Safeguard: Security Controls at the Software Defined Network Layer

Resumen Técnico: Safeguard – Controles de Seguridad en la Capa de Red Definida por Software

Planteamiento del Problema
La rápida adopción de las Redes Definidas por Software (SDN) ofrece ventajas significativas en cuanto a configuración dinámica y compensaciones entre costo y rendimiento en comparación con los sistemas basados en hardware. Sin embargo, este cambio introduce vulnerabilidades de seguridad críticas, particularmente en lo que respecta a la dependencia de políticas basadas en datos. Las aplicaciones basadas en datos (como los sistemas de detección de intrusiones mediante aprendizaje automático) pueden ajustar las políticas de red a la velocidad de la línea para adaptarse a los requisitos fluctuantes, pero son susceptibles a la "sobrecorrección". Si estos sistemas reciben entradas maliciosamente diseñadas o encuentran casos límite en el tráfico de la red, pueden generar consecuencias no deseadas, como el bloqueo de tráfico legítimo (falsos positivos) o la falta de detección de amenazas reales (falsos negativos). El artículo argumenta que dejar la política de red enteramente en manos de diseños basados en datos sin restricciones definidas por humanos puede exponer a las redes a escenarios de denegación de servicio o posturas de seguridad ineficaces.

Metodología
Los autores proponen Safeguard, un marco basado en reglas diseñado para superponer y restringir las políticas basadas en datos para prevenir respuestas no deseadas. El proyecto se implementó utilizando recursos de CloudLab para instanciar un entorno SDN simulado. La arquitectura del sistema consta de tres capas primarias:

1. Topología de Red y Controlador: El experimento utilizó un controlador Floodlight OpenFlow y un marco de Open vSwitch (OVS). Los flujos de tráfico fueron capturados desde el plano de datos e informados al controlador. El controlador fue configurado para aplicar reglas de lista negra de IP basadas en las instrucciones de la capa de inteligencia.
2. Simulación de Ataque: El equipo simuló ataques de Denegación de Servicio Distribuido (DDoS) y de inundación de paquetes (ICMP, UDP y TCP SYN) utilizando Hping3. El escenario de ataque involucró a nodos generando tráfico para sobrecargar el controlador y un host objetivo, con el objetivo de interrumpir las conexiones legítimas entre los nodos.
3. Capa de Inteligencia: Este componente procesa características de tráfico en tiempo real (IP de origen/destino, puerto, protocolo, marca de tiempo).
   • Diseño Inicial: Los autores consideraron inicialmente el uso de un clasificador de aprendizaje automático (haciendo referencia a Zhang et al.), pero lo abandonaron debido a la falta de artefactos reproducibles en la literatura existente.
   • Implementación: En su lugar, desarrollaron un clasificador basado en firmas ajustado para "sobrecorregir". Este sistema fue configurado deliberadamente para marcar el tráfico de forma agresiva (por ejemplo, paquetes SYN rápidos, escaneo de múltiples puertos, escaneo de múltiples IPs) para simular el comportamiento de falsos positivos asociado frecuentemente con modelos de aprendizaje automático imperfectos.
   • El Mecanismo de Safeguard: Se introdujo un conjunto de reglas específico para actuar como una "política correctora de políticas". Este mecanismo mantiene una lista de tráfico "conocido como bueno" (por ejemplo, conexiones a puertos específicos en servidores de confianza). Si un host coincide con estos criterios, las reglas de Safeguard lo excluyen explícitamente del proceso de adjudicación, evitando que la capa de inteligencia bloquee dichos hosts incluso si sus patrones de tráfico activan las reglas de firma agresivas.

Contribuciones Clave

• Propuesta de Marco de Trabajo: La introducción de Safeguard, un enfoque híbrido que combina analítica basada en datos con restricciones estáticas basadas en reglas para mitigar los riesgos de la extralimitación de políticas automatizadas.
• Implementación de Referencia: Un prototipo funcional que demuestra cómo una capa de inteligencia puede emitir comandos de bloqueo dinámicos a un controlador SDN mientras aplica simultáneamente una capa de salvaguarda para proteger el tráfico legítimo.
• Demostración de Sobrecorrección: El sistema demostró con éxito que, sin salvaguardas, una política impulsada por analítica puede bloquear hosts legítimos (específicamente un host con la IP 172.16.7.2) cuando exhiben patrones de tráfico que se solapan con firmas de ataque.

Resultados Experimentales
Los autores realizaron una demostración comparando dos escenarios: uno que utilizaba únicamente el conjunto de firmas agresivas y otro que utilizaba el conjunto de firmas aumentado por las reglas de Safeguard.

• Sin Safeguard: La capa de inteligencia identificó al host legítimo (172.16.7.2) como malicioso basándose en sus patrones de tráfico y emitió un comando de bloqueo de IP, denegando efectivamente el servicio.
• Con Safeguard: Las reglas de Safeguard identificaron al host como una conexión "conocida como buena". En consecuencia, la capa de inteligencia fue restringida para no adjudicar este host, y el comando de bloqueo no fue emitido.
  Los resultados confirman que la capa Safeguard logró prevenir el bloqueo no deseado de tráfico legítimo en presencia de un modelo de detección excesivamente agresivo.

Significancia y Reivindicaciones
El artículo afirma modestamente que Safeguard sirve como una necesaria "política correctora de políticas" para asegurar la operación adecuada de las SDN. Los autores sostienen que los modelos puramente basados en datos para la toma de decisiones de política encontrarán inevitablemente casos límite que conducirán a resultados no deseados. Argumentan que, independientemente de la sofisticación del diseño de detección de intrusiones, las reglas de salvaguarda son cruciales para limitar la sobrecorrección. Al superponer reglas estáticas sobre políticas dinámicas, los administradores de red pueden lograr niveles más altos de seguridad adaptable, asegurando que las decisiones basadas en datos no comprometan la disponibilidad de la red para los usuarios legítimos. El trabajo sugiere que, si bien la detección de anomalías y el aprendizaje automático son valiosos, requieren un "riel de seguridad" de reglas predefinidas para ser viables en despliegues del mundo real.