4th SDN Interest Group Seminar-Session 2-1(130313)

2013 OpenFlow Korea All Rights Reserved
SDN을 통한 강력하고 유연한
보안 솔루션
Mar, 2013
OpenFlow Korea
(www.OPENFLOW.or.kr)
발표자 : 안종석
기술매니저
James.ahn.99@gmail.com

Agenda
 ONUG의 권장 5가지
 SDN 관련 보안 트렌드
 보안을 위한 Open Source / 표준 고려
 OpenSAFE / FlowScale
 가상화/SDN 관련 보안 제품 (예)
 보안 관련 SDN 기업들
 보안 비즈니스 모델(예)
 방화벽
 IDS/IPS
 TMS
 SP환경을 위한 Last Mile 서비스

ONUG의 권장 5가지
 Open Networking User Group(ONUG) 의 SDN을 위한 5개 권장 사항
1. Open Network은 상호 호환하는 네트워크: OpenFlow등의 표준지원 SDN 콘트롤러들과
멀티벤더 스위치와 하이퍼바이저 등은 상호 동작하며, Software-Defined Network은 전
네트워크에서 물리/가상 스위치 들과 현재 를 포함 향 후 지원할 오버레이 까지 포함
2. Open Networking은 벤더들에 중립: 특정 벤더에 의존 하지 않고 복수의 하이퍼바이저,
콘트롤러, 물리/가상 스위치, 네트워크 서비스, 네트워크 실리콘 등과 원활하게 연결
3. Open networking은 노스바운드(Northbound) API를 통한 프로그램 가능한
네트워크를 의미: 네트워크 CLI(Command Line Interface) 나 자동화 프로비져닝 등을
지원하는 기기 애플리케이션 스토리지 오케스트레이션 등은 코딩없이 운영비를 현저하게
절감한다. 노스바운드 API는 새로운 애플리케이션이나 네트워크 서비스등 설계한 것을 혁신적인
모습으로 빠르게 시장에 제공한다.
4. 네트워크의 가시화(Visibility)와 모니터링(Monitoring)을 증가: 트러블슈팅, 설계,
트래픽 흐름의 최적화 등을 가시화 해야 한다. 여러가지 트래픽 분석이나 Big Data엔진들이
네트워크 운영 상태 등을 실시간으로 알 수 있도록 해야 한다.
5. Open Networking은 비즈니스 모델이 필요: 비즈니스 모델 개발은 재정/지원/서비스
만을 포함하는 것이 아니고, 혁신을 드라이브하고 리서치를 활성화 하며 벤더들 각각의 이익을
위한 SDN 적용 방해를 막을 수 있다.
2013년 2월 14일
Korea를 위한 비즈니스 모델

보안 트렌드
 데이터넷 2013년 03월 06일 (수)
클라우드 지원 네트워크 보안 기술 줄이어
……….물리·가상 네트워크 상에서 보안 인텔리전스와 애플리케이션· 사용자 인식 기술을 제공하며,
하이퍼바이저에 대한 공격과 VM간의 공격을 방어한다. 가상 컨트롤러를 이용해 내부 VM의 트래픽을
제어하며, VM간유해 트래픽을 방어하고, 가상화 환경 가시성을 제공한다………..
 SDN central By: Nikos Theodosopoulos Posted: Feb. 08, 2013
What (if Any) Part of the Networking Value Chain Will Be Disrupted by SDN?
….Now lets look at Layer 4-7 (e.g. security, load balancing, application delivery
control, deep packet inspection etc.). What I find interesting here is several of the
SDN private company fund raising in the past several months were for companies
attacking this segment of the networking value chain. Several industry people I speak
to suggest that Layer 4-7 will actually be the first area of SDN deployment in data
centers given the need to provision and manage policies/applications/security at
scale in the data center, which proves to be difficult when managing multiple single
purpose appliances and that managing this in the application layer within the SDN
model potentially provides a more flexible, elegant and scalable solution…..

보안을 위한 Open Source / 표준 고려
• FortNOX: 자바 기반의 SE-FloodLight (Security Extended version of BigSwitch)로
동일한 기능을 준비 중
– 공격 감지 (기존 센서 기술 응용 가능)
– Authentication (관리 인증)
– 스위치의 Flow 처리 성능 고려
– 시장에 Launching을 위한 준수사항과 인증 고려
• FRESCO: 오픈플로우 콘트롤러와 오픈플로우 애플리케이션 계층 사이에서 빠른 보안
이슈 감지와 완화 모듈들, 그리고 이들을 구성하여 보안 서비스를 효과적인 적용을
위한 OpenFlow 애플리케이션 프레임워크.
• Resonance: NOX와 OpenFlow를 사용하는 NAC(Network Access Control)
애플리케이션 (Georgia Tech University)
• Security Requirements in the Software Defined Networking Model : IETF에서
제안중인 프로토콜이며, 오픈플로우와 같이 SDN 콘트롤러등이나 애플리케이션들
사이에 추가적인 기능을 전재로 함
• Cloud Management Platform (CMP) 고려
– OpenStack의 Quantum (라우팅이나 보안 등의 기능 제공)
– Stateful Firewall 등 기타 보안 기능
– LBaaS (Load Balancing as a Service)

OpenSAFE / FlowScale

가상화/SDN 관련 보안 제품 (예)
• 방화벽 가상 어플라이언스 (Virtual Appliance) (예)
– 1 virtual CPU or 2 virtual CPUs at 1.5 GHz / RAM: 2 GB / Hard disk: 3 GB
– Network interfaces 3개: Data interface (VSG-to-VEM) / 관리 / High-availability interface
– 최대 성능 : 1.2 Gbps / 400 Mpps / 200,000 세션 / 초당 10,000 세션 / VPN 200 Mbps /
최대 VPN 터널 750
– 네트워크 기능: IEEE 802.1Q VLAN encapsulation / Traffic types: Unicast, broadcast, multicast, TCP, and
User Datagram Protocol (UDP) / Jumbo frame support (up to 9216 bytes) / VXLAN aware
• UTM 가상 어플라이언스 (예)
– VMware, Citrix, Microsoft Hyper-V, KVM 지원
– Specifications: 1.5+ GHz processor / 1 GB RAM / 20 GB hard disk / Bootable CD-ROM / 2
or more network cards / 1 GB RAM / 40 GB IDE or SCSI hard disk drive / 3 PCI-NICs
(Internet, Local Net, Demilitarized Zone)
• SSL VPN 게이트웨이 가상 어플라이언스 (예)
– License Server Licensing (설치 하드웨어 지정)
– Subscription Licensing (유지보수/지원 포함)
• 연수 선택 : 1,2,또는 3년
• 동시 사용자 수 선택 : 2500, 5000, 7500, 10K, 15K, 20K, 25K
 일부 SDN 콘트롤러와 물리적 스위치는 이동하는 가상 어플라이언스의 VM을
자동으로 감지하여 이동한 위치에서 동일한 네트워크 정책을 유지 할 수 있음
 NAC을 사용한 VM의 MAC인증으로 정책 적용하며 VM 스프롤(Sprawl) 제어 가능

보안 관련 SDN 기업들
1. Embrane : 가상화 환경에서 Site-to-Site VPN 기능을 가진 분산 방화벽, 분산
로드밸런서 그리고 이들을 관리하는 SDN 콘트롤러 제공하며, 운영 중에도 중단
없이 처리능력을 향상하거나 네트워크 삽입을 할 수 있다. API를 사용하여
프로그램이 가능하며 이중화 기능을 제공 한다. (SP를 위한 가격 정책)
2. Qosmos : 실시간으로 네트워크 트래픽을 식별하고 분류 및 추출하는 DPI기술인
Network Intelligence 기술을 판매하며, 이를 이용하여 프로토콜 및 응용프로그램
식별기능 제공과 메타데이터 및 콘텐츠 추출하는 데이터 플로우를 수집 할 수 있다.
이를 이용하여 추가적인 프로토콜 관리와 향상된 제어 및 기밀유지를 위해 프로토콜
플러그인 SDK를 이용하여 자신만의 플러그인 생성이 가능하다. Qosmos 기술은 합법적
감청, 사이버 보안, 트래픽 최적화, QoS 관리, 모바일 및 콘텐츠 빌링, 시청자 조사등을
위한 솔루션을 향상시킨다. (보안 응용 : Next Generation Firewalls, SIEM/NBAD Solutions,
Content Extraction for DLP and Malware, and DDoS Mitigation.)
3. Insieme Networks : Stealth Mode 회사이며 고성능의 패브픽(Fabric) 콘트롤러를
개발 중으로 알려져 있으며 , 고집적 leaf-spine 데이터센터 네트워크를 위해 전체
데이터센터 인프라는 물론 오케스트레이션을 활성화 할 수 있을 것이라고 한다.
패브릭 콘트롤러는 “application-defined networking” 으로 네트워크와 보안 기능을
동시에 구현 가능한 SDN 기반 기술을 포함 할 것 것이며 L4-L7 기능을 포함한
ASIC을 개발 중으로 알려지고 있다.

Qosmos/Insieme Networks: L4-7 보안 응용
Data
Plane
Traffic
L4-7
프로토콜 &
애플리케이션
확인
기타
P2P
e메일
비디오
웹
음성
비디오 최적화
분석 : NBAD, DLP, TMS, NG Firewall
QoS/QoE
VoLTE
컨텐츠 필터링 : SDN 콘트롤러 연동
IM

vArmour: SDSec (Software Defined Security)
SDN
Controller
• Stealthy SDN security play : 투자(Total US$8M)를 받아 개발 중인 SDSec
• 기술 개요: ASG(Application Security Gateway)가 감염된 서버의 로그(Rogue)
애플리케이션을 감지하면 SDN 콘트롤러로 신호를 보내 콘트롤러가 오픈플로우
스위치 내의 포워딩 플레인(Forwarding Plane)을 변경하여 감염된 서버를 격리하여
치료 한 뒤에 다시 운영에 복귀 시킨다.

보안 비즈니스 모델(예): 방화벽
가상화 환경의 SDN을 위한 방화벽 비즈니스 모델(예)
• 가상화 : 리눅스나 하드웨어 어플라이언스에 탑재한 방화벽 코드를 가상화
서버에 적용 가능
• SDN 콘트롤러 호환성: SDN 콘트롤러 들에 포팅하는 방화벽 애플리케이션 고려
• OpenFlow 버전: 오픈 플로우를 이용한 응용 서비스를 위하여 오픈플로우
프로토콜 버전 업그레이드 계획 고려
• 스위치 연동: 오픈플로우 다른 버전의 스펙(Specification)의 스위치 연결 고려
• 콘트롤러 내의 App 호환: 한 콘트롤러에 공존하는 OpenFlow App 들의 완성도
고려
• 목표 시장을 위한 로드맵: 1) 방화벽 성능의 개선, 2) OpenFlow 연동, 3) SDN
콘트롤러 연동, 4) 보안 팀을 위한 CMP 지원 중앙 정책 관리 등 새로운 기능(자동
확장, VPN, NAT, DHCP, 라우팅 등등) 추가 고려
가상화 서버
하이퍼바이저
리눅스
방화벽
vNIC vNIC
vSwitch
리눅스
웹서버
vNIC
리눅스
앱서버
vNIC
리눅스
DB서버
vNIC
vSwitch
NIC
SDN
Controller
Orchestration

보안 비즈니스 모델(예): 장기 계획 방화벽
Orchestration Plane
Control Plane
SDN/MAC Learning
Data Plane
Underlying Network
VM
Tenant
1
vNIC
VM
Tenant
2
vNIC
VM
Tenant
1
vNIC
물리 스위치가상 스위치
하이퍼바이저
가상 스위치
하이퍼바이저
NAT
방화벽
VPN
IP 네트워크
Encapsulation: VLAN/GRE/VXLAN/NVFRE/STT….
VM
Tenant
2
NIC
Quantum
Operation
&
Monitoring
Plane
sFlow
Ganglia
Puppet
…

Quantum API
Clients
Cloud Management Platform
(CMP) 고려사항
• 복수 Tenant 감지: 방화벽은
Tenant 별로 구분하여 트래픽이
격리된 방화벽 정책 실행
• OpenFlow vSwitch: 단순 필터링
방화벽 기능 제공
• Quantum Firewall: 각 Tenant의
Firewall agent는 Linux Firewall Box
상에서 동작
• Quantum 완성도: OpenStack의
Quantum 은 완성 중
• 운영 담당자: Cloud 서비스 운영
경험자 부족 및 보안 담당은 현재
대부분 별도 조직
• 비즈니스 환경: 구매 담당 과 판매
담당의 기술 이해 시간 필요
CMP 환경은 시간이 필요하며,
이를 고려한 비즈니스 모델 가능
Orchestration Plane
Control Plane
SDN/MAC Learning
Data Plane
Underlying Network
VM
Tenant
1
vNIC
VM
Tenant
2
vNIC
VM
Tenant
1
vNIC
물리 스위치가상 스위치
하이퍼바이저
가상 스위치
하이퍼바이저
NAT
방화벽
VPN
IP 네트워크
Encapsulation: VLAN/GRE/VXLAN/NVFRE/STT….
VM
Tenant
2
NIC
Quantum
보안 비즈니스 모델(예): 장기 계획 방화벽

OpenFlow Area
Drop Actions
OpenFlow pSwitch
Data Center
3. Drop or QoS Action
2. Security Event
1. IDS/IPS 또는 Snort 나 Suricata
OpenFlow/SDN Controller
14
보안 비즈니스 모델(예): IDS/IPS
고려사항
• OpenFlow 연동 IDS 센서 :
차단/제어 위치는 OpenFlow
vSwitch/pSwitch
• FortNOX 또는 SE-FloodLight
가능
• 확장성: 복수의 SDN
콘트롤러 연결을 고려
• 중앙관리
• 가상화
• 복수 Tenant 감지 (IDSaaS)
• CMP(Quantum) 고려
• Embedded SDN 환경 고려
OpenFlow based vSwitch
MAC
Srce.
MAC
Dest.
Srce.
IP
Dest.
IP
Source
TCP Port
Dest. TCP
Port
Action
* * 192.168.10.20 * * * Drop

보안 비즈니스 모델(예): TMS
MAC
Srce.
MAC
Dest.
Srce.
IP
Dest.
IP
Source
TCP Port
Dest. TCP
Port
Action
* * * 192.168.10.20 80 * Port 3
고려사항
• DDoS 공격 차단 TMS
(Treat Management
System)
• 분산 DDoS 탐지
센서들을 관리하는
게이트웨이 또는 외부
서비스 시스템을 SDN
콘트롤러와 연동
• 중앙관리
• SDN 콘트롤러 (감지한
Target IP 주소 트래픽
TMS 우회 명령 Flow)
FortNOX 또는 SE-
FloodLight 가능
• 가상화
• 복수 Tenant 감지
• CMP(Quantum) 고려
pSwitch/vSwitch pSwitch/vSwitch
OpenFlow/SDN Controller
TMS
3. DDoS 공격 Target Host IP 주소 트래픽을 TMS로 플로우 변경
Target Host
1. DDoS 센서 또는 게이트웨이에서
공격 감지시 Target Host IP 주소를
SDN 콘트롤러로 전달
2. DDoS 공격 필터링 한 정상 트래픽을 전송

• 표준화 고려
보안 비즈니스 모델(예) : SP용
Core
Metro
MetroData Center
• Hybrid SDN
• Overlaid SDN
• Embedded SDN
Access
Slice Service
보안 서비스
Multi-Tenant
SDN Agent
SDN Agent
SDN Agent
SDN Agent
Slice/DevOps
관리 시스템
고려사항
• 가입자간 격리
• 유해 트래픽 모니터
• 확장성
• 중앙관리
• 복수 Tenant 감지
• 보안제어 가능한 SP용 Last
Mile OpenFlow 스위치

OpenFlow Korea
(www.OPENFLOW.or.kr)

4th SDN Interest Group Seminar-Session 2-1(130313)

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Andere mochten auch

Andere mochten auch (7)

Ähnlich wie 4th SDN Interest Group Seminar-Session 2-1(130313)

Ähnlich wie 4th SDN Interest Group Seminar-Session 2-1(130313) (20)

Mehr von NAIM Networks, Inc.

Mehr von NAIM Networks, Inc. (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (6)

4th SDN Interest Group Seminar-Session 2-1(130313)