T∕TAF 098-2021 SDN網關設備安全技術要求

1、ICS 33.050CCS M 30團體標準T/TAF 098-2021SDN 網關設備安全技術要求Security technical requirements for SDN gateway devices2021-11-17 發(fā)布2021-11-17 實施電信終端產業(yè)協(xié)會 發(fā)布T/TAF 098-2021 PAGE * ROMAN III目次 HYPERLINK l _bookmark0 前言II HYPERLINK l _bookmark1 引言III HYPERLINK l _bookmark2 范圍1 HYPERLINK l _bookmark3 規(guī)范性引用文件1 HYPERLIN

2、K l _bookmark4 術語和定義1 HYPERLINK l _bookmark5 縮略語1 HYPERLINK l _bookmark6 安全技術要求2 HYPERLINK l _bookmark7 授權認證2 HYPERLINK l _bookmark8 配置安全2 HYPERLINK l _bookmark9 數據安全2 HYPERLINK l _bookmark10 防 DoS 能力2 HYPERLINK l _bookmark11 附錄 A（資料性）SND 網關設備典型應用場景示意圖3前言本文件按照 GB/T 1.1-2020標準化工作導則 第 1 部分：標準化文件的結構和起草

3、規(guī)則的規(guī)定起草。請注意本文件中的某些內容可能涉及專利。本文件的發(fā)布機構不承擔識別這些專利的責任。本文件由電信終端產業(yè)協(xié)會提出并歸口。本文件起草單位：中興通訊股份有限公司、中國信息通信研究院。本文件主要起草人：劉鑫、張治兵、周繼華、張亞薇、欒晏。引言SDN網關是通過軟件集中控制網絡編排方式來推動家庭網關的控制能力“上云”，從而降低對網關硬件的處理能力要求，同時實現業(yè)務的快速部署。隨著SDN網關的部署逐漸深入，千萬數量級的SDN網關帶來的安全問題將會日漸突出，安全性問題逐漸成為制約SDN網關發(fā)展的關鍵因素。本項目擬建立SDN 網關設備安全技術要求標準，提出相關安全要求，為保障和提升SDN網關設備安

4、全能力提供標準支撐。T/TAF 098-2021 PAGE 3SDN 網關設備安全技術要求范圍本文件規(guī)定了SDN網關設備在授權認證、配置安全、數據安全、防DoS攻擊能力等方面的安全技術要求。本文件適用于SDN網關設備的設計和生產廠商、系統(tǒng)集成商、設備使用方、安全檢測和安全認證機構使用。規(guī)范性引用文件下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件， 僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T 25069-2010信息安全技術 術語T/TAF 040-2019智能網關設備安全技術要求術語和定義GB

5、/T 25069-2010中界定的以及下列術語和定義適用于本文件。3.1SDN 網關設備 SDN gateway devicesSDN 網關設備是基于Openflow 協(xié)議的具備連通外部廣域通信網絡和居住環(huán)境內部局域網絡功能， 并支持 Internet、VoIP、IPTV 和無線接入功能的設備。SDN 網管典型應用場景見附錄A。3.2北向接口 Northbound InterfaceSDN網關提供給運營商進行接入和管理的接口，該接口遵循Openflow協(xié)議規(guī)范。縮略語下列縮略語適用于本文件。DoS：拒絕服務（Denial of Service）IPTV：網絡協(xié)議電視（Internet Prot

6、ocol Television） SDN：軟件定義網絡（Software Defined Network） TLS：傳輸層安全協(xié)議（Transport Layer Security） VoIP：網絡電話（Voice Over Internet Protocol）安全技術要求授權認證應支持 OpenflowV1.3 及以上協(xié)議。應禁止非授權控制器的訪問。配置安全SDN 網關的北向接口應僅支持使用 SDN 控制器進行管理，禁止使用其他方式進行管理。SDN 網關的北向接口應支持 TLSV1.2 及以上加密通道。SDN 網關的 WEB 配置安全應滿足T/TAF 040-2019 4.3.3 的要求。宜

7、支持防惡意或虛假表項注入。數據安全應支持本地用戶信息安全加密存儲，包括不限于：語音賬號口令、無線口令、VPN 賬號口令等。應支持防流表溢出功能。宜支持本地用戶信息的完整性校驗，防止被惡意篡改。宜支持本地靜態(tài)流表的安全加密存儲。防 DoS 能力應支持在轉發(fā)平面遭受DoS 攻擊的時候，設備不脫管。應支持防流表洪泛攻擊。應支持對異?？刂茢祿埱蟮姆雷o。宜支持針對轉發(fā)至控制器的報文（Packet-in）進行攻擊行為識別，并針對惡意報文進行丟棄。附 錄 A（資料性）SDN網關設備典型應用場景示意圖SDN網關設備應用在家庭網絡出入口，如圖A.1所示。圖中左邊虛線框里包括云服務平臺和集中管理平臺(SDN控制器)兩種典型的網絡側平臺。本地管理支持用戶通過瀏覽器對SDN網關的WiFi接入參數進行配置和設備狀態(tài)查詢等功能。典型的SDN網關設備是基于Openflow協(xié)議的設備，通常為用戶提供Internet、WLAN接入、IPTV、光纖接入等功能。SDN網關就是通過軟件集中控制網絡編排方式，推動網關的控制能力“上云”。從而降低對網關硬件的處理能力要求，同時實現業(yè)務的快速部署。圖A.1 SDN網關設備典型應用場景示意圖T/TAF 09