Security for SDN environments with P4

Abstract

As redes definidas por sofware (SDN) separam o data plane do control plane, onde o controlo é exercido pelo controlador SDN. Assim, estes controladores têm a visão completa da rede.A linguagem de programação P4 traz uma nova série de novas possibilidades sobre a forma como os pacotes são processados no data plane que já não são definidas pelo fabricante, mas sim pelo programa P4. Isto permite que as aplicações funcionem no data plane e como tal podem funcionar à velocidade da linha, com grande vantagem para as funcionalidades de segurança. Funções como controlo de acesso, privacidade, encriptação ou defesa integrada, podem ser asseguradas pelo data plane programável, descongestionando assim o control plane. Uma consequência de o data plane tomar a cargo as funcionalidades de segurança é que se torna mais difícil ao controlador verificar se o comportamento do dataplane corresponde às políticas de segurança.Este trabalho investiga como uma função em P4 a correr no data plane, o P4-INT,pode ser usado como uma controlo de segurança numa rede P4, como pode ser atacado e como pode ser protegido. Nesta tese foi desenvolvida uma rede em Mininet e em P4Pi com INT-MD e switches BMv2. Nesta rede foi também configurado um colector de INT com InfluxDB e um painel Grafana. Esta solução foi testada como um possível controlo de segurança, na qual foram executados alguns cenários. Dado o valor de uma solução SDN com INT para a defesa, foi também testado como poderia ser atacado e defendido. Devido às vulnerabilidades encontradas neste rede INT, são propostas algumas melhorias.

Software-Defined Networks (SDN) separates the data plane from the control plane, where the control is handled by the SDN controller. So, the controllers have full visibility of the network. P4 programming language brings a new set of possibilities, as the way the packets are processed is not defined by the vendor but rather by the P4 program. This allows moving the applications to the data plane which can now work at line speed, with great advantage for network security functions. Functions such as access control, privacy, encryption, and integrated defense can be mostly assured by the programmable data plane, thus offloading the controller. P4-INT is a P4-powered data-planefunction that can monitor the network and provide telemetry per packet. A consequence of having the data plane taking care of the security features isthe difficulty to confirm if the data plane behavior corresponds to the securitypolicies.This work investigates how P4-INT, can act as security control, how it can be attacked and how it can be protected. Within this thesis it was developed a Mininet and a P4Pi network with INT-MD with BMv2 switches. Within this network, it was configured an INT collector with InfluxDB and a Grafana dashboard. This solution was tested as a possible security control in which some scenarios were executed. Given the value of INT for the defense, it was also tested how it could be attacked and defended. Due to the vulnerabilities found in this INT network, some future improvements are also proposed.