4th SDN Interest Group Seminar-Session 2-1(130313)

2013 OpenFlow Korea All Rights Reserved

SDN을 통한 강력하고 유연한 보안 솔루션

Mar, 2013

OpenFlow Korea

(www.OPENFLOW.or.kr)

발표자 : 안종석 기술매니저 [email protected]


Agenda

ONUG의 권장 5가지

SDN 관련 보안 트렌드

보안을 위한 Open Source / 표준 고려

OpenSAFE / FlowScale

가상화/SDN 관련 보안 제품 (예)

보안 관련 SDN 기업들

보안 비즈니스 모델(예)

방화벽 IDS/IPS TMS SP환경을 위한 Last Mile 서비스


ONUG의 권장 5가지

Open Networking User Group(ONUG) 의 SDN을 위한 5개 권장 사항

1. Open Network은 상호 호환하는 네트워크: OpenFlow등의 표준지원 SDN 콘트롤러들과 멀티벤더 스위치와 하이퍼바이저 등은 상호 동작하며, Software-Defined Network은 전 네트워크에서 물리/가상 스위치 들과 현재 를 포함 향 후 지원할 오버레이 까지 포함

2. Open Networking은 벤더들에 중립: 특정 벤더에 의존 하지 않고 복수의 하이퍼바이저, 콘트롤러, 물리/가상 스위치, 네트워크 서비스, 네트워크 실리콘 등과 원활하게 연결

3. Open networking은 노스바운드(Northbound) API를 통한 프로그램 가능한 네트워크를 의미: 네트워크 CLI(Command Line Interface) 나 자동화 프로비져닝 등을 지원하는 기기 애플리케이션 스토리지 오케스트레이션 등은 코딩없이 운영비를 현저하게 절감한다. 노스바운드 API는 새로운 애플리케이션이나 네트워크 서비스등 설계한 것을 혁신적인 모습으로 빠르게 시장에 제공한다.

4. 네트워크의 가시화(Visibility)와 모니터링(Monitoring)을 증가: 트러블슈팅, 설계, 트래픽 흐름의 최적화 등을 가시화 해야 한다. 여러가지 트래픽 분석이나 Big Data엔진들이 네트워크 운영 상태 등을 실시간으로 알 수 있도록 해야 한다.

5. Open Networking은 비즈니스 모델이 필요: 비즈니스 모델 개발은 재정/지원/서비스 만을 포함하는 것이 아니고, 혁신을 드라이브하고 리서치를 활성화 하며 벤더들 각각의 이익을 위한 SDN 적용 방해를 막을 수 있다.

2013년 2월 14일

Korea를 위한 비즈니스 모델


보안 트렌드

데이터넷 2013년 03월 06일 (수)

클라우드 지원 네트워크 보안 기술 줄이어

……….물리·가상 네트워크 상에서 보안 인텔리전스와 애플리케이션· 사용자 인식 기술을 제공하며, 하이퍼바이저에 대한 공격과 VM간의 공격을 방어한다. 가상 컨트롤러를 이용해 내부 VM의 트래픽을 제어하며, VM간유해 트래픽을 방어하고, 가상화 환경 가시성을 제공한다………..

SDN central By: Nikos Theodosopoulos Posted: Feb. 08, 2013

What (if Any) Part of the Networking Value Chain Will Be Disrupted by SDN?

….Now lets look at Layer 4-7 (e.g. security, load balancing, application delivery control, deep packet inspection etc.). What I find interesting here is several of the SDN private company fund raising in the past several months were for companies attacking this segment of the networking value chain. Several industry people I speak to suggest that Layer 4-7 will actually be the first area of SDN deployment in data centers given the need to provision and manage policies/applications/security at scale in the data center, which proves to be difficult when managing multiple single purpose appliances and that managing this in the application layer within the SDN model potentially provides a more flexible, elegant and scalable solution…..


보안을 위한 Open Source / 표준 고려

• FortNOX: 자바 기반의 SE-FloodLight (Security Extended version of BigSwitch)로 동일한 기능을 준비 중

– 공격 감지 (기존 센서 기술 응용 가능)

– Authentication (관리 인증)

– 스위치의 Flow 처리 성능 고려

– 시장에 Launching을 위한 준수사항과 인증 고려

• FRESCO: 오픈플로우 콘트롤러와 오픈플로우 애플리케이션 계층 사이에서 빠른 보안 이슈 감지와 완화 모듈들, 그리고 이들을 구성하여 보안 서비스를 효과적인 적용을 위한 OpenFlow 애플리케이션 프레임워크.

• Resonance: NOX와 OpenFlow를 사용하는 NAC(Network Access Control) 애플리케이션 (Georgia Tech University)

• Security Requirements in the Software Defined Networking Model : IETF에서 제안중인 프로토콜이며, 오픈플로우와 같이 SDN 콘트롤러등이나 애플리케이션들 사이에 추가적인 기능을 전재로 함

• Cloud Management Platform (CMP) 고려

– OpenStack의 Quantum (라우팅이나 보안 등의 기능 제공)

– Stateful Firewall 등 기타 보안 기능

– LBaaS (Load Balancing as a Service)


OpenSAFE / FlowScale


가상화/SDN 관련 보안 제품 (예)

• 방화벽 가상 어플라이언스 (Virtual Appliance) (예)

– 1 virtual CPU or 2 virtual CPUs at 1.5 GHz / RAM: 2 GB / Hard disk: 3 GB

– Network interfaces 3개: Data interface (VSG-to-VEM) / 관리 / High-availability interface

– 최대 성능 : 1.2 Gbps / 400 Mpps / 200,000 세션 / 초당 10,000 세션 / VPN 200 Mbps / 최대 VPN 터널 750

– 네트워크 기능: IEEE 802.1Q VLAN encapsulation / Traffic types: Unicast, broadcast, multicast, TCP, and User Datagram Protocol (UDP) / Jumbo frame support (up to 9216 bytes) / VXLAN aware

• UTM 가상 어플라이언스 (예)

– VMware, Citrix, Microsoft Hyper-V, KVM 지원

– Specifications: 1.5+ GHz processor / 1 GB RAM / 20 GB hard disk / Bootable CD-ROM / 2 or more network cards / 1 GB RAM / 40 GB IDE or SCSI hard disk drive / 3 PCI-NICs (Internet, Local Net, Demilitarized Zone)

• SSL VPN 게이트웨이 가상 어플라이언스 (예)

– License Server Licensing (설치 하드웨어 지정)

– Subscription Licensing (유지보수/지원 포함)

• 연수 선택 : 1,2,또는 3년

• 동시 사용자 수 선택 : 2500, 5000, 7500, 10K, 15K, 20K, 25K

일부 SDN 콘트롤러와 물리적 스위치는 이동하는 가상 어플라이언스의 VM을 자동으로 감지하여 이동한 위치에서 동일한 네트워크 정책을 유지 할 수 있음

NAC을 사용한 VM의 MAC인증으로 정책 적용하며 VM 스프롤(Sprawl) 제어 가능


보안 관련 SDN 기업들

1. Embrane : 가상화 환경에서 Site-to-Site VPN 기능을 가진 분산 방화벽, 분산 로드밸런서 그리고 이들을 관리하는 SDN 콘트롤러 제공하며, 운영 중에도 중단 없이 처리능력을 향상하거나 네트워크 삽입을 할 수 있다. API를 사용하여 프로그램이 가능하며 이중화 기능을 제공 한다. (SP를 위한 가격 정책)

2. Qosmos : 실시간으로 네트워크 트래픽을 식별하고 분류 및 추출하는 DPI기술인 Network Intelligence 기술을 판매하며, 이를 이용하여 프로토콜 및 응용프로그램 식별기능 제공과 메타데이터 및 콘텐츠 추출하는 데이터 플로우를 수집 할 수 있다. 이를 이용하여 추가적인 프로토콜 관리와 향상된 제어 및 기밀유지를 위해 프로토콜 플러그인 SDK를 이용하여 자신만의 플러그인 생성이 가능하다. Qosmos 기술은 합법적 감청, 사이버 보안, 트래픽 최적화, QoS 관리, 모바일 및 콘텐츠 빌링, 시청자 조사등을 위한 솔루션을 향상시킨다. (보안 응용 : Next Generation Firewalls, SIEM/NBAD Solutions, Content Extraction for DLP and Malware, and DDoS Mitigation.)

3. Insieme Networks : Stealth Mode 회사이며 고성능의 패브픽(Fabric) 콘트롤러를 개발 중으로 알려져 있으며 , 고집적 leaf-spine 데이터센터 네트워크를 위해 전체 데이터센터 인프라는 물론 오케스트레이션을 활성화 할 수 있을 것이라고 한다. 패브릭 콘트롤러는 “application-defined networking” 으로 네트워크와 보안 기능을 동시에 구현 가능한 SDN 기반 기술을 포함 할 것 것이며 L4-L7 기능을 포함한 ASIC을 개발 중으로 알려지고 있다.


Qosmos/Insieme Networks: L4-7 보안 응용

Data Plane Traffic

L4-7 프로토콜 & 애플리케이션 확인

기타

P2P

e메일

비디오

웹

음성

비디오 최적화

분석 : NBAD, DLP, TMS, NG Firewall

QoS/QoE

VoLTE

컨텐츠 필터링 : SDN 콘트롤러 연동

IM


vArmour: SDSec (Software Defined Security)

SDN Controller

• Stealthy SDN security play : 투자(Total US$8M)를 받아 개발 중인 SDSec

• 기술 개요: ASG(Application Security Gateway)가 감염된 서버의 로그(Rogue) 애플리케이션을 감지하면 SDN 콘트롤러로 신호를 보내 콘트롤러가 오픈플로우 스위치 내의 포워딩 플레인(Forwarding Plane)을 변경하여 감염된 서버를 격리하여 치료 한 뒤에 다시 운영에 복귀 시킨다.


보안 비즈니스 모델(예): 방화벽

가상화 환경의 SDN을 위한 방화벽 비즈니스 모델(예)

• 가상화 : 리눅스나 하드웨어 어플라이언스에 탑재한 방화벽 코드를 가상화 서버에 적용 가능

• SDN 콘트롤러 호환성: SDN 콘트롤러 들에 포팅하는 방화벽 애플리케이션 고려

• OpenFlow 버전: 오픈 플로우를 이용한 응용 서비스를 위하여 오픈플로우 프로토콜 버전 업그레이드 계획 고려

• 스위치 연동: 오픈플로우 다른 버전의 스펙(Specification)의 스위치 연결 고려

• 콘트롤러 내의 App 호환: 한 콘트롤러에 공존하는 OpenFlow App 들의 완성도 고려

• 목표 시장을 위한 로드맵: 1) 방화벽 성능의 개선, 2) OpenFlow 연동, 3) SDN 콘트롤러 연동, 4) 보안 팀을 위한 CMP 지원 중앙 정책 관리 등 새로운 기능(자동 확장, VPN, NAT, DHCP, 라우팅 등등) 추가 고려

가상화 서버

하이퍼바이저

리눅스

방화벽

vNIC vNIC

vSwitch

리눅스

웹서버

vNIC

리눅스

앱서버

vNIC

리눅스

DB서버

vNIC

vSwitch

NIC

SDN Controller

Orch

estra

tion


보안 비즈니스 모델(예): 장기 계획 방화벽

Orchestration Plane

Control Plane SDN/MAC Learning

Data Plane Underlying Network

VM

Tenant

1

vNIC

VM

Tenant

2

vNIC

VM

Tenant

1

vNIC

물리 스위치 가상 스위치

하이퍼바이저

가상 스위치

하이퍼바이저

NAT

방화벽

VPN

IP 네트워크

Encapsulation: VLAN/GRE/VXLAN/NVFRE/STT….

VM

Tenant

2

NIC

Quantum Operation

&

Monitoring

Plane

sFlow

Ganglia

Puppet

…


Quantum API Clients

Cloud Management Platform (CMP) 고려사항

• 복수 Tenant 감지: 방화벽은 Tenant 별로 구분하여 트래픽이 격리된 방화벽 정책 실행

• OpenFlow vSwitch: 단순 필터링 방화벽 기능 제공

• Quantum Firewall: 각 Tenant의 Firewall agent는 Linux Firewall Box 상에서 동작

• Quantum 완성도: OpenStack의 Quantum 은 완성 중

• 운영 담당자: Cloud 서비스 운영 경험자 부족 및 보안 담당은 현재 대부분 별도 조직

• 비즈니스 환경: 구매 담당 과 판매 담당의 기술 이해 시간 필요

CMP 환경은 시간이 필요하며, 이를 고려한 비즈니스 모델 가능

Orchestration Plane

Control Plane SDN/MAC Learning

Data Plane Underlying Network

VM

Tenant

1

vNIC

VM

Tenant

2

vNIC

VM

Tenant

1

vNIC

물리 스위치 가상 스위치

하이퍼바이저

가상 스위치

하이퍼바이저

NAT

방화벽

VPN

IP 네트워크

Encapsulation: VLAN/GRE/VXLAN/NVFRE/STT….

VM

Tenant

2

NIC

Quantum

보안 비즈니스 모델(예): 장기 계획 방화벽


OpenFlow Area

Drop Actions

OpenFlow pSwitch

Data Center

3. Drop or QoS Action

2. Security Event

1. IDS/IPS 또는 Snort 나 Suricata

OpenFlow/SDN Controller

14

보안 비즈니스 모델(예): IDS/IPS

고려사항

• OpenFlow 연동 IDS 센서 : 차단/제어 위치는 OpenFlow vSwitch/pSwitch

• FortNOX 또는 SE-FloodLight 가능

• 확장성: 복수의 SDN 콘트롤러 연결을 고려

• 중앙관리

• 가상화

• 복수 Tenant 감지 (IDSaaS)

• CMP(Quantum) 고려

• Embedded SDN 환경 고려

OpenFlow based vSwitch

MAC Srce.

MAC Dest.

Srce. IP

Dest. IP

Source TCP Port

Dest. TCP Port

Action

* * 192.168.10.20 * * * Drop


보안 비즈니스 모델(예): TMS

MAC Srce.

MAC Dest.

Srce. IP

Dest. IP

Source TCP Port

Dest. TCP Port

Action

* * * 192.168.10.20 80 * Port 3

고려사항

• DDoS 공격 차단 TMS (Treat Management System)

• 분산 DDoS 탐지 센서들을 관리하는 게이트웨이 또는 외부 서비스 시스템을 SDN 콘트롤러와 연동

• 중앙관리

• SDN 콘트롤러 (감지한 Target IP 주소 트래픽 TMS 우회 명령 Flow) FortNOX 또는 SE-FloodLight 가능

• 가상화

• 복수 Tenant 감지

• CMP(Quantum) 고려

pSwitch/vSwitch pSwitch/vSwitch

OpenFlow/SDN Controller

TMS

3. DDoS 공격 Target Host IP 주소 트래픽을 TMS로 플로우 변경

Target Host

1. DDoS 센서 또는 게이트웨이에서 공격 감지시 Target Host IP 주소를 SDN 콘트롤러로 전달

2. DDoS 공격 필터링 한 정상 트래픽을 전송


• 표준화 고려

보안 비즈니스 모델(예) : SP용

Core

Metro

Metro Data Center

• Hybrid SDN • Overlaid SDN • Embedded SDN

Access

Slice Service 보안 서비스 Multi-Tenant

SDN Agent SDN Agent

SDN Agent

SDN Agent

Slice/DevOps 관리 시스템

고려사항

• 가입자간 격리

• 유해 트래픽 모니터

• 확장성

• 중앙관리

• 복수 Tenant 감지

• 보안제어 가능한 SP용 Last Mile OpenFlow 스위치


OpenFlow Korea

(www.OPENFLOW.or.kr)

Technology

4th SDN Interest Group Seminar-Session 2-1(130313)