The largest field of study in OpenF

The largest field of study in OpenFlow is the mitigation of Denial of Service, since the attack
can be seen as the most severe threat in the network. It is preferable to implement features
capable of autonomous limiting or blocking of packet floods to provide a network ”healing”
mechanism without any administrator interference. While the SDN concept introduces multiple DoS risks, most notably the control plane saturation and resource consumption attacks
(see Section 3.2.6), it also provides many opportunities to quickly stifle flooding. The first
and foremost priority of DoS mitigation in SDN is to assure an undisturbed control plane
communication process in order to retain control over the network.
To protect the controller from packet flooding the concrete solution AVANT-GUARD [112]
is proposed, which implements additional security features in the switches and thus the data
plane. Shin et al., 2014 [112] develop the new connection migration module in OpenFlow
switches, which effectively acts as proxy to shield the control plane from TCP SYN floods.
The switch stores SYN cookies, drops unfinished handshakes, and forwards legitimate con
nection attempts to the controller, acting as protective wall for vulnerable network servers.
Secondly, if certain predefined conditions are measured or fulfilled, the switch utilises a newly
implemented actuating triggers module and actives a flow table which handles the new network event and drops, redirects, or limits traffic. DoS attacks are prevented and handled
without any manual interference. A bonus feature is the hampering of port scans, as the
AVANT-GUARD switch responds to every TCP SYN packet. A malicious scan identifies
all possible ports as opened, effectively clouding any existent active ports for an attacker.
Simultaneously, the scan is reported to the SIEM or controller. Nevertheless, there are several flaws in the protective SDN switch approach of AVANT-GUARD. The framework itself
is elaborate and costly to implement, since virtual or actual hardware switches have to be
modified to incorporate the module. Similarly, the OpenFlow standard has to be extended
to support new messages and controllers must be modified accordingly. The proxy layer is
only able to prevent TCP requests, not ICMP or UDP flooding. Furthermore, Ambrosi et
al., 2015 [113] highlight the switch itself as significant weakness and demonstrate new attack methods. It is possible to disturb any TCP communication that is passing the switch by
establishing legitimate TCP connections and filling the proxy buffer of the device. Any new
clients are then rendered unable to establish a connection over the targeted switch.

Kết quả (Việt) 1:

Ngành học trong OpenFlow, lớn nhất là giảm nhẹ từ chối dịch vụ, kể từ khi cuộc tấn côngcó thể được xem như là mối đe dọa nghiêm trọng nhất trong mạng. Nó là thích hợp hơn để thực hiện tính năngcó khả năng tự trị hạn chế hoặc ngăn chặn lũ lụt gói cung cấp một mạng "chữa bệnh"cơ chế mà không có bất kỳ sự can thiệp của người quản trị. Trong khi khái niệm SDN giới thiệu nhiều DoS rủi ro, đặc biệt là các điều khiển máy bay bão hòa và tài nguyên tiêu thụ cuộc tấn công(xem phần 3.2.6), nó cũng cung cấp nhiều cơ hội để nhanh chóng dập tắt lũ lụt. Người đầu tiênvà các ưu tiên quan trọng nhất của DoS giảm nhẹ trong SDN là để đảm bảo một máy bay kiểm soát không bị ảnh hưởngquá trình giao tiếp để giữ lại quyền kiểm soát trên mạng.Để bảo vệ bộ điều khiển từ gói lũ lụt các giải pháp cụ thể AVANT-bảo vệ [112]được đề xuất, mà thực hiện tính năng bảo mật bổ sung trong các thiết bị chuyển mạch và do đó các dữ liệumáy bay. Shin et al., năm 2014 [112] phát triển các mô-đun di chuyển kết nối mới trong OpenFlowthiết bị chuyển mạch, mà có hiệu quả hoạt động như proxy để che chắn máy bay điều khiển từ TCP SYN lũ lụt.Chuyển đổi lưu trữ SYN cookie, giọt cái bắt tay chưa hoàn thành, và chuyển tiếp hợp pháp connection cố gắng điều khiển, vai trò bảo vệ bức tường cho hệ phục vụ mạng dễ bị tổn thương.Thứ hai, nếu một số điều kiện được xác định trước được đo hoặc hoàn thành, các chuyển đổi sử dụng một mớithực hiện actuating gây nên mô-đun và actives một bảng dòng chảy mà xử lý sự kiện mạng mới và giọt, chuyển hướng, hoặc giới hạn lưu lượng truy cập. Cuộc tấn công doS được ngăn chặn và xử lýmà không có bất kỳ sự can thiệp bằng tay. Một tính năng tiền thưởng là ngăn trở cổng quét, như cácAVANT-GUARD chuyển đổi đáp ứng mỗi gói TCP SYN. Xác định một quét độc hạiTất cả có thể cảng như mở, có hiệu quả clouding bất kỳ cổng hoạt động tồn tại cho một kẻ tấn công.Đồng thời, việc quét được báo cáo để Xiêm hoặc điều khiển. Tuy nhiên, có rất nhiều sai sót trong cách tiếp cận chuyển đổi SDN bảo vệ của AVANT-bảo vệ. Khuôn khổ chính nólà phức tạp và tốn kém để thực hiện, kể từ khi thiết bị chuyển mạch ảo hoặc thực tế phần cứng có thểSửa đổi để kết hợp các mô-đun. Tương tự như vậy, các tiêu chuẩn OpenFlow đã được mở rộngđể hỗ trợ các thư mới và bộ điều khiển phải được thay đổi cho phù hợp. Lớp proxy làchỉ có thể để ngăn chặn yêu cầu TCP, không ICMP hoặc UDP lũ lụt. Hơn nữa, Ambrosi etvà những người khác, năm 2015 [113] làm nổi bật chuyển đổi chính nó như là đáng kể điểm yếu và chứng minh phương pháp tấn công mới. Ta có thể làm phiền bất kỳ giao tiếp TCP đi qua chuyển đổi bởithiết lập kết nối TCP hợp pháp và điền vào các bộ đệm proxy của thiết bị. Bất kỳ mớikhách hàng sau đó được trả lại không thể thiết lập một kết nối qua việc chuyển đổi được nhắm mục tiêu.

Kết quả (Việt) 2:

Các lĩnh vực lớn nhất của nghiên cứu trong OpenFlow là việc giảm thiểu các tấn công từ chối dịch vụ, kể từ khi các cuộc tấn công
có thể được xem là mối đe dọa nghiêm trọng nhất trong mạng. Đó là một lợi thế để thực hiện các tính năng
có khả năng tự trị hạn chế hoặc ngăn chặn lũ lụt gói để cung cấp một mạng lưới "chữa bệnh"
cơ chế mà không cần bất kỳ sự can thiệp quản trị. Trong khi khái niệm SDN giới thiệu DoS nhiều rủi ro, đặc biệt nhất là bão hòa phẳng điều khiển và tấn công tiêu thụ tài nguyên
(xem Phần 3.2.6), nó cũng cung cấp nhiều cơ hội để nhanh chóng kiềm chế lũ lụt. Việc đầu tiên
ưu tiên và quan trọng nhất cho việc giảm nhẹ DoS trong SDN là để đảm bảo một mặt phẳng điều khiển không bị xáo trộn
quá trình giao tiếp nhằm duy trì quyền kiểm soát mạng.
Để bảo vệ các bộ điều khiển từ gói ngập các giải pháp cụ thể AVANT-GUARD [112]
được đề xuất, mà thực hiện thêm tính năng bảo mật trong các chuyển mạch và do đó các dữ liệu
máy bay. Shin et al., 2014 [112] phát triển các mô-đun chuyển đổi kết nối mới trong OpenFlow
tắc, mà có hiệu quả hoạt động như proxy để che chắn các máy bay điều khiển từ lũ lụt TCP SYN.
Các cửa hàng chuyển đổi SYN cookies, xuống bắt tay chưa hoàn thành, và tiền đạo con hợp pháp
nỗ lực mối liên với bộ điều khiển, hoạt động như bức tường bảo vệ cho các máy chủ mạng dễ bị tổn thương.
Thứ hai, nếu có điều kiện được xác định trước nào đó được đo hoặc hoàn thành, việc chuyển đổi sử dụng một mới
gạt thực hiện kích hoạt module và Actives một bảng dòng chảy đó xử lý các sự kiện mạng mới và giọt, chuyển hướng, hoặc giới hạn lưu lượng truy cập. Các cuộc tấn công DoS được ngăn chặn và xử lý
mà không cần bất kỳ sự can thiệp của nhãn hiệu. Một tính năng tiền thưởng là những cản trở của cổng quét, như
chuyển đổi AVANT-GUARD phản ứng với mỗi gói tin TCP SYN. Một quét độc hại xác định
tất cả các cổng có thể là mở ra, kéo mây hiệu quả bất kỳ cảng hoạt động nào đối với một kẻ tấn công.
Đồng thời, quá trình quét được báo cáo với SIEM hoặc điều khiển. Tuy nhiên, có một số sai sót trong phương pháp tiếp cận SDN tắc bảo vệ của AVANT-GUARD. Các khuôn khổ chính nó
là phức tạp và tốn kém để thực hiện, kể từ switch phần cứng ảo hay thực tế phải được
sửa đổi để kết hợp các mô-đun. Tương tự như vậy, các tiêu chuẩn OpenFlow có được mở rộng
để hỗ trợ tin nhắn mới và bộ điều khiển phải được sửa đổi cho phù hợp. Lớp proxy là
chỉ có thể ngăn chặn các yêu cầu TCP, UDP không ICMP hoặc lũ lụt. Hơn nữa, Ambrosi et
al., 2015 [113] làm nổi bật công tắc chính nó như là điểm yếu đáng kể và chứng minh phương pháp tấn công mới. Nó có thể làm phiền bất kỳ giao tiếp TCP đó là đi qua các switch bằng cách
thiết lập kết nối TCP hợp pháp và làm đầy bộ đệm proxy của thiết bị. Bất kỳ mới
cho khách hàng sau đó được trả lại không thể thiết lập một kết nối qua công tắc mục tiêu.