RU2710284C1 - Method and apparatus for controlling data streams of a distributed information system using identifiers - Google Patents

Method and apparatus for controlling data streams of a distributed information system using identifiers Download PDF

Info

Publication number
RU2710284C1
RU2710284C1 RU2019118659A RU2019118659A RU2710284C1 RU 2710284 C1 RU2710284 C1 RU 2710284C1 RU 2019118659 A RU2019118659 A RU 2019118659A RU 2019118659 A RU2019118659 A RU 2019118659A RU 2710284 C1 RU2710284 C1 RU 2710284C1
Authority
RU
Russia
Prior art keywords
information
unit
identifier
network
data stream
Prior art date
Application number
RU2019118659A
Other languages
Russian (ru)
Inventor
Владимир Владимирович Бухарин
Антон Владимирович Казачкин
Сергей Юрьевич Карайчев
Владимир Александрович Шалагинов
Евгений Дмитриевич Пикалов
Игорь Георгиевич Ступаков
Original Assignee
Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации filed Critical Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации
Priority to RU2019118659A priority Critical patent/RU2710284C1/en
Application granted granted Critical
Publication of RU2710284C1 publication Critical patent/RU2710284C1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

FIELD: information technology.
SUBSTANCE: invention relates to information security. Method of controlling data flows consists in the fact that distributed information system uses identifiers of authorized data streams by generating them by cryptographic transformation and checking on analysis units. When generating a transmitted data stream on a specific network node, a current identifier Icur, for which cryptographic transformation is used, then recorded in IP packet of transmitted data stream formed current identifier Icur, response identifier Ires is generated, for which cryptographic transformation is used in reverse order. After receiving the data stream, a response identifier Ires and comparing obtained values with previously stored current identifier Icur, correcting the switching table in case of mismatch values separated from the response and current identifiers, then, using new parameters of network interaction, blocking this data stream, and if match continues its transfer.
EFFECT: technical result is wider range of means.
2 cl, 4 dwg

Description

Изобретения объединены единым изобретательским замыслом и относятся к области обеспечения информационной безопасности, а именно к способам и средствам управления потоками данных в защищенных распределенных информационных системах, с целью предотвращения несанкционированного доступа пользователей к сетевым информационным ресурсам и сервисам посредством распределенного контроля устанавливаемых сетевых соединений.The inventions are united by a single inventive concept and relate to the field of ensuring information security, namely, methods and means of managing data flows in secure distributed information systems, in order to prevent unauthorized users from accessing network information resources and services through distributed control of established network connections.

Известен способ обнаружения вторжений по патенту US 7424744, G06F 11/00, опубл. 09.09.2008 «Система и способ обнаружения вторжений, основанных на сигнатурах». Способ заключается в фильтрации принятых пакетов согласно правил фильтрации и сравнении их сигнатур с имеющимися профилями.A known method of detecting intrusions according to patent US 7424744, G06F 11/00, publ. 09.09.2008 “System and method for detecting intrusions based on signatures”. The method consists in filtering received packets according to filtering rules and comparing their signatures with existing profiles.

Недостатком известного способа является отсутствие возможности управления потоками данных, и осуществление частичной фильтрации потоков данных.The disadvantage of this method is the inability to control data streams, and the implementation of partial filtering of data streams.

Известен «Сетевой коммутатор» патент WO 2008077320, H04L 12/28, опубл. 03.07.2008, который осуществляет управление потоками данных в вычислительной сети путем коммутации сетевых пакетов. В сетевом коммутаторе для определения порта назначения передаваемых сетевых пакетов применяется таблица соответствия между портами коммутатора и сетевыми адресами подключенных к ним сетевых устройств.Known "Network switch" patent WO 2008077320, H04L 12/28, publ. 07/03/2008, which manages data flows in a computer network by switching network packets. In the network switch, to determine the destination port of the transmitted network packets, a correspondence table is used between the switch ports and the network addresses of network devices connected to them.

Недостатком известного устройства является коммутация потоков данных без учета требований безопасности и ограничений на доступ.A disadvantage of the known device is the switching of data streams without regard to security requirements and access restrictions.

Известен «Сетевой коммутатор с разграничением доступа» патент WO 2008128085, H04L 12/28, опубл. 23.10.2008, который осуществляет передачу потоков данных в вычислительной сети согласно правил безопасности сетевых пакетов. The well-known "Network switch with access control" patent WO 2008128085, H04L 12/28, publ. 10/23/2008, which transmits data streams in a computer network in accordance with network packet security rules.

Недостатком известного устройства является отсутствие возможности управления потоками данных и контроля доступа к сетевым сервисам и ресурсам на прикладном уровне. A disadvantage of the known device is the inability to control data flows and access control to network services and resources at the application level.

Известен «Способ управления потоками данных защищенных распределенных информационных систем в сети шифрованной связи» патент RU № 2402881, МПК H04L 9/32, опубл. 27.10.2010 г., бюл. №30. Способ заключается в следующих действиях: задают таблицу коммутации, определяющую соответствие между портами устройства подключения и сетевыми адресами соединенных с ним устройств, управляют коммутацией сетевых соединений с использованием динамической таблицы коммутации, определяющей разрешенные маршруты передачи потоков данных, выявляют события безопасности в передаваемом потоке данных, временно блокируют поток данных при обнаружении событий безопасности, анализируют обнаруженное событие для принятия решения о допустимости передачи связанного с этим событием потока данных, изменяют динамическую таблицу коммутации в зависимости от правил дополнительно определенной политики безопасности, блокируют поток либо передают его по назначению в зависимости от разрешения динамической таблицей коммутации сетевого взаимодействия, которое реализуется этим потоком данных. The well-known "Method of managing data streams of secure distributed information systems in an encrypted communication network" patent RU No. 2402881, IPC H04L 9/32, publ. 10/27/2010, bull. No. 30. The method consists in the following actions: set the switching table that defines the correspondence between the ports of the connection device and the network addresses of the devices connected to it, control the switching of network connections using a dynamic switching table that determines the allowed routes for the transmission of data streams, identify security events in the transmitted data stream, temporarily block the data flow when security events are detected, analyze the detected event to decide whether edachi associated with this event data stream, a dynamic switching table change depending on the rules further defined security policy block the flow or transfer it to the destination depending on the resolution of the dynamic table switching network communication that is implemented by the data stream.

Наиболее близким по технической сущности к предлагаемому способу является «Способ управления потоками данных распределенной информационной системы» патент RU № 2547628, МПК H04L 9/32, опубл. 10.02.2015 г., бюл. № 4. Способ-прототип заключается в следующих действиях: задают параметры распределенной информационной системы, выявляют события безопасности в принимаемом потоке данных, анализируют их с целью принятия решения о допустимости передачи потока данных, связанного с этим событием, и при допустимости передачи потока данных, передают его по назначению, дополнительно задают таблицу эталонных файлов трассировки распределенной информационной системы в тестовом режиме ее функционирования, состоящую из эталонных файлов трассировки для всех санкционированных пользователей при их доступе к информационным ресурсам и сервисам определенных сетевых узлов распределенной информационной системы, после разрешения на передачу потока данных в блоке коммутации на определенный сетевой узел на нем формируют текущие файлы трассировки при доступе i-го пользователя к информационным ресурсам и сервисам j-го сетевого узла распределенной информационной системы, передают полученные файлы трассировки в центр управления доступом, запоминают переданный файлы трассировки j-го сетевого узла распределенной информационной системы при доступе i-го пользователя, сравнивают полученные файлы трассировки с эталонными значениями, корректируют таблицу коммутации в случае несовпадения файлов трассировки, после чего, используя новые параметры сетевого взаимодействия, блокируют данный поток данных, а при совпадении продолжают его передачу.Closest to the technical nature of the proposed method is the "Method of managing data flows of a distributed information system" patent RU No. 2547628, IPC H04L 9/32, publ. 02/10/2015, bull. No. 4. The prototype method consists in the following actions: set the parameters of a distributed information system, identify security events in the received data stream, analyze them in order to decide on the admissibility of the data stream transmission associated with this event, and if the data stream is permissible, transmit its intended purpose, additionally set the table of reference trace files of a distributed information system in the test mode of its operation, consisting of reference trace files for all sa When accessing information resources and services of certain network nodes of a distributed information system, after permission to transfer the data stream in the switching unit to a specific network node, current trace files are generated on it when the i-th user accesses the information resources and services of the j-th network node of a distributed information system, transmit the received trace files to the access control center, remember the transmitted trace files of the j-th network node edelennoy information system while accessing the i-th user, compares the trace files to reference values, adjust the switching table in case of a mismatch trace files, and then using the new networking settings, block the flow of data, and the coincidence continue its transmission.

Техническая проблема заключается в относительно низкой защищенности распределенной информационной системы, обусловленная тем, что управление потоками данных осуществляется формированием файлов трассировки при осуществлении доступа пользователей к информационным ресурсам и сервисам информационной системы только в тестовом режиме, и не учитывается возможность возникновения событий безопасности на сетевых узлах распределенной информационной системы за счет недекларированных возможностей программного обеспечения.The technical problem is the relatively low security of the distributed information system, due to the fact that data flow is controlled by generating trace files when users access information resources and services of the information system only in test mode, and the possibility of occurrence of security events on the network nodes of the distributed information system is not taken into account systems due to undeclared software features.

Наиболее близким по своей технической сущности к заявленному устройству является «Устройство управления потоками данных распределенной информационной системы» патент RU № 2547628, МПК H04L 9/32, опубл. 10.02.2015 г., бюл. № 4. В ближайшем аналоге (прототипе) устройстве управления потоками данных защищенных распределенных информационных систем, содержится блок коммутации, блок запоминания таблицы коммутации, определяющую соответствие между портами подключения к сети и сетевыми адресами соединенных с сетью узлов сети, блок детектирования событий, блок управления таблицей коммутации, первый информационный вход блока коммутации является входом потока данных устройства, а первый информационный выход блока коммутации подключен к узлам сети, второй управляющий выход блока коммутации соединен с блоком детектирования событий, выход которого соединен с управляющим входом блока управления таблицей коммутации, выход которого соединен с первым управляющим входом блока запоминания таблицы коммутации, а выход которого соединен со вторым информационным входом блока коммутации, дополнительно введены модуль управления трассировкой сети, состоящий из блока сравнения трассировки, блока запоминания файлов трассировки и блока запоминания таблицы эталонных файлов трассировки, состоящей из эталонных файлов трассировки для всех санкционированных пользователей при их доступе к информационным ресурсам и сервисам определенных сетевых узлов распределенной информационной системы, модули формирования файлов трассировки, состоящие из блока формирования файлов трассировки, блока передачи файлов трассировки, в каждом модуле формирования файлов трассировки информационный выход блока формирования файлов трассировки соединен с информационным входом блока передачи файлов трассировки, информационный выход, которого соединен с информационный входом блока запоминания файлов трассировки и с информационным входом блока запоминания таблицы эталонных файлов трассировки, первый информационный вход блока сравнения трассировки соединен с информационным выходом блока запоминания таблицы эталонных файлов трассировки, а второй информационный вход соединен с информационным выходом блока запоминания файлов трассировки, первый и второй управляющие выходы блока сравнения трассировки соединены с управляющими входами соответственно блока коммутации и блока запоминания таблицы коммутации.The closest in technical essence to the claimed device is a "Device for managing data flows of a distributed information system" patent RU No. 2547628, IPC H04L 9/32, publ. 02/10/2015, bull. No. 4. In the closest analogue (prototype) of the data flow control device of protected distributed information systems, there is a switching unit, a switching table storage unit that determines the correspondence between network connection ports and network addresses of network nodes connected to the network, event detection unit, table control unit switching, the first information input of the switching unit is the input of the device data stream, and the first information output of the switching unit is connected to network nodes, the second control the output output of the switching unit is connected to the event detecting unit, the output of which is connected to the control input of the switching table control unit, the output of which is connected to the first control input of the switching table storage unit, and the output of which is connected to the second information input of the switching unit, a network trace control module is additionally introduced , consisting of a trace comparison unit, a trace file storage unit, and a memory unit for a table of trace trace files consisting of a reference x trace files for all authorized users when they access information resources and services of certain network nodes of a distributed information system, trace file generation modules, consisting of a trace file generation unit, trace file transfer unit, information output of the file generation unit in each trace file generation unit the trace is connected to the information input of the trace file transfer unit, the information output of which is connected to the information by the input of the memory block of trace files and with the information input of the memory block of the table of reference trace files, the first information input of the trace comparison block is connected to the information output of the memory block of the reference trace file table, and the second information input is connected to the information output of the trace file memory block, the first and second the control outputs of the trace comparison unit are connected to the control inputs of the switching unit and the table storage unit, respectively switching.

Техническая проблема заключается в относительно низкой защищенности распределенной информационной системы, обусловленная тем, что управление потоками данных осуществляется формированием файлов трассировки при осуществлении доступа пользователей к информационным ресурсам и сервисам информационной системы только в тестовом режиме, и не учитывается возможность возникновения событий безопасности на сетевых узлах распределенной информационной системы за счет недекларированных возможностей программного обеспечения.The technical problem is the relatively low security of the distributed information system, due to the fact that data flow is controlled by generating trace files when users access information resources and services of the information system only in test mode, and the possibility of occurrence of security events on the network nodes of the distributed information system is not taken into account systems due to undeclared software features.

Техническая проблема решается за счет применения идентификаторов, формируемых криптографическим преобразованием над значениями номеров узлов сети и программного обеспечения.The technical problem is solved through the use of identifiers formed by cryptographic conversion over the values of the numbers of network nodes and software.

Техническим результатом является повышение защищенности распределенной информационной системы, за счет использования идентификаторов санкционированных потоков данных, путем формирования их криптографическим преобразованием и проверкой на блоках анализа.The technical result is to increase the security of a distributed information system, through the use of identifiers of authorized data streams, by forming them with cryptographic conversion and checking on analysis units.

Техническая проблема решается тем, что в способе управления потоками данных распределенной информационной системы, заключающийся в том, что в распределенной информационной системе, содержащей блок анализа и центр управления доступом, предварительно задают таблицу коммутации, определяющую соответствие между портами подключения к сети и сетевыми адресами соединенных с сетью узлов сети, а также задают параметры распределенной информационной системы, выявляют события безопасности в принимаемом потоке данных, анализируют их с целью принятия решения о допустимости передачи потока данных, связанного с этим событием, и, при допустимости передачи потока данных, передают его по назначению, дополнительно задают таблицу массивов использованного программного обеспечения Kr соответствующего массиву узлов сети пользователей Ni распределенной информационной системы. При формировании передаваемого потока данных на определенном узле сети формируют текущий идентификатор Iтек и запоминают его, для чего используют криптографическое преобразование над значениями номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj. Затем записывают в IP-пакет передаваемого потока данных сформированный текущий идентификатор Iтек и передают его, после разрешения на передачу потока данных в блоке коммутации на определенном j-ом узле сети принимают IP-пакет потока данных и выделяют из него текущий идентификатор Iтек. Затем формируют ответный идентификатор Iотв, для чего используют криптографическое преобразование в обратном порядке над значениями номера узла сети информационного ресурса и сервиса Sj, номера программного обеспечения Kr и номера узла сети пользователя Ni , после чего записывают в IP-пакет передаваемого потока данных сформированный ответный идентификатор Iотв и передают его. Затем после приема информационного потока данных выделяют из него ответный идентификатор Iотв, и путем криптографического преобразования формируют из него значения номера узла сети Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj и запоминают их, сравнивают полученные значения номера узла сети Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj из ответного идентификатора Iотв с ранее запомненными из переданного текущего идентификатора Iтек, корректируют таблицу коммутации в случае несовпадения значений выделенных из ответного и текущего идентификаторов. После чего, используя новые параметры сетевого взаимодействия, блокируют данный поток данных, а при совпадении продолжают его передачу.The technical problem is solved by the fact that in the method of managing data flows of a distributed information system, which consists in the fact that in a distributed information system containing an analysis unit and an access control center, a switching table is preliminarily defined that defines the correspondence between the network connection ports and the network addresses connected to network of network nodes, and also set the parameters of a distributed information system, identify security events in the received data stream, analyze them with the aim of receiving a decision is made on the admissibility of the transmission of the data stream associated with this event, and, if the transmission of the data stream is permissible, transmit it as intended, additionally set the table of arrays of used software K r corresponding to the array of nodes of the user network N i of the distributed information system. When forming the transmitted data stream at a certain network node, the current I tech identifier is generated and stored, for which cryptographic conversion is used over the values of the user network node number N i , software number K r , and the network node number of the information resource and service S j . Then, the generated current identifier I tech is written into the IP packet of the transmitted data stream and transmitted, after permission to transmit the data stream in the switching unit at a certain jth network node, the IP packet of the data stream is received and the current I tech identifier is extracted from it. Then, a response identifier I holes, which uses a cryptographic transformation in reverse order on the values of the node number of an information resource and service S j, software number K r and node number by user N i network then recorded in IP-packet of the transmitted data stream the generated response identifier I resp and transmit it. Then, after receiving information data stream recovered therefrom response identifier I of holes and by a cryptographic transformation is formed therefrom value numbers network node N i, software number K r, and the node number of an information resource network and the service S j and storing them, compare obtained network node number value N i, software number K r, and the node number of an information resource and a network service S j from the response identifier i holes with the previously stored identifier from the transmitted current i flowed, the armature projected onto a switching table in case of discrepancy between the values extracted from the response and the current ID. Then, using the new parameters of network interaction, they block this data stream, and if they match, continue to transmit it.

Техническая проблема в заявленном устройстве достигается тем, что в известном устройстве управления потоками данных распределенной информационной системы, содержащем блок коммутации, блок запоминания таблицы коммутации, определяющую соответствие между портами подключения к сети и сетевыми адресами соединенных с сетью узлов сети, первый информационный вход-выход блока коммутации является входом-выходом потока данных устройства, а второй информационный вход-выход блока коммутации подключен к узлам сети, управляющий вход блока коммутации соединен с выходом блока запоминания таблицы коммутации, дополнительно введены модуль управления идентификаторами, состоящий из блока запоминания текущего идентификатора, блока запоминания ответного идентификатора, блока сравнения идентификаторов и блока криптографического преобразования осуществляющего криптографическое преобразование над значениями номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj. Модули формирования ответных идентификаторов состоящие из блока выделения текущего идентификатора из пакетов, блока формирования ответного идентификатора, блока криптографического преобразования, блока передачи пакетов с идентификаторами. В каждом модуле формирования ответного идентификатора информационный вход блока выделения текущего идентификатора из пакетов является входом потока данных модуля формирования ответных идентификаторов, выход которого соединен с первым информационным входом блока формирования ответного идентификатора, а второй информационный вход и первый информационный выход соединен с блоком криптографического преобразования, на котором из текущего идентификатора формируется ответный идентификатор. Второй информационный выход блока формирования ответного идентификатора соединен с информационным входом блока передачи пакетов с идентификаторами, информационный выход которого является выходом потока данных модуля формирования ответных идентификаторов. Модули формирования текущих идентификаторов, состоящие из блока формирования текущих идентификаторов, блока криптографического преобразования и блока передачи пакетов с идентификаторами. В каждом модуле формирования текущих идентификаторов информационный вход и первый информационный выход блока формирования текущих идентификаторов соединены с информационным входом и выходом соответственно блока криптографического преобразования, а второй информационный выход которого соединен с информационным входом блока передачи пакетов с идентификаторами. Информационный выход блока передачи пакетов с идентификаторами соединен с третьим информационным входом блока коммутации и с информационным входом блока запоминания текущего идентификатора, информационный выход которого соединен с первым информационным входом блока криптографического преобразования, а второй информационный вход соединен с блоком запоминания ответного идентификатора, информационный вход которого соединен с третьим информационным выходом блока коммутации. Первый и второй информационные выходы блока криптографического преобразования соединены с блоком сравнения идентификаторов, управляющий выход блока сравнения идентификаторов соединены с управляющим входом блока запоминания таблицы коммутации. The technical problem in the claimed device is achieved by the fact that in the known data stream control device of a distributed information system comprising a switching unit, a switching table memory unit defining a correspondence between network connection ports and network addresses of network nodes connected to the network, the first information input-output of the unit switching is the input-output of the device data stream, and the second information input-output of the switching unit is connected to network nodes, the control input of the switching unit The unit is connected to the output of the storage unit of the switching table, an identifier management module is introduced, consisting of a unit for storing the current identifier, a unit for storing the response identifier, a unit for comparing identifiers, and a cryptographic conversion unit performing cryptographic conversion over the values of the user network node number N i , software number K r , and the node numbers of the network of the information resource and service S j . Modules for generating response identifiers consisting of a unit for extracting the current identifier from packets, a unit for generating a response identifier, a cryptographic conversion unit, and a packet transfer unit with identifiers. In each module for generating the response identifier, the information input of the unit for extracting the current identifier from the packets is an input of the data stream of the module for generating the response identifiers, the output of which is connected to the first information input of the unit for generating the response identifier, and the second information input and the first information output are connected to the cryptographic conversion unit, which from the current identifier is formed a response identifier. The second information output of the response identifier generating unit is connected to the information input of the packet transmitting unit with identifiers, the information output of which is the output of the data stream of the response identifier generating unit. Modules for generating current identifiers, consisting of a block for generating current identifiers, a cryptographic transforming unit, and a packet transmitting unit with identifiers. In each module for generating current identifiers, the information input and the first information output of the current identifier generation unit are connected to the information input and output of the cryptographic conversion unit, respectively, and the second information output of which is connected to the information input of the packet transfer unit with identifiers. The information output of the packet transmission unit with identifiers is connected to the third information input of the switching unit and to the information input of the current identifier storage unit, the information output of which is connected to the first information input of the cryptographic conversion unit, and the second information input is connected to the response identifier storage unit, the information input of which is connected with the third information output of the switching unit. The first and second information outputs of the cryptographic conversion unit are connected to the identifier comparison unit, the control output of the identifier comparison unit is connected to the control input of the memory of the switching table.

Проведенный анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностями признаков, тождественным всем признакам заявленного способа и устройства, отсутствуют. Следовательно, заявленные изобретения соответствуют условию патентоспособности "новизна".The analysis of the prior art allowed us to establish that analogues, characterized by sets of features that are identical to all the features of the claimed method and device, are absent. Therefore, the claimed invention meets the condition of patentability "novelty."

Перечисленная новая совокупность существенных признаков обеспечивает расширение возможности способа и устройства прототипа за счет использования идентификаторов санкционированных потоков данных, путем формирования их криптографическим преобразованием и проверкой на блоках анализа.The listed new set of essential features provides the expansion of the capabilities of the method and device of the prototype through the use of identifiers of authorized data streams, by forming them by cryptographic conversion and verification on analysis units.

Результаты поиска известных решений в данной и смежной областях техники с целью выявления признаков, совпадающих с отличительными от прототипов признаками заявленных изобретений, показали, что они не следуют явным образом из уровня техники. Из определенного заявителем уровня техники не выявлена известность влияния предусматриваемых существенными признаками заявленных изобретений на достижение указанного технического результата. Следовательно, заявленные изобретения соответствуют условию патентоспособности "изобретательский уровень".Search results for known solutions in this and related fields of technology in order to identify features that match the distinctive features of the claimed inventions from the prototypes showed that they do not follow explicitly from the prior art. From the prior art determined by the applicant, the influence of the inventions provided for by the essential features on the achievement of the indicated technical result is not known. Therefore, the claimed invention meets the condition of patentability "inventive step".

«Промышленная применимость» способа и устройства обусловлена наличием элементной базы, на основе которой могут быть выполнены устройства, реализующие данный способ с достижением указанного в изобретениях результата.The "industrial applicability" of the method and device is due to the presence of an element base, on the basis of which devices can be made that implement this method with the achievement of the result specified in the inventions.

Заявленный способ и устройство поясняется чертежами, на которых показаны:The claimed method and device is illustrated by drawings, which show:

на фиг. 1 – схема распределенной информационной системы (РИС);in FIG. 1 is a diagram of a distributed information system (RIS);

на фиг. 2 – блок-схема алгоритма способа управления потоками данных распределенной информационной системы с использованием идентификаторов;in FIG. 2 is a flowchart of a method for managing data streams of a distributed information system using identifiers;

на фиг. 3 – структурная схема устройства управления потоками данных;in FIG. 3 is a block diagram of a data flow control device;

на фиг. 4 – структурная схема модуля формирования ответных идентификаторов.in FIG. 4 is a block diagram of a module for generating response identifiers.

Реализация заявленного способа можно пояснить на схеме распределенных информационных систем, показанной на фиг. 1.The implementation of the claimed method can be explained on the diagram of distributed information systems shown in FIG. 1.

Распределенная информационная система (РИС) 2 подключена к внешней сети 1 посредством блока анализа. В общем случае распределенная информационная система 2 представляет собой совокупность сетевых узлов 2.11–2.1N (маршрутизаторов, концентраторов, коммутаторов, ПЭВМ) [В.Г.Олифер, Н.А.Олифер Компьютерные сети. Принципы, технологии, протоколы (3-е издание) Спб - 2009г, стр. 57], центра управления доступом 3, блока анализа 4, узлов дополнительного анализа 2.21–2.2N, на сетевых узлах 2.11–2.1N, узлов дополнительного 5.21–5.2N на узлах информационных ресурсов и сервисов РИС 5.11–5.1N объединенных физическими линиями связи. Все эти элементы имеют идентификаторы, в качестве которых в наиболее распространенном стеке протоколов TCP/IP используются сетевые адреса (IP-адреса). Внешняя сеть представлена набором маршрутизаторов, осуществляющих транспортировку информационных потоков из одной РИС в другую. Информационным потоком, или потоком данных, называют непрерывную последовательность данных объединенных набором общих признаков, выделяющих их из общего сетевого трафика [В. Г. Олифер, Н. А. Олифер Компьютерные сети. Принципы, технологии, протоколы (3-е издание) СПб – 2009 г., стр. 65].Distributed Information System (RIS) 2 is connected to an external network 1 through an analysis unit. In the general case, distributed information system 2 is a collection of network nodes 2.1 1 –2.1 N (routers, hubs, switches, PCs) [V.G. Olifer, N.A. Olifer Computer networks. Principles, technologies, protocols (3rd edition) St. Petersburg - 2009, p. 57], access control center 3, analysis unit 4, additional analysis nodes 2.2 1 –2.2 N , on network nodes 2.1 1 –2.1 N , additional 5.2 nodes 1 –5.2 N at the nodes of information resources and services of RIS 5.1 1 –5.1 N connected by physical communication lines. All these elements have identifiers, for which network addresses (IP addresses) are used in the most common TCP / IP protocol stack. An external network is represented by a set of routers that transport information flows from one RIS to another. An information stream, or data stream, is called a continuous sequence of data united by a set of common features that distinguish them from the general network traffic [V. G. Olifer, N. A. Olifer Computer networks. Principles, technologies, protocols (3rd edition) of St. Petersburg - 2009, p. 65].

Кроме этого, центр управления доступом 3 обрабатывает событие безопасности при получении от блока анализа 4 оповещение о наличии в информационном потоке события безопасности. Под событием безопасности понимается операция или действие, совершенное пользователем или программой, приводящее к изменению потоков данных в распределенной информационной системе. Событием безопасности является идентифицированное появление определенного состояния системы, сервиса или сети, указывающего на возможное нарушение политики безопасности или на отказ защитных мер, или возникновение неизвестной ранее ситуации, которая может иметь отношение к безопасности [ГОСТ Р ИСО/МЭК 18044-2007, Информационная технология. Методы и средства обеспечения безопасности. Менеджмент инцидентов информационной безопасности, стр. 2]. Событием безопасности может быть факт определения действий недекларированных возможностей программного обеспечения. In addition, the access control center 3 processes a security event when it receives a notification from the analysis unit 4 that there is a security event in the information flow. A security event is understood as an operation or action performed by a user or a program, leading to a change in data flows in a distributed information system. A security event is the identified occurrence of a certain state of a system, service or network, indicating a possible violation of security policy or a failure of protective measures, or the occurrence of a previously unknown situation that may be related to security [GOST R ISO / IEC 18044-2007, Information technology. Security methods and tools. Information Security Incident Management, p. 2]. A security event may be the fact of determining the actions of undeclared software features.

Недекларированные возможности – функциональные возможности ПО, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации [Руководящий документ. Защита от несанкционированного доступа к информации. Часть 1.Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей. Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 4 июня 1999 г. № 114]. При этом нелекларированные возможности могут быть реализованы злоумышленником еще на стадии тестирования РИС, что требует создания дополнительного контроля над действиями программного обеспечения. Выполнение данного вида контроля возможно за счет формирования идентификаторов позволяющих при их анализе выявлять информационные потоки данных осуществляющие доступ на сетевые узлы не входящие в РВС и не соответствующие принятой политики безопасности. Кроме того формировать идентификаторы возможно используя криптографические преобразования, что позволит избежать возможности их подделки злоумышленником. Undeclared features - software functionality that is not described or does not correspond to those described in the documentation, the use of which may violate the confidentiality, availability or integrity of the processed information [Guidance document. Protection against unauthorized access to information. Part 1. Software for information security. Classification by level of control of the absence of undeclared opportunities. Approved by the decision of the Chairman of the State Technical Commission under the President of the Russian Federation of June 4, 1999 No. 114]. Moreover, undeclared capabilities can be realized by an attacker at the stage of testing the RIS, which requires the creation of additional control over the actions of the software. The implementation of this type of control is possible due to the formation of identifiers that, when analyzing them, can identify information data streams accessing network nodes that are not part of the RCA and do not comply with the adopted security policy. In addition, it is possible to generate identifiers using cryptographic transformations, which will allow avoiding the possibility of falsification by an attacker.

Блок анализа 4 осуществляет изменение таблицы коммутации в соответствии с общесистемной политикой безопасности и, используя данные о эквивалентности текущих и ответных идентификаторов, либо блокируют поступающий поток данных, либо передают их на соответствующий сетевой узел РИС.Analysis unit 4 performs the change of the switching table in accordance with the system-wide security policy and, using data on the equivalence of current and response identifiers, either block the incoming data stream or transmit them to the corresponding RIS network node.

На фиг. 2 представлена блок-схема последовательности действий, реализующих алгоритм способа управления потоками данных РИС с использованием идентификаторов. In FIG. 2 is a flowchart illustrating an algorithm of a method for controlling RIS data flows using identifiers.

Первоначально формируют таблицу коммутации M (блок 1, Фиг. 2). В таблице коммутации локальному или глобальному признаку (признакам) потока (например, адресу назначения) ставят в соответствие номер порта, на который узел сети должен передавать данные, относящиеся к этому потоку [В.Г.Олифер, Н.А.Олифер Компьютерные сети. Принципы, технологии, протоколы: Учебник для вузов. 5-е изд. СПб: – 2016, стр. 69]. Initially form the switching table M (block 1, Fig. 2). In the switching table, the local or global sign (s) of the stream (for example, destination address) is assigned the port number to which the network node must transmit data related to this stream [V.G. Olifer, N.A. Olifer Computer networks. Principles, technologies, protocols: Textbook for universities. 5th ed. St. Petersburg: - 2016, p. 69].

Далее формируют массивы узлов сети Li и используемого программного обеспечения KR, соответствующего массиву узлов сети пользователей Ni распределенной информационной системы, формирующих Pk потоки данных (блок 2, Фиг. 2). Next, arrays of network nodes L i and used software K R are formed , corresponding to an array of network nodes of users N i of a distributed information system that form P k data streams (block 2, Fig. 2).

Далее для k-ого передаваемого потока данных P от определенного узла сети Li (блок 3, Фиг. 2), на узле дополнительного анализа формируется текущий идентификатор Iтек путем криптографического преобразования над значениями номера узла сети пользователя Ni, номера программного обеспечения Kr, и номера узла сети информационного ресурса и сервиса Sj и запоминается (блок 4 и 5, Фиг. 2). Further, for the k-th transmitted data stream P from a specific network node L i (block 3, Fig. 2), the current I I tech identifier is generated on the additional analysis node by cryptographic conversion over the values of the user network node number N i , software number K r , and the network node number of the information resource and service S j and is stored (block 4 and 5, Fig. 2).

Криптографическое преобразование – это преобразование информации, основанное на некотором алгоритме, зависящем от изменяемого параметра (обычно называемого секретным ключом), и обладающее свойством невозможности восстановления исходной информации по преобразованной, без знания действующего ключа [ГОСТ 28147-89 Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования. Москва. Стандартинформ. 1996, стр.16–18]. Основным достоинством криптографических методов является то, что они обеспечивают высокую стойкость защиты.A cryptographic transformation is an information transformation based on some algorithm that depends on a variable parameter (usually called a secret key) and which has the property of impossibility to restore the original information from the converted one without knowing the valid key [GOST 28147-89 Information Processing Systems. Cryptographic protection. Cryptographic conversion algorithm. Moscow. Standartinform. 1996, pp. 16–18]. The main advantage of cryptographic methods is that they provide high security durability.

Далее производится запись сформированного текущего идентификатора Iтек в IP-пакет передаваемого потока данных Pk и его передача (блок 6, Фиг. 2). Запись текущего идентификатора может осуществляться в поля IP-пакета [Стивенс У.Р. Протоколы TCP/IP. Практическое руководство / Пер. с англ. – СПб.: «Невский диалект» - «БХВ-Петербург», 2003 г., стр.54].Next, the generated current identifier I tech is recorded in the IP packet of the transmitted data stream P k and its transmission (block 6, Fig. 2). The current identifier can be written into the fields of the IP packet [Stevens U.R. TCP / IP protocols. Practical Guide / Per. from English - St. Petersburg: “Nevsky dialect” - “BHV-Petersburg”, 2003, p. 54].

После разрешения на передачу потока данных в блоке коммутации и передачи его на информационные ресурсы РИС (блок 7, Фиг. 2) в узле дополнительного анализа соответствующего ресурса принимают IP-пакет потока данных Pk и выделяют из него текущий идентификатор Iтек (блок 8, Фиг.2). Выделение идентификатора производится путем чтения данных из полей IP-пакетов.After permission to transmit the data stream in the switching unit and transfer it to the RIS information resources (block 7, Fig. 2), in the additional analysis node of the corresponding resource, an IP packet of the data stream P k is received and the current identifier I tech is extracted from it (block 8, Figure 2). Identification is performed by reading data from the fields of IP packets.

Затем формируют ответный идентификатор Iотв, для чего используют криптографическое преобразование в обратном порядке над значениями номера узла сети информационного ресурса и сервиса Sj, номера программного обеспечения Kr и номера узла сети пользователя Ni (блок 9, Фиг. 2). Изменение очередности значений, над которыми производится криптографическое преобразование, приведет к изменению значения результата этого преобразования и, как следствие, формируемого ответного идентификатора. Then, a response identifier I of holes, which are used for S j, software number K r and node number N i user network (block 9, FIG. 2) the cryptographic transformation in reverse order on the values of the node number of an information resource and service. Changing the sequence of values over which the cryptographic conversion is performed will lead to a change in the value of the result of this conversion and, as a result, the response identifier being generated.

Далее производится запись сформированного ответного идентификатора Iотв в IP-пакет передаваемого потока данных Pk с последующей его передачей на узел сети Li (блок 9 и 10, Фиг. 2). После приема IP-пакета информационного потока данных выделяют из него ответный идентификатор Iотв, и путем криптографического преобразования формируют из него значения номера узла сети Ni , номера программного обеспечения Kr, и номера узла сети информационного ресурса и сервиса Sj и запоминают их (блок 11, Фиг. 2). Затем производят сравнение полученных из ответного идентификатора Iотв значений номеров узла сети Ni, программного обеспечения Kr, и узла сети информационного ресурса и сервиса Sj с ранее запомненными из переданного текущего идентификатора Iтек (блок 12, Фиг. 2). В случае несовпадения значений выделенных из ответного и текущего идентификаторов корректируют таблицу коммутации M и блокируют передаваемый поток данных Pk (блок 13 и 15, Фиг. 2), а при совпадении продолжают его передачу (блок 14, Фиг. 2).Next is formed by recording the response identifier I holes in the IP-packet data stream transmitted P k with its subsequent transmission to a network node L i (block 9 and 10, FIG. 2). Upon receiving the IP-packet information data stream recovered therefrom response identifier I of holes and by a cryptographic transformation is formed therefrom value numbers network node N i, software number K r, and the node number of an information resource network and the service S j and storing them ( block 11, Fig. 2). Then produce a comparison obtained from the response identifier I holes network node numbers of values N i, software K r, and the node information resource and network service S j with the previously stored identifier from the transmitted current I flowed (block 12, FIG. 2). In case of discrepancy between the values extracted from the response and the current identifiers, the switching table M is corrected and the transmitted data stream P k is blocked (block 13 and 15, Fig. 2), and if it matches, continue to transmit it (block 14, Fig. 2).

Описанный выше способ управления потоками данных распределенной информационной системы с использованием идентификаторов реализуется с помощью устройства управления потоками данных распределенной информационной системы с использованием идентификаторов.The above-described method for managing data flows of a distributed information system using identifiers is implemented using a data flow control device of a distributed information system using identifiers.

Устройство, структурная схема которого показана на фиг.3 и фиг. 4, состоит из взаимосвязанных между собой блока коммутации (БК) 4, блока запоминания таблицы коммутации (БЗТК) 3, определяющей соответствие между портами подключения к сети и сетевыми адресами соединенных с сетью узлов сети, модуля управления идентификаторами (МУИ) 1, состоящий из блока запоминания текущего идентификатора (БЗТИ) 1.2, блока запоминания ответного идентификатора (БЗОИ) 1.1, блока сравнения идентификаторов (БСИ) 1.4 и блока криптографического преобразования (БКП) 1.3 осуществляющего криптографическое преобразование над значениями номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj, модули формирования ответных идентификаторов (МФОИ) 5 состоящие из блока выделения текущего идентификатора из пакетов (БВТИ) 5.3, блока формирования ответного идентификатора (БФОИ) 5.2, блока криптографического преобразования (БКП) 5.4, блока передачи пакетов с идентификаторами (БППИ) 5.1, модули формирования текущих идентификаторов (МФТИ) 2 состоящие из блока формирования текущих идентификаторов (БФТИ) 2.2, блока криптографического преобразования (БКП) 2.3 и блока передачи пакетов с идентификаторами (БППИ) 2.1.A device whose structural diagram is shown in FIG. 3 and FIG. 4, consists of interconnected switching unit (BC) 4, a memory unit for switching table (BZTK) 3, which determines the correspondence between the network connection ports and network addresses of network nodes connected to the network, identifier management module (MMI) 1, consisting of a unit storing the current identifier (BZTI) 1.2, the block storing the response identifier (BZOI) 1.1, the unit for comparing identifiers (BSI) 1.4 and the block of cryptographic conversion (BKP) 1.3 performing cryptographic conversion over the values but EPA node network user N i, software number K r, and the node number of an information resource network and the service S j, modules forming response identifiers (IFIP) 5 consisting of block allocation of the current identifier of the packets (BVTI) 5.3 forming unit response identifier ( BFOI) 5.2, cryptographic conversion unit (BCP) 5.4, packet transmission unit with identifiers (BPPI) 5.1, current identifier generation modules (MIPT) 2 consisting of a current identifier generation unit (BIPT) 2.2, a cryptographic block conversion (BKP) 2.3 and the packet transmission unit with identifiers (BPPI) 2.1.

Первый информационный вход-выход БК 4 является входом-выходом потока данных устройства, а второй информационный вход-выход БК 4 подключен к узлам сети, управляющий вход БК 4 соединен с выходом БЗТК 3. Информационный вход БВТИ 5.3 является входом потока данных, выход которого соединен с первым информационным входом БФОИ 5.2, а второй информационный вход и первый информационный выход соединен с БКП 5.4, второй информационный выход БФОИ 5.2 соединен с информационным входом БППИ 5.1. Информационный вход и первый информационный выход БФТИ 2.2 соединены с информационным входом и выходом соответственно БКП 2.3, а второй информационный выход которого соединен с информационным входом БППИ 2.1. Информационный выход БППИ 2.1 соединен с третьим информационным входом БК 4 и с информационным входом БЗТИ 1.2, информационный выход которого соединен с первым информационным входом БКП 1.3, а второй информационный вход соединен с БЗОИ 1.1, информационный вход которого соединен с третьим информационным выходом БК 4. Первый и второй информационные выходы БКП 1.3 соединены с БСИ 1.4, управляющий выход БСИ 1.4 соединены с управляющим входом БЗТК 3.The first information input-output of the BC 4 is the input-output of the data stream of the device, and the second information input-output of the BC 4 is connected to the network nodes, the control input of the BC 4 is connected to the output of the BZTK 3. Information input BVTI 5.3 is the input of the data stream, the output of which is connected with the first information input of the BPOI 5.2, and the second information input and the first information output is connected to the BKP 5.4, the second information output of the BPOI 5.2 is connected to the information input of the BPOI 5.1. The information input and the first information output of the BFTI 2.2 are connected to the information input and output of the BKP 2.3, respectively, and the second information output of which is connected to the information input of the BPPI 2.1. The information output of BPPI 2.1 is connected to the third information input of BKTI 4 and to the information input of BZTI 1.2, the information output of which is connected to the first information input of BKP 1.3, and the second information input is connected to BZOI 1.1, the information input of which is connected to the third information output of BC 4. First and the second information outputs BKP 1.3 connected to BSI 1.4, the control output BSI 1.4 connected to the control input BZTK 3.

МУИ 1 предназначен для запоминания и криптографического преобразования, над значениями номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj,текущих и ответных идентификаторов информационных потоков и фиксации несанкционированных действий за счет сравнения соответствующих текущих и ответных идентификаторов. МУИ 1 состоит из БЗОИ 1.1, БЗТИ 1.2, БКП 1.3 и БСИ 1.4.MUI 1 is intended for storing and cryptographic conversion, over the values of the user network node number N i , the software number K r , and the network node number of the information resource and service S j , current and response identifiers of information flows and fixing unauthorized actions by comparing the corresponding current and response identifiers. MUI 1 consists of BZOI 1.1, BZTI 1.2, BKP 1.3 and BSI 1.4.

БЗОИ 1.1 предназначен для записи данных ответного идентификатора полученного с определенных сетевых узлов РИС при доступе к информационным ресурсам и сервисам на них имеющихся, в процессе ее функционирования. БЗОИ 1.1 может быть реализован с помощью постоянных запоминающих устройств, описанных в литературе [Вениаминов В.Н., Лебедев О.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 152, 159 с.].BZOI 1.1 is designed to record response identifier data received from certain RIS network nodes when accessing information resources and services available on them, in the process of its functioning. BZOI 1.1 can be implemented using read-only memory devices described in the literature [Veniaminov VN, Lebedev ON and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 152, 159 pp.].

БЗТИ 1.2 предназначен для записи данных текущего идентификатора сформированного на МФТИ 2 определенного узла сети передаваемого потока данных. БЗТИ 1.2 может быть реализован с помощью постоянных запоминающих устройств, описанных в литературе [Вениаминов В.Н., Лебедев О.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 152, 159 с.].BZTI 1.2 is designed to record data of the current identifier of the transmitted data stream formed at MIPT 2 of a particular network node. BZTI 1.2 can be implemented using read-only memory devices described in the literature [Veniaminov VN, Lebedev ON and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 152, 159 pp.].

БКП 1.3 предназначен для криптографического преобразования в результате которого формируются значения номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj ответного и текущего идентификаторов. БКП 1.3 может быть реализован с помощью устройства криптографической защиты информации описанного в литературе [«Устройство криптографической защиты информации» патент RU 82 974 U1, МПК H04L 9/00, опубл. 10.05.2009 г, бюл. №13 ].BKP 1.3 is intended for cryptographic conversion as a result of which the values of the user network node number N i , the software number K r , and the network node number of the information resource and service S j of the response and current identifiers are generated. BKP 1.3 can be implemented using the cryptographic information protection device described in the literature ["Cryptographic information protection device" patent RU 82 974 U1, IPC H04L 9/00, publ. 05/10/2009, bull. No. 13].

БСИ 1.4 предназначен для сравнения значений выделенных из ответного и текущего идентификаторов информационного потока данных сформированных при функционировании РИС. БСИ 1.4 может быть реализован на устройствах сравнения, известных и широко освещенных в литературе [Вениаминов В.Н., Лебедев О.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 235 с.].BSI 1.4 is designed to compare the values extracted from the response and current identifiers of the information data stream generated during the operation of the RIS. BSI 1.4 can be implemented on comparison devices known and widely covered in the literature [Veniaminov VN, Lebedev ON and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 235 p.].

МФТИ 2 предназначен для формирования и передачи текущих идентификаторов информационного потока данных от определенных сетевых узлов РИС при ее функционировании используя значения номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj. МФТИ 2 состоит из БППИ 2.1, БФТИ 2.2 и БКП 2.3.MIPT 2 is intended for generating and transmitting current identifiers of the information data stream from certain RIS network nodes during its operation using the values of the user network node number N i , software number K r , and the network node number of the information resource and service S j . MIPT 2 consists of BPPI 2.1, BFTI 2.2 and BKP 2.3.

БППИ 2.1 предназначен для передачи данных сформированных текущих идентификаторов при доступе к информационным ресурсам и сервисам определенного сетевого узла распределенной информационной системы. БППИ 2.1 может быть реализован в виде цифроаналогового преобразователя, описанного в литературе [Вениаминов В.Н., Лебедев О.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 167 с].BPPI 2.1 is intended for data transmission of generated current identifiers when accessing information resources and services of a specific network node of a distributed information system. BPPI 2.1 can be implemented as a digital-to-analog converter described in the literature [Veniaminov VN, Lebedev ON and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 167].

БФТИ 2.2 предназначен формирования текущего идентификатора информационного потока данных от определенных сетевых узлов РИС при ее функционировании, используя значения номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj. Данный идентификатор позволяет определить реализуемые действия определенного приложения (программного обеспечения) на определенном сетевом узле в время функционирования РИС. БФТИ 2.2 может быть реализован в виде микропроцессоров (устройств управления памятью), известных и широко освещенных в литературе [Вениаминов В.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 161-165 с.].BIPT 2.2 is intended to form the current identifier of the information data stream from certain RIS network nodes during its operation, using the values of the user network node number N i , software number K r , and the network node number of the information resource and service S j . This identifier allows you to determine the implemented actions of a particular application (software) on a specific network node during the operation of the RIS. BIPT 2.2 can be implemented in the form of microprocessors (memory management devices), known and widely covered in the literature [Veniaminov V.N. and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 161-165 p.].

БКП 2.3 предназначен для криптографического преобразования над значениями номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj в результате чего формируется криптосообщение используемое как текущий идентификатор. БКП 2.3 может быть реализован с помощью устройства криптографической защиты информации описанного в литературе [«Устройство криптографической защиты информации» патент RU 82 974 U1, МПК H04L 9/00, опубл. 10.05.2009 г, бюл. №13 ].BKP 2.3 is intended for cryptographic conversion over the values of the user network node number N i , the software number K r , and the network node number of the information resource and service S j, as a result of which the cryptographic message is used as the current identifier. BKP 2.3 can be implemented using the cryptographic information protection device described in the literature ["Cryptographic information protection device" patent RU 82 974 U1, IPC H04L 9/00, publ. 05/10/2009, bull. No. 13].

БЗТК 3 предназначен для записи данных соответствия между портами подключения к внешней сети и сетевыми адресами соединенных с сетью узлов сети. БЗТК 3 может быть реализован с помощью постоянных запоминающих устройств, описанных в литературе [Вениаминов В.Н., Лебедев О.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 152, 159 с.].BZTK 3 is intended for recording correspondence data between ports connecting to an external network and network addresses of network nodes connected to the network. BZTK 3 can be implemented using read-only memory devices described in the literature [Veniaminov V.N., Lebedev O.N. and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 152, 159 pp.].

БК 4 предназначен для управления информационными потоками в соответствии с таблицей коммутации, определяющей соответствие между портами подключения к внешней сети и сетевыми адресами соединенных с сетью узлов сети, и несоответствии текущих файлов трассировки сформированных при функционировании РИС. БК 4 может быть реализован как блок селекции, описанный в патенте RU № 2313128, МПК G06F 17/30, опубл. 20.12.2007 г., бюл. № 35.BC 4 is designed to control information flows in accordance with the switching table, which determines the correspondence between the ports of connection to the external network and the network addresses of network nodes connected to the network, and the inconsistency of the current trace files generated during the operation of the FIG. BC 4 can be implemented as a selection block described in patent RU No. 2313128, IPC G06F 17/30, publ. December 20, 2007, bull. Number 35.

МФОИ 5 предназначен для формирования и передачи ответных идентификаторов информационного потока данных от определенных сетевых узлов РИС при доступе к информационным ресурсам и сервисам на них имеющихся, в процессе ее функционирования, используя значения номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj. МФОИ 5 состоит из БППИ 5.1, БФОИ 5.2, БВТИ 5.3 и БКП 5.4.MFOI 5 is designed to generate and transmit response identifiers of the data information stream from certain RIS network nodes when accessing the information resources and services available on them, during its operation, using the values of the user network node number N i , software number K r , and numbers network node information resource and service S j . MFOI 5 consists of BPPI 5.1, BFII 5.2, BVTI 5.3 and BKP 5.4.

БППИ 5.1 предназначен для передачи данных сформированных ответных идентификаторов при доступе к информационным ресурсам и сервисам определенного сетевого узла распределенной информационной системы. БППИ 5.1 может быть реализован в виде цифроаналогового преобразователя, описанного в литературе [Вениаминов В.Н., Лебедев О.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 167 с.].BPPI 5.1 is intended for data transmission of generated response identifiers when accessing information resources and services of a specific network node of a distributed information system. BPPI 5.1 can be implemented as a digital-to-analog converter described in the literature [Veniaminov V.N., Lebedev O.N. and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 167 p.].

БФОИ 5.2 предназначен для формирования ответного идентификатора информационного потока данных от определенных сетевых узлов при доступе к информационным ресурсам и сервисам при ее функционировании, используя значения номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj. Данный идентификатор формируется из значений Ni , Kr и Sj полученного текущего идентификатора, путем криптографического преобразования в обратном порядке, т. е. Sj, Kr, Ni. БФОИ 5.2 может быть реализован в виде микропроцессоров (устройств управления памятью), известных и широко освещенных в литературе [Вениаминов В.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 161-165 с.].BFOI 5.2 is designed to generate a response identifier of the information data stream from certain network nodes when accessing information resources and services during its operation, using the values of the user network node number N i , software number K r , and the network node number of the information resource and service S j . This identifier is formed from the values of N i , K r and S j of the received current identifier, by cryptographic conversion in the reverse order, that is, S j , K r , N i . BFOI 5.2 can be implemented in the form of microprocessors (memory management devices), known and widely covered in the literature [Veniaminov V.N. and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 161-165 p.].

БВТИ 5.3 предназначен для выделения из IP-пакет полученного потока данных текущих идентификаторов при доступе к информационным ресурсам и сервисам определенного сетевого узла распределенной информационной системы. БВТИ 5.3 может быть реализован в виде цифроаналогового преобразователя, описанного в литературе [Вениаминов В.Н., Лебедев О.Н. и др. Микросхемы и их применение. Справочное пособие, 3-е изд. М., «Радио и связь», 1989 г. – 167 с].BVTI 5.3 is intended for extracting current identifiers from an IP packet of a received data stream when accessing information resources and services of a specific network node of a distributed information system. BVTI 5.3 can be implemented as a digital-to-analog converter described in the literature [Veniaminov V.N., Lebedev O.N. and other microcircuits and their application. Handbook, 3rd ed. M., "Radio and Communications", 1989 - 167].

БКП 5.4 предназначен для криптографического преобразования над значениями номера узла сети информационного ресурса и сервиса Sj, номера программного обеспечения Kr и номера узла сети пользователя Ni , в результате чего формируется криптосообщение используемое как ответный идентификатор. БКП 5.4 может быть реализован с помощью устройства криптографической защиты информации описанного в литературе [«Устройство криптографической защиты информации» патент RU 82 974 U1, МПК H04L 9/00, опубл. 10.05.2009 г., бюл. №13 ].BKP 5.4 is intended for cryptographic conversion over the values of the node number of the network of the information resource and service S j , the software number K r and the node number of the user network N i , as a result of which the cryptographic message is used as a response identifier. BKP 5.4 can be implemented using the cryptographic information protection device described in the literature ["Cryptographic information protection device" patent RU 82 974 U1, IPC H04L 9/00, publ. 05/10/2009, bull. No. 13].

Заявленное устройство работает следующим образом, из таблицы массивов использованного программного обеспечения Kr соответствующего массиву узлов сети пользователей Ni РИС, при формировании передаваемого потока данных на определенном узле сети РИС формируют текущий идентификатор Iтек в БФТИ 2.2. Для чего информационный вход и первый информационный выход БФТИ 2.2 соединены с информационным входом и выходом соответственно БКП 2.3 на котором осуществляется криптографического преобразования над значениями номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj в результате чего формируется криптосообщение используемое как текущий идентификатор. Второй информационный выход БФТИ 2.2 соединен с информационным входом БППИ 2.1, информационный выход которого соединен с третьим информационным входом БК 4 и с информационным входом БЗТИ 1.3, в котором записывается данные текущего идентификатора сформированного на МФТИ 2 определенного узла сети передаваемого потока данных. IP-пакет потока данных с текущим идентификатором поступает на второй информационный вход-выход БК 4, в котором принимается решение о допустимости передачи потока данных, и, при допустимости передачи потока данных, передают его по назначению на соответствующий узел сети информационного ресурса и сервиса Sj. С внешней сети IP-пакет потока данных с текущим идентификатором поступает вход БВТИ 5.3, который является входом потока данных МФОИ 5, выход которого соединен с первым информационным входом БФОИ 5.2. Второй информационный вход и первый информационный выход БФОИ 5.2 соединен с БКП 5. 4, на котором из текущего идентификатора формируется ответный идентификатор, для чего в БКП 5.4 производится криптографическое преобразование в обратном порядке над значениями номера узла сети информационного ресурса и сервиса Sj, номера программного обеспечения Kr и номера узла сети пользователя Ni . После чего поступающий с второго информационного выхода БФОИ 5.2 сформированный ответный идентификатор поступает на информационный вход БППИ 5.1, информационный выход которого является выходом потока данных МФОИ 5, на котором записывают в IP-пакет передаваемого потока данных сформированный ответный идентификатор и передают его во внешнюю сеть. С внешней сети IP-пакет передаваемого потока данных с ответным идентификатором поступает на первый информационный вход-выход БК 4, и третьего информационного выхода поступает на БЗОИ 1.1, в который записываются данные ответных идентификаторов полученных с определенных сетевых узлов РИС при доступе к информационным ресурсам и сервисам на них имеющихся, в процессе ее функционирования. Далее с информационных выходов БЗОИ 1.1 и БЗТИ 1.3 ответный и текущий идентификаторы поступают на БКП 1.3, где путем криптографического преобразования формируются значения номера узла сети пользователя Ni , номера программного обеспечения Kr,и номера узла сети информационного ресурса и сервиса Sj ответного и текущего идентификаторов для последующего сравнения в БСИ 1.4. После сравнения на БСИ 1.4 имеющихся ответного и текущего идентификаторов сформированных при функционировании РИС осуществляется выдача управляющих воздействий на вход БЗТК 3. По управляющему воздействию в БЗТК 3 осуществляется изменения таблицы коммутации по управлению информационными потоками и с выхода БЗТК 3 управляющие воздействия, поступают на вход БК 4, при этом несовпадение текущих и ответных идентификаторов, приводит к блокировке данного потока данных, а при совпадении продолжается его передача.The claimed device operates as follows, from the table of arrays of used software K r corresponding to the array of nodes of the network of users N i RIS, when forming the transmitted data stream on a specific node of the RIS network, the current I tech identifier is formed in BIPT 2.2. For this, the information input and the first information output of the BFTI 2.2 are connected to the information input and output, respectively, of the BCP 2.3 on which cryptographic conversion is performed over the values of the user network node number N i , software number K r , and the network node number of the information resource and service S j in As a result, a crypto message is used that is used as the current identifier. The second information output of the BIPT 2.2 is connected to the information input of the BPPI 2.1, the information output of which is connected to the third information input of the BC 4 and with the information input of the BIPT 1.3, which records the data of the current identifier of the transmitted data stream generated at MIPT 2. The IP packet of the data stream with the current identifier is sent to the second information input-output of BC 4, in which a decision is made on the admissibility of transmitting the data stream, and, if the transmission of the data stream is permissible, it is sent to the corresponding network node of the information resource and service S j . From the external network, the IP packet of the data stream with the current identifier receives the input of the BVTI 5.3, which is the input of the data stream of the MFOI 5, the output of which is connected to the first information input of the BFOI 5.2. The second information input and the first information output of BFFI 5.2 is connected to BKP 5. 4, on which a response identifier is generated from the current identifier, for which cryptographic conversion is performed in BKP 5.4 in the reverse order over the values of the network node number of the information resource and service S j , program number providing K r and the node number of the user network N i . After that, the generated response identifier coming from the second information output of the BFID 5.2 is fed to the information input of the BPOI 5.1, the information output of which is the output of the MFOI 5 data stream, on which the generated response identifier is recorded in the IP packet of the transmitted data stream and transmitted to the external network. From an external network, an IP packet of a transmitted data stream with a response identifier is fed to the first information input-output of the BC 4, and the third information output is fed to BZOI 1.1, which records the data of the response identifiers received from certain RIS network nodes when accessing information resources and services on them available, in the process of its functioning. Further, from the information outputs of BZOI 1.1 and BZTI 1.3, the response and current identifiers are sent to BKP 1.3, where by cryptographic conversion the values of the user network node number N i , software number K r , and the network node number of the information resource and service S j of the response and current are generated identifiers for subsequent comparison in BSI 1.4. After comparison on BSI 1.4 of the available response and current identifiers generated during the operation of the RIS, control actions are issued to the input of the BZTK 3. By the control action, the BZTK 3 changes the switching table for managing information flows and from the output of the BZTK 3 the control actions go to the input of the BK 4 , while the mismatch of the current and response identifiers leads to the blocking of this data stream, and if it matches, its transmission continues.

Достижение технического результата поясняется следующим образом. Для предлагаемого способа в отличие от способа-прототипа условием блокирования потоков данных будет являться событие безопасности, выявляемое путем проверки эквивалентности получаемых и ожидаемых идентификаторов потоков данных, а не на основе результатов анализа файлов трассировки при осуществлении действий по доступу пользователей к информационным ресурсам, получаемых только при функционировании системы в тестовом режиме. Это позволяет сделать вывод, что в отличие от способа-прототипа, эффективность системы защиты увеличится за счет определения действий недекларированных возможностей программного обеспечения и блокировки информационных потоков данных с ними связанных, которые могут быть однозначно выявлены только в процессе функционирования РИС и их реализация может осуществляться и в тестовом режиме, это делает не возможным выявление недекларированных возможностей в программном обеспечении.The achievement of the technical result is illustrated as follows. For the proposed method, in contrast to the prototype method, the condition for blocking data streams will be a security event detected by checking the equivalence of the received and expected identifiers of data streams, and not based on the results of the analysis of trace files when performing actions to access users to information resources received only when system functioning in test mode. This allows us to conclude that, unlike the prototype method, the effectiveness of the protection system will increase by determining the actions of the undeclared software capabilities and blocking the information data flows associated with them, which can be unambiguously detected only during the operation of the RIS and their implementation can be carried out and in test mode, this makes it impossible to identify undeclared features in the software.

Таким образом, заявленный способ управления потоками данных распределенной информационной системы за счет проверки идентификаторов, сформированных путем криптографических преобразований над параметрами информационных потоков в которых имеются действия недекларированных возможностей программного обеспечения, позволяет обеспечить повышение защищенности распределенных информационных систем.Thus, the claimed method of managing data flows of a distributed information system by checking identifiers generated by cryptographic transformations over the parameters of information flows in which there are actions of undeclared software features allows to increase the security of distributed information systems.

Claims (2)

1. Способ управления потоками данных распределенной информационной системы, заключающийся в том, что в распределенной информационной системе, содержащей блок анализа и центр управления доступом, предварительно задают таблицу коммутации, определяющую соответствие между портами подключения к сети и сетевыми адресами соединенных с сетью узлов сети, а также задают параметры распределенной информационной системы, выявляют события безопасности в принимаемом потоке данных, анализируют их с целью принятия решения о допустимости передачи потока данных, связанного с этим событием, и, при допустимости передачи потока данных, передают его по назначению, отличающийся тем, что дополнительно задают таблицу массивов использованного программного обеспечения Kr, соответствующего массиву узлов сети пользователей Ni распределенной информационной системы, при формировании передаваемого потока данных на определенном узле сети формируют текущий идентификатор Iтек и запоминают его, для чего используют криптографическое преобразование над значениями номера узла сети пользователя Ni, номера программного обеспечения Kr и номера узла сети информационного ресурса и сервиса Sj, затем записывают в IP-пакет передаваемого потока данных сформированный текущий идентификатор Iтек и передают его, после разрешения на передачу потока данных в блоке коммутации на определенном j-м узле сети принимают IP-пакет потока данных и выделяют из него текущий идентификатор Iтек, затем формируют ответный идентификатор Iотв, для чего используют криптографическое преобразование в обратном порядке над значениями номера узла сети информационного ресурса и сервиса Sj, номера программного обеспечения Kr и номера узла сети пользователя Ni, после чего записывают в IP-пакет передаваемого потока данных сформированный ответный идентификатор Iотв и передают его, затем после приема информационного потока данных выделяют из него ответный идентификатор Iотв, и путем криптографического преобразования формируют из него значения номера узла сети Ni, номера программного обеспечения Kr и номера узла сети информационного ресурса и сервиса Sj и запоминают их, сравнивают полученные значения номера узла сети Ni, номера программного обеспечения Kr и номера узла сети информационного ресурса и сервиса Sj из ответного идентификатора Iотв с ранее запомненными из переданного текущего идентификатора Iтек, корректируют таблицу коммутации в случае несовпадения значений, выделенных из ответного и текущего идентификаторов, после чего, используя новые параметры сетевого взаимодействия, блокируют данный поток данных, а при совпадении продолжают его передачу.1. A method of managing data flows of a distributed information system, which consists in the fact that in a distributed information system containing an analysis unit and an access control center, a switching table is preliminarily defined that determines the correspondence between the network connection ports and the network addresses of network nodes connected to the network, and they also set the parameters of the distributed information system, identify security events in the received data stream, analyze them in order to decide on the admissibility of transmission over eye data associated with the event, and, if allowable transmission data stream, transmitting it to the destination, characterized in that it further set table arrays used software K r, corresponding to array N i nodes of users of the distributed information system during the formation of the transmitted stream data at a specific node of the network form the current identifier I tech and remember it, for which they use cryptographic conversion over the values of the node number of the user network N i , software numbers K r and network node numbers of the information resource and service S j , then write the generated current identifier I tech into the IP packet of the transmitted data stream and transmit it, after permission to transmit the data stream in the switching unit on the specific j-th network node receiving IP-packet data stream and isolating from it a current flowed identifier I, and then return the identifier I is formed of holes, which uses a cryptographic transformation in reverse order on the values of the node number information of the resource and the service S j, software number K r and node number by user N i network then recorded in IP-packet transmitted by the data stream generated response identifier I holes and transmitting it, then after reception of the information data stream is recovered from it return identifier i holes, and is formed by a cryptographic transformation values therefrom numbers network node N i, software number K r and node number of an information resource and a network service S j and storing them, but comparing the values obtained EPA network node N i, software number K r and node number of an information resource network and the service S j from the response identifier I holes previously stored from the transmitted current identifier I tech, corrected commutation table in case of a mismatch values extracted from the response and the current identifiers , after which, using the new parameters of network interaction, they block this data stream, and if they match, continue to transmit it. 2. Устройство управления потоками данных распределенной информационной системы, содержащее блок коммутации, блок запоминания таблицы коммутации, определяющей соответствие между портами подключения к сети и сетевыми адресами соединенных с сетью узлов сети, первый информационный вход-выход блока коммутации является входом-выходом потока данных устройства, а второй информационный вход-выход блока коммутации подключен к узлам сети, управляющий вход блока коммутации соединен с выходом блока запоминания таблицы коммутации, дополнительно введены модуль управления идентификаторами, состоящий из блока запоминания текущего идентификатора, блока запоминания ответного идентификатора, блока сравнения идентификаторов и блока криптографического преобразования, осуществляющего криптографическое преобразование над значениями номера узла сети пользователя Ni, номера программного обеспечения Kr и номера узла сети информационного ресурса и сервиса Sj, модули формирования ответных идентификаторов, состоящие из блока выделения текущего идентификатора из пакетов, блока формирования ответного идентификатора, блока криптографического преобразования, блока передачи пакетов с идентификаторами, в каждом модуле формирования ответного идентификатора информационный вход блока выделения текущего идентификатора из пакетов является входом потока данных модуля формирования ответных идентификаторов, выход которого соединен с первым информационным входом блока формирования ответного идентификатора, а второй информационный вход и первый информационный выход соединен с блоком криптографического преобразования, на котором из текущего идентификатора формируется ответный идентификатор, второй информационный выход блока формирования ответного идентификатора соединен с информационным входом блока передачи пакетов с идентификаторами, информационный выход которого является выходом потока данных модуля формирования ответных идентификаторов, модули формирования текущих идентификаторов, состоящие из блока формирования текущих идентификаторов, блока криптографического преобразования и блока передачи пакетов с идентификаторами, в каждом модуле формирования текущих идентификаторов информационный вход и первый информационный выход блока формирования текущих идентификаторов соединены с информационным входом и выходом соответственно блока криптографического преобразования, а второй информационный выход которого соединен с информационным входом блока передачи пакетов с идентификаторами, информационный выход блока передачи пакетов с идентификаторами соединен с третьим информационным входом блока коммутации и с информационным входом блока запоминания текущего идентификатора, информационный выход которого соединен с первым информационным входом блока криптографического преобразования, а второй информационный вход соединен с блоком запоминания ответного идентификатора, информационный вход которого соединен с третьим информационным выходом блока коммутации, первый и второй информационные выходы блока криптографического преобразования соединены с блоком сравнения идентификаторов, управляющий выход блока сравнения идентификаторов соединен с управляющим входом блока запоминания таблицы коммутации.2. A data flow control device of a distributed information system comprising a switching unit, a memory unit for switching tables, determining the correspondence between network connection ports and network addresses of network nodes connected to the network, the first information input / output of the switching unit is the input / output of the device data stream, and the second information input-output of the switching unit is connected to network nodes, the control input of the switching unit is connected to the output of the storage unit of the switching table, in addition an identifier management module was introduced, consisting of a unit for storing the current identifier, a unit for storing a response identifier, a unit for comparing identifiers and a cryptographic conversion unit that performs cryptographic conversion over the values of the user network node number N i , software number K r, and network node number of the information resource and service S j , modules for generating response identifiers, consisting of a block for extracting the current identifier from packets, a block for generating of the response identifier, cryptographic conversion unit, packet transmission unit with identifiers, in each response identifier generation module, the information input of the current identifier extraction unit from the packets is an input of the data stream of the response identifier generation module, the output of which is connected to the first information input of the response identifier generation unit, and the second information input and the first information output is connected to the cryptographic conversion unit, on which the response identifier is formed from the current identifier, the second information output of the response identifier generation unit is connected to the information input of the packet transmitting unit with identifiers, the information output of which is the output of the data stream of the response identifier generation module, the current identifier generation modules, consisting of the current identifier generation unit, block cryptographic conversion and packet transfer unit with identifiers in each module the current identifiers are formed, the information input and the first information output of the current identifier generation unit are connected to the information input and output of the cryptographic conversion unit, respectively, and the second information output of which is connected to the information input of the packet transfer unit with identifiers, the information output of the packet transfer unit with identifiers is connected to the third information the input of the switching unit and with the information input of the storage unit of the current identifier a, the information output of which is connected to the first information input of the cryptographic conversion unit, and the second information input is connected to the response identifier storage unit, the information input of which is connected to the third information output of the switching unit, the first and second information outputs of the cryptographic conversion unit, are connected to the identifier comparison unit, the control output of the identifier comparison unit is connected to the control input of the switching table memory unit.
RU2019118659A 2019-06-17 2019-06-17 Method and apparatus for controlling data streams of a distributed information system using identifiers RU2710284C1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
RU2019118659A RU2710284C1 (en) 2019-06-17 2019-06-17 Method and apparatus for controlling data streams of a distributed information system using identifiers

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
RU2019118659A RU2710284C1 (en) 2019-06-17 2019-06-17 Method and apparatus for controlling data streams of a distributed information system using identifiers

Publications (1)

Publication Number Publication Date
RU2710284C1 true RU2710284C1 (en) 2019-12-25

Family

ID=69022987

Family Applications (1)

Application Number Title Priority Date Filing Date
RU2019118659A RU2710284C1 (en) 2019-06-17 2019-06-17 Method and apparatus for controlling data streams of a distributed information system using identifiers

Country Status (1)

Country Link
RU (1) RU2710284C1 (en)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008077320A1 (en) * 2006-12-26 2008-07-03 Hangzhou H3C Technologies Co., Ltd. Method and device of ethernet switching
US7424744B1 (en) * 2002-03-05 2008-09-09 Mcafee, Inc. Signature based network intrusion detection system and method
WO2008128085A1 (en) * 2007-04-11 2008-10-23 Palo Alto Networks, Inc. L2/l3 multi-mode switch including policy processing
RU2402881C2 (en) * 2008-11-10 2010-10-27 Общество с ограниченной ответственностью "НеоБИТ"(ООО "НеоБИТ") Method and facility for control of data streams of protected distributed information systems in network of coded communication
RU2547628C2 (en) * 2013-08-05 2015-04-10 Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) Method and apparatus for controlling distributed information system data streams
RU2684575C1 (en) * 2018-05-14 2019-04-09 Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации METHOD FOR CONTROL OF DISTRIBUTED INFORMATION SYSTEM DATA STREAMS IN DDoS ATTACKS

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7424744B1 (en) * 2002-03-05 2008-09-09 Mcafee, Inc. Signature based network intrusion detection system and method
WO2008077320A1 (en) * 2006-12-26 2008-07-03 Hangzhou H3C Technologies Co., Ltd. Method and device of ethernet switching
WO2008128085A1 (en) * 2007-04-11 2008-10-23 Palo Alto Networks, Inc. L2/l3 multi-mode switch including policy processing
RU2402881C2 (en) * 2008-11-10 2010-10-27 Общество с ограниченной ответственностью "НеоБИТ"(ООО "НеоБИТ") Method and facility for control of data streams of protected distributed information systems in network of coded communication
RU2547628C2 (en) * 2013-08-05 2015-04-10 Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) Method and apparatus for controlling distributed information system data streams
RU2684575C1 (en) * 2018-05-14 2019-04-09 Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации METHOD FOR CONTROL OF DISTRIBUTED INFORMATION SYSTEM DATA STREAMS IN DDoS ATTACKS

Similar Documents

Publication Publication Date Title
CN115189927B (en) Zero trust-based power network safety protection method
US11595396B2 (en) Enhanced smart process control switch port lockdown
Scott-Hayward Design and deployment of secure, robust, and resilient SDN controllers
Puthal et al. SEEN: A selective encryption method to ensure confidentiality for big sensing data streams
CN111464563B (en) Protection method of industrial control network and corresponding device
US20090126002A1 (en) System and method for safeguarding and processing confidential information
CN110417739B (en) Safe network in-band measurement method based on block chain technology
CN113225736A (en) Unmanned aerial vehicle cluster node authentication method and device, storage medium and processor
CN110855707A (en) Internet of things communication pipeline safety control system and method
Biskup et al. Transaction-based pseudonyms in audit data for privacy respecting intrusion detection
CN111371588A (en) SDN edge computing network system based on block chain encryption, encryption method and medium
CN116232770A (en) Enterprise network safety protection system and method based on SDN controller
CN112468464B (en) State machine integrity verification system and method based on service chain
CN113965395A (en) Method, system and device for safely accessing intranet in real time
CN111586045B (en) Attribute encryption and dynamic security layer protection method and corresponding firewall
CN111327602B (en) Equipment access processing method, equipment and storage medium
RU2710284C1 (en) Method and apparatus for controlling data streams of a distributed information system using identifiers
KR101160219B1 (en) Tracking system and method of connecting route for the network security
RU2684575C1 (en) METHOD FOR CONTROL OF DISTRIBUTED INFORMATION SYSTEM DATA STREAMS IN DDoS ATTACKS
Lian et al. FRChain: a blockchain-based flow-rules-oriented data forwarding security scheme in SDN
Chovanec et al. DIDS based on hybrid detection
Grusho et al. Information flow control on the basis of meta data
RU2509425C1 (en) Method and apparatus for controlling distributed information system data streams
CN113726748A (en) Video networking service control method and device, electronic equipment and storage medium
RU2547628C2 (en) Method and apparatus for controlling distributed information system data streams