DELTA：SDN安全评估框架

Delta标识

DELTA是什么？

DELTA是一个渗透测试框架，可针对多种测试用例重现已知攻击场景。该框架还通过运用模糊测试技术，提供发现SDN中未知安全问题的能力。

Agent-Manager（代理管理器）是控制塔。它完全控制部署到目标SDN网络的所有代理。
Application-Agent（应用代理）是一种合法的SDN应用程序，它执行攻击流程且依赖于控制器。已知的恶意功能以应用代理函数的形式实现。
Channel-Agent（通道代理）部署在控制器与支持OpenFlow的交换机之间。该代理嗅探并修改未加密的控制消息。它不依赖于控制器。
Host-Agent（主机代理）的行为如同一个参与目标SDN网络的合法主机。该代理演示了一种攻击，其中主机试图危害控制平面。

Delta架构

先决条件

为了构建和运行DELTA，需要满足以下条件：

基于Ubuntu 16.04 LTS 64位的代理管理器
- Ant构建系统
- Maven v3.3.9
- LXC 2.0
- JDK 1.8
目标控制器（用于应用代理）
- Floodlight：~1.2
- ONOS：1.1、1.6、1.9、1.13.1（正在测试）
- OpenDaylight：~Oxygen
- Ryu：4.16
Cbench（用于通道代理）
Mininet 2.2（用于主机代理）
（在全合一单机的情况下）三个基于Ubuntu 16.04 LTS 64位的lxc容器。
- 容器1：目标控制器 + 应用代理
- 容器2：通道代理
- 容器3：主机代理

安装DELTA

DELTA的安装依赖于maven和ant构建系统。使用mvn命令来安装代理管理器和各个代理。DELTA既可以通过容器支持全合一单机环境，也可以支持真实的硬件SDN环境。

步骤1. 在代理管理器机器上获取DELTA源码

$ git clone https://github.com/seungsoo-lee/DELTA.git

步骤2. 安装DELTA依赖

$ cd <DELTA>/tools/dev/delta-setup/
$ ./delta-setup-devenv-ubuntu

步骤3. 使用lxc安装三个容器

$ source ./<DELTA>/tools/dev/delta-setup/bash_profile
$ cd <DELTA>/tools/dev/lxc-setup
$ ./lxc-dev-install

$ sudo vi /etc/default/lxc-net
取消注释 "LXC_DHCP_CONFILE=/etc/lxc/dnsmasq.conf"
$ sudo service lxc-net restart
$ sudo lxc-start -n container-cp -d

$ sudo vi /etc/apparmor.d/abstractions/lxc/container-base
取消注释 "mount options=(rw, make-rprivate) -> **,"
$ sudo apparmor_parser -r /etc/apparmor.d/lxc-containers

$ cd ~
$ ssh-keygen -t rsa
（按回车）
$ ssh-copy-id -i ~/.ssh/id_rsa.pub $DELTA_CP
（ID: ubuntu, 密码: ubuntu）

$ ssh $DELTA_CP
(DELTA_CP) $ sudo visudo
在文件底部输入以下内容：
ubuntu ALL=(ALL) NOPASSWD: ALL
(DELTA_CP) $ exit

$ cd <DELTA>/tools/dev/lxc-setup
$ ./lxc-dev-setup
$ ssh-copy-id -i ~/.ssh/id_rsa.pub $DELTA_CH
$ ssh-copy-id -i ~/.ssh/id_rsa.pub $DELTA_DP

步骤4. 使用maven构建安装DELTA

$ cd <DELTA>
$ source ./tools/dev/delta-setup/bash_profile
$ mvn clean install

测试环境会自动配置如下：

环境1

配置你自己的实验

代理管理器会自动读取配置文件并根据该文件设置测试环境。[/tools/config/manager_default.cfg] 默认包含全合一单机配置。

CONTROLLER_SSH=[account-id]@[agent-controller ipAddr]
CHANNEL_SSH=[account-id]@[agent-channel ipAddr]
HOST_SSH=[account-id]@[agent-host ipAddr]
TARGET_HOST=10.0.0.2
ONOS_ROOT=/home/vagrant/onos-1.6.0
CBENCH_ROOT=/home/vagrant/oflops/cbench/
TARGET_CONTROLLER=Floodlight
TARGET_VERSION=0.91
OF_PORT=6633
OF_VER=1.3
MITM_NIC=eth1
CONTROLLER_IP=[agent-controller ipAddr]
SWITCH_IP=[agent-host ipAddr],[agent-host ipAddr],[agent-host ipAddr]
DUMMY_CONT_IP=[agent-manager ipAddr]
DUMMY_CONT_PORT=6633
AM_IP=[agent-manager ipAddr]
AM_PORT=3366

Floodlight 1.2

$ cd <DELTA>/tools/dev/app-agent-setup
$ ./floodlight-1.2-scp

ONOS 1.1（已弃用）

$ cd <DELTA>/tools/dev/app-agent-setup/onos
$ ./onos-1.1.0-scp
（在控制器机器上）$ ./onos-1.1.0-setup

ONOS 1.6、1.9 或 1.13.1

$ cd <DELTA>/tools/dev/app-agent-setup/onos
$ ./delta-setup-onos <onos-version>
$ ./delta-scp-onos <onos-version>
* 脚本支持的ONOS版本：1.6、1.9、1.13.1

OpenDaylight Oxygen

$ cd <DELTA>/tools/dev/app-agent-setup
$ ./odl-oxygen-scp

Ryu 4.16

$ cd <DELTA>/tools/dev/app-agent-setup/ryu
$ ./delta-setup-ryu

应用代理（在控制器容器上）需要 'agent.cfg' 文件来连接代理管理器。

MANAGER_IP=[agent-manager ipAddr]
MANAGER_PORT=3366

运行DELTA

步骤1. 将可执行文件分发到容器

$ cd <DELTA>
$ source ./tools/dev/delta-setup/bash_profile
$ ./tools/dev/delta-setup/delta-agents-scp

步骤2. 首先执行代理管理器

$ cd <DELTA>
$ bin/run-delta <configuration file>
（例如：bin/run-delta config/manager_vm.cfg）

 DELTA：面向软件定义网络的渗透测试框架

 [pP]	- 显示所有已知攻击
 [cC]	- 显示配置信息
 [kK]	- 重放已知攻击
 [uU]	- 发现未知攻击
 [qQ]	- 退出

Command>_

步骤3. 连接基于Web的UI（端口号为7070）

主要贡献者

Seungsoo Lee（KAIST）
Jinwoo Kim（KAIST）
Seungwon Woo（KAIST）
Haney Kang（KAIST）
Jaehan Kim（KAIST）
Changhoon Yoon（KAIST）
Sandra Scott-Hayward（贝尔法斯特女王大学）
Seungwon Shin（KAIST）

合作者

Phil Porras, Vinod Yegneswaran（SRI International）
Kyuho Hwang, Daewon Jung（国家信息安全研究院）
Atto Research

有问题吗？

请将问题或反馈发送至：[email protected], [email protected]

DELTA

最受欢迎