III. A BRIEF SURVEY ON OPENFLOW BAS

III. A BRIEF SURVEY ON OPENFLOW BASED SOLUTIONS
FOR IMPROVING NETWORKING SECURITY
Some recent works exploit the potentialities of OpenFlow based platforms to implement security techniques. In [3],
authors argue that the SDN paradigm can make the imple-
mentation of traffic anomaly detection easier by using the
well-known NOX [4] OpenFlow controller in SOHO (small
office/home office) networks. They implement four different
anomaly detection algorithms as applications on the controller
and show that they are able to work at line rate withoutaffecting the home-network related traffic. The results point
out the programmability of SDN, in the sense that it allows
to implement line-rate detection of network vulnerabilities
exploitation and also risk mitigation: once the anomaly is
detected, a fast reaction can be spread all over the network. In
[5] Khan et al. take advantage of an OpenFlow testbed with
a NOX controller to implement the detection of P2P traffic
based on network layer features. The controller is used to
extract network features from the flow-tables of the switches,
which are then evaluated and selected using their discriminatory power. This approach can exploit the granularity of
the flow based traffic, instead of the classical deep packet
inspection detectors, by guaranteeing a high level of privacy preservation and accuracy, while having a low deployment
and management cost. Braga et al. [6] face a known security
problem, which is the Distributed Denial of Service. Their
proposal aims at minimizing the overhead due to the extraction
of network features used in the detection process. They built
an application on top of a NOX controller which consists in
three different modules:
1) the Flow Collector which is in charge of periodically
requesting flows to the OpenFlow switches through the
secure channel;
2) the Flow Extractor which is able to obtain the features
involved in the classification of normal malicious traffic;
3) the Classifier that receives the features selected by
the module above and uses a self organizing map (an
unsupervised classifier) to detect potential DDoS attacks.
The work shows the great flexibility of implementing a detector by using a standard interface (the OpenFlow protocol)
to obtain information about flows in the network. Results
underline that the detection and false alarm rates are close
to the other approaches, but at the same time it is assured a
low overhead rate. This is due to the fact that this approach
does not have to collect every packet directed to the victim
node to obtain the information needed by the classification
process. Wang et al. [7] suggest a flexible security management
architecture for large-scale production networks to overcome
the drawbacks of the existing static solutions, by considering
the peculiarities of data center networks. The main aims of
such an architecture are:

Kết quả (Việt) 1:

III. A giới thiệu tóm tắt khảo sát trên OPENFLOW dựa giải pháp
cho việc cải thiện mạng an ninh
một số tác phẩm gần đây khai thác tiềm OpenFlow dựa trên nền tảng để thực hiện các kỹ thuật bảo mật. [3],
tác giả cho rằng các mô hình SDN có thể làm cho imple-
dùng traffic bất thường phát hiện dễ dàng hơn bằng cách sử dụng các
điều khiển NOX [4] OpenFlow cũng được biết đến trong SOHO (nhỏ
office/nhà office) mạng. Họ thực hiện bốn khác nhau
thuật toán phát hiện bất thường như ứng dụng trên bộ điều khiển
và hiển thị rằng họ có thể làm việc tại dòng tỷ lệ withoutaffecting traffic liên quan đến mạng lưới nhà. Kết quả điểm
trong lập trình SDN, trong ý nghĩa nó cho phép
để thực hiện tỷ lệ dòng phát hiện lỗ hổng mạng
khai thác và cũng có thể giảm thiểu nguy cơ: một khi sự bất thường là
phát hiện, một phản ứng nhanh chóng có thể được lan truyền trên toàn mạng. Ở
[5] Khan et al. tận dụng lợi thế của một thử nghiệm OpenFlow với
một bộ điều khiển NOX để thực hiện việc phát hiện của P2P traffic
dựa trên tính năng lớp mạng. Bộ điều khiển được sử dụng để
trích xuất các tính năng mạng từ bảng flow thiết bị chuyển mạch,
mà là sau đó đánh giá và lựa chọn bằng cách sử dụng sức mạnh phân biệt đối xử của họ. Cách tiếp cận này có thể khai thác granularity của
flow dựa trên traffic, thay vì sâu gói cổ điển
kiểm tra phát hiện, bởi đảm bảo một mức độ cao của bảo tồn bảo mật và tính chính xác, trong khi có một đợt hoạt động thấp
và quản lý chi phí. Braga et al. [6] đối mặt với một bảo mật được biết đến
vấn đề, mà là các phân phối từ chối dịch vụ. Của họ
đề nghị nhằm giảm thiểu chi phí do khai thác
tính năng mạng được sử dụng trong quá trình phát hiện. Họ xây dựng
một ứng dụng trên đầu trang của một bộ điều khiển NOX bao gồm trong
ba mô-đun khác nhau:
1) các bộ thu chảy là ph của định kỳ
yêu cầu flows để chuyển mạch OpenFlow thông qua các
an toàn kênh;
2) các dòng chảy Extractor có khả năng để có được các tính năng
tham gia vào classification bình thường độc hại traffic;
3) Classifier nhận được các tính năng được lựa chọn bởi
mô-đun trên và sử dụng một tổ chức tự bản đồ (một
không có giám sát classifier) để phát hiện tiềm năng cuộc tấn công DDoS.
cho thấy công việc flexibility lớn của việc thực hiện một máy dò bằng cách sử dụng một tiêu chuẩn giao diện (giao thức OpenFlow)
để có được thông tin về flows trong mạng. Kết quả
gạch dưới mức phát hiện và báo động giả đang đóng
để các phương pháp tiếp cận khác, nhưng đồng thời nó được đảm bảo một
tỷ lệ thấp trên không. Điều này là do thực tế rằng điều này tiếp cận
không có để thu thập mỗi gói dẫn đến nạn nhân
nút để có được thông tin cần thiết bởi classification
quá trình. Wang et al. [7] đề nghị một quản lý an ninh RMIT
kiến trúc cho mạng lưới sản xuất quy mô lớn để vượt qua
những hạn chế của các giải pháp tĩnh hiện có, bằng cách xem xét
peculiarities của dữ liệu trung tâm mạng. Chính nhằm mục đích của
một kiến trúc:

Kết quả (Việt) 2:

III. Một KHẢO SÁT SƠ LƯỢC VỀ OpenFlow DỰA GIẢI PHÁP
CẢI THIỆN MẠNG LƯỚI AN NINH
Một số công trình gần đây khai thác những tiềm năng của nền tảng OpenFlow dựa để thực hiện các kỹ thuật an ninh. Trong [3],
tác giả cho rằng mô hình SDN có thể làm cho quá trình thực-
mún phát hiện bất thường của lưu lượng truy cập dễ dàng hơn bằng cách sử dụng các
NOX nổi tiếng [4] điều khiển OpenFlow trong SOHO (nhỏ
văn phòng văn phòng / nhà) mạng. Họ thực hiện bốn khác nhau
thuật toán phát hiện bất thường như các ứng dụng trên bộ điều khiển
và cho thấy rằng họ có thể làm việc ở tốc độ đường truyền withoutaffecting giao thông liên quan đến nhà mạng. Kết quả chỉ
ra khả năng lập trình của SDN, theo nghĩa là nó cho phép
để thực hiện phát hiện dòng tốc độ của các lỗ hổng mạng
, khai thác và cũng giảm thiểu rủi ro: một khi sự bất thường được
phát hiện, phản ứng nhanh có thể lây lan trên toàn mạng. Trong
[5] Khan et al. tận dụng lợi thế của một thử nghiệm OpenFlow với
một bộ điều khiển NOX để thực hiện việc phát hiện giao thông P2P
dựa trên tính năng lớp mạng. Bộ điều khiển được sử dụng để
trích xuất các tính năng mạng từ dòng chảy-bảng công tắc,
mà sau đó được đánh giá và lựa chọn sử dụng khả năng phân biệt của họ. Cách tiếp cận này có thể khai thác các chi tiết của các
lưu lượng dòng chảy dựa, thay vì các gói tin sâu cổ điển
phát hiện kiểm tra, bằng cách đảm bảo một mức độ cao về bảo quản riêng tư và độ chính xác, trong khi có một triển khai thấp
và chi phí quản lý. Braga et al. [6] đối mặt với một bảo mật được biết đến
vấn đề, ​​đó là tấn công từ chối phân phối dịch vụ. Họ
đề xuất nhằm giảm thiểu các chi phí do việc khai thác
các tính năng mạng được sử dụng trong quá trình phát hiện. Họ xây dựng
một ứng dụng trên đầu trang của một bộ điều khiển NOX trong đó bao gồm trong
ba mô-đun khác nhau:
1) Flow sưu tập đó là phụ trách theo định kỳ
yêu cầu chảy vào OpenFlow switch thông qua các
kênh an toàn;
2) Flow Extractor có khả năng để có được các tính năng
liên quan đến việc phân loại lưu lượng truy cập độc hại bình thường;
3) phân loại tiếp nhận các tính năng lựa chọn
các mô-đun trên và sử dụng một bản đồ tự tổ chức (một
. phân loại không giám sát) để phát hiện các cuộc tấn công DDoS tiềm năng
làm việc cho thấy sự linh hoạt tuyệt vời của việc thực hiện một máy dò bằng cách sử dụng một giao diện tiêu chuẩn (giao thức OpenFlow)
để có được thông tin về dòng chảy trong mạng. Kết quả
nhấn mạnh rằng việc phát hiện và phát hiện nhầm là gần
với các phương pháp khác, nhưng đồng thời nó được đảm bảo một
tỷ lệ phí thấp. Điều này là do thực tế là phương pháp này
không phải thu thập tất cả các gói tin hướng đến nạn nhân
nút để có được những thông tin cần thiết cho việc phân loại
quá trình. Wang et al. [7] đề xuất một quản lý an ninh linh hoạt
kiến trúc cho mạng lưới sản xuất quy mô lớn để vượt qua
những hạn chế của các giải pháp tĩnh hiện tại, bằng cách xem xét
những đặc thù của các mạng trung tâm dữ liệu. Mục tiêu chính của
một kiến trúc đó là: