CN102369532B - 管理网络中的安全性 - Google Patents
管理网络中的安全性 Download PDFInfo
- Publication number
- CN102369532B CN102369532B CN200980158441.1A CN200980158441A CN102369532B CN 102369532 B CN102369532 B CN 102369532B CN 200980158441 A CN200980158441 A CN 200980158441A CN 102369532 B CN102369532 B CN 102369532B
- Authority
- CN
- China
- Prior art keywords
- network
- source
- access control
- control policy
- control strategy
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/102—Entity profiles
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
- H04L2463/146—Tracing the source of attacks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Networks & Wireless Communication (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Software Systems (AREA)
- Signal Processing (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
描述了一种管理网络中的安全性的方法(300)。检测(305)网络上的第一位置处的数据异常。标识(310)该数据异常的源。将该源与多个访问控制策略进行比较,其中所述多个访问控制策略中的每一个包括与一个或多个源关联的至少一个访问限制指令(315)。基于该比较,将所述源与所述多个访问控制策略中的相应访问控制策略关联(320)。
Description
技术领域
本发明的领域涉及计算系统。更特别地,本发明的实施例涉及网络安全管理。
背景技术
技术进步已经导致越来越大且复杂的网络的使用,其中数量日益增加的网络系统作为组织运作的组成部分。许多网络系统例行地接收、处理和/或存储敏感和/或机密性质的数据。用户经常经由外部网络接入点被提供对网络的访问以便获取数据和/或与网络内的网络系统交换数据。这样的外部网络接入点的增加的使用在许多情况下使得网络越来越易受恶意用户的攻击。
对网络的攻击在频率和复杂性方面都在增加。例行地存储在这样的网络中的数据的敏感性质经常吸引寻求获得对敏感数据和/或机密数据的访问的恶意用户或黑客。在一些情况下,恶意用户怀着破坏网络和/或网络系统的目的寻求对网络和网络系统的访问。恶意用户经常用来对网络造成损害的机制的实例包括但不限于病毒、蠕虫、蜘蛛、爬虫和木马。
对网络的增加频率的攻击经常导致对于网络管理员以及时的方式检测、评估和响应检测的网络数据异常的要求的增加。
附图说明
结合到本说明书中并且形成本说明书一部分的附图与用来解释下面讨论的原理的描述一起说明了用于管理网络中的安全性的系统的当前技术的实施例。
图1为依照当前技术实施例的其中可以实现网络安全系统的示例性网络的框图。
图2为依照当前技术实施例的示例性网络安全系统的框图。
图3为依照当前技术实施例的管理网络中的安全性的示例性计算机实现的方法的流程图。
图4为依照当前技术实施例的用于管理网络中的安全性的示例性计算机系统的框图。
图5为依照当前技术实施例的管理网络中的安全性的示例性方法的流程图。
除非特别地指出,本说明书中参照的附图不应当被理解为按比例绘制的。
具体实施方式
现在将详细地参照当前技术的实施例,其实例在附图中示出。尽管将结合不同的实施例描述当前技术,但是应当理解的是,它们并非意在将当前技术限制为这些实施例。相反地,当前技术预期覆盖可以包含在由所附权利要求书限定的不同实施例的精神和范围内的若干可替换方案、修改和等效物。
此外,在以下详细描述中,阐述了许多特定细节以便提供对于当前技术的实施例的透彻理解。然而,可以在没有这些特定细节的情况下实施当前技术的实施例。在其他情况下,没有详细描述公知的方法、过程、部件和电路以免不必要地使当前实施例的各方面模糊不清。
除非另有特定说明,如根据以下讨论显然的,应当理解的是,在整个本详细说明书中,利用诸如“检测”、“标识”、“比较”、“关联”、“映射”、“确定”、“启用”、“代替”等等之类的措词的讨论都涉及计算机系统或者类似电子计算设备的动作和过程。计算机系统或者类似电子计算设备将表示为计算机系统的寄存器和存储器内的物理(电子)量的数据操纵和变换成类似地表示为计算机系统存储器或寄存器或者其他这样的信息存储、传输或显示设备中的物理量的其他数据。当前技术的实施例也非常适合其他计算机系统(例如光学和机械计算机)的使用。
讨论概述
依照当前技术的实施例涉及用于管理网络中的安全性的系统及其使用。在依照当前技术的一个实施例中,本文描述的系统允许预防破坏性的网络流量,例如但不限于病毒、蠕虫、蜘蛛、爬虫和木马。更特别地,系统检测第一网络位置处的破坏性网络流量,标识破坏性网络流量的源,并且限制该源的规避安全系统且在第二网络位置处重新进入网络的能力。
例如,用户经由用户的台式计算机和第一端口登录进本地网络。然而,在用户不知情的情况下,蠕虫渗透到台式计算机中。当用户完成下载电子邮件时,蠕虫已经开始其创建网络带宽问题的工作,从而破坏本地网络流量。在一个实例中,网络管理系统检测到蠕虫入侵并且采取缓和措施,例如拒绝用户经由第一端口访问本地网络。响应于经历经由第一端口访问本地网络的麻烦,用户将其台式计算机从第一端口拔除并且把其插入到第二端口。然后,用户试图经由第二端口登录进本地网络。
然而,当前技术的实施例规定,也可以基于在使用第一端口时对用户网络地址的标识以及与用户关联的访问控制策略限制用户经由第二端口对本地网络的访问。例如,在用户的台式计算机处经由本地网络的端口1检测到蠕虫。标识蠕虫的源,也称用户的网络地址。此外,访问控制策略可以规定,标识的与数据异常关联的用户网络地址将被拒绝访问整个本地网络,而不管哪个网络端口可以被使用。因此,基于用户的网络地址和相关的访问控制策略,用户也被拒绝经由第二端口访问本地网络。
因此,当前技术的实施例通过应用自动化预防措施以避免先前标识的破坏源在一定位置处重新进入网络而管理网络中的安全性。换言之,当前技术的实施例提供了一种用于响应于追踪到第一网络位置的网络流量破坏而预防用户规避缓和措施的方法,这样的预防措施包括阻挡用户在第二网络位置处重新进入网络。
管理网络中的安全性
图1为网络100的实例的框图表示,其中示出可以实现管理网络100中的安全性的一个实施例。示例性网络100通常包括第一、第二和第三网络交换机系统102、104、106,网络管理员系统108,网络管理系统110,第一、第二和第三服务器系统112、114、116,以及第一、第二、第三和第四威胁评估系统118、120、122、124。诸如膝上型计算机之类的外部系统128与网络100通信耦合。
第一、第二和第三网络交换机系统102、104、106彼此通信耦合并且通常与网络100通信耦合。第一、第二和第三网络交换机系统102、104、106中的每一个分别包括多个数据端口1、2、3、4、5、6。通信耦合经由第一网络交换机系统102的数据端口6与第二网络交换机系统104的数据端口2之间的通信信道在第一网络交换机系统102与第二网络交换机系统104之间建立。通信耦合经由第二网络交换机系统104的数据端口1与第三网络交换机系统106的数据端口6之间的通信信道在第二网络交换机系统104与第三网络交换机系统106之间建立。
在一个实施例中,一个或多个网络交换机系统102、104、106包括一个或多个边缘互连数据端口。第一网络交换机系统102的数据端口1与外部系统128通信耦合,并且为边缘互连数据端口的一个实例。在一个实施例中,一个或多个网络交换机系统被配置为边缘互连网络交换机系统,其中数据端口1、2、3、4、5、6都被配置为边缘互连数据端口。
在一个实施例中,一个或多个网络交换机系统102、104、106包括基于交换机的陷阱系统形式的嵌入式威胁评估系统。基于交换机的陷阱系统被配置成检测一个或多个选择的数据异常并且在检测到选择的数据异常之一时引起数据异常事件。在一个实施例中,基于交换机的陷阱系统在检测到选择的数据异常之一时发出异常通知给网络管理系统110。在一个实施例中,基于交换机的陷阱系统在检测到选择的数据异常之一时发出异常通知给网络管理员系统108。在一个实施例中,基于交换机的陷阱系统为病毒遏制(VT)系统。
在一个实施例中,网络交换机系统102、104、106中的一个或多个的一个或多个数据端口1、2、3、4、5、6被配置为镜像源端口。在一个实施例中,一个或多个网络交换机系统102、104、106的一个或多个数据端口1、2、3、4、5、6被配置为镜像目的地端口。在一个实施例中,一个或多个网络交换机系统102、104、106的一个或多个数据端口1、2、3、4、5、6被配置为本地镜像源端口。在一个实施例中,一个或多个网络交换机系统102、104、106的一个或多个数据端口1、2、3、4、5、6被配置为本地镜像目的地端口。在一个实施例中,一个或多个网络交换机系统102、104、106的一个或多个数据端口1、2、3、4、5、6被配置为远程镜像源端口。在一个实施例中,一个或多个网络交换机系统102、104、106的一个或多个数据端口1、2、3、4、5、6被配置为远程镜像目的地端口。
尽管描述了具有六个数据端口的网络交换机系统,但是网络中使用的网络交换机系统可以具有更少或者更大数量的数据端口。例如,许多网络交换机系统具有远远超过100个数据端口。此外,尽管描述了具有所描述的配置和/或特征的多个不同类型的网络交换机系统,这些网络交换机系统可以使用可替换的网络交换机系统配置和/或特征来配置。此外,尽管将网络描述为具有三个网络交换机系统,但是可以使用更少或更大数量的网络交换机系统。
威胁评估系统118、120、122、124通常监视网络数据以标识可能对网络100造成安全威胁的数据异常,并且评价任何标识的数据异常。在一个实施例中,威胁评估系统118、120、122、124响应于检测到可能对网络100造成潜在的安全威胁的数据异常而实施缓和动作。存在可用于网络100中的若干不同类型的威胁评估系统118、120、122、124。这样的威胁评估系统118、120、122、124的实例包括但不限于入侵检测系统(IDS)、入侵预防系统(IPS)、统一威胁管理(UTM)系统和防火墙系统(FW)。在一个示例性网络100中,第一和第三威胁评估系统118和122分别为入侵检测系统(IDS),第二威胁评估系统120为入侵预防系统(IPS),并且第四威胁评估系统124为统一威胁管理(UTM)系统。
第一和第二威胁评估系统118和120分别经由第一网络交换机系统102与网络100通信耦合,并且第三和第四威胁评估系统122和124分别经由第二和第三网络交换机系统104和106分别与网络100通信耦合。更特别地,第一威胁评估系统118经由第一威胁评估系统118与第一网络交换机系统102的数据端口2之间的通信信道与网络100通信耦合。第二威胁评估系统120经由第二威胁评估系统120与第一网络交换机系统102的数据端口5之间的通信信道与网络100通信耦合。第三威胁评估系统122经由第三威胁评估系统122与第二网络交换机系统104的数据端口6之间的通信信道与网络100通信耦合。第四威胁评估系统124经由第四威胁评估系统124与第三网络交换机系统106的数据端口5之间的通信信道与网络100通信耦合。
在一个实施例中,一个或多个威胁评估系统118、120、122、124在检测到选择的数据异常时发出异常事件通知给网络管理员系统108。在一个实施例中,一个或多个威胁评估系统118、120、122、124在完成检测的数据异常的评价时发出评价通知给网络管理员系统108。在一个实施例中,一个或多个威胁评估系统118、120、122、124在检测到数据异常时发出异常事件通知给网络管理系统110。在一个实施例中,一个或多个威胁评估系统118、120、122、124在完成检测的数据异常的评价时发出评价通知给网络管理系统110。
尽管描述了一定数量的不同类型的威胁评估系统,但是可以使用其他类型的威胁评估系统。同样地,尽管网络被描述为具有四个威胁评估系统,但是可以使用更少或更大数量的威胁评估系统。此外,尽管描述了用于威胁评估系统的特定网络配置,但是可以采用可替换的网络配置。
在一个实施例中,当网络管理系统110检测到选择的数据异常时,网络管理系统110发出数据异常评估请求给选择的威胁评估系统118、120、122、124以便提供对检测的数据异常的评估。在一个实施例中,当网络管理系统110检测到选择的数据异常时,网络管理系统110发出数据镜像命令给选择的网络系统以便将与检测的数据异常关联的网络数据镜像到选择的威胁评估系统118、120、122、124。在一个实施例中,当网络管理系统110检测到选择的数据异常时,网络管理系统110标识检测的网络数据异常造成的威胁类型,标识专用于评价标识的威胁类型的威胁评估系统118、120、122、124,并且发出数据镜像命令给选择的网络系统以便将与数据异常关联的网络数据镜像到标识的威胁评估系统118、120、122、124。
网络管理系统110通常管理包括网络安全操作的网络操作。在一个实施例中,网络管理系统110包括网络免疫管理系统,其中该网络免疫管理系统通常管理网络安全操作。在一个实施例中,网络管理系统110为通常管理网络安全操作的网络免疫管理(NIM)系统类型的网络管理系统。附加类型的网络管理系统用来管理其他类型的网络操作。在一个实施例中,网络管理系统110包括嵌入式威胁评估系统。在一个实施例中,该嵌入式威胁评估系统为网络行为异常检测(NBAD)系统。网络管理系统110经由第二网络交换机104与网络100通信耦合。更特别地,网络管理系统110经由网络管理系统110与第二网络交换机系统104的数据端口5之间的通信信道与网络100通信耦合。网络管理系统110将在下面参照图2更详细地加以描述。
网络管理员130通常经由网络管理员系统108管理包括网络安全操作的网络操作。网络管理员系统108经由第三网络交换机106与网络100通信耦合。更特别地,网络管理员系统108经由网络管理员系统108与第三网络交换机106的数据端口1之间的通信信道与网络100通信耦合。
在一个实施例中,经由网络管理员系统108向网络管理员130提供人工定义和/或修改安全策略的选项。在一个实施例中,在网络管理员系统108处接收异常通知。在一个实施例中,经由网络管理员系统108向网络管理员130提供选择性地人工强制执行选择的安全策略的选项。在一个实施例中,经由网络管理员系统108向网络管理员130提供选择性地人工实施对选择的数据异常的一个或多个缓和响应的选项。在一个实施例中,经由网络管理员系统108向网络管理员130提供配置选择的网络系统的选项。
在一个实施例中,经由网络管理员系统108向网络管理员130提供配置单独网络交换机系统102、104、106的选项。在一个实施例中,经由网络管理员系统108向网络管理员130提供配置单独网络交换机系统102、104、106的单独数据端口1、2、3、4、5、6的选项。在一个实施例中,经由网络管理员系统108向网络管理员130提供将单独数据端口1、2、3、4、5、6配置为镜像源数据端口和镜像目的地数据端口的选项。在一个实施例中,经由网络管理员系统108向网络管理员130提供将单独数据端口1、2、3、4、5、6配置为本地镜像源数据端口和本地镜像目的地数据端口的选项。在一个实施例中,经由网络管理员系统108向网络管理员130提供将单独数据端口1、2、3、4、5、6配置为远程镜像源数据端口和远程镜像目的地数据端口的选项。尽管描述了可以通过网络管理员130借助于网络管理员系统108执行的一定数量的不同网络管理功能,但是其他的网络管理功能也可以通过网络管理员130借助于网络管理员系统108而执行。
第一服务器系统112经由第三网络交换机106与网络100通信耦合,并且第二和第三服务器系统114和116分别经由第二网络交换机104与网络100通信耦合。更特别地,第一服务器系统112经由第一服务器系统112与第三网络交换机系统106的数据端口3之间的通信信道与网络100通信耦合。第二服务器系统114经由第二服务器系统114与第二网络交换机系统104的数据端口3之间的通信信道与网络100通信耦合。第三服务器系统116经由第三服务器系统116与第二网络交换机系统104的数据端口4之间的通信信道与网络100通信耦合。在示例性网络100中,第一服务器系统112处理需要相对低网络安全级别的数据,而第二和第三服务器系统114和116分别处理相对敏感的财务数据并且需要相对较高的网络安全级别。尽管描述了包括在网络中以特定方式配置的特定类型的服务器系统的一种网络配置,但是在网络中可以使用其他类型的服务器系统。同样地,尽管描述了服务器系统的一种网络配置,但是可以使用可替换的网络配置。此外,尽管三个服务器被描述为网络的部分,但是可以使用更少或更大数量的服务器。
用户126使用了诸如膝上型计算机之类的外部系统128以便建立与网络100的通信耦合。外部系统128经由外部系统128与第一网络交换机系统102的数据端口1之间建立的通信信道建立与网络100的通信耦合。数据端口1是边缘互连数据端口。本说明书中使用的用户包括人类用户以及自动化代理。这样的自动化代理的一个实例是bot。
在一个实施例中,网络100内的网络系统之间建立的通信信道是无线通信信道。在一个实施例中,网络100内的网络系统之间建立的通信信道是有线通信信道。在一个实施例中,网络100内的网络系统之间建立的通信信道是无线通信信道和有线通信信道的组合。
在一个实施例中,外部系统128与网络100之间建立的通信信道经由无线通信信道。在一个实施例中,外部系统128与网络100之间建立的通信信道经由有线通信信道。在一个实施例中,外部系统128与网络100之间建立的通信信道经由无线通信信道和有线通信信道的组合。
尽管描述了其中可以实施管理网络100中的安全性的一个实施例的网络100的一种特定的配置,但是管理网络中的安全性的若干实施例可以在具有可替换配置的网络中实现。此外,管理网络中的安全性的若干实施例可以在包括更少或更大数量的类型的网络系统以及包括更少或更大数量的所描述的网络系统的网络中实现。
网络安全系统的示例性架构
图2为依照当前技术的实施例的示例性网络安全系统(NSS)111的框图。NSS 111有线和/或无线地与网络管理系统110和网络100耦合。NSS 112包括异常检测模块200、源标识器 210、数据存储器(data store)220、源比较器230和访问控制策略关联器240。当前技术的实施例可以进一步包括映射模块245和源认证器255。
在一个实施例中,异常检测模块200有线和/或无线地与嵌入到本文描述的一个或多个网络交换机系统102、104和106中的威胁评估系统耦合。
图2示出了包括源215和数据异常205的网络100。源215指的是检测的数据异常205的起源。例如,源215是用来访问网络的机制并且可以仅仅包括计算机或者包括计算机及其操作者。源205包括网络地址250。网络地址250可由NSS 111识别,并且可以用来定位应用于源215的访问控制策略,如这里将描述的。
在一个实施例中,数据存储器220存储包括多个访问控制策略225a、225b、225c、225d、225e和225f(225a-225f)。数据存储器220可以在NSS 112的内部或外部。在一个实施例中,数据存储器220与本文描述的网络100耦合但是在该网络外部。
尽管图2中示出了多个访问控制策略225a-225f,但是为了简洁和清楚的原因,这里将讨论仅仅一个访问控制策略225a。此外,尽管图2中示出了有限数量的访问控制策略225a-225f,但是应当理解的是,数据存储器220中可以存在数据存储器220能够存储的许多访问控制策略。也应当理解的是,访问控制策略225a的描述将代表所有访问控制策略。
访问控制策略225a包括与源205关联的至少一个访问限制指令235a。尽管这里描述了仅仅一个访问限制指令235a,但是应当理解的是,访问控制策略225a可以包含超过一个访问限制指令。访问限制指令235a包括关于限制源对网络内的特定位置的访问的指令的描述。
在一个实施例中,访问限制指令235a可以是针对源215的网络位置限制。例如,访问限制指令235a可以指示仅允许源215访问端口1、2、3、4、5和6中的端口5和6。在另一个实施例中,访问限制指令235a可以是网络带宽限制。例如,访问限制指令235a可以指示仅允许源215在网络100上的所有端口1、2、3、4、5和6处使用预先规定数量的带宽。在一个实施例中,访问限制指令235a可以是针对源215的持续时间限制。例如,访问限制指令235a可以指示仅允许源215一天两分钟地经由端口1访问网络100。
如这里将描述的,当前技术的实施例提供了一种用于通过用户和/或机器检测异常或有害行为并且临时或者永久地限制对网络的未来访问权限以便预防连续有害行为的机制。
网络安全系统的示例性操作
更一般地,在依照当前技术的实施例中,NSS 111用来识别第一位置处的网络攻击的源并且限制该源在另一个网络位置处对网络的访问。这样的管理对网络的访问的方法在预防对破坏性网络流量负责的用户在第二位置处重新进入网络且造成更多破坏方面是特别有用的。
仍然参照图2,异常检测模块200被配置成检测网络100上的第一位置处的数据异常205。网络100上的第一位置可以是网络100内的可以检测到数据异常的任何位置,例如但不限于端口1、2、3、4、5和/或6。
在一个实施例中,源标识器 210被配置成标识数据异常205的源215。在一个实施例中,映射模块245被配置成经由本领域中已知的技术将源215映射成关联的网络地址。
在一个实施例中,源认证器255被配置成确定与源215关联的角色。在一个实施例中,措词“角色”指的是源215在网络100中的预定义功能,所述功能与允许的对网络100内的不同位置的访问的级别相应。例如,源认证器255经由源215的网络地址250识别源215,并且确定源在网络100中的预定义角色。该角色可以是“经理”的角色。企业中的经理典型地可以被允许在网络中的不同位置处的高访问级别。
在一个实施例中,源比较器230将源215与多个访问控制策略225a-225f进行比较,其中多个访问控制策略225a-225f中的每一个包括与一个或多个诸如源215之类的源关联的至少一个访问限制指令235a-235f。
在一个实施例中,访问控制策略关联器240被配置用于基于这里描述的源比较器230的比较将源215与所述多个访问控制策略225a-225f中的相应访问控制策略关联。与源215“相应”的访问控制策略可以是引用源215的预定义“角色”和/或源的网络地址的访问控制策略。将源215与相应访问控制策略225a关联可能需要将该相应访问控制策略225a传送到网络100及其中的管理员。此外,访问控制策略225a可以变得临时地与源215关联或者永久地与源215关联。
在一个实施例中,可以将网络100编程为自动地利用访问控制策略225a代替关于源215的当前访问控制策略。在另一个实施例中,网络100和/或其任何管理员在确定是否实施访问控制策略225a之前可以接收该访问控制策略以进行检查。
现在参照图3的300,示出了依照当前技术实施例的管理网络100中的安全性的示例性计算机实现的方法的流程图。
参照图3的305且如这里所描述的,在当前技术的一个实施例中,在网络100上的第一位置处检测数据异常205。现在参照图3的310且如这里所描述的,在一个实施例中,标识数据异常205的源205。
参照图3的315且如这里所描述的,在一个实施例中,将源205与多个访问控制策略225a-225f进行比较,其中多个访问控制策略225a-225f中的每一个包括与一个或多个源关联的至少一个访问限制指令235a-235f,所述源例如但不限于源205。现在参照图3的320且如这里所描述的,在一个实施例中,基于图3的315的比较,将源205与多个访问控制策略225a-225f中的相应访问控制策略关联。
示例性计算机系统环境
图4示出了依照当前技术实施例使用的示例性计算机系统400。应当理解的是,图4的系统400仅仅是一个实例,并且当前技术的实施例可以工作于若干不同计算机系统之上或之中,所述计算机系统包括通用联网计算机系统、嵌入式计算机系统、路由器、交换机、服务器设备、用户设备、各种不同的中间设备/人工制品、独立计算机系统等等。如图4中所示,图4的计算机系统400非常适于具有与其耦合的外围计算机可读介质402,例如光盘等等。
图4的系统400包括用于传送信息的地址/数据总线404以及耦合到总线404用于处理信息和指令的处理器406A。如图4中所示,系统400也非常适合其中存在多个处理器406A、406B和406C的多处理器环境。相反地,系统400也非常适合具有单个处理器,例如处理器406A。处理器406A、406B和406C可以是任何不同类型的微处理器。系统400也包括耦合到总线404以便存储用于处理器406A、406B和406C的信息和指令的诸如计算机可用易失性存储器408例如随机存取存储器(RAM)之类的数据存储特征。
系统400也包括耦合到总线404以便存储用于处理器406A、406B和406C的静态信息和指令的计算机可用非易失性存储器410,例如只读存储器(ROM)。同样存在于系统400中的是耦合到总线404以便存储信息和指令的数据存储单元412(例如磁盘或光盘和盘驱动器)。系统400也包括耦合到总线404以便将信息和命令选择传送到处理器406A或者处理器406A、406B和406C的包括字母数字键和功能键的可选的字母数字输入设备614。系统400也包括耦合到总线404以便将用户输入信息和命令选择传送到处理器406A或者处理器406A、406B和406C的可选的光标控制设备416。系统400也包括耦合到总线404以便显示信息的可选的显示设备418。
仍然参照图4,图4的可选的显示设备418可以是液晶设备、阴极射线管、等离子体显示设备或者适合于创建用户可识别的图形图像和字母数字字符的其他显示设备。可选的光标控制设备416允许计算机用户动态地用信号通知显示设备418的显示屏幕上的可见符号(光标)的运动。光标控制设备416的许多实现方式在本领域中是已知的,包括跟踪球、鼠标、触摸板、操纵杆或者字母数字输入设备414上能够用信号通知给定方向的运动或者移位方式的特殊键。可替换地,应当理解的是,可以借助于来自字母数字输入设备414的输入使用特殊键和键序列命令定向和/或激活光标。
系统400也非常适合具有通过其他方式(例如话音命令)定向的光标。系统400也包括用于将系统400与外部实体耦合的I/O设备420。
仍然参照图4,绘出了用于系统400的各种其他的部件。特别地,当存在时,操作系统422、应用424、模块426和数据428被示为典型地驻留在计算机可用易失性存储器408(例如随机存取存储器(RAM))和数据存储单元412中的一个或者某种组合中。然而,应当理解的是,在一些实施例中,操作系统422可以存储在其他位置中,例如存储在网络上或闪存驱动器上;并且此外,可以经由例如到互联网的耦合从远程位置访问操作系统422。在一个实施例中,将本发明例如作为应用424或模块426存储在RAM 408内的存储位置以及数据存储单元412内的存储区域中。
计算系统400仅仅是适当计算环境的一个实例,并且并非意在暗示关于当前技术实施例的使用范围或功能的任何限制。也不应当将计算环境400解释为具有与示例性计算系统400中所示部件中的任何一个或组合有关的任何依赖性或要求。
当前技术的实施例可以在由计算机执行的诸如程序模块之类的计算机可执行指令的一般上下文中进行描述。通常,程序模块包括执行特定任务或者实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。当前技术的实施例也可以在分布式计算环境中实施,其中任务由通过通信网络链接的远程处理设备执行。在分布式计算环境中,程序模块可以位于包括记忆存储设备的本地和远程计算机存储介质二者之中。
图5为依照当前技术实施例的管理网络中的安全性的示例性方法的流程图。在一个实施例中,过程500由处理器和电部件在计算机可读和计算机可执行指令的控制下实现。计算机可读和计算机可执行指令驻留于例如诸如计算机可用易失性和非易失性存储器之类的数据存储特征中。然而,计算机可读和计算机可执行指令可以驻留于任何类型的计算机可读介质中。在一个实施例中,过程500由图2的NSS 111执行。
参照图5的505,在一个实施例中,确定网络100上的第一位置处的检测的数据异常205的源215。在一个实施例中,确定检测的数据异常205的源包括检测网络100上的第一位置处的数据异常205并且标识数据异常205的源215。
在一个实施例中,标识数据异常205的源215包括将源215映射到关联的网络地址250。在一个实施例中,标识数据异常205的源215包括确定源215的基于角色的认证。
现在参照图5的510,在一个实施例中且如这里所描述的,将源215与多个访问控制策略225a-225f进行比较,其中多个访问控制策略225a-225f中的每一个包括与一个或多个源(例如但不限于215)关联的至少一个访问限制指令235a-235f。
现在参照图5的515,在一个实施例中且如这里所描述的,基于图5的510中所描述的比较,将源215与多个访问控制策略225a-225f中的相应访问控制策略关联。在一个实施例中,利用诸如225a之类的第二访问控制策略代替第一访问控制策略,其中第二访问控制策略基于这里且在图5的505中描述的源215的确定。第一访问控制策略可以是与源215有关的原始访问控制策略,或者可以是与源215有关的最新的访问控制策略。换言之,第二访问控制策略可以在适当位置覆盖任何先前的访问控制策略。
因此,当前技术的实施例通过提供一种用于检测用户和/或机器的异常或有害行为并且限制用户和/或机器的未来网络访问权限的机制而允许预防对于网络的连续有害行为。
尽管以特定于结构特征和/或方法动作的语言描述了主题,但是应当理解的是,所附权利要求书中限定的主题不必限于上面描述的特定特征或动作。相反地,上面描述的特定特征和动作作为实现权利要求的示例性形式而公开。
Claims (14)
1.一种计算机实现的管理网络中的安全性的方法,所述方法包括:
检测网络上的第一位置处的数据异常;
标识所述数据异常的源;
将所述源与多个访问控制策略进行比较,其中所述多个访问控制策略中的每一个包括与一个或多个源关联的至少一个访问限制指令;
基于所述比较,将所述源与所述多个控制策略中的相应控制策略关联;以及
基于所述标识所述源,用第二访问控制策略替换所述多个访问控制策略中的所述相应访问控制策略,其中所述第二访问控制策略在适当位置覆盖所述多个控制策略中的所述相应控制策略以及其他先前的访问控制策略,
其中所述至少一个访问限制指令是网络位置限制、网络带宽限制和持续时间限制之一。
2.权利要求1的方法,其中所述标识所述数据异常的源包括:
将所述源映射到关联的网络地址。
3.权利要求1的方法,其中所述标识所述数据异常的源包括:
确定所述源的基于角色的认证。
4.权利要求1的方法,其中所述将所述源与所述多个控制策略中的相应控制策略关联包括:
允许预防所述源在所述网络上的第二位置处重新进入。
5.权利要求1的方法,其中所述将所述源与所述多个控制策略中的相应控制策略关联包括:
允许实现对所述访问的持续时间限制。
6.权利要求1的方法,其中所述将所述源与所述多个控制策略中的相应控制策略关联包括:
允许限制所述源的带宽使用。
7.权利要求1的方法,进一步包括:
将临时的访问控制策略与所述源关联。
8.权利要求1的方法,进一步包括:
将永久的访问控制策略与所述源关联。
9.一种网络安全系统,包括:
异常检测模块,其被配置用于检测网络上的第一位置处的数据异常;
源标识器,其被配置用于标识所述数据异常的源;
数据存储器,其用于存储多个访问控制策略;
源比较器,其被配置用于将所述源与所述多个访问控制策略进行比较,其中所述多个访问控制策略中的每一个包括与一个或多个源关联的至少一个访问限制指令;以及
访问控制策略关联器,其被配置用于基于所述比较将所述源与所述多个访问控制策略中的相应访问控制策略关联,并且用于基于所述标识所述源,用第二访问控制策略替换所述多个访问控制策略中的所述相应访问控制策略,其中所述第二访问控制策略在适当位置覆盖所述多个控制策略中的所述相应控制策略以及其他先前的访问控制策略,
其中所述至少一个访问限制指令是网络位置限制、网络带宽限制和持续时间限制之一。
10.权利要求9的系统,进一步包括:
映射模块,其被配置用于将所述源映射到关联的网络地址。
11.权利要求9的系统,其中所述源标识器包括:
源认证器,其被配置用于确定与所述源关联的角色。
12.权利要求9的系统,其中所述访问限制指令包括针对所述源的网络位置限制。
13.权利要求9的系统,其中所述访问限制指令包括在第二位置处的针对所述源的网络带宽限制。
14.权利要求9的系统,其中所述访问限制指令包括在第二位置处的针对所述源的持续时间限制。
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/US2009/032501 WO2010087838A1 (en) | 2009-01-29 | 2009-01-29 | Managing security in a network |
Publications (2)
Publication Number | Publication Date |
---|---|
CN102369532A CN102369532A (zh) | 2012-03-07 |
CN102369532B true CN102369532B (zh) | 2015-05-20 |
Family
ID=42395887
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN200980158441.1A Active CN102369532B (zh) | 2009-01-29 | 2009-01-29 | 管理网络中的安全性 |
Country Status (4)
Country | Link |
---|---|
US (1) | US9032478B2 (zh) |
EP (1) | EP2382575A4 (zh) |
CN (1) | CN102369532B (zh) |
WO (1) | WO2010087838A1 (zh) |
Families Citing this family (14)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US8813172B2 (en) * | 2011-12-16 | 2014-08-19 | Microsoft Corporation | Protection of data in a mixed use device |
US20160182536A1 (en) * | 2014-12-19 | 2016-06-23 | Ca, Inc. | Adapting user terminal application operation responsive to measured user behavior |
JP6690469B2 (ja) * | 2016-08-26 | 2020-04-28 | 富士通株式会社 | 制御プログラム、制御方法および情報処理装置 |
US10841337B2 (en) | 2016-11-28 | 2020-11-17 | Secureworks Corp. | Computer implemented system and method, and computer program product for reversibly remediating a security risk |
US10735470B2 (en) | 2017-11-06 | 2020-08-04 | Secureworks Corp. | Systems and methods for sharing, distributing, or accessing security data and/or security applications, models, or analytics |
US10594713B2 (en) | 2017-11-10 | 2020-03-17 | Secureworks Corp. | Systems and methods for secure propagation of statistical models within threat intelligence communities |
US10785238B2 (en) | 2018-06-12 | 2020-09-22 | Secureworks Corp. | Systems and methods for threat discovery across distinct organizations |
US11003718B2 (en) | 2018-06-12 | 2021-05-11 | Secureworks Corp. | Systems and methods for enabling a global aggregated search, while allowing configurable client anonymity |
US11310268B2 (en) | 2019-05-06 | 2022-04-19 | Secureworks Corp. | Systems and methods using computer vision and machine learning for detection of malicious actions |
US11418524B2 (en) | 2019-05-07 | 2022-08-16 | SecureworksCorp. | Systems and methods of hierarchical behavior activity modeling and detection for systems-level security |
US11381589B2 (en) | 2019-10-11 | 2022-07-05 | Secureworks Corp. | Systems and methods for distributed extended common vulnerabilities and exposures data management |
US11522877B2 (en) | 2019-12-16 | 2022-12-06 | Secureworks Corp. | Systems and methods for identifying malicious actors or activities |
US11588834B2 (en) | 2020-09-03 | 2023-02-21 | Secureworks Corp. | Systems and methods for identifying attack patterns or suspicious activity in client networks |
US11528294B2 (en) | 2021-02-18 | 2022-12-13 | SecureworksCorp. | Systems and methods for automated threat detection |
Family Cites Families (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
EP1725946A4 (en) * | 2004-03-10 | 2012-07-11 | Enterasys Networks Inc | Dynamic Network Detection System and Method |
WO2005112390A1 (en) * | 2004-05-12 | 2005-11-24 | Alcatel | Automated containment of network intruder |
KR100614775B1 (ko) | 2004-08-20 | 2006-08-22 | (주)한드림넷 | 네트워크 보호 장치 및 방법 |
US20060150238A1 (en) * | 2005-01-04 | 2006-07-06 | Symbol Technologies, Inc. | Method and apparatus of adaptive network policy management for wireless mobile computers |
US7676841B2 (en) * | 2005-02-01 | 2010-03-09 | Fmr Llc | Network intrusion mitigation |
US20070011732A1 (en) * | 2005-07-05 | 2007-01-11 | Yang-Hung Peng | Network device for secure packet dispatching via port isolation |
US20070033650A1 (en) | 2005-08-05 | 2007-02-08 | Grosse Eric H | Method and apparatus for defending against denial of service attacks in IP networks by target victim self-identification and control |
KR100723864B1 (ko) | 2005-11-12 | 2007-05-31 | 한국전자통신연구원 | 패킷에 포함된 정보를 이용하여 네트워크 공격을 차단하는방법 및 그 장치 |
US20070150934A1 (en) * | 2005-12-22 | 2007-06-28 | Nortel Networks Ltd. | Dynamic Network Identity and Policy management |
US8255996B2 (en) | 2005-12-30 | 2012-08-28 | Extreme Networks, Inc. | Network threat detection and mitigation |
US7814311B2 (en) * | 2006-03-10 | 2010-10-12 | Cisco Technology, Inc. | Role aware network security enforcement |
US7853998B2 (en) * | 2007-03-22 | 2010-12-14 | Mocana Corporation | Firewall propagation |
-
2009
- 2009-01-29 CN CN200980158441.1A patent/CN102369532B/zh active Active
- 2009-01-29 US US13/146,112 patent/US9032478B2/en active Active
- 2009-01-29 EP EP09839411.7A patent/EP2382575A4/en not_active Withdrawn
- 2009-01-29 WO PCT/US2009/032501 patent/WO2010087838A1/en active Application Filing
Non-Patent Citations (1)
Title |
---|
《The Ponder Policy Specification Language》;Nicodemos Damianou等;《Workshop on Policies for Distributed Systems and Networks》;20010131;第23-24页 * |
Also Published As
Publication number | Publication date |
---|---|
CN102369532A (zh) | 2012-03-07 |
US20110289557A1 (en) | 2011-11-24 |
EP2382575A1 (en) | 2011-11-02 |
EP2382575A4 (en) | 2013-05-22 |
WO2010087838A1 (en) | 2010-08-05 |
US9032478B2 (en) | 2015-05-12 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN102369532B (zh) | 管理网络中的安全性 | |
US11818168B2 (en) | Monitoring for lateral movements-related security threats | |
US9516062B2 (en) | System and method for determining and using local reputations of users and hosts to protect information in a network environment | |
US10320814B2 (en) | Detection of advanced persistent threat attack on a private computer network | |
US20090300762A1 (en) | Methods And Systems For Managing A Potential Security Threat To A Network | |
US9185122B2 (en) | Methods and systems for managing security in a network | |
CN102379139B (zh) | 把控制策略动态地应用于网络 | |
Hazrati et al. | On-farm data security: practical recommendations for securing farm data | |
Bodeau et al. | Cyber resiliency and nist special publication 800-53 rev. 4 controls | |
GB2621237A (en) | Traffic scanning with context-aware threat signatures | |
JP6933320B2 (ja) | サイバーセキュリティフレームワークボックス | |
Benzekri et al. | Dynamic security management driven by situations: An exploratory analysis of logs for the identification of security situations | |
Powers et al. | Whitelist malware defense for embedded control system devices | |
Bedwell | Finding a new approach to SIEM to suit the SME environment | |
Gheorghică et al. | A new framework for enhanced measurable cybersecurity in computer networks | |
Feagin | The value of cyber security in small business | |
Smith | Building Management in The Cybersecurity Age. | |
Tandon et al. | A Case Study on Security Recommendations for a Global Organization | |
Mallah et al. | Vulnerability assessment through mobile agents | |
Eftimie et al. | Cloud access security brokers | |
KR101526471B1 (ko) | 호스트 보안 장치 | |
Süß et al. | Data Center Security and Resiliency | |
Chan et al. | Security-Enhanced Orchestration Platform for Building Management Systems | |
Yazbek | Hackers and Their Companion Viruses Are An Increasing Problem, Especially on the Internet. What Are the Most Important Measurers for a Firm to Take to Protect Itself from This? Is Full Protection Feasible? Why or Why Not? | |
None | Methodology Development for Cybersecurity Robustness and Vulnerability Assessment of University Research Reactors |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
C41 | Transfer of patent application or patent right or utility model | ||
TR01 | Transfer of patent right |
Effective date of registration: 20170118 Address after: American Texas Patentee after: HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP Address before: American Texas Patentee before: Hewlett Packard Development Co. |