Tradicionalmente, las organizaciones aumentan su ancho de banda de red, centrándose en la compra de más hardware. Este enfoque no siempre funciona, y puede transformarse en un costoso error, en el caso de que no se utilicen completamente los recursos adicionales. Mientras la tecnología evoluciona, la historia encuentra la forma para repetirse. Desde los días de los protocolos de red de los Mainframe, tales como Systems Network Architecure (SNA), la transición fue hecha hacia la adopción del universalmente aceptado Transmission Control Protocol/Internet Protocol (TCP-IP—una transición provocada por la introducción del computador personal (PC), el cual utiliza tecnología cliente-servidor. Hoy en día, con la disruptiva y acelerado ritmo de cambio de los PC hacia los dispositivos móviles, tales como teléfonos inteligentes, que ofrecen realidad virtual y usan tecnología en la nube, parece ser que el futuro de las redes esta cada vez mas asociado a software automatizado. Alguien se puede preguntar acerca de la evolución de la red, y como una infraestructura moderna de red, tendrá que responder a las constantemente cambiantes demandas de los usuarios finales, comercio, negocios y gobierno.
El crecimiento en dispositivos conectados, que pueden estar en cualquier parte del mundo ha aumentado la complejidad y dificultad de administrarlos a estos mismos y su tráfico de red asociado. Hay un costo muy alto asociado con la reconfiguración manual de estos dispositivos para cualquier cambio requerido. Más aun, es comúnmente difícil y en ocasiones casi imposible reconfigurar la red tradicional de una manera eficiente en términos de tiempo, para así poder reaccionar a los errores humanos y o eventos maliciosos. La red definida por software (SDN), hace uso de virtualización para expandir la red de manera muy eficiente, y así, simplificar la administración de esos recursos consolidados y proveer soluciones para incrementar capacidad sin tener que asaltar un banco1.
Beneficios del SDN
¿Qué es SDN? A diferencia del diseño de red tradicional, el diseño mediante SDN es un cambio de paradigma que usa controles basados en software para simplificar la ejecución de políticas con un componente controlador centralizado. Que separa los datos y funciones de control de los dispositivos de red, tales como routers y switches, con una API (application programming interface) bien definida2.
La arquitectura SDN está separada lógicamente en tres planos: el plano de aplicación, el plano de control, el plano de datos. El plano de aplicación incorpora las aplicaciones SDN, las cuales comunican los requerimientos de red al controlador de la SDN. A su vez, el controlador basado en software de la SDN, interpreta estos requerimientos y ejecuta la política de red correspondiente en el plano de control, el cual determina como la data debe viajar entre de los dispositivos de red. El controlador SDN es el componente central o core de la arquitectura SDN, manejando todas las funciones complejas y traduciendo requerimientos, en reglas de bajo nivel especificas. Finalmente el plano de datos contiene los dispositivos de red tales como, por ejemplo, routers y switches, que ejecutan el flujo de datos, una vez que el controlador SDN autoriza el permiso. En esencia: la SDN desarma la capa de control de red y funciones de reenvío, permitiendo que el protocolo de red sea directamente programable, y que la infraestructura subyacente sea abstraída para aplicaciones y servicios de red3.
Desde que la SDN utiliza un controlador centralizado con aplicaciones de software, uno de los grandes beneficios de implementar SDN es su flexibilidad. Porque el controlador SDN asume las funciones más complejas (por ejemplo, manejar la inteligencia de la red y monitorear el comportamiento de la red en tiempo real), los dispositivos de red , solo necesitan aceptar ordenes del controlador SDN. Esto elimina la necesidad de los dispositivos de red de entender como ejecutar el flujo de distribución de datos basado en diferentes protocolos de comunicación de distintos proveedores. Como resultado le entrega a los administradores de red, una gran flexibilidad de configurar, administrar, asegurar y optimizar los dispositivos de red4.
Un controlador centralizado provee flexibilidad, capacidad de ser programable, y un alto retorno de la inversión (ROI), con un diseño de red simplificado.
Por consiguiente, dado que el controlador SDN es el cerebro de la arquitectura SDN, es mucho más fácil modificar el software/aplicación que reconfigurar manualmente cada dispositivo de red por separado. Este beneficio mitiga la necesidad de las empresas de comprar nuevos y costosos equipos de red, para satisfacer las constantes cambiantes necesidades del negocio. Dado lo anterior, la SDN se perfila como una solución muy efectiva en cuanto a costo. De hecho la SDN fue diseñada para eliminar la dependencia de un proveedor de hardware de red en particular (por ejemplo, proveedores que utilizan protocolos propietarios en cuanto a consola de administración y set de comandos únicos), lo cual libera a las empresas de orientar la innovación y aumentar la interoperabilidad de la red. Como resultado esto aumentara notoriamente el retorno de la inversión. La mayor parte de la red tradicional es administrada utilizando consolas de administración con una interfaz de línea de comando, la cual requiere una gran cantidad de esfuerzo manual, de parte de los administradores de red5. En la medida de las compañías adopten la tecnología de la nube. La SDN va a ser capaz de simplificar el conjunto total del diseño de la red mediante el apalancamiento de la virtualización, para automatizar la administración de la operación de la infraestructura de red.
El riesgo de seguridad de la SDN
Muchos temas de seguridad relacionados con las arquitecturas de red tradicional, también aplican del mismo modo a la arquitectura SDN. Desafortunadamente, las nuevas características que proveen flexibilidad aumentada, programación en tiempo real y controles simplificados por medio del controlador centralizado de la SDN, esto también introduce nuevos desafíos de seguridad. De hecho, la SDN está expuesta a varias fuentes de riesgos de seguridad, que vienen heredados de la perspectiva de su diseño de arquitectura, como por ejemplo de las capas que incluyen el plano de control, el plano de aplicación, y plano de datos.
Uno de los factores de riesgo más significativos es la posibilidad de un ataque que intente comprometer el controlador del SDN a nivel del plano de control. Debido al diseño centralizado de la SDN, el controlador de la SDN se transforma en el cerebro de la arquitectura SDN. Los intrusos pueden centrar sus esfuerzos en comprometer el controlador SDN en un intento de manipular toda la red6. Si el atacante consigue ganar permisos de control, el controlador SDN comprometido puede ser utilizado para dirigir los dispositivos de red que controla, (por ejemplo, los switches) para botar o descartar todo el tráfico entrante, o bien lanzar un fuerte ataque en contra de otros objetivos, como por ejemplo enviar tráfico basura a una determinada victima con el fin de colapsar sus recursos7. Para mitigar este riesgo de seguridad, resulta crucial asegurar el sistema operativo que contiene el controlador de la SDN, y prevenir accesos no autorizados al controlador de la SDN. Analizando más en detalle, la capa llamada plano de control, es susceptible a un ataque del tipo (DDoS) o de denegación por ataque distribuido. Los switches de la SDN pueden causar que el controlador de la SDN resulte inundado o sobrepasado por muchas consultas, lo que pudiese potencialmente causar retrasos en las respuestas a estas consultas, o incluso que algunas consultas sean botadas. Una posible defensa en contra de un ataque de este tipo (DDoS), es implementar múltiples controladores SDN físicos, en vez de utilizar solo uno. Esto cuando conectan switches a multiples controladores SDN, uno de estos controladores puede actuar como el maestro de los switches. Cuando este controlador maestro requiere procesar alta carga de requerimientos, este puede redirigir la carga hacia otro controlador con menos carga, para que este funcione como maestro de algunos de los switches asignados originalmente a este. Esto mantiene la carga balanceada entre los controladores SDN, lo cual mitiga los ataques del tipo DDoS.
Si los atacantes comprometen el controlador de la SDN, ellos pueden intervenir las aplicaciones de la SDN para manipular incluso las aplicaciones de seguridad y así reprogramas el flujo del tráfico de red a través del controlador SDN.
En la capa del plano de datos, los switches también son vulnerables a ataques del tipo DDoS. Un usuario malicioso puede inundar los switches con una carga de tráfico, causando que tráfico legítimo sea botado cuando la capacidad del buffer es excedida. Hay muchas maneras de contrarrestar este ataque, incluyendo una regla proactiva de cache, agregación de reglas, y disminuir el delay en la comunicación entre switch-y-controlador-SDN. También incrementando la capacidad de buffer del switch puede mitigar el riesgo de un ataque DDoS8.
Comunicando mensajes entre la capa del plano de control, y la capa del plano de datos está sujeta o es susceptible a ataques del tipo hombre-en-el-medio. El atacante puede potencialmente modificar las reglas que son enviadas desde el controlador SDN a los switches para tomar control de los switches. Una de las soluciones más efectivas para este tipo de ataques es cifrar el mensaje mediante el uso de firmas digitales, para asegurar y garantizar la integridad y autenticidad de los mensajes.
La capacidad de que sea programado en tiempo real, también abre una seria vulnerabilidad a nivel del plano de aplicación. Específicamente, si el atacante puede intervenir la aplicación de seguridad de la SDN, el puede manipular el flujo del tráfico de red a través del controlador del SDN. Si las aplicaciones de la SDN son comprometidas, toda la red lo está, del mismo modo9. Para mitigar efectivamente un riesgo de seguridad tal, es crucial que las prácticas seguras de programación sean reforzadas con una exhaustiva gestión del control de cambio y procesos de chequeos de integridad, siendo los anteriores parte del ciclo de vida del desarrollo de software.
Conclusión
Virtualización de servidores, movilidad y computación en la nube, se están transformando en la nueva norma para satisfacer las cambiantes necesidades del negocio. A medida que estas tecnologías evolucionan, la arquitectura de red tradicional está empezando a quedarse corta en cumplir las crecientes demandas de red.
La arquitectura SDN provee una red virtualizada, que transforma la red actual en una plataforma flexible programable. El futuro de la tecnología de redes, va a depender cada vez en mayor grado del software, y de la SDN, al final, se va a transformar en la nueva norma para las redes. Por otra parte, es crucial y critico el riesgo de seguridad, el cual necesita ser solucionado en cuanto al controlador y las aplicaciones de la SDN, esto antes de la SDN pueda ser implementada de manera segura.
Notas Finales
1 Underdahl, B.; G. Kinghorn; Software Defined Networking for Dummies, John Wiley & Sons, USA, 2015
2 Stallings, W.; “Software-Defined Networks and OpenFlow,” The Internet Protocol Journal, vol. 16, no. 1, March 2013, p. 2-14
3 Open Networking Foundation, https://www.opennetworking.org/sdn-resources/sdn-definition
4 Open Networking Foundation, Software-Defined Networking: The New Norm for Networks, 13 April 2012, https://www.opennetworking.org/images/stories/downloads/sdn-resources/white-papers/wp-sdn-newnorm.pdf
5 Kim, H.; N. Feamster; “Improving Network Management With Software Defined Networking,” IEEE Communications Magazine, vol. 51, iss. 2, February 2013, p. 114-119
6 Open Networking Foundation, Principles and Practices for Securing Software-Defined Networks, January 2015, https://www.opennetworking.org/images/stories/downloads/sdn-resources/technical-reports/Principles_and_Practices_for_Securing_Software-Defined_Networks_applied_to_OFv1.3.4_V1.0.pdf
7 Mehiar, D.; B. Hamdaoui; M. Guizani; A. Rayes; “Software-defined Networking Security: Pros and Cons,” IEEE Communications Magazine, vol. 53, iss. 6, June 2015
8 Dabbagh, M.; B. Hamdaoui; M. Guizani; A. Rayes; “Software-Defined Networking Security: Pros and Cons,” IEEE Communications Magazine, vol. 53, iss. 6, May 2015
9 Lim, A.; “Security Risks in SDN and Other New Software Issues,” RSA Conference 2015, July 2015
Tony Wang
Es el director de Williams Adley’s administración de riesgo TI. Él tiene más de 15 años de experiencia en evaluación de controles internos, sistemas de información y desarrollo de software. Antes de unirse a Williams Adley, Wang mantuvo diversos cargos de gerencia en DBO USA, Ernst & Young, y Lockheed Martin, donde él atendió a clientes de diversas industrias, con un fuerte foco en gobierno, salud, manufactura, tecnología, ONG sin fines de lucro, y servicios financieros. Sus áreas de expertise abarcan auditoria de los procesos de ingeniería, auditoria integrada financiera, aseguramiento de la información, auditoria de seguridad TI, evaluación del ciclo de vida del desarrollo de software, e integración de sistemas y evaluación. Además de responsabilidad con clientes, Wang ha invertido gran cantidad de tiempo trabajando en desarrollo de negocios, reclutamiento en campus, consejería, y desarrollo y conducción de entrenamiento para auditores ITs.