软件定义网络（Software-Defined Networking，SDN）是一种新的网络设计理念，是对传统IT网络、电信网络基础设施的重构，已在全球范围内得到政府和产业界的高度重视。SDN的迅速发展和深化应用，不仅带来了全新的信息安全威胁和挑战，也丰富了传统信息安全防护技术和思路，将对传统信息安全产生重大影响。

SDN的内涵与发展

2009年，美国斯坦福大学于正式提出SDN概念，同年，麻省理工学院将其列为“改变世界的十大创新技术之一”。2012年10月，美国咨询公司Garnter将其列为未来五年十大关键科技趋势之一。目前，SDN尚处于发展阶段，但是其带来的网络架构重构契机已经得到国内外政府、企业的高度关注，将逐步应用于传统网络改造优化、网络安全以及云计算、数据中心、第五代移动通信技术（5G）等多个领域。

1. SDN的内涵

SDN既不是一项具体的技术，也不是一个具体的协议，而是一种网络架构。传统网络中，每个路由或者交换设备都将控制和数据转发功能集成在一个硬件设备中，既负责网络走向，又负责数据转发。在SDN网络中，依据开放网络基金会（Open Networking Foundation，ONF）的定义，SDN将传统网络设备的紧耦合架构分解为转发平面、控制平面和应用平面三个独立的部分。

●转发平面：即底层网络设备，既包括硬件网络设备，也包括虚拟网络设备。它只单纯负责数据业务的物理转发。

●控制平面：即安装在服务器中的控制器软件，实现对所有底层网络设备的自动化集中控制。

●应用平面：业务应用程序可以通过控制器对转发平面的底层网络设备进行“编程”，实现网络控制权对用户开放。

依据上述定义，SDN具有转发平面和控制平面解耦、逻辑上集中控制、网络可编程三个基本特性。这些特性使传统网络基础架构从分布式控制转变为集中控制，从手工配置的“静态”模式转变为软件定义的“动态”模式，突破了传统网络架构“封闭”、自动化管控能力低等发展瓶颈。

2. SDN的发展

第一，国家重视。

在国外，重要的国家安全机构相继加强SDN的布局和应用。美国国防部（DOD）、能源部（DOE）和国土安全部（DHS）自2015年开始，相继开展SDN传统网络优化和网络安全领域应用。欧洲网络与信息安全局（ENISA）于2015年12月发布《软件定义网络（SDN）/5G威胁环境和最佳实践指南》，分析了SDN/5G网络的安全威胁与潜在风险。

在我国，国家发改委和工信部在《关于做好2015年电子信息产业振兴和技术改造专项有关工作的通知》（发改办高技[2015]869号）中，重点支持信息网络产品产业化，其中包括支持SDN的云计算数据中心高性能交换机等设备；在《关于实施制造业升级改造重大工程包的通知》（发改产业[2016]1055号）中，提到要推进和发展SDN设备产业化；在2017年2月发布的《战略性新兴产业重点产品和服务指导目录》（2016版）中，将SDN交换机列为重点产品。

第二，产业关注。

国外以谷歌、微软、脸书等为代表的互联网公司，和以美国电信公司AT&T、英国电信、德国电信为代表的网络运营商积极布局SDN领域，加速向基于SDN的网络架构转型。

在国内，南京市政府和北京邮电大学等在2011年组建成立江苏未来网络创新研究院，将SDN作为研究与产业化的重要方向；工信部电信研究院于2014年11月成立SDN产业联盟，推动SDN产业发展。以百度、腾讯等为代表的互联网公司和以中国移动、中国电信、中国联通为代表的网络运营商正在积极推进基于SDN的网络架构转型，已经开始在部分现网中应用SDN。

第三，标准化推动。

由微软、美国数字设备公司（DEC）和惠普（HP）等国际计算机巨头组建的开放网络基金会是最早推动SDN标准的组织，互联网工作任务组（IETF）、国际电信联盟（ITU）和电信标准协会（ETSI）也陆续开展SDN标准化工作。目前，尚未正式发布SDN及其安全标准。

在我国，中国电信标准化协会（CCSA）开展了SDN标准化工作，也未正式发布SDN及其安全标准。

SDN给信息安全带来的挑战

由于网络基础设备和网络安全设备相互依赖，SDN给底层网络结构带来改变的同时，将不可避免地影响网络安全。SDN的快速发展和在国家关键基础设施行业以及云计算、数据中心的深化应用的独特性，给这些领域带来了潜在的安全风险和挑战。

1. 集中控制带来的安全风险

SDN转发平面和控制平面解耦实现了硬件网络设备和控制器软件的独立部署、独立升级，成就了SDN的集中控制架构。在这种架构下，SDN控制器集中了所有网络设备的控制功能，可以根据用户的不同需求以及全局网络拓扑，实现灵活动态地资源分配、配置和管理。这种特性导致控制器成为攻击SDN网络的首要目标，成为SDN网络的最大安全隐患。控制器一旦被攻击，轻则引发拒绝服务攻击、数据伪造等安全问题，重则被完全控制，危及整个IT网络、电信网络基础设施。

2. 网络可编程带来的安全风险

SDN网络可编程特性突破了传统网络架构应用系统难以调用网络的能力。这种特性允许用户开发的认证、鉴权、审计等业务应用系统以“编程”的方式通过控制器软件对网络资源进行动态分配、自动化业务下发和实时信息获取等操作。在这种情况下，一旦有人利用业务应用系统漏洞，对使用SDN的网络“编程”特性进行恶意破坏，将会引发拒绝服务攻击、流量嗅探等安全问题。

3. 缺乏安全机制设计带来的风险

通常情况下，一项新兴架构或技术在设计之初往往重视功能实现，或没有或缺少安全设计考虑，SDN也不例外。目前，SDN在访问控制、鉴别授权、应用安全隔离等安全功能设计上尚不完善或功能缺失，国内外标准组织，如开放网络基金会、互联网工作任务组、国际电信联盟、中国电信标准化协会等，在SDN架构安全、转发平面、控制平面和应用平面的安全防护方面也没有出台相应标准，这给SDN产业发展和应用安全，带来潜在隐患。

SDN给信息安全带来的机遇

科学技术是把双刃剑。SDN基本特性给信息安全带来安全挑战的同时，也带来了全新的机遇，在安全管理、安全防护与监控等方面拓展了思路。

1. 实现网络安全的自动化管理

第一，自动化配置网络安全策略

在传统网络安全管理时，安全策略需通过手工配置，这是一项非常复杂的任务，几乎不可能实现有规模、系统的、自动化的管理；同时，面对实时发生的网络攻击，无法形成自动响应能力。在SDN网络中，控制器的集中控制特性实现了从逻辑上对物理安全设备和虚拟安全资源下发和配置安全策略，实现了虚拟安全资源的动态编排，实现了自动化改变数据流向，这使网络安全管理者能根据网络架构变化、网络攻击情况实现安全策略的自动化创建和部署。

第二，灵活开发安全应用程序

SDN的编程特性允许用户在开发上层应用程序时不必关注底层网络设备的硬件细节，应用程序通过控制器实现对底层网络设备的管理和配置。这种特性在应用程序和网络设备之间架起了一座桥梁，为灵活地开发应用程序带来极大的便捷。特别是在信息安全领域，用户可以根据SDN网络安全防护需求，定制开发高级安全应用，实现在网络上应用安全策略的新方式。

2. 拓展网络的安全防护与监控方式

第一，基于SDN的网络安全威胁检测与防御

SDN的集中控制和可编程功能可以实现对整个网络流量的监控，动态控制恶意或可疑的网络流量或数据包，并对其进行重新路由、分离或丢弃等操作，实现对DDos/Dos攻击、网络异常的检测与消控。美国国防部于2015年开始将SDN应用于传统网络安全，利用SDN对自身网络进行安全扫描和威胁识别；美国国土安全部于2016年实施基于SDN的动态流量隔离技术研究与实践。

第二，基于SDN的网络安全态势感知

SDN控制器可以实现对全局网络设备进行集中控制，掌握全局网络实时的流量信息和实时安全状态，这种特性为网络安全态势感知提供了新方法。美国国防部于2015年开始利用SDN对自身网络进行安全态势感知；美国的Veracity公司利用SDN进行网络资产识别和管理、客户定义的安全域、基于威胁的事件响应等方面的态势感知。

结语

各国政府和产业界正积极把握SDN带来的网络架构重构契机，高度关注SDN的未来发展，推进SDN应用的落地，同时，也关注SDN给信息安全带来潜在的严峻挑战，以及给信息安全发展带来的新思路。目前，SDN尚处于发展阶段，我国在加快SDN相关技术与产品研发与应用的同时，应把握SDN给信息安全带来的正反两方面作用。一方面，加强对SDN安全技术与产品的支持力度，积极推进SDN安全标准化研究与制定工作；另一方面，探索SDN在信息安全领域的应用创新，从而保障SDN在国家关键基础设施行业应用的安全。