軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全性測試方法
【技術(shù)領(lǐng)域】
[0001 ] 本發(fā)明屬于網(wǎng)絡(luò)安全技術(shù)領(lǐng)域及軟件定義網(wǎng)絡(luò)技術(shù)領(lǐng)域，特別涉及軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全性測試。
【背景技術(shù)】
[0002]當前，以云計算、大數(shù)據(jù)、移動社交和多媒體音視頻業(yè)務(wù)為代表的新興應(yīng)用正在重新塑造著網(wǎng)絡(luò)的形態(tài)，對現(xiàn)有的網(wǎng)絡(luò)的體系結(jié)構(gòu)不斷帶來新的挑戰(zhàn)。網(wǎng)絡(luò)帶寬的指數(shù)性增長，網(wǎng)絡(luò)業(yè)務(wù)的多樣化、豐富化與個性化，云計算與大型數(shù)據(jù)中心的崛起，大數(shù)據(jù)分析的廣泛應(yīng)用，以及越來越迫切的網(wǎng)絡(luò)信息安全需求，都給當前的網(wǎng)絡(luò)技術(shù)帶來了更大的挑戰(zhàn)。
[0003]面對這些挑戰(zhàn)，一種被稱為軟件定義網(wǎng)絡(luò)(Software-Defined Networks, SDN)的新的網(wǎng)絡(luò)體系結(jié)構(gòu)被提出。軟件定義網(wǎng)絡(luò)以數(shù)據(jù)轉(zhuǎn)發(fā)傳送與網(wǎng)絡(luò)控制相互分離、邏輯集中的網(wǎng)絡(luò)控制、軟件定義和面向應(yīng)用為主要特征，具備靈活、敏捷和有利于網(wǎng)絡(luò)創(chuàng)新等特質(zhì)。軟件定義網(wǎng)絡(luò)體系結(jié)構(gòu)被提出以來，逐步在廣域網(wǎng)、數(shù)據(jù)中心網(wǎng)絡(luò)、光傳送網(wǎng)等領(lǐng)域快速發(fā)展、部署，在多租戶數(shù)據(jù)中心、企業(yè)網(wǎng)絡(luò)安全、運營商基礎(chǔ)網(wǎng)絡(luò)管控等方面取得了顯著的成效，發(fā)揮了軟件定義網(wǎng)絡(luò)在控制管理、靈活性、創(chuàng)新性等方面的優(yōu)勢。
[0004]在網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，軟件定義網(wǎng)絡(luò)的引入，使得通過軟件定義方式協(xié)調(diào)多種網(wǎng)絡(luò)設(shè)備進行安全防護成為可能。在企業(yè)網(wǎng)絡(luò)中部署軟件定義網(wǎng)絡(luò)，利用具有集中控制能力的控制器及軟件定義下的網(wǎng)絡(luò)安全應(yīng)用，協(xié)調(diào)傳統(tǒng)的防火墻、入侵檢測、入侵防御等安全設(shè)備，控制L1~L4層交換機及路由器，精細管控網(wǎng)絡(luò)流量，增強了網(wǎng)絡(luò)的安全性。
[0005]雖然軟件定義網(wǎng)絡(luò)相比傳統(tǒng)網(wǎng)絡(luò)，增強了網(wǎng)絡(luò)安全性，然而，軟件定義網(wǎng)絡(luò)自身的安全性問題依然存在，需要研發(fā)和完善面向軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全設(shè)計、實現(xiàn)、部署和評估測試的方法和技術(shù)。特別的，由于軟件定義網(wǎng)絡(luò)擁有與傳統(tǒng)網(wǎng)絡(luò)不同的體系結(jié)構(gòu)，傳統(tǒng)網(wǎng)絡(luò)中的網(wǎng)絡(luò)安全性測試方法已經(jīng)不能滿足針對軟件定義網(wǎng)絡(luò)的安全性測試需求。
[0006]安全性測試，是對網(wǎng)絡(luò)系統(tǒng)進行分析、評估和檢驗，以驗證所述網(wǎng)絡(luò)系統(tǒng)及所述網(wǎng)絡(luò)系統(tǒng)中的數(shù)據(jù)受到安全保護、符合安全性需求。安全性測試通常包括:測試網(wǎng)絡(luò)系統(tǒng)及數(shù)據(jù)不因偶然或者惡意的行為遭受破壞、更改、泄露的能力，測試網(wǎng)絡(luò)系統(tǒng)及網(wǎng)絡(luò)系統(tǒng)承載的服務(wù)連續(xù)可靠正常運行的能力，測試網(wǎng)絡(luò)系統(tǒng)承載的數(shù)據(jù)機密、完整、可用、可審計及不可抵賴的能力等。
[0007]傳統(tǒng)的網(wǎng)絡(luò)安全測試方法不能適應(yīng)軟件定義網(wǎng)絡(luò)的結(jié)構(gòu)，不能對軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全性進行系統(tǒng)、全面、完整的測試和評價，從而不能滿足實際部署的軟件定義網(wǎng)絡(luò)的需要，不能保證軟件定義網(wǎng)絡(luò)的安全可靠。需要依據(jù)軟件定義網(wǎng)絡(luò)的體系結(jié)構(gòu)、組織架構(gòu)和技術(shù)體系設(shè)計新的網(wǎng)絡(luò)安全性測試方法。

【發(fā)明內(nèi)容】

[0008]本發(fā)明目的旨在部分的解決上述的技術(shù)缺陷。
[0009]本發(fā)明目的在于提出一種面向?qū)嶋H部署的軟件定義網(wǎng)絡(luò)進行網(wǎng)絡(luò)安全性測試的方法，使得技術(shù)人員能夠依據(jù)所述方法對實際部署的軟件定義網(wǎng)絡(luò)開展完整、可靠的網(wǎng)絡(luò)安全性測試。
[0010]所述網(wǎng)絡(luò)安全性測試方法，針對被測試的目標軟件定義網(wǎng)絡(luò)，依據(jù)目標軟件定義網(wǎng)絡(luò)的系統(tǒng)實際部署情況及測試需求，開展針對目標軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全性測試。
[0011]所述網(wǎng)絡(luò)安全性測試方法，至少包括所述軟件定義網(wǎng)絡(luò)的安全性測試框架、所述目標軟件定義網(wǎng)絡(luò)的安全性測試策略、所述目標軟件定義網(wǎng)絡(luò)的分類安全性測試方法、所述目標軟件定義網(wǎng)絡(luò)的項目安全性測試方法、所述目標軟件定義網(wǎng)絡(luò)的安全性測試步驟。
[0012]所述安全性測試框架至少包括:將所述目標軟件定義網(wǎng)絡(luò)劃分為數(shù)據(jù)平面、控制平面、應(yīng)用平面和管理平面，針對所述軟件定義網(wǎng)絡(luò)的各個平面以及平面之間的平面接口進行網(wǎng)絡(luò)的安全性測試。
[0013]所述安全性測試框架至少還包括:所述數(shù)據(jù)平面的所述安全性測試包括:測試由多個交換機、主機、數(shù)據(jù)平面鏈路構(gòu)成的所述數(shù)據(jù)平面的安全性，具體包括測試所述主機及所述交換機的安全性、測試所述數(shù)據(jù)平面鏈路的安全性；所述控制平面的所述安全性測試包括:測試由多個控制器、控制器間鏈路構(gòu)成的所述控制平面的安全性，具體包括測試所述控制器的安全性、測試所述控制器間鏈路的安全性；所述應(yīng)用平面的所述安全性測試包括:測試由軟件定義網(wǎng)絡(luò)的多個應(yīng)用程序構(gòu)成的所述應(yīng)用平面的安全性，具體包括測試所述應(yīng)用程序及承載所述應(yīng)用程序的應(yīng)用服務(wù)器的安全性；所述管理平面的所述安全性測試包括:測試由軟件定義網(wǎng)絡(luò)的管理系統(tǒng)構(gòu)成的所述管理平面的安全性，具體包括測試所述管理系統(tǒng)及承載所述管理系統(tǒng)的管理服務(wù)器的安全性。
[0014]所述安全性測試框架至少還包括:所述數(shù)據(jù)平面與所述控制平面的平面控制接口的安全性測試包括:測試連接所述數(shù)據(jù)平面的所述交換機與所述控制平面的所述控制器之間的控制接口及承載所述控制接口的信息通道即控制通道的安全性；所述應(yīng)用平面與所述控制平面的平面應(yīng)用程序接口的安全性測試包括:測試連接所述應(yīng)用平面的所述應(yīng)用程序與所述控制平面的所述控制器之間的應(yīng)用程序接口及承載所述應(yīng)用程序接口的信息通道即應(yīng)用程序通道的安全性；所述管理平面與所述數(shù)據(jù)平面的平面數(shù)據(jù)管理接口的安全性測試包括:測試連接所述管理平面的所述管理系統(tǒng)與所述數(shù)據(jù)平面的所述交換機的數(shù)據(jù)管理接口以及承載所述數(shù)據(jù)管理接口的信息通道即數(shù)據(jù)管理通道的安全性；所述管理平面與所述控制平面的平面控制管理接口的安全性測試包括:測試連接所述管理平面的所述管理系統(tǒng)與所述控制平面的所述控制器的控制管理接口以及承載所述控制管理接口的信息通道即控制管理通道的安全性；所述管理平面與所述應(yīng)用平面的平面應(yīng)用管理接口的安全性測試包括:測試連接所述管理平面的所述管理系統(tǒng)與所述應(yīng)用平面的所述應(yīng)用程序的應(yīng)用管理接口以及承載所述應(yīng)用管理接口的信息通道即應(yīng)用管理通道的安全性。
[0015]所述安全性測試策略至少包括:單個的、部分的、或者全部的，順序的、并行的、或者順序與并行結(jié)合的，測試所述目標軟件定義網(wǎng)絡(luò)的所述數(shù)據(jù)平面、所述控制平面、所述應(yīng)用平面、所述管理平面、所述平面控制接口、所述平面應(yīng)用程序接口、所述平面數(shù)據(jù)管理接口、所述平面控制管理接口和所述平面應(yīng)用管理接口的安全性。
[0016]所述安全性測試策略至少還包括:單個的、部分的、或者全部的，順序的、并行的、或者順序與并行結(jié)合的，測試所述目標軟件定義網(wǎng)絡(luò)的所述交換機、所述主機、所述數(shù)據(jù)平面鏈路、所述控制器、所述控制器間鏈路、所述應(yīng)用程序及所述應(yīng)用服務(wù)器、所述管理系統(tǒng)及所述管理服務(wù)器、所述控制接口及所述控制通道、所述應(yīng)用程序接口及所述應(yīng)用程序通道、所述數(shù)據(jù)管理接口及所述數(shù)據(jù)管理通道、所述控制管理接口及所述控制管理通道、所述應(yīng)用管理接口及所述應(yīng)用管理通道的安全性。
[0017]所述分類安全性測試方法至少包括:依據(jù)所述目標軟件定義網(wǎng)絡(luò)不同的具體測試目標的分類，采用不同的分類安全性測試方法；采用網(wǎng)元安全性測試方法測試所述目標軟件定義網(wǎng)絡(luò)的目標網(wǎng)元的安全性，所述目標網(wǎng)元包括所述交換機、所述主機、所述控制器、所述應(yīng)用程序及所述應(yīng)用服務(wù)器、所述管理系統(tǒng)及所述管理服務(wù)器；采用鏈路安全性測試方法測試所述目標軟件定義網(wǎng)絡(luò)的目標鏈路的安全性，所述目標鏈路包括所述數(shù)據(jù)鏈路和所述控制器間鏈路，以及多條所述目標鏈路和交換設(shè)備組成的用于信息傳遞的通道或子網(wǎng)；采用接口安全性測試方法測試所述目標軟件定義網(wǎng)絡(luò)的目標接口及承載所述目標接口的數(shù)據(jù)通道的安全性，所述目標接口包括所述控制接口、所述應(yīng)用程序接口、所述數(shù)據(jù)管理接口、所述控制管理接口和所述應(yīng)用管理接口，承載所述目標接口的所述數(shù)據(jù)通道包括所述控制通道、所述應(yīng)用程序通道、所述數(shù)據(jù)管理通道、所述控制管理通道和所述應(yīng)用管理通道；所述鏈路安全性測試方法也可以作為所述接口安全性測試中的組成部分，針對承載各個目標接口的數(shù)據(jù)通道，即所述控制通道、所述應(yīng)用程序通道、所述數(shù)據(jù)管理通道、所述控制管理通道和所述應(yīng)用管理通道開展鏈路安全性測試。
[0018]所述網(wǎng)元安全性測試方法的所述項目安全性測試方法，至少包括:掃描所述目標網(wǎng)元的系統(tǒng)硬件及軟件漏洞；對所述目標網(wǎng)元進行滲透實驗測試；探測所述目標網(wǎng)元是否泄漏其內(nèi)部存儲、處理的數(shù)據(jù)信息或者與其密切相關(guān)的其它敏感數(shù)據(jù)信息；設(shè)置具有惡意行為的目標網(wǎng)元代替特定目標網(wǎng)元產(chǎn)生惡意行為，測試網(wǎng)絡(luò)其它部分是否安全可用，所述惡意行為至少包括非法操作、沖突操作、密集操作、重復(fù)操作和其它惡意操作；設(shè)置具有惡意行為的網(wǎng)絡(luò)其它部分，測試所述目標網(wǎng)元是否安全可用；關(guān)閉特定的目標網(wǎng)元以測試網(wǎng)絡(luò)其它部分是否安全可用；所述目標網(wǎng)元是否具有完整準確的日志并且不可篡改和抵賴；針對所述交換機還可以測試數(shù)據(jù)轉(zhuǎn)發(fā)和處理過程是否安全可靠，針對所述控制器還可以測試控制過程是否安全可靠；針對所述應(yīng)用程序及所述應(yīng)用程序服務(wù)器，還可以掃描所述應(yīng)用程序中在軟件語義、流程及實現(xiàn)等方面存在的漏洞，探測所述應(yīng)用程序是否泄漏敏感數(shù)據(jù)信息，設(shè)置具有所述惡意行為的應(yīng)用程序并測試網(wǎng)絡(luò)其它部分是否安全可用；針對所述管理系統(tǒng)及所述管理服務(wù)器，還可以掃描所述管理系統(tǒng)中在軟件語義、流程及實現(xiàn)等方面存在的漏洞，評測管理系統(tǒng)用戶權(quán)限的設(shè)置及保護措施是否安全可靠，探測所述管理系統(tǒng)是否泄漏敏感數(shù)據(jù)信息，設(shè)置具有所述惡意行為的管理系統(tǒng)并測試網(wǎng)絡(luò)其它部分是否安全可用。
[0019]所述鏈路安全性測試方法的所述項目安全性測試方法，至少包括:探測所述目標鏈路或所述子網(wǎng)存在的信息泄漏漏洞；嘗試監(jiān)聽、提取、破解還原、篡改或破壞所述目標鏈路或所述子網(wǎng)傳遞的信