CN103095701A - 开放流表安全增强方法及装置 - Google Patents

Abstract

本发明公开了一种开放流表安全增强方法，使安全控制功能及安全执行功能分离；所述方法包括：获取各安全业务对应的安全应用，并从各安全应用中提取与各种安全业务对应的安全策略、安全协议及特征库；对安全业务的安全策略进行解析，生成安全流表，并在所述安全流表中创建匹配规则；根据所述安全流表中的匹配规则，对报文执行访问控制，以及状态防火墙、安全虚拟专用网VPN和深度报文的检测。本发明同时公开了一种开放流表安全增强装置。本发明中，安全执行和安全应用可独立进行演化、升级，便于开展新的安全业务；并且，能根据安全策略集中地进行安全管理，抵御零日攻击，减缓分布式拒绝服务攻击；也支持虚拟化多租户安全方式。

Description

开放流表安全增强方法及装置

技术领域

本发明涉及安全检测技术，尤其涉及一种开放流表安全增强方法及装置。

背景技术

如图1所示，传统的安全设备，如防火墙、入侵检测预防、安全虚拟专用网、统一威胁管理等均是整体式架构，其中的接口板100、安全业务板102、主控板106及交换板104是紧耦合连接的，通常位于一个物理盒子中；其中，接口板100提供安全设备的接口并将数据流提交给安全业务板102，接口板100通常由网络处理器(NP，Network Processor)或应用专用集成芯片(ASIC，Application Specific Integrated Circuit)实现。安全业务板102完成访问策略控制、网络地址转换、入侵检测防御、防病毒、安全虚拟专用网(VPN，Virtual PrivateNetwork)等功能，安全业务板102通常由通用CPU或多核处理器实现。主控板106完成整台设备的管理配置、路由学习及配置发送等。交换板104使多线卡之间可以同时通信。

传统的安全设备整体的、紧耦合的架构，用户难以部署新的安全业务。对于部署了多个安全执行单元的企业，在企业的安全管理中心对各个安全执行单元进行配置管理。这种架构存在以下局限性：(1)企业难以在安全执行单元上部署新的安全应用，通常需要购买整个设备才能完成新特性的升级；(2)不同厂商提供的安全执行单元差异比较大，安全策略不一致，难以实现互操作，难以实现集中控制和管理；(3)传统的安全执行单元通常部署在企业的边缘处，对于虚拟化多租户的场景难以胜任。

发明内容

有鉴于此，本发明的主要目的在于提供一种开放流表安全增强方法及装置，能使安全设备实现安全控制功能及安全执行功能分离，能兼容各种安全应用，支持各种安全业务。

为达到上述目的，本发明的技术方案是这样实现的：

一种开放流表安全增强方法，使安全控制功能及安全执行功能分离；所述方法包括：

获取各安全业务对应的安全应用，并从各安全应用中提取与各种安全业务对应的安全策略、安全协议及特征库；

对安全业务的安全策略进行解析，生成安全流表，并在所述安全流表中创建匹配规则；

根据所述安全流表中的匹配规则，对报文执行访问控制，以及状态防火墙、安全虚拟专用网VPN和深度报文的检测。

优选地，上述技术方案中，所述安全控制功能及安全执行功能之间通过报文转发及控制分离的协议进行信息交互。

优选地，上述技术方案中，所述报文转发及控制分离的协议包括开放流表OpenFlow协议，转发和控制件分离ForCES协议。

优选地，上述技术方案中，所述对安全业务的安全策略进行解析，生成安全流表，包括：

解析遵循特定语法的安全策略文件，转换成流表的规则定义及条目。

优选地，上述技术方案中，所述安全流表包括以下流表中的至少一种：

流状态表，用于提供状态防火墙功能，抵御拒绝服务攻击DoS的恶意攻击；

防火墙流表，用于提供访问控制表ACL功能；

安全VPN流表，用于提供互联网协议安全性IPsec VPN、安全套接层SSLVPN功能，为报文提供端到端的安全保护；

深度报文检测流表，用于提供应用识别和入侵检测功能。

优选地，上述技术方案中，所述方法还包括：

对未知报文进行深度解析，生成所述未知报文的深度解析条目，并将所述深度解析条目发送至深度报文检测流表或防火墙流表。

优选地，上述技术方案中，所述安全应用具体提供以下功能的至少一种：

安全策略，用于为各安全应用提供安全规则；

防火墙，用于配置管理访问控制和基本的抵御DoS攻击；

入侵检测预防，用于为恶意代码攻击、拒绝服务攻击提供特征库；

安全VPN，用于配置管理IPsec VPN和SSL VPN，提供密钥管理协商的控制面的协议；

防病毒，用于配置管理病毒攻击、恶意软件的策略，提供病毒特征库；

用户认证授权，用于识别合法用户，与安全流表建立关联；

应用识别，用于设定允许或不允许的应用标识，并对应用进行统计分析，进行合规性检查。

一种开放流表安全增强装置，包括安全应用单元、安全控制单元和安全执行单元，其中：

安全应用单元，用于提供各种安全业务的安全应用，以及与所述各种安全业务对应的安全策略、安全协议及特征库；

安全控制单元，用于对安全业务的安全策略进行解析，生成安全流表，并在所述安全流表中创建匹配规则；并将所述安全流表发送至所述安全执行单元；

安全执行单元，用于根据所述安全流表中的匹配规则，对报文执行访问控制，以及状态防火墙、安全虚拟专用网VPN和深度报文的检测。

优选地，上述技术方案中，所述安全控制单元与所述安全执行单元之间通过报文转发及控制分离的协议接口连接。

优选地，上述技术方案中，所述安全控制单元包括安全策略引擎子单元、安全资源调度子单元和报文深度解析子单元，其中：

安全策略引擎子单元，用于解析遵循特定语法的安全策略文件，转换成流表的规则定义及条目；

安全资源调度子单元，用于根据安全执行单元的运行状态和业务的安全需求，动态调度安全执行单元；

报文深度解析子单元，用于接收来自所述安全执行单元转发的未能识别的报文，根据设定的安全策略对所述未识别的报文进行解析，通过所述安全策略引擎子单元生成流表条目，并发送给所述安全执行单元。

优选地，上述技术方案中，所述安全流表包括以下流表中的至少一种：

流状态表，用于提供状态防火墙功能，抵御拒绝服务攻击DoS的恶意攻击；

防火墙流表，用于提供访问控制表ACL功能；

安全VPN流表，用于提供互联网协议安全性IPsec VPN、安全套接层SSLVPN功能，为报文提供端到端的安全保护；

深度报文检测流表，用于提供应用识别和入侵检测功能。

优选地，上述技术方案中，所述安全应用单元具体提供以下功能：

安全策略，用于为各安全应用提供安全规则；

防火墙，用于配置管理访问控制和基本的抵御DoS攻击；

入侵检测预防，用于为恶意代码攻击、拒绝服务攻击提供特征库；

安全VPN，用于配置管理IPsec VPN和SSL VPN，提供密钥管理协商的控制面的协议；

防病毒，用于配置管理病毒攻击、恶意软件的策略，提供病毒特征库；

用户认证授权，用于识别合法用户，与安全流表建立关联；

应用识别，用于设定允许或不允许的应用标识，并对应用进行统计分析，进行合规性检查。

本发明中，使安全控制功能及安全执行功能分离；安全设备能兼容各种安全应用，以支持各种安全业务，对安全业务的安全策略进行解析，生成安全流表，并在安全流表中创建匹配规则；根据安全流表中的匹配规则，对报文执行访问控制，以及状态防火墙、安全VPN和深度报文的检测等。本发明中，安全执行和安全应用可独立进行演化、升级，便于开展新的安全业务；并且，能根据安全策略集中地进行安全管理，抵御零日攻击，减缓分布式拒绝服务攻击；也支持虚拟化多租户安全方式。

附图说明

图1为现有安全设备的组成结构示意图；

图2本发明实施例的开放流表安全增强装置的组成结构示意图；

图3为本发明实施例的开放流表安全增强装置细化结构示意图；

图4为本发明实施例的流表扩展示意图；

图5为本发明实施例的防火墙的处理流程图；

图6为本发明实施例的安全VPN的处理流程图；

图7为本发明实施例的深度报文检测的处理流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下举实施例并参照附图，对本发明进一步详细说明。

图2本发明实施例的开放流表安全增强装置的组成结构示意图，如图2所示，本发明实施例的开放流表安全增强装置包括安全应用单元150、安全控制单元152和安全执行单元154，其中：

安全应用单元150，用于提供各种安全业务的安全应用，以及与所述各种安全业务对应的安全策略、安全协议及特征库；

安全控制单元152，用于对安全业务的安全策略进行解析，生成安全流表，并在所述安全流表中创建匹配规则；并将所述安全流表发送至所述安全执行单元154；

安全执行单元154，用于根据所述安全流表中的匹配规则，对报文执行访问控制，以及状态防火墙、安全虚拟专用网VPN和深度报文的检测。

本发明的开放流表安全增强装置是软件定义网络(SDN，Software DefinedNetwork)/开放流表(OpenFlow)的架构，其支持报文控制和转发的物理分离，安全控制单元152和安全执行单元154之间采用OpenFlow协议进行通信。

接口2(156)是安全控制单元152提供给安全应用150的开放接口；接口1(158)是安全控制单元152和安全执行单元154之间的接口，目前采用转发与控制分离协议(如OpenFlow协议，转发和控制件分离(ForCES，Forwardingand Control Element Separation)协议等)，安全控制单元152通过接口1控制流表的创建和修改，安全执行单元154向安全控制单元152报告状态和发送报文。安全控制单元152可以部署多个，安全控制单元152可以控制一个或多个安全执行单元。

图3为本发明实施例的开放流表安全增强装置细化结构示意图，如图3所示，安全执行单元154中存储有安全流表，根据流表中定义的匹配规则执行相关的安全策略，对报文进行不同的处理，完成访问控制功能、状态防火墙、安全VPN和深度报文检测等功能。安全执行单元154可以是物理的，也可以是虚拟的，如可以为虚拟防火墙。

安全流表主要包括有流状态表222、防火墙流表224、安全VPN流表226、深度报文检测流表228等。

流状态表222是对OpenFlow流表进行扩展而得到的，其使得安全执行单元154支持状态防火墙的能力，用来抵御拒绝服务(DoS，Denial of Service)等恶意攻击。

防火墙流表224是直接重用OpenFlow的流表，提供访问控制列表(ACL，Access Control List)的功能。

安全VPN流表226是对OpenFlow流表进行扩展而得到的，其使得安全执行单元154支持互联网协议安全性(IPsec，Internet Protocol security)VPN、安全套接层(SSL，Secure Sockets Layer)VPN的能力，为报文提供端到端的安全保护。

深度报文检测流表228是对OpenFlow流表进行扩展而得到的，其使得安全执行单元154支持数据包层4(L4)至层7(L7)层协议和应用解析的能力，为安全应用提供应用识别和入侵检测的功能。

安全控制单元152对安全策略进行处理，生成安全流表、在流表中创建匹配规则。安全控制单元的提供资源管理、安全基本能力如深度报文检测、安全策略解析转换。

安全控制单元152包括有安全策略引擎子单元216、安全资源调度子单元218和报文深度解析子单元220，其中：

安全策略引擎子单元216，用于解析遵循特定语法的安全策略文件，转换成流表的规则定义和条目。

安全资源调度子单元218，用于根据安全执行单元154的运行状态和业务的安全需求，动态调度安全执行单元154，并对安全执行单元154进行部署。

报文深度解析子单元220还接收来自安全执行单元154转发的未能识别的报文，根据设定的安全策略对所接收的未知报文进行解析，然后通过安全策略引擎子单元216生成流表条目，并发送到安全执行单元154的深度报文检测流表228中，或者，当需要对该未能识别的报文进行隔离时，将所生成的流表条目发送到防火墙流表224。报文深度解析子单元220为上层的安全应用单元150的开放接口提供报文解析结果。

本发明中，安全应用单元150提供安全策略定义、安全协议、特征库和各种安全业务。具体的，安全应用单元150提供并支持以下功能：

安全策略200，其定义了安全规则，这些安全规则满足用户业务的各种安全需求，可以采用图形化或高级语言进行描述，输出安全策略的描述文件后由安全策略引擎216进行解释执行。安全策略200的定义由各个安全应用的策略构成。

防火墙202，用于配置管理访问控制和基本的防御DoS攻击。

入侵检测预防204，用于配置管理更全面的恶意代码攻击、拒绝服务攻击，提供特征库。

安全VPN206，用于配置管理IPsec VPN和SSL VPN，提供密钥管理协商等控制面的协议，如IPsec中的互联网密钥交换协议(IKE)。

防病毒210，用于配置管理病毒攻击、恶意软件的策略，提供病毒特征库。

用户认证授权214，用于识别合法用户，与安全流表(如流状态表222，防火墙流表等)建立关联。

应用识别212，用于设定允许或不允许的应用标识，作为安全策略的一部分，对应用进行统计分析，进行合规性检查。

图4为本发明实施例的流表扩展示意图，如图4所示，图4(a)定义了状态防火墙流表，用来跟踪连接状态，对新建的连接，检查预先设置的安全规则，允许符合规则的连接通过，并记录下该连接的相关信息，生成状态表。对该连接的后续数据包，只要符合状态表，就可以通过。状态防火墙中流表中定义的字段如下：

用户标识300：用来标识用户身份一串字符，在新建连接时，先进行用户认证授权，认证通过后，用户身份记录在连接状态表中。

流基本字段302：主要是指源地址、目的地址、源端口、目的端口、协议类型等信息，与基本的OpenFlow流表的信息一致。

流状态字段304：主要是指传输层协议(如传输层控制协议TCP)的连接状态信息(如TCP的初始序列号、应答号和标志位)和超时时间等。

图4(b)定义了安全VPN流表，用来提供IPsec VPN，SSL VPN等安全VPN业务。安全VPN流表中定义的字段如下：

VPN标识320：用来标识安全VPN的一串字符，将VPN标识、流基本字段中的IP地址和安全参数索引组合在一起，作为唯一地标识VPN。

流基本字段322：主要是指源地址、目的地址、源端口、目的端口、协议类型等信息，与基本的OpenFlow流表的信息一致。

安全参数索引324：指IPsec报文协议头的安全参数索引字段，是个32比特的信息。

安全服务326：主要是指报文的机密性和完整性服务，来自安全VPN中安全参数协商中确定的安全参数，如密码算法、密钥长度等。

图4(c)定义了深度报文检测流表，定义了应用标识、特征数据和元数据。深度报文检测流表中定义的字段如下：

应用标识340：用来标识应用的一串字符。

特征数据342：主要是指特定应用的特征码，如真值表达式。

元数据344：主要是指特定应用相关联的描述信息，如收件人，发件人，用户标识等。

图5为本发明实施例的防火墙的处理流程图，如图5所示，该防火墙的处理流程分为两个阶段：安全流表定义阶段；流规则匹配执行阶段。

在安全流表定义阶段：

在安全策略200中，管理员根据业务的安全需求制定一组安全规定，输出安全策略描述文件400；安全策略描述文件400可以采用自然语言描述；

防火墙202调用网络操作系统提供的不同接口如访问控制、地址转换等，通过建模工具或编程语言对安全策略进行描述，输出符合语法规范的策略描述文件402。

安全策略引擎216对安全策略描述文件402进行解析转换，通过开放接口404将流表发送到防火墙流表224、流状态表222中。

在流规则匹配执行阶段：

安全执行单元的接口接收到入口流量(报文数据流等)410后，由防火墙流表224进行基本的访问控制匹配，匹配后的流量412进入流状态表222。对于新建连接流量，安全执行单元154将流量转发到安全策略引擎子单元216，由安全策略引擎子单元216决定是否生成流状态表条目，若是则生成，并通过接口408并发送到流状态表中。对于已建连接流量，直接与状态表匹配规则进行匹配，根据匹配的结果执行相应的动作。最后输出出口流量414。

需要说明的是，404、406和408均为开放接口(如OpenFlow)的一部分，防火墙流表224和流状态表222在实际应用中只采用流状态表。

图6为本发明实施例的安全VPN的处理流程图，如图6所示，该安全VPN的处理流程包括：安全流表定义阶段和流规则匹配执行阶段。

在安全流表定义阶段：

在安全策略200中，管理员根据业务的安全需求制定一组安全规定，输出安全策略描述文件600；安全策略描述文件600可以采用自然语言描述；

安全VPN206调用网络操作系统提供的接口，通过建模工具或编程语言对安全策略进行描述，输出符合语法规范的策略描述文件602。

安全策略引擎216对安全策略描述文件602进行解析转换，通过开放接口604将流表发送到安全VPN流表226中。

在流规则匹配执行阶段：

安全执行单元154的接口接收到入口流量(报文数据流等)610后，由安全VPN流表226进行匹配，如根据VPN标识、流表基本字段和安全参数索引对流量中的报文进行匹配。对于满足匹配规则的流量，根据安全VPN流表中匹配的结果执行相应的动作，如执行安全服务，进行完整性保护或机密性保护，最后输出出口流量612。

通过以上描述可知，本发明的技术方案中，安全执行功能和安全应用可独立进行演化、升级，便于开展新的安全业务；并且，能根据安全策略集中地进行安全管理，抵御零日攻击，减缓分布式拒绝服务攻击；也支持虚拟化多租户安全方式。

图7为本发明实施例的深度报文检测的处理流程图，如图7所示，该深度报文检测的处理流程包括安全流表定义阶段和流规则匹配执行阶段。

在安全流表定义阶段：

在安全策略200中，管理员根据业务的安全需求制定一组安全规定，输出安全策略描述文件500；安全策略描述文件500可以采用自然语言描述；

入侵检测预防204或应用识别212调用网络操作系统提供的不同接口如深度报文检测接口，通过建模工具或编程语言对安全策略进行描述，输出符合语法规范的策略描述文件502。

安全策略引擎216对安全策略描述文件502进行解析转换，通过开放接口508将流表下到深度报文检测流表228中。另外，安全策略引擎子单元216通过内部接口504将安全策略发送到安全执行单元154的深度报文检测流表228中。

在流规则匹配执行阶段：

安全执行单元的接口接收到入口流量512后，由深度报文检测流表228进行匹配。对于满足匹配规则的流量，根据深度报文检测流表中匹配的结果执行相应的动作，最后输出出口流量514。对于无法识别的流量，缺省通过接口510转发到安全控制单元152的深度报文检测模块220，然后将识别的结果通过内部接口传递到安全策略引擎子单元216，然后生成新的报文条目后，通过接口508下到深度报文检测流表228中。对于需要实时阻断的流量，安全策略引擎子单元216同时将新的条目下到防火墙流表224中。

需要说明的是，508、510是开放接口(如OpenFlow)的一部分。

显然，本领域的技术人员应该明白，上述的本发明的各处理单元或各步骤可以用通用的计算装置来实现，其可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，其可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (12)

1.一种开放流表安全增强方法，其特征在于，使安全控制功能及安全执行功能分离；所述方法包括：

获取各安全业务对应的安全应用，并从各安全应用中提取与各种安全业务对应的安全策略、安全协议及特征库；

对安全业务的安全策略进行解析，生成安全流表，并在所述安全流表中创建匹配规则；

根据所述安全流表中的匹配规则，对报文执行访问控制，以及状态防火墙、安全虚拟专用网VPN和深度报文的检测。

2.根据权利要求1所述的方法，其特征在于，所述安全控制功能及安全执行功能之间通过报文转发及控制分离的协议进行信息交互。

3.根据权利要求2所述的方法，其特征在于，所述报文转发及控制分离的协议包括开放流表OpenFlow协议，转发和控制件分离ForCES协议。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述对安全业务的安全策略进行解析，生成安全流表，包括：

解析遵循特定语法的安全策略文件，转换成流表的规则定义及条目。

5.根据权利要求4所述的方法，其特征在于，所述安全流表包括以下流表中的至少一种：

流状态表，用于提供状态防火墙功能，抵御拒绝服务攻击DoS的恶意攻击；

防火墙流表，用于提供访问控制表ACL功能；

安全VPN流表，用于提供互联网协议安全性IPsec VPN、安全套接层SSLVPN功能，为报文提供端到端的安全保护；

深度报文检测流表，用于提供应用识别和入侵检测功能。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

对未知报文进行深度解析，生成所述未知报文的深度解析条目，并将所述深度解析条目发送至深度报文检测流表或防火墙流表。

7.根据权利要求4所述的方法，其特征在于，所述安全应用具体提供以下功能的至少一种：

安全策略，用于为各安全应用提供安全规则；

防火墙，用于配置管理访问控制和基本的抵御DoS攻击；

入侵检测预防，用于为恶意代码攻击、拒绝服务攻击提供特征库；

安全VPN，用于配置管理IPsec VPN及SSL VPN，提供密钥管理协商的控制面的协议；

防病毒，用于配置管理病毒攻击、恶意软件的策略，提供病毒特征库；

用户认证授权，用于识别合法用户，与安全流表建立关联；

应用识别，用于设定允许或不允许的应用标识，并对应用进行统计分析，进行合规性检查。

8.一种开放流表安全增强装置，其特征在于，所述装置包括安全应用单元、安全控制单元和安全执行单元，其中：

安全应用单元，用于提供各种安全业务的安全应用，以及与所述各种安全业务对应的安全策略、安全协议及特征库；

安全控制单元，用于对安全业务的安全策略进行解析，生成安全流表，并在所述安全流表中创建匹配规则；并将所述安全流表发送至所述安全执行单元；

安全执行单元，用于根据所述安全流表中的匹配规则，对报文执行访问控制，以及状态防火墙、安全虚拟专用网VPN和深度报文的检测。

9.根据权利要求8所述的装置，其特征在于，所述安全控制单元与所述安全执行单元之间通过报文转发及控制分离的协议接口连接。

10.根据权利要求8或9所述的装置，其特征在于，所述安全控制单元包括安全策略引擎子单元、安全资源调度子单元和报文深度解析子单元，其中：

安全策略引擎子单元，用于解析遵循特定语法的安全策略文件，转换成流表的规则定义及条目；

安全资源调度子单元，用于根据安全执行单元的运行状态和业务的安全需求，动态调度安全执行单元；

报文深度解析子单元，用于接收来自所述安全执行单元转发的未能识别的报文，根据设定的安全策略对所述未识别的报文进行解析，通过所述安全策略引擎子单元生成流表条目，并发送给所述安全执行单元。

11.根据权利要求10所述的装置，其特征在于，所述安全流表包括以下流表中的至少一种：

流状态表，用于提供状态防火墙功能，抵御拒绝服务攻击DoS的恶意攻击；

防火墙流表，用于提供访问控制表ACL功能；

安全VPN流表，用于提供互联网协议安全性IPsec VPN、安全套接层SSLVPN功能，为报文提供端到端的安全保护；

深度报文检测流表，用于提供应用识别和入侵检测功能。

12.根据权利要求10所述的装置，其特征在于，所述安全应用单元具体提供以下功能：

安全策略，用于为各安全应用提供安全规则；

防火墙，用于配置管理访问控制和基本的抵御DoS攻击；

入侵检测预防，用于为恶意代码攻击、拒绝服务攻击提供特征库；

安全VPN，用于配置管理IPsec VPN及SSL VPN，提供密钥管理协商的控制面的协议；

防病毒，用于配置管理病毒攻击、恶意软件的策略，提供病毒特征库；

用户认证授权，用于识别合法用户，与安全流表建立关联；

应用识别，用于设定允许或不允许的应用标识，并对应用进行统计分析，进行合规性检查。

Images