陈翕

（中移铁通有限公司信息和产品开发中心，北京 100038）

0 引言

随着移动互联网和物联网的高速发展，网络流量的时空分布呈现高度动态化、复杂化的特征。传统网络架构越来越难满足现代客户对网络带宽、网络性能和网络服务可控可靠的需求，因此，软件定义网络（SDN,Software Defined Network）技术应运而生。SDN 通过对传统的网络结构进行解耦，实现控制与转发的分离，利用可编程的网络控制特点提升网络服务可控性和网络管理灵活性[1]。SDN 虽然提升了网络服务可控性和网络管理的灵活性，但是由于其自身开放的可编程架构和集中控制的模式，也为黑客攻击行为带来了前所未有的便利性和威胁[2]，因此，SDN 的网络安全问题成了制约其快速发展的关键因素。SDN 的安全研究[3]分为两个方面：一是利用SDN架构的优势加强传统网络安全；二是研究SDN 本身的安全问题。第一个问题是基于系统产生的各种告警数据和流量数据制定某种规则，控制器结合当前数据流量的现状将指令发给边缘设备，随后让边缘设备执行阻断行为，形成以SDN 技术为核心的入侵防御系统[4-8]。第二个问题是针对SDN 架构本身也存在安全问题，SDN 特有安全威胁主要是指控制器的安全保障问题[9-10]，控制器的安全保障成为SDN 网络环境下的重中之重；而非SDN 特有的安全问题包括管理脆弱性和交换机脆弱性等[11-12]。

综上所述，本文主要着眼于控制器的安全保障问题，重点解决最常见的控制器安全威胁之一——分布式拒绝服务（DDoS,Distributed Denial of Service）攻击。……