TopoSleuth, un framework di difesa multilivello basato su esche per mettere in sicurezza la scoperta della topologia SDN

Perché contano gli stratagemmi della mappa invisibile

La vita digitale moderna si basa su reti enormi e in continuo cambiamento. In molti data center e piattaforme cloud, un approccio recente chiamato Software‑Defined Networking (SDN) consente agli ingegneri di indirizzare il traffico via software anziché intervenire su singoli router e switch. Questa flessibilità è potente, ma ha un rovescio della medaglia: il controller centrale dipende da una mappa interna di come tutto è connesso. Se un attaccante manomette silenziosamente quella mappa, può deviare dati, nascondere porzioni della rete o mettere fuori servizio servizi. Questo articolo presenta TopoSleuth, un guardiano leggero per quella mappa, progettato per individuare e bloccare tali stratagemmi in tempo reale.

Un nuovo modo di gestire le reti

Nello SDN, l’intelligenza della rete risiede in un controller centrale. I dispositivi fisici nel «data plane» si limitano a inoltrare i pacchetti secondo regole inviate dal controller. Per svolgere il proprio compito, il controller deve scoprire costantemente quali switch, link e host esistono e come sono connessi. Lo fa usando piccoli messaggi di housekeeping che gli switch si scambiano e riportano indietro. Da quei rapporti, il controller costruisce un quadro semplificato della rete, che poi guida instradamento, bilanciamento del carico, regole di firewall e altro. L’intero sistema presuppone che questi rapporti siano onesti e completi — ipotesi che si rivela pericolosa.

Come gli attaccanti riscrivono la mappa della rete

I messaggi usati per scoprire link e tracciare gli host non hanno controlli di sicurezza di base come protezione dell’integrità o autenticazione forte. Studi precedenti hanno mostrato che una macchina ostile o uno switch compromesso possono falsificare, ritrasmettere, riprodurre o sopprimere questi messaggi per compiere quelli che vengono chiamati attacchi di avvelenamento della topologia. Possono inventare link inesistenti, nasconderne di reali o dirottare l’identità e la posizione degli host. Attacchi più recenti possono perfino «congelare» la vista del controller facendogli credere a una mappa vecchia e errata, oppure combinare più trucchi per bypassare difese precedenti. Gli schemi di protezione esistenti coprono solo un sottoinsieme di attacchi, richiedono modifiche all’hardware o ai protocolli degli switch, o consumano molte risorse di calcolo e rete.

Link esca: micce nella mappa di rete

TopoSleuth colma queste lacune con un design multilivello che non richiede nuovo hardware né crittografia pesante. La sua caratteristica più distintiva è un Decoy Engine che pianta link falsi — voci che esistono solo all’interno della mappa del controller e mai sui cavi reali. Poiché solo il controller conosce quali link sono esche, qualsiasi tentativo di «attivarne» uno in un rapporto è un chiaro segnale di attività malevola. Queste esche fungono da micce: quando vengono toccate, segnalano immediatamente la presenza di traffico di discovery falsificato o ritrasmesso. Il sistema sceglie dove posizionare queste finzioni in modo strategico, preferendo parti importanti e stabili della topologia, e le rinnova silenziosamente nel tempo in modo che gli attaccanti non possano impararle ed evitarle.

Osservare il comportamento e ricontrollare i percorsi sospetti

Le esche sono solo una linea di difesa. Un Behavioral Profiler osserva continuamente come fluiscono i messaggi di discovery e come vengono usati i link. Esamina la frequenza di arrivo di questi messaggi, se appaiono da entrambe le estremità di un link, come cambia la loro temporizzazione, come si correlano con il traffico dati reale e come gli host si spostano tra le porte. Da ciò costruisce un punteggio di salute per ogni link e può individuare schemi che corrispondono ad attacchi avanzati, inclusi il congelamento della mappa o la modifica sottile dei tempi dei messaggi. Quando qualcosa sembra anomalo interviene un Multi‑Hop Validator. Invece di sondare tutto continuamente, invia pacchetti di test speciali solo lungo i percorsi dubbi per verificare se esistono davvero e si comportano come previsto. Un Topology Monitor poi combina le prove provenienti dalle esche, dai punteggi comportamentali e da questi controlli mirati per decidere se accettare, mettere in dubbio o isolare ogni link prima che il controller si affidi ad esso.

Mettere alla prova il guardiano

Gli autori hanno implementato TopoSleuth come applicazione aggiuntiva per un popolare controller SDN open‑source e l’hanno testato su una rete virtuale con 20 switch e 40 host. Hanno scatenato dieci diversi tipi di attacchi alla topologia tratti dalla letteratura di ricerca, che andavano da link falsi e ondate di messaggi a schemi complessi di ritrasmissione multi‑hop e manipolazione dei tempi. In questi esperimenti, TopoSleuth ha rilevato la grande maggioranza degli attacchi — spesso tutti nei casi più semplici — generando poche false segnalazioni. Ha individuato le minacce molto più rapidamente rispetto alle difese concorrenti, tipicamente entro poche decine di millisecondi, e ha aggiunto solo un sovraccarico modesto: circa il 6% in più di uso CPU e qualche decina di megabyte di memoria sul controller, con pochissimo traffico di rete aggiuntivo.

Che cosa significa per gli utenti comuni

Dal punto di vista dell’utente, la domanda più importante è se la rete può essere silenziosamente deviata contro di loro. Il messaggio centrale di TopoSleuth è che la «mappa mentale» del controller della rete può e deve essere difesa con la stessa serietà dei firewall o delle chiavi di cifratura. Combinando micce piantate, osservazione comportamentale continua e ricontrolli mirati, il framework offre una protezione ampia sia contro trucchi semplici sia contro sofisticate manomissioni della mappa, senza richiedere nuovo hardware né rallentare la rete. Man mano che lo SDN diventa più comune in cloud, data center e dorsali dei provider di servizi, strumenti come TopoSleuth potrebbero contribuire a garantire che le reti flessibili che alimentano le nostre app e i nostri servizi rimangano affidabili dietro le quinte.

Citazione: Shoaib, M., Amjad, M.F., Islam, F.u. et al. TopoSleuth, a decoy-based multi-layered defense framework for securing SDN topology discovery. Sci Rep 16, 8970 (2026). https://doi.org/10.1038/s41598-026-43048-z

Parole chiave: software defined networking, sicurezza delle reti, attacchi alla topologia, rilevamento delle intrusioni, difesa con esche