修論審査

SDNを導入した企業ネットワークのセキュリティ課題と対策の考察

2022.02.12
後藤研 杉本久美

研究概要
近年の企業ネットワークの課題
リモートワークの普及によるセキュリティ課題

ネットワークの構築・運用上の課題（複雑化したネットワーク構成や運用コストの増加）

SDNが有効しかしSDNはセキュリティ課題を有する

対策①:
SDPによる企業ネットワーク
内外からのアクセス制御

対策②:コントローラDACによるNW管理システム
からSDNコントローラへのアクセス制御
対策③:SDPによるSDNコントローラからSDNスイッチへのアクセス制御
対策④:SDNコントローラのPacket Inメッセージの受信頻度の閾値によるDoS対策

SDNのデータ層、コントローラ層でそれぞれ組み合わせて使えることを示す
1

SDNとはSoftware Defined Networking
ソフトウェアによって動的にネットワークを構成

機器のデータ転送機能と制御機能を分離制御機能をSDNコントローラで集中管理（全体像の把握、設定を一括で変更）

従来のネットワーク

1つの機器がデータ転送機能と制御機能を持つ機器同士で情報を交換個々に設定を行う

2

SDNとは
NW管理システム

アプリケーション層

SDN
コントローラコントローラ層

データ層

論理NW

Northbound API

Southbound API(OpenFlow)

SDN
スイッチ

FW

FW

FW

スイッチ
ホスト

インターネット

論理NW

スイッチ
ホスト

ホスト

ホスト
3

SDNによる対策
企業ネットワークの構築・運用上の課題① 複雑化したネットワーク構成

SDNの特徴② 分離されたネットワーク間の相互アクセス

ネットワークの仮想化③ ネットワーク構成の柔軟性・構築の迅速性

ソフトウェアでネットワークを制御④ 運用コストの削減⑤ 運用の簡素化⑥ ネットワークキャパシティの強化

SDNコントローラでネットワーク機器を一括管理

4

SDNの導入事例
B

C

D

●
●

柔軟性・迅速性●●●

運用コスト削減

NWキャパシ
ティの強化

工場

工場

工場

●

●

●

●

●

●
●

（デ自ー社タ）セン
タ（デプー
ロタ
バセイン
ダタ）

●

NW間の相互アクセス

運用の簡素化

オ大フ規
ィ模ス

Cオフィス

Bオフィ
ス

Aオフィス

A

複雑化したNW構成

オフ
ィ
ス

●

●

●
●

●

●

●

●

●
●

●

→企業ネットワークの構築・運用上の課題はSDNでの解決が期待
5

SDNを導入した企業ネットワーク

SDNの利用

企業ネットワーク外部からのアクセス

6

SDNを導入した企業ネットワークのセキュリティ課題①
企業ネットワークにおける境界型防御の限界
リモートワークの普及により
企業ネットワーク外部から情報資産へのアクセス
私物PCの利用が増加
境界型防御では一度企業ネットワーク内に侵入されると攻撃を防ぐことが困難

ゼロトラスト:境界の内外に関係なくすべてを信用しない
SDP:ゼロトラスト実現手段の1つ
SDPによりリモートワークのセキュリティに対応できる
7

SDNを導入した企業ネットワークのセキュリティ課題②
SDNの構造上のセキュリティ課題
アプリケーション層

コントローラ層

データ層

 権限のない人によるSDNアプリケーションの操作
 不正なSDNアプリケーション
 SDNコントローラの乗っ取り
 SDNスイッチへの不正なフローエントリの挿入
 ホストからSDNスイッチへの不正な通信 フローエントリの改ざん
 フローテーブルのリソースの限界 先行研究でもSDNのセキュリティは取り上げられている
 STRIDE分析を行い、より重大なリスクを引き起こす脅威について対策を考察する
8

SDPの構成
境界をソフトウェア上で構築し、SDPコントローラでアクセスを制御

SDP
Controller

Initiating
SDP Host(IH)
ユーザのデバイス等で実行

ユーザーの認証と認可、デバイスの検証、安全な通信の確立、ネットワーク上のユーザーと管理トラフィックの分離を保証

Accepting
SDP Host(AH)
IHからの接続を受け入れて、サービスを提供

制御チャネル
データチャネル

9SDPを用いたセキュリティ強化の研究
On the Security of SDN:
A Completed Secure and Scalable
Framework Using the SoftwareDefined Perimeter
A. Sallam, A. Refaey and A. Shami, in IEEE
Access (2019)

企業ネットワーク外部からのアクセスをSDPで制御

10

Beyond Corpのアクセス制御
 Googleが実装したゼロトラストモデル
 企業のリソースへのアクセスはデバイスの状態とユーザの認証情報によって制御される

 高い信頼レベルを保つには最新のバージョンにアップデートする必要があるなど、デバイスの状況に応じてアクセス制御が可能
 デバイスが信用できなくなった場合、デバイスが修復されるまで検疫ネットワークに割り当てる

11

境界型防御の課題の対策 まとめ
リモートワークの普及による課題
 エンドポイントのセキュリティが重要
 企業ネットワーク内部からのアクセスも信用できない対策
SDPを用いて企業ネットワーク内外からのアクセスから資源を守る

ユーザの認証やデバイスの検証によるエンドポイントのセキュリティ強化

企業ネットワーク内部からのアクセスを検証
12

SDNの構造上のセキュリティ課題
Northbound API、Southbound APIへのSTRIDE分析から想定される被害を明らかにし、対策を検討

STRIDE分析- Spoofing (なりすまし)- Tampering (改ざん)- Repudiation (否認)- Information Disclosure (情報漏洩)- Denial of Service (サービス妨害)- Elevation of Privilege (権限昇格)

13

Northbound APIのセキュリティ対策
攻撃者によるSDNコントローラの操作→任意のフロールールをSDNスイッチに送信できるため、企業ネットワーク全体が脅かされる

NW管理者のなりすまし

NW管理システムのなりすまし
SDN
NW管理システム
サーバ

NW管理者

SDNコントローラへの指示情報の改ざん

SDNコントローラのなりすまし

SDN
コントローラデータ層

14

Northbound APIのセキュリティ対策
攻撃者によるSDNコントローラの操作→任意のフロールールをSDNスイッチに送信できるため、企業ネットワーク全体が脅かされる

NW管理者のなりすまし

NW管理システムのなりすまし
SDN
NW管理システム
サーバ

NW管理者

SDNコントローラへの指示情報の改ざん対策
 NW管理者のユーザ認証
 NW管理システムの認証

SDNコントローラのなりすまし

SDN
コントローラ SDNコントローラへの指示情報の正当性の確認
データ層

15

Northbound APIのアクセス制御
Controller DAC: Securing SDN controller with dynamic access control
Tseng, Y., Pattaranantakul, M., He, R., et al, in IEEE Access (2017)

SDNアプリケーションからSDNコントローラへのアクセスを制御

16Northbound APIの対策 まとめ
課題
攻撃者によるSDNコントローラの操作対策
コントローラDACの導入

脅威

コントローラDACによる対策

NW管理システムのなりすまし

NW管理システムの認証

SDNコントローラへの指示情報の改ざん

不正な通信の検知

NW管理者のなりすまし

NW管理者の認証はNW管理システムによって行われる

SDNコントローラのなりすまし×（コントローラDACが保護するの対象外）

 コントローラDACを導入してアクセス制御や通信内容の正当性の確保が可能になる
 ただしコントローラDACのポリシーエンジンの設定が重要
17

Southbound APIのセキュリティ対策①
SDNスイッチが持つフローテーブルの改ざん→パケットが正常に処理されないため、ネットワークの混乱や情報漏洩が起こる

アプリケーション層

SDNコントローラのなりすまし

SDN
コントローラOpenFlowメッセージの改ざん
SDN
スイッチ
18

Southbound APIのセキュリティ対策①
SDNスイッチが持つフローテーブルの改ざん→パケットが正常に処理されないため、ネットワークの混乱や情報漏洩が起こる

アプリケーション層

対策

SDN
コントローラ SDNコントローラの認証
 SDNコントローラからSDNスイッチへのOpenFlow
メッセージの正当性の確認

SDNコントローラのなりすまし

OpenFlowメッセージの改ざん
SDN
スイッチ
19

SDNコントローラからスイッチへのアクセス制御
SDPによるSDNスイッチの保護
SDPによりSDNコントローラを認証してからSDNスイッチにアクセスすることで、不正なSDNコントローラからのアクセスを防ぐ
アプリケーション層
SDP
コントローラSDN
コントローラ

IH
AH
SDN
スイッチ
20

Southbound APIのセキュリティ対策②
SDNスイッチからSDNコントローラへのPacket InメッセージによるDoS攻撃 Packet Inメッセージ…SDNスイッチがフローテーブルの条件に合致しないパケットを受け取った時にSDNコントローラに問い合わせを行うOpenFlowメッセージ ユーザデバイスはそのようなパケットをSDNスイッチに送ることで攻撃できる→これによりSDNコントローラは機能停止

アプリケーション層
SDN
コントローラPacket Inメッセージの大量送信
SDN
スイッチ
21

Southbound APIのセキュリティ対策②
SDNスイッチからSDNコントローラへのPacket InメッセージによるDoS攻撃
Packet Inメッセージ…SDNスイッチがフローテーブルの条件に合致しないパケットを受け取った時にSDNコントローラに問い合わせを行うOpenFlowメッセージ
ユーザデバイスはそのようなパケットをSDNスイッチに送ることで攻撃する→これによりSDNコントローラは機能を一部停止

アプリケーション層

対策

SDN
コントローラ SDNスイッチにおけるPacket Inメッセージの送信制限
またはSDNコントローラにおける受信制限

Packet Inメッセージの大量送信
SDNスイッチ
22

SDNコントローラからスイッチへのアクセス制御
SDNコントローラにおいてPacket Inメッセージの受信頻度の閾値を設定
閾値を超えたらPacket Inメッセージの一部を破棄

アプリケーション層

Packet Inメッセージの受信頻度の閾値を設定

SDN
コントローラ

SDN
スイッチ
23

Southbound APIの対策
課題
 フローテーブルの改ざん
 SDNコントローラへの
DoS攻撃

まとめ対策
 SDPを用いたSDNコントローラからSDNスイッチへのアクセス制御
 Packet Inメッセージの受信頻度の閾値制御脅威

SDP、Packet Inメッセージの受信頻度の閾値の設定による対策

SDNコントローラのなりすまし

SDPによるSDNコントローラの認証

OpenFlowメッセージの改ざん

×、ただし暗号化など従来の対策が有効

Packet Inメッセージの大量送信

SDNコントローラにおけるPacket Inメッ
セージの受信頻度の閾値の設定

SDNスイッチのフローテーブル、SDNコントローラの保護が可能24

セキュリティ課題への対策案
SDNを導入した企業ネットワークにおける課題への対策案
セキュリティ課題

対策

SDPによるユーザからのアクセス制御

1

境界型防御の限界

2（Northbound API）
攻撃者のSDNコントローラの操作

3（Southbound API）
フローテーブルの改ざん

スイッチへの通信の検証

4（Southbound API）
SDNコントローラへのDoS攻撃

SDNコントローラにおいてPacket In
メッセージの受信頻度の閾値の設定

コントローラDACによるNW管理

システムからSDNコントローラへの通信の検証

SDPによるSDNコントローラからSDN

SDNの構造上の課題
対策1、4はSDNデータ層での対策の統合
対策2、3はSDNコントローラ層での対策の統合 を行う

25

ユーザデバイスからサーバへのアクセス
データ層における対策1と4の統合した場合でも端末AやBはサーバCに正常にアクセス可能

26

NW管理者によるネットワークの運用
コントローラ層における対策2と3の統合した場合でもNW管理者はネットワークを正常に運用可能

27

セキュリティ対策のまとめ

28

まとめ
近年の企業ネットワークの課題
リモートワークの普及によるセキュリティ課題

対策①:
SDPによる企業ネットワーク
内外からのアクセス制御

ネットワークの構築・運用上の課題
SDNが有効しかしSDNはセキュリティ課題を有する対策②:コントローラDACによるNW管理システム
からSDNコントローラへのアクセス制御
対策③:SDPによるSDNコントローラからSDNスイッチへのアクセス制御
対策④:SDNコントローラのPacket Inメッセージの受信頻度の閾値によるDoS対策

SDNのデータ層、コントローラ層でそれぞれ組み合わせて使えることを示した
残課題として 全ての通信をSDPコントローラで認証することでSDPコントローラに負荷がかかる
 ユーザデバイスがサーバにアクセスするまでにSDPの認証やSDNコントローラへのフローの問い合わせが起こることで遅延が発生する可能性
 導入や運用にコストがかかる
29