CN112491870A - 一种以太网物理层防物理入侵检测方法和系统 - Google Patents

一种以太网物理层防物理入侵检测方法和系统 Download PDF

Info

Publication number
CN112491870A
CN112491870A CN202011336571.4A CN202011336571A CN112491870A CN 112491870 A CN112491870 A CN 112491870A CN 202011336571 A CN202011336571 A CN 202011336571A CN 112491870 A CN112491870 A CN 112491870A
Authority
CN
China
Prior art keywords
module
port
value
transmission
loss
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202011336571.4A
Other languages
English (en)
Inventor
戴多好
徐君
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jiangsu Zhong An Zhi Xin Communication Technology Co ltd
Original Assignee
Jiangsu Zhong An Zhi Xin Communication Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jiangsu Zhong An Zhi Xin Communication Technology Co ltd filed Critical Jiangsu Zhong An Zhi Xin Communication Technology Co ltd
Priority to CN202011336571.4A priority Critical patent/CN112491870A/zh
Publication of CN112491870A publication Critical patent/CN112491870A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明公开了一种以太网物理层防物理入侵检测方法和系统，属于工业通信技术领域，方法如下，对以太网进行网络部署；选择传输端口；判定传输端口；监测传输端口之间的延时值或/和损耗值；判定所述延时值或/和损耗值是否在预设告警阈值内；若所述延时值或/和损耗值在预设告警阈值内则将信息发送给网络管理平台，反之，则继续下一周期的监测；本发明利用主流交换芯片的基本特性进行技术实现，无需额外添加硬件，也不必改变设备基本的软硬件构架，在最大程度上保护了用户的投资；通过设计的秘钥加密模块，对信息交换进行加密保护，避免报文被伪造而造成的严重影响，真正解决了物理线路信号在非管控区域网络安全管理盲区可能被窃取的风险问题。

Description

一种以太网物理层防物理入侵检测方法和系统
技术领域
本发明属于工业通信技术领域，具体涉及一种以太网物理层防物理入侵检测方法和系统。
背景技术
以太网交换机通常基于双绞网线或者光纤传输，长距离的布线可能穿越楼道、管道、走廊等各种区域，这些区域很可能是非安全管控范围，对于涉密网络，若物理信号（电或者光）被监听，则面临重大的信息泄露，而这类泄密在网络层面，无论是硬件防火墙、软件防火墙还是传统的网络设备管理软件无法被感知这类入侵。
现有技术通常在数据链路层或者以上的网络层工作，通过对数据报文进行加密以防被窃取，但是绝大部分涉密网络，仍然会有大量的明文信息传递，传统的加密手段根本无法感知到物理层电或者光信号被监听，对于工业及军用网络存在重大的安全隐患。
为了解决以太网物理层物理入侵的一系列问题，为此我们提出一种以太网物理层防物理入侵检测方法和系统。
发明内容
本发明的目的在于提供一种以太网物理层防物理入侵检测方法和系统，解决以太网物理层物理入侵的一系列问题。
为实现上述目的，本发明提供如下技术方案：一种以太网物理层防物理入侵检测方法和系统，所述方法如下：
对以太网进行网络部署；
选择传输端口；
判定传输端口；
监测传输端口之间的所述延时值或/和所述损耗值；
判定所述延时值或/和所述损耗值是否在预设告警阈值内；
若所述延时值或/和损耗值在预设告警阈值内则将信息发送给网络管理平台，反之，则继续下一周期的监测。
优选的，所述传输端口为电口互联和/或光口互联。
优选的，所述网络管理平台可控制告警器告警。
优选的，所述网络管理平台可禁用对应的传输端口。
优选的，所述延时值采用IEEE1588精确时钟同步技术，所述损耗值采用I2C端口读取发送光功率及接收光功率的信息特征的技术。
一种以太网物理层防物理入侵系统，其特征在于：由数据中心库、录入模块、监测模块、判定模块、告警模块、处理模块组成，所述第二判定模块包括第一判定模块和第二判定模块，其中：
数据中心库为数据提供录入端口；
录入模块用于预设告警阈值的录入；
监测模块实时监测传输端口之间的损耗值；
第一判定模块用于判定传输端口类型；
第二判定模块将所述延时值或/和损耗值与所述预设告警阈值进行比较；
告警模块用于告警；
处理模块用于控制传输端口。
优选的，还包括秘钥加密模块，用于信息传输中的加密。
与现有技术相比，本发明的有益效果是：
本发明重新利用主流交换芯片的基本特性进行技术实现，无需额外添加硬件，也不必改变设备基本的软硬件构架，在最大程度上保护了用户的投资；
通过设计的秘钥加密模块，对信息交换进行加密保护，避免报文被伪造而造成的严重影响，真正解决了物理线路信号在非管控区域网络安全管理盲区可能被窃取的风险问题。
附图说明
图1为本发明的方法流程图；
图2为在纯电口互联条件下无非法入侵设备时的工作原理图；
图3为在纯电口互联条件下有非法监听设备入侵设备时的工作原理图；
图4为在纯光口互联条件下无非法入侵设备时的工作原理图；
图5为在纯光口互联条件下有非法分光器入侵设备时的工作原理图；
图6为在电口互联、光口互联条件下无非法入侵设备时的工作原理图；
图7为在电口互联、光口互联条件下有非法监听设备入侵设备时的工作原理图；
图8为在电口互联、光口互联条件下有非法分光器入侵设备时的工作原理图；
图9为在电口互联、光口互联条件下有非法监听设备、非法分光器同时入侵设备时的工作原理图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
请参阅图1至图9，本发明提供一种技术方案：一种以太网物理层防物理入侵检测方法和系统，方法如下：
对以太网进行网络部署；
传输端口的选用有三种方式：仅使用电口互联；仅使用光口互联；光口互联和电口互联同时使用；
第一判定模块可以判定传输端口的类型；
监测传输端口之间的损耗值，即监测模块监测电口与电口之间的延时值，光口与光口之间的损耗值（光信号损耗值），并将数据信息传输至第二判定模块；
第二判定模块判定所述延时值和/或所述损耗值是否在预设告警阈值内，即电口与电口之间的延时值是否在预设告警阈值内，光口与光口之间的损耗值（光信号损耗值）是否在预设告警阈值内；
若任一所述损耗值在预设告警阈值内则第二判定模块将数据信息发送给网络管理平台。
本实施例中，优选的，网络管理平台可控制告警器告警，即当网络管理平台接收到来自第二判定模块的数据信息后，工作人员可以人为选择是否使用告警器进行告警，已达到提示作用。
本实施例中，优选的，网络管理平台可禁用对应的传输端口，即当网络管理平台接收到来自第二判定模块的数据信息后，工作人员可以人为选择是否将对应的传输端口——电口或光口进行禁用，以避免数据报文被继续窃取。
本实施例中，优选的，所述延时值采用IEEE1588精确时钟同步技术，所述损耗值采用I2C端口读取发送光功率及接收光功率的信息特征的技术。
一种以太网物理层防物理入侵系统，其特征在于：由数据中心库、录入模块、监测模块、判定模块、告警模块、处理模块组成，所述判定模块包括第一判定模块和第二判定模块，其中：
数据中心库为数据提供录入端口；
录入模块用于预设告警阈值的录入；
监测模块实时监测传输端口之间的损耗值；
第一判定模块用于判定传输端口类型；
第二判定模块将所述延时值或/和损耗值与所述预设告警阈值进行比较；
告警模块用于告警；
处理模块用于控制传输端口。
本实施例中，优选的，还包括秘钥加密模块，用于信息传输中的加密。
本发明的工作原理：
对于以太网电口，在网络部署实施完毕后，交换机利用IEEE1588同步技术，测量无物理入侵时互联电口之间的延时值；
T1时刻通过电口-A发送特定协议报文；
T2时刻，电口-B收到对应的报文；
而后，
电口B-2在T3时刻，发送特定协议报文；
T4时刻，电口-B收到对应的报文；
则电口-A和电口-B之间的延时值ΔT=（(T2-T1)+(T4-T3)）/2，多次测量记录平均值，设为ΔT_common，并计入数据中心库中。
电信号在网线上的传播时延为纳秒级（每英寸电信号传播时延约150皮秒，对于100米网线，传播时延约60纳秒），而非法入侵设备造成的时延通常为10微秒以上，通常差2个数量级以上，因此ΔT的预设告警阈值应参考此数据进行设置。
对于以太网光口，在网络部署实施完毕后，运用光模块通过I2C接口可读取发送光功率及接收光功率的特征，测量互联光接口的光信号的光信号损耗值；
交换机光口-A发送光功率平均值记录为P1（以dBm为单位）；
光口-B接收到的光口-A发出的激光，接收光功率平均值记录为P2；
交换机光口-B发送光功率平均值记录为P3；
光口-A接收到的光口-B发出的激光，接收光功率平均值为P4；
则光口-A和光口-B之间的光信号损耗值为ΔP=（（P2-P1）+（P4-P3））/2，多次测量记录平均值，设为ΔP_common，并计入数据中心库中。
对于单模光纤，每公里衰减经验值为0.2-0.35dB/km，在实际应用中和激光的中心波长及光纤物理质量有关，具体可以参考光纤相关技术规格书；
而对于分光器，1:2分光衰减为3.2dB，1:4分光衰减为7.2dB，1:8为10.5dB；
因此，对于局域网来说，正常损耗和分光器的损耗差异很明显（1个数量级），因此ΔP的预设告警阈值应参考此数值进行设置。
各个交换机定时刷新和计算：
对于电口ΔT，当ΔT大于ΔT_common*（1+X%）或ΔT+ΔT_tolerance其中任一种情况时，判定为网络物理层被非法入侵，存在跨接交换机、HUB等设备的可能性，触发非法入侵告警，系统禁用对应的传输端口。
其中X%为相对偏移值，ΔT_tolerance为绝对偏离值，用户可结合实际网络进行进行设置。
对于光口ΔP，当ΔP大于ΔP_common*（1+Y%）或ΔP+ΔP_tolerance其中任一种情况时，判定为被非法入侵，存在光纤线路接入分光设备的可能性，系统禁用对应的传输端口。
其中Y%为相对偏移值，ΔP_tolerance为绝对偏离值，用户可结合实际网络进行进行设置。
延时值和光信号损耗值均可以通过第二判定模块将所述损耗值与各自对应预设告警阈值进行比较从而完成后续工序。
尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (7)

1.一种以太网物理层防物理入侵的检测方法，其特征在于，所述方法如下：
对以太网进行网络部署；
选择传输端口；
判定传输端口；
监测传输端口之间的延时值或/和损耗值；
判定所述延时值或/和损耗值是否在预设告警阈值内；
若所述延时值或/和损耗值在预设告警阈值内则将信息发送给网络管理平台，反之，则继续下一周期的监测。
2.根据权利要求1所述的一种以太网物理层防物理入侵的检测方法，其特征在于：传输端口为电口互联和/或光口互联。
3.根据权利要求1所述的一种以太网物理层防物理入侵的检测方法，其特征在于：网络管理平台可控制告警器告警。
4.根据权利要求1所述的一种以太网物理层防物理入侵的检测方法，其特征在于：网络管理平台可禁用对应的传输端口。
5.根据权利要求1所述的一种以太网物理层防物理入侵的检测方法，其特征在于：所述延时值采用IEEE1588精确时钟同步技术，所述损耗值采用I2C端口读取发送光功率及接收光功率的信息特征的技术。
6.一种以太网物理层防物理入侵系统，其特征在于：由数据中心库、录入模块、监测模块、判定模块、告警模块、处理模块组成，所述判定模块包括第一判定模块和第二判定模块，其中：
数据中心库为数据提供录入端口；
录入模块用于预设告警阈值的录入；
监测模块实时监测传输端口之间的损耗值；
第一判定模块用于判定传输端口类型；
第二判定模块将所述延时值或/和损耗值与所述预设告警阈值进行比较；
告警模块用于告警；
处理模块用于控制传输端口。
7.根据权利要求6所述的一种以太网物理层防物理入侵系统，其特征在于：还包括秘钥加密模块，用于信息传输中的加密。
CN202011336571.4A 2020-11-25 2020-11-25 一种以太网物理层防物理入侵检测方法和系统 Pending CN112491870A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011336571.4A CN112491870A (zh) 2020-11-25 2020-11-25 一种以太网物理层防物理入侵检测方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011336571.4A CN112491870A (zh) 2020-11-25 2020-11-25 一种以太网物理层防物理入侵检测方法和系统

Publications (1)

Publication Number Publication Date
CN112491870A true CN112491870A (zh) 2021-03-12

Family

ID=74933871

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011336571.4A Pending CN112491870A (zh) 2020-11-25 2020-11-25 一种以太网物理层防物理入侵检测方法和系统

Country Status (1)

Country Link
CN (1) CN112491870A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113746669A (zh) * 2021-08-11 2021-12-03 西安交通大学 一种基于脉冲反射波检测的物理入侵设备定位方法及系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553637A (zh) * 2003-05-29 2004-12-08 烽火通信科技股份有限公司 以太网光纤收发器故障指示技术
CN102026052A (zh) * 2011-01-04 2011-04-20 中兴通讯股份有限公司 故障诊断方法和系统
CN103916292A (zh) * 2014-04-14 2014-07-09 贵州电力试验研究院 基于iec61850标准的数字化变电站交换机在线监测系统
CN106411401A (zh) * 2016-11-18 2017-02-15 成都英德思网络技术有限公司 一种具备光功率检测的工业以太网交换机
CN106453364A (zh) * 2016-10-27 2017-02-22 北京仰联信通技术有限公司 一种检测链路中串接非法设备的方法及装置
CN106888134A (zh) * 2015-12-16 2017-06-23 上海杰敖信息科技有限公司 基于智能交换过程层网络虚拟二次回路监测系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553637A (zh) * 2003-05-29 2004-12-08 烽火通信科技股份有限公司 以太网光纤收发器故障指示技术
CN102026052A (zh) * 2011-01-04 2011-04-20 中兴通讯股份有限公司 故障诊断方法和系统
CN103916292A (zh) * 2014-04-14 2014-07-09 贵州电力试验研究院 基于iec61850标准的数字化变电站交换机在线监测系统
CN106888134A (zh) * 2015-12-16 2017-06-23 上海杰敖信息科技有限公司 基于智能交换过程层网络虚拟二次回路监测系统
CN106453364A (zh) * 2016-10-27 2017-02-22 北京仰联信通技术有限公司 一种检测链路中串接非法设备的方法及装置
CN106411401A (zh) * 2016-11-18 2017-02-15 成都英德思网络技术有限公司 一种具备光功率检测的工业以太网交换机

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113746669A (zh) * 2021-08-11 2021-12-03 西安交通大学 一种基于脉冲反射波检测的物理入侵设备定位方法及系统

Similar Documents

Publication Publication Date Title
Cleveland Cyber security issues for advanced metering infrasttructure (AMI)
Medard et al. Security issues in all-optical networks
Mas et al. Failure location algorithm for transparent optical networks
US7752672B2 (en) Methods and apparatus for physical layer security of a network communications link
CN108206740A (zh) 增强qkd中的量子信道上的秘密密钥速率交换的设备和方法
US20050174563A1 (en) Active fiber loss monitor and method
Dahan et al. Security threats and protection procedures for optical networks
US11139963B2 (en) Communication systems and methods
CN110855373A (zh) 一种光纤通信系统防窃听装置和方法
JP2012523021A (ja) コアまたはメトロ光ネットワークへのリアルタイムの物理的浸入を見つけるためのｅＤＣ偏光逆フィルタ係数のモニタリング
EP2540013B1 (en) Optical monitoring in a communications network element
CN112491870A (zh) 一种以太网物理层防物理入侵检测方法和系统
Lazzez Notice of Violation of IEEE Publication Principles: All-optical networks: Security issues analysis
CN110677199A (zh) 量子密钥分发系统中对光衰减器激光攻击检测装置及方法
CN203352596U (zh) 近端监控设备、远端监控设备及分布式基站监控系统
Patel et al. Security issues and attack management in AON-A review
RU2277261C1 (ru) Способ контроля подключений сетевого оборудования к среде распространения сигналов локальных вычислительных сетей стандартов ieee 802.3 10-base-2, 10-base-5 и устройство для его осуществления
Krishnan et al. Security issues in all-optical networks
CN110855372A (zh) 一种量子保密通信系统中感知及定位窃听装置及方法
US8701161B1 (en) Systems and methods for detecting network intrusion devices
Atan et al. An overview on security issues in the optical access network
Kartalopoulos NIS03-2: Optical Network Security: Sensing Eavesdropper Intervention
Kowalczyk et al. The Threat of Optical Transmission Jamming
Kartalopoulos Optical network security: countermeasures in view of attacks
CN116208244B (zh) 基于双场量子干涉的超远距离光纤链路监测方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination