SDN是一種概念，也是改變IT世界的一種趨勢。SDN并不是解決網絡問題的萬金油，況且，出于安全部署的目的，它本身還存在需要解決的威脅。瞻博網絡首席安全架構師Christopher Hoff在網絡安全領域經驗豐富。當談到SDN的時候，他認為為了創建安全的架構可以繼續遵循相同的規則和最佳實例。

▲瞻博網絡首席安全架構師詳述SDN安全的風險與補救措施

“如果我們增加方便我們在現有架構和外部控制器之間溝通的連接器或代理，我們不得不確保溝通路徑受到保護，”Hoff稱。“目前，這通常意味著運行SSL/TLS并且對數據傳輸進行證書加密。”

“這樣其實并沒有對攻擊向量和威脅進行嚴肅考慮，”Hoff補充道。

在SDN環境中，通常由網絡設備控制真正的數據，控制器則會管理數據流。位于控制器頂部的是SDN應用，這些應用為網絡提供各種功能。Hoff稱SDN應用為“受信任的應用”，這些應用同樣需要得到適當保護。

SPOF單點故障?

在SDN網絡中，控制器可能被視為網絡中的單點故障威脅。如果控制器被人攻擊，那么控制器控制的整個網絡都面臨潛在威脅。“我們想對路由器和交換機外部的功能進行控制和管理的時候，就會擴大受攻擊面。”Hoff說。

控制器安全嗎?

Hoff指出，控制器架構的安全存在缺陷。“如果你看完所有參數，就會發現有些安全性能是可選項，”Hoff說。“在控制器和交換機之間沒有強制使用SSL/TLS。”從根本上說，保障SDN的安全就是深度防御，這和其他IT層面的安全問題一樣。安全專家仍然需要思考攻擊者會用什么方式損壞網絡架構，并開發出有效的威脅模擬來緩解這種威脅。

SDN網絡中對每個層級的可視性也至關重要。這種可視性在物理硬件和服務器軟件，虛擬化屬性和功能上都要得到發展。

真相來源

談到SDN網絡中需要被控制和看清楚的地方，會有很多地方使安全問題復雜化。OpenFlow模式中，有一個單獨的控制器對網絡進行配置，但這并非Hoff眼里的SDN網絡部署。他希望在復雜的環境中有多個控制器與其他若干控制器互動。

如何保護SDN

保護SDN其實和其他IT安全問題類似。就是要進行威脅模擬，風險分析并把策略落實到工作負載中。使用SSL/TLS加密這種組合方法，SDN就可以像其他IT功能一樣被保護起來了。