[发明专利]一种基于 SDN 的 IoT 网络安全防护系统和方法

说明书

本发明公开了一种基于SDN的IoT网络安全防护系统和方法，包括：IoT网络子段和子段SDN控制器；IoT网络子段至少有两个，IoT网络子段包括IoT设备至少有两个；IoT设备均设置一个IoT设备代理和一个IoT设备控制器；IoT设备代理负责从网络环境中感知、分析并收集数据；子段SDN控制器用于对网络设备鉴权；通过子段SDN控制器交换安全规则，控制网段之间的数据流动。

技术领域

本发明涉及网络安全技术领域，更具体的说是涉及一种基于软件定义网络（Software Defined Network，SDN）的物联网（Internet of Things，IoT）网络安全防护系统和方法。

背景技术

随着IoT技术的演进，各种接入网络的异构设备将成指数式增长。如此复杂的异构网络与多样的接入协议，给网络安全带来很大的挑战。访问控制是物联网安全需要解决的重要问题。目前物联网的访问控制主要采用自主访问控制和强制访问控制等方案。传统网络中的访问控制策略存在以下几个问题：缺乏授权、缺少访问控制模型的分布式特性(授权需要集中控制)、规则和策略不一致、静态规则和策略管理复杂性以及策略执行点主要存在性能瓶颈和单点故障的问题。

为了防范来自外部的攻击，人们通常在网络边缘设备侧布署入侵检测与阻止系统（IDPS）、防火墙等传统安全手段。但对于IoT这种无缝、无边界的网络访问控制模式则显得力不从心。近些年，软件定义网络被引入物联网，软件定义网络(SDN)将物联网的控制平面和转发平面分开，以实现底层基础设施的抽象。

但是在现有技术中：1.单SDN控制器方案：控制器有可能会受到DOS攻击，一旦这个唯一的控制器失灵，将会使整个网络的控制权受到威胁。2.多SDN控制器方案：多控制器能显著增加网络的可靠性。当某个SDN控制器出故障，其它控制器能接管，防止系统故障。但多控制器方案的缺点是会降低网络的效率，因为每个控制器都会分担部分管理任务，还要与其它控制器协作并频繁交换信息，因而会产生额外的网络开销。

因此，如何提供一种能够解决上述问题的安全防护系统和方法是本领域技术人员亟需解决的问题。

发明内容

有鉴于此，本发明提供了一种基于SDN的IoT网络安全防护系统和方法。

为了实现上述目的，本发明采用如下技术方案：

一种基于SDN的IoT网络安全防护系统，包括：IoT网络子段和子段SDN控制器；

所述IoT网络子段至少有两个，所述IoT网络子段包括IoT设备至少有两个；

所述子段SDN控制器的个数与所述IoT网络子段数量相同；所述子段SDN控制器与所述IoT网络子段连接；所述子段SDN控制器进行数据的集中化控制，实现硬件和软件分离。

优选的，所述IoT设备包括具备SDN能力的IoT设备和不具备SDN能力的IoT设备。

优选的，所述IoT设备均设置一个IoT设备代理和一个IoT设备控制器。

优选的，所述IoT设备代理负责从网络环境中感知、分析并收集数据。

优选的，所述子段SDN控制器用于对网络设备鉴权，当所述IoT设备控制器与所述子段SDN控制器建立安全连接后，所述子段SDN控制器阻断与所述IoT设备直接相连的开关的端口，当所述IoT设备验证通过，所述子段SDN控制器基于所述IoT设备权限等级开通开关相应入口。

优选的，所述IoT网络子段之间进行通信时，所述IoT设备向所述子段SDN控制器发送请求，所述子段SDN控制器接收请求后向每个相邻子段所述子段SDN控制器发送请求，所述相邻子段SDN控制器对请求信息进行验证，验证通过则实现所述IoT网络子段之间进行通信。