基于SDN的異構型物聯網安全解決方案研究

侯明星+亓慧

摘 要：隨著異構型物聯網的廣泛部署，其中傳輸的海量數據和隱私信息正面臨日趨嚴重的安全威脅。相比于傳統網絡，異構型物聯網的特殊性和復雜性使得傳統的安全防御手段不再適用，因此，文中提出了一種基于SDN的異構型物聯網安全解決方案。利用SDN控制層與數據層解耦、網絡虛擬化等優勢，配合OpenFlow技術，整合全網安全資源，集中分析處理異構型物聯網的各層安全問題，簡化物聯網終端的安全設施部署，構建起端到端的異構型物聯網安全防御體系。

關鍵詞：SDN；OpenFlow技術；異構型物聯網；網絡安全

中圖分類號：TP391；TN929.5 文獻標識碼：A 文章編號：2095-1302（2017）12-00-03

0 引 言

近年來，隨著網絡通信技術的不斷發展和各種智能終端設備的飛速普及，實現海量終端間互聯互通的物聯網（Internet of Things，IoT）正在進行廣泛部署[1]。然而，隨著連接設備的不斷增加與連接規模以及應用場景的不斷擴展，物聯網龐大的網絡體系和其中流轉的海量數據正面臨著巨大的安全挑戰，儼然已成為制約物聯網發展的瓶頸之一，無論是信息泄露、系統破壞或者被外部控制，都會造成嚴重損失[2，3]。因此，物聯網數據安全與隱私保護問題受到了愈來愈多的關注，也成為了物聯網領域的研究熱點之一。

相較于傳統網絡，物聯網的感知節點大多部署于無人值守的環境中，具有能力脆弱、資源受限等特點，導致傳統的網絡安全防御手段不再適用，從而使得物聯網的安全問題具有很大的特殊性。因此，在解決物聯網安全問題時，必須根據物聯網自身的特點設計相關的安全機制。

基于上述需求，本文提出了一種基于軟件定義網絡（SDN）的異構型物聯網安全解決方案，應用SDN技術在物聯網的網絡層和應用層，將網絡控制與業務轉發相分離，通過網絡虛擬化，將網絡安全作為一種應用面向物聯網用戶提供服務，實現對網絡安全資源的集中調度、網絡安全標準的統一整合和網絡安全策略的靈活配置[4，5]。

1 異構型物聯網面臨的主要安全問題

隨著物聯網的廣泛部署，在同一環境中經常會存在多種不同類型的物聯網互聯以共享數據，即形成了異構型網絡。在異構型物聯網中，由于感知設備、網絡拓撲、數據類型、傳輸協議各異，導致面臨的安全問題更加復雜棘手。

物聯網安全的總體需求是物理安全、信息采集安全、信息傳輸安全和信息處理安全的綜合，安全的最終目標是確保信息的機密性、完整性、真實性和網絡容錯性。因此，結合異構型物聯網的連接和管理（DCM）模式，本節給出了相應的安全層次模型，如圖1所示，并對每層所面臨的安全問題進行系統闡述[6]。

根據功能的不同，物聯網網絡體系結構主要分為3個邏輯層。底層是進行信息采集的感知層，中間層是進行數據傳輸的網絡層，頂層則是包括管理服務層和綜合應用層的應用/中間件層。

1.1 感知層的安全問題

物聯網感知層用以智能感知外界信息，包括信息采集、捕獲和物體識別。該層的典型設備包括RFID裝置和各類傳感器（紅外、超聲、溫度、濕度、速度傳感器）等。

傳感器作為物聯網的基礎單元，決定著物聯網感知任務的成敗，由于感知層的泛Sensor無處不在，導致IoT終端不可信，主要存在如下安全問題：

（1）終端在戶外分散安裝，易被接觸又未納入管理，容易遭到物理攻擊、篡改和仿冒；

（2）終端驅動的不可信，可能導致泄密和被控制；

（3）OS或軟件過時，漏洞無法及時修復；

（4）考慮到成本問題，終端資源計算能力有限，防病毒等傳統的保護手段和高安全技術可能無法應用。

1.2 網絡層的安全問題

物聯網網絡層主要實現信息的轉發和傳送，它將感知層獲取的信息傳送到遠端，為數據在遠端進行智能處理和分析決策提供強有力的支持。考慮到物聯網本身具有專業性的特征，其基礎網絡可以是互聯網，也可以是具體的某個行業網絡。網絡層IP化和融合化打開了威脅的大門，因此物聯網的網絡層安全問題主要體現在如下幾個方面：

（1）無線協議本身存在缺陷，如缺乏有效認證可能導致接入側泄密；

（2）封閉的工業應用與協議無法被安全設備識別，被篡改和入侵后無法及時發現；

（3）未加密的通信過程容易遭受劫持、重放、篡改和竊聽等中間人攻擊；

（4）IP化后面臨IP體系的安全問題，如來自互聯網的攻擊和入侵。

1.3 應用層的安全問題

物聯網應用是信息技術與行業專業技術緊密結合的產物。物聯網應用層充分體現了物聯網智能處理的特點，涉及業務管理、中間件、數據挖掘等技術。考慮到物聯網涉及多領域、多行業，因此，廣域范圍的海量數據信息處理和業務控制策略將在安全性和可靠性方面面臨巨大挑戰，特別是業務控制、管理和認證機制、中間件以及隱私保護等安全問題尤為突出，主要包括以下幾個方面：

（1）平臺層管理的設備分散繁多，設備升級過程和安全狀態等難以管理；

（2）新的通信協議可能引起應用層的安全問題，導致出現漏洞，比如畸形攻擊、泛洪攻擊等；

（3）新平臺自身存在的漏洞和API開放等容易引入新的風險；

（4）越權訪問導致隱私和安全憑證等重要數據有被泄露的風險；

（5）應用豐富、數據中心出口多，DDoS等網絡攻擊風險高；

（6）參差不齊的IoT應用存在不可信風險。

此外，設備、網絡和應用的廠商存在差異，導致單一廠商無法進行全面的安全防護，甚至無法看到整個攻擊面。

綜上所述，異構型物聯網的各個層面均面臨多種安全威脅，即使分別保證感知層、網絡層和應用層的安全，也無法保證整個物聯網的安全。這是因為物聯網是融多層于一體的大系統，許多安全問題具有多層次、多維度等特點，而傳統的安全防御手段難以有效應對物聯網中的各種安全威脅，因此需要研究建立一體化的端到端安全防御體系，確保即使物聯網在遭遇攻擊時整個系統仍可持續運行。endprint

2 基于SDN的異構型物聯網安全方案

SDN采用與傳統網絡截然不同的控制架構，解耦網絡控制層面和轉發層面，采用集中控制替代原有的分布式控制，并通過開放和可編程接口實現“軟件定義”。基于SDN的新型物聯網架構如圖2所示。與傳統物聯網架構相比，基于SDN的物聯網架構具有以下3個顯著優勢：

（1）統一控制物聯網中的海量數據在泛感知節點與分布式數據中心間進行相互傳遞；

（2）統一協調全網的存儲、計算等資源；

（3）統一對全網數據進行處理并做出整體決策。

本文將SDN引入異構型物聯網中，借助網絡虛擬化和OpenFlow技術[7]與OPenFlow安全網關、SDN控制器、安全控制器/服務器、應用層網絡安全服務，構建全網統一安全監控管理平臺[8]，通過全網態勢感知，及時發現安全異常，并統一調度全網安全設備，實現對已知和未知威脅的主動防御，實現端到端的一體化安全防御體系。基于SDN的異構型物聯網安全防御系統方案如圖3所示。

2.1 OpenFlow安全網關

在異構型物聯網中，使用網關可以支持多種不同類型物聯網互聯，并且能夠消除不同物聯網中多種感知設備所采集數據類型間存在的差異，由此可簡化整個異構型網絡架構和其中的數據通信管理。基于OpenFlow的安全網關包含多種流量表和群組表，可以執行數據包的查詢和轉發等操作，以及實現不同類型物聯網的互聯，向下為感知層傳感器接入網絡提供接口，向上通過南向接口支持上層SDN控制器規劃全網流量路徑，可任意增加、更新或者刪除網關中的流規則，實現高效的全網流量管理。

2.2 SDN控制器、安全控制器/服務器

SDN控制器具備對網絡進行集中管控的能力，SDN控制器通過標準化的南向接口協議OpenFlow管理底層的物理網絡和設置的虛擬網絡，通過北向API接口向上層提供服務，屏蔽了具體物理設備的細節。在控制層增加網絡安全系統模塊，主要包括網絡安全控制器和安全策略服務器。網絡安全控制器是一個安全服務執行單元，監控下層網絡的安全狀態，并根據網絡和用戶需要執行相應的安全策略等。安全策略服務器主要負責根據用戶申請的業務情況向上層安全應用訂閱相關服務，并存儲上層應用提供的安全策略，供網絡安全控制器查詢使用。

2.3 應用層網絡安全服務

在SDN控制層的網絡安全系統模塊上運行著不同的應用層網絡安全服務，可實現流量監控，威脅/異常檢測和威脅/異常消除等功能。處理流程可以歸結為以下幾方面：

（1）數據收集分析服務：數據收集分析服務通過下層SDN控制器收集全網流量數據，并進行實時數據統計分析， 然后在周期時隙內將分析結果傳遞給威脅/異常檢測服務模塊；

（2）威脅/異常檢測服務：該服務按照一定的周期時隙接收數據收集分析服務傳來的數據，并將這些數據與基于云的病毒特征庫和惡意軟件庫進行比對校驗，快速判斷這些數據是否具有安全風險，并生成相應的安全報告，若發現異常威脅，則將消息傳遞給威脅/異常消除服務模塊，由該模塊進行處理；

（3）威脅/異常消除服務：該服務基于上一環節的異常檢測結果，生成相應的安全配置策略，并驅動SDN控制器增加、更新或刪除OpenFlow安全網關中的流規則 （具有最高優先級），實現安全威脅的阻斷與消除。

綜上所述，基于SDN和OpenFlow技術的異構型物聯網安全體系，通過全網安全資源的集中控制與統一調度，實現了全網的智能安全態勢感知和安全防護，成功構建起端到端的異構型物聯網安全防御體系。

3 結 語

本文針對異構型物聯網發展過程中，傳統安全手段無法解決其所面臨的數據安全與隱私保護等問題，提出了基于SDN的新型安全解決方案。利用SDN數據層與控制層相解耦的靈活架構，并結合OpenFlow技術，通過全網安全資源的集中控制與統一調度，實現了端到端的異構型物聯網安全防御新機制。

在下一步工作中，將建立基于SDN的異構型物聯網安全方案的仿真模型，對其各方面性能進行評估和研究。

參考文獻

[1] Evans， Dave. The Internet of Things： How the Next Evolution of the Internet Is Changing Everything[Z]. CISCO white paper （2011）.

[2] Yu T， Sekar V， Seshan S， et al. Handling a Trillion （unfixable） Flaws on a Billion Devices： Rethinking Network Security for the Internet-of-Things[C]. ACM Workshop， 2015： 1-7.

[3] J H Ziegeldorf， O Garcia Morchon， K Wehrle. Privacy in the Internet of Things： Threats and Challenges[J]. Security and Communication Networks，2015，7（12）：2728-2742.

[4] Manar Jammal，Taranpreer Singh，Abdallah Shami，et al. Software defined networking： State of the art and research challenges. Computer Networks[J]. Computer Networks， 2014，72： 74-98.

[5]查勇.基于SDN的網絡架構在物聯網應用中的優勢分析與研究[J].電子技術與軟件工程，2015（4）： 9-10.

[6]劉宴兵，胡文平.物聯網安全模型及其關鍵技術[J].數字通信， 2010， 37（4）： 28-29.

[7] T Luo， H Tan， T Q S Quek. Sensor OpenFlow： Enabling Software-Defined Wireless Sensor Networks， Communications Letters[J].IEEE Communications Letters，2012，16（11）：1896-1899.

[8] Vandana C P. Security improvement in IoT based on Software Defined Networking（SDN）[J]. International Journal of Engineering and Technology Research，2016，5（1）.endprint