[发明专利]软件定义网络中的安全

说明书

在SDN网络中的控制器处从策略生成器获得至少一个安全策略。基于指定安全策略的特性、安全策略的生成器的角色以及安全策略的生成器的角色的安全权限等级的一个或者多个属性，经由控制器在SDN网络中实施安全策略。

本申请是申请日为2014年6月30日、申请号为201480078907.8，发明名称为“软件定义网络中的安全”的发明专利申请的分案申请。

技术领域

本申请总体涉及通信网络，并且更具体地涉及基于软件定义的网络的通信网络中的安全技术。

背景技术

该章节介绍了可以有助于促进对本发明的更好理解的方面。因此，该章节的叙述要从这个角度来阅读，并且不被理解为关于什么在现有技术中和不在现有技术中的认可。

软件定义网络(SDN)是使网络控制与基础(underlying)网络切换基础设施分离,以便使得网络控制能够变得直接可编程的网络架构框架。该分离允许基础网络基础设施对于运行在网络上的应用和服务是抽象化的。SDN控制器用于管理SDN网络中的流控制。例如，SDN控制器通常基于的协议(诸如OpenFlow^TM(开放网络基金会)协议)，所述协议允许控制服务器指示包要发送到的网络元件(例如，交换机)。在这种场景中，SDN控制器被称为OpenFlow^TM控制器，并且交换机被称为OpenFlow^TM交换机。这种控制器充当用于SDN网络的一种操作系统。通过使控制平面与网络硬件分离且将控制平面替代地作为软件来运行，控制器促进自动化的网络管理以及应用和服务的集成和管理。

然而，存在SDN网络中的、未由现有安全机制解决的具有挑战性的安全问题。

发明内容

图示实施例提供用于在SDN网络中使用的安全技术。

例如，在一个实施例中，一种方法包括以下步骤。在SDN网络中的控制器处从策略生成器获得至少一个安全策略。基于一个或者多个属性经由控制器在SDN网络中实施安全策略，所述一个或者多个属性指定安全策略的特性、安全策略的生成器的角色以及安全策略的生成器的角色的安全权限等级。

在另一个实施例中，提供一种包括处理器可读存储介质的制品，该处理器可读存储介质中具有编码的一个或者多个软件程序的可执行代码。当一个或者多个软件程序由至少一个处理设备执行时，一个或者多个软件程序实施上述方法的步骤。

在又一实施例中，装置包括存储器和被配置为执行上述方法的步骤的处理器。

有利地，图示实施例提供了SDN网络中处理安全顾虑的技术，安全顾虑包括但不限于将网络策略准确翻译成流规则、处理新的流规则与之前的流规则冲突的场景、自动迅速对新的安全攻击做出反应，以及支持分组数据扫描检测。

报文所述实施例的这些和其他特征和优点将从附图和以下具体实施方式变得更清晰。

附图说明

图1示出了根据一个实施例的、具有安全架构的SDN网络。

图2示出了根据一个实施例的、用于在SDN网络中使用的安全方法。

图3示出了根据一个或者多个实施例的、上面实施具有安全架构的SDN网络的处理平台。

具体实施方式

这里将参照示例性计算系统、数据存储系统、通信网络、处理平台、系统、用户设备、网络节点、网络元件、客户端、服务器以及关联的通信协议来描述图示实施例。例如，图示实施例特别适于用于软件定义网络(SDN)环境中。然而，应理解，实施例不限于与所述的特定布置一起使用，而相反通常更适用于期望提供用于通信网络中的改进的安全性的机制和方法的任意环境。

如上所述，存在SDN网络中的、通过使用现有安全机制和方法未解决的具有挑战性的安全问题。图示实施例解决这种具有挑战性的安全问题。