SDN技术存漏洞 供应商为开拓市场牺牲安全

安全研究人员报告称，在软件定义网络(SDN)中使用的白盒交换机技术存在漏洞，攻击者可以利用该漏洞严重破坏企业网络。

[[145141]]

在黑帽大会上，研究人员展示了攻击交换机系统的恶意软件，表明有些SDN技术包含严重的安全隐患，并且，技术提供商没有妥善处理这些问题。

“这些供应商现在的主要重点是进入市场，”托管安全提供商Hellfire Security公司创始人兼网络安全运营负责人Gregory Pickett表示，“他们以后才会考虑安全性。”

Pickett开发的恶意软件可以利用三个开放网络操作系统(NOS)中的任一个来入侵该交换机的开放网络安装环境(ONIE)，ONIE是让公司安装自己选择的Linux NOS的开源固件。在SDN架构中，交换机操作系统会从服务器运行的控制器来执行流量指示。

这些操作系统包括Big Switch Networks公司的Switch Light、Cumulus Networks公司的Cumulus Linux和Mellanox公司的MLNX-OS。

Pickett表示，攻击交换机可以让攻击者通过该设备来监控流量。攻击者还可以攻击交换机或整个网络。

攻击交换机操作系统

为了让Pickett的恶意软件进入网络，攻击者会将其隐藏在电子邮件附件中。如果管理员打开该文件，恶意软件就会通过其工作站的管理系统进入网络。

在找到易受攻击的交换机后，该恶意软件会安装辅助病毒，该病毒会感染ONIE固件。这段代码将与攻击者的命令控制服务器建立互联网连接，然后，更高级的恶意软件会被下载和安装在该交换机中。

在7月31日，Cumulus Networks发布了该安全漏洞的补丁。Cumulus公司首席技术官Nolan Leake表示，Pickett利用的固件缺陷存在于所有交换机中，包括专有交换机以及使用ONIE的开放硬件。他表示：“这个漏洞并不是特定于软件定义或开放网络。”

Pickett表示，他发现ONIE和网络操作系统普遍缺乏基本的安全功能来防止这样的攻击，例如它们缺少身份验证、加密和控制来防止对硬件的未经授权访问或者阻止恶意软件获得执行管理员任务的权限。

Pickett认为，SDN产品开发人员将这个问题留给了使用这些技术的公司，这些公司应该安装入侵检测系统、防火墙和其他安全设备来应对这种攻击。

但在ONIE和NOS中构建更严格的安全性会让这些技术更加难以使用。也就是说，潜在的客户可能会被这些问题吓退。

安全：事后再考虑

IDC公司分析师Rohit Mehra表示，开放SDN控制器和操作系统开发人员都将功能优先于安全性，因为前者可提高产品销量。

Mehra称：“驱动力一直是特性功能，以及提供真正的运营效益，显然，安全是事后考虑事项。”

随着SDN技术逐渐成熟以及部署在主流企业(例如制造商和大型零售商)，安全性不足的潜在危害会增加。与现在的主流SDN用户相比，这些行业通常没有很先进的IT部门，包括电信公司、大型云服务提供商和华尔街金融机构。

Mehra称：“开放网络供应商将不得不加强安全性，以确保他们可以减少其平台中的安全漏洞。”

Pickett发现，现在的开放NOS提供商就像是微软在重视安全性之前的Windows，“微软吸取了教训，现在轮到他们了。”