多廠商軟件定義網絡(SDN)項目OpenDaylight去年八月在其平臺發現一個關鍵漏洞后，開始意識到安全的重要性。

直到12月，這個被稱為Netdump的漏洞才得到修復，這種時間長度充分說明該項目還沒有專門的安全小組。漏洞發現者Gregory Pickett在嘗試而未能與OpenDaylight聯系后，他將漏洞張貼在一個流行的安全漏洞郵件列表Bugtraq中。

[[130899]]

雖然OpenDaylight仍處于早期階段，通常不會用于生產環境，但這個漏洞的出現說明，該項目必須部署安全響應流程。

“對于開源項目而言，這實際上是非常普遍的問題，”IIX產品安全工程師David Jorm，同時他也構建了OpenDaylight的安全響應團隊，“如果沒有具有較強安全背景的人員，他們通常就不會想到提供一種機制來報告漏洞。”

OpenDaylight項目于2013年4月推出，得到思科、IBM、微軟、愛立信和VMware等供應商的支持。該項目的目標的開發網絡產品來消除管理員需要對控制器和交換機進行的一些手動操作。

讓這些產品具有共同基礎可以有助于提高兼容性，因為企業往往會使用來自很多廠商的各種網絡設備。

安全將是SDN的重要組成部分，因為漏洞可能造成災難性的的后果。通過感染SDN控制器(高速度交換機數據包應該如何轉發的關鍵組件)，攻擊者可以獲得對整個網絡的控制。

Jorm稱：“這真的是非常高價值的攻擊目標。”

這個Netdump漏洞讓OpenDaylight開始采取行動，現在OpenDaylight有一個安全團隊，團隊成員來自不同供應商。OpenDaylight的技術指導委員會最近也批準了一個詳細的安全響應流程(+微信關注網絡世界)，基于OpenStack基金會使用的模型。

如果漏洞沒有公開報道披露，有些OpenDaylight利益相關者(甚至那些在安全團隊沒有成員的利益相關者)都將會獲得預先通知，讓他們有機會開發修復程序。這種類型的漏洞披露很少見，但在開源項目正變得越來越普遍。

這里的想法是，在漏洞被披露后，供應商們一般都會統一行動，幾乎在同時發出修復程序。

Jorm稱，OpenDaylight的安全響應程序現在運行很不錯。(鄒錚編譯)