Safeguard: Security Controls at the Software Defined Network Layer

Resumo Técnico: Safeguard – Controles de Segurança na Camada de Rede Definida por Software

Definição do Problema
A rápida adoção de Redes Definidas por Software (SDNs) oferece vantagens significativas em termos de configuração dinâmica e equilíbrios entre custo e desempenho em comparação com sistemas baseados em hardware. No entanto, essa mudança introduz vulnerabilidades críticas de segurança, particularmente no que diz respeito à dependência de políticas orientadas a dados. Embora aplicações orientadas a dados (como sistemas de detecção de intrusão baseados em aprendizado de máquina) possam ajustar políticas de rede na velocidade de linha para acomodar requisitos flutuantes, elas são suscetíveis à "correção excessiva" (over-correction). Se esses sistemas receberem entradas maliciosamente elaboradas ou encontrarem casos extremos (edge cases) no tráfego de rede, podem gerar consequências indesejadas, como o bloqueio de tráfego legítimo (falsos positivos) ou a falha na detecção de ameaças reais (falsos negativos). O artigo argumenta que deixar a política de rede inteiramente a cargo de designs orientados a dados, sem restrições definidas por humanos, pode expor as redes a cenários de negação de serviço ou posturas de segurança ineficazes.

Metodologia
Os autores propõem o Safeguard, um framework baseado em regras projetado para sobrepor e restringir políticas orientadas a dados para evitar respostas indesejadas. O projeto foi implementado utilizando recursos do CloudLab para instanciar um ambiente de SDN simulado. A arquitetia do sistema consiste em três camadas primárias:

1. Topologia de Rede e Controlador: O experimento utilizou um controlador Floodlight OpenFlow e uma estrutura Open vSwitch (OVS). Os fluxos de tráfego foram capturados do plano de dados (dataplane) e reportados ao controlador. O controlador foi configurado para aplicar regras de lista negra de IP baseadas em instruções da camada de inteligência.
2. Simulação de Ataque: A equipe simulou ataques de Negação de Serviço Distribuída (DDoS) e inundação de pacotes (ICMP, UDP e TCP SYN) usando o Hping3. O cenário de ataque envolveu nós gerando tráfego para sobrecarregar o controlador e um host alvo, visando interromper conexões legítimas entre os nós.
3. Camada de Inteligência: Este componente processa características de tráfego em tempo real (IP de origem/destino, porta, protocolo, carimbo de data/hora).
   • Design Inicial: Os autores consideraram inicialmente o uso de um classificador de aprendizado de máquina (referenciando Zhang et al.), mas abandonaram a ideia devido à falta de artefatos reproduzíveis na literatura existente.
   • Implementação: Em vez disso, desenvolveram um classificador baseado em assinaturas ajustado para "corrigir excessivamente". Este sistema foi deliberadamente configurado para sinalizar o tráfego de forma agressiva (ex: pacotes SYN rápidos, varredura de múltiplas portas, varredura de múltiplos IPs) para simular o comportamento de falso positivo frequentemente associado a modelos de aprendizado de máquina imperfeitos.
   • O Mecanismo Safeguard: Um conjunto de regras específico foi introduzido para atuar como uma "política de correção de política". Este mecanismo mantém uma lista de tráfego "conhecido como bom" (ex: conexões para portas específicas em servidores confiáveis). Se um host corresponder a esses critérios, as regras do Safeguard o excluem explicitamente do processo de adjudicação, impedindo que a camada de inteligência o bloqueie, mesmo que seus padrões de tráfego acionem as regras de assinatura agressivas.

Principais Contribuições

• Proposta de Framework: A introdução do Safeguard, uma abordagem híbrida que combina análise orientada a dados com restrições estáticas baseadas em regras para mitigar os riscos do excesso de alcance automatizado de políticas.
• Implementação de Referência: Um protótipo funcional demonstrando como uma camada de inteligência pode emitir comandos de bloqueio dinâmicos para um controlador SDN enquanto aplica simultaneamente uma camada de salvaguarda para proteger o tráfego legítimo.
• Demonstração de Correção Excessiva: O sistema demonstrou com sucesso que, sem salvaguardas, uma política orientada por análise pode bloquear hosts legítimos (especificamente um host com IP 172.16.7.2) quando estes exibem padrões de tráfego que se sobrepõem a assinaturas de ataque.

Resultados Experimentais
Os autores realizaram uma demonstração comparando dois cenários: um utilizando apenas o conjunto de assinaturas agressivas e outro utilizando o conjunto de assinaturas aumentado pelas regras do Safeguard.

• Sem Safeguard: A camada de inteligência identificou o host legítimo (172.16.7.2) como malicioso com base em seus padrões de tráfego e emitiu um comando de bloqueio de IP, efetivamente negando o serviço.
• Com Safeguard: As regras do Safeguard identificaram o host como uma conexão "conhecida como boa". Consequentemente, a camada de inteligência foi impedida de adjudicar este host, e o comando de bloqueio não foi emitido.
  Os resultados confirmam que a camada Safeguard impediu com sucesso o bloqueio indesejado de tráfego legítimo na presença de um modelo de detecção excessivamente agressivo.

Significância e Alegações
O artigo afirma modestamente que o Safeguard serve como uma necessária "política de correção de política" para garantir a operação adequada das SDNs. Os autores afirmam que modelos puramente orientados a dados para a criação de políticas inevitavelmente encontrarão casos extremos que levarão a resultados indesejados. Eles argumentam que, independentemente da sofisticação do design de detecção de intrusão, as regras de salvaguarda são cruciais para limitar a correção excessiva. Ao sobrepor regras estáticas a políticas dinâmicas, os administradores de rede podem alcançar níveis mais altos de segurança adaptável, garantindo que as decisões orientadas a dados não comprometam a disponibilidade da rede para usuários legítimos. O trabalho sugere que, embora a detecção de anomalias e o aprendizado de máquina sejam valiosos, eles requerem um "guarda-corpo" (guardrail) de regras predefinidas para serem viáveis para implantação no mundo real.