基于软件定义网络的非集中式信息流控制系统——S-DIFC.pdfVIP

JournalofComputerApplications ISSN 1001．9081 2015—01—1O 计算机应用，2015，35(1)：62—67，71 CODENJYIIDU http：／／www．joca．cn 文章编号：1001-9081(2015)O1—0062—06 doi：10．11772／j．issn．1001—9081．2015．01．0062 基于软件定义网络的非集中式信息流控制系统——S-DIFC 王 涛 ，‘严 飞 ，王庆飞 ，张乐艺 (1．武汉大学 计算机学院，武汉430072； 2．武汉大学 空天信息安全与可信计算教育部重点实验室，武汉430072) (通信作者电子邮箱yanfei@whu．edu．CB) 摘 要：针对当前非集中式信息流控制(DIFC)系统无法对主机与网络敏感数据进行一体化有效监控的问题，提 出一种基于软件定义网络 (SDN)的DIFC系统设计框架——S-DIFC。首先，在主机平面利用DIFC模块对主机 中文件 及进程进行细粒度的监控；然后，利用标签信息转换模块拦截 网络通信，将敏感数据标签添加到网络流中；其次，在网 络平面的SDN控制器中，对带有机密信息的流进行多级别的访问控制；最后，在 目标主机DIFC系统上，恢复敏感数据 所携带的敏感信息标记。实验结果表明，该系统对主机CPU负载影响在 10％以内，对 内存影响在0．3％以内，与依赖 加解密处理的Dstar系统大于 15S的额外时延相比，有效地减轻 了分布式网络控制系统对通信的负担。该框架能够 适应下一代网络对敏感数据安全的需求，同时分布式的方法能够有效增强监控系统的灵活性。 关键词：非集中式信息流控制；软件定义网络；数据防泄漏；标签映射；细粒度 中图分类号：TP309．2 文献标志码：A S．DIFC：softwaredeftnednetwork．baseddecentralizedinformationflow controlsystem WANGTao，YANFei’ ，WANGQingfei，ZHANGLeyi (1．SchoolofComputer,WuhanUniversity,WuhanHubei430072，China； 2．KeyLaboratoryofAerospaceInformationSecurityandTrustedComputing，Min~tryofEducatoin(WuhanUniversity)，WuhanHubei430072，China) Abstract：Tosolvetheproblem thatcurrentDecentralizedInformationFlow ControlfDIFC1systemsageunableto monitortheintegration ofhostand network sensitivedataeffectively，anew design framework ofDIFC system based on SoftwareDefinedNetwork(SDN)，calledS-DIFC，wasproposed．Firstly，thisfrmaeworkusedDIFCmodulestomonitorfiles andprocessesinhostplanewithfinerganularity．Moreover，lba elmappingmodulesWereusedtoblocknetworkcommunication andinsertsensitivedatalabelsintonetworkflow．Meanwhilethemulti-levelaccesscontroloftheflow withsecuritylabelwas implementedwithSDN’Scontrollerinnetworkplane．Fina