启明星辰SDS助力SDN及云数据中心安全

近年来，启明星辰紧跟云计算、虚拟化和SDN技术发展，结合公司在信息安全领域深厚的技术、产品、经验积累，推出了“启明星辰智慧流安全平台”，深入诠释和实践了公司SDS（Software Defined Security，软件定义安全）的理念，实现了安全按需使用、安全个性化编排、安全资源高弹性、切实抵御未知威胁等功能，助力SDN网络及云数据中心安全。目前，启明星辰智慧流安全平台已经成功完成了与华为SDN网络的联合对接测试，并于“2015华为网络大会”上发布。

启明星辰SDS

图1 启明星辰SDS工作机制

启明星辰SDS理念是从SDN引申而来，原理是将物理的、虚拟化的网络安全设备与它们的接入模式、部署位置解耦，抽象为安全资源池里的资源，通过软件编程的方式进行智能化、自动化地编排和管理，以实现相应的安全功能，从而完成网络安全防护。就工作机制而言，SDS分解为软件定义安全资源、软件定义流量、软件定义高级威胁模型，三个举措环环相扣，形成一个动态、闭环的工作模型，如图1所示。

软件定义安全资源：配备安全资源是实现网络安全防护的基础。在SDS模式下，安全资源由管理中心通过软件编程的方式进行统一注册、管理，以便实现后续的灵活编排和调度。

软件定义流量：由软件编程的方式来实现网络流量的转发控制，通过将目标网络流量转发到安全设备上，来实现安全设备的逻辑部署和使用。

软件定义高级威胁模型：对原始报文、流、安全事件等信息进行深度整理和挖掘，实现对高级安全威胁等未知威胁的实时分析和建模，之后将建模结果应用于安全资源并进行流量调整，实现安全联动自动化。

智慧流安全平台架构

启明星辰智慧流安全平台包含四个部分：安全资源池、高速交换网络、安全大数据分析中心和Matrix管理控制中心，整体架构如图2所示。

图2 启明星辰智慧流安全平台架构

安全资源池：由各种物理的或虚拟化的网络安全设备构成，兼容第三方厂商的安全产品。这些安全设备由管理控制中心统一注册、部署、调度和管理，以实现安全资源的按需取用、高扩展性、高可靠性。

高速交换网络：将网络安全设备接入高速交换网络，通过将流量引入或绕过安全设备，灵活的实现安全设备的部署和撤销。

安全大数据分析中心：从网络关键节点收集原始报文和流，从安全设备收集运行状态、安全事件等信息，采用大数据技术对上述信息进行深入分析和多维钻取，呈现高级安全威胁情报的分析结果，并与安全设备形成联动。

Matrix管理控制中心：侧重于安全威胁发现与事件响应的服务链管理控制中心，提供用户图形及CLI交互界面，可将用户配置的及安全大数据分析中心实时产生的安全功能需求转化为安全资源调度策略，进而形成高速交换网络中的具体流量转发规则，实现安全设备逻辑部署。

智慧流安全平台特色与应用

启明星辰智慧流平台基于SDS理念，通过软件编程的方式调用安全设备资源，实现了一种灵活、智能、自动化、服务化的网络安全防护，能够帮助用户应对复杂网络环境下的安全挑战，具备如下特色：

安全可自定义：通过软件编排的方式，使得各种安全资源能够灵活组合，方便实现多种安全设备的协同防护。

虚实融合：平台可以根据安全功能需求调用各种安全资源，无论是物理的还是虚拟化的安全设备。

多租户灵活部署：支持对网络流量做细粒度区分，针对不同流量采用不同的安全策略，适用于多租户环境。各个租户可以按照各自的需求进行个性化的安全功能定制，具备高弹性、可计量性。

多层次的威胁发现：通过多种安全设备协同防护以及安全大数据分析中心的全局性安全情报，实现安全威胁的层层过滤，使得各种已知威胁甚至未知威胁均无处遁形，深度解决用户的网络安全隐患，保护核心资产。

安全高可靠增强：提供智慧流安全平台级、安全设备级的双机热备，当检测到故障发生时，可以实时的、自动地对平台自身、安全设备的进行主备切换。当主备安全设备均发生故障时，还能够采取bypass方式，确保网络不中断，避免单点故障。当设备故障解除后，能够实时的、自动地还原安全路径，快速恢复网络流量监控。

安全资源弹性可扩展：软件编排的方式、支持虚拟化的安全设备等特性简化了安全设备集群化部署。平台支持多元化负载均衡算法，可以实现安全设备性能的线性扩展。

兼容第三方安全设备：第三方安全设备可以直接接入启明星辰智慧流安全平台，作为安全资源池里的资源接受平台控制管理中心的调度、管理，保护企业现有投资，节约网络安全成本。

启明星辰智慧流安全平台适用于SDN网络和云数据中心，满足新型信息安全防护需求。

图3 启明星辰智慧流平台概览

小结

启明星辰智慧流安全平台基于启明星辰SDS的理念，开放性地集合公司及第三方厂商的物理或虚拟化安全设备构成安全资源池，支持用户方便地、按需地编排安全功能；多层次威胁发现机制切实实现用户网络深度防护；多级热备机制确保网络通信、用户业务不中断。启明星辰智慧流安全平台解决了传统安全方法在SDN网络及云数据中心安全防护中不适用的问题，为SDN网络及云数据中心安全提供了更为全面的防护力量。