Безопасность сетей SDN и виртуализированных инфраструктур NFV
Понятие «информационная безопасность» можно разделить на две основных категории – безопасность контента (вредоносное ПО, вирусы, различные файлы, которые при загрузке наносят вред компьютеру пользователя) и безопасность соединения, под которым понимается способность предоставлять доступ к сети и услугам для авторизованных пользователей и предотвращать доступ для неавторизованных пользователей.
Безопасность контента. Любой контент, полученный через Интернет, считается небезопасным по умолчанию. Технологии SDN/NFV очевидно, не имеют отношения к этим проблемам. Инструменты NFV, которые могут отслеживать вредоносные сайты, действительно существуют, но вряд ли они когда-либо смогут «на лету» распознавать вредоносный контент, от источника, который обычно считался доверительным.
Безопасность соединений: Здесь можно рассмотреть три основных области:
- Управление доступом к сети (доступ только для авторизованных пользователей)
- Противодействие деструктивному влиянию на сеть (изнутри или извне)
- Предотвращение (незаконного) перехвата данных сетевого трафика
Управление доступом к сети. Риски, которые SDN или NFV могут здесь привнести, относятся, в основном к их порталам самообслуживания, где процесс управления доступом (admission control) считается менее безопасным.
Противодействие деструктивному влиянию на сеть также распадается на две категории:
- Противодействие атакам типа «отказ в обслуживании» DoS (Denial of Service)
- Отзыв доступа у т.н. «maverick endpoints» (т.е. у автороизовнных пользователей, совершающих в сети рискованные действия).
SDN и NFV здесь могут как вносить дополнительные риски, так и уменьшать существующие.
Предотвращение незаконного перехвата данных[1]. Задача также сводится либо к администрированию, либо к оперативному управлению и контролю. Ни SDN, ни NFV здесь ни на что повлиять не могут.
Безопасность SDN
SDN – централизованно управляемая структура передачи, в которой процесс адаптивной маршрутизации производится в центральном контроллере, а не в аппаратных сетевых узлах. Сценарий, когда и центральный SDN-контроллер, и традиционная система администрирования сети NMS скомпрометированы, весьма маловероятен.
Уязвимость в сети SDN кроется в линке от сетевого элемента к контроллеру SDN, т.е. в канале управления плоскостью передачи данных. Просто зашифровать его – недостаточно, поскольку он может быть подвергнут атаке «отказ в обслуживании» (DoS).
Существенное преимуществ SDN для безопасности состоит в способности разделять логические сети так, что они в работе они были совершенно невидимы друг для друга. Разные логические сети не передают внутри себя никаких общих команд управления, поэтому они не могут оказывать никакого влияния на ресурсы друг друга.
Безопасность NFV
В NFV программные (виртуальные) сетевые функции VNF, входящие в состав виртуальных «устройств», распределены в пуле физической инфраструктуры NFVI. При этом существуют два вида рисков:
- Горизонтальные соединения между виртуальными функциями. Здесь возможен риск атак DoS со стороны плоскости данных.
- Вертикальные связи между виртуальными функциями и ресурсами. Поскольку менеджер VNF (VNFM) должен работать с учётом состояния ресурсов, выделенных для каждой VNF, то должен существовать канал управления общими ресурсами. Здесь возможны значительные риски для безопасности и стабильности работы системы.
Оба вида рисков могут усугубляться тем, что что источником атаки может быть «злонамеренная» виртуальная сетевая функция VNF, внедрённая в инфраструктуру NFV, могущая влиять на приложения и данные пользователей в общем пуле ресурсов.
Реальные проблемы безопасности в SDN и NFV находятся вне рамок традиционных структур сетевой и информационной безопасности. Тем не менее, «риски» SDN/NFV, до сих пор часто представляются так, как будто они являются «расширением» существующих рисков в традиционных сетях. Это заблуждение, которого следует избегать при проектировании виртуализированных сетевых инфраструктур.
Риски SDN/NFV нельзя устранить использованием лишь существующих стратегий информационной безопасности и защите данных. Необходимо обеспечивать безопасность самой платформы виртуализации. Если этого не сделать, то риски традиционных сетей в системах SDN/NFV могут мультиплицироваться и к ним добавятся ещё и новые.
В дальнейших статьях эти вопросы будут рассмотрены более подробно.
[1] Перехват сетевого трафика может быть и законным, например, в СОРМ (системах оперативно розыскных мероприятий).
Telecom & IT 