DELTA: SDN-SICHERHEITSBEWERTUNGS-FRAMEWORK

Was ist DELTA?

DELTA ist ein Penetrationstest-Framework, das bekannte Angriffsszenarien für verschiedene Testfälle reproduziert. Dieses Framework bietet auch die Möglichkeit, unbekannte Sicherheitsprobleme in SDN mittels einer Fuzzing-Technik zu entdecken.

• Agent-Manager ist der Kontrollturm. Er übernimmt die vollständige Kontrolle über alle Agents, die im Ziel-SDN-Netzwerk eingesetzt werden.
• Application-Agent ist eine legitime SDN-Anwendung, die Angriffsprozeduren durchführt und controllerabhängig ist. Die bekannten bösartigen Funktionen sind als Application-Agent-Funktionen implementiert.
• Channel-Agent ist zwischen dem Controller und dem OpenFlow-fähigen Switch eingesetzt. Der Agent sniffiert und modifiziert die unverschlüsselten Kontrollnachrichten. Er ist controllerunabhängig.
• Host-Agent verhält sich so, als wäre er ein legitimer Host, der am Ziel-SDN-Netzwerk teilnimmt. Der Agent demonstriert einen Angriff, bei dem ein Host versucht, die Kontrollebene zu kompromittieren.

Voraussetzungen

Um DELTA zu erstellen und auszuführen, werden folgende Komponenten benötigt:

• Ein Agent-Manager basierend auf Ubuntu 16.04 LTS 64 Bit
  • Ant-Build-System
  • Maven v3.3.9
  • LXC 2.0
  • JDK 1.8
• Ziel-Controller (für Application-Agent)
  • Floodlight: ~1.2
  • ONOS: 1.1, 1.6, 1.9, 1.13.1 (wird getestet)
  • OpenDaylight: ~Oxygen
  • Ryu: 4.16
• Cbench (für Channel-Agent)
• Mininet 2.2 (für Host-Agent)
• (im Falle einer All-In-One-Einzelmaschine) Drei LXC-Container basierend auf Ubuntu 16.04 LTS 64 Bit.
  • Container-1: Ziel-Controller + Application-Agent
  • Container-2: Channel-Agent
  • Container-3: Host-Agent

Installation von DELTA

Die Installation von DELTA hängt vom Maven- und Ant-Build-System ab. Der Befehl mvn wird verwendet, um den Agent-Manager und die Agents zu installieren. DELTA kann eine All-In-One-Einzelmaschinen-Umgebung über Container sowie eine reale Hardware-SDN-Umgebung unterstützen.

• SCHRITT 1. Holen Sie den Quellcode von DELTA auf den Agent-Manager-Rechner

$ git clone https://github.com/seungsoo-lee/DELTA.git

• SCHRITT 2. DELTA-Abhängigkeiten installieren

$ cd <DELTA>/tools/dev/delta-setup/
$ ./delta-setup-devenv-ubuntu

• SCHRITT 3. Drei Container mit lxc installieren

$ source ./<DELTA>/tools/dev/delta-setup/bash_profile
$ cd <DELTA>/tools/dev/lxc-setup
$ ./lxc-dev-install

$ sudo vi /etc/default/lxc-net
Uncomment "LXC_DHCP_CONFILE=/etc/lxc/dnsmasq.conf"
$ sudo service lxc-net restart
$ sudo lxc-start -n container-cp -d

$ sudo vi /etc/apparmor.d/abstractions/lxc/container-base
Uncomment "mount options=(rw, make-rprivate) -> **,"
$ sudo apparmor_parser -r /etc/apparmor.d/lxc-containers

$ cd ~
$ ssh-keygen -t rsa
(Press Enter)
$ ssh-copy-id -i ~/.ssh/id_rsa.pub $DELTA_CP
(ID: ubuntu, PW: ubuntu)

$ ssh $DELTA_CP
(DELTA_CP) $ sudo visudo
In the bottom of the file, type the follow:
ubuntu ALL=(ALL) NOPASSWD: ALL
(DELTA_CP) $ exit

$ cd <DELTA>/tools/dev/lxc-setup
$ ./lxc-dev-setup
$ ssh-copy-id -i ~/.ssh/id_rsa.pub $DELTA_CH
$ ssh-copy-id -i ~/.ssh/id_rsa.pub $DELTA_DP

• SCHRITT 4. DELTA mit Maven-Build installieren

$ cd <DELTA>
$ source ./tools/dev/delta-setup/bash_profile
$ mvn clean install

• Die Testumgebung wird automatisch wie folgt eingerichtet:

Konfigurieren eigener Experimente

• Der Agent-Manager liest automatisch eine Konfigurationsdatei und richtet die Testumgebung basierend auf der Datei ein. [/tools/config/manager_default.cfg] enthält standardmäßig die All-In-One-Einzelmaschinen-Konfiguration.

CONTROLLER_SSH=[account-id]@[agent-controller ipAddr]
CHANNEL_SSH=[account-id]@[agent-channel ipAddr]
HOST_SSH=[account-id]@[agent-host ipAddr]
TARGET_HOST=10.0.0.2
ONOS_ROOT=/home/vagrant/onos-1.6.0
CBENCH_ROOT=/home/vagrant/oflops/cbench/
TARGET_CONTROLLER=Floodlight
TARGET_VERSION=0.91
OF_PORT=6633
OF_VER=1.3
MITM_NIC=eth1
CONTROLLER_IP=[agent-controller ipAddr]
SWITCH_IP=[agent-host ipAddr],[agent-host ipAddr],[agent-host ipAddr]
DUMMY_CONT_IP=[agent-manager ipAddr]
DUMMY_CONT_PORT=6633
AM_IP=[agent-manager ipAddr]
AM_PORT=3366

Floodlight 1.2

$ cd <DELTA>/tools/dev/app-agent-setup
$ ./floodlight-1.2-scp

ONOS 1.1 (veraltet)

$ cd <DELTA>/tools/dev/app-agent-setup/onos
$ ./onos-1.1.0-scp
(auf dem Controller-Rechner) $ ./onos-1.1.0-setup

ONOS 1.6, 1.9 oder 1.13.1

$ cd <DELTA>/tools/dev/app-agent-setup/onos
$ ./delta-setup-onos <onos-version>
$ ./delta-scp-onos <onos-version>
* Unterstützte ONOS-Versionen im Skript: 1.6, 1.9, 1.13.1

OpenDaylight Oxygen

$ cd <DELTA>/tools/dev/app-agent-setup
$ ./odl-oxygen-scp

Ryu 4.16

$ cd <DELTA>/tools/dev/app-agent-setup/ryu
$ ./delta-setup-ryu

• Der Application-Agent (im Controller-Container) benötigt die Datei 'agent.cfg', um eine Verbindung zum Agent-Manager herzustellen.

MANAGER_IP=[agent-manager ipAddr]
MANAGER_PORT=3366

Ausführen von DELTA

• SCHRITT 1. Verteilen Sie die ausführbaren Dateien an die Container

$ cd <DELTA>
$ source ./tools/dev/delta-setup/bash_profile
$ ./tools/dev/delta-setup/delta-agents-scp

• SCHRITT 2. Agent-Manager zuerst ausführen

$ cd <DELTA>
$ bin/run-delta <Konfigurationsdatei>
(z. B. bin/run-delta config/manager_vm.cfg)

 DELTA: A Penetration Testing Framework for Software-Defined Networks

 [pP]	- Show all known attacks
 [cC]	- Show configuration info
 [kK]	- Replaying known attack(s)
 [uU]	- Finding an unknown attack
 [qQ]	- Quit

Command>_

• SCHRITT 3. Verbinden Sie die webbasierte Benutzeroberfläche (Portnummer ist 7070)

Hauptbeitragende

• Seungsoo Lee (KAIST)
• Jinwoo Kim (KAIST)
• Seungwon Woo (KAIST)
• Haney Kang (KAIST)
• Jaehan Kim (KAIST)
• Changhoon Yoon (KAIST)
• Sandra Scott-Hayward (Queen's University Belfast)
• Seungwon Shin (KAIST)

Mitarbeiter

• Phil Porras, Vinod Yegneswaran (SRI International)
• Kyuho Hwang, Daewon Jung (National Security Research Institute)
• Atto Research
• 

Fragen?

Senden Sie Fragen oder Feedback an: [email protected], [email protected]