未來網(wǎng)絡(luò)虛擬片層的安全-安全視角看虛擬網(wǎng)絡(luò)和SDN等

潘柱廷、葉潤國啟明星辰公司未來網(wǎng)絡(luò)虛擬片層的安全安全視角看虛擬網(wǎng)絡(luò)和SDN等云安全摘要虛擬化是云計算等新興計算技術(shù)實現(xiàn)的關(guān)鍵之一，包括服務(wù)器虛擬化、存儲虛擬化、虛擬客戶端、應(yīng)用虛擬化、網(wǎng)絡(luò)虛擬化等等。其中服務(wù)器、存儲、客戶端的虛擬化都可以被理解為空間節(jié)點的虛擬化，而常被提到的虛擬交換機(jī)技術(shù)還只是局部網(wǎng)絡(luò)空間的虛擬化。而在軟件定義網(wǎng)絡(luò)SDN等技術(shù)所代表的發(fā)展趨勢看，真正覆蓋較大范圍的虛擬化網(wǎng)絡(luò)必將出現(xiàn)。本演講試圖探討網(wǎng)絡(luò)空間的根本性變化所帶來網(wǎng)絡(luò)安全理論、方法和技術(shù)的變化。幾個不得不搞清楚的概念安全的本質(zhì)安全服務(wù)網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)（非虛擬網(wǎng)絡(luò)）的本質(zhì)體現(xiàn)虛擬網(wǎng)絡(luò)的本質(zhì)體現(xiàn)4網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)(非虛擬網(wǎng)絡(luò))虛擬網(wǎng)絡(luò)片層(虛擬點和連接)安全、網(wǎng)絡(luò)、虛擬安全本質(zhì)安全服務(wù)5網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)(非虛擬網(wǎng)絡(luò))虛擬網(wǎng)絡(luò)片層(虛擬點和連接)安全、網(wǎng)絡(luò)、虛擬安全本質(zhì)安全服務(wù)6首先我們先簡單回顧一下那些不變的安全本質(zhì)。安全的方方面面加密強(qiáng)認(rèn)證防火墻入侵檢測國家戰(zhàn)略攻擊檢測滲透測試組織體系制度/規(guī)則多功能網(wǎng)關(guān)UTM工作流審計管理平臺風(fēng)險評估等級保護(hù)體系結(jié)構(gòu)規(guī)劃/計劃云模式項目管理監(jiān)控/預(yù)警冗余/備份應(yīng)急響應(yīng)合規(guī)性要求首席安全官安全專家三觀論宏觀/中觀/微觀量化/指標(biāo)化合作/外包管理理念涉密系統(tǒng)安全病毒/蠕蟲分布式拒絕服務(wù)攻擊辦公安全網(wǎng)上銀行骨干網(wǎng)網(wǎng)站安全ERP服務(wù)器安全火災(zāi)/水災(zāi)設(shè)備故障內(nèi)部人員作案網(wǎng)絡(luò)滲透網(wǎng)絡(luò)嗅探核心業(yè)務(wù)電磁泄漏終端安全文檔安全誤操作垃圾信息安全事件漏洞/脆弱性黑客業(yè)務(wù)邏輯衛(wèi)星通訊業(yè)務(wù)大集中數(shù)據(jù)中心線路中斷涉密系統(tǒng)安全病毒/蠕蟲分布式拒絕服務(wù)攻擊辦公安全網(wǎng)上銀行骨干網(wǎng)網(wǎng)站安全ERP服務(wù)器安全火災(zāi)/水災(zāi)設(shè)備故障內(nèi)部人員作案網(wǎng)絡(luò)滲透網(wǎng)絡(luò)嗅探核心業(yè)務(wù)電磁泄漏終端安全文檔安全誤操作垃圾信息安全事件漏洞/脆弱性黑客業(yè)務(wù)邏輯衛(wèi)星通訊業(yè)務(wù)大集中數(shù)據(jù)中心線路中斷梳理手上的牌加密強(qiáng)認(rèn)證防火墻入侵檢測國家戰(zhàn)略攻擊檢測滲透測試組織體系制度/規(guī)則多功能網(wǎng)關(guān)UTM工作流審計管理平臺風(fēng)險評估等級保護(hù)體系結(jié)構(gòu)規(guī)劃/計劃云模式項目管理監(jiān)控/預(yù)警冗余/備份應(yīng)急響應(yīng)合規(guī)性要求首席安全官安全專家三觀論宏觀/中觀/微觀量化/指標(biāo)化合作/外包管理理念資產(chǎn)威脅措施最精簡的風(fēng)險管理３要素不變的三三類信息息安全核核心技術(shù)術(shù)基于密碼碼技術(shù)的的認(rèn)證加密密等技術(shù)術(shù)措施基于攻防防技術(shù)的的檢測響應(yīng)應(yīng)技術(shù)措措施基于風(fēng)險險管理思思想的體系化方方法和措措施安全的原原則和思思路…風(fēng)險三要要素需求驅(qū)動動力矩陣陣PPT結(jié)構(gòu)三大類安安全技術(shù)術(shù)PDR及PDCERF通用檢測測模型分層和分分域，三三觀論Zachman(nW1H,虛實層)流和時空空安全域+業(yè)務(wù)流…基于時間間和基于于緩沖的的安全結(jié)構(gòu)和解解構(gòu)安全度量量和安全全可視化化生命周期期三大過過程敏捷和瀑瀑布模式式君臣佐使使的配伍伍思想可信與可可控云模式、、虛擬化化大數(shù)據(jù)分分析解決決APT宏觀態(tài)勢勢感知…網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)(非虛擬網(wǎng)絡(luò))虛擬網(wǎng)絡(luò)片層(虛擬點和連接)安全、網(wǎng)網(wǎng)絡(luò)、虛虛擬安全本質(zhì)安全服務(wù)12形形色色色的網(wǎng)絡(luò)絡(luò)交通運(yùn)輸輸網(wǎng)，郵郵政網(wǎng)，，電話通通信網(wǎng)，，計算機(jī)機(jī)網(wǎng)，互互聯(lián)網(wǎng)，，萬維網(wǎng)網(wǎng)社會關(guān)系系網(wǎng)，產(chǎn)產(chǎn)品供銷銷網(wǎng)，金金融借貸貸網(wǎng)智能電網(wǎng)網(wǎng)，無線線網(wǎng)，傳傳感網(wǎng)，，物聯(lián)網(wǎng)網(wǎng)神經(jīng)網(wǎng)，，生物代代謝網(wǎng)，，食物鏈鏈（網(wǎng)））攻守同盟盟網(wǎng)，恐恐怖主義義網(wǎng)絡(luò)人人網(wǎng)，，新浪微微博網(wǎng)，，QQ，團(tuán)購網(wǎng)網(wǎng)…13當(dāng)我們想想到“網(wǎng)網(wǎng)絡(luò)”這這個詞語語...事物、情況事物情況14節(jié)點：vertex,point邊：連接接,鏈接,關(guān)系,聯(lián)系；edge,link聯(lián)系網(wǎng)絡(luò)中的的路徑15以點的關(guān)關(guān)系為主主，不關(guān)關(guān)注路徑徑社交網(wǎng)絡(luò)絡(luò)路徑不固固定，會會按需臨臨時建立立無線網(wǎng)絡(luò)絡(luò)、物聯(lián)聯(lián)網(wǎng)、無無線傳感感網(wǎng)、DTN等路徑連接接著點，，數(shù)據(jù)在在路徑上上流動互聯(lián)網(wǎng)、、局域網(wǎng)網(wǎng)更抽象更具體網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)(非虛擬網(wǎng)絡(luò))虛擬網(wǎng)絡(luò)片層(虛擬點和連接)安全、網(wǎng)網(wǎng)絡(luò)、虛虛擬安全本質(zhì)安全服務(wù)16節(jié)點、連連接結(jié)構(gòu)(路徑..)網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)(非虛擬網(wǎng)絡(luò))虛擬網(wǎng)絡(luò)片層(虛擬點和連接)安全、網(wǎng)網(wǎng)絡(luò)、虛虛擬安全本質(zhì)安全服務(wù)17業(yè)務(wù)流業(yè)務(wù)流@網(wǎng)絡(luò)結(jié)構(gòu)構(gòu)網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)(非虛擬網(wǎng)絡(luò))虛擬網(wǎng)絡(luò)片層(虛擬點和連接)安全、網(wǎng)網(wǎng)絡(luò)、虛虛擬安全本質(zhì)安全服務(wù)20虛擬化化常被提提到的的虛擬擬化服務(wù)器器虛擬擬化存儲虛虛擬化化桌面虛虛擬化化應(yīng)用虛虛擬化化網(wǎng)絡(luò)虛虛擬化化21虛擬服務(wù)器虛擬存儲虛擬桌面虛擬應(yīng)用虛擬網(wǎng)絡(luò)設(shè)備應(yīng)用片層系統(tǒng)片層網(wǎng)絡(luò)片層網(wǎng)絡(luò)虛虛擬化化的不不同范范圍不同的網(wǎng)絡(luò)協(xié)議層單網(wǎng)絡(luò)節(jié)點虛擬化虛擬交換機(jī)多網(wǎng)絡(luò)節(jié)點虛擬化分布式虛擬交換機(jī)網(wǎng)絡(luò)區(qū)域虛擬化在局域?qū)崿F(xiàn)SDN/Openflow大范圍網(wǎng)絡(luò)虛擬化？22包節(jié)點域網(wǎng)絡(luò)虛虛擬化化的不不同范范圍不同的網(wǎng)絡(luò)協(xié)議層單網(wǎng)絡(luò)節(jié)點虛擬化虛擬交換機(jī)多網(wǎng)絡(luò)節(jié)點虛擬化分布式虛擬交換機(jī)網(wǎng)絡(luò)區(qū)域虛擬化在局域?qū)崿F(xiàn)SDN/Openflow大范圍網(wǎng)絡(luò)虛擬化？23包節(jié)點域網(wǎng)絡(luò)虛虛擬化化-虛擬交交換機(jī)機(jī)軟件模模塊、、VM數(shù)據(jù)交交換；；局限限在物物理服服務(wù)器器中與物理理L2交換機(jī)機(jī)兼容容，可可以構(gòu)構(gòu)建VLAN代表：：VmwarevSwitch、LinuxBridge存在的的問題題流量不不可見見問題題網(wǎng)絡(luò)隔隔離問問題管理復(fù)復(fù)雜問問題策略一一致性性問題題網(wǎng)絡(luò)性性能問問題應(yīng)用程序操作

系統(tǒng)應(yīng)用程序操作

系統(tǒng)應(yīng)用程序操作

系統(tǒng)VMM虛擬化服務(wù)器VM3VM1VM2物理交換機(jī)虛擬交換機(jī)VM間流量量不可可見問題解解決方方案軟件SPAN、RSPAN和netflow功能硬件交換機(jī)機(jī)導(dǎo)流方案案：VEPA和VN-TAG虛擬交換機(jī)機(jī)環(huán)境下的的安全產(chǎn)品品部署部署串行網(wǎng)網(wǎng)關(guān)部署旁路檢檢測26操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序HypervisorvSwitch1vSwitch2vSwitch3TenantATenantB混雜端口混雜端口PublicNetwork網(wǎng)絡(luò)虛擬化化的不同范范圍不同的網(wǎng)絡(luò)協(xié)議層單網(wǎng)絡(luò)節(jié)點虛擬化虛擬交換機(jī)多網(wǎng)絡(luò)節(jié)點虛擬化分布式虛擬交換機(jī)網(wǎng)絡(luò)區(qū)域虛擬化在局域?qū)崿F(xiàn)SDN/Openflow大范圍網(wǎng)絡(luò)虛擬化？27包節(jié)點域網(wǎng)絡(luò)虛擬化化-分布式虛擬擬交換機(jī)可擴(kuò)展到多多個物理服服務(wù)器，集集中管理平平面，簡化化網(wǎng)絡(luò)管理理典型代表：：VmwarevDS、Cisco1KV和Openvswitch存在的問題題大二層扁平平網(wǎng)絡(luò)：廣播風(fēng)暴暴，VLAN局限性虛擬和物理理網(wǎng)絡(luò)隔離離問題MAC表爆炸跨子網(wǎng)遷移移問題操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序分布式虛擬擬交換機(jī)虛擬交換機(jī)機(jī)虛擬交換機(jī)機(jī)虛擬交換機(jī)機(jī)分布式虛擬擬交換機(jī)管管理中心管理平面數(shù)據(jù)平面分布式交換換機(jī)環(huán)境下下的安全部部署29vDS1vDS2APPOSAPPOSAPPOSTenantA(VLAN101)publicnetworkESX1ESX2APPOSTenantB(VLAN102)旁路IDS串行網(wǎng)關(guān)旁路IDSSPAN/RSPANSPAN/RSPAN網(wǎng)絡(luò)虛擬化化的不同范范圍不同的網(wǎng)絡(luò)協(xié)議層單網(wǎng)絡(luò)節(jié)點虛擬化虛擬交換機(jī)多網(wǎng)絡(luò)節(jié)點虛擬化分布式虛擬交換機(jī)網(wǎng)絡(luò)區(qū)域虛擬化在局域?qū)崿F(xiàn)SDN/Openflow大范圍網(wǎng)絡(luò)虛擬化？30包節(jié)點域網(wǎng)絡(luò)虛擬化化正在拖云云計算后腿腿任意物理位置計算資源池池存儲資源池池計算和存儲儲虛擬化物理網(wǎng)絡(luò)虛擬機(jī)和客客戶業(yè)務(wù)仍仍然被物理理服務(wù)器和和物理網(wǎng)絡(luò)絡(luò)拓?fù)涫`縛網(wǎng)絡(luò)設(shè)備虛虛擬化任意應(yīng)用/數(shù)據(jù)解耦合虛擬機(jī)無法法跨網(wǎng)移動動，無法高高度共享VLAN只能提供有有限的租戶戶隔離能力力缺乏可編程程的靈活網(wǎng)網(wǎng)絡(luò)控制能能力網(wǎng)絡(luò)局部虛虛擬化導(dǎo)致致的問題硬件依賴問問題（配置置虛擬網(wǎng)絡(luò)絡(luò)需要配置置硬件，私私有API）網(wǎng)絡(luò)隔離問問題（MAC表爆炸/虛擬IP不重疊/VM跨網(wǎng)遷移））服務(wù)升級問問題（硬件件服務(wù)依賴賴，升級周周期長，成成本高）可擴(kuò)展性問問題（虛擬擬域和應(yīng)用用隔離需求求，VLAN數(shù)量有限））安服集成困困難（實施施點苛刻，，串行網(wǎng)關(guān)關(guān)，動態(tài)虛虛擬邊界））云計算需要要全網(wǎng)絡(luò)域域的虛擬化化任意物理位置計算資源池池存儲資源池池計算虛擬化/存儲虛擬化化/網(wǎng)絡(luò)虛擬化化物理網(wǎng)絡(luò)設(shè)設(shè)備資源池池虛擬網(wǎng)絡(luò)片片層（NetworkHypervisor）任意應(yīng)用/數(shù)據(jù)解耦合解耦合兩層獨(dú)立發(fā)發(fā)展軟件定義網(wǎng)網(wǎng)絡(luò)VM跨網(wǎng)遷移底層硬件維維護(hù)高共享資源池池虛擬網(wǎng)絡(luò)片層層-適合云的網(wǎng)絡(luò)絡(luò)虛擬化上層虛擬網(wǎng)絡(luò)絡(luò)和底層網(wǎng)絡(luò)絡(luò)硬件分離，，硬件維護(hù)簡簡單，網(wǎng)絡(luò)資資源共享虛擬網(wǎng)絡(luò)具有有物理L2網(wǎng)絡(luò)全部功能能，無縫遷移移虛擬網(wǎng)絡(luò)和物物理網(wǎng)絡(luò)地址址空間隔離虛擬網(wǎng)絡(luò)具有有完整生命周周期：創(chuàng)建、、調(diào)整、刪除除SDN/Openflow：虛擬網(wǎng)絡(luò)片片層實現(xiàn)核心心技術(shù)SpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareAppAppAppSpecializedPacketForwardingHardwareOperatingSystemOperatingSystemOperatingSystemOperatingSystemOperatingSystemAppAppAppAppAppApp應(yīng)用層NetworkOperatingSystem控制層數(shù)據(jù)層SDN解耦了數(shù)據(jù)、、控制及應(yīng)用用平面，創(chuàng)造造了一個可編編程的網(wǎng)絡(luò)。。SDN/Openflow：虛擬網(wǎng)絡(luò)片層層實現(xiàn)核心技技術(shù)36ControllerOpenFlowSwitchPC虛擬網(wǎng)絡(luò)片層層：傳統(tǒng)SDN/openflow網(wǎng)絡(luò)OpenFlowSwitchOpenFlowSwitchOpenFlowProtocolControllerOpenFlowvSwitchPC虛擬網(wǎng)絡(luò)片層層：演進(jìn)的虛虛擬覆蓋網(wǎng)絡(luò)絡(luò)OpenFlowvSwitchOpenFlowProtocolHost1VM2VM4Host2VM1VM3標(biāo)準(zhǔn)物理交換換機(jī)L2OverL3TunnelVXLANNVGRE虛擬網(wǎng)絡(luò)孤島島1虛擬網(wǎng)絡(luò)孤島島2nicira的NVPN1KV-VXLAN虛擬片層帶來來的獨(dú)特安全全問題和機(jī)會會獨(dú)特安全問題題集中控制節(jié)點點問題，網(wǎng)絡(luò)絡(luò)大腦，確保保controller安全，提升controller可用性App安全問題，惡惡意App，app可信，白名單通信安全問題，偽造controller，數(shù)據(jù)交換安安全規(guī)則沖突問題題，安全APP和其它App之間規(guī)則沖突突，安全策略略失效，需要要可靠的安全全策略實施框框架安全機(jī)會數(shù)據(jù)平面和控控制平面分離離模式，集中中控制平面易實現(xiàn)PDP+PEP模式的動態(tài)安安全策略39虛擬片層環(huán)境境下的安全服服務(wù)部署安全服務(wù)實現(xiàn)現(xiàn)模式與傳統(tǒng)統(tǒng)網(wǎng)絡(luò)有些不不同兩種安全服務(wù)務(wù)部署模式Proactive（靜態(tài)openflow規(guī)則）Reactive（動態(tài)openflow規(guī)則）40Reactive模式安全服務(wù)務(wù)41SwitchHostBHostASwitchSwitchSwitchOpenflowSecurityApps全局網(wǎng)絡(luò)視野野一致安全策略略在線安全決策策策略分散執(zhí)行行流過濾防火墻墻蠕蟲掃描檢測測惡意流量牽引引網(wǎng)絡(luò)探測欺騙騙流過濾防火墻墻實例VM1()VM2VM3

WebServerAppServerDBServerHTTP,80HTTP,8080TDS,443業(yè)務(wù)拓?fù)銩llowanytoaccessWebServeratPort80withHTTPAllowWebServertoaccessAppServerat8080withHTTPAllowAppServertoaccessDBServerat443withTDSDenyall業(yè)務(wù)安全策略ControlleropenflowGlobalNetworkViewFireWallAppFlowTableFlowTable網(wǎng)絡(luò)虛擬化的的不同范圍不同的網(wǎng)絡(luò)協(xié)議層單網(wǎng)絡(luò)節(jié)點虛擬化虛擬交換機(jī)多網(wǎng)絡(luò)節(jié)點虛擬化分布式虛擬交換機(jī)網(wǎng)絡(luò)區(qū)域虛擬化在局域?qū)崿F(xiàn)SDN/Openflow大范圍網(wǎng)絡(luò)虛擬化？43包節(jié)點域云計算發(fā)展當(dāng)當(dāng)前階段的安安全策略資產(chǎn)威脅措施對于新的基礎(chǔ)礎(chǔ)設(shè)施結(jié)構(gòu)和和業(yè)務(wù)結(jié)構(gòu)，，進(jìn)行解構(gòu)性性的安全分析析隨著虛擬化和和云計算技術(shù)術(shù)在【局部】基礎(chǔ)設(shè)施和業(yè)業(yè)務(wù)應(yīng)用上的的逐步變化虛擬化環(huán)境下下的分域安全全和域間安全全【全局】基礎(chǔ)設(shè)施和業(yè)業(yè)務(wù)應(yīng)用上的的大變化謝謝網(wǎng)絡(luò)的本質(zhì)傳統(tǒng)網(wǎng)絡(luò)虛擬網(wǎng)絡(luò)片層安全本質(zhì)安全服務(wù)9、靜夜四四無鄰，，荒居舊舊業(yè)貧。。。12月-2212月-22Thursday,December29,202210、雨中中黃葉葉樹，，燈下下白頭頭人。。。14:12:3214:12:3214:1212/29/20222:12:32PM11、以我我獨(dú)沈沈久，，愧君君相見見頻。。。12月月-2214:12:3214:12Dec-2229-Dec-2212、故人江海海別，幾度度隔山川。。。14:12:3214:12:3214:12Thursday,December29,202213、乍乍見見翻翻疑疑夢夢，，相相悲悲各各問問年年。。。。12月月-2212月月-2214:12:3214:12:32December29,202214、他他鄉(xiāng)鄉(xiāng)生生白白發(fā)發(fā)，，舊舊國國見見青青山山。。。。29十十二二月月20222:12:32下下午午14:12:3212月月-2215、比不了得就就不比，得不不到的就不要要。。。十二月222:12下下午12月-2214:12December29,202216、行動動出成成果，，工作作出財財富。。。2022/12/2914:12:3214:12:3229December202217、做前前，能能夠環(huán)環(huán)視四四周；；做時時，你你只能能或者者最好好沿著著以腳腳為起起點的的射線線向前前。。。2:12:32下下午2:12下下午午14:12:3212月月-229、沒有失失敗，只只有暫時時停止成成功！。。12月-2212月-22Thursday,December29,202210、很多事事情努力力了未必必有結(jié)果果，但是是不努力力卻什么么改變也也沒有。。。14:12:3214:12:3214:1212/29/20222:12:32PM11、成功就就是日復(fù)復(fù)一日那那一點點點小小努努力的積積累。。。12月-2214:12:3214:12Dec-2229-Dec-2212、世間成成事，不不求其絕絕對圓滿滿，留一一份不足足，可得得無限完完美。。。14:12:3214:12:3214:12Thursday,December29,202213、不知香積積寺，數(shù)里里入云峰。。。12月-2212月-2214:12:3214:12:32December29,202214、意志堅強(qiáng)強(qiáng)的人能把把世界放在在手中像泥泥塊一樣任任意揉捏。。29十二二月20222:12:32下下午14:12:3212月-2215、楚塞三湘接接，荊門九派派通。。。十二月222:12下下午12月-2214:12December29,202216、少年十五二二十時，步行行奪得胡馬騎騎。。2022/12/2914:12:3214:12:3229December202217、空山山新雨雨后，，天氣氣晚來來秋。。。2:12:32下下午2:12下下午午14:12:3212月月-229、楊柳柳散和和風(fēng)，，青山山澹吾吾慮。。。12月月-2212月月-22Thursday,December29,202210、閱閱讀讀一一切切好好書書如如同同和和過過去去最最杰杰出出的的人人談?wù)勗捲挕！?4:12:3214:12:3214: