網(wǎng)絡(luò)安全攻防演練環(huán)境部署方法及裝置的制造方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，具體涉及一種基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署方法及裝置。
【背景技術(shù)】
[0002]網(wǎng)絡(luò)安全攻防演練靶場系統(tǒng)是一種可提供實際攻防環(huán)境的在線部署應(yīng)用，為使用者提供多功能、多樣化的網(wǎng)絡(luò)安全實戰(zhàn)場景。從簡單的題目解答，文件逆向破解，漏洞分析利用，網(wǎng)絡(luò)滲透，到真實網(wǎng)絡(luò)環(huán)境下的網(wǎng)絡(luò)攻防對戰(zhàn)，使用人員可通過不同層次的安全攻防演練靶場環(huán)境，提升網(wǎng)絡(luò)安全實戰(zhàn)技能，加深對網(wǎng)絡(luò)安全的認(rèn)識。
[0003]目前的網(wǎng)絡(luò)安全靶場系統(tǒng)在實現(xiàn)過程中，主要有以下幾種方案:
[0004](一 )基于軟件仿真的方案。本方案采用軟件提供對真實信息系統(tǒng)的全真模擬環(huán)境，優(yōu)勢在于可獨立于真實網(wǎng)絡(luò)環(huán)境存在，避免對實際環(huán)境造成影響。但與真實環(huán)境脫節(jié)較大，實用價值很難評估。
[0005](二)基于硬件堆砌的部署方案。本方案所涉及系統(tǒng)全部采用硬件設(shè)備，包括攻防系統(tǒng)部署所需要的服務(wù)器及存儲系統(tǒng)，滿足攻防網(wǎng)絡(luò)環(huán)境要求的網(wǎng)絡(luò)設(shè)備，以及為增強系統(tǒng)安全的安全設(shè)備。本方案的優(yōu)勢在于資源充足，穩(wěn)定性高，但耗費較大，同時系統(tǒng)利用率很低，難以擴展，多次部署。
[0006](三)基于虛擬機的部署方案。本方案將系統(tǒng)部署中，重復(fù)性較高的資源，如服務(wù)器及存儲系統(tǒng)，采用虛擬化技術(shù)，制作為統(tǒng)一模板的虛擬機，使系統(tǒng)部署于虛擬化環(huán)境當(dāng)中，便于集中管理。本方案的優(yōu)勢在于系統(tǒng)虛擬化程度較高，所有資源交于虛擬機控制中心管理，極大地減少了系統(tǒng)部署中的人力消耗。在小規(guī)模的網(wǎng)絡(luò)安全攻防實踐中，本方案可以較好的滿足攻防需求，同時具備很好的擴展性，易于多次部署。然而隨著參與人數(shù)、服務(wù)、系統(tǒng)資源的增加，該方案會碰到硬件性能方面的瓶頸。
[0007](四)網(wǎng)絡(luò)硬件與軟件虛擬機結(jié)合的部署方案。當(dāng)虛擬機資源達到一定規(guī)模，系統(tǒng)對網(wǎng)絡(luò)的需求逐漸增加，虛擬機控制中心從規(guī)模及性能方面都很難滿足系統(tǒng)網(wǎng)絡(luò)的復(fù)雜要求。因此需要結(jié)合系統(tǒng)部署，劃分相應(yīng)的網(wǎng)絡(luò)區(qū)域(工作網(wǎng)絡(luò)區(qū)分，虛擬局域網(wǎng)分割)，引進二層、三層交換機及路由器防火墻等網(wǎng)絡(luò)設(shè)備，提高系統(tǒng)的可擴展性，滿足復(fù)雜的網(wǎng)絡(luò)需求。本方案為當(dāng)前網(wǎng)絡(luò)安全攻防環(huán)境中使用較多的技術(shù)方案，具有較高的適用性。然而由于虛擬化設(shè)備與物理硬件設(shè)備大量同時存在，導(dǎo)致靶場系統(tǒng)環(huán)境復(fù)雜，維護難度增加，對運維人員的經(jīng)驗、技能要求較高。

【發(fā)明內(nèi)容】

[0008]本發(fā)明的目的在于，針對網(wǎng)絡(luò)安全攻防演練靶場環(huán)境中的資源配置復(fù)雜，人工維護工作量大等問題，提供一種基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署方法及裝置，該方法可大幅提高演練環(huán)境部署效率，增加系統(tǒng)自動化運行機制，減少不必要的人力重復(fù)工作，節(jié)省硬件資源。
[0009]為此目的，本發(fā)明提出一種基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署方法，包括:
[0010]根據(jù)網(wǎng)絡(luò)安全攻防演練需求建立基于軟件定義網(wǎng)絡(luò)的靶場網(wǎng)絡(luò)；其中，所述靶場網(wǎng)絡(luò)包括控制器系統(tǒng)、交換機系統(tǒng)和至少一個主機；
[0011]確定所述網(wǎng)絡(luò)安全攻防演練需求所對應(yīng)的流表；
[0012]使所述控制器系統(tǒng)通過將所述網(wǎng)絡(luò)安全攻防演練需求所對應(yīng)的流表下發(fā)給所述交換機系統(tǒng)，以使所述交換機系統(tǒng)根據(jù)所述下發(fā)的流表進行數(shù)據(jù)轉(zhuǎn)發(fā)；
[0013]通過自動化部署代碼部署該靶場網(wǎng)絡(luò)中各個主機的操作系統(tǒng)和/或靶場系統(tǒng)。
[0014]另一方面，本發(fā)明提出一種基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署裝置，包括:
[0015]網(wǎng)絡(luò)建立單元，用于根據(jù)網(wǎng)絡(luò)安全攻防演練需求建立基于軟件定義網(wǎng)絡(luò)的靶場網(wǎng)絡(luò)；其中，所述靶場網(wǎng)絡(luò)包括控制器系統(tǒng)、交換機系統(tǒng)和至少一個主機；
[0016]第一確定單元，用于確定所述網(wǎng)絡(luò)安全攻防演練需求所對應(yīng)的流表；
[0017]流表下發(fā)單元，用于使所述控制器系統(tǒng)通過將所述網(wǎng)絡(luò)安全攻防演練需求所對應(yīng)的流表下發(fā)給所述交換機系統(tǒng)，以使所述交換機系統(tǒng)根據(jù)所述下發(fā)的流表進行數(shù)據(jù)轉(zhuǎn)發(fā)；
[0018]部署單元，用于通過自動化部署代碼部署該靶場網(wǎng)絡(luò)中各個主機的操作系統(tǒng)和/或靶場系統(tǒng)。
[0019]本發(fā)明實施例所述的基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署方法及裝置，能夠根據(jù)演練需求，自動更新基于軟件定義網(wǎng)絡(luò)的靶場網(wǎng)絡(luò)，并通過自動化部署代碼部署靶場網(wǎng)絡(luò)中各個主機的操作系統(tǒng)和靶場系統(tǒng)，相比傳統(tǒng)的基于硬件網(wǎng)絡(luò)設(shè)備的部署環(huán)境，可以極大的減少運維人員因演練需求改變而帶來的網(wǎng)絡(luò)維護工作量，能夠提高演練環(huán)境部署效率，避免耗費人力逐一主機手動部署，增加系統(tǒng)自動化運行機制，而且，該靶場網(wǎng)絡(luò)基于軟件定義網(wǎng)絡(luò)，因而該靶場網(wǎng)絡(luò)中的控制器和交換機都在虛擬機中以軟件代碼的形式實現(xiàn)，可以最大限度的節(jié)省硬件資源，并且，由于網(wǎng)絡(luò)交換設(shè)備(控制器和交換機)是軟件化實現(xiàn)，所以添加或者刪除設(shè)備，以及更新網(wǎng)絡(luò)配置比較容易。
【附圖說明】
[0020]圖1為本發(fā)明基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署方法一實施例的流程示意圖；
[0021]圖2為本發(fā)明基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署裝置一實施例的方框結(jié)構(gòu)示意圖。
【具體實施方式】
[0022]為使本發(fā)明實施例的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚地描述，顯然，所描述的實施例是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。
[0023]如圖1所示，本實施例公開一種基于軟件定義網(wǎng)絡(luò)的網(wǎng)絡(luò)安全攻防演練環(huán)境部署方法，包括:
[0024]S1、根據(jù)網(wǎng)絡(luò)安全攻防演練需求建立基于軟件定義網(wǎng)絡(luò)的靶場網(wǎng)絡(luò)；其中，所述靶場網(wǎng)絡(luò)包括控制器系統(tǒng)、交換機系統(tǒng)和至少一個主機；
[0025]S2、確定所述網(wǎng)絡(luò)安全攻防演練需求所對應(yīng)的流表；
[0026]S3、使所述控制器系統(tǒng)通過將所述網(wǎng)絡(luò)安全攻防演練需求所對應(yīng)的流表下發(fā)給所述交換機系統(tǒng)，以使所述交換機系統(tǒng)根據(jù)所述下發(fā)的流表進行數(shù)據(jù)轉(zhuǎn)發(fā)；
[0027]S4、為了方便后期大規(guī)模自動化部署方案的快速實施，通過自動化部署代碼部署該靶場網(wǎng)絡(luò)中各個主機的操作系統(tǒng)和/或靶場系統(tǒng)。
[0028]本發(fā)明實施例中，預(yù)先將常用的網(wǎng)絡(luò)方案寫入控制器，控制器根據(jù)特定的演練需求，自動選擇相匹配的網(wǎng)絡(luò)，下發(fā)流表，實現(xiàn)網(wǎng)絡(luò)自動更新，從而不需要網(wǎng)管人員再做配置。
[0029]根據(jù)已確定的演練模式及網(wǎng)絡(luò)需求，分析控制器現(xiàn)有流表可滿足的服務(wù)類型及字段匹配信息，判斷是否需要生成新流表內(nèi)容，以滿足當(dāng)前網(wǎng)絡(luò)環(huán)境需求。如需創(chuàng)建新流表，創(chuàng)建新流表的過程如下:
[0030]步驟A:根據(jù)網(wǎng)絡(luò)需求，選擇生成單個或者多級流表。
[0031]步驟B:按照級數(shù)從低到高的順序，設(shè)置各級流表的流表項的各個字段(最高級流表項不設(shè)置傳遞指令)。每個流表包含多個流表項，每條流表項分別包括匹配域(包括入端口、元數(shù)據(jù)、源/目的媒體訪問控制地址、源/目的IP、IP協(xié)議、源/目的端口、虛擬局域網(wǎng)ID、虛擬局域網(wǎng)優(yōu)先級等數(shù)據(jù)包報文常見字段，可實現(xiàn)對數(shù)據(jù)包的精準(zhǔn)匹配)，優(yōu)先級，計數(shù)器，傳遞指令(當(dāng)OpenFlow交換機內(nèi)存在多個流表時，除最后一個流表外的所有流表內(nèi)均有傳遞指令，負(fù)責(zé)制定數(shù)據(jù)包的流表匹配順序)，行動集(行動集實