一、软件定义安全SDSec产生的背景
软件定义安全（Software Defined Security，SDSec）的产生背景主要源于传统网络安全防护方法在面对复杂网络情况时的不适应性，以及软件定义网络（SDN）技术的发展和应用。
SDN技术影响与数据与控制分离的理念：SDN的出现将网络的控制平面与数据平面分离，实现了网络资源的集中管理和自动化设置。SDN控制器可以全局视角管理网络，这为安全战略的统一规划和执行提供了可能。SDSec的焦点理念是数据与控制分离，安全管理与控制集中化，这与SDN的内涵性子相契合，得当用于网络安全的场景。
复杂网络情况与传统安全装备的挑衅：在物理与假造网络共存的数据中心等复杂情况中，传统的网络安全装备摆设过程繁复，不能灵活地区分处理流经的流量，安全防护范围僵化，且安全装备可能成为单一故障点，传统的安全网关装备如防火墙、入侵防护体系等，存在互操作性差、难以集成等问题，SDN的理念可以拓展到这些装备上，作为下一代安全产品开发的引导思想，从而产生了SDSec的概念
云计算和假造化技术的发展对安全的需求：云计算体系的开放API、假造化技术的资源池能力、SDN的支持，以及中小型企业对安全防护体系有效性、便捷性和灵活性的需求，促使软件定义安全理念在云计算安全防护中得到体现。
SDSec的产生是为了解决传统网络安全方法在现代网络情况中的范围性，同时利用SDN技术的上风，实现更高效、灵活和自动化的网络安全防护。
二、软件定义安全SDSec的定义
软件定义安全（Software Defined Security，SDSec）是一种从软件定义网络（SDN）引申而来的概念，其焦点原理是将网络安全装备与其接入模式、摆设方式、实现功能举行解耦。这种解耦使得底层的网络安全装备可以抽象为安全资源池中的资源，而顶层则通过软件编程的方式举行智能化、自动化的业务编排和管理，以完成相应的安全功能，实现灵活的安全防护 。
SDSec的工作机制可以分解为三个主要部分：软件定义流量、软件定义资源和软件定义威胁模子。这三个部分相互关联，形成一个动态、闭环的工作模子。具体来说：
● 软件定义流量通过软件编程实现网络流量的细粒度定义及转发控制管理，将目标网络流量转发到安全装备上，实现安全装备的逻辑摆设和利用。
● 软件定义资源通过管理中心对安全资源举行统一注册、池化管理、弹性分配，并在假造计算情况下支持假造安全装备模板的分发和装备的创建。
● 软件定义威胁模子涉及自动化收罗、分析和发掘网络流量、网络举动、安全事件等信息，实现对未知威胁或高级安全威胁的实时分析和建模，并用建模结果引导流量定义，实现动态、闭环的安全防护。
SDSec的架构计划使得安全战略执行点（数据平面）与安全控制器（控制平面）相互分离，从而使安全装备能够快速、自动地适应业务的动态变革。这种分离的架构有助于厂商集中精力研发异常检测技术，提高安全产品的焦点能力，并便于在一个计算能力更强的、开放的、综合的平台上完成异常检测
三、软件定义安全SDSec的支撑技术
软件定义安全本质上是一种技术理念，主要技术思路为参考 SDN 的数 据与控制层面分离 ，通过构建上层安全管理平台去运营、运维下层集约化摆设的安 全资源。软件定义安全SDSec的主要支撑技术包罗软件定义网络 (SDN)、假造化技术、API和尺度化接口、安全编排与自动化相应 (SOAR)
软件定义网络 (SDN)：SDN是SDSec的根本之一，它将网络的控制平面与数据平面分离，允许对网络流量举行集中控制和战略实行，为安全战略的灵活摆设和动态调解提供了可能。
假造化技术：假造化技术支持快速准备假造化的安全装备，包罗服务器假造化、网络功能假造化（NFV）和软件定义存储（SDS），这些技术允许安全功能如防火墙、入侵检测体系（IDS）、入侵防御体系（IPS）等作为假造实例运行，并灵活调理计算、存储、网络资源，可以更容易地在不同位置之间移动和扩展，为安全功能服务。
API和尺度化接口：SDSec依赖于API和尺度化接口来集成不同的安全组件和服务，允许不同供应商的产品之间举行互操作，加强整体安全生态体系的灵活性和可扩展性。
安全编排与自动化相应 (SOAR)：自动化工具和工作流编排用于实现安全战略的快速摆设、更新和相应。这包罗安全战略的自动化生成、设置和变动管理，以及在检测到威胁时的自动相应。SOAR平台团结了安全事件管理、自动化相应和编排功能，用于和谐多个安全工具和流程，提高安全团队的服从和相应速度。
这些技术共同作用，使SDSec能够提供一个更加强盛、灵活和相应敏捷的安全框架，以应对不停变革的威胁情况。
四、软件定义安全SDSec的优缺点
软件定义安全（SDSec）与传统安全产品相比，各有其独特的优点和缺点：
软件定义安全(SDSec)传统安全产品灵活性与可扩展性利用SDN和NFV技术，安全战略可以动态设置和调解，适应网络流量变革和新的安全威胁。可以通过软件更新和设置更轻松地适应新的安全需求和技术进展。通常利用硬件装备，设置和更新安全战略较为繁琐，不够灵活。硬件装备的功能和性能受到限定，升级和扩展可能需要更换装备或增加新的硬件。集中化管理和自动化可以通过集中的安全战略控制器管理整个网络的安全战略，实现自动化相应和安全事件管理。管理分散在各个装备上，安全战略的更新和管理通常需要更多的人工干预。资源利用率和成本效益利用NFV将安全功能假造化在通用服务器上运行，提高了资源利用率，并低落了成本。需要购买和维护多个专用硬件装备，成本和资源利用率不如假造化解决方案高效。技术成熟度和摆设复杂性相较传统安全产品，SDSec 的技术可能需要更多时间来成熟，并且在摆设和管理上可能存在肯定的复杂性。技术相对成熟，摆设相对简朴，但可能缺乏SDSec中的一些先进功能和灵活性。安全性考量固然提供了灵活和智能的安全防护，但在实行时需要确保其本身不会成为攻击目标或单点故障。如果控制平台受到攻击，可能会对整个网络的安全造成影响。可能因为利用独立的硬件装备，一些传统攻击方式可能更难以实行。 SDSec通过软件定义的方式提供了更灵活、智能和高效的安全解决方案，尤其得当于需要频繁更新和动态调解安全战略的现代网络情况。然而，与传统安全产品相比，SDSec在技术成熟度、摆设复杂性和对网络根本办法的依赖性等方面可能存在一些挑衅和限定。
需要注意的是，软件定义安全理念从逻辑上和架构上是涵盖了传统安全与云计算安全的，前者是从改变安全技术架构去提高安全管理服从，提拔安全运营的 价值，而后者则是区别于安全落地的不同场景。因此软件定义安全同样实用于传统 IT 情况，如果做到了构建统一的上层管理平台，使其具备开放接口，下层各类安全 组件资源可受上层管理应用举行编排、计量等本领统一关联起来，那么这套安全防 护体系也可认为是由软件定义的。
博客地址：http://xiejava.ishareread.com/
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。 |
