YD/T 34892019

威胁会对诸如信息、程序和系统等资产带来潜在危害，因此也会对组织造成潜在危害。威胁可源于 自然，或由人为造成，可以是意外性质，也可以是故意所为。威胁可来自组织内部或外部，威胁也可被 日类为意外威胁或有意威胁，以及主动或被动威胁。 本章阐述SDN应用层、控制层、资源层和通道层面临的安全威胁

5.1SDN应用层安全威胁

在SDN网络架构中，大部分功能由部署在应用层的各类SDN应用实现，如，网络管理员可以通过 SDN应用向相关路由器、交换机下发数据包转发策略、更新流表等。因此，攻击者对应用层的攻击会 对逐步影响到整个SDN网络，需要预先加以防范。 下述安全威胁会影响到SDN应用层。 欺骗：攻击者可以伪装成一个SDN控制器，骗取用户数据（用户密钥、证书等）、SLA、业 务逻辑等信息，从而为进一步的攻击行为做准备。 抵赖：用户或管理员可以否认其曾经执行过的恶意网络策略，如将特定网络流量复制或转发给 恶意服务器。 信息泄露：在获得用户认证信息后，攻击者可以伪装成一个合法用户，通过SDN应用向网络 注入伪造信信息流，以获取更多的网络数据。 应用程序首身漏洞：攻击者可以通过利用SDN应用程序首身漏洞（如代码缺陷等）获取相应 的网络资源（例如：SLA，用户数据，业务逻辑等），从而为实施进一步攻击做准备。此外， 第三方恶意应用可以伪装成为合法的应用程序来获取相应的网络资源

建筑技术论文5.2SDN控制层安全威胁

YD/T34892019

下述安全威胁会影响到SDN控制层。 流规则冲突：新下发的流规则可能与流表中已有的流规则发生冲突，导致预先部署的安全策略 失效。如附录B实例1所示。 恶意流注入：攻击者可以通过劫持SDN应用，构造并发送一些恶意流规则，实现数据窃听等 恶意行为。如附录B实例2所示。 欺骗：攻击者可以通过伪装成管理员或SDN应用程序的手段，算改SDN控制器上的敏感数据 （例如配置数据，用户数据等），获取网络拓扑结构、路由表等信息，甚至完全控制SDN控 制器。通过控制器地址欺骗的方式，攻击者可以伪装SDN控制器，从而获得整个SDN网络的 控制权。攻击者甚至可以伪装成一个SDN交换机，对目标SDN网络进行侦听。 DDoS攻击：SDN交换机接收到未知流后需要向控制器转发，请求控制器下发相应转发流规则 大量的请求和流数据包短时间内涌向控制器，使控制器丧失正常处理能力。因此，攻击者可以 构建恶意流量导致SDN控制器遭受DDoS攻击并崩溃。如附录B实例3所示。 无法实时抵御攻击：SDN控制器周期性的将相关网络策略下发至交换机，当攻击发生时，相 关策略由于无法实时调整，因此无法在第一时间阻断攻击。 一抵赖：管理员或应用程序可以否认其曾经构造的恶意流规则。 信息泄露：攻击者可以得到敏感的系统信息（例如配置数据，用户证书等），为进一步攻击做 准备。 操作系统漏洞：由于SDN控制器需要运行在操作系统上，因此操作系统的漏洞会导致SDN 控制器面临安全威胁。攻击者可以利用操作系统的漏洞，如默认密码，后门账户，开放端口、 服务和协议等，去销毁或替换系统组件或整个系统，这样就会严重影响SDN控制器。 软件漏洞：由于SDN控制器是以软件的形式呈现给用户，因此软件自身的漏洞会导致SDN控 制器面临安全威胁。 硬件失效：运行SDN控制器的硬件故障会带来网络的安全问题

5.3SDN资源层安全威助

下述安全威胁会影响到SDN资源层。 欺骗：攻击者可以冒充管理员或SDN控制器去删除或修改SDN交换机上的敏感数据（例如配 置数据，流表等），或者获取流表中的流规则等敏感信息。 窃听：攻击者可以窃听SDN交换机之间的数据流，从而得知有哪些数据流正在传输、哪些流 规则是合法的以及数据流的具体内容等。 信息泄露：攻击者可能获得敏感信息（例如流表，配置数据等），为进一步攻击做准备。 流表溢出：由于SDN交换机流表的容量有限，使得其存在流表溢出的风险。攻击者可以不断 的向流表中注入流规则，或利用泛洪攻击等方式，造成流表溢出。 抵赖：管理员或SDN控制器可以否认其曾经执行过的错误配置。

5.4北向接口安全威肋

北向接口是通过控制器向上层应用程序开放的接口，其目标是使得应用程序能够便利地调用底 络资源和能力。

YD/T 34892019

北向接口的安全威胁如下。 窃听：攻击者可以通过窃听北向接口，搜集相关信息数据，为进一步攻击做准备。 算改和拦截：攻击者可以拦截并篡改SDN控制器和应用程序之间的信息。如果成功，攻击者 就能够向网络注入恶意策略，从而获得SDN业务应用的权限，进一步控制网络流量。

5.5南向接口安全威胁

南向接口是SDN控制层与SDN资源层之间的接口，目前OpenFloW是最有影响力的南向接口标准， 但并不是唯一的。 南向接口的安全威胁如下。 窃听：攻击者可以通过窃听南向接口，搜集相关信息数据，为进一步攻击做准备。 篡改和拦截：攻击者可以拦截并篡改SDN控制器和交换机之间的信息。如果成功，攻击者就 能够向网络注入恶意策略，从而获得SDN控制器的权限，为进一步攻击做准备，

本章针对SDN网络面临的安全威胁，提出相应的安全能力要求。 本章规定的安全能力要求，分为强制性要求和建议性要求。

6.1.1安全能力要求

6.1.2安全威胁与能力要求对应关系

SDN应用层安全威胁与相应能力要求的对应关

YDI34892019

表1SDN应用层安全威胁与安全能力要求对应关系表

6.2 SDN 控制层

6.2.1安全能力要求

6.2.2安全威胁与能力要求对应关系

SDN控制层安全威胁与相应能力要求的对应关系见表2。

YD/T34892019

表2SDN控制层安全威胁与安全能力要求对应关系表

6.3.1安全能力要求

6.3.2安全威胁与能力要求对应关系

SDN资源层安全威胁与相应能力要求的对应关

YDI34892019

表3SDN资源层安全威胁与安全能力要求对应关系表（续）

6.4.1安全能力要求

6.4.2安全威胁与能力要求对应关系

北向接口安全威胁与相应能力要求的对应关系见表4。

4北向接口安全威胁与安全能力要求对应关系

6.5.1安全能力要求

YD/T34892019

6.5.2安全威胁与能力要求对应关系

南向接口安全威胁与相应能力要求的对应关系见表5。

5南向接口安全威胁与安全能力要求对应关系

YD/T34892019

石油标准YD/T34892019

SDN资源层主要提供的安全功能如下。

YD/T34892019

建议在SDN应用程序和SDN控制器上实施和部署TLS或HTTPS，用来支持SDN应用程序和 制器之间的相互认证功能，同时也可以给通过北向接口传输的数据提供保密性和完整性保护。

建议在SDN控制器和SDN交换机上实施和部： TLS或IPsec家具标准，用来支持SDN控制器和SDN 之间的相互认证功能，同时也可以给通过南向接口传输的数据提供保密性和完整性保护。

YD/T 34892019

YD/T34892019