CN111030971A - 一种分布式访问控制方法、装置及存储设备 - Google Patents

一种分布式访问控制方法、装置及存储设备 Download PDF

Info

Publication number
CN111030971A
CN111030971A CN201910215923.1A CN201910215923A CN111030971A CN 111030971 A CN111030971 A CN 111030971A CN 201910215923 A CN201910215923 A CN 201910215923A CN 111030971 A CN111030971 A CN 111030971A
Authority
CN
China
Prior art keywords
data packet
access control
rule
control rule
list
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910215923.1A
Other languages
English (en)
Other versions
CN111030971B (zh
Inventor
李林哲
于雷
关墨辰
肖新光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Harbin Antian Science And Technology Group Co ltd
Original Assignee
Harbin Antian Science And Technology Group Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Harbin Antian Science And Technology Group Co ltd filed Critical Harbin Antian Science And Technology Group Co ltd
Priority to CN201910215923.1A priority Critical patent/CN111030971B/zh
Publication of CN111030971A publication Critical patent/CN111030971A/zh
Application granted granted Critical
Publication of CN111030971B publication Critical patent/CN111030971B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/622—Layer-2 addresses, e.g. medium access control [MAC] addresses

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例公开一种分布式访问控制方法、装置及存储设备，用以解决诸多防火墙的规则难以统一维护管理以及硬件防火墙在流量较大的情况下出现性能不足的问题。该方法包括：接收数据包；解析所述数据包，获取源MAC；根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。

Description

一种分布式访问控制方法、装置及存储设备
技术领域
本发明实施例涉及计算机网络安全领域，尤其涉及一种分布式访问控制方法、装置及存储设备。
背景技术
目前，防火墙是实现访问控制的一种常用方式，根据其位于协议栈的位置可分为网络层防火墙和应用层防火墙，网络层防火墙利用封包的多种属性进行过滤(IP、端口、MAC地址、协议等)，应用层防火墙依据封包所属的应用程序进行过滤，理论上可以完全阻隔未知应用程序的数据流进到受保护的设备。防火墙可以部署在路由器上实现对内/外网的访问控制，也可以部署在单个PC上，实现对PC的访问控制。
但诸多防火墙的规则难以统一维护和管理，规则是否活跃也难以进行判断；同时，对于硬件防火墙来说，在流量较大的情况下常出现防火墙性能不足的情况。
发明内容
基于上述存在的问题，本发明实施例提供一种分布式访问控制方法、装置及存储设备，用以解决诸多防火墙的规则难以统一维护管理以及硬件防火墙在流量较大的情况下出现性能不足的问题。本发明实施例公开一种分布式访问控制方法，包括：
接收数据包；解析所述数据包，获取源MAC；根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。
进一步地，根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表，还包括：若查询到非对应的规则，则所述数据包将被丢弃。
进一步地，所述访问控制规则列表采用白名单机制。
进一步地，所述访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容；规则ID：映射数据包源MAC前24位；优先级：表示规则的优先级；匹配内容包括：发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用；动作内容包括：允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。
进一步地，每台设备只拥有预期与本设备发生交互关系的访问控制规则列表，且每台设备的访问控制规则列表均存储在访问控制规则库中，所述规则库存放内网单台设备上或者存放在分布式集群上。
进一步地，所述访问控制规则库不断进行更新，还包括：通知内网所有设备同步更新访问控制规则列表；或者识别所述访问控制规则列表更新所影响的内网设备，主动将更新后的访问控制规则列表推送给被影响的的内网设备。
进一步地，所述访问控制规则列表中还包含临时申请规则，所述临时申请规则在限定条件下自动生效，并在给定时间后自动失效。
进一步地，将所述数据包引流至蜜罐网络诱导环境中，具体为：内网设备将所述数据包地目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息，源IP、端口、Mac变更为内网设备的信息；蜜罐网络诱导环境接收到更改后的数据包，对该数据包进行检测，根据检测结果反馈数据包的源MAC；内网设备收到蜜罐发送的反馈数据包，根据源MAC映射的规则ID决定对所述数据包采取的动作。
进一步地，将所述数据包重定向到特定网关设备，具体为：内网设备将数据包的目的Mac、目的IP、端口变更为特定网关设备的信息，源IP、端口、Mac变更为内网设备的信息；将所述数据包重定向到特定网关设备。
本发明实施例公开一种分布式访问控制装置，包括存储器和处理器，所述存储器用于存储多条指令，所述处理器用于加载所述存储器中存储的指令以执行：
接收数据包；解析所述数据包，获取源MAC；根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表，还包括：若查询到非对应的规则，则所述数据包将被丢弃。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则列表采用白名单机制。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容；规则ID：映射数据包源MAC前24位；优先级：表示规则的优先级；匹配内容包括：发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用；动作内容包括：允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
每台设备只拥有预期与本设备发生交互关系的访问控制规则列表，且每台设备的访问控制规则列表均存储在访问控制规则库中，所述规则库存放内网单台设备上或者存放在分布式集群上。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则库不断进行更新，还包括：通知内网所有设备同步更新访问控制规则列表；或者识别所述访问控制规则列表更新所影响的内网设备，主动将更新后的访问控制规则列表推送给被影响的的内网设备。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则列表中还包含临时申请规则，所述临时申请规则在限定条件下自动生效，并在给定时间后自动失效。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
将所述数据包引流至蜜罐网络诱导环境中，具体为：内网设备将所述数据包地目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息，源IP、端口、Mac变更为内网设备的信息；蜜罐网络诱导环境接收到更改后的数据包，对该数据包进行检测，根据检测结果反馈数据包的源MAC；内网设备收到蜜罐发送的反馈数据包，根据源MAC映射的规则ID决定对所述数据包采取的动作。
进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：
将所述数据包重定向到特定网关设备，具体为：内网设备将数据包的目的Mac、目的IP、端口变更为特定网关设备的信息，源IP、端口、Mac变更为内网设备的信息；将所述数据包重定向到特定网关设备。
本发明实施例同时公开一种分布式访问控制装置，包括：
接收模块：用于接收数据包；
解析模块：用于解析所述数据包，获取源MAC；
查询模块：用于根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；
执行模块：若查询到对应的规则，则用于根据规则执行对所述数据包的动作；
引流模块：若未查询到对应的规则，用于将所述数据包引流至蜜罐网络诱导环境中；
重定向模块：若未查询到对应的规则，用于将所述数据包重定向到特定网关设备。
本发明实施例提供了一种存储设备，所述存储设备中存储有多条指令，所述指令适于由处理器加载并执行本发明实施例提供的分布式访问控制方法步骤。
与现有技术相比，本发明实施例提供的一种分布式访问控制方法、装置及存储设备，至少实现了如下的有益效果：
接收数据包；解析所述数据包，获取源MAC；根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。本发明实施例仅通过源MAC前24位获取访问控制规则库中的访问控制规则列表达到访问控制的目的，减少了开发过程中的投入，可以从多维度对流量进行访问控制，可以灵活地定义流量，缓解了大流量情况下传统防火墙性能的瓶颈问题。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的分布式访问控制方法流程图；
图2为本发明实施例提供的数据包引流至蜜罐网络诱导环境的方法流程图；
图3为本发明实施例提供的数据包重定向到特定网关设备的方法流程图；
图4为本发明实施例提供的入网终端设备MAC地址设置的方法流程图；
图5为本发明实施例提供的又一分布式访问控制方法流程图；
图6为本发明实施例提供的另一分布式访问控制方法流程图；
图7为本发明实施例提供的分布式访问控制装置结构图；
图8为本发明实施例提供的又一分布式访问控制装置结构图。
具体实施方式
为了使本发明的目的，技术方案和优点更加清楚，下面结合附图，对本发明实施例提供的分布式访问控制方法的具体实施方式进行详细地说明。应当理解，下面所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。并且在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
本发明实施例提供了分布式访问控制方法流程图，如图1所示，包括：
步骤11，接收数据包；
步骤12，解析所述数据包，获取源MAC；
步骤13，据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；若查询到对应的规则，则执行步骤14，若未查询到对应的规则，则执行步骤15
步骤14，根据规则执行对所述数据包的动作；
步骤15，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。
其中所述访问控制规则列表采用白名单机制，访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容；
具体为：规则ID：映射数据包源MAC前24位；优先级：表示规则的优先级；匹配内容包括：发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用；动作内容包括：允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。
每台设备只拥有预期与本设备发生交互关系的访问控制规则列表，且每台设备的访问控制规则列表均存储在访问控制规则库中，所述规则库存放内网单台设备上或者存放在分布式集群上；并且所述访问控制规则库不断进行更新，还包括：通知内网所有设备同步更新访问控制规则列表；或者识别所述访问控制规则列表更新所影响的内网设备，主动将更新后的访问控制规则列表推送给被影响的内网设备；
访问控制规则列表中还包含临时申请规则，临时申请规则在限定条件下自动生效，并在给定时间后自动失效。例如，在内网某个范围需要进行互相访问时，可以批复一些临时申请规则，并在一段时间内临时生效。
本发明实施例中采用访问控制规则的方法，访问控制规则列表可以根据用户标识(如IP地址)、端口、数据流方向、协议和应用程序等属性进行构建，并且通过访问控制规则列表可以实现网内所有设备访问规则的统一管理和维护，因此本发明实施例支持内网中多维度访问控制；本发明实施例访问控制规则列表采用强白名单机制，能够严格控制流量，同时本发明实施例采用分布式访问控制的方法，当网络规模需要扩大时，也可以实现快速扩容。
若未查询到对应的规则，则将所述数据包引流至蜜罐网络诱导环境中，本发明实施例还提供了数据包引流至蜜罐网络诱导环境的方法流程图，如图2所示，还包括：
步骤1511，内网设备将所述数据包地目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息，源IP、端口、Mac变更为内网设备的信息；
步骤1512，蜜罐网络诱导环境接收到更改后的数据包，对该数据包进行检测，根据检测结果反馈数据包的源MAC；
步骤1513，内网设备收到蜜罐发送的反馈数据包，根据源MAC映射的规则ID决定对所述数据包采取的动作。
若未查询到对应的规则，则将所述数据包重定向到特定网关设备中，本发明实施例还提供了数据包重定向到特定网关设备的方法流程图，如图3所示，还包括：
步骤1521，内网设备将数据包的目的Mac、目的IP、端口变更为特定网关设备的信息，源IP、端口、Mac变更为内网设备的信息；
步骤1522，将所述数据包重定向到特定网关设备。
将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备从而实现QoS(网络的一种安全机制，用来解决网络延迟和阻塞等问题的一种技术)、限速等目的。
在所有终端设备入网时，需要对入网终端设备进行MAC地址设置，本发明实施例提供一种入网终端设备MAC地址设置的方法流程图，如图所示，包括：
步骤41，将入网终端设备MAC地址前24位设置为0；
步骤42，将该MAC地址注册至访问控制规则库；
步骤43，访问控制规则库判断网内是否存在与该入网设备MAC地址冲突的其他设备，若存在，执行步骤44，否则，执行步骤45；
步骤44，通知入网设备，随机修改入网设备MAC地址后24位，生成新的MAC地址，再次执行步骤42；
多次重复步骤42-43，直到内网设备的MAC地址没有冲突为止。
步骤45，将新MAC地址写入网卡并向内网做地址解析协议广播。
以内网终端之间通信的情况举例，本发明实施例提供的又一分布式访问控制方法流程图，如图5所示，包括：
步骤51，内网终端B向终端A发送数据包；
步骤52，终端A接收到终端B发送的数据包，解析所述数据包，获取源MAC；
步骤53，据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；若查询到对应的规则，则执行步骤54，若未查询到对应的规则，则执行步骤55；
步骤54，根据规则执行对所述数据包的动作；
步骤55，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备；
步骤56，内网终端A将源MAC地址前24位替换为访问控制规则列表中查询到的规则ID；
步骤57，内网终端A向终端B发送数据包；
步骤58，终端B接收到终端A发送的数据包，继续重复执行上述步骤。
本发明实施例还可以应用于内外网之间通信的情况，提供另一分布式访问控制方法流程图，如图6所示，包括：
步骤61，外网终端D向内网终端C发送数据包；
步骤62，数据包达到内网的网关，网关查询访问控制规则列表确定外网终端D发送的数据包能否通过；若可以通过，执行步骤63；若不能通过，执行执行64；
步骤63，将外网终端D发送的数据包源MAC地址前24位替换为访问控制规则列表中查询到的规则ID，将其转发给内网终端C；
步骤64，直接告警并丢弃；
步骤65，内网终端C接收封装后的数据包，对数据包进行解析，获得MAC地址后，内网终端C根据MAC地址查询本机中的访问控制规则列表，若查找到对应的规则，则执行步骤66，若未查找到对应的规则，执行步骤67；
步骤66，根据规则执行对数据包的动作；
步骤67，将数据包引导至蜜罐网络诱导环境中，或重定向到特定的网关设备上；
步骤68，内网终端C向外网终端D发送数据包；
步骤69，网关将目的MAC替换为外网终端D的原始MAC，将数据包发送给外网终端D。
本发明实施例还提供了一种分布式访问控制装置，如图7所示，包括：所述装置包括存储器71和处理器72，所述存储器71用于存储多条指令，所述处理器72用于加载所述存储器71中存储的指令以执行：
接收数据包；解析所述数据包，获取源MAC；根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。
进一步地，所述处理器72还用于加载所述存储器71中存储的指令以执行：
根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表，还包括：若查询到非对应的规则，则所述数据包将被丢弃。
所述处理器72用于加载所述存储器71中存储的指令以执行：
所述访问控制规则列表采用白名单机制。
所述处理器72用于加载所述存储器71中存储的指令以执行：
所述访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容；规则ID：映射数据包源MAC前24位；优先级：表示规则的优先级；匹配内容包括：发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用；动作内容包括：允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。
所述处理器72用于加载所述存储器71中存储的指令以执行：
每台设备只拥有预期与本设备发生交互关系的访问控制规则列表，且每台设备的访问控制规则列表均存储在访问控制规则库中，所述规则库存放内网单台设备上或者存放在分布式集群上。
所述处理器72用于加载所述存储器71中存储的指令以执行：
所述访问控制规则库不断进行更新，还包括：通知内网所有设备同步更新访问控制规则列表；或者识别所述访问控制规则列表更新所影响的内网设备，主动将更新后的访问控制规则列表推送给被影响的的内网设备。
所述处理器72用于加载所述存储器71中存储的指令以执行：
所述访问控制规则列表中还包含临时申请规则，所述临时申请规则在限定条件下自动生效，并在给定时间后自动失效。
所述处理器72用于加载所述存储器71中存储的指令以执行：
将所述数据包引流至蜜罐网络诱导环境中，具体为：内网设备将所述数据包地目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息，源IP、端口、Mac变更为内网设备的信息；蜜罐网络诱导环境接收到更改后的数据包，对该数据包进行检测，根据检测结果反馈数据包的源MAC；内网设备收到蜜罐发送的反馈数据包，根据源MAC映射的规则ID决定对所述数据包采取的动作。
所述处理器72用于加载所述存储器71中存储的指令以执行：
将所述数据包重定向到特定网关设备，具体为：内网设备将数据包的目的Mac、目的IP、端口变更为特定网关设备的信息，源IP、端口、Mac变更为内网设备的信息；将所述数据包重定向到特定网关设备。
本发明实施例同时提供了又一种分布式访问控制装置，如图8所示，包括：
接收模块81：用于接收数据包；
解析模块82：用于解析所述数据包，获取源MAC；
查询模块83：用于根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；
执行模块84：若查询到对应的规则，则用于根据规则执行对所述数据包的动作；
引流模块85：若未查询到对应的规则，用于将所述数据包引流至蜜罐网络诱导环境中；
重定向模块86：若未查询到对应的规则，用于将所述数据包重定向到特定网关设备。
本发明实施例还提供一种存储设备，所述存储设备中存储有多条指令，所述指令适于由处理器加载并执行本发明实施例提供的分布式访问控制方法的步骤。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明实施例可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。
本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (20)

1.一种分布式访问控制方法，其特征在于：
接收数据包；
解析所述数据包，获取源MAC；
根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；
若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。
2.如权利要求1所述的方法，其特征在于，根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表，还包括：若查询到非对应的规则，则所述数据包将被丢弃。
3.如权利要求1所述的方法，其特征在于，所述访问控制规则列表采用白名单机制。
4.如权利要求1所述的方法，其特征在于，所述访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容；
规则ID：映射数据包源MAC前24位；
优先级：表示规则的优先级；
匹配内容包括：发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用；
动作内容包括：允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。
5.如权利要求1所述的方法，其特征在于，每台设备只拥有预期与本设备发生交互关系的访问控制规则列表，且每台设备的访问控制规则列表均存储在访问控制规则库中，所述规则库存放内网单台设备上或者存放在分布式集群上。
6.如权利要求5所述的方法，其特征在于，所述访问控制规则库不断进行更新，还包括：
通知内网所有设备同步更新访问控制规则列表；
或者识别所述访问控制规则列表更新所影响的内网设备，主动将更新后的访问控制规则列表推送给被影响的的内网设备。
7.如权利要求1所述的方法，其特征在于，所述访问控制规则列表中还包含临时申请规则，所述临时申请规则在限定条件下自动生效，并在给定时间后自动失效。
8.如权利要求1所述的方法，其特征在于，将所述数据包引流至蜜罐网络诱导环境中，具体为：
内网设备将所述数据包的目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息，源IP、端口、Mac变更为内网设备的信息；
蜜罐网络诱导环境接收到更改后的数据包，对该数据包进行检测，根据检测结果反馈数据包的源MAC；
内网设备收到蜜罐发送的反馈数据包，根据源MAC映射的规则ID决定对所述数据包采取的动作。
9.如权利要求1所述的方法，其特征在于，将所述数据包重定向到特定网关设备，具体为：
内网设备将数据包的目的Mac、目的IP、端口变更为特定网关设备的信息，源IP、端口、Mac变更为内网设备的信息；
将所述数据包重定向到特定网关设备。
10.一种分布式访问控制装置，其特征在于，所述装置包括存储器和处理器，所述存储器用于存储多条指令，所述处理器用于加载所述存储器中存储的指令以执行：
接收数据包；
解析所述数据包，获取源MAC；
根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；
若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备。
11.如权利要求10所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表，还包括：若查询到非对应的规则，则所述数据包将被丢弃。
12.如权利要求10所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则列表采用白名单机制。
13.如权利要求10所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容；
规则ID：映射数据包源MAC前24位；
优先级：表示规则的优先级；
匹配内容包括：发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用；
动作内容包括：允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。
14.如权利要求10所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
每台设备只拥有预期与本设备发生交互关系的访问控制规则列表，且每台设备的访问控制规则列表均存储在访问控制规则库中，所述规则库存放内网单台设备上或者存放在分布式集群上。
15.如权利要求14所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则库不断进行更新，还包括：
通知内网所有设备同步更新访问控制规则列表；
或者识别所述访问控制规则列表更新所影响的内网设备，主动将更新后的访问控制规则列表推送给被影响的的内网设备。
16.如权利要求9所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
所述访问控制规则列表中还包含临时申请规则，所述临时申请规则在限定条件下自动生效，并在给定时间后自动失效。
17.如权利要求10所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
将所述数据包引流至蜜罐网络诱导环境中，具体为：
内网设备将所述数据包地目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息，源IP、端口、Mac变更为内网设备的信息；
蜜罐网络诱导环境接收到更改后的数据包，对该数据包进行检测，根据检测结果反馈数据包的源MAC；
内网设备收到蜜罐发送的反馈数据包，根据源MAC映射的规则ID决定对所述数据包采取的动作。
18.如权利要求10所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：
将所述数据包重定向到特定网关设备，具体为：
内网设备将数据包的目的Mac、目的IP、端口变更为特定网关设备的信息，源IP、端口、Mac变更为内网设备的信息；
将所述数据包重定向到特定网关设备。
19.一种分布式访问控制装置，其特征在于，包括：
接收模块：用于接收数据包；
解析模块：用于解析所述数据包，获取源MAC；
查询模块：用于根据所述数据包的源MAC地址前24位查询本设备的访问控制规则列表；
执行模块：若查询到对应的规则，则用于根据规则执行对所述数据包的动作；
引流模块：若未查询到对应的规则，用于将所述数据包引流至蜜罐网络诱导环境中；
重定向模块：若未查询到对应的规则，用于将所述数据包重定向到特定网关设备。
20.一种存储设备，其特征在于，所述存储设备中存储有多条指令，所述指令适于由处理器加载并执行权1-9任一所述的方法的步骤。
CN201910215923.1A 2019-03-21 2019-03-21 一种分布式访问控制方法、装置及存储设备 Active CN111030971B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910215923.1A CN111030971B (zh) 2019-03-21 2019-03-21 一种分布式访问控制方法、装置及存储设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910215923.1A CN111030971B (zh) 2019-03-21 2019-03-21 一种分布式访问控制方法、装置及存储设备

Publications (2)

Publication Number Publication Date
CN111030971A true CN111030971A (zh) 2020-04-17
CN111030971B CN111030971B (zh) 2023-07-11

Family

ID=70203582

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910215923.1A Active CN111030971B (zh) 2019-03-21 2019-03-21 一种分布式访问控制方法、装置及存储设备

Country Status (1)

Country Link
CN (1) CN111030971B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112383511A (zh) * 2020-10-27 2021-02-19 广州锦行网络科技有限公司 一种流量转发方法及系统
CN114826775A (zh) * 2022-06-01 2022-07-29 北京东土军悦科技有限公司 数据包的过滤规则生成方法及装置、系统、设备和介质
CN115714676A (zh) * 2022-11-09 2023-02-24 四川天邑康和通信股份有限公司 一种家用路由器识别与管理客户端的方法
CN117880372A (zh) * 2024-03-12 2024-04-12 四川天邑康和通信股份有限公司 Fttr系统的设备访问控制方法、网关设备及网关分布式系统

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040001492A1 (en) * 2002-07-01 2004-01-01 Johnson Erik J. Method and system for maintaining a MAC address filtering table
CN1992713A (zh) * 2005-12-30 2007-07-04 西门子（中国）有限公司 一种防止介质访问控制层欺骗的方法及其装置
CN101087187A (zh) * 2007-05-22 2007-12-12 网御神州科技（北京）有限公司 一种基于用户的安全访问控制的方法及装置
CN201821376U (zh) * 2010-01-08 2011-05-04 北京星网锐捷网络技术有限公司 一种全局的网络访问控制装置和网络设备
CN102571434A (zh) * 2012-01-11 2012-07-11 清华大学 操作系统中网络驱动层的数据访问控制方法
CN103023914A (zh) * 2012-12-26 2013-04-03 北京神州绿盟信息安全科技股份有限公司 一种防火墙系统及其实现方法
CN104580185A (zh) * 2014-12-30 2015-04-29 北京工业大学 一种网络访问控制的方法和系统
CN104901958A (zh) * 2015-05-21 2015-09-09 大连理工大学 一种用户驱动的sdn网络集中式访问控制方法
CN106790147A (zh) * 2016-12-28 2017-05-31 北京神州绿盟信息安全科技股份有限公司 一种访问控制方法及其装置
US20170272442A1 (en) * 2016-03-21 2017-09-21 Google Inc. Methods and systems for dynamic creation of access control lists

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040001492A1 (en) * 2002-07-01 2004-01-01 Johnson Erik J. Method and system for maintaining a MAC address filtering table
CN1992713A (zh) * 2005-12-30 2007-07-04 西门子（中国）有限公司 一种防止介质访问控制层欺骗的方法及其装置
CN101087187A (zh) * 2007-05-22 2007-12-12 网御神州科技（北京）有限公司 一种基于用户的安全访问控制的方法及装置
CN201821376U (zh) * 2010-01-08 2011-05-04 北京星网锐捷网络技术有限公司 一种全局的网络访问控制装置和网络设备
CN102571434A (zh) * 2012-01-11 2012-07-11 清华大学 操作系统中网络驱动层的数据访问控制方法
CN103023914A (zh) * 2012-12-26 2013-04-03 北京神州绿盟信息安全科技股份有限公司 一种防火墙系统及其实现方法
CN104580185A (zh) * 2014-12-30 2015-04-29 北京工业大学 一种网络访问控制的方法和系统
CN104901958A (zh) * 2015-05-21 2015-09-09 大连理工大学 一种用户驱动的sdn网络集中式访问控制方法
US20170272442A1 (en) * 2016-03-21 2017-09-21 Google Inc. Methods and systems for dynamic creation of access control lists
CN106790147A (zh) * 2016-12-28 2017-05-31 北京神州绿盟信息安全科技股份有限公司 一种访问控制方法及其装置

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
AHMAD NASEEM ALVI; SAFDAR HUSSAIN BOUK; SYED HASSAN AHMED; MUHAMMAD AZFAR YAQUB; NADEEM JAVAID: "Enhanced TDMA based MAC protocol for adaptive data control in wireless sensor networks", JOURNAL OF COMMUNICATIONS AND NETWORKS, pages 247 *
卢春鹏: "基于MAC地址的网络访问控制方案", 《中国数据通信》, pages 49 - 53 *
梁树军 李玉华 尚展垒: "基于访问控制技术的网络安全体系结构研究与设计", 《网络安全技术与应用》 *
梁树军 李玉华 尚展垒: "基于访问控制技术的网络安全体系结构研究与设计", 《网络安全技术与应用》, 15 May 2016 (2016-05-15), pages 23 - 24 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112383511A (zh) * 2020-10-27 2021-02-19 广州锦行网络科技有限公司 一种流量转发方法及系统
CN112383511B (zh) * 2020-10-27 2021-11-26 广州锦行网络科技有限公司 一种流量转发方法及系统
CN114826775A (zh) * 2022-06-01 2022-07-29 北京东土军悦科技有限公司 数据包的过滤规则生成方法及装置、系统、设备和介质
CN114826775B (zh) * 2022-06-01 2023-11-07 北京东土军悦科技有限公司 数据包的过滤规则生成方法及装置、系统、设备和介质
CN115714676A (zh) * 2022-11-09 2023-02-24 四川天邑康和通信股份有限公司 一种家用路由器识别与管理客户端的方法
CN117880372A (zh) * 2024-03-12 2024-04-12 四川天邑康和通信股份有限公司 Fttr系统的设备访问控制方法、网关设备及网关分布式系统
CN117880372B (zh) * 2024-03-12 2024-05-14 四川天邑康和通信股份有限公司 Fttr系统的设备访问控制方法、网关设备及网关分布式系统

Also Published As

Publication number Publication date
CN111030971B (zh) 2023-07-11

Similar Documents

Publication Publication Date Title
CN111030971A (zh) 一种分布式访问控制方法、装置及存储设备
CN112468370B (zh) 一种支持自定义规则的高速网络报文监测分析方法及系统
CN112769821B (zh) 一种基于威胁情报和att＆ck的威胁响应方法及装置
US9397901B2 (en) Methods, systems, and computer readable media for classifying application traffic received at a network traffic emulation device that emulates multiple application servers
WO2017084535A1 (zh) 可信协议转换方法和系统
US20100050177A1 (en) Method and apparatus for content based searching
WO2015165296A1 (zh) 协议类型的识别方法和装置
JP2004172917A (ja) パケット検索装置及びそれに用いるパケット処理検索方法並びにそのプログラム
KR20020092972A (ko) 패킷 필터링과 프로세싱을 가속화하는 시스템, 장치 및방법
CN107612890B (zh) 一种网络监测方法及系统
US11824834B1 (en) Distributed firewall that learns from traffic patterns to prevent attacks
EP3633948A1 (en) Anti-attack method and device for server
CN104144156A (zh) 报文处理方法和装置
CN107733867B (zh) 一种发现僵尸网络及防护的方法、系统和存储介质
CN111984561B (zh) 一种bmc的ipmi命令处理方法、系统、设备以及介质
CN104243344A (zh) 一种有效数据包捕获方法及请求重定向服务器
CN109688153A (zh) 使用主机应用/程序到用户代理的映射的零日威胁检测
CN111030970B (zh) 一种分布式访问控制方法、装置及存储设备
CN115225734A (zh) 一种报文处理方法和网络设备
CN115190056B (zh) 一种可编排的流量协议识别与解析方法、装置及设备
CN111698248A (zh) 一种基于标签的网络授权管理方法及系统
CN115002028A (zh) 一种报文处理方法、装置及介质
CN108566388B (zh) 基于布鲁姆过滤器的sdn流规则冲突检测方法及系统
CN112822031A (zh) 网络设备配置文件解析方法及装置
CN112910894A (zh) 一种实现策略的快速匹配的方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Heilongjiang Province (No. 838, Shikun Road)

Applicant after: Antan Technology Group Co.,Ltd.

Address before: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Harbin, Heilongjiang Province (No. 838, Shikun Road)

Applicant before: Harbin Antian Science and Technology Group Co.,Ltd.

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant