《OpenFlow與SDN的殺手級利用》中覺得集中節(jié)制和大年夜范圍主動化將是軟件定義收集的核心功能——最終實現(xiàn)適應(yīng)性主動化收集安然。這個愿景正開端變成實際。由SDN實現(xiàn)的集中節(jié)制最終將帶來安然定義路由及其他SDN安然策略，它們可能完全改變我們定義收集及其利用或數(shù)據(jù)的編制。
甚么是安然定義路由?
德克薩斯州A&M博士生Seungwon Shin的科研工作是闡發(fā)SDN將若何改變收集安然性。Shin在大年夜學(xué)期間頒發(fā)了兩篇關(guān)于SDN收集安然策略的文章。第一篇是“CloudWatcher：在動態(tài)云收集中利用OpenFlow實現(xiàn)收集安然監(jiān)控”，介紹了一種在云環(huán)境中利用SDN節(jié)制平臺(如NOX和Beacon——最初由斯坦福大年夜學(xué)開辟的OpenFlow SDN節(jié)制器)履行安然監(jiān)控的編制。
Shin與其博士生同窗Guofei Gu一路設(shè)計了一種新的策略說話，它可用于辨認(rèn)收集設(shè)備及其特別的監(jiān)控功能集。經(jīng)由過程利用這類說話，節(jié)制器便可以直接監(jiān)控指定設(shè)備之間的流量。它們還可以主動將云環(huán)境中的虛擬機遷徙流量及其他動態(tài)事務(wù)的流量轉(zhuǎn)發(fā)到其他收集位置。這意味著它們可以將流量傳輸?shù)竭M侵防御系統(tǒng)(IDS)，承諾安然團隊按照需要監(jiān)控超動態(tài)環(huán)境的事務(wù)。在這類模型中，Shin和Gu實際上設(shè)計了安然定義路由與流量節(jié)制的根本——即便仍然利用傳統(tǒng)收集安然節(jié)制。
OpenFlow節(jié)制的SDN安然利用
在Shin的第二篇論文“FRESCO：模塊化可組合的軟件定義收集安然辦事”中，Shin與同窗們一路切磋了SDN(出格是OpenFlow)所貧乏的決定性安然利用，并且提出一個面向SDN安然用例的新開辟框架FRESCO。這個框架的腳本功能承諾安然人員成立新的模塊化庫，整合和擴大安然功能，從而利用OpenFlow節(jié)制器和硬件進行節(jié)制和治理流量。FRESCO包含16個模塊，此中每個都有5個接口：輸進、輸出、事務(wù)、參數(shù)和把持。經(jīng)由過程將這些值分派給這些接口，便可以實現(xiàn)良多通用收集安然平臺和功能，從而替代防火墻、IDS和流量治理東西。
SDN和主動化收集安然的實踐利用
當(dāng)然這些概念仍然在學(xué)術(shù)研究階段，可是供給商和尺度組織已有良多實現(xiàn)基于SDN安然策略的實際例子。例如，sflow.com網(wǎng)站上有一篇博客“sFlow Packet Broker”，它介紹了一個簡單的Python腳本，它可以將inMon的Flow-RT節(jié)制器利用建設(shè)為監(jiān)控所有流量，專門查找通向TCP端口22(SSH)的通用路由封裝(Generic Route Encapsulation)通道的流量。一旦檢測有標(biāo)題問題標(biāo)流量，它就會生成一個警報，從而觸發(fā)闡發(fā)捕獲到的數(shù)據(jù)包。這些警報還會產(chǎn)生更多高級響應(yīng)，如用于流量節(jié)制的防火墻集成API、開放或封鎖的端口、將流量移到其他網(wǎng)段或VLAN，等等。
同時，虛擬防火墻也已可利用開放API將安然功能整合到收集中。Netuitive公司產(chǎn)品治理主管Richard Park寫過一篇博客，此中他介紹了如安在Perl代碼中利用一個RESTful API查詢和更新VMware vShield的防火墻法則， 而這只是冰山之一角。在呈現(xiàn)新的SDN東西和編制平臺以后，大年夜大都收集安然檢測和響應(yīng)功能很快都變得愈來愈主動化，撐持加倍快速的不測措置，并且在報復(fù)打擊產(chǎn)生時闡揚像“輔助呼吸室”一樣的感化。
跟著愈來愈多像FRESCO如許的東西呈現(xiàn)，收集和虛擬化供給商推出了面向主動化和編制的新型API，并且對一些和談(如OpenFlow)和尺度(如sFlow)的撐持也愈來愈好，我們將最終看到更好地集成到收集中的適應(yīng)性安然產(chǎn)品。