基于軟件定義網(wǎng)絡(luò)的DIFC系統(tǒng)設(shè)計(jì)框架

　　近年來(lái)，數(shù)據(jù)泄漏事件層出不窮，2011年3月，谷歌郵箱爆發(fā)大規(guī)模的用戶數(shù)據(jù)泄漏事件，大約15萬(wàn)Cmail用戶所有郵件被刪，部分用戶賬戶被重置。2013年3月，Evemote遭到黑客入侵，用戶名、用戶郵箱地址及加密后的密碼等信息被黑客竊取，Evemote還因此迫使約5 000萬(wàn)名用戶重置密碼。敏感信息的丟失給用戶和企業(yè)帶來(lái)了巨大的損失，因此保護(hù)敏感信息的機(jī)密性和完整性是研究者急需解決的問(wèn)題。

　　針對(duì)當(dāng)前非集中式信息流控制（ DIFC）系統(tǒng)無(wú)法對(duì)主機(jī)與網(wǎng)絡(luò)敏感數(shù)據(jù)進(jìn)行一體化有效監(jiān)控的問(wèn)題，提出一種基于軟件定義網(wǎng)絡(luò)（SDN）的DIFC系統(tǒng)設(shè)計(jì)框架-S-DIFC。首先，在主機(jī)平面利用DIFC模塊對(duì)主機(jī)中文件及進(jìn)程進(jìn)行細(xì)粒度的監(jiān)控；然后，利用標(biāo)簽信息轉(zhuǎn)換模塊攔截網(wǎng)絡(luò)通信，將敏感數(shù)據(jù)標(biāo)簽添加到網(wǎng)絡(luò)流中；其次，在網(wǎng)絡(luò)平面的SDN控制器中，對(duì)帶有機(jī)密信息的流進(jìn)行多級(jí)別的訪問(wèn)控制；最后，在目標(biāo)主機(jī)DIFC系統(tǒng)上，恢復(fù)敏感數(shù)據(jù)所攜帶的敏感信息標(biāo)記。實(shí)驗(yàn)結(jié)果表明，該系統(tǒng)對(duì)主機(jī)CPU負(fù)載影響在10%以內(nèi)，對(duì)內(nèi)存影響在0.3%以內(nèi)，與依賴加解密處理的Dstar系統(tǒng)大于15 s的額外時(shí)延相比，有效地減輕了分布式網(wǎng)絡(luò)控制系統(tǒng)對(duì)通信的負(fù)擔(dān)。該框架能夠適應(yīng)下一代網(wǎng)絡(luò)對(duì)敏感數(shù)據(jù)安全的需求，同時(shí)分布式的方法能夠有效增強(qiáng)監(jiān)控系統(tǒng)的靈活性。