软件定义网络(Software-Defined Network,SDN)将网络的控制管理功能与数据转发功能解耦,基于逻辑集中的控制器和开放的编程接口简化了网络配置工作,从而实现了扁平化的管理模式和灵活的数据转发功能。但与此同时,网络的集中控制和可编程化等特性,也使得SDN所面临的诸如流表篡改等安全问题更加多样化,安全威胁范围也更加广泛。对此,传统外挂堆叠式的安全手段必将面临极大挑战,在疲于应对各种安全问题的同时也会大幅增加网络性能的开销;然而,新型防御手段虽然试图通过导入动态性来尽可能扭转被动防御的局面,但由于机制实现时架构的静态同构性(拜占庭容错技术)或动态切换的盲目性(移动目标防御技术),致使其所具有的防御效果和应用范围都存在一定的局限性。基于拟态防御的内生安全技术是从系统的内源本质出发,将安全问题的表达形式归结为攻击者对系统内在功能模块的扰动,进而引入动态性、异构性和冗余性的策略机制来赋予系统内生的抗攻击性、可恢复性和不确定性,以此增加攻击者实现成功扰动的代价成本,提升系统的安全防护能力。本文将内生安全技术引入SDN系统,研究了面向SDN的内生安全关键技术。主要的研究工作和贡献如下:1.针对当前SDN面临的安全威胁的核心因素,提出了一种面向SDN的拟态化架构。首先,从SDN已知的脆弱性分布出发,综合防护效果和实现代价因素,对SDN的控制平面划定了防护边界(拟态界),借助动态异构冗余的拟态构造方法提升其核心功能和数据的可靠性与安全性;然后,针对SDN系统引入拟态构造后产生的可实现问题,给出了拟态代理设计、异构执行体同步等具体解决方法,确保内生安全技术的有效实现;最后,对拟态SDN的抗攻击性进行建模分析,评估了该架构在面对单次攻击和攻击链攻击情况下的防御能力。2.针对拟态SDN架构中执行体异构性的有效评估问题,提出了一种拟态SDN控制平面的异构性量化方法。首先,在已有研究基础上,借鉴生物多样性研究中的熵值度量评价方法,基于香农熵和二次熵给出了SDN控制平面漏洞属性的差异性参数;然后,拓展探讨了漏洞存在的真实特性,提出了漏洞的高阶共生性概念和量化方法,进一步优化了执行体异构性的评价模型;最后,通过实验验证了所提评价模型的优势。该模型为拟态SDN架构中执行体的异构性评估提供了有效方案,为内生安全技术实现中裁决、调度等核心功能提供了重要依据。3.针对拟态SDN架构下如何通过改进调度策略来提高拟态系统的安全性问题,提出一种基于异构度和置信度的拟态调度算法,应对多种攻击场景,提升系统的安全性和执行效率。首先构建拟态SDN控制平面的威胁模型以及系统的安全性和执行效率指标;其次,基于系统漏洞分布情况进行建模,提出了滑动窗置信度的概念和计算方法,并结合所提异构度,使用优劣解距离法(Technique for Order Preference by Similarity to an Ideal Solution,TOPSIS)作为目标函数,设计了一种基于异构度和置信度的拟态调度算法;然后,构建不同攻击特征的测试场景,验证所提调度算法在安全性和执行效率方面的改进情况。仿真结果表明,本算法相对于其他算法,在安全性和执行效率方面取得较好的权衡效果。4.针对拟态SDN架构的拟态括号内,拟态裁决面临的传输协议数据的多态化冗余化问题,本文借鉴可编程思想和协议数据转发技术,提出了面向拟态括号的可编程语义解析方法,增加了拟态括号归一化处理的灵活性和高效性。一方面,设计实现了可编程语义解析的硬件结构;另一方面,设计了解析算法以及语义提取算法,并基于FPGA平台对该算法的资源开销和处理性能进行了分析和验证。所提方法可支持多种协议解析场景,与软件实现的方案相比,其时延和吞吐量等性能有明显的改善。