基于云計算及SDN的電力數據中心安全問題分析和防護策略

劉 川，李志偉，沈衛康

（1.國網智能電網研究院 江蘇 南京　210003；2.南京工程學院 通信工程學院 江蘇 南京　211167）

基于云計算及SDN的電力數據中心安全問題分析和防護策略

劉 川1，李志偉2，沈衛康2

（1.國網智能電網研究院 江蘇 南京210003；2.南京工程學院 通信工程學院 江蘇 南京211167）

針對電力系統數據中心安全問題，通過結合目前互聯網在云計算及SDN技術下數據中心所面臨的安全問題和電力系統特殊應用場景，對電力系統數據中心的安全問題進行分析，并提出一些防護策略。整個框架主要集中在SDN控制器中，控制器自下向上分別為南向接口、服務抽象層、北向接口3個部分。通過對安全威脅進行建模、受攻擊面展開分析論證，使得不同場景的用戶都能得到安全架構的保障，具備較高的可行性。

云計算；軟件定義網絡（SDN）；電力數據中心；信息安全；北向接口；控制器

在互聯網飛速發展的今天，網絡安全威脅日益重要，IP網絡用戶對安全的需求越來越高，使得網絡的基礎承載協議和上層應用都將關注焦點集中在安全問題上［1-3］。隨著SDN的發展，越來越多的廠商進入了SDN的大潮中，但隨著SDN產品解決方案的頻頻迭出，著實印證了SDN技術的火爆［4-6］。從數據中心內網絡到數據中心間鏈路優化，從局域網到廣域網，SDN的應用場景一再拓展，不過最成熟、實用的方案莫過于在數據中心的應用［7-9］。

基于云計算及SDN技術的電力數據中心發揚了云計算資源池化、按需分配、靈活遷移和SDN可編程、高靈活、便捷管理、集中管控的優勢，解決了一些傳統網絡的安全隱患，但也面臨著新的安全問題。本文將針對基于云計算及SDN技術的電力數據中心進行安全問題的分析，并提供安全防護策略。

1　電力數據中心安全問題

基于云計算及SDN技術的電力數據中心，其技術架構最常見的莫過于開源的技術架構，在云計算中最流行的是OpenStack［10］、CloudStack［11］技術，SDN中有專攻交換機的OpenvSwitch、Quagga和專攻控制器的 OpenDaylight、ONOS、Floodlight等技術［12-13］。這些開源技術架構在帶來便利的同時，也在一步步暴露著安全性問題，下面將對云計算和SDN兩種技術在電力數據中心中的安全問題進行解析。

1.1云計算帶來的安全問題

1）拒絕服務攻擊

云計算通過網絡帶寬和Web API的方式提供服務［14］，在可用性方面面臨著很大的挑戰，利用云計算技術進行密碼破解，利用大量虛擬主機資源進行僵尸網絡攻擊等等都存在著很大的惡意使用空間。

2）不安全的API

“開放”、“開源”是云計算的重要特質，Cloud服務提供商需要提供大量的網絡接口和API來整合直接或間接提供服務［15］。但開發過程中的安全測試、運行過程中的滲透測試，以及測試方法等在針對網絡接口和API上都還不夠成熟，這些通常工作于后臺相對安全環境的功能被開放出來后，將會帶來新的安全威脅。

3）共享技術產生的問題

資源的虛擬池化和共享是云計算的根本，但是這種共享并不是沒有代價的，最為典型的代價就是使得安全性降低。

4）數據泄漏

數據泄漏是云計算、尤其是公共“云”最被人們擔心的問題。企業或組織的管理層和IT決策者，需要仔細評估云計算提供商對數據的保護能力［16］。很多威脅都可能導致云中的數據丟失和泄漏。云中關鍵數據的高密度聚合，給潛在的攻擊者帶來極大的誘惑。

5）賬號和服務劫持

在云環境中，如果攻擊者能夠獲得你的賬號信息，他們就可以竊聽你的活動和交易，操縱處理的數據，發送虛假的信息并且被“劫持”的服務和賬號可能會被利用，以便發起新的攻擊。

6）未知的風險場景

云計算服務商和用戶之間存在很大的信息不對稱性。一方面，用戶選擇將自己的IT計算和服務外包給云服務提供商，就是為了解放和優化自己的資源，所以無法全面洞察“云”中的所有細節；另一方面，云服務提供商出于商業機密和安全考慮，并不情愿分享所有的關鍵信息。在這種情形下，云計算的用戶必然需要處理大量的未知安全風險。

1.2SDN技術帶來的安全問題

SDN給數據中心安全帶來一個契機，模糊的邊界因為SDN變成有結構的網絡，使得安全能夠重新找到一個著力點。另外它能夠使得網絡資源和存儲、計算資源一樣，被用戶分割使用，但仍存在安全隱患。

圖1　SDN架構

SDN應用最廣泛的場景莫過于數據中心，帶來了很多優秀特性也絲毫不能避免存在的安全隱患，電力數據中心基于SDN技術的架構演進也不得不面對該技術對數據中心帶來的安全問題。開源SDN是一項熱門技術，在商業和非營利性組織的共同推動下迅速發展。2015年對SDN而言是至關重要的一年，SDN開始從實驗階段向生產部署階段過渡。在這個期間SDN必須面對穩定性、可擴展性和安全性等問題。也就是說，SDN想要成功向生產部署過渡，首先就必須定位并解決SDN控制器和交換機中的安全隱患。

傳統網絡中物理設備包含了網絡的控制層面和數據層面，通常是由專用硬件和軟件組成。如圖1所示，軟件定義網絡將控制層面剝離出來集中到一個控制器中，控制器可以通過OpenFlow等協議控制交換機，而交換機只需要負責處理數據層面即可。從安全角度來看，這種責任分配機制既有好處也有弊端。將控制層網絡與數據轉發網絡分離明顯是SDN的一項優勢，但是控制權的集中化導致控制器成為攻擊重點。

除了SDN控制器提供的控制器層的管理接口，控制器還有其他攻擊面：交換機管理的數據層面。當交換機收到一個沒有匹配項的數據包時，交換機就會把這個數據包發送給控制器征詢意見。攻擊者可以鉆這個空子，向SDN交換機發送數據從而利用控制器中的漏洞。

2　安全防護框架

在以上的安全問題紕漏中會發現在云計算技術和SDN技術中，往往有很多安全問題具有很多雷同點，在云計算上的安全問題有時是SDN解決方案的優勢，也就會對該安全問題迎刃而解。有些問題是雙方都面臨的，所以需要有更好的應對策略。目前設計的方案如圖2所示。

圖2　SDN電力數據中心安全框架

2.1設計思想

無論是云計算平臺還是SDN技術，應對安全問題最好的方式莫過于設計應對相應問題的安全架構，對現有的企業合規應用部署框架與安全行業實踐相融合，進行一體化的安全架構設計，對安全威脅進行建模、受攻擊面展開分析論證，使不同場景的用戶都得到安全架構的保障。

2.2框架分析

整個框架主要集中在SDN控制器中，控制器自下向上為南向接口、服務抽象層、北向接口3個部分。

1）南向接口

南向接口用于控制器與物理基礎設施的網元之間進行通信，獲取網元相關信息。經典的SDN架構中的南向接口協議包含OpenFlow和它的伴侶協議OF-CONFIG，這兩個協議是由OpenFlow標準化組織ONF開發并維護的，他們致力于將控制器的南向接口標準化與統一化，希望轉發平面的硬件完全由這兩個協議所規范，是目前較為成熟的南向接口協議，獲得了業界廣泛的認可。在本方案中，南向接口協議并不局限于OpenFlow和OF-CONFIG，可以包含SNMP、Netconf等協議。

2）服務抽象層

服務抽象層用于適配多種南向接口協議，并且為上層提供一致的標準化數據，以保證提供一致性服務。另外該層提供將來自上層的調用轉換為底層基礎設施適合的協議格式。

3）北向接口

北向接口除提供常見的網絡能力API之外，還分為兩個部分，一個部分針對北向接口安全處理，另一個部分做特殊攻擊的防范，如圖3所示。

圖3　安全框架實施圖

通用性防護提供安全響應流程：提供匯報安全漏洞的渠道；做好修補漏洞的前期準備工作，確保任何漏洞細節不會曝光；迅速修補漏洞；能夠簡潔、明了地向用戶說明漏洞，并且協助用戶修補漏洞。

北向接口安全處理：

①認證/授權層：該層提供北向接口的授權功能，包括常見的鑒權、身份驗證、權限分配功能等AAA級安全功能。

②模型抽象層：該層對所提供的北向接口進行模型抽象化，這里的模型包括業務模型和網絡模型。通過將底層提供的數據進行分類，將多種信息格式進行抽象化，以提供一致性的服務。

③安全容器層：為防止用戶對網絡資源進行不合理的利用，并且保證多用戶間的空間、業務和權限的隔離，在啟動前進行預執行檢查。

特殊攻擊防范：

①抗DDoS攻擊：云計算中心因其業務的特殊性，在可用性方面將會受到挑戰，針對云計算服務的拒絕服務攻擊需要云計算服務提供商認真調查、采取相應的專門保護措施。其次，云計算快速彈性的特征要求服務提供商自身必須具備非常強大的網絡和服務器資源來支撐，按需自服務的特征又對業務開通和服務變更等環節提出了靈活性的要求。這兩個特征結合在一起，使得云計算中心很容易成為濫用、惡意使用服務的溫床。雙向的分布式拒絕服務攻擊（DDoS）、蠕蟲病毒等大規模的流量型攻擊成為了大型云平臺的潛在威脅。

②DNS域名防護：DNS系統的安全防護應該是一個系統的、全方位的解決方案。從安全事件的角度來看，應分為事前評估加固、事中實時防御、事后分析取證3個階段。從系統防護的縱深度來看，應覆蓋物理層面、系統層面、數據應用層面等多個維度。

③網絡入侵檢測：利用入侵檢測系統的攻擊結果判定功能重點關注攻擊成功的安全事件。針對某些特定的安全規則單獨設定安全策略，針對云計算中心業務特點過濾一些低風險或者不可能成功的攻擊行為，從而減少管理員關注日志告警的工作量，也使得重要攻擊行為能夠得到重點體現。同時，可以針對業務特點自定義某些特定的安全規則。

3　結束語

本文針對基于云計算及SDN技術的電力數據中心安全問題進行了分析，并提出了基于SDN的電力數據中心安全框架，并提出了部署方案，具備較高的可行性。

［1］戴彬，王航遠，徐冠，等.SDN安全探討：機遇與威脅并存［J］.計算機應用研究，2014，31（8）：2254-2262.

［2］周蘇靜.淺析SDN安全需求和安全實現［J］.電信科學，2013，29（9）：113-116.

［3］Qazi Z A，Tu C C，Chiang L，et al.SIMPLE-fying middlebox policy enforcement using SDN［J］.Acm Sigcomm Computer Communication Review，2013，43（4）：27-38.

［4］Bosshart P，Gibb G，Kim H S，et al.Forwarding metamorphosis：fast programmable match-action processing in hardware for SDN［J］.Acm Sigcomm Computer Communication Review，2013，43（4）：99-110.

［5］Voellmy A，Wang J，Yang Y R，et al.Maple：Simplifying SDN programming using algorithmic policies［J］.Acm Sigcomm Computer Communication Review，2013，43（4）：87-98.

［6］左青云，張海粟.基于OpenFlow的SDN網絡安全分析與研究［J］.信息網絡安全，2015，15（2）：26-32.

［7］Dai B，Wang H Y，Guan X U，et al.Opportunities and threats coexist in SDN security［J］.Application Research of Computers，2014，32（4）：110-115.

［8］En H E，Zhang D Z，Hao P.Software-Defined networking security［J］.Communications Technology，2014，31（3）：1-2.

［9］Yoon C，Park T，Lee S，et al.Enabling security functions with SDN：A feasibility study［J］.Computer Networks，2015，85 （3）：19-35.

［10］Corradi A，Fanelli M，Foschini L.VM consolidation：A real case based on OpenStack Cloud［J］.Future Generation ComputerSystems，2014，32（2）：118-127.

［11］馮苜川.基于Cloudstack云平臺的Pfsense軟件防火墻的分析與測試［D］.北京郵電大學，2015.

［12］Zhang-Feng H U，Guo C M，Xue-Yao B I.Research on Cloud Computing，SDN and Security Technology［J］.Netinfo Security，2013，28（6）：78-85.

［13］Mayoral A，Vilalta R，Munoz R，et al.Experimental validation of automatic lightpath establishment integrating Open-DayLight SDN controller and Active Stateful PCE within the ADRENALINE testbed［C］//Transparent Optical Networks （ICTON），International Conference on.IEEE：New York， USA.2014：1-4.

［14］亞森·艾則孜，迪里夏提·買買提，如先故力·阿布都熱西提.基于Google Web API的單機版維文元搜索引擎技術研究［J］.信息網絡安全，2011，11（5）：77-80.

［15］林闖，蘇文博，孟坤，等.云計算安全：架構、機制與模型評價［J］.計算機學報，2013，36（9）：1765-1784.

［16］Cao N，Wang C，Li M，et al.Privacy-Preserving Multi-Keyword ranked search over encrypted cloud data［J］.Parallel& Distributed Systems IEEE Transactions on，2014，25（1）：222-233.

Analysis and protection strategy of power data center security based on cloud computing and SDN technology

LIU Chuan1，LI Zhi-wei2，SHEN Wei-kang2
（1.The Smart Grid Research Institute of National Grid，Nanjing 210003，China；2.College of Communication Engineering，Nanjing Institute of Technology，Nanjing 211167，China）

For the security issues of data center in the power system，the security problems and the special application scenarios of the power system under the current Internet based on cloud computing and SDN technology are analyzed，and the security of power system data center is analyzed，and some protection strategies are put forward.Proposed framework concentrates in the SDN controller，which includes south interface，service abstraction layer，north interface from top to bottom.Users of different scenarios can be guaranteed by modeling the security threat and analyzing attack surface，which has a high feasibility.

cloud computing；software defined networking（SDN）；power data center；information security；north to interface；controller

TN919

A

1674－6236（2016）09-0136-03

2015-12-18稿件編號：201512199

國家電網公司2014年科技項目（5455HT150017）；江蘇省未來網絡創新研究院未來網絡前瞻性研究項目（BY2013095-4-07）

劉 川（1986—），男，江蘇南京人，碩士，工程師。研究方向：電力通信、未來網絡技術等。