意圖驅(qū)動(dòng)的韌性網(wǎng)絡(luò)安全研究

摘 要：

未來(lái)的網(wǎng)絡(luò)要求有一個(gè)靈活、彈性、可拓展的網(wǎng)絡(luò)架構(gòu)，才能適應(yīng)多樣化對(duì)服務(wù)的新要求。意圖驅(qū)動(dòng)網(wǎng)絡(luò)針對(duì)這一難題提供了一種切實(shí)可行的新思想，具體地說(shuō)是基于意圖閉環(huán)技術(shù)可以讓網(wǎng)絡(luò)管理員不必再去注意復(fù)雜的配置細(xì)節(jié)，僅需表達(dá)網(wǎng)絡(luò)服務(wù)需求即可獲得自主可靠的服務(wù)。首先對(duì)目前網(wǎng)絡(luò)安全中出現(xiàn)的新問(wèn)題進(jìn)行剖析，對(duì)意圖驅(qū)動(dòng)網(wǎng)絡(luò)方法論及其關(guān)鍵技術(shù)進(jìn)行梳理，提出一種基于意圖驅(qū)動(dòng)網(wǎng)絡(luò)閉環(huán)生命周期架構(gòu)；探究意圖驅(qū)動(dòng)網(wǎng)絡(luò)安全服務(wù)韌性策略推理。意圖驅(qū)動(dòng)網(wǎng)絡(luò)的實(shí)踐案例包含意圖的生成、轉(zhuǎn)譯、策略制定和部署等過(guò)程，實(shí)現(xiàn)了網(wǎng)絡(luò)故障情況下保障網(wǎng)絡(luò)服務(wù)的永續(xù)在線，反映出意圖驅(qū)動(dòng)網(wǎng)絡(luò)的全生命周期。

關(guān)鍵詞：

意圖驅(qū)動(dòng)網(wǎng)絡(luò); 網(wǎng)絡(luò)安全; 網(wǎng)絡(luò)策略; 網(wǎng)絡(luò)韌性

中圖分類號(hào)：

TN 915.08

文獻(xiàn)標(biāo)志碼： A""" DOI：10.12305/j.issn.1001-506X.2024.09.32

Research on intent-driven resilience network security

SONG Yanbo1， GAO Xianming2， YANG Chungang1，3，*， LI Pengcheng3

（1. School of Telecommunications Engineering， Xidian University， Xi’an 710071， China;

2. Institute of System Engineering Academy of Military Sciences， Beijing 100039， China;

3. Hangzhou Institute of Technology， Xidian University， Hangzhou 311200， China）

Abstract：

In the future， network will necessitate flexible， resilient， and scalable frameworks to accommodate evolving and diverse services. Intent-driven network provides a practical and feasible new idea for addressing this challenge. Specifically， intent-driven loop allows network administrators to focus less on intricate configuration details and more on expressing service requirements， facilitating autonomous and reliable services. Firstly， this work analyzes new challenges emerging in the field of cybersecurity. Subsequently， it introduces the methodology and key technologies of intent-driven network， proposing a lifecycle intent-driven architecture based on intent-driven network. Secondly， a method of reasoning for resilience strategies is introduced in intent-driven network security services. The practical application of intent-driven network involves the generation， translation， policy formulation， and deployment of intents， thereby ensuring the continuous online availability of network services even in the event of network failures. This reflects the entire lifecycle of an intent-driven network.

Keywords：

intent-driven network; network security; network policy; network resilience

0 引 言

傳統(tǒng)的網(wǎng)絡(luò)管理是針對(duì)獨(dú)立的網(wǎng)元設(shè)備進(jìn)行的，例如對(duì)網(wǎng)絡(luò)設(shè)備使用簡(jiǎn)單的網(wǎng)絡(luò)管理協(xié)議（simple network management protocol， SNMP）。在軟件定義網(wǎng)絡(luò)（software-defined network， SDN）、信息中心網(wǎng)絡(luò)、衛(wèi)星網(wǎng)絡(luò)等各種新型網(wǎng)絡(luò)形態(tài)不斷涌現(xiàn)的情況下，僅僅依靠為設(shè)備設(shè)定無(wú)數(shù)參數(shù)對(duì)網(wǎng)絡(luò)進(jìn)行管理已不再適用于未來(lái)的大規(guī)模網(wǎng)絡(luò)。目前，網(wǎng)絡(luò)管理對(duì)網(wǎng)絡(luò)韌性、安全性和智能性都有著較高要求，在設(shè)備配置上既要滿足服務(wù)需求又要確保網(wǎng)絡(luò)穩(wěn)定工作。同時(shí)，傳統(tǒng)的“手動(dòng)進(jìn)行需求分析，手動(dòng)部署執(zhí)行，手動(dòng)排除故障”網(wǎng)絡(luò)管理模式對(duì)人員要求較高，因此網(wǎng)絡(luò)管理需要更加智能化、簡(jiǎn)單化、自動(dòng)化和無(wú)人化［1］。

近年來(lái)，由于大規(guī)模網(wǎng)絡(luò)運(yùn)維的復(fù)雜程度大幅提升，出現(xiàn)了許多網(wǎng)絡(luò)新概念和新范式，如基于意圖的網(wǎng)絡(luò)（intent-based network， IBN）、意圖驅(qū)動(dòng)網(wǎng)絡(luò)（intent-driven network， IDN）、自動(dòng)駕駛網(wǎng)絡(luò)、自治網(wǎng)絡(luò)等。這些新概念的推動(dòng)者包括互聯(lián)網(wǎng)工程任務(wù)組（Internet Engineering Task Force， IETF）、開放網(wǎng)絡(luò)基金會(huì)（Open Networking Foundation， ONF）、電信管理論壇（TeleManagement forum， TMForum）、中國(guó)通信標(biāo)準(zhǔn)協(xié)會(huì)（China Communications Standards Association， CCSA）等標(biāo)準(zhǔn)化組織，以及思科、華為等設(shè)備廠商，還有中國(guó)移動(dòng)、中國(guó)聯(lián)通等電信運(yùn)營(yíng)商［2］。網(wǎng)絡(luò)需要一種新的交互機(jī)制使網(wǎng)絡(luò)運(yùn)營(yíng)商能夠利用意圖來(lái)提供投入的網(wǎng)絡(luò)被稱為IDN，該網(wǎng)絡(luò)架構(gòu)能夠簡(jiǎn)化網(wǎng)絡(luò)管理和實(shí)現(xiàn)應(yīng)用程序需要的自動(dòng)網(wǎng)絡(luò)操作。借助于機(jī)器學(xué)習(xí)和其他高級(jí)數(shù)據(jù)分析技術(shù)，IDN最大限度地減少了管理員對(duì)網(wǎng)絡(luò)進(jìn)行設(shè)置時(shí)可能產(chǎn)生的錯(cuò)誤。IDN技術(shù)也能夠?qū)崟r(shí)地驗(yàn)證網(wǎng)絡(luò)設(shè)備是否處于意圖上下文中，從而保證了網(wǎng)絡(luò)的正常工作［3］。

SDN和網(wǎng)絡(luò)功能虛擬化（network functions virtualization， NFV）帶來(lái)的軟件和硬件抽象，有助于簡(jiǎn)化網(wǎng)絡(luò)部署和管理方式［4］。為了保證網(wǎng)絡(luò)系統(tǒng)可靠地運(yùn)行，處理異常事件中緩解策略的運(yùn)用非常關(guān)鍵。但使用NFV把多種類型網(wǎng)絡(luò)安全功能組成服務(wù)功能鏈，網(wǎng)絡(luò)管理員費(fèi)時(shí)費(fèi)力，對(duì)大規(guī)模網(wǎng)絡(luò)進(jìn)行管理時(shí)易出現(xiàn)錯(cuò)誤。IDN能夠成為更好的安全保障。安全和隱私規(guī)則可通過(guò)IDN而不是具體到技術(shù)上以更為抽象的方式來(lái)表達(dá)，減少低級(jí)配置錯(cuò)誤。網(wǎng)絡(luò)管理員可使用意圖來(lái)表示安全策略或者和安全有關(guān)的參數(shù)設(shè)置，如系統(tǒng)資源可用性等級(jí)、防火墻規(guī)則、轉(zhuǎn)發(fā)規(guī)則的約束等。

IDN安全問(wèn)題涉及到很多層次的防護(hù)與管理，由不同層面組成：保障意圖驅(qū)動(dòng)的網(wǎng)絡(luò)自身安全，使用意圖來(lái)表達(dá)安全策略或者涉及到安全的參數(shù)等。① IDN安全架構(gòu)的設(shè)計(jì)與實(shí)現(xiàn)［5］要求保證IDN架構(gòu)與組件設(shè)計(jì)合理，從而抵抗多種安全威脅。② 使用意圖表示安全策略或者涉及安全的參數(shù)、使用IDN意圖表述能力定義并執(zhí)行高級(jí)安全策略等，IDN訪問(wèn)控制［6］能夠保證網(wǎng)絡(luò)范圍的連通與安全，以保護(hù)網(wǎng)絡(luò)資源不被非授權(quán)訪問(wèn)。③ 通過(guò)驗(yàn)證機(jī)制保證意圖正確、安全，避免實(shí)施有害或者虛假意圖。

當(dāng)前，IDN研究與實(shí)施正處在初步階段。不同研究團(tuán)隊(duì)關(guān)注的重點(diǎn)不一樣，自主研發(fā)的模塊也不一樣，主要有意圖表征語(yǔ)言、北向界面、策略制定模塊和驗(yàn)證組件，造成各模塊重疊，缺乏完整的IDN全流程技術(shù)和部署研究［4，7］。例如，ODL（opendaylight）網(wǎng)絡(luò)意圖組件（network intent composition，NIC）和網(wǎng)絡(luò)建模（network model，NEMO）［8］定義網(wǎng)絡(luò)意圖語(yǔ)言和解釋器。INTPOL（intent-driven policy framework）［9］主要針對(duì)以軟件定義為主的系統(tǒng)，進(jìn)行意圖驅(qū)動(dòng)安全策略管理。INSpIRE（integrated NFV-based intent refinement environment）［10］集成基于NFV的意圖精化。策略圖抽象（policy graph abstraction，PGA）［11］解決了網(wǎng)絡(luò)策略之間的沖突和不一致，從而提高網(wǎng)絡(luò)的安全性和效率。JANUS［11］能夠組合并配置各種基于意圖的動(dòng)態(tài)策略。

為此，本文將梳理目前網(wǎng)絡(luò)中出現(xiàn)的新需求、新挑戰(zhàn)作為主要目的，對(duì)IDN應(yīng)用及現(xiàn)狀進(jìn)行了概述。為此，提出一個(gè)包括轉(zhuǎn)譯和驗(yàn)證的意圖全生命周期閉環(huán)?；谒酙DN架構(gòu)及關(guān)鍵技術(shù)，對(duì)意圖識(shí)別、轉(zhuǎn)譯驗(yàn)證模塊進(jìn)行部署，并演示出一套完整的IDN安全用例。通過(guò)該實(shí)施方式，IDN順利地對(duì)網(wǎng)絡(luò)安全服務(wù)進(jìn)行管理與分配，確保網(wǎng)絡(luò)連續(xù)運(yùn)行。最后，展望并總結(jié)IDN閉環(huán)與自動(dòng)部署過(guò)程中存在的嚴(yán)重挑戰(zhàn)。本文主要貢獻(xiàn)有3個(gè)方面：

（1） 梳理網(wǎng)絡(luò)面臨的新需求和新挑戰(zhàn)，并總結(jié)了IDN現(xiàn)狀與關(guān)鍵技術(shù)現(xiàn)狀;

（2） 在IDN架構(gòu)與關(guān)鍵技術(shù)的基礎(chǔ)上，設(shè)計(jì)了一套完整的IDN安全服務(wù)編排系統(tǒng)，實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)安全功能部署意圖的識(shí)別、轉(zhuǎn)譯和部署;

（3） 以IDN安全意圖為例，在SDN韌性網(wǎng)絡(luò)安全防御場(chǎng)景中，實(shí)現(xiàn)了IDN安全服務(wù)配置并保障網(wǎng)絡(luò)的持續(xù)運(yùn)行。

1 當(dāng)前網(wǎng)絡(luò)亟待解決的困難

大規(guī)模物聯(lián)網(wǎng)服務(wù)、無(wú)人駕駛、工業(yè)自動(dòng)化等多種應(yīng)用程序和服務(wù)對(duì)網(wǎng)絡(luò)低延遲、連接可靠性等方面提出了十分苛刻的要求。用戶使用這些服務(wù)時(shí)將成為關(guān)注的主要對(duì)象。為了盡可能簡(jiǎn)化用戶的操作，可以通過(guò)直接輸入用戶想要執(zhí)行的操作來(lái)自動(dòng)觸發(fā)網(wǎng)絡(luò)以完成一系列操作。從網(wǎng)絡(luò)的角度來(lái)看，為了靈活地實(shí)現(xiàn)用戶的意圖，有必要為用戶提供各種網(wǎng)絡(luò)資源。為了實(shí)現(xiàn)這一目標(biāo)，網(wǎng)絡(luò)虛擬化和編排技術(shù)被廣泛采用，使操作員能夠通過(guò)在統(tǒng)一基礎(chǔ)架構(gòu)上編排各種網(wǎng)絡(luò)功能，從而為用戶提供更靈活的服務(wù)。

1.1 網(wǎng)絡(luò)設(shè)計(jì)態(tài)的新需求

分組交換網(wǎng)將消息分組，并通過(guò)控制協(xié)議和物理鏈路傳遞消息;SDN技術(shù)實(shí)現(xiàn)了控制和數(shù)據(jù)平面的解耦;NFV技術(shù)實(shí)現(xiàn)了網(wǎng)絡(luò)功能和網(wǎng)絡(luò)資源的解耦，從而實(shí)現(xiàn)了差異化的資源調(diào)度和服務(wù)編排［12］。而在IDN中，人們只關(guān)注自己預(yù)期到達(dá)的網(wǎng)絡(luò)狀態(tài)，IDN自動(dòng)按照意圖完成隨后的操作，并實(shí)時(shí)驗(yàn)證網(wǎng)絡(luò)是否符合意圖，并不斷進(jìn)行調(diào)整。IDN架構(gòu)可以根據(jù)應(yīng)用、服務(wù)意圖構(gòu)建并運(yùn)行，實(shí)現(xiàn)了用戶需求與網(wǎng)絡(luò)服務(wù)的進(jìn)一步解耦。

1.2 網(wǎng)絡(luò)運(yùn)行態(tài)的新需求

1.2.1 配置復(fù)雜和運(yùn)維成本高

現(xiàn)今網(wǎng)絡(luò)產(chǎn)品擁有成千上萬(wàn)的參數(shù)，其中多數(shù)需要通過(guò)人工操作進(jìn)行配置，即使如此，配置故障仍然難以完全避免，因此精準(zhǔn)配置網(wǎng)絡(luò)既復(fù)雜又昂貴［13］。雖然現(xiàn)在可以動(dòng)態(tài)地更新這些參數(shù)，但由于缺乏所需的技術(shù)和經(jīng)驗(yàn)，導(dǎo)致網(wǎng)絡(luò)在最初配置后幾乎不需要對(duì)大多數(shù)參數(shù)進(jìn)行調(diào)整，因此網(wǎng)絡(luò)很難發(fā)揮其最佳性能。而網(wǎng)絡(luò)的規(guī)模、資源的異構(gòu)性、拓?fù)涞膭?dòng)態(tài)性等特點(diǎn)進(jìn)一步增加了網(wǎng)絡(luò)配置的復(fù)雜性，因此迫切需要一種能夠自動(dòng)檢測(cè)、定位和修復(fù)網(wǎng)絡(luò)故障的網(wǎng)絡(luò)管理工具或方法，以解決配置復(fù)雜性和高運(yùn)維成本的問(wèn)題。

1.2.2 網(wǎng)絡(luò)需求策略預(yù)見(jiàn)性

當(dāng)網(wǎng)絡(luò)的業(yè)務(wù)形態(tài)或網(wǎng)絡(luò)態(tài)勢(shì)發(fā)生改變時(shí)，網(wǎng)絡(luò)管理員可以根據(jù)情況制定針對(duì)性的策略或自動(dòng)應(yīng)用既定策略［14］。策略的準(zhǔn)確性很大程度上取決于網(wǎng)絡(luò)管理員的經(jīng)驗(yàn)和專家系統(tǒng)的支持。然而，當(dāng)面對(duì)未知的威脅或尚未出現(xiàn)的威脅時(shí)，網(wǎng)絡(luò)將無(wú)法提前做出反應(yīng)，仍然處于被動(dòng)反應(yīng)的局面。

此外，一旦網(wǎng)絡(luò)策略部署到網(wǎng)絡(luò)中，數(shù)據(jù)平面的轉(zhuǎn)發(fā)行為可能會(huì)與控制平面上操作人員的意圖不一致。這種不一致可能是由于交換機(jī)軟硬件問(wèn)題，外部規(guī)則的修改（可能受到惡意攻擊）等等。為了確保策略能夠正確地下放并保證意圖最終被準(zhǔn)確執(zhí)行，需要對(duì)策略進(jìn)行生命周期的驗(yàn)證。

1.2.3 網(wǎng)絡(luò)策略執(zhí)行韌性需求

根據(jù)目前對(duì)網(wǎng)絡(luò)韌性的相關(guān)研究［15］，網(wǎng)絡(luò)韌性可定義為在網(wǎng)絡(luò)受到攻擊時(shí)，使系統(tǒng)具有預(yù)防、防御、恢復(fù)和適應(yīng)的能力，以減少攻擊對(duì)網(wǎng)絡(luò)造成的影響，確保服務(wù)正常運(yùn)行。其中，預(yù)防能力是指對(duì)潛在威脅進(jìn)行預(yù)測(cè)和準(zhǔn)備;防御能力是指在遭受攻擊的情況下，維持服務(wù)運(yùn)行而不會(huì)導(dǎo)致性能下降或功能喪失;恢復(fù)能力是指攻擊結(jié)束后，恢復(fù)服務(wù)正常的運(yùn)行、性能和功能;適應(yīng)能力是指從之前的網(wǎng)絡(luò)攻擊中學(xué)習(xí)，調(diào)整響應(yīng)策略，更好地應(yīng)對(duì)網(wǎng)絡(luò)攻擊。

因此，未來(lái)網(wǎng)絡(luò)需要一種兼顧低成本運(yùn)維和策略持續(xù)保障的網(wǎng)絡(luò)形態(tài)，在設(shè)計(jì)階段充分解耦，在運(yùn)行時(shí)能夠制定具有預(yù)見(jiàn)性的韌性網(wǎng)絡(luò)策略。

2 IDN現(xiàn)狀

在技術(shù)和需求的驅(qū)動(dòng)下，IDN的出現(xiàn)改變了網(wǎng)絡(luò)架構(gòu)和技術(shù)，這可能會(huì)在不久的將來(lái)影響網(wǎng)絡(luò)的發(fā)展。

2.1 IDN架構(gòu)

IBN在近年來(lái)已成為網(wǎng)絡(luò)技術(shù)領(lǐng)域的一個(gè)熱門研究方向。根據(jù)ONF的定義，IDN的北向接口（north-bound interface，NBI）作為一個(gè)核心組件，負(fù)責(zé)將高層的業(yè)務(wù)需求和策略轉(zhuǎn)化為網(wǎng)絡(luò)配置和管理的具體指令，從而實(shí)現(xiàn)更加智能和自動(dòng)化的網(wǎng)絡(luò)管理［16］。文獻(xiàn)［2］強(qiáng)調(diào)IDN在網(wǎng)絡(luò)基礎(chǔ)設(shè)施全生命周期管理的重要作用，包括設(shè)計(jì)、實(shí)施、操作和保證，并突顯了IDN高效、靈活的特點(diǎn)。

另一方面，多域IDN［17］也受到了關(guān)注，該系統(tǒng)為多域云用戶設(shè)計(jì)了一個(gè)創(chuàng)新的意圖框架。通過(guò)采用新穎的編譯算法，有效地實(shí)現(xiàn)了在多域網(wǎng)絡(luò)環(huán)境中的可擴(kuò)展性。VeriFlow公司在其最新研究報(bào)告中強(qiáng)調(diào)，通過(guò)采用IDN，可以顯著提升網(wǎng)絡(luò)的靈活性、可靠性和安全性，同時(shí)避免增加網(wǎng)絡(luò)部署和優(yōu)化的工作量與復(fù)雜性。該公司的VeriFlow軟件能夠?qū)崟r(shí)監(jiān)控整個(gè)網(wǎng)絡(luò)的關(guān)鍵不變量，確保網(wǎng)絡(luò)的連續(xù)穩(wěn)定運(yùn)行［18］。

綜上所述，IDN通過(guò)引入意圖標(biāo)準(zhǔn)化NBI和相關(guān)技術(shù)，不僅可以實(shí)現(xiàn)更加智能和自動(dòng)化的網(wǎng)絡(luò)管理，還可以解決傳統(tǒng)網(wǎng)絡(luò)配置中存在的一系列問(wèn)題，為實(shí)現(xiàn)更加高效、靈活和可靠的網(wǎng)絡(luò)提供了可能。

2.2 IDN關(guān)鍵技術(shù)

目前，IDN正在持續(xù)發(fā)展中，主要研究領(lǐng)域包括IDN架構(gòu)設(shè)計(jì)、意圖表征技術(shù)與驗(yàn)證技術(shù)等。

意圖轉(zhuǎn)譯：提供了允許用戶將意圖傳達(dá)給網(wǎng)絡(luò)并執(zhí)行必要操作以確保實(shí)現(xiàn)意圖的功能和接口。這包括用于確定和識(shí)別意圖的功能和算法。此外，還包括將更高級(jí)別的抽象呈現(xiàn)為更低級(jí)別的參數(shù)，例如跨網(wǎng)絡(luò)的協(xié)調(diào)配置和編排。意圖轉(zhuǎn)譯包括意圖的表征和策略的制定，意圖的表征方法影響著轉(zhuǎn)譯方法。

意圖驗(yàn)證：提供了允許用戶驗(yàn)證和監(jiān)視網(wǎng)絡(luò)是否確實(shí)遵守意圖的功能和接口。意圖驗(yàn)證是重要的反饋和評(píng)估模塊，用于對(duì)意圖進(jìn)行調(diào)整和優(yōu)化。網(wǎng)絡(luò)策略在系統(tǒng)初始階段可能是滿足意圖的，但隨著時(shí)間的推移，可能會(huì)逐漸發(fā)生變化或受到影響，這種變化稱為意圖“失真”。

2.2.1 IDN轉(zhuǎn)譯技術(shù)

意圖是一組網(wǎng)絡(luò)服務(wù)的原語(yǔ)，可通過(guò)靈活組合來(lái)描述和部署各種場(chǎng)景應(yīng)用，例如服務(wù)需求的描述和服務(wù)功能鏈的構(gòu)建。當(dāng)前，IDN與SDN控制器緊密結(jié)合，在基于意圖的NBI上研究意圖的形態(tài)學(xué)規(guī)則。主流的開放網(wǎng)絡(luò)操作系統(tǒng)（open network operating system，ONOS）和ODL控制器都在一定程度上引入意圖的思想，并設(shè)計(jì)相應(yīng)的NBI［19-20］。ODL提出NEMO項(xiàng)目［8］，用于應(yīng)用程序的網(wǎng)絡(luò)建模，以及一種用于IDN的應(yīng)用接口（application programming interface， API）。NEMO提供一種通過(guò)超文本傳輸協(xié)議（hypertext transfer protocol，HTTP）配置虛擬網(wǎng)絡(luò)的功能，將網(wǎng)絡(luò)服務(wù)編程引入作為SDN NBI的一種創(chuàng)新形式，突破了傳統(tǒng)的按場(chǎng)景分隔、逐個(gè)定義接口的煙囪式方法［8］。ONOS還提供了具有有限意圖功能集的接口。

為了加快NBI的標(biāo)準(zhǔn)化，ONF定義了Intent NBI的原則，包括意圖NBI架構(gòu)和操作方法，并介紹了策略映射的概念和應(yīng)用，強(qiáng)調(diào)了映射作為信息中介所體現(xiàn)的交互性和解釋性，并明確了Intent NBI帶來(lái)的增益［21］。在某些場(chǎng)景下，當(dāng)多個(gè)應(yīng)用程序同時(shí)運(yùn)行時(shí)，可能會(huì)提出相互矛盾或目標(biāo)沖突的請(qǐng)求?？刂茖又械囊粋€(gè)模塊專門負(fù)責(zé)識(shí)別并解決這些潛在的沖突。該模塊的目的是制定一個(gè)經(jīng)過(guò)優(yōu)化的解決方案，以確保滿足這些多樣化且復(fù)雜的需求。

關(guān)于意圖的安全性和驗(yàn)證方面，目前有PGA、JANUS等研究［11，22］，策略的圖形抽象以圖的形式描述了意圖，通過(guò)標(biāo)記每個(gè)端點(diǎn)，每個(gè)標(biāo)簽代表一個(gè)組，組之間存在包含或沖突。

2.2.2 IDN策略推理

歐洲電信標(biāo)準(zhǔn)協(xié)會(huì)（European Telecommunications Standards Institute，ETSI）、IETF等組織正在積極制定IDN的相關(guān)標(biāo)準(zhǔn)。其中，ETSI的自主網(wǎng)絡(luò)集成模型和方法（autonomic networking integrated model and approach，ANIMA）工作組專注于研究意圖驅(qū)動(dòng)的自主結(jié)構(gòu)，增加了生命周期的定義和初步的ANIMA的意圖策略，并簡(jiǎn)要描述了意圖網(wǎng)絡(luò)的用例，在基于策略的網(wǎng)絡(luò)管理（policy-based network management，PBNM）領(lǐng)域研究了意圖的應(yīng)用［22］。

PBNM是一個(gè)廣泛應(yīng)用和研究的領(lǐng)域，策略可以有不同程度的抽象，如圖1所示，其被表現(xiàn)為一個(gè)策略抽象模型，用于表示各種策略的抽象程度，越往上層抽象程度越高。金字塔底層是低級(jí)配置策略，針對(duì)特定設(shè)備的命令行方式，關(guān)注配置中的某些細(xì)節(jié)，例如SNMP。而PBNM是一種事件驅(qū)動(dòng)的網(wǎng)管協(xié)議，根據(jù)事件和條件執(zhí)行行為，整體上只包括部分技術(shù)細(xì)節(jié)，具有關(guān)于事件是否滿足預(yù)期條件以及關(guān)于事件自身信息的具體知識(shí)。

網(wǎng)絡(luò)需求的是一種基于意圖而非具體細(xì)節(jié)的新型交互機(jī)制，用于用戶與網(wǎng)絡(luò)之間。一種基于意圖的協(xié)議語(yǔ)言可以輕松描述用戶與網(wǎng)絡(luò)管理系統(tǒng)之間的不同意圖。意圖是一個(gè)高級(jí)的抽象策略，與技術(shù)細(xì)節(jié)無(wú)關(guān)?；贗DN管理（IDN management，IDNM）能夠提供一個(gè)意圖驅(qū)動(dòng)的、完全自治的主動(dòng)網(wǎng)管協(xié)議，實(shí)現(xiàn)高度自動(dòng)化。類似于服務(wù)水平協(xié)議，以業(yè)務(wù)規(guī)格為粒度。

從傳統(tǒng)SNMP與PBNM的對(duì)比可以看出，傳統(tǒng)SNMP以命令行為單位進(jìn)行手動(dòng)操作，在配置上具有一定自動(dòng)化但不具備響應(yīng)能力;而第二類PBNM以策略為單位實(shí)現(xiàn)自主化且能根據(jù)有限事件與情況進(jìn)行響應(yīng)。IDNM是PBNM網(wǎng)管協(xié)議的進(jìn)化，也是SDN、NFV等先進(jìn)技術(shù)和框架在未來(lái)網(wǎng)絡(luò)中持續(xù)發(fā)揮作用的一種新范式。因此，IDN可能將人工智能作為一種服務(wù)提供給用戶。

2.2.3 IDN驗(yàn)證

（1） 可行性驗(yàn)證

可行性驗(yàn)證是用來(lái)驗(yàn)證策略在網(wǎng)絡(luò)中是否能夠成功執(zhí)行的過(guò)程，其中包括策略間的無(wú)沖突（內(nèi)部）以及策略與底層約束的無(wú)沖突（外部）［3］。為了實(shí)現(xiàn)這種驗(yàn)證，一種新型的NBI被提出，該接口借鑒了承諾理論，并以插件形式嵌入到NBI中［4］。在實(shí)現(xiàn)意圖一致性的實(shí)時(shí)協(xié)同編輯算法中，根據(jù)一致性模型中的因果一致性、結(jié)果一致性和操作意圖一致性的分類，給出了操作意圖一致性的維護(hù)路線圖［7］。而在沖突檢測(cè)方面，LUMI［23］方案在確認(rèn)成功提取實(shí)體后，分析Nile意圖即增量意圖部署所產(chǎn)生的矛盾［8］。同時(shí)，文獻(xiàn)［24］提出一個(gè)方案來(lái)學(xué)習(xí)操作員表達(dá)的網(wǎng)絡(luò)行為，并提供用戶友好的界面來(lái)輔助意圖具體化的校驗(yàn)過(guò)程，包括3個(gè)階段：實(shí)體提取、意圖轉(zhuǎn)換和意圖部署。

（2） 有效性驗(yàn)證

有效性驗(yàn)證是驗(yàn)證策略是否能夠?qū)崿F(xiàn)對(duì)網(wǎng)絡(luò)的需求，包括策略到配置文件的有效轉(zhuǎn)換（離線）和策略到轉(zhuǎn)發(fā)行為的有效執(zhí)行（在線）。網(wǎng)絡(luò)建模是一種判斷網(wǎng)絡(luò)策略有效性的方法，通過(guò)對(duì)數(shù)據(jù)平面的網(wǎng)絡(luò)狀態(tài)進(jìn)行建模，例如對(duì)防火墻、負(fù)載均衡等網(wǎng)絡(luò)功能進(jìn)行建模，然后依據(jù)所構(gòu)建的模型判斷網(wǎng)絡(luò)是否違反網(wǎng)絡(luò)策略。VeriDP是部署在控制面和數(shù)據(jù)面之間的代理，將控制面上的所有規(guī)則配置抽象成一個(gè)路徑表，并通過(guò)為數(shù)據(jù)分組打標(biāo)簽的方式來(lái)驗(yàn)證轉(zhuǎn)發(fā)行為的有效性［12］。另外，VeriFlow層被設(shè)計(jì)在SDN控制器和轉(zhuǎn)發(fā)設(shè)備之間，用于獲取網(wǎng)絡(luò)演進(jìn)時(shí)的快照，并在插入、修改或刪除每個(gè)規(guī)則時(shí)動(dòng)態(tài)檢查網(wǎng)絡(luò)不變量的有效性。VeriFlow引入增量算法來(lái)搜索可能出現(xiàn)的錯(cuò)誤，以保證數(shù)百微秒內(nèi)的實(shí)時(shí)響應(yīng)，其中的關(guān)鍵技術(shù)包括數(shù)學(xué)建模、快速的規(guī)則檢查和分析［17，25］。此外，還有聯(lián)合驗(yàn)證的方法，將可行性和有效性的驗(yàn)證技術(shù)聯(lián)合使用，以更全面地保障網(wǎng)絡(luò)配置的全局性能。為了滿足網(wǎng)絡(luò)配置的要求，往往需要多種驗(yàn)證技術(shù)的聯(lián)合使用。

綜上所述，關(guān)于IDN的研究主要分為轉(zhuǎn)譯和驗(yàn)證兩個(gè)方向。部分研究在這兩個(gè)方向上交叉并重疊，例如轉(zhuǎn)譯中的表征模式?jīng)Q定了驗(yàn)證時(shí)采用的技術(shù)。

3 IDN生命周期環(huán)路

意圖實(shí)現(xiàn)涉及從用戶發(fā)起到其意圖在網(wǎng)絡(luò)中實(shí)現(xiàn)的功能。意圖全生命周期及其主要功能分為3個(gè)空間，分別是用戶空間、意圖空間和網(wǎng)絡(luò)空間，如圖2所示。

用戶空間：用于生成意圖的用戶接口，具備允許用戶表達(dá)意圖和觀察IDN狀態(tài)的功能。在這個(gè)空間中，用戶可以評(píng)估結(jié)果并確定意圖是否具有預(yù)期的效果。

意圖空間：用于彌合用戶和網(wǎng)絡(luò)運(yùn)營(yíng)商之間的差距。在這個(gè)空間中，意圖被轉(zhuǎn)換為策略，并使用優(yōu)化算法進(jìn)行優(yōu)化。同時(shí)，還具備分析和匯總來(lái)自網(wǎng)絡(luò)的觀察結(jié)果的功能，以驗(yàn)證網(wǎng)絡(luò)是否符合意圖，并在必要時(shí)采取糾正措施。

網(wǎng)絡(luò)空間：涉及傳統(tǒng)的編排、配置、監(jiān)視和測(cè)量功能，用于觀察意圖對(duì)網(wǎng)絡(luò)的影響。

這3個(gè)空間之間的“內(nèi)部環(huán)路”代表著閉環(huán)自動(dòng)化，使得網(wǎng)絡(luò)配置可以根據(jù)需要進(jìn)行調(diào)整。而IDN的“外部環(huán)路”延伸到用戶空間，用戶可以根據(jù)IDN的報(bào)告和反饋來(lái)調(diào)整其意圖。

綜合來(lái)看，IDN的設(shè)計(jì)通過(guò)用戶空間、意圖空間和網(wǎng)絡(luò)空間的相互配合，實(shí)現(xiàn)了用戶意圖生成和網(wǎng)絡(luò)配置的有效連接，并提供了閉環(huán)自動(dòng)化的能力，從而更好地滿足用戶需求和網(wǎng)絡(luò)運(yùn)營(yíng)的要求。

4 IDN架構(gòu)與關(guān)鍵技術(shù)實(shí)現(xiàn)

完整的IDN架構(gòu)應(yīng)該包括應(yīng)用層、意圖層、網(wǎng)絡(luò)層，以及北向接口和南向接口。意圖層是其中一個(gè)核心層級(jí)，主要包括兩個(gè)關(guān)鍵技術(shù)：IDN轉(zhuǎn)譯技術(shù)和IDN驗(yàn)證技術(shù)，如圖3所示。

4.1 IDN意圖表征與識(shí)別

意圖與其規(guī)范語(yǔ)言是單獨(dú)定義的。意圖轉(zhuǎn)譯方法與意圖的表達(dá)方式相關(guān)，存在技術(shù)性和非技術(shù)性的差異。技術(shù)性表達(dá)意圖遵循一定的范式，基于圖形表達(dá)的意圖可以采用圖組合的方式進(jìn)行轉(zhuǎn)譯和沖突分解;非技術(shù)性意圖則可使用自然語(yǔ)言表達(dá)，并可基于自然語(yǔ)言識(shí)別和知識(shí)圖譜的構(gòu)建方法。

意圖來(lái)源一方面是用戶業(yè)務(wù)的外部輸入，另一部分則由網(wǎng)絡(luò)的日志、告警信息或運(yùn)行態(tài)勢(shì)內(nèi)生產(chǎn)生。為了轉(zhuǎn)換意圖，需要將人類特定語(yǔ)言翻譯成機(jī)器語(yǔ)言。使用深度神經(jīng)網(wǎng)絡(luò)的一般語(yǔ)言理解能力的最新進(jìn)展已經(jīng)取得了長(zhǎng)足的進(jìn)步［26］。意圖層將應(yīng)用請(qǐng)求經(jīng)由意圖轉(zhuǎn)譯模塊轉(zhuǎn)譯成意圖原語(yǔ)（五元組的形式），并構(gòu)建意圖知識(shí)圖譜。同時(shí)，通過(guò)抽象底層設(shè)備網(wǎng)絡(luò)資源構(gòu)建網(wǎng)絡(luò)知識(shí)圖譜。通過(guò)意圖和網(wǎng)絡(luò)圖譜的組合，并經(jīng)過(guò)意圖驗(yàn)證引擎進(jìn)行意圖一致性校驗(yàn)，系統(tǒng)輸出可執(zhí)行且無(wú)沖突的意圖。

在此，給出一種可行的意圖表征方法。例如，網(wǎng)絡(luò)意圖可以按照意圖五元組的形式進(jìn)行描述：lt;Regiongt;lt;Attributegt;lt;Objectgt;lt;Operationgt;lt;Resultgt;。其中，lt;Regiongt;描述業(yè)務(wù)標(biāo)識(shí)，例如鏈?zhǔn)綐I(yè)務(wù)、語(yǔ)音業(yè)務(wù)、視頻業(yè)務(wù)等;lt;Attributegt;描述域內(nèi)或域間任務(wù)等;lt;Objectgt;描述源網(wǎng)絡(luò)域、源節(jié)點(diǎn)、宿網(wǎng)絡(luò)域、宿節(jié)點(diǎn)、創(chuàng)建時(shí)延敏感網(wǎng)絡(luò)（time sensitive networking，TSN）業(yè)務(wù)接口等;lt;Operationgt;表示執(zhí)行的操作;lt;Resultgt;描述所期待的狀態(tài)，包括鏈路標(biāo)識(shí)、鏈路狀態(tài)、時(shí)延、丟包率、當(dāng)前帶寬等，如圖4所示。

4.2 IDN策略推理與執(zhí)行

策略推理模塊的功能是將無(wú)沖突的意圖推理變成邏輯策略。主要思想是基于信念-目標(biāo)-意圖（belief-desire-intention， BDI）推理模型。BDI是一種模擬人類做決策的邏輯模型［27］。信念表示智能體的狀態(tài)和所處世界中擁有的信息;目標(biāo)表示智能體期望達(dá)到的目標(biāo)，包括哪些狀態(tài);意圖表示主體能夠做什么，打算做什么。當(dāng)網(wǎng)絡(luò)事件發(fā)生或外部用戶提出意圖請(qǐng)求后，通過(guò)信念修正、目標(biāo)協(xié)商、意圖過(guò)濾、計(jì)劃選擇，最終選擇合適的能實(shí)現(xiàn)意圖的動(dòng)作。行動(dòng)是將網(wǎng)元的能力抽象封裝形成原子能力。

BDI代理中的實(shí)際推理過(guò)程如圖5所示。一個(gè)BDI代理中包含7個(gè)主要組成部分。如圖5所示為BDI決策的過(guò)程。首先，BDI代理通過(guò)傳感器感知來(lái)自其環(huán)境的事件，并使用信念修正函數(shù)更新其信念庫(kù)。第二，通過(guò)期望優(yōu)化函數(shù)，將信念和主體意圖一起用于更新主體的期望（目標(biāo)）。然后，通過(guò)意圖過(guò)濾選擇成為意圖的目標(biāo)。最后，通過(guò)行動(dòng)選擇功能選擇一個(gè)適當(dāng)?shù)男袆?dòng)序列或計(jì)劃，以實(shí)現(xiàn)意圖。

4.3 IDN策略可行性與有效性驗(yàn)證

隨著抽象級(jí)別的增加，應(yīng)用層會(huì)產(chǎn)生更多的意圖。在某些用例中，可能需要多種意圖共存。意圖表征過(guò)程中存在多重挑戰(zhàn)，其中一些意圖可能相互沖突，因此消除這些沖突并確保業(yè)務(wù)、網(wǎng)絡(luò)和意圖層之間的意圖協(xié)商是另一個(gè)挑戰(zhàn)—驗(yàn)證［3］。

但意圖的形式是不斷變化和轉(zhuǎn)換的，如圖6所示。由于低級(jí)別的限制，每次轉(zhuǎn)譯都會(huì)引入一些“失真”，因此必須在每個(gè)階段驗(yàn)證意圖，以確保整個(gè)連續(xù)轉(zhuǎn)譯過(guò)程中的正確性。從網(wǎng)絡(luò)和語(yǔ)言的角度給出了意圖的表達(dá)形式。

（1） 用戶意圖的自然語(yǔ)言表示：操作人員使用自然語(yǔ)言表示對(duì)網(wǎng)絡(luò)的操作意圖或?qū)W(wǎng)絡(luò)功能、性能的期望。

（2） 網(wǎng)絡(luò)意圖的領(lǐng)域特定語(yǔ)言表示：一種規(guī)范的表示網(wǎng)絡(luò)意圖的語(yǔ)言，可以由{領(lǐng)域，屬性，對(duì)象，操作，結(jié)果}五元組組成，其目的是標(biāo)準(zhǔn)化不規(guī)范的自然語(yǔ)言，從而明確網(wǎng)絡(luò)意圖。

（3） 策略規(guī)則的北向編程語(yǔ)言表示：將意圖表征的抽象目標(biāo)精化為具體的網(wǎng)絡(luò)功能或算法。從邏輯上講，這些網(wǎng)絡(luò)功能和算法是基于控制器對(duì)網(wǎng)絡(luò)的邏輯視圖來(lái)操作的，并且還沒(méi)有安裝在交換機(jī)上。

（4） 轉(zhuǎn)發(fā)行為的南向編程語(yǔ)言表示：包括OpenFlow、sFLow、NetFlow、SNMP等南向接口協(xié)議。此時(shí)的意圖體現(xiàn)在實(shí)際數(shù)據(jù)包的轉(zhuǎn)發(fā)行為上，交換機(jī)根據(jù)裝配的規(guī)則處理并轉(zhuǎn)發(fā)到來(lái)的數(shù)據(jù)包。

IDN驗(yàn)證包括上述語(yǔ)言之間的轉(zhuǎn)換，驗(yàn)證的目標(biāo)是保障意圖的實(shí)現(xiàn)，然而這是困難的，實(shí)際上往往只能保障其中部分的“相等”。

經(jīng)過(guò)各模塊的運(yùn)行，用戶意圖最終變?yōu)闄C(jī)器可識(shí)別的策略范式。這里的意圖策略要分成邏輯策略和物理策略。原始的用戶意圖輸入轉(zhuǎn)變?yōu)檫壿嫴呗裕@些意圖可能相互包含或者相互沖突，因此需要對(duì)這些意圖的沖突進(jìn)行分解（意圖驗(yàn)證）。實(shí)現(xiàn)物理策略的過(guò)程中，結(jié)合網(wǎng)絡(luò)態(tài)勢(shì)來(lái)確保意圖的百分百執(zhí)行（策略驗(yàn)證）。傳統(tǒng)的驗(yàn)證手段可以分為可行性驗(yàn)證和有效性驗(yàn)證、在線驗(yàn)證和離線驗(yàn)證、內(nèi)部驗(yàn)證和外部驗(yàn)證這幾類。在IDN中，可行性驗(yàn)證和有效性驗(yàn)證能夠更好地描述驗(yàn)證的功能，可行性主要針對(duì)邏輯策略，有效性針對(duì)物理策略。

最后，網(wǎng)絡(luò)層將數(shù)據(jù)收集、匯總并輸送到意圖使能層的意圖引擎和SDN控制器，為信息反饋和策略配置提供參數(shù)。

5 基于IDN的網(wǎng)絡(luò)安全服務(wù)編排

IDN在網(wǎng)絡(luò)安全領(lǐng)域已經(jīng)得到了廣泛的應(yīng)用。其中，意圖驅(qū)動(dòng)云服務(wù)（intent-based cloud services，IBCS）結(jié)合網(wǎng)絡(luò)安全功能的框架和NFV的體系結(jié)構(gòu)框架接口，為安全服務(wù)提供商創(chuàng)造了一個(gè)自動(dòng)化的虛擬化安全系統(tǒng)。這種系統(tǒng)通過(guò)提供一種基于消費(fèi)者意圖的直觀方法來(lái)使用安全服務(wù)，使得安全服務(wù)的使用者能夠以簡(jiǎn)單、快速和靈活的方式獲得基于云的安全服務(wù)［5］。例如，在基于意圖的安全服務(wù)中，安全服務(wù)提供者和使用者都可以建立安全策略，而無(wú)需具備專家級(jí)的安全知識(shí)。這種服務(wù)能夠減少配置工作和時(shí)間，快速實(shí)施所需的安全策略到相關(guān)的網(wǎng)絡(luò)安全功能中。

此外，INTPOL提供了統(tǒng)一的意圖規(guī)則，使網(wǎng)絡(luò)管理員能夠從底層網(wǎng)絡(luò)控制器的復(fù)雜格式中解放出來(lái)［28］。INTPOL還開發(fā)了一種網(wǎng)絡(luò)服務(wù)解決方案，通過(guò)使用有界形式模型來(lái)進(jìn)行網(wǎng)絡(luò)服務(wù)合規(guī)性檢查，顯著降低了數(shù)據(jù)平面級(jí)別流規(guī)則沖突檢查的復(fù)雜性，從而增強(qiáng)了網(wǎng)絡(luò)安全。

上述研究只部分應(yīng)用了IDN的關(guān)鍵技術(shù)。主要集中在SDN和云服務(wù)架構(gòu)中，因?yàn)槠淠軌蛱峁└玫哪芰Φ某橄蟆?/p>

5.1 網(wǎng)絡(luò)安全管理需求

通信網(wǎng)絡(luò)在業(yè)務(wù)、休閑和日常生活中的重要性越來(lái)越顯著，而網(wǎng)絡(luò)系統(tǒng)上的網(wǎng)絡(luò)攻擊也在明顯增加。隨著網(wǎng)絡(luò)規(guī)模和復(fù)雜性的擴(kuò)大，各種網(wǎng)絡(luò)技術(shù)的安全問(wèn)題帶來(lái)了新的挑戰(zhàn)。① 網(wǎng)絡(luò)環(huán)境動(dòng)態(tài)性問(wèn)題：隨著新技術(shù)、新設(shè)備或新攻擊的出現(xiàn)，日新月異的業(yè)務(wù)應(yīng)用需求和攻擊手段使得應(yīng)對(duì)變得困難。② 安全設(shè)備復(fù)雜性問(wèn)題：多種類型的網(wǎng)絡(luò)安全設(shè)備配置和運(yùn)行變得復(fù)雜，管理這些設(shè)備需要高昂費(fèi)用。③ 安全策略不一致問(wèn)題：網(wǎng)絡(luò)環(huán)境的復(fù)雜性導(dǎo)致各系統(tǒng)之間的橫向和縱向交互頻繁，進(jìn)而導(dǎo)致策略之間出現(xiàn)冗余和沖突等問(wèn)題，嚴(yán)重影響策略執(zhí)行效率［29-30］。

為了面對(duì)諸如惡意攻擊、運(yùn)營(yíng)超負(fù)荷、錯(cuò)誤配置、設(shè)備故障等挑戰(zhàn)，網(wǎng)絡(luò)需要保持可接受的服務(wù)水平。彈性策略可以實(shí)現(xiàn)這一目標(biāo)，使得網(wǎng)絡(luò)組件能夠自主地、持續(xù)地調(diào)整其操作。IDN管理是一種自動(dòng)化網(wǎng)絡(luò)管理平臺(tái)，可以創(chuàng)建所需的狀態(tài)并執(zhí)行策略，并且具備實(shí)時(shí)監(jiān)控、識(shí)別和反應(yīng)來(lái)改變網(wǎng)絡(luò)條件的能力。如圖7所示，IDN安全服務(wù)編排系統(tǒng)的意圖來(lái)源有兩個(gè)部分：用戶外部輸入的意圖通常由自然語(yǔ)言構(gòu)成;通過(guò)多元數(shù)據(jù)采集得到的網(wǎng)絡(luò)事件生成的意圖。

系統(tǒng)通過(guò)抽象原子服務(wù)能力，并將原子服務(wù)注冊(cè)在區(qū)塊鏈上形成原子能力池，以便韌性推理引擎了解原子能力的信息。原子能力和韌性推理引擎不必部署在同一位置，因此采用遠(yuǎn)程服務(wù)調(diào)用的方式操作各類原子。例如，鏈路限制原子、流限制原子、網(wǎng)絡(luò)協(xié)議（internet protocol， IP）限制原子等，通過(guò)調(diào)用包含控制對(duì)象身份（identification， ID）的JS對(duì)象簡(jiǎn)譜（JavaScript object notation， JSON）文本來(lái)操作原子。

因此，以IDN網(wǎng)絡(luò)安全服務(wù)編排為例，仿真了從用戶產(chǎn)生保護(hù)網(wǎng)絡(luò)意圖開始的全流程，直至推理防御策略及部署流程。在實(shí)驗(yàn)環(huán)境設(shè)置中選用了ONOS控制器和Mininet來(lái)創(chuàng)建網(wǎng)絡(luò)拓?fù)洌⒛M了IP和網(wǎng)絡(luò)泛洪攻擊。同時(shí)，特定的僵尸主機(jī)在生成的網(wǎng)絡(luò)拓?fù)渲须S機(jī)攻擊其他主機(jī)。鏈路檢測(cè)、入侵檢測(cè)、防御手段等功能由ONOS控制器、sFlow-RT 3.0、Snort等軟件提供，以供基于BDI的策略推理模塊進(jìn)行編排。抽象了網(wǎng)絡(luò)中的功能，形成了抽象的韌性原子能力，其中包括網(wǎng)絡(luò)速率限制原子能力、IP的速率限制原子能力，以及Flow的限制原子能力。

5.2 意圖轉(zhuǎn)譯結(jié)果

基于Mininet搭建的網(wǎng)絡(luò)拓?fù)?，包含?個(gè)交換機(jī)和6個(gè)主機(jī)。首先，假設(shè)用戶產(chǎn)生了以下意圖：“啟動(dòng)安全等級(jí)的保護(hù)業(yè)務(wù)，時(shí)間要求從2022年10月3日21時(shí)22分至2022年10月5日12時(shí)30分”。由于用戶可能對(duì)網(wǎng)絡(luò)缺乏專業(yè)知識(shí)或無(wú)法判斷攻擊的源頭，意圖轉(zhuǎn)譯模塊挖掘了用戶意圖的深層含義，并按照結(jié)構(gòu)化的方式對(duì)用戶意圖進(jìn)行了擴(kuò)展。標(biāo)注了安全等級(jí)以及可能的源地址和目的地址。經(jīng)過(guò)意圖的轉(zhuǎn)譯后，結(jié)果如圖8所示。

5.3 意圖策略部署結(jié)果

當(dāng)用戶下發(fā)了保護(hù)業(yè)務(wù)的意圖后，網(wǎng)絡(luò)監(jiān)控模塊會(huì)通過(guò)持續(xù)監(jiān)聽網(wǎng)絡(luò)流量各項(xiàng)參數(shù)指標(biāo)的變化趨勢(shì)，觸發(fā)基于BDI推理模塊，對(duì)網(wǎng)絡(luò)流量進(jìn)行推理判斷，并執(zhí)行防御策略，最終實(shí)現(xiàn)網(wǎng)絡(luò)攻擊流的阻斷，使流量恢復(fù)到正常水平。

OpenFlow協(xié)議定義了多種消息類型，用于控制器和交換機(jī)之間的通信［31］。Packet_In消息是其中一種非常重要的消息類型，其主要作用是信息通報(bào)，當(dāng)交換機(jī)收到一個(gè)不知道如何處理的數(shù)據(jù)包時(shí)，可以使用Packet_In消息將數(shù)據(jù)包的一部分或全部發(fā)送給控制器。這樣，控制器可以根據(jù)其當(dāng)前的策略和流表來(lái)決定如何處理該數(shù)據(jù)包。雖然Packet_In消息在SDN中起到了非常關(guān)鍵的作用，但也可以成為攻擊的載體。攻擊者可以利用其發(fā)起不同類型的攻擊，包括但不限于分布式拒絕服務(wù)（distributed denial of service， DDoS）攻擊和控制器資源消耗攻擊，除了直接向控制器發(fā)送偽造消息外，攻擊者還可以通過(guò)向網(wǎng)絡(luò)發(fā)送大量特制的數(shù)據(jù)包來(lái)間接引發(fā)大量的Packet_In消息。例如，通過(guò)發(fā)送大量具有不同源/目的IP地址的數(shù)據(jù)包來(lái)嘗試填滿控制器的流表。背景流量是通過(guò)部署視頻服務(wù)器，用戶訪問(wèn)視頻服務(wù)器觀看視頻而生成的實(shí)時(shí)流量。

在實(shí)驗(yàn)中，選擇了兩種攻擊手段，一種是基于開源軟件LOIC（low orbit ion cannon）的網(wǎng)絡(luò)壓力測(cè)試和DDoS攻擊應(yīng)用程序，用于測(cè)試網(wǎng)絡(luò)的性能和穩(wěn)定性，其允許用戶通過(guò)向目標(biāo)發(fā)送大量的網(wǎng)絡(luò)請(qǐng)求來(lái)測(cè)試網(wǎng)絡(luò)的負(fù)載能力。然而，其也被用作一個(gè)攻擊工具來(lái)進(jìn)行非法的拒絕服務(wù)攻擊。二是構(gòu)造了Packet_in消息，其偽代碼如算法1所示。

如圖9所示，考慮了3種場(chǎng)景以評(píng)估不同的安全策略，3種安全策略的目的都是快速將網(wǎng)絡(luò)中的異常流量限制在可接受的范圍內(nèi)?？梢杂^察到，流量開始一段時(shí)間處于穩(wěn)定傳輸狀態(tài)，即網(wǎng)絡(luò)正常流量的產(chǎn)生。隨后，網(wǎng)絡(luò)流量迅速升高并保持，即網(wǎng)絡(luò)攻擊流量的產(chǎn)生，此時(shí)BDI推理模塊內(nèi)部會(huì)生成網(wǎng)絡(luò)異常適用的事件，表征為event（anomalousUsage（link）），隨后生成相信網(wǎng)絡(luò)異常使用的信念表征為BELα（anomalousUsage（link）），此時(shí)BDI推理模塊生成的目標(biāo)變?yōu)榛謴?fù)網(wǎng)絡(luò)到正常狀態(tài)并組織網(wǎng)絡(luò)攻擊的目標(biāo)或期望，表征為DESα（reCover（link））∧DESα（attackPrevent（link）），最終經(jīng)過(guò)BDI的行動(dòng)選擇，下發(fā)防御策略，依次限制link、IP和攻擊流，表征為INTα（Linklimter（link））∨INTα（IPlimter）∨INTα（Flowlimter）。

首先，限制異常鏈路;其次，找到異常IP地址，并進(jìn)一步限制異常流量。最后，準(zhǔn)確地識(shí)別異常流量。如圖9所示，20 s左右，執(zhí)行安全策略已足以限制對(duì)受害IP地址的訪問(wèn)。檢測(cè)到受害者IP地址仍然異常，接著調(diào)用深度報(bào)文檢測(cè)和攻擊源跟蹤功能，逐步減少異常流量，直至完全恢復(fù)到穩(wěn)定狀態(tài)。此時(shí)，防御策略完成，網(wǎng)絡(luò)流量迅速下降，攻擊流量消失，而正常流量保持傳輸。最后，將轉(zhuǎn)譯后的意圖部署到網(wǎng)絡(luò)中，從策略部署的結(jié)果來(lái)看，相關(guān)的攻擊流被切斷，而網(wǎng)絡(luò)中其他的流保持正常。

圖10對(duì)比了事件條件動(dòng)作（event-condition-action， ECA）算法和BDI算法在策略執(zhí)行成功和失敗后的流量變化情況。即使限制函數(shù)失敗，BDI算法也會(huì)更新自身的信念，并在數(shù)秒后重新執(zhí)行限制函數(shù)，直到流量降低到閾值以下。而在ECA算法中，在策略執(zhí)行成功的時(shí)候和BDI算法有著相同的性能。但是如果限制失敗，則不再嘗試降低流量直到下一次異常檢測(cè)事件周期。這個(gè)模擬結(jié)果表明，在面對(duì)網(wǎng)絡(luò)流量異常的情況下，BDI策略可能會(huì)比ECA算法更有效，更適用于面向策略執(zhí)行過(guò)程中出現(xiàn)的異常（執(zhí)行失敗）。

綜上所述，IDN的實(shí)踐案例包括意圖外部輸入過(guò)程，通過(guò)轉(zhuǎn)譯將自然語(yǔ)言表征的意圖表征為領(lǐng)域特定語(yǔ)言，補(bǔ)充了自然語(yǔ)言表達(dá)缺失的內(nèi)容。再通過(guò)BDI理論以輸入意圖為對(duì)象，依據(jù)網(wǎng)絡(luò)事件觸發(fā)防御策略，并在調(diào)度韌性原子后實(shí)現(xiàn)DDoS防御。因此，此案例包含意圖的生成、轉(zhuǎn)譯、策略制定和部署等過(guò)程，反應(yīng)出IDN的全生命周期。

6 結(jié) 論

IDN是一項(xiàng)極具潛力的網(wǎng)絡(luò)技術(shù)，受到開源社區(qū)及行業(yè)的普遍重視。鑒于目前還沒(méi)有對(duì)IDN形成一個(gè)統(tǒng)一和清晰的界定，且IDN使能技術(shù)尚在探索之中，本文提出IDN方法論，結(jié)合IDN研究現(xiàn)狀及發(fā)展趨勢(shì)，闡述IDN標(biāo)準(zhǔn)流程及IDN使能技術(shù)初步實(shí)現(xiàn)方法。IDN也面臨閉環(huán)與自動(dòng)部署的嚴(yán)重挑戰(zhàn)，需要對(duì)IDN各領(lǐng)域進(jìn)行相關(guān)研究以實(shí)現(xiàn)服務(wù)的靈活定制、統(tǒng)一網(wǎng)絡(luò)體系結(jié)構(gòu)，公開可編程網(wǎng)絡(luò)協(xié)議，資源靈活可重構(gòu)，網(wǎng)絡(luò)管理方法自動(dòng)智能。

參考文獻(xiàn)

［1］ YOU X H， WANG C X， HUANG J， et al. Towards 6G wireless communication networks： vision， enabling technologies， and new paradigm shifts［J］. Science China Information Sciences， 2021， 64： 110301.

［2］ PANG L， YANG C G， CHEN D Y， et al. A survey on intent-driven networks［J］. IEEE Access， 2020， 8： 22862-22873.

［3］ SONG Y B， YANG C G， ZHANG J M， et al. Full-life cycle intent-driven network verification： challenges and approaches［J］. IEEE Network， 2023， 37（5）： 145-153.

［4］ MEHMOOD K， KRALEVSKA K， PALMA D. Intent-driven autonomous network and service management in future networks： a structured literature review［J］. Computer Networks， 2023， 220： 109477.

［5］ KIM J， KIM E， YANG J， et al. IBCS： intent-based cloud services for security applications［J］. IEEE Communications Magazine， 2020， 58（4）： 45-51.

［6］ TIAN B C， ZHANG X Y， ZHAI E N， et al. Safely and automatically updating in-network ACL configurations with intent language［C］∥Proc.of the ACM Special Interest Group on Data Communication， 2019： 214-226.

［7］ CHUNG C， JEONG J P. A design of IoT device configuration translator for intent-based IoT-cloud services［C］∥Proc.of the 22nd International Conference on Advanced Communication Techno-logy， 2020： 52-56.

［8］ OpenDayLight. Nemo user guide［EB/OL］. ［2023-05-11］. http：∥test-odl-docs.readthedocs.io/en/latest/user-guide/nemo-user-guide.html.

［9］ CHOWDHARY A， SABUR A， VADNERE N， et al. Intent-driven security policy management for software-defined systems［J］. IEEE Trans.on Network and Service Management， 2022， 19（4）： 5208-5223.

［10］ SCHEID J， MACHADO C， FRANCO F， et al. INSpIRE： integrated NFV-based intent refinement environment［C］∥Proc.of the IFIP/IEEE Symposium on Integrated Network and Service Management， 2017： 186-194.

［11］ ABHASHKUMAR A， KANG J M， BANERJEE S， et al. Supporting diverse dynamic intent-based policies using JANUS［C］∥Proc.of the 13th International Conference on Emerging Networking Experiments and Technologies， 2017， 14： 296-309.

［12］ YANG C G， MI X R， OUYANG Y， et al. SMART intent-driven network management［J］. IEEE Communications Magazine， 2023， 61（1）： 106-112.

［13］ LIYANAGE M， PHAM Q V， DEV K， et al. A survey on zero touch network and service management （ZSM） for 5G and beyond networks［J］. Journal of Network and Computer Applications， 2022， 203： 103362.

［14］ MEHMOOD K， KRALEVSKA K， PALMA D. Intent-driven autonomous network and service management in future cellular networks： a structured literature review［J］. Computer Networks， 2023， 220： 109477.

［15］ LIU X M， LI D Q， MA M Q， et al. Network resilience［J］. Physics Reports， 2022， 971： 1-108.

［16］ ZEYDAN E， TURK Y. Recent advances in intent-based networking： a survey［C］∥Proc.of the IEEE 91st Vehicular Technology Conference， 2020.

［17］ AREZOUMAND S， DZEPAROSKA K， BANNAZADEH H， et al. MD-IDN： Multi-domain intent-driven networking in software-defined infrastructures［C］∥Proc.of the 13th International Conference on Network and Service Management， 2017.

［18］ SHAGHAGHI A， KAAFAR M A， BUYYA R. Software-defined network （SDN） data plane security： issues， solutions， and future directions［M］. GUPTA B， PEREZ G， AGRAWAI D， et al， ed. Cham： Handbook of Computer Networks and Cyber Security， 2020： 341-387.

［19］ 張佳鳴， 楊春剛， 龐磊， 等. 意圖物聯(lián)網(wǎng)［J］. 物聯(lián)網(wǎng)學(xué)報(bào)， 2019， 3（3）： 5-10.

ZHANG J M， YANG C G， PANG L， et al. Intent driven Internet of Things［J］. Chinese Journal on Internet of Things， 2019， 3（3）： 5-10.

［20］ 何發(fā)智， 呂曉， 蔡維緯. 支持操作意圖一致性的實(shí)時(shí)協(xié)同編輯算法綜述［J］. 計(jì)算機(jī)學(xué)報(bào)， 2018， 41（4）： 840-867.

HE F Z， LYU X， CAI W W， Survey of real-time collaborative editing algorithms supporting operation intention consistency［J］. Chinese Journal of Computer， 2018， 41（4）： 840-867.

［21］ ADDAD R， DUTRA D， BAGAA M. Benchmarking the ONOS Intent interfaces to ease 5G service management［C］∥Proc.of the IEEE Global Communications Conference， 2018.

［22］ RFC 8994. An autonomic control plane （ACP）［S］." New York： Internet Engineering Task Force， 2021.

［23］ JACOBS S， PFITSCHER J， RIBEIRO H. Deploying natural language intents with lumi［C］∥Proc.of the ACM SIGCOMM Conference Posters and Demos， 2019： 82-84.

［24］ JACOBS A， FERREIRA R， PITSCHER R. Refining network intents for self-driving networks［C］∥Proc.of the Afternoon Workshop on Self-Driving Networks， 2018： 15-21.

［25］ 朱夢(mèng)迪， 束永安. 軟件定義網(wǎng)絡(luò)中控制數(shù)據(jù)平面一致性的驗(yàn)證［J］. 計(jì)算機(jī)應(yīng)用， 2020， 40（6）： 1751-1754.

ZHU M D， SHU Y A. Verification of control-data plane consistency in software defined network［J］. Journal of Computer Applications， 2020， 40（6）： 1751-1754.

［26］ 王敬宇， 周鋮， 張蕾， 等. 知識(shí)定義的意圖網(wǎng)絡(luò)自治［J］. 電信科學(xué)， 2021， 37（9）： 1-13.

WANG J Y， ZHOU C， ZHANG L， et al. Knowledge-defined intent-based network autonomy［J］. Telecommunications Science， 2021， 37（9）： 1-13.

［27］ NUNES I， SCHARDONG F， SCHAEFFER-FILHO A. BDI2DoS： an application using collaborating BDI agents to combat DDoS attacks［J］. Journal of Network and Computer Applications， 2017， 84： 14-24.

［28］ CHOWDHARY A， SABUR A， VADNERE N， et al. Intent-dri-ven security policy management for software-defined systems［J］. IEEE Trans.on Network Service Management， 2022， 19（4）： 5208-5223.

［29］ OOI E， BEURAN R， KURODA T， et al. Intent-driven secure system design： methodology and implementation［J］. Computers amp; Security， 2023， 124： 102955.

［30］ SHARMA Y， BHAMARE D， SASTRY N， et al. SLA management in intent-driven service management systems： a taxonomy and future directions［J］. ACM Computing Surveys， 2023， 55（13）： 292.

［31］ LARA A， KOLASANI A， RAMAMURTHY B. Network innovation using openflow： a survey［J］. IEEE Communications Surveys amp; Tutorials， 2013， 16（1）： 493-512.

作者簡(jiǎn)介

宋延博（1994—），男，博士研究生，主要研究方向?yàn)橐鈭D驅(qū)動(dòng)網(wǎng)絡(luò)、網(wǎng)絡(luò)安全。

高先明（1988—），男，高級(jí)工程師，博士，主要研究方向?yàn)槲磥?lái)網(wǎng)絡(luò)體系結(jié)構(gòu)、智能路由協(xié)議、網(wǎng)絡(luò)安全。

楊春剛（1982—），男，教授，博士研究生導(dǎo)師，博士，主要研究方向?yàn)橐鈭D驅(qū)動(dòng)智簡(jiǎn)網(wǎng)絡(luò)、智能網(wǎng)絡(luò)信息體系、軟件定義網(wǎng)絡(luò)自治、認(rèn)知天地網(wǎng)絡(luò)融合、網(wǎng)絡(luò)通信博弈論。

李鵬程（1999—），男，碩士研究生，主要研究方向?yàn)橐鈭D驅(qū)動(dòng)網(wǎng)絡(luò)、網(wǎng)絡(luò)韌性。