PowerPoint 簡報

Size: px

Start display at page:

Download "PowerPoint 簡報"

径逢
7 years ago
Views:

1 運用 SDN 技術解決臺灣學術網路 (TANet) 校內資訊安全管理之困境 2018/03/15 張瑛杰 1

2 大綱臺灣學術網路 (TANet) 為了落實網路安全管理在網路骨幹建構整偵測與通報機制 2

3 大綱因為資安政策各校自主規劃資安防禦設備大多是將 IPS 或 IDS 建置在校園出口這和 TANet 資訊安全架構有重疊之處 3

4 大綱國中小高中職在校園內網的資訊安全管理明顯地表現較薄弱大部分將資安設備取代核心路由器在收納層建置小型的資安設備 4

5 大綱當內網大量傳輸很容易造成單一節點資安設備效能不足原因在受限於資安設備的效能隨著使用頻寬的提升變成一個難以解決的問題 5

6 大綱希望能在本次會議上分享運用 SDN 概念提出的管理架構面對頻寬持續增加時的資安挑戰 6

7 感謝 ithome 2017 至

8 自我介紹張瑛杰任職於國立暨南國際大學資訊工程學系兼任助理教授計算機與網路中心技術員學歷國立暨南國際大學國際企業學系博士學位國立暨南國際大學資訊管理學系碩士學位長榮大學企業管理學系學士學位 8

9 自民國 92 年任職於國立暨南國際大學擔任台灣高品質學術研究網路 (TWAREN) 專任助理負責 TWAREN GigaPOP 維運業務推動於民國 97 年執行台灣學術網路 (TANet) 南投區網中心成立與網路管理多次承接財團法人台灣網路資訊中心 (TWNIC) IPv6 推廣與教育訓練計畫, 對象包含政府與學術單位 9

10 曾多次接受原廠演講邀約無線網路資訊安全在 2017 年亞太網路資訊中心 ( APNIC) Asia-Pacific Network Information Centre 第 44 屆會議上進行發表 10

11 長期協助國內不同區網中心與縣網中心進行教育訓練在網路與資訊安全領域有 14 年以上的實務經驗 11

12 暨南大學簡介 12

13 暨南大學簡介 13

14 暨南大學簡介 14

15 暨南大學簡介 15

16 臺灣學術網路 (Taiwan Academic Network, TANet) 臺灣各級學校網路及資訊教育之平台 16

17 臺灣學術網路教育部及幾個主要國立大學於民國 79 年 7 月起所共同建立的一個全國性教學研究網路其主要目的是支援全國各級學校及研究機構之教學研究活動促進資源分享與合作 17

18 臺灣學術網路 TANet 骨幹網路骨幹網路區域網路中心縣市教育網路中心 TANet 存取網路大專校院高中職校國中小學 18

19 教育學術網百 G 數位學校創第 E 教育部中央研究院科技部國家實驗研究院規劃推動三年期計畫教育學術研究骨幹網路頻寬效能提升計畫 - 100G 骨幹網路 19

20 教育學術網百 G 數位學校創第 E 20

21 教育學術網百 G 數位學校創第 E 105 年 4 月 26 日開始試營運建置臺灣高品質高頻寬學術網路骨幹國內學研單位教學研究實驗共用的網路平臺, 增加雲端服務效能 21

22 教育學術網百 G 數位學校創第 E 提供公開透明的網路速度及品質資訊建構以臺灣為中心連接亞太歐美, 與全世界接軌的學術研究網路 22

23 記者會現場 23

24 24

25 學術網路資訊安全通報機制為了落實網路安全管理在網路骨幹建構完整偵測與通報機制 25

26 資安通報重要單位台灣學術網路危機處理中心 TANet Computer Emergency Response Team 學術資訊安全維運中心 Academic Security Opertion Center 區網中心 GigaPOP 26

27 當頻寬不斷增加 1G / 10G / 40G / 100G 既有設備依舊正常提供服務但問題是這些設備都只 1G Port 可以進行介接例如 :Firewall IPS IDS 常聽到的解決方法購買更昂貴的資安設備 10G / 40G 27

28 10G / 40G / 100G 的資訊安全設備在建置成本上都會高於 Router 或 Switch 甚至是倍數成長這是一個需要被討論的問題!!! 28

29 討論項目 1. SDN-based security supporting infrastructure(i) Network and Service bypass 2. SDN-based security supporting infrastructure(2) Netflow generation 29

30 Region Network Center TANET 100G Previous Topology Pitfalls Devices out of service Mini-gbic failure Single point of failure Cable / Fiber failure Failed configuring Single point of failure 30

31 Region Network Center TANET 100G New Topology Bypass Switch Security Supporting Mechanism: - Bypass switch - Proprietary SDN device( L2-L7 support ) IDS-1 IDS-2 SDN device IDS-3 IDS-4 IPS 31

32 Region Network Center TANET 100G Bypass Switch In-Line Mode Network packets pass through the Bypass Switch, SDN device, and IPS IDS-1 IDS-2 IDS-3 IDS-4 32

33 Region Network Center TANET 100G Bypass Switch Bypass Switch should provide health check in case any element (including itself, SDN device, IPS) malfunctions. Health Check 33

34 Region Network Center TANET 100G Bypass Switch TAP MODE When some troubles happen Health Check packets are lost or delayed a lot(high latency) Health Check IPS 34

35 Region Network Center TANET 100G When IPS can not sustain for the network throughputs. However, let s consider 1080P/4K YouTube video streaming: High bandwidth Low risk SDN [Service Bypass] The SDN device directs YouTube packets not to pass through IPS/IDS but loop back directly IPS 35

36 Region Network Center TANET 100G The SDN device helps to reduce IPS loading. We could extend the period of use for IPS SDN IPS 36

37 Matched, to Abstract the server IP IP DB Signature DB Ethernet Packet Ethernet Packet Ethernet Packet Input IP address Matching Not macted Signature Matching Matched Not Matched Output 1 Output 2 Packet Prism Mechanism Separate YouTube packets from input Ethernet packet stream Output 1: YouTube stream ; Output 2: the other packets 1. Configuration: Input HTTPS/ YouTube signature (insert to Signature DB) 2. [Signature Matching] Check if the signatures can be matched in the input packet payload. Learn the server IP of that packet if matched (insert to IP DB). 3. [IP address Matching] Identify the YouTube packets by server IP address 37

38 Region Network Center TANET 100G Load balance function could direct traffic to a few of IDS simultaneously according to IP address / subnet/5-tuple hash SDN IPS 38

39 Region Network Center TANET 100G We could control different application traffic to different IDS. This eases new services testing. SDN TEST LAB IPS 39

40 Region Network Center TANET 100G Bypass Switch SDN Function ( IDS + IPS ) Flexible IDS-1 IDS-2 IDS-3 IDS-4 Redundant TEST LAB IPS 40

41 討論項目 1. SDN-based security supporting infrastructure(i) Network and Service bypass 2. SDN-based security supporting infrastructure(2) Netflow generation 41

42 Region Network Center TANET 100G Bypass Switch Flow Report Server Router does not support 1:1 non-sampling Netflow v9, If traffic grows up day by day, Router will always busy. 42

43 Region Network Center TANET 100G In-Line Mode Flow Report Server SDN The SDN device analyzes traffic and then generate 1:1 Netflow v9 for Flow Report Server. This helps to reduce Router CPU usage. 43

Traditional NetFlow generation architecture New NetFlow

Region Network Center TANET 100G NetFlow (Sampling 64:1) Port

NetFlow Gen Netflow Analyzer Netflow Analyzer NetFlow V5/V9

44 Traditional NetFlow generation architecture New NetFlow generation architecture Region Network Center TANET 100G Region Network Center TANET 100G NetFlow (Sampling 64:1) Port Mirror Filtering L2-L7 filtering (remove low-risk traffic) NetFlow Gen Netflow Analyzer Netflow Analyzer NetFlow V5/V9 generation Sampling rate 1:1 Active Timeout 60 sec Passive Timeout 60 sec 44

45 Region Network Center TANET 100G TAP Mode Flow Report Server SDN If IPS is out of service so that Bypass Switch state is changed to TAP mode, we still could log 1:1 traffic flow 45

46 比較之下的優點 SDN-based Security Supporting Mechanisms 可用性負載平衡降低成本彈性增加 46

47 TANET 的 Last Mile 國中小是 TANet 數量最多的連線單位臺灣學術網路 (TANet) 為了落實網路安全管理在網路骨幹建構完整偵測與通報機制 47

48 Last Mile 的問題各校在資安管理的自主規劃大多是將 IPS 或 IDS 建置在校園出口這和 TANet 資訊安全架構有重疊之處 48

49 校園內網資安設備大部分建置於核心層或收納層內網大量傳輸很容易造成單一節點問題資安設備建置成本隨著使用頻寬的提升變成一個難以解決的問題 49

50 分享運用 SDN 提出新的管理架構面對頻寬持續增加資安挑戰 50

51 校內實測紀錄地點國立暨南國際大學管理學院無線網路使用環境拓樸將 SDN Device 夾在存取層過濾內容 Facebook Youtube 51

52 建議不同拓樸模式 52

53 AP AP AP Switch POE Switch Switch AP AP POE Switch 國中小高中職常見網路拓樸 53

54 AP AP AP Switch POE Switch Switch AP AP POE Switch 校內資安設備建置範例一 54

55 AP AP AP Switch POE Switch Switch AP AP POE Switch 校內資安設備建置範例二 55

56 AP AP AP Switch POE Switch Switch AP AP POE Switch 校內資安設備建置範例三 56

57 對於國中小高中職的建議方案 57

58 AP AP AP Switch POE Switch Switch AP AP POE Switch SDN IPS 58

59 AP AP AP Switch POE Switch SDN AP AP POE Switch IPS 59

60 FaceBook 和 Youtube 送進去 IPS 的量 01/22 18:50 濾掉 Mbps, 約總流量的 94.14% 02/01 15:05 濾掉 Mbps, 約總流量的 94.18% Mon Jan 22 18:50: Mbps 94.14% Thu Feb 1 15:05: Mbps 94.18%

180 160 Mon Jan 22 18:50:01 80.63 Mbps 94.

61 Mon Jan 22 18:50: Mbps 94.14% Thu Feb 1 15:05: Mbps 94.18%

62 IP address 黑名單 IP address 黑名單是普遍的作法 Gateway IPS 透過 SDN Device 過濾異常黑名單降低 Router 和 IPS 的 Loading 增加設定筆數 62

63 Domain name 過濾過去透過 IP address 黑名單降低資安風險現在駭客使用 Domain name 可以不斷變更 IP address 在 SDN Device 上設定阻擋已知異常 Domain name 可有效抑制更換 IP address 的攻擊行為 63

64 Netflow 1:1 紀錄透過 Free Netflow Analyzer 收集資料完成 1: 1 netflow 轉換詳細記錄資訊 64

65 南投區網中心建置 65

66 校園測試型號 66

67 感謝 ithome 教育部中央研究院科技部國家實驗研究院國立暨南國際大學南投區網中心給予指導與協助 67

68 感謝瑞擎數位股份有限公司辰亞科技股份有限公司殷諾科技股份有限公司技術支援 68

69 繼續不斷嘗試不同做法 Q&A 問題討論 69

<4D6963726F736F667420506F776572506F696E74202D2030325FC2B2B3F85FA44AAB49B0BBB4FABB50B977A8BEA874B2CEC2B2A4B6BB50C0B3A5CE2E707074>

<4D6963726F736F667420506F776572506F696E74202D2030325FC2B2B3F85FA44AAB49B0BBB4FABB50B977A8BEA874B2CEC2B2A4B6BB50C0B3A5CE2E707074> 入侵偵測與預防系統簡介與應用蕭翔之講師 BS 7799 LA 課程大綱第一章認識入侵偵測與預防系統第二章入侵偵測與預防系統的功能分類偵測技術第三章入侵偵測與預防系統部署架構第四章入侵偵測與預防系統的應用效益第五章結