專利名稱：基于智能交換機的星形網(wǎng)絡防入侵和攻擊的方法
技術領域：
本發(fā)明屬于互聯(lián)網(wǎng)安全，尤其設計防入侵和攻擊的技術領域。
背景技術：
隨著網(wǎng)絡技術的不斷發(fā)展，計算機已經(jīng)從傳統(tǒng)的單臺計算機形式演變?yōu)槟壳暗亩嗯_計算機互連的網(wǎng)絡系統(tǒng)形式。在這個發(fā)展過程中，計算機系統(tǒng)所面臨的安全問題也變得日益嚴重，它已經(jīng)從傳統(tǒng)的單機形式演變?yōu)榛诰W(wǎng)絡的形式，所發(fā)生的安全問題包括通過網(wǎng)絡傳播病毒木馬等程序的非法入侵，此外還包括基于網(wǎng)絡的信息竊取等攻擊手段。目前，已有的交換機智能由管理員手工配置，智能化程度較低。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種具有自反應性的基于智能交換機的網(wǎng)絡防入侵和攻擊的方法。
本發(fā)明的特征在于智能交換機最大的特點是自反應性。目前已有的交換機只能由管理員手工配置，智能化較低。智能交換機中的策略生成平臺中有一系列的策略機制，可以根據(jù)不同的網(wǎng)絡狀況配置不同的安全策略，并由高性能交換機模塊完成具體的策略執(zhí)行。這樣，就可以大大提高反應速度，降低由于反應不及時所造成的損失。
該方法依次會有以下步驟步驟(1)在智能交換機上建立所述星形網(wǎng)絡中所有客戶機的IP地址表，同時用從小到大的正整數(shù)表示的安全級別序列，數(shù)字越小表示安全級別越高，并把該安全級別序列分組，按組決定密級，設定通訊規(guī)則為同一組的各客戶機之間的通信為合法通信，否則為非法通信；步驟(2)郵件服務器不斷把各客戶端使用的涉密文件的安全級別通知該智能交換機；步驟(3)該智能交換機根據(jù)從該服務器獲得的涉密文件的安全級別，給相應的客戶機定義密級，并建立客戶機的密級相對于其IP地址的一對多的映射表，以此對該星形網(wǎng)絡中的所有客戶機的安全行為進行限定；步驟(4)各客戶機在每次啟動時，都被置為最低安全級別，即安全級別序列中的最大值，隨后，當客戶從該郵件服務器上獲取涉密文件時，該智能交換機根據(jù)該文件的安全級別，為該客戶機指定一個密級，并根據(jù)安全級別所在的密級，決定是否修改所述映射表，據(jù)此生成相應的客戶機的通訊規(guī)則；步驟(5)步驟(4)中所述的客戶機而智能交換機發(fā)出通訊請求要與另一個客戶機通訊時，智能服務器便根據(jù)所述映射表制定，這兩個客戶機是否數(shù)據(jù)同一組，若屬于同一組，便轉發(fā)該通訊請求，否則，便向發(fā)送通訊請求的客戶機發(fā)出拒絕通訊的信號；步驟(6)當該智能交換機發(fā)現(xiàn)步驟(4)中所述的客戶機內(nèi)無涉密文件時，便把該客戶機的密級降到最低。


圖1、帶智能交換機網(wǎng)絡的安全級別分配圖；1.安全級別分組A1，2，3；安全級別分組B4，5，6；安全級別分組C7，8，9機器標識(IP地址) 安全級別192.168.1.23192.168.1.36192.168.1.372.智能交換機給局域網(wǎng)中的每個客戶機都指定了一個安全級別3.智能交換機根據(jù)獲得的各終端的涉密情況生成一套安全策略，給各終端指定安全級別，安全級別屬于同一組的客戶機之間的通信為合法通信。并由此控制各終端的通訊能力。
圖2、帶智能交換機網(wǎng)絡的保障安全*的流程圖；4.客戶機A具有較高的安全級別，它要和具有較低安全級別的客戶機B通信5.客戶機A將通過智能交換機與客戶機B通訊6.智能交換機根據(jù)客戶機A和客戶機B的標識，查找對應的交換表，發(fā)現(xiàn)客戶機A不能和客戶機B通訊。則判定本次通訊非法，否定本次通訊。
具體的實施方式智能交換機的主要功能就是控制內(nèi)網(wǎng)數(shù)據(jù)流傳播，防止敏感資料外泄。其核心思想是通過將涉密資料和涉密終端層次化。根據(jù)各終端的涉密程度生成不同的安全策略，控制其網(wǎng)絡行為，進而防止敏感資料的外泄。
智能交換機由兩部分組成高性能交換機和策略生成平臺。
與Hub、中繼器不同，智能交換機是一個二層以上的設備。在部署了智能交換機后，網(wǎng)絡的基本拓撲結構會由總線形式變?yōu)樾切谓Y構。在星形結構中，所有的網(wǎng)絡數(shù)據(jù)流都將通過中間結點，即智能交換機。這樣我們就可以通過智能交換機控制所有終端的數(shù)據(jù)通訊，根據(jù)策略布置情況允許或是截斷終端的數(shù)據(jù)通訊。
策略生成平臺的主要功能是根據(jù)各個終端的涉密程度制定安全、合適的策略，并將策略轉換為具體的端口通訊規(guī)則，再交由高性能交換機完成具體的通訊控制。
具體地講，監(jiān)控策略主要包括(1)每個客戶機與其它計算機的網(wǎng)絡連接權限其中，其它計算機包括局域網(wǎng)中的其它客戶機、網(wǎng)絡共享的打印機、外部網(wǎng)絡等等；(2)對數(shù)據(jù)服務器上的存儲的或其它安全應用系統(tǒng)提供的敏感數(shù)據(jù)，提供強制性控制策略即對敏感的數(shù)據(jù)的安全級別進行分級，訪問到敏感數(shù)據(jù)的用戶被賦予同樣的安全級別，并按照用戶的安全級別對其通信范圍進行限制，例如，要求用戶A只能與安全級別不低于自身的其他用戶進行通信，對于外網(wǎng)或者安全級別低于A的用戶，監(jiān)控器將進行物理隔離，從而避免這些敏感數(shù)據(jù)外泄；(3)對某客戶機的控制權系統(tǒng)應該擁有對客戶機的絕對控制權，在必要時，可以強制要求客戶機重啟以奪取控制權。
高性能交換機的主要功能是根據(jù)策略生成平臺產(chǎn)生的端口通訊規(guī)則配置具體的各端口通訊表。
智能交換機的工作流程如下(1)智能交換機給局域網(wǎng)中的每個客戶機都指定一個安全級別(可以用一組數(shù)字來表示，比如說1，2，3…N，數(shù)字越小表示安全級別越高。具體各客戶機的安全級別由其從服務器中獲得的涉密文件的安全級別決定，服務器會時時將各客戶端使用涉密文件情況通知智能交換機，智能交換機根據(jù)安全策略給各客戶端定密級)，同時系統(tǒng)管理員會在智能交換機上配置一組安全策略，這組安全策略將整個安全級別域分為若干組，安全級別屬于同一組的客戶機之間的通信為合法通信，而安全級別屬于不同組的客戶機之間的通信為非法通信(如圖1所示)。
(2)同時智能交換機會依據(jù)配置的安全策略，對局域網(wǎng)上的所有終端的通訊行為進行限定，嚴格禁止違反規(guī)則的通訊行為。(如圖2所示)。
權利要求
1.基于智能交換機的星形網(wǎng)絡防入侵和攻擊的方法，其特征在于，該方法依次會有以下步驟步驟(1)在智能交換機上建立所述星形網(wǎng)絡中所有客戶機的IP地址表，同時用從小到大的正整數(shù)表示的安全級別序列，數(shù)字越小表示安全級別越高，并把該安全級別序列分組，按組決定密級，設定通訊規(guī)則為同一組的各客戶機之間的通信為合法通信，否則為非法通信；步驟(2)服務器不斷把各客戶端使用的涉密文件的安全級別通知該智能交換機；步驟(3)該智能交換機根據(jù)從該服務器獲得的涉密文件的安全級別，給相應的客戶機定義密級，并建立客戶機的密級相對于其IP地址的一對多的映射表，以此對該星形網(wǎng)絡中的所有客戶機的安全行為進行限定；步驟(4)各客戶機在每次啟動時，都被置為最低安全級別，即安全級別序列中的最大值，隨后，當客戶從該郵件服務器上獲取涉密文件時，該智能交換機根據(jù)該文件的安全級別，為該客戶機指定一個密級，并根據(jù)安全級別所在的密級，決定是否修改所述映射表，據(jù)此生成相應的客戶機的通訊規(guī)則；步驟(5)步驟(4)中所述的客戶機而智能交換機發(fā)出通訊請求要與另一個客戶機通訊時，智能服務器便根據(jù)所述映射表制定，這兩個客戶機是否屬于同一組，若屬于同一組，便轉發(fā)該通訊請求，否則，便向發(fā)送通訊請求的客戶機發(fā)出拒絕通訊的信號；步驟(6)當該智能交換機發(fā)現(xiàn)步驟(4)中所述的客戶機內(nèi)無涉密文件時，便把該客戶機的密級降到最低。
全文摘要
本發(fā)明屬于星形網(wǎng)絡安全技術領域，其特征在于智能服務器收到各客戶機要求的涉密文件后，根據(jù)涉密文件的安全級別為相應的客戶機設定一個密級，相應地建立一個星形網(wǎng)絡中所有客戶機的IP地址與他們的根據(jù)該安全級別劃分的密級的對應表，設定屬于同一個組密級類別的客戶機之間允許通訊；若不屬于同一組內(nèi)的各客戶機之間拒絕通訊；當某一客戶機獲取的涉密文件安全級別因文件的不同而改變時，便判斷是否需要改變該客戶機的密級。本發(fā)明具有很強的自適應性，克服了目前由管理員手工配置的缺點。
文檔編號H04L12/54GK1889502SQ20061001209
公開日2007年1月3日 申請日期2006年6月2日 優(yōu)先權日2006年6月2日
發(fā)明者戴一奇, 陳嘉, 司天歌, 程磊, 劉鐸, 譚智勇, 鄒嘉, 張堯學, 賈培發(fā), 雷釗杰, 龔婕, 戴瑞, 陳偉, 栗文平 申請人:清華大學