面向云环境的动态可信SDN防火墙关键理论与技术研究

SDN(Software-Defined Networking) point a brand-new path for the network virtualization in cloud data center. However, the design of dynamic and trusted SDN firewall becomes a difficult problem due to the characteristics of cloud virtualization network, such as the uncertainty of network virtualization boundary, the dynamics and migration of virtual network, redirection of network flow and network function vitalization. In the project, we aims to explore the underlying theories and key technologies of SDN firewall in cloud environment including the model of SDN firewall, the network-wide dynamic conflict detection and resolution approach of access control policy, and the protection mechanism of virtualization firewall. Based on the above theories and technologies, a prototype of dynamic and trusted SDN firewall in cloud environment will be implemented..Our project will propose the model, approach and mechanism of dynamic and trusted SDN firewall, which not only has some innovations, but also could be directly applied on practical cloud virtualization network environments. Hence it is very important in the academic sense and with a very practical application value for solution to the problem of cloud virtualization network security. Our team has well base of research and can assure successful completion of this project.

软件定义网络(Software-Defined Networking,SDN)的提出为解决传统网络无法适应云数据中心虚拟化的问题指出了一条全新的道路。然而，由于云虚拟网络安全边界的不确定性、网络动态调整和可迁移性、网络流可重定向以及网络功能虚拟化的特性，使得设计动态可信的SDN防火墙成为一个难题。本项目拟面向云虚拟网络，从面向云环境的SDN防火墙模型、network-wide访问控制策略动态冲突检测与解决方法及SDN虚拟防火墙安全保护机制三个方面展开理论研究与关键技术探索，并实现面向云环境的动态可信SDN防火墙原型系统。..本项目的开展将提出一套设计和实现动态可信的SDN防火墙模型、方法与机制，不但具有一定的创新性，而且可以直接应用到现有的云虚拟网络中，这对于解决云虚拟网络的安全保护问题，具有重要的学术意义和实用价值。本申请团队对此已经具有较好的研究基础，可以圆满完成项目。

软件定义网络（Software-Defined Networking，SDN）目前已经成为构建新一代云网络的关键技术之一。防火墙作为云网络的核心设备对云安全尤为重要。然而，由于云虚拟网络安全边界的不确定性、网络动态调整和可迁移性、网络流可重定向以及网络功能虚拟化的特性，使得设计动态可信的SDN防火墙成为一个难题。为此，本项目在三年时间里，围绕面向云环境的SDN防火墙模型、network-wide访问控制策略动态冲突检测与解决方法及SDN虚拟防火墙安全保护机制以及动态可信SDN防火墙实验验证系统四个方面开展理论研究与关键技术探索和实现。在面向云环境的SDN防火墙模型方面，我们针对SDN防火墙不能支持数据包状态处理和由于需要频繁与控制器交互而带来的开销问题，提出了基于OpenFlow 的SDN状态防火墙模型。在network-wide访问控制策略动态冲突检测与解决方法方面，我们针对现有SDN防火墙可以通过改写交换机中的流表项而被旁路的安全威胁，提出了基于Flowpath的实时动态策略冲突检测与解决方法，通过获取实时的SDN网络状态，我们的方法能够准确地检测防火墙策略的直接和间接违反，并且一旦发现冲突，可以基于Flowpath进行自动化和细粒度的冲突解决。在SDN虚拟防火墙安全保护机制方面，我们提出了基于可信计算和SGX技术的虚拟网元安全保护机制，为SDN虚拟防火墙构建了可信执行环境。在实验验证方面，我们基于Floodlight和Openstack实现了一款基于SDN的可信防火墙原形系统。通过以上研究，初步提出一套设计和实现动态可信的SDN防火墙模型、方法与机制。我们的研究工作基本达到了最初项目立项的设计目标，相关关键技术和原形系统也在华为公司和武汉大学励思可信云系统得到了初步应用。这对于解决云虚拟网络的安全保护问题发挥了积极作用，也丰富和发展了SDN安全的理论与应用研究，推动我国网络空间安全建设。