CN105684376A - 数据交换层上的位置服务 - Google Patents

数据交换层上的位置服务 Download PDF

Info

Publication number
CN105684376A
CN105684376A CN201480047592.0A CN201480047592A CN105684376A CN 105684376 A CN105684376 A CN 105684376A CN 201480047592 A CN201480047592 A CN 201480047592A CN 105684376 A CN105684376 A CN 105684376A
Authority
CN
China
Prior art keywords
dxl
equipment
end points
asset management
management engine
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN201480047592.0A
Other languages
English (en)
Inventor
O·阿尔金
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
McAfee LLC
Original Assignee
McAfee LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by McAfee LLC filed Critical McAfee LLC
Publication of CN105684376A publication Critical patent/CN105684376A/zh
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G06F13/42—Bus transfer protocol, e.g. handshake; Synchronisation
    • G06F13/4265—Bus transfer protocol, e.g. handshake; Synchronisation on a point to point bus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/51—Discovery or management thereof, e.g. service location protocol [SLP] or web services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/52—Network services specially adapted for the location of the user terminal

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)
  • Computer And Data Communications (AREA)

Abstract

在示例中，在数据交换层(DXL)上提供了安全连接平台，该平台在发布-订阅模型上提供消息收发。DXL提供了经由DXL中介连接的多个DXL端点。DXL端点经由按照话题划分的DXL消息来进行通信。可以提供资产管理引擎以使用DXL消息收发来查询DXL端点，以便于逻辑地和物理地映射网络。

Description

数据交换层上的位置服务
相关申请的交叉引用
本申请要求2013年9月28日提交的题为“SECURITY-CONNECTEDPLATFORM”的美国临时申请61/884,006的优先权，该临时申请通过援引整体加入本文。2013年12月19日提交的题为“CONTEXT-AWARENETWORKONADATAEXCHANGELAYER”的共同未决PCT申请PCT/US2013/076570也通过援引加入本文。
2014年9月28日提交的题为“SECURITY-CONNECTEDFRAMEWORK”的共同未决PCT国际申请PCT/US2014/057934也通过援引加入本文。
技术领域
本申请涉及企业安全领域，并且更特别地，涉及用于数据交换层的安全连接框架。
背景技术
企业服务总线(ESB)是基于软件的网络架构，其在面向服务的架构上提供数据交换介质。在一些实施例中，ESB是客户端-服务器软件架构的特例，其中客户端可以通过服务器来路由消息。
软件、二进制文件、可执行文件、广告、网页、文档、宏、可执行对象、以及提供给用户的其他数据(统称“可执行对象”)可能包括被恶意软件滥用的安全缺陷和隐私漏洞。如在本说明书中通篇使用的，恶意的软件(“恶意软件”)可以包括病毒、木马、僵尸、隐匿程序(rootkit)、后门、蠕虫、间谍软件、广告软件、勒索软件、拨号器、有效负载(payload)、恶意的浏览器助手对象、信息记录程序(cookie)、登录器、或被设计为进行可能的不想要的动作的类似应用程序或应用程序的一部分，作为非限制的示例，所述不想要的动作包括数据破坏、隐秘的数据收集、隐秘通信、浏览器劫持、网络代理服务器劫持或重定向、隐秘跟踪、数据记录、键盘记录、过多的或有意的待删除障碍、联系人获取、对付费服务的不想要的使用、以及未授权的自我传播。在一些情况下，恶意软件还可以包括包含疏忽的安全缺陷的合法软件，这些疏忽的安全缺陷导致或使得能够进行恶意软件行为。“恶意软件行为”被定义为使应用程序符合恶意软件或灰色软件的任何行为。一些现有的系统被配置为(例如)通过维护已知恶意软件的数据库来识别和拦截恶意软件。
除了可执行对象之外，计算设备可能遇到静态对象，静态对象并非是要改变计算机的操作状态。作为一类，可执行对象和静态对象可以被简单地称为“对象”。企业安全的关心问题是对象的恶意软件状态的分类。
附图说明
在结合附图阅读时，根据下文中的具体实施方式，将更好地理解本公开。要强调的是，根据业内的标准实践，各种特征没有按照比例绘制并且仅用于说明目的。事实上，为讨论的清楚起见，各种特征的尺寸可以被任意地增大或减小。
图1是根据本说明书的一个或多个示例的情境感知网络的框图。
图2是根据本说明书的一个或多个示例的数据交换层的框图。
图3是根据本说明书的一个或多个示例的DXL端点的框图。
图4是根据本说明书的一个或多个示例的服务器的框图。
图5是根据本说明书的一个或多个示例的生产者-消费者架构的框图。
图6是根据本说明书的一个或多个示例的逻辑网络图的框图。
图7是根据本说明书的一个或多个示例的方法的框图。
图8是根据本说明书的一个或多个示例的方法的框图。
图9是根据本说明书的一个或多个示例的方法的框图。
图10是根据本说明书的一个或多个示例的方法的框图。
图11是根据本说明书的一个或多个示例的方法的框图。
具体实施方式
概述
在示例中，在数据交换层(DXL)上提供了安全连接的平台，该平台在发布-订阅模型上提供消息收发。DXL提供经由DXL中介(broker)连接的多个DXL端点(endpoint)。DXL端点经由按话题(topic)划分的消息进行通信。可以提供资产管理引擎(assetmanagementengine)，以使用DXL消息收发来查询DXL端点以便逻辑地和物理地映射网络。
本公开的实施例
下文的公开提供了多个不同的实施例、或示例，以用于实现本公开的不同特征。下文中描述了部件和布置的具体示例以简化本公开。当然，这些仅是示例，并不是要进行限制。此外，本公开可以在各种示例中重复附图标号和/或字母。这种重复是出于简要和清楚的目的，其本身并不指定所讨论的各种实施例和/或配置之间的关系。
不同的实施例大多具有不同的优点，并且不必要求任一实施例都具有特定的优点。
在示例中，本说明书提供了数据交换层(DXL)，其可以在诸如ESB等的基于轻量级的消息收发的通信基础设施上操作，并且可以被配置为允许端点共享情境数据。该DXL建立在诸如ESB等的消息收发技术上，其允许了多个不同的用例和能力(通过在多个不同产品之间共享情境的情境感知和自适应安全性，允许安全部件作为一体来操作，以在允许安全情报和自适应安全性的端点、网关、以及其他安全产品之间立即共享相关数据(根据你正在获取的信息，立即改变行为)；对端点的上级命令和控制以及许多其他用例)。
DXL消息收发使能了实时的、双向的通信基础设施，这允许使用单个的应用程序编程接口(API)来将产品和解决方案相互集成。每个设备可以通过DXL交换结构(DXLfabric)来共享其想要共享的基本上任何数据，而设备本身仅是松散耦合的，并不需要在通用的或标准化的协议上操作。
DXL消息类型的示例包括发布-订阅通知、查询-响应、以及推送通知。设备还可以共享事件，事件包括例如但不限于：安全相关事件、情境信息(关于节点、用户身份、使用的应用程序、设备被找到的位置等)、命令、任务、以及策略。
在一个示例中，客户端设备可以被不同地分类为消息的“生产者”或“使用者”，其中生产者提供相关的安全消息，而消费者接收这些消息。设备的作为生产者或消费者的角色无需是静态的，并且一般地任何设备可以取决于情境是生产者或消费者。设备的作为生产者或消费者的角色还可以随时间或环境变化。由此，一个设备可以既是特定消息话题的生产者又是其消费者；第二设备可以对于一些话题是生产者，但对于其他话题不是生产者；第三设备可以对于一些话题是消费者，而对于其他话题是生产者。
只要客户端订阅一个或多个话题(其中每个话题包括不同类别或种类的消息)，就存在到消费者的通信路径。连接的发起由客户端执行。
如在此说明书中通篇使用的，“DXL消息”包括通过DXLESB通信的任何消息。每个DXL消息包括至少一个“话题”：话题表示该消息的主题或类别。话题可以包括例如但不限于：威胁情报(threatintelligence)、情境、和事件。
通过设计，每个DXL端点被配置为订阅至少一个DXL消息话题(最低限度，用于将DXL消息路由到该DXL端点的专用目的地话题)。这使得能够通过DXL在(例如)管理平台与其所管理的客户端中的一个或多个之间进行双向通信。
图1是具有DXL能力的情境感知网络100的网络级框图。根据该示例，多个DXL端点120连接到DXL企业服务总线(ESB)130(图2)。DXLESB130是DXL交换结构的示例，并且可以在诸如局域网(LAN)等的现有网络上被提供。DXLESB130不需要是特定的物理总线，或甚至不需要驻留在一个物理网络上。确切地说，DXLESB130可以跨越(span)多个物理网络或子网络。概念上，DXLESB130仅是“交换结构(fabric)”，通过该交换结构，DXL端点120共享DXL消息，其中，每个DXL消息包括话题，并且仅有订阅该话题的DXL端点120接收和/或作用于针对该话题的消息。
DXL端点120可以是任何合适的计算设备。在图1的示例中，DXL端点一般被表示为计算设备。在一个示例中，DXL端点120-1可以是嵌入式设备，例如网络安全传感器。DXL端点120-2可以是虚拟机。DXL端点120-3可以是膝上型或笔记本电脑。还应该注意到，DXL端点不限于终端用户设备或客户端设备。
可以将域服务控制器(DSC)180认为是DXL端点120的特例。其他的网络元件可以包括域主机、联合威胁情报(JTI)服务器、默认网关、代理服务器(proxy)、以及威胁情报服务。任何网络元件可以作为DXL端点加入DXLESB130。
被配置为在DXLESB130上操作或借助于DXLESB130操作的网络元件可以被称为“DXL端点”。DXL端点在示例中可以包括DXL端点120，和DXL中介110。
DXL中介110可以被配置为通过DXLESB130来提供DXL消息收发服务，例如维持DXL路由表和递送消息。
DSC180可以被配置为提供域服务，例如辅助和支持服务、反病毒服务、和/或命令和控制服务。在一个特定示例中，DSC180可以包括资产管理引擎和/或物理网络拓扑引擎，如本文所描述的，其可以被配置为逻辑地和物理地对网络资产(networkassets)进行映射或跟踪。此外，或在另一个示例中，DSC180可以包括安全管理软件(SMS)，其可以提供网络命令和控制功能。
在示例中，DXL端点连接到DXLESB130。每个DXL端点被分配不同的标识(identity)，并且一旦启动就(例如经由证书或其他安全令牌)来向DXLESB130认证自身。DXL端点可以(例如通过发送定址到具有特定标识的DXL端点的DXL消息)经由DXLESB130建立一对一的通信。这使得DXL端点能够相互通信，而不必建立点对点的网络连接。在示例中，这类似于人对人的电话呼叫。
在另一个示例中，DXL可以提供发布-订阅框架，其中，某些DXL端点“订阅”某种类型的消息。当DXL端点在DXLESB130上“发布”该类型的消息时，所有的订阅者可以处理该消息，同时，非订阅者可以安全地忽略该消息。在示例中，这类似于播客订阅服务。在又一个示例中，DXL可以提供请求-响应框架。
图2是根据本说明书的一个或多个示例的网络图，公开了在情境感知网络100上的DXLESB130。在该示例中，DXL中介110-1可以被指定为“中心(hub)”，而DXL中介110-2、110-3、110-4、以及110-5可以被指定为“辐条(spoke)”。在示例中，通过辐条的所有DXL通信量将被转发给中心，该中心将会将通信量分布到其他辐条。将DXL中介110指定为中心可以经由任何合适的手段来完成，例如，基于MACID、IP地址、或到域主机的网络接近度来选择中心。
如果DXL中介110-1离线，则可能至少暂时地需要另一个中心。在这种情况下，可以选择另一个中心。当DXL110-1回到线上时，其可以继续其作为中心的职责，或者可以充当辐条，取决于网络拓扑和设计考虑。
在另一个示例中，辐条可以形成暂时性的网格网络(meshnetwork)。在又一个实施例中，DXL110可以被配置为全时(fulltime)地以网格配置操作。
可以通过在不同的网络上桥接DXLESB130来提供额外的可扩展性，使得能够通过更大的网络(包括互联网)来交换数据。
DXL中介110可以被配置为提高DXLESB130的效率。例如，每个DXL中介110可以维护针对每个连接的DXL端点120的订阅话题的列表。DXL110随后本身订阅那些话题。每个DXL中介110还维护每个其他DXL中介110订阅的话题的列表。当DXL中介110接收到来自DXL端点120中的任一个的消息时，DXL中介110确定哪些其他中介订阅了该DXL消息的话题，并且将该消息仅转发给那些中介。
图3是根据本说明书的一个或多个示例的客户端设备120的框图。客户端120可以是任何合适的计算设备。在各种实施例中，作为非限制的示例，“计算设备”可以是或者包括：计算机、嵌入式计算机、嵌入式控制器、嵌入式传感器、个人数字助理(PDA)、膝上型电脑、蜂窝电话、IP电话、智能电话、平板计算机、可变形平板计算机、手持式计算器、或用于处理和传送数据的任何其他电子、微电子、或微机电设备。
客户端设备120包括连接到存储器320的处理器310，存储器320具有存储于其中的用于提供操作系统322和DXL客户端324的可执行指令。客户端设备120的其他部件包括存储设备350、网络接口360、以及外围接口340。
在示例中，处理器310经由存储器总线370-3通信地耦合到存储器320，举例而言，存储器总线370-3可以例如是直接存储器存取(DMA)总线，但是其他存储器架构是可能的，包括其中存储器320经由系统总线370-1或某种其他总线与处理器310进行通信的架构。处理器310可以经由系统总线370-1通信地耦合到其他设备。如在此说明书中通篇使用的，“总线”包括任何有线或无线的互连线、网络、连接、束、单总线、多总线、交叉开关网络(crossbarnetwork)、单级网络、多级网络或可操作地在计算设备的部分之间、或在计算设备之间承载数据、信号或功率的其他传导介质。应该注意到的是，仅通过非限制示例公开了这些使用，并且，一些实施例可以省略前述总线中的一个或多个，而其他实施例可以采用额外的或不同的总线。
在各种示例中，“处理器”可以包括提供可编程逻辑的硬件、软件、或固件的任何组合，作为非限制示例，包括微处理器、数字信号处理器、现场可编程门阵列、可编程逻辑阵列、专用集成电路、或虚拟机处理器。
在DMA配置中，处理器310可以经由DMA总线370-3连接到存储器320。为了简化本公开，存储器320被公开为单个的逻辑块，但是在物理实施例中，其可以包括任何合适的易失性或非易失性存储器(多个)技术的一个或多个块，例如包括DDRRAM、SRAM、DRAM、高速缓存、L1或L2存储器、片上存储器、寄存器、闪存、ROM、光学介质、虚拟存储器区域、磁性或磁带存储器、或类似物。在某些实施例中，存储器320可以包括相对低延迟的易失性主存储器，而存储设备350可以包括相对较高延迟的非易失性存储器。然而，存储器320和存储设备350不需要是物理上单独的设备，并且在一些示例中可能仅表示功能的逻辑分离。还应该注意到，尽管通过公开了例如但不限于DMA，但是DMA不是符合本说明书的唯一协议，并且其他存储器架构是可用的。
存储设备350可以是任何种类的存储器320，或可以是单独的设备，例如硬盘驱动器、固态驱动器、外部存储设备、独立磁盘冗余阵列(RAID)、附接网络的存储设备、光学存储设备、磁带驱动器、备份系统、云存储、或以上的任意组合。存储设备350可以是或可以在其中包括一个或多个数据库或以其他配置存储的数据，并且可以包括操作软件的所存储的副本，操作软件例如是操作系统322以及DXL客户端324的软件部分。许多其它配置也是可能的，并且旨在被包含在本说明书的广义范围内。
可以提供网络接口360以将客户端设备120通信地耦合到有线或无线网络。如在本说明书中通篇使用的，“网络”可以包括可操作以用于在计算设备内或计算设备之间交换数据或信息的任何通信平台，包括例如但不限于：自组织(ad-hoc)局域网、提供具有电子交互能力的计算设备的互联网架构、普通旧式电话系统(POTS)(计算设备可以用它来执行事务(transaction)，其中计算设备可以由人类操作员辅助，或其中人类操作员可以将数据手动地键入电话或其它适合的电子设备)、提供系统中的任意两个节点之间的通信接口或交换的分组数据网络(PDN)、或任何局域网(LAN)、城域网(MAN)、广域网(WAN)、无线局域网(WLAN)、虚拟专用网络(VPN)、内联网、或促进网络或电话环境中的通信的任何其他合适的架构或系统。
网络接口360可以被配置为通信地将客户端设备120耦合到DXL中介110。
DXL客户端324和运行时间代理(runtimeagent)326是“引擎”的示例。如在该代理(agent)中通篇使用的，“引擎”包括一个或多个逻辑元件，逻辑元件包括被配置为执行或可操作用于执行引擎的功能的硬件、软件、和/或固件。引擎可以是在单个设备上独立的，或者可以跨越多个设备。此外，单个的设备可以包括多个引擎。为简化讨论，仅以示例的方式将本文中公开的引擎示为从存储器运行的软件子例程。在一个示例中，引擎是提供具有用于执行特定功能的必要API和接口的主机设备的实用程序或程序。在其他示例中，引擎可以被实现在硬件、软件、固件、或其某种组合中。例如，在一些情况下，引擎可以包括被设计为实施方法或方法的一部分的专门的集成电路，并且还可以包括可操作用于指示处理器执行方法的软件指令。在一些情况中，引擎可以作为“后台(daemon)”进程运行。“后台”可以包括在没有直接的用户交互的情况下操作的、不论以硬件、软件、固件、或其任何组合实现的任何程序或可执行指令的系列，其作为背景进程、终止和常驻(terminate-and-stay-resident)程序、服务、系统扩展、控制面板、启动程序、BIOS子例程、或任何类似程序。在其他示例中，引擎可以包括其他硬件或软件，包括交互的或用户模式的软件，其可以与引擎结合、在引擎之外、或取代引擎而被提供，以执行根据本说明书的方法。
在一个示例中，引擎包括存储在非暂态计算机可读介质上的可执行指令，当被执行时，所述指令可操作地用于执行引擎的方法。在合适的时间，例如启动主机设备时或在来自操作系统或用户的命令时，处理器可以从存储设备取回引擎的副本并将其加载到存储器中。处理器可以随后反复地执行引擎的指令。
外围接口340可以被配置为与连接到客户端设备120的任何辅助设备相接口，但是该辅助设备不必是客户端设备120的核心架构的部分。外围设备(periperal)可以可操作地向客户端设备120提供扩展功能，并且可以完全依赖于或者可以不完全依赖于客户端设备120。在一些情况下，外围设备本身可以是计算设备。外围设备可以包括例如但不限于：诸如显示器、终端、打印机、键盘、鼠标、调制解调器、网络控制器、传感器、换能器、致动器、控制器、数据获取总线、摄像机、麦克风、扬声器、或外部存储设备。
图4是根据本说明书的一个或多个示例的服务器400的框图。如结合图3讨论的，服务器400可以是任何合适的计算设备。一般地，除非另外特别陈述，可以将图3的定义和示例认为是同样适用于图4。然而，服务器400在使用上和概念上可以被用于指代在客户端-服务器架构中提供服务器功能的一类计算设备。由此，在某些实施例中，DSC180、DXL中介110、以及本文描述的其他设备都可以是服务器400的各种实施例。此处对它们一起讨论，这是为清楚起见，并且由于服务器400可以共享多个共同元件。然而，特别应该注意的是，本文描述了多个“引擎”。每个引擎可以包括被配置为提供服务器功能的一个或多个硬件、软件、和/或固件逻辑元件。服务器引擎的数量，以及包括哪些服务器引擎，是由服务器的功能确定的。
服务器400包括连接到存储器420的处理器410，存储器420具有存储于其中的用于提供操作系统422、以及物理网络拓扑引擎424、运行时间代理326、和资产管理引擎428中的一个或多个的可执行指令。服务器400的其他部件包括存储设备450、网络接口460、以及外围接口440。
在示例中，处理器410经由存储器总线470-3通信地耦合到存储器420，存储器总线470-3可以例如是直接存储器存取(DMA)总线。处理器410可以经由系统总线470-1通信地耦合到其他设备。
在DMA配置中，处理器410可以经由DMA总线470-3通信地耦合到存储器420。
如结合图3的存储设备350讨论的，存储设备450可以是任何类型的存储器420，或者可以是单独的设备。存储设备450可以是或者可以在其中包括一个或多个数据库或以其他配置存储的数据，并且可以包括操作软件的所存储的副本，所述操作软件例如是操作系统422，以及物理网络拓扑引擎424、DXL服务引擎426、运行时间代理326、和资产管理引擎428的软件部分。许多其它配置也是可能的，并且旨在涵盖在本说明书的广泛范围内。
可以提供网络接口460来将服务器400通信地耦合到有线或无线网络。
如在上文图3中描述的，物理网络拓扑引擎424、DXL服务引擎426、运行时间代理326、以及资产管理引擎428是引擎的实施例。
资产管理引擎428和物理网络拓扑引擎424可以实施在下面的图6-11中描述的方法。在一个示例中，资产管理引擎428包括资产管理器(MAM)或与其相接口。在一些情况下，资产管理引擎428还可以提供位置服务，如结合图6-11更详细描述的。
外围接口440可以被配置为与连接到服务器400的任何辅助设备连接，但是其不必是服务器400的核心架构的一部分。外围设备可以可操作以向服务器400提供扩展功能，并且可以完全依赖于或可以不完全依赖于服务器400。在一些情况下，外围设备本身可以是计算设备。作为非限制的示例，外围设备可以包括结合图3的外围接口340讨论的设备中的任何一个。
图5是根据本说明书的一个或多个示例的数据交换层的网络级框图。在图5的示例中，五个DXL中介110向DXL端点120提供服务。
具体地，DXL端点120-12和120-14连接到DXL中介110-1。DXL端点120-32和120-34连接到DXL中介110-3。DXL端点120-42和120-44连接到DXL中介110-4。DXL端点120-52和120-54连接到DXL中介110-5。DXL端点120-22连接到DXL中介110-2。
图6-11提供了由本说明书的安全连接框架提供的位置服务的示例。
如在本说明书中使用的，“逻辑位置”包括可以映射到一个或多个地理位置的：一个或多个互连的路由器和/或交换机的集合、一个或多个IP子网的集合、或其他拓扑。例如，企业网络可以包括多个地理位置。单个的企业网络可以包括散布在大量的各种地理位置上的设备。在一个示例中，企业包括在加利福尼亚的圣塔克拉拉、田纳西的布兰诺、印度的班加罗尔、以色列的特拉维夫、以及日本的东京的办公室和/或数据中心。在这样的情况下，可能存在对在特拉维夫的DXL设备与在布兰诺的DXL设备进行通信的需求。
位置情境可以在这样的事务中起到作用，并且其是在满足多个用例的方面起到独特的作用的条件和环境信息的更广泛集合的一部分。作为非限制性示例，这些包括：
收集对组织的真实范围和规模(在该示例中，从圣塔克拉拉向西跨越到东京)的全面理解。
将地理位置和网络位置划分成多个安全区。
确保操作的完备性(compelteness)。
检测安全应用程序没有保护和/或覆盖的网络位置(例如，不包括运行时间安全代理的IP子网或设备)。
支持取决于位置的产品配置。
解决存在冲突的IP寻址的情况。
根据地理或逻辑位置提供基于网络的服务(例如，提供基于位置的服务)。
使得在同一地理位置操作的产品能够形成协作。
在特定实施例中，合适地表示位置至少需要获取在位置上操作的所有路由器的列表，以及每个路由器的以下信息：
接口列表，包括每个接口的配置。
路由表。
内容可寻址存储器(CAM)表，包括介质访问控制(MAC)地址到虚拟局域网(VLAN)映射、以及到达端口映射。CAM表还可以包括将MAC地址映射到IP地址的地址解析协议(ARP)信息。
利用这些信息，DSC180可以编译在位置上使用的所有IP子网的列表，并且可以验证路由器的列表实际上是同一位置的一部分。
由于在同一个网络内可能存在冲突的IP地址分配，因此通过子网的IP地址来表示IP子网将不一定唯一地从另一个子网中识别出一个子网。识别子网的可替换方法是将子网的IP地址与被设置为针对该IP子网的默认网关的路由器接口的MAC地址相关。这种耦合建立了解决冲突的IP寻址表示的问题的唯一标识符。例如：
常用的配置可以包括以下：
路由器的接口可以充当针对多个IP子网的默认网关。
可以使用充当针对多个不同IP子网的默认网关的多个接口来对路由器进行配置。
多个路由器可以在同一位置操作。
IP子网可以定义在两个或更多路由器之间。
在本说明书的一个示例中，可以如下指定逻辑位置：
图6是根据本说明书的一个或多个示例的位置(n)600的网络图。位置(n)600包括五个子网，即子网N610、子网Y620、子网X630、子网Z640、以及子网T650。
在该示例中，路由器R1和R2可以被配置为充当到它们的相应的子网的默认网关。
路由器R1提供多个接口(j,k,i)，分别充当针对IP子网X、Z、和T的默认网关。
交换机S4在接口R1j上与路由器R1接口，并且控制子网Z，子网Z包括端点Z1和Z2。
交换机S1和S3控制子网X。交换机S1在接口R1i上连接到路由器R1。子网X包括连接到交换机S1的端点X1、X2、X3和X4。端点X5、X6、和X7连接到交换机S3，S3还连接到交换机S1。
子网T在接口R1K上逻辑地定义。在该子网上不存在端点。然而，路由器R2在接口R2k上通信地耦合到路由器R1。
路由器R2还包括分别连接到子网Y和T的逻辑接口i和k。连接R2j没有在该图中定义或配置。
子网Y包括交换机S2，其通信地耦合到接口R2i。端点Y1、Y2、和Y3通信地耦合到交换机S2。
交换机S2还经由交换机S5通信地耦合到子网N。注意到，在该示例中，子网N在任何逻辑接口上都不具有到R1或R2的直接的或单跳(singlehop)的链路。
该网络上的条件的非限制示例包括：
两个互连的路由器，即R1和R2。
接口R2i服务子网Y和IP子网N两者。
接口R1k和R2k共享单个子网，即子网T。
因此，位置(n)可以如下表示：
可以在每个设备中将运行时间代理324配置为收集和报告相关信息。在一些情况下，可以向运行时间代理324提供插件以用于收集这样的信息。从运行在多个设备上的运行时间代理324收集的信息可以使得企业能够建立该企业中的所有IP子网的全面和准确的列表。企业安全管理者可以随后手动地将IP子网映射到地理位置。
有利地，这解决了将IP子网映射到地理位置中的一些固有困难，包括：
在网络内，可能使用许多-有时几千个或更多的-IP子网。这使得手动映射困难。
手动地将IP子网与地理位置相关联可能易于出错。
不能假定对网络拓扑的充分理解，这是因为对网络拓扑的欠佳理解可能正是需要通过映射来解决的问题。
在内部IP子网和外部IP子网之间进行区分需要对IT基础设施以及网络的物理拓扑的详细知识。
由此，在一些情况中，自动映射可能优选于手动映射，特别是对大的企业。在一个示例中，网络设备使用SNMP协议来远程地询问所有的路由器和/或交换机以确定在同一位置中操作的网络设备之间存在的连接关系，建立网络的所有位置部分的映射。
可以使用资产管理引擎428来建立并且维护网络的物理网络拓扑。资产管理引擎428提供的输出是已发现的位置的列表，以及它们的物理网络拓扑，所述物理网络拓扑揭露在同一位置操作的路由器和交换机之间的连接关系(例如，2层和3层连接信息)。在一个示例中，由资产管理引擎428提供的输出对内部和外部位置之间的边界进行标记。
资产管理引擎428还包括物理网络拓扑引擎，用于发现和维护设备的逻辑位置、交换机的IP地址、以及设备连接到的端口。可以针对在DXLESB130上操作的每个授权设备提供这些数据。这使得资产管理引擎能够持续地维护网络的物理网络拓扑的准确视图。
在一些情况中，资产管理引擎428建立的虚拟映射可以不与实际的物理网络拓扑完美地对准，特别是当一些设备不包括运行时间代理324或当路由器不能被查询时。在那样的情况中，可以使用手动映射来将虚拟映射关联并且对准到实际映射。
当分布式应用提供多个服务实例(例如，多个策略编排服务器、从网络的不同部分收集日志的多个“安全信息和事件管理(SIEM)接收器”)时，需要在不同服务实例(一个或多个)、每个分布式应用、以及每个实例要服务的位置之间进行映射。一个用例是每个设备位置的服务的自动配置，在这种情况下，资产管理引擎428保持相关信息。
在一个示例中，位置与服务之间的映射是手动过程，其中用户将位置与不同服务的一个或多个实例相关联。资产管理引擎428可以提供合适的图形化用户界面以用于执行这样的功能。
图7是资产管理引擎428为被管理的DXL客户端110提供位置服务的方法的框图。
在发生任何DXL操作前，DXL端点120可以加入网络。例如，DXL端点120可以启动并且与DCHP服务器720进行通信，DCHP服务器702将IP地址和默认网关(例如，默认网关660)分配给DXL端点120。DHCP服务器720还可以将DNS服务器710指定为DNS查找表的合适的源。
在操作1中，DXL端点120查询DNS服务器710以尝试解析(例如)FABRIC.MY_DOMAIN(或所分配的任何其他唯一的域名)。
在操作2中，DNS服务器710用可以被配置为服务于DXL端点120的一个或多个DXL中介110的IP地址来响应该查询。
在操作3中，DXL端点120使用解析的IP地址来尝试经由DXL中介110连接到DXLESB130。如果DNS服务器710提供一个以上的DXL中介110，则DXL端点120可以尝试依次连接到每一个直到其成功地进行连接为止。DXL端点710现在被连接(join)到DXLESB130的交换结构(fabric)。
在操作4中，在成功地连接到DXLESB130之后，DXL端点120订阅消息话题(例如LOCATION_SERVICE(位置服务))以获取对资产管理引擎428提供的位置服务的访问。该消息的话题可以是针对DXL端点120的专用话题。
在操作5中，DXL端点120通过DXL发起与资产管理引擎428的查询-响应通信。作为查询的一部分，DXL端点120提供其MAC地址，以及充当其默认网关的路由器的MAC地址。
在操作6中，资产管理引擎428使用默认网关路由器的MAC地址来识别DXL端点120所属的位置或子网络。资产管理引擎428随后生成专门用于被路由回DXL端点120的DXL响应消息。该DXL消息的主体可以包括DXL端点120的当前位置，以及在该位置可用的服务的列表。资产管理引擎428还可以更新其内部数据库以包括针对DXL端点120的位置信息。
一旦接收到响应消息，DXL端点120就可以使用该信息来自动地配置可用产品和服务，所述产品和服务包括但不限于DXL端点120应该连接到的DXL中介。
在可替换的实施例中，DXL端点120可以被诸如策略编排器等管理系统配置为具有其应该连接以启动过程的(一个或多个)DXL中介的IP地址。
图8是根据本说明书的一个或多个示例的对逻辑位置进行映射的方法的框图。
在图7的示例中，DXL端点120仅学习了与它的第3层(layer-3)连接有关的位置(例如，其正在用作默认网关的路由器)。
在图8的示例中，物理网络拓扑引擎810还可以提供第2层(layer-2)连接数据。在这样的情况中，DXL端点120连接到包括默认网关120和一个或多个交换机680的逻辑网络870。
在操作1中，资产管理引擎428检测到连接到网络的新的设备(如上文讨论)，并且发布DEVICE_DETECTED(检测到设备)消息，该消息包括DXL端点120的MAC地址和充当DXL端点120的默认网关的路由器的MAC地址。资产管理引擎428还可以建立DXL端点120可以连接到的交换机的列表。
在操作2中，使用这样的信息，物理网络拓扑引擎810查询到充当针对DXL端点120的默认网关的路由器的路径上的每个交换机。这得出DXL端点120连接到的交换机的IP地址和端口号。
在操作3中，物理网络拓扑引擎810使用来自操作2的信息来建立DXL端点120的逻辑位置。
在操作4中，物理网络拓扑引擎810在DXLESB130上发布DEVICE_LOGICAL_LOCATION_UPDATE(设备逻辑位置更新)消息。
在操作4中，资产管理引擎428消费该消息并且更新它的记录。
得出的路径的框图示例在图9中可见。交换机S3和S1在第3层路径上，路由器R1的接口R1i服务于该路径。为了找到DXL端点120的位置，使用接口R1i作为其默认网关，物理网络拓扑引擎810查询交换机S3和S1以获取它们对DXL端点120(在这种情况下是端点X3)的MAC地址的知识。使用接收到的应答，并且具有物理网络拓扑知识，物理网络拓扑引擎810推断出DXL端点120经由端口R1i连接到交换机S1。用于完成此目的的方法在美国专利8,811,244中描述，该专利文件被援引加入本文。
图10是根据本说明书的一个或多个示例的确定逻辑位置和物理位置两者的方法的框图。
在操作1中，DXL端点120执行对FABRIC.MY_DOMAIN的DNS查找查询，该查询被导向DNS服务器710。
在操作2中，DNS服务器710用DXL中介110的IP地址来响应该DNS查询，DXL中介110待要作为DXL端点120最初要连接的DXL中介来运行。
在操作3中，DXL端点120经由DXL中介110连接到DXLESB130。
在操作4中，DXL端点120订阅位置服务(LOCATION_SERVICES)消息。
在操作5中，DXL端点120查询资产管理引擎428并且请求位置和服务信息。
在操作6中，资产管理引擎428使用在操作5的请求内包含的属性来将位置和服务信息返回给DXL端点120。
在操作7中，DXL端点120使用响应来自动地配置可用产品。
在操作8中，在操作8(A)中确定DXL端点120的逻辑位置之后，资产管理引擎428的物理网络拓扑引擎810执行设备逻辑位置更新。可以根据图8的公开来进行确定。
图11是根据本说明书的一个或多个示例的维护位置信息的方法的框图。在图11的示例中，提供了运行时间代理插件1110。
在操作1中，当新的设备附接到DXLESB130或附接到运行时间代理插件1110在其上操作的子网时，运行时间代理插件1110发布“检测到设备(DEVICE_DETECTED)”事件。该消息可以包括检测到的设备的MAC地址和IP地址，以及服务该IP子网的路由器的MAC地址。
该消息将要被资产管理引擎428消费。由此，在操作2中，资产管理引擎428使用网关路由器的MAC地址以及IP子网地址来定位新的设备在其上运行的位置并且建立该位置与该设备之间的关联。
在操作3中，资产管理引擎428的物理网络拓扑引擎810根据图8中公开的方法来确定新的设备的物理位置。
在操作4中，资产管理引擎428利用该新的设备的逻辑位置来更新其内部数据库。
上文概述了多个实施例的特征，以使得本领域技术人员能够更好地理解本公开的各方面。本领域技术人员应该认识到，他们可以容易地使用本公开作为设计或修改其他过程或结构的基础，以用于实施相同的目的和/或实现本文介绍的实施例的相同的优点。本领域技术人员还应该意识到，这样的等价的构造不偏离本公开的精神和范围，并且他们可以进行本文的各种变化、替换、以及改变，而不偏离本公开的精神和范围。
本公开的特定实施例可以容易地包括片上系统(SOC)中央处理单元(CPU)封装。SOC表示将计算机或其他电子系统的部件集成到单个芯片中的集成电路(IC)。其可以包括数字、模拟、混合信号、以及射频功能：所有这些功能都可以在单个的芯片衬底上被提供。其他的实施例可以包括多芯片模块(MCM)，具有位于单个电子封装内的多个芯片并且被配置为通过电子封装相互紧密地交互。在各种其他实施例中，数字信号处理功能可以在专用集成电路(ASIC)、现场可编程门阵列(FPGA)、以及其他半导体芯片的一个或多个硅核中实现。
在示例实现中，本文概述的至少部分处理动作还可以以软件实现。在一些实施例证，这些特征中的一个或多个可以在公开的附图中的元件的外部提供的硬件中实现，或者以任何合适的方式被合并以实现期望的功能。各种部件可以包括可以协作的软件或相互作用的软件)，以便于实现本文描述的操作。在其他实施例中，这些元件可以包括促进实施例中的操作的任何合适的算法、硬件、软件、部件、模块、接口、或对象。
此外，可以与所描述的微处理器相关联的部件中的一些可以被移除，或者以其他方式被整合。一般意义上，就其表示而言，图中描绘的布置更多地是逻辑的，然而物理架构可以包括各种排列、组合、和/或这些元件的混合。必须注意到，可以使用无数可能的设计配置来实现本文描述的操作目标。因此，相关联的基础设施具有大量的替换布置、设计选择、设备可能性、硬件配置、软件实现、配备选项等。
任何合适配置的处理器可以执行与数据相关联的任何类型的指令以实现本文详细描述的操作。本文公开的任何处理器可以将元件或物品(例如，数据)从一个状态或事物变换成另一个状态或事物。在另一个示例中，可以利用固定逻辑或可编程逻辑(例如，由处理器执行的软件和/或计算机指令)来实现本文描述的一些动作并且本文所标示的元件可以是可编程处理器、可编程数字逻辑(例如，现场可编程逻辑阵列(FPGA)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM))、包括数字逻辑、软件、代码、电子指令、闪速存储器、光盘、CD-ROM、DVDROM、磁或光卡、适于存储电子指令的其他类型的机器可读介质中的某种、或其任何组合的专用集成电路(ASIC)。在操作中，处理器可以在合适时以及基于特定的需求，将信息存储在任何合适类型的非暂态介质(例如，随机存储存储器(RAM)、只读存储器(ROM)、现场可编程门阵列(FPGA)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)等)、软件、硬件中，或存储在任何其他合适的部件、设备、元件、或对象中。此外，在处理器中被跟踪、发送、接收、或存储的信息可以基于特定需求和实现，在任何数据库、寄存器、表、高速缓存、队列、控制列表、或存储结构中被提供，所有这些可以在任何合适的时间帧中被参考。本文讨论的存储器项中的任一个应该被解释为被包含在广义术语‘存储器’内。类似地，本文描述的可能的处理元件、模块、和设备中的任一个应该被解释为被包含在广义的术语‘微处理器’或‘处理器’内。此外，在各种实施例中，处理器、存储器、网卡、总线、存储设备、相关外围设备、以及本文描述的其他硬件元件可以通过处理器、存储器、或由软件或固件配置为仿真或虚拟化这些硬件元件的功能的其他相关设备来实现。
实现本文描述的功能的全部或部分的计算机程序逻辑以各种形式实现，包括但不限于源代码形式、计算机可执行文件形式、以及各种中间形式(例如，由汇编器、编译器、链接器、定位器生成的形式)。在示例中，源代码包括以各种编程语言实现的一系列计算机程序指令，所述编程语言例如是目标代码、汇编语言、或诸如OpenCL、Fortran、C、C++、JAVA、或HTML等的高级语言。源代码可以定义和使用各种数据结构和通信消息。源代码可以是计算机可执行形式(例如经由解释器)，或者源代码可以被转化(例如，经由翻译器、汇编器、或编译器)成计算机可执行形式。
在以上实施例的讨论中，电容、缓冲器、电阻、放大器、开关、数字核心、三极管、和/或其他部件可以被容易地取代、替换、或被修改以便于适应特定的电路需求。此外，应该注意到，互补电子设备、硬件、非暂态软件等的使用提供了用于实现本公开的教示的同样可行的选项。
在一个示例实施例中，附图中的任何数量的电路可以在相关联的电子设备的板上实现。该板可以是能够容纳该电子设备的内部电子系统的各种部件并且进一步提供用于其他外围设备的连接器的通用电路板。更具体地，该板可以提供电气连接，系统的其他部件可以通过这些电气连接电气地通信。基于特定的配置需求、处理要求、计算机设计等，任何合适的处理器(包括数字信号处理器、微处理器、支持芯片组等)、存储器元件等可以合适地耦合到该板。诸如外部存储设备、额外的传感器、用于音频/视频显示的控制器、以及外围设备等的其他部件可以经由线缆、作为插入卡连接到该板，或者本身集成到该板中。在另一个示例实施例中，附图中的电路可以被实现为独立模块(例如，具有被配置为执行特定应用或功能的相关联的部件和电路的设备)或者被实现为电子设备的专用硬件中的插件模块。
注意到，利用本文提供的大量示例，可以根据两个、三个、四个、或更多的电子部件来描述交互。然而，这仅是出于清楚和示例的目的而被完成。应该认识到，系统可以以任何合适的方式整合。在相似的设计替换方案中，示出的附图中的部件、模块、以及元件中的任一个可以以各种可能的配置结合，这些配置显然在本说明书的广泛范围内。在某些情况下，仅参照限制数量的电器元件，可以更容易地描述给定的流程集合的功能中的一个或多个。应该认识到，附图中的电路以及附图的教示是可扩展的，并且可以容纳大量的部件、以及更复杂/精密的布置和配置。因此，提供的实施例不应该限制范围或抑制电路的广泛教示，因其可能应用到大量其他架构。
可以由本领域技术人员确定各种其他变化、替换、变形、改变、和修改，以及旨在表示本公开涵盖落入所附的权利要求的范围内的所有这样的变化、替换、变形、改变、和修改。为了帮助美国专利商标局(USPTO)以及还帮助基于本申请发表的任何专利的读者来理解本文所附的权利要求，申请人希望说明，申请人：(a)除非在特定的权利要求中特别使用了词语“用于…的装置”或“用于…的步骤”，否则不想要所附权利要求中的任一个牵涉美国法典(U.S.C)112条六(6)款，因所附权利要求中的任一个是如在本文的提交日存在的；以及(b)不想要通过说明书中的任何陈述以没有在权利要求中另有反映的任何方式限制本公开。
示例实现
示例1中公开了一种用于数据交换层(DXL)的域服务控制器装置，包括：网络接口，能够操作以用于将所述装置通信地耦合到DXL企业服务总线(ESB)；包括DXL服务引擎的一个或多个逻辑元件，所述DXL服务引擎能够操作以提供用于经由所述DXLESB与DXL端点进行通信的应用程序编程接口；以及包括资产管理引擎的一个或多个逻辑元件，所述资产管理引擎能够操作以用于：订阅DXL位置服务话题；经由所述DXLESB接收来自DXL端点的DXL位置服务查询；以及经由所述DXLESB将网络位置数据提供给所述DXL端点。
示例2中公开了，根据示例1的装置，其中，提供网络位置数据包括提供逻辑网络位置数据。
示例3中公开了，根据示例1的装置，其中，提供网络位置数据包括提供物理网络位置数据。
示例4中公开了，根据示例1的装置，其中，提供网络位置数据包括：经由DXL查询接收与所述DXL端点有关的信息；基于与DXL客户端有关的信息，确定所述DXL客户端的逻辑位置；发布包括所述逻辑位置的DXL响应。
示例5中公开了，根据示例4的装置，其中，所述DXL响应的话题是所述DXL客户端的专用目的地话题。
示例6中公开了，根据示例1的装置，其中，所述资产管理引擎进一步包括能够操作以用于映射物理网络位置的物理网络拓扑引擎。
示例7中公开了，根据示例1的装置，其中，所述资产管理引擎还能够操作以用于与能够操作以用于映射物理网络位置的物理网络拓扑引擎交互操作。
示例8中公开了，根据示例1-7中任一个的装置，其中，所述资产管理引擎还能够操作以用于：订阅DXL设备检测话题；接收DXL设备检测消息，所述DXL设备检测消息包括针对检测到的设备的标识符和针对用于所述检测到的设备的中介(broker)的标识符；建立到所述检测到的设备的交换机的列表；以及建立所述检测到的设备的逻辑位置。
示例9中公开了，根据示例8的装置，其中，所述资产管理引擎还能够操作以用于发布所述检测到的设备的所述逻辑位置作为检测到的设备的DXL消息。
示例10中公开了，根据示例1-7中任一个的装置，其中，所述资产管理引擎能够操作以用于提供逻辑位置服务和物理位置服务两者。
示例11中公开了，根据示例1-7中任一个的装置，其中，所述资产管理引擎能够操作以用于接收用于更新所述位置服务的手动用户输入。
示例12中公开了，根据示例1-7中任一个的装置，其中，所述装置还被配置为充当DXL生产者-消费者架构中的生产者。
示例13中公开了，根据示例1-7中任一个的装置，其中，所述装置还被配置为充当DXL位置服务消息的生产者。
示例14中公开了一个或多个计算机可读介质，具有存储于其上的用于指示处理器提供数据交换层(DXL)资产管理引擎的指令，所述资产管理引擎能够操作以用于：订阅DXL位置服务话题；经由DXL企业服务总线(ESB)接收来自DXL端点的DXL位置服务查询；以及经由所述DXLESB将网络位置数据提供给所述DXL端点。
示例15中公开了，根据示例14的一个或多个计算机可读介质，其中，提供网络位置数据包括提供逻辑网络位置数据。
示例16中公开了，根据示例14的一个或多个计算机可读介质，其中，提供网络位置数据包括提供物理网络位置数据。
示例17中公开了，根据示例14的一个或多个计算机可读介质，其中，提供网络位置数据包括：经由DXL查询接收与所述DXL端点有关的信息；基于与DXL客户端有关的信息，确定所述DXL客户端的逻辑位置；以及发布包括所述逻辑位置的DXL响应。
示例18中公开了，根据示例17的一个或多个计算机可读介质，其中，所述DXL响应的话题是所述DXL客户端的专用目的地话题。
示例19中公开了，根据示例14的一个或多个计算机可读介质，其中，所述资产管理引擎还包括能够操作以用于映射物理网络位置的物理网络拓扑引擎。
示例20中公开了，根据示例14的一个或多个计算机可读介质，其中，所述资产管理引擎还能够操作以用于与能够操作以用于映射物理网络位置的物理网络拓扑引擎交互操作。
示例21中公开了，根据示例14-20中任一个的一个或多个计算机可读介质，其中，所述资产管理引擎还能够操作以用于：订阅DXL设备检测话题；接收DXL设备检测消息，所述DXL设备检测消息包括针对检测到的设备的标识符和针对用于所述检测到的设备的中介的标识符；建立到所述检测到的设备的交换机的列表；以及建立所述检测到的设备的逻辑位置。
示例22中公开了，根据示例21的一个或多个计算机可读介质，其中，所述资产管理引擎还能够操作以用于发布所述检测到的设备的逻辑位置作为检测到的设备的DXL消息。
示例23中公开了，根据示例14-20中任一个的一个或多个计算机可读介质，其中，所述资产管理引擎能够操作以用于接收用于更新所述位置服务的手动用户输入。
示例24中公开了一种数据交换层(DXL)上的位置服务的计算机的实现方法，包括：订阅DXL位置服务话题；经由DXL企业服务总线(ESB)接收来自DXL端点的DXL位置服务查询；以及经由所述DXLESB将网络位置数据提供给所述DXL端点。
示例25中公开了，示例24的计算机实现的方法，其中，还包括：订阅DXL设备检测话题；接收DXL设备检测消息，所述DXL设备检测消息包括针对检测到的设备的标识符和针对用于所述检测到的设备的中介的标识符；建立到所述检测到的设备的交换机的列表；以及建立所述检测到的设备的逻辑位置。
示例26中公开了一种方法，包括执行示例14-23中任一个公开的指令。
示例27中公开了一种装置，包括用于执行示例26的方法的模块。
示例28中公开了，根据示例27的装置，其中，装置包括处理器和存储器。
示例29中公开了，根据示例28的装置，其中，装置还包括计算机可读介质，该计算机可读介质具有存储于其上的用于执行示例26的方法的软件指令。

Claims (25)

1.一种用于数据交换层(DXL)的域服务控制器装置，包括：
网络接口，能够操作以用于将所述装置通信地耦合到DXL企业服务总线(ESB)；
包括DXL服务引擎的一个或多个逻辑元件，所述DXL服务引擎能够操作以提供用于经由所述DXLESB与DXL端点进行通信的应用程序编程接口；以及
包括资产管理引擎的一个或多个逻辑元件，所述资产管理引擎能够操作以用于：
订阅DXL位置服务话题；
经由所述DXLESB接收来自DXL端点的DXL位置服务查询；以及
经由所述DXLESB将网络位置数据提供给所述DXL端点。
2.根据权利要求1所述的装置，其中，提供网络位置数据包括提供逻辑网络位置数据。
3.根据权利要求1所述的装置，其中，提供网络位置数据包括提供物理网络位置数据。
4.根据权利要求1所述的装置，其中，提供网络位置数据包括：
经由DXL查询接收与所述DXL端点有关的信息；
基于与DXL客户端有关的信息，确定所述DXL客户端的逻辑位置；
发布包括所述逻辑位置的DXL响应。
5.根据权利要求4所述的装置，其中，所述DXL响应的话题是所述DXL客户端的专用目的地话题。
6.根据权利要求1所述的装置，其中，所述资产管理引擎进一步包括能够操作以用于映射物理网络位置的物理网络拓扑引擎。
7.根据权利要求1所述的装置，其中，所述资产管理引擎还能够操作以用于与能够操作以用于映射物理网络位置的物理网络拓扑引擎交互操作。
8.根据权利要求1-7中任一项所述的装置，其中，所述资产管理引擎还能够操作以用于：
订阅DXL设备检测话题；
接收DXL设备检测消息，所述DXL设备检测消息包括针对检测到的设备的标识符和针对用于所述检测到的设备的中介的标识符；
建立到所述检测到的设备的交换机的列表；以及
建立所述检测到的设备的逻辑位置。
9.根据权利要求8所述的装置，其中，所述资产管理引擎还能够操作以用于发布所述检测到的设备的所述逻辑位置作为检测到的设备的DXL消息。
10.根据权利要求1-7中任一项所述的装置，其中，所述资产管理引擎能够操作以用于提供逻辑位置服务和物理位置服务两者。
11.根据权利要求1-7中任一项所述的装置，其中，所述资产管理引擎能够操作以用于接收用于更新所述位置服务的手动用户输入。
12.根据权利要求1-7中任一项所述的装置，其中，所述装置还被配置为充当DXL生产者-消费者架构中的生产者。
13.根据权利要求1-7中任一项所述的装置，其中，所述装置还被配置为充当DXL位置服务消息的生产者。
14.一个或多个计算机可读介质，具有存储于其上的用于指示处理器提供数据交换层(DXL)资产管理引擎的指令，所述资产管理引擎能够操作以用于：
订阅DXL位置服务话题；
经由DXL企业服务总线(ESB)接收来自DXL端点的DXL位置服务查询；以及
经由所述DXLESB将网络位置数据提供给所述DXL端点。
15.根据权利要求14所述的一个或多个计算机可读介质，其中，提供网络位置数据包括提供逻辑网络位置数据。
16.根据权利要求14所述的一个或多个计算机可读介质，其中，提供网络位置数据包括提供物理网络位置数据。
17.根据权利要求14所述的一个或多个计算机可读介质，其中，提供网络位置数据包括：
经由DXL查询接收与所述DXL端点有关的信息；
基于与DXL客户端有关的信息，确定所述DXL客户端的逻辑位置；以及
发布包括所述逻辑位置的DXL响应。
18.根据权利要求17所述的一个或多个计算机可读介质，其中，所述DXL响应的话题是所述DXL客户端的专用目的地话题。
19.根据权利要求14所述的一个或多个计算机可读介质，其中，所述资产管理引擎还包括能够操作以用于映射物理网络位置的物理网络拓扑引擎。
20.根据权利要求14所述的一个或多个计算机可读介质，其中，所述资产管理引擎还能够操作以用于与能够操作以用于映射物理网络位置的物理网络拓扑引擎交互操作。
21.根据权利要求14-20中任一项所述的一个或多个计算机可读介质，其中，所述资产管理引擎还能够操作以用于：
订阅DXL设备检测话题；
接收DXL设备检测消息，所述DXL设备检测消息包括针对检测到的设备的标识符和针对用于所述检测到的设备的中介的标识符；
建立到所述检测到的设备的交换机的列表；以及
建立所述检测到的设备的逻辑位置。
22.根据权利要求21所述的一个或多个计算机可读介质，其中，所述资产管理引擎还能够操作以用于发布所述检测到的设备的逻辑位置作为检测到的设备的DXL消息。
23.根据权利要求14-20中任一项所述的一个或多个计算机可读介质，其中，所述资产管理引擎能够操作以用于接收用于更新所述位置服务的手动用户输入。
24.一种数据交换层(DXL)上的位置服务的计算机实现的方法，包括：
订阅DXL位置服务话题；
经由DXL企业服务总线(ESB)接收来自DXL端点的DXL位置服务查询；以及
经由所述DXLESB将网络位置数据提供给所述DXL端点。
25.根据权利要求24所述的计算机实现的方法，还包括：
订阅DXL设备检测话题；
接收DXL设备检测消息，所述DXL设备检测消息包括针对检测到的设备的标识符和针对用于所述检测到的设备的中介的标识符；
建立到所述检测到的设备的交换机的列表；以及
建立所述检测到的设备的逻辑位置。
CN201480047592.0A 2013-09-28 2014-09-28 数据交换层上的位置服务 Withdrawn CN105684376A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201361884006P 2013-09-28 2013-09-28
US61/884,006 2013-09-28
PCT/US2014/057935 WO2015048599A1 (en) 2013-09-28 2014-09-28 Location services on a data exchange layer

Publications (1)

Publication Number Publication Date
CN105684376A true CN105684376A (zh) 2016-06-15

Family

ID=52744555

Family Applications (3)

Application Number Title Priority Date Filing Date
CN201480047592.0A Withdrawn CN105684376A (zh) 2013-09-28 2014-09-28 数据交换层上的位置服务
CN201480048580.XA Active CN105519041B (zh) 2013-09-28 2014-09-28 安全连接的框架
CN201910198004.8A Active CN109871348B (zh) 2013-09-28 2014-09-28 安全连接的框架

Family Applications After (2)

Application Number Title Priority Date Filing Date
CN201480048580.XA Active CN105519041B (zh) 2013-09-28 2014-09-28 安全连接的框架
CN201910198004.8A Active CN109871348B (zh) 2013-09-28 2014-09-28 安全连接的框架

Country Status (3)

Country Link
US (4) US10609088B2 (zh)
CN (3) CN105684376A (zh)
WO (2) WO2015048599A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113098914A (zh) * 2019-12-23 2021-07-09 中国移动通信集团湖南有限公司 消息总线系统及消息传输方法、装置、电子设备

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105493047A (zh) * 2013-09-28 2016-04-13 迈克菲股份有限公司 在数据交换层上合并多个系统树
WO2015048599A1 (en) 2013-09-28 2015-04-02 Mcafee Inc. Location services on a data exchange layer
WO2015047435A1 (en) * 2013-09-28 2015-04-02 Mcafee, Inc. Context-aware network on a data exchange layer
US9807118B2 (en) 2014-10-26 2017-10-31 Mcafee, Inc. Security orchestration framework
US10887253B1 (en) * 2014-12-04 2021-01-05 Amazon Technologies, Inc. Message queuing with fan out
US20160232349A1 (en) * 2015-02-09 2016-08-11 Fortinet, Inc. Mobile malware detection and user notification
US10523525B2 (en) * 2015-09-21 2019-12-31 Ruby Tech Corporation Network switch, device management system, and device management method thereof
US10447828B2 (en) * 2016-03-01 2019-10-15 Microsoft Technology Licensing, Llc Cross-application service-driven contextual messages
CN106059892A (zh) * 2016-05-17 2016-10-26 中国科学院沈阳计算技术研究所有限公司 一种用于融合通信系统的消息引擎
US10263849B2 (en) 2016-10-25 2019-04-16 Servicenow, Inc. System and method for generating discovery profiles for discovering components of computer networks
US10938926B2 (en) * 2016-12-30 2021-03-02 Fortinet, Inc. User and IoT (internet of things) apparatus tracking in a log management system
US10445479B2 (en) 2016-12-30 2019-10-15 Fortinet, Inc. Spatiotemporal credential leak detection to prevent identity fraud using a log management system
CN110086636B (zh) * 2019-04-17 2022-03-25 平安科技（深圳）有限公司 一种基于mqtt的消息分发方法、服务器及存储介质
US11226984B2 (en) * 2019-08-13 2022-01-18 Capital One Services, Llc Preventing data loss in event driven continuous availability systems
CN113206872B (zh) * 2021-04-22 2022-06-03 深圳感臻智能股份有限公司 一种消息发送方法、终端及计算机存储介质
CN113835909B (zh) * 2021-09-30 2023-10-24 中国电子科技集团公司第二十八研究所 一种基于消息框架的应用集成方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050201299A1 (en) * 2004-03-12 2005-09-15 Alcatel Interworking network maps of network management and element management systems
CN101547424A (zh) * 2009-04-30 2009-09-30 华为技术有限公司 一种终端接入位置获取方法、装置和系统
US20100057835A1 (en) * 2008-08-29 2010-03-04 Mark Cameron Little Information on availability of services provided by publish-subscribe service
CN102137329A (zh) * 2011-03-01 2011-07-27 华为终端有限公司 定位方法和设备

Family Cites Families (48)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6073142A (en) * 1997-06-23 2000-06-06 Park City Group Automated post office based rule analysis of e-mail messages and other data objects for controlled distribution in network environments
US5987610A (en) * 1998-02-12 1999-11-16 Ameritech Corporation Computer virus screening methods and systems
US6460050B1 (en) 1999-12-22 2002-10-01 Mark Raymond Pace Distributed content identification system
US6901519B1 (en) * 2000-06-22 2005-05-31 Infobahn, Inc. E-mail virus protection system and method
US7254614B2 (en) * 2001-11-20 2007-08-07 Nokia Corporation Web services push gateway
US7100204B1 (en) * 2002-04-05 2006-08-29 International Business Machines Corporation System and method for determining network users' physical locations
US9027120B1 (en) * 2003-10-10 2015-05-05 Hewlett-Packard Development Company, L.P. Hierarchical architecture in a network security system
US8015604B1 (en) * 2003-10-10 2011-09-06 Arcsight Inc Hierarchical architecture in a network security system
US8201257B1 (en) * 2004-03-31 2012-06-12 Mcafee, Inc. System and method of managing network security risks
US20060117020A1 (en) * 2004-12-01 2006-06-01 John Toebes Arrangement for selecting a server to provide distributed services from among multiple servers based on a location of a client device
US20080140759A1 (en) 2006-03-21 2008-06-12 Conner Peter A Dynamic service-oriented architecture system configuration and proxy object generation server architecture and methods
WO2008036777A2 (en) * 2006-09-19 2008-03-27 Bea Systems, Inc. System and method for supporting service networks in a service-oriented architecture environment
US8782249B1 (en) * 2006-09-28 2014-07-15 Rockwell Automation Technologies, Inc. Message engine
US8549122B2 (en) * 2006-12-04 2013-10-01 Oracle International Corporation System and method for communication agent within a fully distributed network
US8959568B2 (en) * 2007-03-14 2015-02-17 Microsoft Corporation Enterprise security assessment sharing
US20080250097A1 (en) * 2007-04-04 2008-10-09 Adadeus S.A.S Method and system for extending the services provided by an enterprise service bus
JP2008271339A (ja) * 2007-04-23 2008-11-06 Toshiba Corp セキュリティゲートウェイシステムとその方法およびプログラム
US20080288330A1 (en) * 2007-05-14 2008-11-20 Sailpoint Technologies, Inc. System and method for user access risk scoring
US9038125B2 (en) * 2007-08-24 2015-05-19 Red Hat, Inc. Self identifying services in distributed computing
US20090089078A1 (en) * 2007-09-28 2009-04-02 Great-Circle Technologies, Inc. Bundling of automated work flow
US8620965B2 (en) * 2008-08-28 2013-12-31 Red Hat, Inc. Dynamic configuration of services using a syndication feed
US8570905B2 (en) * 2008-09-26 2013-10-29 International Business Machines Corporation Adaptive enterprise service bus (ESB) runtime system and method
US8140582B2 (en) * 2008-10-07 2012-03-20 International Business Machines Corporation Service oriented architecture aggregation
US8515445B2 (en) * 2008-11-24 2013-08-20 International Business Machines Corporation Location based services with multiple transmission methods
US8055775B2 (en) * 2009-03-25 2011-11-08 International Business Machines Corporation SOA policy engine framework
US8555407B2 (en) * 2009-10-09 2013-10-08 Lockheed Martin Corporation On demand visibility services and smart directory
US8380797B2 (en) * 2009-11-09 2013-02-19 General Electric Company Business data exchange layer
US8364745B2 (en) * 2009-11-24 2013-01-29 International Business Machines Corporation Service oriented architecture enterprise service bus with universal ports
US8397298B2 (en) * 2009-12-08 2013-03-12 At&T Intellectual Property I, L.P. Method and system for content distribution network security
US8321909B2 (en) * 2009-12-22 2012-11-27 International Business Machines Corporation Identity mediation in enterprise service bus
US8494974B2 (en) * 2010-01-18 2013-07-23 iSIGHT Partners Inc. Targeted security implementation through security loss forecasting
US8793789B2 (en) * 2010-07-22 2014-07-29 Bank Of America Corporation Insider threat correlation tool
US10191783B2 (en) * 2010-02-26 2019-01-29 Red Hat, Inc. UDP multicast over enterprise service bus
US8868728B2 (en) * 2010-03-11 2014-10-21 Accenture Global Services Limited Systems and methods for detecting and investigating insider fraud
US8984533B2 (en) * 2010-04-15 2015-03-17 Rockwell Automation Technologies, Inc. Systems and methods for conducting communications among components of multidomain industrial automation system
US8712596B2 (en) * 2010-05-20 2014-04-29 Accenture Global Services Limited Malicious attack detection and analysis
US9537747B2 (en) * 2010-06-11 2017-01-03 International Business Machines Corporation Publish/subscribe overlay network control system
US8701128B2 (en) * 2011-02-14 2014-04-15 General Electric Company Method, system and computer program product for a client application programming interface (API) in a service oriented architecture
US20120226789A1 (en) * 2011-03-03 2012-09-06 Cisco Technology, Inc. Hiearchical Advertisement of Data Center Capabilities and Resources
US9118702B2 (en) * 2011-05-31 2015-08-25 Bce Inc. System and method for generating and refining cyber threat intelligence data
US8595837B2 (en) * 2011-08-29 2013-11-26 Novell, Inc. Security event management apparatus, systems, and methods
US8595269B2 (en) * 2011-09-02 2013-11-26 Infosys Limited Managing classification hierarchies in master data management environments
US20130074143A1 (en) * 2011-09-15 2013-03-21 Mcafee, Inc. System and method for real-time customized threat protection
US8813228B2 (en) * 2012-06-29 2014-08-19 Deloitte Development Llc Collective threat intelligence gathering system
US9043874B2 (en) * 2012-11-28 2015-05-26 Wal-Mart Stores, Inc. System and method for protecting data in an enterprise environment
US20140149599A1 (en) * 2012-11-29 2014-05-29 Ricoh Co., Ltd. Unified Application Programming Interface for Communicating with Devices and Their Clouds
US10389760B2 (en) * 2013-08-19 2019-08-20 Trend Micro Incorporated Adaptive network security policies
WO2015048599A1 (en) 2013-09-28 2015-04-02 Mcafee Inc. Location services on a data exchange layer

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050201299A1 (en) * 2004-03-12 2005-09-15 Alcatel Interworking network maps of network management and element management systems
US20100057835A1 (en) * 2008-08-29 2010-03-04 Mark Cameron Little Information on availability of services provided by publish-subscribe service
CN101547424A (zh) * 2009-04-30 2009-09-30 华为技术有限公司 一种终端接入位置获取方法、装置和系统
CN102137329A (zh) * 2011-03-01 2011-07-27 华为终端有限公司 定位方法和设备

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113098914A (zh) * 2019-12-23 2021-07-09 中国移动通信集团湖南有限公司 消息总线系统及消息传输方法、装置、电子设备
CN113098914B (zh) * 2019-12-23 2022-09-30 中国移动通信集团湖南有限公司 消息总线系统及消息传输方法、装置、电子设备

Also Published As

Publication number Publication date
US11005895B2 (en) 2021-05-11
CN105519041A (zh) 2016-04-20
CN109871348A (zh) 2019-06-11
WO2015048598A1 (en) 2015-04-02
US10142373B2 (en) 2018-11-27
US20160205142A1 (en) 2016-07-14
WO2015048599A1 (en) 2015-04-02
US11665205B2 (en) 2023-05-30
US20160212228A1 (en) 2016-07-21
US10609088B2 (en) 2020-03-31
CN109871348B (zh) 2023-07-28
CN105519041B (zh) 2019-03-01
US20200228575A1 (en) 2020-07-16
US20210250382A1 (en) 2021-08-12

Similar Documents

Publication Publication Date Title
CN105684376A (zh) 数据交换层上的位置服务
US11343152B2 (en) Traffic management for smart network interface cards
JP5809696B2 (ja) 分散型仮想ネットワーク・ゲートウェイ
CN111917649B (zh) 虚拟私有云通信及配置方法以及相关装置
CN107070691B (zh) Docker容器的跨主机通信方法和系统
CN104038401B (zh) 用于分布式覆盖虚拟环境的互操作性的方法和系统
CN103200069B (zh) 一种报文处理的方法和设备
US9942143B2 (en) Routing messages between virtual networks
CN103595648B (zh) 用于在服务器的接收侧进行负载均衡的方法和系统
CN104718733B (zh) 基于分组的标识符定位符网络协议(ilnp)负载平衡和路由选择的方法和系统
CN111885075A (zh) 容器通信方法、装置、网络设备及存储介质
CN111431956B (zh) 跨网络的服务访问方法、设备、系统及存储介质
US20120243521A1 (en) Gateway device
US11929976B2 (en) Virtual network routing gateway that supports address translation for dataplane as well as dynamic routing protocols (control plane)
WO2021012601A1 (zh) 报文处理方法、装置、设备及可读存储介质
JP2024507146A (ja) キャッシュされた構成情報およびキャッシュされない構成情報に基づいたクラウドインフラストラクチャにおけるパケットフロー
US20240089328A1 (en) Systems and methods for dynamic federated api generation
CN107547665A (zh) 一种dhcp地址分配的方法、设备及系统
JP2024507143A (ja) オーバーレイネットワークにおけるｉｐアドレスのスケーリング
CN105450585A (zh) 一种信息传输方法及装置
JP2024503322A (ja) 仮想化されたクラウド環境におけるレイヤ２ネットワーキングストーム制御
CN116389599A (zh) 网关服务请求的处理、云原生网关系统的管理方法及装置
CN107896188A (zh) 数据转发方法及装置
US11245623B2 (en) Method and apparatus for collecting data in network communication using concealed user address
US11108735B2 (en) Mapping subnets in different virtual networks using private address space

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication
WW01 Invention patent application withdrawn after publication

Application publication date: 20160615