T∕TAF 098-2021 SDN網(wǎng)關(guān)設(shè)備安全技術(shù)要求

1、ICS 33.050CCS M 30團(tuán)體標(biāo)準(zhǔn)T/TAF 098-2021SDN 網(wǎng)關(guān)設(shè)備安全技術(shù)要求Security technical requirements for SDN gateway devices2021-11-17 發(fā)布2021-11-17 實(shí)施電信終端產(chǎn)業(yè)協(xié)會 發(fā)布T/TAF 098-2021 PAGE * ROMAN III目次 HYPERLINK l _bookmark0 前言II HYPERLINK l _bookmark1 引言III HYPERLINK l _bookmark2 范圍1 HYPERLINK l _bookmark3 規(guī)范性引用文件1 HYPERLIN

2、K l _bookmark4 術(shù)語和定義1 HYPERLINK l _bookmark5 縮略語1 HYPERLINK l _bookmark6 安全技術(shù)要求2 HYPERLINK l _bookmark7 授權(quán)認(rèn)證2 HYPERLINK l _bookmark8 配置安全2 HYPERLINK l _bookmark9 數(shù)據(jù)安全2 HYPERLINK l _bookmark10 防 DoS 能力2 HYPERLINK l _bookmark11 附錄 A（資料性）SND 網(wǎng)關(guān)設(shè)備典型應(yīng)用場景示意圖3前言本文件按照 GB/T 1.1-2020標(biāo)準(zhǔn)化工作導(dǎo)則 第 1 部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草

3、規(guī)則的規(guī)定起草。請注意本文件中的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識別這些專利的責(zé)任。本文件由電信終端產(chǎn)業(yè)協(xié)會提出并歸口。本文件起草單位：中興通訊股份有限公司、中國信息通信研究院。本文件主要起草人：劉鑫、張治兵、周繼華、張亞薇、欒晏。引言SDN網(wǎng)關(guān)是通過軟件集中控制網(wǎng)絡(luò)編排方式來推動家庭網(wǎng)關(guān)的控制能力“上云”，從而降低對網(wǎng)關(guān)硬件的處理能力要求，同時實(shí)現(xiàn)業(yè)務(wù)的快速部署。隨著SDN網(wǎng)關(guān)的部署逐漸深入，千萬數(shù)量級的SDN網(wǎng)關(guān)帶來的安全問題將會日漸突出，安全性問題逐漸成為制約SDN網(wǎng)關(guān)發(fā)展的關(guān)鍵因素。本項(xiàng)目擬建立SDN 網(wǎng)關(guān)設(shè)備安全技術(shù)要求標(biāo)準(zhǔn)，提出相關(guān)安全要求，為保障和提升SDN網(wǎng)關(guān)設(shè)備安

4、全能力提供標(biāo)準(zhǔn)支撐。T/TAF 098-2021 PAGE 3SDN 網(wǎng)關(guān)設(shè)備安全技術(shù)要求范圍本文件規(guī)定了SDN網(wǎng)關(guān)設(shè)備在授權(quán)認(rèn)證、配置安全、數(shù)據(jù)安全、防DoS攻擊能力等方面的安全技術(shù)要求。本文件適用于SDN網(wǎng)關(guān)設(shè)備的設(shè)計和生產(chǎn)廠商、系統(tǒng)集成商、設(shè)備使用方、安全檢測和安全認(rèn)證機(jī)構(gòu)使用。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件， 僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T 25069-2010信息安全技術(shù) 術(shù)語T/TAF 040-2019智能網(wǎng)關(guān)設(shè)備安全技術(shù)要求術(shù)語和定義GB

5、/T 25069-2010中界定的以及下列術(shù)語和定義適用于本文件。3.1SDN 網(wǎng)關(guān)設(shè)備 SDN gateway devicesSDN 網(wǎng)關(guān)設(shè)備是基于Openflow 協(xié)議的具備連通外部廣域通信網(wǎng)絡(luò)和居住環(huán)境內(nèi)部局域網(wǎng)絡(luò)功能， 并支持 Internet、VoIP、IPTV 和無線接入功能的設(shè)備。SDN 網(wǎng)管典型應(yīng)用場景見附錄A。3.2北向接口 Northbound InterfaceSDN網(wǎng)關(guān)提供給運(yùn)營商進(jìn)行接入和管理的接口，該接口遵循Openflow協(xié)議規(guī)范?？s略語下列縮略語適用于本文件。DoS：拒絕服務(wù)（Denial of Service）IPTV：網(wǎng)絡(luò)協(xié)議電視（Internet Prot

6、ocol Television） SDN：軟件定義網(wǎng)絡(luò)（Software Defined Network） TLS：傳輸層安全協(xié)議（Transport Layer Security） VoIP：網(wǎng)絡(luò)電話（Voice Over Internet Protocol）安全技術(shù)要求授權(quán)認(rèn)證應(yīng)支持 OpenflowV1.3 及以上協(xié)議。應(yīng)禁止非授權(quán)控制器的訪問。配置安全SDN 網(wǎng)關(guān)的北向接口應(yīng)僅支持使用 SDN 控制器進(jìn)行管理，禁止使用其他方式進(jìn)行管理。SDN 網(wǎng)關(guān)的北向接口應(yīng)支持 TLSV1.2 及以上加密通道。SDN 網(wǎng)關(guān)的 WEB 配置安全應(yīng)滿足T/TAF 040-2019 4.3.3 的要求。宜

7、支持防惡意或虛假表項(xiàng)注入。數(shù)據(jù)安全應(yīng)支持本地用戶信息安全加密存儲，包括不限于：語音賬號口令、無線口令、VPN 賬號口令等。應(yīng)支持防流表溢出功能。宜支持本地用戶信息的完整性校驗(yàn)，防止被惡意篡改。宜支持本地靜態(tài)流表的安全加密存儲。防 DoS 能力應(yīng)支持在轉(zhuǎn)發(fā)平面遭受DoS 攻擊的時候，設(shè)備不脫管。應(yīng)支持防流表洪泛攻擊。應(yīng)支持對異常控制數(shù)據(jù)請求的防護(hù)。宜支持針對轉(zhuǎn)發(fā)至控制器的報文（Packet-in）進(jìn)行攻擊行為識別，并針對惡意報文進(jìn)行丟棄。附 錄 A（資料性）SDN網(wǎng)關(guān)設(shè)備典型應(yīng)用場景示意圖SDN網(wǎng)關(guān)設(shè)備應(yīng)用在家庭網(wǎng)絡(luò)出入口，如圖A.1所示。圖中左邊虛線框里包括云服務(wù)平臺和集中管理平臺(SDN控制器)兩種典型的網(wǎng)絡(luò)側(cè)平臺。本地管理支持用戶通過瀏覽器對SDN網(wǎng)關(guān)的WiFi接入?yún)?shù)進(jìn)行配置和設(shè)備狀態(tài)查詢等功能。典型的SDN網(wǎng)關(guān)設(shè)備是基于Openflow協(xié)議的設(shè)備，通常為用戶提供Internet、WLAN接入、IPTV、光纖接入等功能。SDN網(wǎng)關(guān)就是通過軟件集中控制網(wǎng)絡(luò)編排方式，推動網(wǎng)關(guān)的控制能力“上云”。從而降低對網(wǎng)關(guān)硬件的處理能力要求，同時實(shí)現(xiàn)業(yè)務(wù)的快速部署。圖A.1 SDN網(wǎng)關(guān)設(shè)備典型應(yīng)用場景示意圖T/TAF 09