CN116601941A - 基于通信请求的请求方真实性评估 - Google Patents

Abstract

提供了一种用于通过评估请求方和通信请求的真实性来动态地建立用于请求方的通信路径的方法。该方法可以包括响应于接收到通信请求，通过基于一个或多个认证规则评估请求方来动态地确定是否建立用于请求方到目的地的通过通信网络的通信路径，其中一个或多个认证规则基于与通信网络相关联的第一信息、关于请求方的第二信息以及来自请求方的第三信息。该方法还可以包括响应于确定请求方满足一个或多个认证规则，根据与请求方相关联的一个或多个通信属性在通信网络上动态地建立用于请求方的通信路径。

Description

基于通信请求的请求方真实性评估

背景技术

本发明总体涉及计算领域，更具体地涉及计算机安全。

通常，计算机安全、网际安全或信息技术安全(IT安全)可以包括保护计算机系统和网络免受在计算机上运行的服务和应用的中断或错误引导。由于对计算机系统、因特网、无线网络标准的依赖性增加，并且由于包括智能电话和应用的智能设备的增长，计算机安全领域变得更加重要。在计算中，防火墙是用于控制网络上的流量的主要方法之一。更具体地说，防火墙是基于预定的安全规则监视和控制传入和传出网络流量的网络安全系统。用于计算机保护的另一种方法可以包括端点认证，其是用于验证网络的外部或远程连接设备的身份的认证机制。例如，基于端点认证的无线网络验证用户凭证，诸如服务集标识符(SSID)和密码，以及端点设备使用的安全协议。

发明内容

提供了一种用于通过评估请求方和通信请求的真实性来动态地建立用于请求方的通信路径的方法。该方法可以包括响应于接收到通信请求，通过基于一个或多个认证规则评估请求方来动态地确定是否建立用于请求方到目的地的通过通信网络的通信路径，其中一个或多个认证规则基于与通信网络相关联的第一信息、关于请求方的第二信息和来自请求方的第三信息。该方法还可以包括响应于确定请求方满足一个或多个认证规则，根据与请求方相关联的一个或多个通信属性在通信网络上动态地建立用于请求方的通信路径。

提供了一种用于通过评估请求方和通信请求的真实性来动态地建立用于请求方的通信路径的计算机系统。该计算机系统可以包括一个或多个处理器、一个或多个计算机可读存储器、一个或多个计算机可读有形存储设备、以及被存储在该一个或多个存储设备中的至少一个存储设备上的程序指令，所述程序指令用于经由一个或多个存储器中的至少一个存储器由一个或多个处理器中的至少一个处理器执行，由此该计算机系统能够执行一种方法。该方法可以包括：响应于接收到通信请求，通过基于一个或多个认证规则评估请求方来动态地确定是否建立用于请求方到目的地的通过通信网络的通信路径，其中一个或多个认证规则基于与通信网络相关联的第一信息、关于请求方的第二信息和来自请求方的第三信息。该方法还可以包括响应于确定请求方满足一个或多个认证规则，根据与请求方相关联的一个或多个通信属性在通信网络上动态地建立用于请求方的通信路径。

提供了一种用于通过评估请求方和通信请求的真实性来动态地建立用于请求方的通信路径的计算机程序产品。该计算机程序产品可以包括一个或多个计算机可读存储设备和被存储在一个或多个有形存储设备中的至少一个有形存储设备上的程序指令，程序指令由处理器可执行。该计算机程序产品可以包括用于以下的程序指令：响应于接收到通信请求，通过基于一个或多个认证规则评估请求方来动态地确定是否建立用于请求方到目的地的通过通信网络的通信路径，其中一个或多个认证规则基于与通信网络相关联的第一信息、关于请求方的第二信息和来自请求方的第三信息。该计算机程序产品还可以包括用于以下的程序指令：响应于确定请求方满足一个或多个认证规则，根据与请求方相关联的一个或多个通信属性在通信网络上动态地建立用于请求方的通信路径。

附图说明

本发明的这些和其它目的、特征和优点将从以下结合附图阅读的对其说明性实施例的详细描述中变得明显。附图的各种特征不是按比例的，因为为了清楚起见，图示是为了帮助本领域技术人员结合详细描述理解本发明。在附图中：

图1示出了根据一个实施例的联网计算机环境；

图2是示出根据一个实施例的由程序执行的用于通过评估请求方和通信请求的真实性来动态地建立用于请求方的通信路径的步骤的操作流程图；

图3是根据一个实施例的用于通过评估请求方的真实性和通信请求来动态地建立用于请求方的通信路径的程序的系统架构的框图；

图4是根据本公开的实施例的包括图1中描绘的计算机系统的说明性云计算环境的框图；以及

图5是根据本公开的实施例的图4的说明性云计算环境的功能层的框图。

具体实施方式

本文公开了所要求保护的结构和方法的详细实施例；然而，可以理解，所公开的实施例仅仅是对可以以各种形式实施的所要求保护的结构和方法的说明。然而，本发明可以以许多不同的形式实施，并且不应被解释为限于这里阐述的示例性实施例。在描述中，可以省略公知的特征和技术的细节，以避免不必要地模糊所呈现的实施例。

如前所述，本发明的实施例总体涉及计算领域，尤其涉及计算机和网络安全。具体地，以下描述的示例性实施例提供了一种用于基于应用请求来改进网络流的生成并测量请求的真实性的系统、方法和程序产品。更具体地说，通过基于可以确定是否针对所请求的动作后续修改网络的规则来评估请求方的真实性强度和请求的有效性，本发明具有改进与计算机和网络安全相关联的技术领域的能力。例如，本发明可以包括通信控制器，其可以解释用于评估请求方的真实性的强度和所请求的网络动作的有效性的规则。通信控制器还可以维持对预先批准的应用及其相关联的预定义的网络属性的认知。通信控制器使用该信息来评估通信请求，并且基于所请求的连接的请求方的真实性强度和请求的适当性，仅启用根据预定义策略可允许的那些通信请求。进而，网络配置改变可以被发送给诸如软件定义网络(SDN)之类的网络，以启用可允许的流量，并且然后在不再需要通信时停用流量。

具体地，如前关于计算机安全性所述，防火墙和端点认证是用于控制网络上的连接和流量的两种流行方法。然而，防火墙经常需要大量的时间来确定将被准许或阻止的地址、端口和协议的复杂集合，这潜在地延迟了重要的业务工作流。而且，一旦针对防火墙定义了期望的访问控制，通常可能需要改变窗口，在该窗口期间必须手动更新许多网络设备以实现期望的控制。由于配置过程的手动特性，这既耗时又容易出错。此外，在最初针对其实现访问控制的应用或系统已经退出之后，访问控制经常保持有效很长时间。这产生了潜在的安全暴露，其中所准许的端口和协议可能被用于恶意软件或其他不期望的流量。

随着软件定义网络(SDN)的出现，网络设备可以被编程地和快速地重新配置，从而减少实现改变所需的时间和人为错误的可能性。当前，重新配置过程是集中式方法，其中全知网络提供方指导可允许网络流的创建/删除。此外，网络提供方可以在网络内安装防火墙以控制流，并且利用软件定义的网络，网络提供方可以通过使网络生成在网络提供方的控制下的动态路由来控制流，或者创建特别用于支持适当的流和流控制的目的防火墙实例。然而，黑客过去为什么成功的根本原因是缺乏验证计算机设备的设备认证方法。这个根本原因驱使创建诸如SFTP和HTTPS之类的端点认证和协议，其中作为建立连接的一部分设备必须证明其身份。然而，SDN正在经历从全知服务提供方进行的路由创建到请求方(例如，网络上的计算机设备或应用)的按需路由创建的概念性转变。这是由提供应用编程接口(API)访问的SDN系统实现的，通过该API访问，设备可以命令SDN创建/移除/改变通过网络的路由。此外，虽然端点/设备认证可以用于认证设备，但是请求方可以不仅包括计算机设备，而是还可以包括在设备上运行的应用或与设备和/或应用相关联的微服务。因此，全知网络提供方不可能知道每个可能的设备、应用或微服务。类似地，应用程序已经变成临时容器，其根据需要被创建并且然后被销毁，并且在应用程序的生命期期间，其将需要网络流。

因此，为了避免大规模安全性失败，网络必须具有在SDN的上下文中评估请求设备的真实性的方法，并且实际上端点设备通常不可以被更改为主动参与证明它们的真实性(即，设备必须证明概念)。此外，对这个问题的任何这样的解决方案必须在不修改已有请求方或不修改任何已有网络协议的情况下操作，因为请求方的安装基础可能是巨大的并且修改与网络和请求方的交互的成本可能是不可克服的。这样，提供一种用于通过基于可以确定网络是否后续被修改以允许所请求的动作的规则来评估请求方的真实性的强度和请求的有效性，来动态地(即，自动地、实时地)建立用于通信请求的通信路径的方法、计算机系统和计算机程序产品是有利的。

附图中的流程图和框图示出了根据本发明的各种实施例的系统、方法和计算机程序产品的可能实现的架构、功能和操作。在这点上，流程图或框图中的每个框可以表示指令的模块、段或部分，其包括用于实现指定的(多个)逻辑功能的一个或多个可执行指令。在一些备选实现中，框中所注明的功能可以不按附图中所注明的次序发生。例如，连续示出的两个框实际上可以基本上同时执行，或者这些框有时可以以相反的顺序执行，这取决于所涉及的功能。还将注意，框图和/或流程图图示的每个框以及框图和/或流程图图示中的框的组合可以由执行指定功能或动作或执行专用硬件和计算机指令的组合的专用的基于硬件的系统来实现。

现在参考图1，描述了根据一个实施例的示例性联网计算机环境100。联网计算机环境100可以包括具有处理器104和数据存储设备106的计算机102，其能够运行软件程序114，并且还可以包括麦克风(未示出)。软件程序114可以是诸如因特网应用的应用程序和/或在诸如台式机、膝上型计算机、平板计算机和移动电话设备的客户端计算机102上运行的一个或多个应用。真实性和有效性评估程序108可以与软件程序114通信。联网计算机环境100还可以包括服务器112和通信网络110。联网计算机环境100可以包括多个计算机102和服务器112，为了说明简洁，仅示出了其中一个。例如，多个计算机102可以包括与一个或多个用户相关联的多个互连设备，诸如移动电话、平板电脑和膝上型计算机。

根据至少一个实现，本实施例还可以包括数据库116，其可以在服务器112上运行。通信网络110可以包括各种类型的通信网络，诸如软件定义网络(SDN)、广域网(WAN)、局域网(LAN)、电信网络、无线网络、公共交换网络和/或卫星网络。可以理解，图1仅提供了一种实现的说明，而不暗示对其中可实现不同实施例的环境的任何限制。可以基于设计和实现要求对所描述的环境进行许多修改。

客户端计算机102可以经由通信网络110与服务器计算机112通信。通信网络110可以包括诸如有线、无线通信链路或光纤电缆的连接。如将参考图3讨论的，服务器计算机112可以分别包括内部组件1102a和外部组件1104a，并且客户端计算机102可以分别包括内部组件1102b和外部组件1104b。服务器计算机112还可以在云计算服务模型中操作，诸如软件即服务(SaaS)、平台即服务(PaaS)或基础设施即服务(IaaS)。服务器112还可以位于云计算部署模型中，诸如私有云、社区云、公共云或混合云。客户端计算机102可以是例如移动设备、电话、个人数字助理、上网本、膝上型计算机、平板计算机、台式计算机或能够运行程序并访问网络的任何类型的计算设备。

联网计算机环境100还可以包括通信控制器136，其被启用来运行真实性和有效性评估程序108。根据本实施例的各种实现方式，通信控制器136可以包括一个或多个服务器和/或其他计算设备，和/或可以被嵌入在通信网络110中或各种存储设备中，诸如但不限于联网服务器112或云存储服务。通信控制器136可以与通信网络110交互，并且可以由真实性和有效性评估程序108配置成通过以下来动态地评估通信请求：基于规则来评估请求方的真实性的强度和请求的有效性，该规则可以确定通信网络110是否后续被修改以允许所请求的动作。具体地，真实性和有效性评估程序108可以配置通信控制器136以接收通信请求，确定是否以及如何兑现该请求，并且命令通信网络110根据需要配置网络。

根据一个实施例，请求方可以是能够请求通信网络110建立到目的地的通信路径的任何实体，诸如应用、微服务、软件组件、硬件组件和计算设备。例如，请求方可以包括出于备份数据库的目的而请求连接到另一数据库应用的数据库应用、请求连接到服务器应用的膝上型计算机应用(诸如膝上型计算机请求与电子邮件服务器通信的电子邮件客户端)，和/或请求连接到数据库的微服务(诸如查找特定位置的天气信息的微服务)。

如将参考图2更详细地描述的，通信控制器136以及真实性和有效性评估程序108可以基于多个真实性断言中的一个或多个真实性断言或组合来评估网络路由的请求方的真实性的强度，该多个真实性断言可以包括基于来自通信网络110的信息的真实性断言、基于关于请求方的信息的真实性断言、基于来自请求方的信息的真实性断言、以及基于关于网络运营方/所有方的信息的真实性断言。例如，在建立阶段期间，通信控制器136可以由真实性和有效性评估程序108配置，以建立将允许哪些请求方在通信网络110上通信以及与通信控制器136通信，建立针对某些类型的通信和/或特定通信的必需/优选的通信属性，建立请求方(或请求方的类别)验证请求方的真实性所需的认证的强度，以及建立用于评估请求的适当性的评估规则(诸如确定在建立用于请求方的通信路径之前请求方需要满足的真实性断言的阈值数目)。

根据一个实施例，通信属性可以包括通信路径的必需或优选特性，例如但不限于，通过特定物理位置或地区或国家的通信路径的物理路由；对最大或最小路由时延的要求、对高可用性路由的要求、对能够适应最小分组大小的路由的要求、对提供最小或最大吞吐量的路由的要求、对路由仅在一天中的某些时间、一周中的某些天存在的要求、对路由必须被加密及其加密强度的要求、对路由的最小和最大持续时间的要求。此外，根据一个实施例，物理网络连接信息可以包括关于的物理连接的属性，请求方正使用该物理连接将其自身连接到通信网络110。该信息可以包括物理链路标识、物理链路的类型和特性(即，10吉比特链路速率、以太网、有线、光纤)、交换机端口标识、链路的物理位置(即，实时传输协议(RTP)园区，北卡罗来纳州，美国国家)。此外，根据一个实施例，逻辑网络连接信息可以包括关于逻辑连接的属性，请求方正使用该逻辑连接将其自身连接到通信网络110。这可以包括IP地址、IP子网、VLAN ID、默认路由器IP地址、网络栈的提供方

现在参考图2，描述了操作流程图200，其示出了由真实性和有效性评估程序108执行的步骤，这些步骤用于通过基于规则评估请求方的真实性强度和请求的有效性来动态地评估和处理通信请求，该规则可以确定是否后续修改通信网络110以允许所请求的动作。具体地，参考图3，在202，并且如前所述，通信控制器136以及真实性和有效性评估程序108可以从请求方接收通信请求。如前所述，请求方可以是能够请求通信网络110建立到目的地的通信路径的任何实体。例如，请求方可以包括请求连接到另一数据库应用的数据库应用、在客户端计算机102上运行的请求连接到在服务器112上运行的服务器应用的膝上型计算机应用、和/或请求连接到数据库116的微服务。根据一个实施例，请求方可以向通信控制器136或通信网络110(其可以向通信控制器136传送通信请求)发信号。例如，通信网络110可能已经从请求方接收到域名系统(DNS)解析查询，并且可以将该DNS查询通知给通信控制器136。对于本领域技术人员来说，可以有多种方法来标识通信请求，因此，上述方法不应被视为限制。

然后，在204，响应于接收到通信请求，通信控制器136可以使用真实性和有效性评估程序108来执行对请求方和通信请求的真实性评估。具体地，真实性和有效性评估程序108可以基于一组认证规则(即，真实性断言)执行真实性评估，该组认证规则支配是否应当在请求方和期望的服务器/数据库之间建立连接，以便处理通信请求中的所需动作。更具体地，例如，如前所述，真实性和有效性评估程序108可以基于请求方和接收到的请求满足多个真实性断言的中一个或多个或组合来执行真实性评估，该多个真实性断言可以包括基于来自通信网络110的信息的真实性断言、基于关于请求方的信息的真实性断言、基于来自请求方的信息的真实性断言、以及基于关于网络运营方/所有方的信息的真实性断言。

例如，对于基于来自通信网络110的信息的真实性断言，真实性和有效性评估程序108可以使通信控制器136向通信网络110查询请求方的物理网络属性，向通信网络110查询请求方的逻辑网络连接信息，和/或向通信网络110查询请求方的连接历史。此外，例如，对于基于关于请求方的信息的真实性断言，真实性和有效性评估程序108可以使通信控制器136扫描请求方以查找可观察的属性，诸如与请求方相关联的操作系统(OS)的开放端口和/或版本/级别，使通信控制器136对请求方进行指纹识别，和/或使通信控制器136查询提供请求方的真实性的保证的身份授权。此外，例如，对于基于来自请求方的信息的真实性断言，真实性和有效性评估程序108可以使通信控制器136从请求方作为请求的一部分接收请求方的身份凭证，或者查询并从请求方接收请求方的身份凭证。此外，例如，对于基于关于网络运营方/所有方的信息的真实性断言，真实性和有效性评估程序108可以使通信控制器136向网络运营方查询可允许的连接性配置。真实性评估是否为真(即，是否满足)的确定可以基于单个真实性断言是否为真、或不同真实性断言的某种组合、或其中权重的聚合超过阈值的加权真实性断言的度量。因此，可以存在用于基于配置来组合各种可能的真实性断言的许多技术。

例如，通信控制器136可以从在客户端计算机102上运行的应用114接收DNS查询，由此DNS查询可以是执行请求纽约市的天气信息的微服务的请求。因此，DNS查询可以被解释为在请求方(即，应用)与保存与纽约市相关联的天气信息的数据库116之间建立临时连接以便请求方可以查询数据库116的请求。这样，真实性和有效性评估程序108可以执行对请求方和通信请求的真实性评估，以确定请求方(即，应用)是否是真实的和/或可信的，以便在请求方与数据库116之间的通信网络110上建立通信路径。因此，基于上述真实性断言，真实性和有效性评估程序108可以标识做出请求的应用的物理位置以确定该物理位置是否是可信站点和/或设备，可以确定该应用的逻辑连接是否正确(诸如确定该应用的IP地址被理解)，和/或可以基于连接历史确定该应用在过去的16天内已经做出了与数据库116的类似连接。这样，基于满足这些真实性断言的一个或多个组合，和/或基于满足加权更大的真实性断言，真实性和有效性评估程序108可以确定是否动态地建立通过通信网络110的通信路径以允许请求方应用连接到数据库116。

进而，在206，响应于确定通信请求是适当的，或者更具体地，响应于确定请求方满足所要求数目的真实性断言，真实性和有效性评估程序108可以使通信控制器136命令通信网络110建立由所要求的通信属性定义的通信路径(即，网络连接性)。如前所述，通信属性可以包括通信路径的必需或优选特性，例如但不限于，通过特定物理位置或地区或国家的通信路径的物理路由；对最大或最小路由时延的要求、对高可用性路由的要求、对能够适应最小分组大小的路由的要求、对路由仅在某个时间段期间存在的要求、对路由必须被加密及其加密强度的要求、和/或对路由的最小和最大持续时间的要求。因此，继续前面的示例，基于满足所描述的真实性断言的一个或多个组合，真实性和有效性评估程序108可以动态地建立通过通信网络110的通信路径，以允许请求方应用连接到包含纽约市的天气信息的数据库116。此外，在208，真实性和有效性评估程序108可以使通信控制器136在请求方和通信请求不再需要通信路径时，基于通信属性自动终止用于请求方的网络连接性(即，所建立的通信路径)。

可以理解，图1-图2仅提供了一种实现的说明，而不暗示对如何实现不同实施例的任何限制。可以基于设计和实现要求对所描述的环境进行许多修改。

本发明可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括其上具有计算机可读程序指令的计算机可读存储介质(或多个介质)，该计算机可读程序指令用于使处理器执行本发明的各方面。计算机可读存储介质可以是可以保留和存储指令以供指令执行设备使用的有形设备。计算机可读存储介质可以是例如但不限于电子存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或前述各项的任何合适的组合。计算机可读存储介质的更具体示例的非穷举列表包括以下：便携式计算机盘，硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)，静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)，数字通用盘(DVD)、记忆棒、软盘、机械编码装置(诸如上面记录有指令的打孔卡或凹槽中的凸起结构)，以及上述的任何适当组合。如本文中所使用的，计算机可读存储介质不应被解释为瞬态信号本身，诸如无线电波或其他自由传播的电磁波、通过波导或其他传输介质传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

本文所述的计算机可读程序指令可以从计算机可读存储介质被下载到相应的计算/处理设备，或者经由网络(例如，因特网、局域网、广域网和/或无线网络)被下载到外部计算机或者外部存储设备。网络可以包括铜传输电缆、光传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配器卡或网络接口从网络接收计算机可读程序指令，并且转发计算机可读程序指令以存储在相应计算/处理设备内的计算机可读存储介质中。

用于执行本发明的操作的计算机可读程序指令可以是汇编指令，指令集架构(ISA)指令、机器指令、机器相关指令、微码、固件指令、状态设置数据、集成电路系统的配置数据，或者以一种或多种编程语言的任何组合编写的源代码或目标代码，包括诸如Smalltalk、C++等面向对象的编程语言，以及过程式编程语言，诸如“C”编程语言或类似的编程语言。计算机可读程序指令可以完全在用户的计算机上执行、部分在用户的计算机上执行、作为独立软件包执行、部分在用户的计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在后一种场景中，远程计算机可以通过包括局域网(LAN)或广域网(WAN)的任何类型的网络连接到用户的计算机，或者可以连接到外部计算机(例如，使用因特网服务提供方通过因特网)。在一些实施例中，包括例如可编程逻辑电路装置、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)的电子电路可以通过利用计算机可读程序指令的状态信息来执行计算机可读程序指令以使电子电路装置个性化，以便执行本发明的方面。

本文中参考根据本发明的实施例的方法、装置(系统)和计算机程序产品的流程图说明和/或框图描述本发明的方面。应当理解，流程图和/或框图的每个框以及流程图和/或框图中各个框的组合，都可以由计算机可读程序指令来实现。

这些计算机可读程序指令可以被提供给通用计算机的处理器，专用计算机或者其他可编程数据处理装置以产生机器，使得经由计算机的处理器或其他可编程数据处理装置执行的指令创建用于实现在流程图和/或框图的一个或多个框中指定的功能/动作的装置。这些计算机可读程序指令还可以被存储在计算机可读存储介质中，其可以引导计算机、可编程数据处理装置、和/或其他设备以特定方式起作用，使得具有存储在其中的指令的计算机可读存储介质包括制品，该制品包括实现流程图和/或框图中的一个或多个框中指定的功能/动作的各方面的指令。

计算机可读程序指令还可以被加载到计算机、其他可编程数据处理装置、或者其他设备上，以使一系列操作步骤在计算机、其他可编程装置或者其他设备上被执行以产生计算机实现的过程，使得在计算机、其他可编程装置或者其他设备上执行的指令实现流程图和/或框图中的一个或多个框中指定的功能/动作。

图3是根据本发明的说明性实施例的图1中所示的计算机的内部和外部组件的框图1100。应当理解，图3仅提供了一种实现的说明，而不暗示对其中可实现不同实施例的环境的任何限制。可以基于设计和实现要求对所描述的环境进行许多修改。

数据处理系统110、1104表示能够执行机器可读程序指令的任何电子设备。数据处理系统1102、1104可以表示智能电话、计算机系统、PDA或其他电子设备。可由数据处理系统1102、1104表示的计算系统、环境和/或配置的示例包括但不限于个人计算机系统、服务器计算机系统、瘦客户端、厚客户端、手持式或膝上型设备、多处理器系统、基于微处理器的系统、网络PC、小型计算机系统和包括上述系统或设备的中的任何系统或设备的分布式云计算环境。

用户客户端计算机102(图1)、通信控制器136(图1)和网络服务器112(图1)包括图3中所示的相应组的内部组件1102a、b和相应组的外部组件1104a、b。多组内部组件1102a、b中的每个组包括一个或多个处理器1120、一个或多个计算机可读RAM 1122、一个或多个总线1126上的一个或多个计算机可读ROM 1124、一个或多个操作系统1128以及一个或多个计算机可读有形存储设备1130。一个或多个操作系统1128、客户端计算机102(图1)中的软件程序114(图1)以及通信控制器136(图1)中的真实性和有效性评估程序108(图1)被存储在一个或多个相应的计算机可读有形存储设备1130上，以便由一个或多个相应的处理器1120经由一个或多个相应的RAM 1122(其通常包括高速缓存存储器)来执行。在图3所示的实施例中，计算机可读有形存储设备1130中的每个计算机可读有形存储设备是内部硬盘驱动器的磁盘存储设备。备选地，计算机可读有形存储设备1130中的每个计算机可读有形存储设备是半导体存储设备，诸如ROM 1124、EPROM、闪存或任何其它能够存储计算机程序和数字信息的计算机可读有形存储设备。

每组内部组件1102a、b还包括R/W驱动器或接口1132，以从一个或多个便携式计算机可读有形存储设备1137读取和向其写入，诸如CD-ROM、DVD、记忆棒、磁带、磁盘、光盘或半导体存储设备。诸如真实性和有效性评估程序108(图1)的软件程序可以被存储在一个或多个相应的便携式计算机可读有形存储设备1137上，经由相应的R/W驱动器或接口1132被读取，并被加载到相应的硬盘驱动器1130中。

每组内部组件1102a、b还包括网络适配器或接口1136，例如TCP/IP适配卡、无线Wi-Fi接口卡、或者3G或4G无线接口卡、或者其它有线或无线通信链路。真实性和有效性评估程序108(图1)和软件程序114(图1)可以从外部计算机经由网络(例如，因特网、局域网或其它广域网)和相应的网络适配器或接口1136下载到客户计算机102(图1)和网络服务器112(图1)。从网络适配器或接口1136，客户端计算机102(图1)中的软件程序114(图1)和通信控制器136(图1)中的真实性和有效性评估程序108(图1)被加载到相应的硬盘驱动器1130中。网络可以包括铜线、光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。

每组外部组件1104a、b可以包括计算机显示监视器1121、键盘1131和计算机鼠标1135。外部组件1104a、b还可以包括触摸屏、虚拟键盘、触摸板、指点设备和其它人机接口设备。每组内部组件1102a、b还包括设备驱动1140，以与计算机显示监视器1121、键盘1131和计算机鼠标1135进行接口。设备驱动1140、R/W驱动器或接口1132、以及网络适配器或接口1136包括硬件和软件(被存储在存储设备1130和/或ROM 1124中)。

应当理解，尽管本公开包括关于云计算的详细描述，但是本文所陈述的教导的实现不限于云计算环境。相反，本发明的实施例能够结合现在已知或以后开发的任何其它类型的计算环境来实现。

云计算是一种服务传递模型，用于实现对可配置计算资源(例如，网络、网络带宽、服务器、处理、存储器、存储、应用、虚拟机和服务)的共享池的方便、按需的网络访问，该可配置计算资源可以用最小的管理工作量或与服务提供方的交互来快速供应和释放。该云模型可以包括至少五个特性、至少三个服务模型和至少四个部署模型。

特性如下：

按需自助服务：云消费者可以按需自动地单方面供应计算能力，诸如服务器时间和网络存储，而无需与服务的提供方的人类交互。

广泛的网络接入：能力通过网络可用并且通过标准机制被访问，该标准机制促进由异构的瘦或厚客户端平台(例如，移动电话、膝上型计算机和PDA)使用。

资源池化：提供方的计算资源被池化以使用多租户模型服务于多个消费者，其中不同的物理和虚拟资源根据需要被动态地指派和重新指派。存在位置独立性的意义，因为消费者通常对所提供资源的确切位置不具有控制或知识，但是可以能够在较高抽象级别(例如，国家、州或数据中心)处指定位置。

快速弹性：在一些情况下，可以快速且弹性地自动地供应能力以快速缩小、并且快速释放以快速放大。对于消费者，可用于供应的能力通常显得不受限制，并且可以在任何时间以任何数目购买。

测量的服务：云系统通过利用适于服务类型(例如，存储、处理、带宽和活动用户账户)的某个抽象层的计量能力来自动控制和优化资源使用。可以监视、控制和报告资源使用，从而为所利用的服务的提供方和消费者两者提供透明度。

服务模型如下：

软件即服务(SaaS)：提供给消费者的能力是使用在云基础设施上运行的提供方的应用。应用通过诸如web浏览器(例如，基于web的电子邮件)的瘦客户端接口从不同客户端设备可访问。消费者不管理或控制包括网络、服务器、操作系统、存储装置或甚至个体应用能力的底层云基础设施，可能的例外是有限的用户特定的应用配置设置。

平台即服务(PaaS)：提供给消费者的能力是将消费者创建或获取的应用部署到云基础设施上，该应用是使用提供方所支持的编程语言和工具来创建的。消费者不管理或控制包括网络、服务器、操作系统或存储装置的底层云基础设施，但是具有对所部署的应用以及可能的应用托管环境配置的控制。

基础设施即服务(IaaS)：提供给消费者的能力是供应消费者能够部署和运行可以包括操作系统和应用的任意软件的处理、存储、网络和其他基本计算资源。消费者不管理或控制底层云基础设施，但是具有对操作系统、存储装置、所部署的应用的控制，以及可能地对选择联网组件(例如，主机防火墙)的有限的控制。

部署模型如下：

私有云：云基础设施仅为组织被操作。它可以由组织或第三方管理，并且可以存在于驻地内或驻地外。

社区云：云基础设施由若干组织共享并且支持具有共享的关注(例如，任务、安全性要求、策略和合规性考虑)的特定社区。它可由组织或第三方管理，并且可以存在于驻地内或驻地外。

公共云：使云基础设施对一般公众或大型产业组可用并且由销售云服务的组织拥有。

混合云：云基础架构是两个或更多个云(私有、社区或公共的)的组合，这些云保持独特的实体，但是通过标准化或专有技术被绑定在一起，这些技术实现数据和应用可移植性(例如，用于云之间的负载平衡的云爆发)。

云计算环境是面向服务的，其焦点在于无状态、低耦合、模块性和语义互操作性。在云计算的核心是包括互连节点的网络的基础设施。

现在参考图4，描绘了说明性云计算环境1200。如图所示，云计算环境1200包括云消费者使用的本地计算设备可以与其通信的一个或多个云计算节点4000，本地计算设备例如是个人数字助理(PDA)或蜂窝电话1200A、台式计算机1200B、膝上型计算机1200C和/或汽车计算机系统1200N。节点4000可以彼此通信。它们可以被物理地或虚拟地分组(未示出)在一个或多个网络中，诸如如上文描述的私有云、社区云、公共云或混合云或其组合。这允许云计算环境2000提供基础设施、平台和/或软件作为服务，云消费者不需要为其维护本地计算设备上的资源。应当理解，图8中所示的计算设备1200A-N的类型仅旨在说明，并且计算节点4000和云计算环境2000可以通过任何类型的网络和/或网络可寻址连接(例如，使用web浏览器)与任何类型的计算设备通信。

现在参考图5，示出了由云计算环境1200(图4)提供的一组功能抽象层1300。应当预先理解，图5中所示的组件、层和功能仅旨在说明，并且本发明的实施例不限于此。如所描绘的，提供了以下层和对应的功能：

硬件和软件层60包括硬件和软件组件。硬件组件的示例包括：大型机61；基于RISC(精简指令集计算机)架构的服务器62；服务器63；刀片服务器64；存储设备65；以及网络和网络组件66。在一些实施例中，软件组件包括网络应用服务器软件67和数据库软件68。

虚拟化层70提供抽象层，从该抽象层可以提供虚拟实体的以下示例：虚拟服务器71；虚拟存储装置72；虚拟网络73，包括虚拟专用网络；虚拟应用和操作系统74；以及虚拟客户端75。

在一个示例中，管理层80可以提供以下描述的功能。资源供应81提供用于在云计算环境内执行任务的计算资源和其它资源的动态采购。计量和定价82提供了在云计算环境中利用资源时的成本跟踪，以及针对这些资源的消耗开帐单或发票。在一个示例中，这些资源可以包括应用软件许可证。安全性为云消费者和任务提供身份验证，以及为数据和其他资源提供保护。用户门户83为消费者和系统管理员提供对云计算环境的访问。服务级别管理84提供云计算资源分配和管理，使得满足所需的服务级别。服务水平协议(SLA)规划和履行85提供对云计算资源的预安排和采购，其中根据SLA预期未来需求。

工作负载层90提供了可以利用云计算环境的功能的示例。可以从该层提供的工作负载和功能的示例包括：地图绘图和导航91；软件开发和生命周期管理92；虚拟教室教育传递93；数据分析处理94；交易处理95；以及真实性和有效性评估96。真实性和有效性评估程序108(图1)可以被提供“作为云中的服务”(即，软件即服务(SaaS))，并且可以通过基于规则来评估请求方的真实性强度和请求的有效性，来动态地建立用于通信请求的通信路径，这些规则可以确定通信网络是否被后续修改以允许所请求的动作。

已经出于说明的目的给出了本发明的各种实施例的描述，但是其不旨在是穷尽的或限于所公开的实施例。在不背离所描述的实施例的范围的情况下，许多修改和变化对于本领域的普通技术人员将是明显的。选择本文所使用的术语以最好地解释实施例的原理、实际应用或对市场上存在的技术改进，或使本领域的其他普通技术人员能够理解本文所公开的实施例。

Claims (20)

1.一种用于通过评估请求方和通信请求的真实性来动态地建立用于所述请求方的通信路径的方法，所述方法包括：

响应于接收到所述通信请求，通过基于一个或多个认证规则评估所述请求方来动态地确定是否建立用于所述请求方到目的地的通过通信网络的通信路径，其中所述一个或多个认证规则基于与所述通信网络相关联的第一信息、关于所述请求方的第二信息和来自所述请求方的第三信息；以及

响应于确定所述请求方满足所述一个或多个认证规则，根据与所述请求方相关联的一个或多个通信属性在所述通信网络上动态地建立用于所述请求方的所述通信路径。

2.根据权利要求1所述的方法，其中，所述请求方选自包括以下至少一项的组：应用、微服务、软件组件、硬件组件、以及计算设备中。

3.根据权利要求1所述的方法，还包括：

其中所述一个或多个认证规则基于关于由网络运营方提供的可允许连接性的第四信息，并且其中，基于来自所述网络运营方的所述第四信息来评估所述请求方包括：

向网络运营方查询可允许的连接性配置。

4.根据权利要求1所述的方法，其中基于与所述通信网络相关联的第一信息来评估所述请求方还包括：

确定与所述请求方相关联的一个或多个物理网络属性；

确定与所述请求方相关联的逻辑网络连接信息；以及

确定与所述请求方相关联的连接历史信息。

5.根据权利要求1所述的方法，其中基于关于所述请求方的第二信息来评估所述请求方还包括：

扫描所述请求方以查找可观察的属性，所述可观察的属性包括与所述请求方相关联的操作系统的开放端口和版本；以及

从库存或数据库获得关于请求方的信息。

6.根据权利要求1所述的方法，其中基于来自所述请求方的第三信息评估所述请求方还包括：

查询所述请求方以接收与所述请求方相关联的信息和身份凭证。

7.根据权利要求1所述的方法，还包括：

响应于确定不再需要用于所述请求方的所述通信路径，自动终止所建立的所述通信路径。

8.一种用于通过评估请求方和通信请求的真实性来动态地建立用于所述请求方的通信路径的计算机系统，包括：

一个或多个处理器、一个或多个计算机可读存储器、一个或多个计算机可读有形存储设备、以及被存储在所述一个或多个存储设备中的至少一个存储设备上的程序指令，所述程序指令用于经由所述一个或多个存储器中的至少一个存储器由所述一个或多个处理器中的至少一个处理器来执行，其中所述计算机系统能够执行方法，所述方法包括：

响应于接收到所述通信请求，通过基于一个或多个认证规则评估所述请求方来动态地确定是否建立用于所述请求方到目的地的通过通信网络的通信路径，其中所述一个或多个认证规则基于与所述通信网络相关联的第一信息、关于所述请求方的第二信息和来自所述请求方的第三信息；以及

响应于确定所述请求方满足所述一个或多个认证规则，根据与所述请求方相关联的一个或多个通信属性在所述通信网络上动态地建立用于所述请求方的所述通信路径。

9.根据权利要求8所述的计算机系统，其中，所述请求方选自包括以下至少一项的组：应用、微服务、软件组件、硬件组件、以及计算设备。

10.根据权利要求8所述的计算机系统，还包括：

其中所述一个或多个认证规则基于关于由网络运营方提供的可允许连接性的第四信息，并且其中基于来自所述网络运营方的所述第四信息来评估所述请求方包括：

向网络运营方查询可允许的连接性配置。

11.根据权利要求8所述的计算机系统，其中，基于与所述通信网络相关联的第一信息来评估所述请求方还包括：

确定与所述请求方相关联的一个或多个物理网络属性；

确定与所述请求方相关联的逻辑网络连接信息；以及

确定与所述请求方相关联的连接历史信息。

12.根据权利要求8所述的计算机系统，其中基于关于所述请求方的第二信息来评估所述请求方还包括：

扫描所述请求方以查找可观察的属性，所述可观察的属性包括与所述请求方相关联的操作系统的开放端口和版本；以及

从库存或数据库获得关于所述请求方的信息。

13.根据权利要求8所述的计算机系统，其中基于来自所述请求方的第三信息对所述请求方进行评估还包括：

查询所述请求方以接收与所述请求方相关联的身份凭证。

14.根据权利要求8所述的计算机系统，还包括：

响应于确定不再需要用于所述请求方的所述通信路径，自动终止所建立的所述通信路径。

15.一种用于通过评估请求方和通信请求的真实性来动态地建立用于所述请求方的通信路径的计算机程序产品，包括：

一个或多个有形计算机可读存储设备和被存储在所述一个或多个有形计算机可读存储设备中的至少一个有形计算机可读存储设备上的程序指令，所述程序指令由处理器可执行，所述程序指令包括：

用于响应于接收到所述通信请求，通过基于一个或多个认证规则评估所述请求方来动态地确定是否建立用于所述请求方到目的地的通过通信网络的通信路径的程序指令，其中所述一个或多个认证规则基于与所述通信网络相关联的第一信息、关于所述请求方的第二信息和来自所述请求方的第三信息；以及

用于响应于确定所述请求方满足所述一个或多个认证规则，根据与所述请求方相关联的一个或多个通信属性，在所述通信网络上动态地建立用于所述请求方的所述通信路径的程序指令。

16.根据权利要求15所述的计算机程序产品，其中，所述请求方选自包括以下至少一项的组：应用、微服务、软件组件、硬件组件、以及计算设备。

17.根据权利要求15所述的计算机程序产品，还包括：

其中所述一个或多个认证规则基于关于由网络运营方提供的可允许连接性的第四信息，并且其中基于来自所述网络运营方的所述第四信息来评估所述请求方包括：

向网络运营方查询可允许的连接性配置。

18.根据权利要求15所述的计算机程序产品，其中，用于基于与所述通信网络相关联的第一信息来评估所述请求方的程序指令还包括：

用于确定与所述请求方相关联的一个或多个物理网络属性的程序指令；

用于确定与所述请求方相关联的逻辑网络连接信息的程序指令；以及

用于确定与所述请求方相关联的连接历史信息的程序指令。

19.根据权利要求15所述的计算机程序产品，其中基于关于所述请求方的第二信息来评估所述请求方还包括：

扫描所述请求方以查找可观察的属性的程序指令，所述可观察的属性包括与所述请求方相关联的操作系统的开放端口和版本；以及

用于从库存或数据库获得关于所述请求方的信息的程序指令。

20.根据权利要求15所述的计算机程序产品，其中，用于其中基于来自所述请求方的第三信息对所述请求方进行评估的所述程序指令还包括：

用于查询所述请求方以接收与所述请求方相关联的身份凭证的程序指令。