基于软件定义网络的非集中式信息流控制系统——S-DIFC

来源：计算机应用杂志2015年第1期北京时间：

作者：王涛, 严飞, 王庆飞, 张乐艺

单位：1. 武汉大学 计算机学院, 武汉430072;2. 武汉大学 空天信息安全与可信计算教育部重点实验室, 武汉430072

摘要：针对当前非集中式信息流控制(DIFC)系统无法对主机与网络敏感数据进行一体化有效监控的问题,提出一种基于软件定义网络(SDN)的DIFC系统设计框架——S-DIFC.首先,在主机平面利用DIFC模块对主机中文件及进程进行细粒度的监控;然后,利用标签信息转换模块拦截网络通信,将敏感数据标签添加到网络流中;其次,在网络平面的SDN控制器中,对带有机密信息的流进行多级别的访问控制;最后,在目标主机DIFC系统上,恢复敏感数据所携带的敏感信息标记.实验结果表明,该系统对主机CPU负载影响在10%以内,对内存影响在0.3%以内,与依赖加解密处理的Dstar系统大于15 s的额外时延相比,有效地减轻了分布式网络控制系统对通信的负担.该框架能够适应下一代网络对敏感数据安全的需求,同时分布式的方法能够有效增强监控系统的灵活性.

关键词：非集中式信息流控制,软件定义网络,数据防泄漏,标签映射,细粒度

基金资助：国家自然科学基金资助项目(61272452, 61003268, 91118003, 61303024);国家973计划项目(2014CB340600).