Algorithmes efficaces de gestion des règles dans les réseaux définis par logiciel

Efficient Rules Management Algorithms in Software Defined Networking

• Auteur / Autrice : Ahmad Abboud
• Direction : Michaël Rusinowitch, Abdelkader Lahmadi, Adel Bouhoula
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 09/12/2021
• Etablissement(s) : Université de Lorraine
• Ecole(s) doctorale(s) : École doctorale IAEM Lorraine - Informatique, Automatique, Électronique - Électrotechnique, Mathématiques de Lorraine
• Partenaire(s) de recherche : Laboratoire : Laboratoire lorrain de recherche en informatique et ses applications
• Jury : Président / Présidente : Mohamed Yacine Ghamri Doudane
• Jury : Examinateurs / Examinatrices : Michaël Rusinowitch, Abdelkader Lahmadi, Stefano Secci, Adel Bouhoula, Amina Boubendir, Bernardetta Addis, Mondher Ayadi
• Jury : Rapporteurs / Rapporteuses : Mohamed Yacine Ghamri Doudane, Stefano Secci

Mots clés

Mots clés contrôlés

Programmation à base de règles

Réseaux d'ordinateurs -- Mesures de sûreté

Filtres (informatique)

SDN (architecture des réseaux d'ordinateurs)

Mots clés libres

Programmation

Filtrage

SDN

Programmation

Filtering

SDN

Résumé

Au sein des réseaux définis par logiciel (SDN), les exigences de filtrage pour les applications critiques varient souvent en fonction des changements de flux et des politiques de sécurité. SDN résout ce problème avec une abstraction logicielle flexible, permettant la modification et la mise en œuvre simultanées et pratiques d'une politique réseau sur les commutateurs. Avec l'augmentation du nombre de règles de filtrage et la taille des données qui traversent le réseau chaque seconde, il est crucial de minimiser le nombre d'entrées et d'accélérer le processus de recherche. D'autre part, l'accroissement du nombre d'attaques sur Internet s'accompagne d'une augmentation de la taille des listes noires et du nombre de règles des pare-feux. Leur capacité de stockage limitée nécessite une gestion efficace de l'espace. Dans la première partie de cette thèse, nous proposons une représentation compacte des règles de filtrage tout en préservant leur sémantique. La construction de cette représentation est obtenue par des algorithmes raisonnablement efficaces. Cette nouvelle représentation repose sur la notion de Double Masque, où le premier masque est utilisé comme préfixe d'inclusion et le second comme préfixe d'exclusion. Cette technique permet flexibilité et efficacité dans le déploiement des politiques de sécurité puisque les règles engendrées sont plus faciles à gérer : nous pouvons accepter et exclure des IP avec une seule règle. Une règle de double masque peut être considérée comme une extension d'une règle de préfixe standard avec des exceptions. Cette représentation est souvent plus intuitive que les représentations alternatives et peut donc éviter des erreurs dans les opérations de gestion du réseau. Des approches complémentaires à la compression de règles consistent à décomposer et répartir les tables de règles, pour implémenter, par exemple, des politiques de contrôle d'accès distribué. Cependant, la plupart d'entre elles nécessitent une réplication importante de règles, voire la modification des en-têtes de paquets. La deuxième partie de cette thèse présente de nouvelles techniques pour décomposer et distribuer des ensembles de règles de filtrage sur une topologie de réseau donnée. Notre approche consiste à concevoir des schémas de décomposition pour des politiques sur une ou plusieurs dimensions, conduisant à des architectures de réseau à plusieurs niveaux pour transférer les paquets vers la destination. Nous introduisons également une stratégie de mise à jour pour gérer les changements de politique et de topologie du réseau. De plus, nous exploitons également la structure de graphe série-parallèle pour résoudre efficacement le problème de placement de règles.

In software-defined networks (SDN), the filtering requirements for critical applications often vary according to flow changes and security policies. SDN addresses this issue with a flexible software abstraction, allowing simultaneous and convenient modification and implementation of a network policy on flow-based switches.With the increase in the number of entries in the ruleset and the size of data that traverses the network each second, it remains crucial to minimize the number of entries and accelerate the lookup process. On the other hand, attacks on Internet have reached a high level. The number keeps increasing, which increases the size of blacklists and the number of rules in firewalls. The limited storage capacity requires efficient management of that space. In the first part of this thesis, our primary goal is to find a simple representation of filtering rules that enables more compact rule tables and thus is easier to manage while keeping their semantics unchanged. The construction of rules should be obtained with reasonably efficient algorithms too. To achieve this goal, we introduce a novel representation of packet filter fields, so-called double masks where the first mask is used as an inclusion prefix and the second as an exclusion one. This new representation can add flexibility and efficiency in deploying security policies since the generated rules are easier to manage. The double mask representation makes configurations simpler since we can accept and exclude IPs within the same rule. A double mask rule can be viewed as an extension of a standard prefix rule with exceptions. It is often more intuitive than the alternative representations and therefore can prevent errors in network management operations.A complementary approach to rule compression would be to use multiple smaller switch tables to enforce access-control policies in the network. However, most of them have a significant rules replication, or even they modify the packet's header to avoid matching a rule by a packet in the next switch. The second part of this thesis introduces new techniques to decompose and distribute filtering rule sets over a given network topology. Our approach is to design decomposition schemes for simple and complex policies that rely on single or multiple dimensions, leading to multi-level network architectures to forward packets to the destination. We also introduce an update strategy to handle the changes in network policy and topology. In addition, we also exploit the structure of a series-parallel graph to efficiently resolve the rule placement problem for all-sized networks intractable time.