利用SDN实现ISP威胁共享

F5

本文为客座博客，作者是TAG Cyber LLC首席执行官。TAG Cyber LLC是一家全球网络安全咨询、培训、顾问和媒体服务公司，为世界各地数百家公司提供支持。

安全行业普遍认为，高质量的网络威胁信息共享有助于负责运营、分析和响应的团队。当然，要实现这一价值，所共享的威胁信息必须真正具备高质量。如今已有成熟的商业平台，可以减轻建立、运营和管理有效威胁共享小组的负担。因此，安全团队没有太多理由不开展数据共享。

安全社区还普遍认为，网络攻击利用正变得更快、更智能，也更难以察觉。这些攻击特征的实现，部分借助了由沙丘路资本资助的技术：自动化、机器学习和自主技术。由此产生的所谓“合成攻击”速度太快且过于隐蔽，任何由人工协调的手动响应都难以应对，这对安全团队而言是一个令人担忧的前景。

F5与TAG Cyber近期在波士顿举行的F5 Agility 2018活动期间成立了一个工作组，旨在结合另一项因素研究以下两个议题：威胁信息共享和合成网络攻击。具体而言，工作组需要结合一种可能为安全团队带来可观价值的新兴技术趋势开展研究，即软件定义网络（SDN）。^[1]

该工作组的成员主要是受邀自全球服务提供商群体的行业参与者^[2]，其任务是围绕以下基本问题展开讨论、辩论并重点研究：新兴的SDN赋能型服务提供商基础设施能否提供一个底层协作平台，支持全球运营商之间自动共享网络威胁信息，从而降低合成攻击的风险？

为解答这一涉及多个方面的问题，工作组确定了三个更具体的问题，以便组织讨论、聚焦重点，并形成综合答案：

· 用于安全的SDN：SDN用于网络安全有哪些相关优缺点？

· 改进ISP共享：可以采取哪些策略来改进ISP的整体共享？

· 功能要求：哪些平台功能支持基于SDN的共享？

工作组在活动期间还提出了许多其他相关议题，但这三个重点问题似乎有效推动了以下结论的形成：SDN基础设施确实为运营商之间实现威胁信息自动共享提供了坚实基础。工作组还就一项基本原则达成共识：要阻止自动化合成攻击，服务提供商需要依靠自动化防御。

用于安全防护的SDN

第一个问题重点探讨SDN如何为安全提供有效基础，而不是如何保护SDN本身（后者不在本次工作的范围内）。为此，参与者就SDN的以下方面发表了看法。这些方面被认为非常适合在多个服务提供商的基础设施部署之间动态、自动地共享威胁信息：

• 控制器可见性：SDN控制器可集中查看所有受管设备。借助这种可见性，可以自动采集、处理和传送受管设备的遥测数据，以便对外共享。控制器可以利用其对南向接口的可见性原生完成这些操作，也可以通过专门部署的传感器与使用北向接口的SDN应用协同完成。
• 支持快速试错，要实现共享功能自动化，需要具备创新能力，以开发新的功能和特性。为此，软件赋能的基础设施支持快速引入新特性。这些特性可能取得成功，也可能快速失败（以便迅速识别并替换）。因此，SDN的软件化特性为创建新功能提供了更灵活的环境。
• 自我防御的潜力：工作组投入了大量时间，探讨软件发展自我防御能力的前景。对于需要应对自动化合成攻击的速度和规模的任何安全防御体系而言，这似乎都是不可或缺的组成部分。要让SDN支持共享，需要动态检测指标，并随后进行自主响应。

改进ISP共享

第二个问题重点探讨全球ISP通常可以如何改进当前的威胁信息共享。与会者进行了大量对比讨论，比较了服务提供商群体内部采用的相关方法，以及金融服务行业广受关注的信息共享流程和方法。^[3] 因此，工作组针对新兴SDN环境下如何改进信息共享提出了以下建议：

• 团体与合作伙伴关系：全球ISP社区中许多成效显著的威胁信息共享计划，往往源自临时工作组或运营商之间的多边合作关系，旨在通过共享解决特定问题。这表明，要利用SDN实现自动共享，需要支持创建社区、临时协议和动态信任组。
• 纳入服务提供商合作组织：与金融服务行业类似，ISP群体中也有数百家小型服务提供商和通信服务供应商。这些规模较小的合作组织需要相应的功能支持，以便通过与供应商的合作关系或基于云的即服务关系实现自动共享。可以通过各种产品或财务激励措施，吸引其加入自动共享群组。
• 全球共享规范任何一项覆盖众多不同全球运营商、具有实际意义的威胁信息共享，都无法由一项统一执行的政策来管理。相反，任何自动共享计划都需要达成基于规范的共识，由大多数运营商自愿决定将出站和入站信息源纳入共同的共享生态系统。

功能要求

第三个问题重点是确定SDN平台和供应商解决方案的功能要求，以支持运营商之间自动共享威胁信息。工作组一致认为，供应商有动力为客户提供服务；如果用户群体将需求整理为可实施的标准，供应商就能更有效地响应。为支持基于SDN的共享，确定的主要功能特性如下：

• 威胁总线架构：工作组提出了所谓的威胁总线概念，将其作为共享威胁信息的抽象功能目的地。威胁总线需要妥善处理和保护信息，并遵循归因程度、置信度等属性。后续还需进一步明确该总线的具体实现方式。
• 标准协议和接口：工作组认为，基于标准的威胁共享协议对于任何自动化生态系统的正常运行都至关重要。广为人知的STIX和TAXII协议被用作示例标准，纳入新兴的SDN设计。虽然SDN本身并不妨碍开展此类工作，但据工作组了解，迄今为止，此类工作尚未成为任何SDN工作的明确重点。
• 用例驱动型支持：工作组坚决主张功能设计应由用例驱动。这有助于采用循序渐进的方法引入自动共享。讨论的一个用例是：如果检测到的攻击似乎源自另一家运营商的基础设施，不同运营商之间会以自动化方式相互发出警报。

工作组建议采取以下后续步骤：（1）发布这篇基于小组讨论撰写的文章，为其他相关工作的规划提供参考；（2）将研究结果带回各成员组织，推动形成基于SDN的共享思路，并促进相关标准制定工作；（3）与供应商群体开展讨论，建议其进一步关注这一重要领域。

本工作组的结论可以简要概括如下：成员一致认为，新兴的SDN赋能型服务提供商基础设施可为全球运营商之间自动共享网络威胁信息提供底层协作平台，从而降低合成攻击的风险。鉴于团队一致认同自动化合成攻击的严重程度，得出这一结论令团队深受鼓舞。

由TAG Cyber LLC编制：https://www.tag-cyber.com/

[1] 如需深入了解软件定义网络（SDN）的基础知识，请参阅《软件定义网络：综合方法》，作者为Paul Goransson和Chuck Black（Morgan Kaufman，2014年）。

[2] 为尊重参与者及其所在组织的隐私，本说明仅概述工作组会议期间提出的结论和建议，不提及参与本研究的任何专家或团体的名称。参与者有机会审阅本说明并提出修改建议，但其中如仍有任何错误，均由作者负责。

[3] 工作组得出的一项重要结论是，在公开推广威胁共享工具、方法和FS-ISAC生态系统方面，金融服务业比其他行业更为有效。

关于作者

F5

F5 的更多博客文章