure network

with

topology

operations

effectively

controllers．

words

Key

software—defined

networking(SDN)；controller；switch；network topology poisoning；

network

security

摘要软件定义网络(software—defined

networking，SDN)是一种新型的网络体系结构，SDN网络将

传统网络的数据层和控制层进行分离，数据层由支持OpenFlow协议的交换机实现，控制层由控制器来

实现．控制器维护全网拓扑信息，集中管理网络流的路由决策．现有研究表明，在控制器的拓扑服务管理

中存在严重的漏洞，主要存在于主机发现服务和链路发现服务中，攻击者利用这类漏洞可以进行网络拓

扑污染攻击．目前研究者们提出的拓扑污染防御方案存在设计漏洞，很容易被攻击者绕过．故提出一种

轻量级的符合SDN场景的防御方案——SecTopo——实现拓扑污染防御．通过在Floodlight控制器上

测试SecTopo表明，SecTopo不仅能有效防御攻击，而且仅引入的开销极小．

6一12—30

2016—10—11；修回日期：201

收稿日期：

基金项目：国家自然科学基金项目(61572278，61625203)；国家重点研发计划项目(2016YFC0901605．2016YFB0800102)；深圳基础研究基金

53259323)

项目(JcYJ201703071

was

the National Natural Science Foundation of China(61572278· 61625203)．the National

Research

Key

This work

supported by

of China(2016YFC0901605。2016YFB0800102)．and the Research and

53259323)．

and

Development Program

Shenzhen(JCYJ201703071

Development Program

通信作者：

李琦(qi．1i@SZ．tsinghua．edu．cn)

万方数据

计算机研究与发展2018，55(1)

关键词软件定义网络；控制器；交换机；网络拓扑污染；网络安全

TI’3()9

中图法分类号

软件定义网络(software—defined

networking．

1)主机发现原理．当交换机收到南新接入网络

的主机发送的网络包时。会向控制器报告这个网络

包．控制器通过该消息获取主机的信息(主机的物理

地址、IP地址、位置信息等)，然后下发相关的流表

项．当再次收到交换机询问规则的消息时，控制器根

据该消息查询是否存储过该主机，如果查到主机，但

是位置信息不匹配，就认为主机位置发生了改变，然

SDN)起源于2006年斯坦福大学的Clean Slate研

究课题．2009年SDN的概念正式被提出．此后SDN

相关技术的研究迅速开展起来．成为近年来的研究

热点．与传统网络不同．SDN是逻辑上集巾的网络。

将网络巾的控制平面和数据转发平面分离，从而让

网络管理者能够更加灵活地管理网络、解决网络

突发情况．目前越来越多的公司部署了SDN相关技

术．例如谷歌公司采用SDN技术优化其数据巾心

互连．然而．SDN系统设计之初没有考虑到的安全

漏洞逐渐暴露m来，例如SDN拓扑污染攻击“．随

着SDN应用越来越广泛．SDN安全性问题也凸显

f{{来．

后更新控制器存储的该主机的位置信息．然而整个

过程缺少认证步骤．攻击者通过发送伪装主机的消

息．就可以伪装网络中的某台主机．

2)链路发现原理．控制器使用开放流量发现

协议(()FDP)动态检查SDN交换机之间的有效链

路，该协议通过发送链路层发现协议(I。I。DP)包来

实现．

SDN拓扑污染漏洞是控制器底层的拓扑服务

巾存在的安全漏洞．直接影Ⅱ向SDN的可用性．拓扑

服务通过搜集下层网络信息．给上层应用和计算路

南等主要网络服务提供全网的拓扑信息．冈此，解决

拓扑服务的安全漏洞对于研究和应用SDN至关重

链路发现原理的基本过程如图1所示，控制器

每隔一段时间向SDN交换机发送I。I。DP消息，

SDN交换机X转发该I。I。DP包，下一跳交换机y

收到来自交换机X的I上DP包后转发给控制器，控

制器通过该消息就可以学习到一条从交换机X到

交换机y的单向链路．

要．Hong等人1首次研究防御SDN拓扑污染攻

击的方案．但是．该方案中提出的方法并不能有效地

防御拓扑攻击．此外．该方案不仅破坏了SDN的控

制和数据相分离的原则．而且引入了非常大的存储

开销．

本文提}H新的防御方案

SecTopo．通过监

主机接

控交换机和控制器之间传输的拓扑信息

①Packet．OH

LLDP

入和位置改变、流表项的增删、发送和接收的I^DP

消息等来收集主机信息和交换机流表项变化信息等

相关信息．然后对拓扑变化的消息进行校验，从而发

现攻击行为．并发出警报．实验证明．部署SecTopo

后．控制器吞吐量仅下降了．1．6％．引入了极小的

开销．

-----————————--剖、0

②LLDPadyertisemenl

忙

Suitch'

t。d11I【()f link(Il。、L rv 卜I)＼

SDN网络链路发现过程

●

譬

。冈

SDN拓扑管理原理

SDN通过对上层应用(例如负载均衡和最短路

径路南服务等)提供可编程接口，使得应用能够根据

控制器提供的拓扑信息进行路由计算．控制器中的

拓扑管理服务负责维护拓扑信息．主要包含3个部

分功能：1)发现交换机；2)发现主机；3)发现链路．目

前已知的拓扑管理服务漏洞存在于主机发现和链路

发现这2个部分：

SDN拓扑攻击

2．1

网络用户流量劫持攻击

对于主机位置的改变．控制器无法验证消息、确

认事件是否为真．如图2所示，攻击者使用网络服务

器的物理地址、1P地址向直连SDN交换机发送数

据包．按照主机发现服务流程．由于攻击者发送的数

万方数据

郑

正等：SDN网络拓扑污染攻击防御机制研究

209

据包是新流的数据包，SDN交换机会报告给控制

器。而控制器无法验证数据包发送者是否为合法的

用户，会默认依据该消息的内容认定网络服务器的

位置已经发生了移动．在完成转发流表项下发更新

后，后续如果有其他正常主机试图访问该网络服务

器时，由于拓扑管理信息中该服务器的位置已变更

为攻击者所在的位置，所以正常用户的访问流量都

会被转发到攻击者处。导致用户无法访问该服务器．

悝．协mn

嘎．．、

Att．，，，ack埝

》

▲

Attacker

Normal

’-- ．一’Auacker

sDN

Normal＼

竺竺r7 州

ale嘲nt峨r．sDN

}

一

2．2链路伪造攻击

交换机，这样就在2台交换机之间构造出一条虚假

链路．攻击场景如图4所示，攻击者控制多台主机，

预先找好适合重放的主机，攻击者通过与交换机y

直连的重放主机控制其他被攻陷的主机．图4中，虚

线是控制器视角下2个主机之间的通信信道(该信

道是由攻击者构造)，实线表示的是实际的通信信

道．当主机A收到来自交换机X的I。LDP包时，攻

击者让主机A通过隧道等方式将LI。DP包发给重

放主机．攻击者根据攻击需求让重放主机将LLDP

包也以同样方式发送给主机B，主机B将I。I。DP包

发给与之直连的交换机Z．当交换机Z收到LLDP

包时候，按照正常的处理步骤发送给控制器，控制器

便学习到一条由攻击者伪造的不存在的链路．

控制器通过I。I。DP包探测网络中有效链路，而

链路发现服务必须要满足2个条件：1)确保I。I。DP

包没有被篡改过；2)确保I，I。DP包只在SDN交换

机间传播．但在实际中，这2点是无法保证的．很多

SDN控制器源码是开源的，任何人都可以获取

I。I。DP包格式和每个字段的语义，并且交换机每个端

口都可以发送LLDP包，包括连接着主机的端口．

1)注入伪造I。I。DP包．攻击者通过给直连的交

换机发送伪造的I．I。DP包发起攻击．如图3所示。通

过监控来自SDN交换机的流量。攻击者能够获得真

实的LI。DP包，并且很容易破解LI。DP包里每个字

段的语义．攻击者按照I。I。DP包格式，根据攻击需

求伪造相应的I。LDP包，或者直接修改真实的

HOSt

Relay

I。I。DP包，例如。将I。I。DP包中DPID、端口号进行修

改，再将其发送给直连SDN交换机A．当交换机A

收到LI。DP包后，便会给控制器发送该I。I。DP包．

于足．控制器就会学习到· 条攻击荇伪造的链路．

．一馋、j

SDNSwitchA

《爹卜—《》

SDNSwitchB

l千

LLDP

Send Fal(ed

LLDP

J，l

Compromised

Host—

Compromised

HostB

I?ig．1

I’

mII‘L-of

1。I。I)I’H、lay

Attacker

图4 I。I。DP重放攻击方法

Pro(’。dtlrc of ram-d

I?lg．3

I．1，I)I’i11j【-L

图3伪造IA，DP包注入过程

2．3漏洞分析和现有方案

存在这2类攻击的主要原因是：目前控制器缺

少对网络拓扑消息的验证，无法保证拓扑信息的

2)重放I。I。DP包．在重放攻击中，攻击者将一

台目标交换机发来的I。I。DP包重放给另一台目标

万方数据

2lO

计算机研究与发展2018，55(1)

真实性．因此对于网络链路信息，控制器无法辨别消

息的真伪，故攻击者篡改其内容并不会被发现．当控

制器收到I。I。DP包时，是默认为真实的I上DP包．

攻击者利用这样的漏洞可以在网络中伪造出虚假的

主机和链路，进而可以导致网络中信息传输的混乱、

网络崩溃甚至是网络被攻击者完全控制．

SecTopo在SDN控制器拓扑管理服务中提供网络

拓扑信息的验证功能．SecTopo的基本目标就是建

立一个有效验证网络拓扑信息的机制．SecTopo结

构如图5所示，SecTopo主要包含3个验证模块：主

机接入检查模块、链路发现处理模块和流表项处理

模块．主机接入模块和流表项处理模块用于解决主

机位置劫持攻击，而链路发现处理模块用于解决链

路伪造攻击．

文献[1]提出了TopoGuard模型来防御拓扑污

染攻击，该模型是通过验证主机迁移的前置和后置

条件来判断是否存在主机位置劫持攻击．主机迁移

的前置条件是控制器收到端口的Port—Down信号；

后置条件是迁移结束以后，控制器给该主机原来的

位置发送ICMP探测的结果是不可达的，确保在原

来的位置上不能再访问该主机．只有满足这2个条

件才能确定该主机位置移动是真实的．

1)主机接人检查模块通过监听控制器收到的

Packet—In消息，记录网络中主机，判断该主机是否

是真实的主机．这里真实主机的意思是，该主机使用

本机的1P和MAC地址发送主机流量．

2)流表项处理模块通过监听控制器下发流表

项信号和交换机上传的流表项删除消息。维护每个

交换机端口流表项的记录表，并且通过该表判断某

个端口的主机是否离开了网络．

针对篡改I．I。DP包的攻击行为，该模型提出的

防御措施是计算I。I，DP中DPID和端口号的

HMAC值，通过在I。I。DP包中放置HMAC值来验

证．针对重放。该模型使用检查发出端口的设备类型

的方式来防御．文献[1]认为攻击主机会发送只有主

机才能产生的流量，例如ARP流量．控制器根据

Packet—In消息来决定该属性的值(主机或交换机)．

但是该方案存在3个缺陷：

3)链路发现处理模块负责管理控制器下发的

LI。DP包。并且x,寸qk到的LLDP包进行检查，防止利

用I。I。DP包来伪造链路的攻击．

(A。，]

(App]

(A--]

＼

J，

／

1)SDN网络的原则就是将网络的控制层和数

据层分离．控制层不应该执行数据层包含的功能，控

制器虽然能构造I。I。DP等网络包，但是1CMP是数

据层的数据包，由控制器来构造就违背了SDN的设

计原则，会造成控制器功能和执行的混乱．

Controller

Install Flow 1tern

Managemem^Service

』Top。1。gy

Fake HOSt

Detection

Module

Link

Discovery

Detection

Module

2)在I。I。DP包中加入HMAC值验证I．I。DP

包的真实性的方案是很容易绕过的．攻击者使用2

台主机分别连接到不同的SDN交换机，一台用于监

听I。I。DP包，提取出HMAC、DPID和端口号；另一

台根据提取的信息，再向网络中注入伪造I。I。DP

包，即可绕开防御．因为每个端口每次发送的I。I。DP

包中HMAC值都是固定不变的，所以只要分析出

HMAC值，该防御方案就会失效．因此，仅是使用不

变的HMAC值是无法进行有效防御攻击的．

3)控制器存储每个端口所连接的设备类型，这

种方式所需的存储空间有些部分可能会存在浪费，

因为在很多情况下，每台交换机的每个端口上在不

同时间可能会连接多个网络设备．

Packet

Host‘s

of&

，I、ht-¨ c11itL，cl LI ro

|皋J

Sec’I、opo结构图

3．2主机接入检查模块

主机接人检查部分用于验证新加人网络的主机

身份。防止伪装主机的行为．该部分通过监听

Packet

In消息，维护接入网络主机信息表．该表中

每一条目包含：主机的MAC地址、主机接入网络的

交换机号和端口号，便于查询．

算法l描述了主机接入检查部分的处理步骤，

输入为SDN交换机询问主机的流表项消息，输出为

是否相信该主机．通常，当主机接入网络时，由于主

机直连的交换机查找不到对应的流表项，会向控制

3拓扑污染防御--SecTopo

3．1

方案概述

为了解决拓扑污染攻击，我们提出了SecTopo．

万方数据

郑正等：SDN网络拓扑污染攻击防御机制研究

器发送含有主机ARP消息的Packet—In消息．主机

接入检查部分通过监听这类的Packet—In消息来学

习主机的信息，并在主机信息表中记录下来．当主机

离开了网络，需要从列表中删除该条目，这部分是通

过流表项处理部分来完成的．

3．3流表项处理模块

流表项处理部分的主要功能是检测主机是否离

开网络，并在3．2节提出的主机列表中删除已经离

开网络的主机．当主机直连的SDN交换机上所有关

于该主机的流表项全部过期时，就认为该主机离开

了网络．如果主机只是长时间没有发送流量，控制器

只需要通过分析由SDN交换机向控制器发送的寻

路消息，将该主机的信息再次加入主机列表即可．该

部分通过监听控制器下发流表项的信号和SDN交

换机写入删除流表项的信号来维护流表项列表．该

列表记录每个端口直连主机流入网络的流的有效的

流表项条数．通过对每个端口对应的流表项动态管

理，我们可以得知连接到哪些端口的主机离开了网

络，就可以通知主机处理部分删除对应的主机条目．

算法2描述了这部分流表项处理的流程，其输

入是下发流表项和流表项删除的信号．当有流表项

下发时，根据下发的流表项中的交换机ID号、端口

号和主机MAC地址，增加该条目的流表项数目．当

收到来自交换机直连主机流量进入网络的流表项过

期消息时，就减少对应端口的流表项数目．当主机直

连的交换机上以该主机MAC地址为源地址的流表

项数目为0时，SecTopo就认为该主机离开了网络，

将主机表格中对应的主机条目删除，这样就实现了

主机处理部分删除主机列表中离开网络的主机的功

能．算法2的主要步骤是建立表格和查询表格，时间

复杂度为0(”)．

此外，当1台主机长时间没有发送流量，主机直

连的交换机上关于该主机的流表项全部过期后，该

主机又开始发送流量时，在主机列表中并不存在该

主机消息，控制器收到关于该主机的Packet—In消

息后，SecTopo需要将该主机重新加入主机列表．

算法1．主机接入检查．

输入：询问流表项的Packet—In；

输出：True或False．

①tonp一(MacAddress，switchid，portnum)；

／*从Packet—In消息中提取MAC，SWID，

PORT*|

THEN

Packet—In中消息类型为ARP

②IF

③

Packet—In包含的主机MAC地址在

hostlist中THEN

④hostlist．add(temp)；

ENDIF

⑤

RETURN

True；

⑥

⑦END

_{⑧IF Packet—In消息类型为IPv4}THEN

⑨

IF主机的MAC地址已在hostlist中

THEN

⑩

⑥

⑩

算法2．检测流表更新．

temp是hostlist中1个条目THEN

RETURN

False；／*检查到攻击行为*／

输入：下发流表项信号siginstall、删除流表项

信号sigdelete．

ENDIF

ELSE

①temp-1一(srcmac，switchid，portnum)；

／*从消息中提取源MAC，SWID，PORT*／

⑩hostlist．add(temp)；／*加入主机列表*／

ENDIF

⑩

②IF

THEN／*下发流表

siginstall一一True

RETURN

True；

项时*／

⑩

⑩END

③

ternP一1匹配flowlist中条目A

THEN

算法1主要步骤为建立表格和查询表格，时间

复杂度在0(行)．根据2．1节提到的网络流量劫持，

攻击者使用网络中某个服务器的IP地址和物理地

址，发送伪造的主机流量，例如IPv4流量，直连的交

换机收到该主机流量后会向控制器发送含有IPv4

的Packet—In消息．当该部分收到的Packet-In消息

包含的是IPv4网络包，会检查该Packet—In消息里

的主机物理地址是否存在于主机表格中，如果存在，

再检查表格中该条目的其他的信息和Packet—In消

息里对应信息是否符合，如果信息不符合，就认为是

攻击行为．

④

count—count+1；／*条目A的count

值加1*／

ELSE

⑤

⑥

flowlist．add(temp一1)；／*新建1个

条目*／

fo“卵f一1；

⑦

⑧

END IF

⑨END^IF

⑩IF

THEN／*交换机删

sigdelete一=True

除1个流表项时*／

万方数据

计算机研究与发展2018，55(1)

段、交换机ID号和端口号是否与存储的内容一致．

如果校验字段不一致，就认为存在攻击行为；如果一

致，在LLDP包中，通过LLDP包中包含的交换机

ID号和端口号，查找3．2节提出的主机列表中是否

存在该端口的信息，如果存在，则说明该端口是直连

主机的端口，而控制器不应该收到该LLDP包，由

此判断该LLDP包是重放攻击产生的．算法3主要

步骤是顺序查询表格，时间复杂度为0(”)．

算法3．检查LLDP包真实性．

⑩

temp-1匹配到flowlist的条目B

THEN

fo“，2f—co“72￡一1；

⑥

⑩

IF fo“押f一一0 THEN

⑩DELETEflowlist中的条目B；

⑩DELETEhostlist中匹配temp_1的

条目；

END_{IF／*认为该主机离开网络了*／}

⑩

ENDIF

⑩

⑩END

输入：来自交换机的LLDP；

3．4链路发现处理模块

输出：True或False．

这个部分主要是检查LLDP包，以防止链路伪

造攻击．在控制器下发的LLDP包中添加校验字

段，并将该LLDP包中的交换机ID号、端口号和对

应的随机字符串等信息记录在列表中，用于校验控

制器收到的LLDP包，从收到的LLDP包排除伪造

的LLDP包．根据LLDP包中端口信息，查询主机

列表，排除重放攻击产生的LLDP包等．

①temp一2一(switchid，portnum，token)；

／*从LLDP中提取信息*／

②IF收到的LLDP无法匹配LLDPIist中条

目THEN

RETURN

③

False；／*则认为是伪造的

LLDP*|

④END

当控制器开始下发LLDP包时候，SecTopo给

每条LLDP消息上加入1个由Hash函数产生的随

机字符串作为校验字段，并将该随机字符串与交换

机端口号存储起来．为了简单高效，本文的实现参考

⑤IF

temp一2．(switchid，portnum)匹配

THEN

hostlist中条目C

RETURN

⑥

False；

⑦END

了文献Ez-1，校验字段采用了Hash函数产生的字符

串低32位．

3．5与TopoGuard的比较

与现有方案TopoGuard相比，本文提出的

SecTopo在控制层不需要构造数据层探测包的情况

下，可以更有效地防御拓扑污染攻击．此外，

当控制器收到LLDP包时，使用算法3可以检

查出攻击者发送的LLDP包．算法3的输入是控制

器收到的LLDP包．每当控制器收到LLDP包时，

LLDP消息处理部分首先检查LLDP中的校验字

SecTopo可以有效地防御重放攻击，并支持网络的

动态更新．具体比较如表1所示：

Table

The

and

Comparision

SecTopo

TopoGuard

表1

SecTopo与现有方案对比

Host Location

The controller must receive Port Down

host

and

If alI the flow items about the host are out of date．

signal

Attack

send an ICMP with the result of

unreachable．the host leaves the network．

Hijacking

Fake LI。DP

Check LI。DP

HMACof

number andswitch ID． Add random field in LLDP to checkLI。DP．

Injection

port

Record the

of devices connected to each

type

port，and

update

can’t

the

host list．

by dynamically update

LLDP

detect the attack

dynamically．

these records which

Detect

attack

Relay

vSwitch(OVS)2．3．2版本作为OpenFlow交换机．实

验的攻击代码是使用Scapy工具编写的．本实验的

硬件测试环境是安装了Ubuntul4．04TLS版本的

实验评估

4．1

实验设置

Core i5—3470．

PC机，内存为4 GB，处理器为Intel

本实验使用Floodlightl．1版本的控制器，使用

实验代码采用嵌入方式，在3个相关程序对应函数

中添加或修改相关代码，总计增加310行左右．

Mininet2．2．1版本作为网络模拟器，并使用Open

万方数据

全部评论(0)

暂无评论

评论赚积分>>

上传资源上传优质资源有赏金

SDN网络拓扑污染攻击防御机制研究

资料介绍

部分文件列表

部分页面预览

相关下载

全部评论(0)

热门标签

最新上传

热门下载

资料专题

推荐下载

专栏首页