Safeguard: Security Controls at the Software Defined Network Layer

Technische Samenvatting: Safeguard – Beveiligingscontroles op de Software-Defined Network Laag

Probleemstelling
De snelle adoptie van Software-Defined Networks (SDN's) biedt aanzienlijke voordelen op het gebied van dynamische configuratie en kosteneffectiviteit vergeleken met hardwarematige systemen. Deze verschuiving introduceert echter kritieke beveiligingskwetsbaarheden, met name met betrekking tot de afhankelijkheid van datagestuurde beleidsregels. Hoewel datagestuurde applicaties (zoals machine learning-gebaseerde intrusiedetectiesystemen) netwerkbeleid met lijn-snelheid kunnen aanpassen om in te spelen op fluctuerende vereisten, zijn ze gevoelig voor "overcorrectie". Als deze systemen kwaadaardige inputs ontvangen of te maken krijgen met randgevallen in het netwerkverkeer, kunnen ze onbedoelde gevolgen hebben, zoals het blokkeren van legitiem verkeer (false positives) of het niet detecteren van werkelijke dreigingen (false negatives). Het artikel betoogt dat het volledig overlaten van netwerkbeleid aan datagestuurde ontwerpen zonder menselijk gedefinieerde beperkingen, netwerken kan blootstellen aan denial-of-service scenario's of een ineffectieve beveiligingshouding.

Methodologie
De auteurs stellen Safeguard voor, een regelgebaseerd framework dat is ontworpen om datagestuurde beleidsregels te overstijgen en te beperken om onbedoelde reacties te voorkomen. Het project is geïmplementeerd met behulp van CloudLab-bronnen om een gesimuleerde SDN-omgeving te instantiëren. De systeemarchitectuur bestaat uit drie primaire lagen:

1. Netwerktopologie en Controller: Het experiment maakte gebruik van een Floodlight OpenFlow-controller en een Open vSwitch (OVS) framework. Verkeersstromen werden opgevangen uit de dataplane en gerapporteerd aan de controller. De controller werd geconfigureerd om IP-blacklistregels af te dwingen op basis van instructies van de intelligentielaag.
2. Aanvalssimulatie: Het team simuleerde Distributed Denial of Service (DDoS) en packet flooding aanvallen (ICMP, UDP en TCP SYN) met behulp van Hping3. Het aanvalsscenario hield in dat nodes verkeer genereerden om de controller en een doelhost te overbelasten, met als doel de legitieme verbindingen tussen nodes te verstoren.
3. Intelligentielaag: Deze component verwerkt realtime verkeerseigenschappen (bron/bestemmings-IP, poort, protocol, tijdstempel).
   • Initieel Ontwerp: De auteurs overwoog aanvankelijk het gebruik van een machine learning-classifier (refererend aan Zhang et al.), maar lieten dit afzien vanwege een gebrek aan reproduceerbare artefacten in de bestaande literatuur.
   • Implementatie: In plaats daarvan ontwikkelden zij een signature-gebaseerde classifier die is afgesteld op "overcorrectie". Dit systeem werd doelbewust geconfigureerd om verkeer agressief te markeren (bijv. snelle SYN-pakketten, multi-port scanning, multi-IP scanning) om het false-positive gedrag te simuleren dat vaak geassocieerd wordt met imperfecte machine learning-modellen.
   • Het Safeguard-mechanisme: Er werd een specifieke set regels geïntroduceerd om te fungeren als een "beleid-corrigerend beleid". Dit mechanisme houdt een lijst bij van "bekend goed" verkeer (bijv. verbindingen naar specifieke poorten op vertrouwde servers). Als een host aan deze criteria voldoet, sluiten de Safeguard-regels hen expliciet uit van het beoordelingsproces, waardoor de intelligentielaag voorkomt dat zij worden geblokkeerd, zelfs als hun verkeerspatronen de agressieve signature-regels triggeren.

Belangrijkste Bijdragen

• Framework Voorstel: De introductie van Safeguard, een hybride aanpak die datagestuurde analytics combineert met statische, regelgebaseerde beperkingen om de risico's van geautomatiseerde beleidsoverschrijding te mitigeren.
• Referentie Implementatie: Een werkend prototype dat demonstreert hoe een intelligentielaag dynamisch block-commando's kan uitgeven aan een SDN-controller, terwijl gelijktijdig een safeguard-laag wordt toegepast om legitiem verkeer te beschermen.
• Demonstratie van Overcorrectie: Het systeem heeft succesvol aangetoont dat een analytics-gestuurd beleid zonder safeguards een legitieme host (specifiek een host met IP 172.16.7.2) kan blokkeren wanneer deze verkeerspatronen vertoont die overlappen met aanvals-signatures.

Experimentele Resultaten
De auteurs voerden een demonstratie uit waarbij twee scenario's werden vergeleken: één die alleen de agressieve signature set gebruikte en één waarbij de signature set werd aangevuld met Safeguard-regels.

• Zonder Safeguard: De intelligentielaag identificeerde de legitieme host (172.16.7.2) als kwaadaardig op basis van zijn verkeerspatronen en gaf een IP block-commando af, wat effectief leidde tot een denial of service.
• Met Safeguard: De Safeguard-regels identificeerden de host als een "bekende goede" verbinding. Bijgevolg werd de intelligentielaag beperkt in het beoordelen van deze host, en werd het block-commando niet uitgegeven.
  De resultaten bevestigen dat de Safeguard-laag erin geslaagd is de onbedoelde blokkering van legitiem verkeer te voorkomen in de aanwezigheid van een over-agressief detectiemodel.

Betekenis en Claims
Het artikel claimt bescheiden dat Safeguard dient als een noodzakelijk "beleid-corrigerend beleid" om de juiste werking van SDN's te waarborgen. De auteurs stellen dat puur datagestuurde modellen voor beleidsvorming onvermijdelijk tegen randgevallen aan zullen lopen die leiden tot ongewenste uitkomsten. Zij argumenteren dat ongeacht de verfijning van het intrusiedetectieontwerp, safeguard-regels cruciaal zijn om overcorrectie te beperken. Door statische regels over dynamische beleidsregels te leggen, kunnen netwerkbeheerders een hoger niveau van aanpasbare beveiliging bereiken, waarbij wordt gewaarborgd dat datagestuurde beslissingen de beschikbaarheid van het netwerk voor legitieme gebruikers niet in gevaar brengen. Het werk suggereert dat hoewel anomaliedetectie en machine learning waardevol zijn, ze een "vangrail" van vooraf gedefinieerde regels vereisen om levensvatbaar te zijn voor implementatie in de echte wereld.