text: 现如今的企业可能正在掀起一股部署实施软件定义网络(SDN)的趋势，但是，企业必须确保其从一开始就是安全的。
  虽然SDN为网络引进了包括分离了控制层面和数据层面、简化了底层硬件的实现、简化了网络配置过程、向上层应用提供网络的全局视图等优点。但是，作为一个尚在起步阶段的体系结构，SDN是一把双刃剑，在简化网络管理、缩短创新週期的同时，也引入了不可低估的安全威胁。
  控制层安全威胁，管理集中性使得网络配置、网络服务访问控制、网络安全服务部署等都集中于SDN控制器上。SDN的集中式控制方式使得控制器存在单点失效的风险。
  应用层安全威胁，SDN架构通过SDN控制器给应用层提供大量的可编程接口，这个层面上的开放性可能会带来接口的漤用，由于现有的对应用的授权机制不完善，容易安装恶意应用或安装受攻击的应用。
  数据平面安全威胁，SDN的标准组织定义了控制层面和数据层面的标准接口协议OpenFlow，有可能受到攻击者发起的协议攻击。
  南向接口安全威胁，这主要是指由OpenFlow协议的脆弱性而引发的安全性威胁。
  北向接口安全威胁，目前北向接口对应用程序的认证方法和认证力度尚沒有统一的规定，北向接口在控制器和应用程序之间所建立的信赖关系更加脆弱，攻击者可利用北向接口的开放性和可编程性，对控制器中的某些重要资源进行访问。因此，对攻击者而言，攻击北向接口的门槛更低。
  1.淹沒攻击，如SYN洪水攻击：这些攻击包含大量只设置了SYN标记的TCP数据包。它们会佔用带宽，也会填满目标系统的连接队列。基于SDN开发的交换机可以作为第一道防御缐，分辨特定模式和设定一段特定时间内来自一个或多个来源的数据包容量临界值。然后，这些交换机可以选择丢弃数据包，或者使用其他技术和协议将它重定向到其他目标。大多数路由器和其他网络平台都沒有这样细緻的控制机制。
  3.针对协议行为的DDoS攻击：这些攻击会填满设备的状态表，但是SDN设备可以根据流顺序和连接限制分辨这些行为。
  4.SDN可以模拟许多基础的防火墙功能。控制器可以执行脚本和命令，快速更新MAC、IP地址及端口过滤方式，因此可以快速响应和更新流量的策略与规则。另外，它可以解放其他网路络设备，使它们不需要处理大量的流量。
  以上SDN安全功能由于能够处理更多的流量，也能够处理特定的数据包属性，所以网络安全分析能够实现的安全功能不只有基本数据包过滤和DDoS检测。而且，它也很可能能够处理更加高级的入侵检测和意外响应。