WO2007014507A1 - System and method for controling ngn service-based firewall - Google Patents

System and method for controling ngn service-based firewall Download PDF

Info

Publication number
WO2007014507A1
WO2007014507A1 PCT/CN2006/001141 CN2006001141W WO2007014507A1 WO 2007014507 A1 WO2007014507 A1 WO 2007014507A1 CN 2006001141 W CN2006001141 W CN 2006001141W WO 2007014507 A1 WO2007014507 A1 WO 2007014507A1
Authority
WO
WIPO (PCT)
Prior art keywords
service
firewall
media stream
packet filtering
ngn
Prior art date
Application number
PCT/CN2006/001141
Other languages
English (en)
French (fr)
Inventor
Enhui Liu
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Priority to AT06742029T priority Critical patent/ATE454781T1/de
Priority to DE602006011569T priority patent/DE602006011569D1/de
Priority to CN200680012307.7A priority patent/CN101160774B/zh
Priority to EP06742029A priority patent/EP1802023B1/en
Publication of WO2007014507A1 publication Critical patent/WO2007014507A1/zh
Priority to US11/785,991 priority patent/US7987503B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H04L63/0218—Distributed architectures, e.g. distributed firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management

Definitions

  • the present invention relates to the field of network communication technologies, and more particularly to a firewall control system and method based on Next Generation Network (NGN) services.
  • NTN Next Generation Network
  • NGN Next Generation Network
  • IP Internet Protocol
  • firewall products are mainly divided into two types: packet filtering firewalls and proxy firewalls.
  • the packet filtering firewall works at the transport layer
  • the proxy firewall works at the application layer.
  • the packet filtering firewall further includes the following four working modes:
  • the static packet filtering firewall implements static packet filtering based on packet header information.
  • the static packet filtering firewall makes a decision to allow rejection for each packet received.
  • the firewall examines each packet to determine if it matches a packet filtering rule.
  • the filtering rules are based on header information that can be provided to the IP forwarding process. Packet filtering mainly checks the following contents in the packet header: IP source address, IP destination address, protocol type (TCP packet, UDP packet, and ICMP packet), destination port of TCP or UDP packet, source port of TCP or UDP packet, ICMP message type , the ACK bit of the TCP header, and so on.
  • the disadvantages of static packet filtering firewall are: Maintenance is difficult; Cannot effectively prevent hacker attacks; Does not support application layer filtering, can not prevent data-driven attacks; Can not provide comprehensive control over the information flowing on the network. Therefore, static packet filtering is less secure.
  • the method of dynamically setting packet filtering rules avoids the problems of static packet filtering. Dynamic packet filtering only opens the port at the request of the user and closes the port after the service is completed, which reduces the possibility of attacks related to open ports. Firewalls can dynamically determine which packets can pass through the link and application layer services of the internal network. The corresponding access policy can be configured, the port is automatically opened only within the allowed range, and the port is closed when the communication ends.
  • Dynamic Packet Filtering Firewall minimizes the number of exposed ports in both directions, providing greater security to the network. For many application protocols, such as media streaming, dynamic IP packet filtering provides the most secure way to handle dynamic allocations.
  • the stateful inspection firewall checks the association between data packets while packet filtering, and checks the dynamically changing status codes in the data packets. It has a monitoring engine that measures the layers of network communication by extracting relevant data, extracts state information, and dynamically saves it as a reference for future implementation of security policies. Before the user access request arrives at the gateway's operating system, the status monitor extracts relevant data for analysis, and combines network configuration and security regulations to perform admission, rejection, identity authentication, alarming, or encryption of the communication.
  • the stateful inspection firewall retains the state connection table and treats the data coming in and out of the network as a single session, using the state table to track each session state.
  • the status monitoring checks each packet not only according to the rules table, but also considers whether the data packet conforms to the state of the session, thus providing a complete control of the transport layer.
  • mainstream firewalls on the market are generally full-state detection firewalls. The security of the firewall for stateful detection is raised to a certain extent. High, but the performance in dealing with DDoS attacks, implementing application layer content filtering, and virus filtering is not satisfactory.
  • Deep packet inspection technology combines intrusion detection and attack prevention. It can inspect the packet flow and detect malicious behavior. It can search for known attacks based on feature detection and content filtering. And understand what is "normal, communication, and prevent abnormal access.
  • the deep packet inspection engine uses techniques based on fingerprint matching, heuristics, anomaly detection, and statistical analysis to determine how to process packets. Deep packet inspection firewalls can Effectively block DDoS attacks, virus propagation issues, and advanced application intrusion issues.
  • the proxy firewall technology also undergoes the evolution of the application layer proxy (Proxy), the circuit layer proxy (Circuit Proxy) to the adaptive proxy (Application Proxy) firewall.
  • the application layer proxy is also referred to as an application layer gateway.
  • a proxy service is a specialized application or server program that runs on a firewall host.
  • the application layer proxy provides a proxy for a special service that parses the application protocol and interprets the commands of the application protocol.
  • the application layer proxy firewall can interpret the application protocol and support user authentication, so that the application layer data can be controlled more finely.
  • the disadvantage is that it is inefficient and cannot support large-scale concurrent connections, only for a single protocol.
  • application agents and packet filtering firewalls are widely used.
  • the application proxy and the packet filtering firewall can coexist, and filter the data packets transmitted from the network from the two layers.
  • the settings of static packet filtering, state detection, and deep packet inspection in the NGN transport layer are performed by the administrator, and can only be handled by the coarse-grained security hierarchical configuration configured by the operation policy, and the presence of the NGN service layer (including the session control agent) is Invisible.
  • a firewall provides packet filtering with different security levels, such as static packet filtering, dynamic packet filtering, 'state detection, and deep packet inspection, it cannot dynamically select and perform packet filtering functions of different security levels according to user requirements and session types.
  • Another object of the present invention is to provide a firewall control method based on NGN services, so that a firewall based on packet filtering can be achieved! ⁇ Perform NGN per-user per-session fine-grained security grading processing. '
  • the invention provides a firewall control system based on an NGN service, comprising: an application layer proxy module: comprising an application proxy based firewall function, located in an NGN service control device, configured to parse application layer signaling, and perform signaling flow security Detecting, determining security level requirement information of the service media stream, and providing the policy decision function entity;
  • an application layer proxy module comprising an application proxy based firewall function, located in an NGN service control device, configured to parse application layer signaling, and perform signaling flow security Detecting, determining security level requirement information of the service media stream, and providing the policy decision function entity;
  • the policy decision function entity determining the security level control information of the service media stream according to the security level requirement information of the service media stream and the saved policy information, and providing the firewall function module based on the packet filtering;
  • Firewall function module is set in the network border device, and is used according to the media stream The security level control information performs security detection on the service media stream flowing through.
  • the service control device includes:
  • the multimedia subsystem of the NGN The proxy call session control function entity P-CSCF in the IMS, or the call proxy device in the softswitch system of the NGN, or the service control device with the application layer proxy function in other NGN service systems.
  • the policy decision function entity is set in the service control device or the network border device, or is set as an independent device.
  • the firewall function module specifically includes:
  • the packet filtering mode selection module is configured to determine a firewall packet filtering mode for performing security detection on the service media stream according to the media stream security level control information provided by the policy decision function entity, and enable corresponding packet filtering according to the corresponding packet filtering processing module.
  • Firewall processing function
  • Packet filtering processing module It includes the firewall function of various firewall packet filtering working modes.
  • the firewall function of various firewall packet filtering working modes is enabled under the control of the packet filtering mode selection module, and security detection is performed on the corresponding service.
  • the firewall packet filtering working mode set by the packet filtering processing module includes: any one of dynamic packet filtering, full state detection, and deep packet detection, or any combination of any one or more.
  • the present invention provides a firewall control method based on an NGN service, including:
  • the application layer proxy module in the service control device parses the application layer signaling, performs security detection of the signaling flow, determines the security level requirement information of the service media stream, and provides the policy decision function entity;
  • the policy decision function entity determines the security level control information of the media stream according to the security level requirement information of the media stream and the saved policy information, and provides the information to the network boundary device.
  • the firewall function module in the network border device performs security detection on the service media stream flowing according to the security level control information of the media stream.
  • the step A described includes:
  • the application layer proxy module parses the application layer signaling, performs security detection of the signaling flow, and determines security level requirement information of the service media stream according to the application attribute or the user attribute; the media stream identification information of the service and the The security level requirement information of the media stream is provided together with the policy decision function entity.
  • the step A described further includes: '.
  • the media stream identification information and the security level requirement information of the service are provided together with the service quality parameter requirement information of the service to the policy decision function entity.
  • the step B described includes:
  • the policy decision function entity maps the security level requirement information of the service media stream to the security level control information of the media stream according to the security level requirement information of the media stream and the saved policy information, and provides the information to the corresponding network boundary device.
  • the step C described includes:
  • the firewall function module in the network border device selects, according to the security level control information of the media stream, a firewall packet filtering operation method for performing security detection on the service media stream flowing through;
  • Security detection is performed on the service media stream flowing according to the selected firewall packet filtering working mode.
  • the firewall packet filtering working manner includes:
  • the packet filtering-based firewall can perform fine-grained security grading processing per user per session of NGN. It can dynamically select packet filtering methods of different security levels according to user requirements and session types to prevent resource theft, IP address masquerading, denial of service and advanced. Apply cyber attacks such as intrusions.
  • the service security level requirement information and the network security level control information can be independently defined, and the policy decision function is mapped according to the policy rules, thereby realizing the separation feature of the NGN service layer and the transport layer.
  • the application proxy firewall function and the packet filtering-based firewall function are respectively located on the service control device and the network boundary device, and the respective technology evolution and function enhancement are performed independently, and do not affect each other, and only need to modify the policy decision function.
  • the policy rules work together.
  • FIG. 1 is a schematic structural diagram of a firewall dynamic control system in accordance with an embodiment of the present invention
  • FIG. 2 is a schematic flow chart showing an implementation of a firewall dynamic control method according to an embodiment of the present invention. Mode for carrying out the invention
  • the session control proxy function is an indispensable component, such as P-CSCF (Proxy Call Session Control Function) in IMS (Multimedia Service Subsystem), which is essentially an application proxy, which is a multimedia session.
  • P-CSCF Proxy Call Session Control Function
  • IMS Multimedia Service Subsystem
  • NAPT application layer NAPT
  • the packet filtering-based firewall function is an indispensable security component, including static packet filtering, dynamic packet filtering, stateful inspection, and deep packet inspection. It is usually deployed at the edge of the network to protect internal components of the network. Attacked.
  • the present invention provides a firewall dynamic control system and method that supports NGN service security levels.
  • the packet-filter-based firewall can perform fine-grained security grading processing for each session of each user of NGN, according to User requirements and session types dynamically select packet filtering methods of different security levels to prevent network attacks such as resource theft, IP address masquerading, denial of service, and advanced application intrusion, such as packet filtering such as dynamic packet filtering, stateful inspection, or deep packet inspection. the way.
  • the present invention provides a firewall dynamic control system and method that supports NGN service security levels.
  • the system and method provided by the present invention can be independently applied as a security solution for NGN services, or integrated into the resource and admission control framework of the NGN as a comprehensive solution for transmitting quality of service, security, and NAPT traversal for NGN services.
  • FIG. 1 An exemplary structural block diagram of the firewall dynamic control system of the present invention is shown in FIG. 1 , and specifically includes:
  • the application layer proxy (Application Proxy) module which includes an application proxy-based firewall function, is preferably located in the service control device, and is configured to parse and process the application layer signaling, perform security detection of the signaling flow, and determine the service media flow. Security level requirement information and provided to the policy decision function entity;
  • the service control proxy device may be: a P-CSCF (Proxy Call Session Control Function) device in the NGN IP Multimedia Subsystem (IMS), or a CallAgent (Call Agent) device in the NGN Softswitch System (Softswitch), or , NGN other business systems contain application layer proxy function business control equipment.
  • P-CSCF Proxy Call Session Control Function
  • IMS NGN IP Multimedia Subsystem
  • Softswitch NGN Softswitch System
  • NGN other business systems contain application layer proxy function business control equipment.
  • the policy decision function entity can be a standalone device or a function module integrated in the service control device or network edge device.
  • a firewall function module is disposed in the network edge device, and is configured to perform packet-based security detection on the service media stream that flows according to the security level control information of the media stream, where the module specifically includes:
  • the packet filtering mode selection module is configured to determine a firewall packet filtering mode for performing security detection on the service media stream according to the security level control information of the media stream provided by the policy decision function entity, and enable a corresponding packet-based packet in the corresponding packet filtering processing module. Filtered firewall processing function;
  • Packet filtering processing module It includes the firewall function of various firewall packet filtering working modes.
  • the firewall function of various firewall packet filtering working modes is enabled under the control of the packet filtering mode selection module, and security detection is performed on the corresponding service media stream. .
  • firewall packet filtering methods described include: Dynamic packet filter, Stateful inspection, and Deep packet inspection firewall functions, and the like.
  • Step 21 The service control service performs an application layer proxy function to parse, securely detect, and proxy the application layer signaling flow, that is, implement an application proxy based firewall technology.
  • the application-based firewall function is included in the "application layer proxy" function module. At the same time, it supports user authentication, which is used to perform security check on access users and access authentication processing.
  • Step 22 The service control device determines the media stream security level of the application service according to the application attribute or the user attribute, and the media stream identification information and the security level requirement letter of the service. Information is provided to the policy decision function entity;
  • the application attribute or the user attribute includes: a service type (the voice stream may be higher than a video stream), a security requirement that the user subscribes to the operator (such as a security requirement of the enterprise user), and the like, and corresponding application attributes.
  • the user attribute information may be stored in the user database or the service database, or may be the coarse classification information configured in the service control device, determined by the commercial operation mode, which is difficult to standardize or patent protection;
  • Step 23 The policy decision function maps the received security level requirement information of the media stream of the service to the security level control information of the media stream based on the policy rule.
  • the policy rules may be specifically determined by the operator according to the device deployment and the business operation mode;
  • Step 24 The policy decision function provides the media stream identification information of the service and the security level control information of the media stream to the network border device to control the packet filtering-based firewall function in the network border device; according to the application requirement, the policy decision function
  • the entity may also be provided to the network border device along with other QoS and NAPT control information;
  • Step 25 The network border device selects a firewall packet filtering mode corresponding to the security level according to the security level control information of the received media stream.
  • the firewall packet filtering mode such as dynamic packet filtering, state detection, or deep packet inspection may be selected.
  • a packet filtering-based firewall function is implemented for the media stream of the service to prevent network attacks such as resource theft, IP address masquerading, denial of service, and advanced application intrusion.
  • the cooperative operation between the session control proxy function of the service layer and the packet filtering-based firewall function of the transport layer enables the packet-filter-based firewall to perform fine-grained security grading of NGN per user per session.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Measuring Or Testing Involving Enzymes Or Micro-Organisms (AREA)

Description

基于下一代网络业务的防火墙控制系统及方法
技术领域
本发明涉及网絡通信技术领域， 更具体地说， 涉及一种基于下一代 网络（NGN )业务的防火墙控制系统及方法。 发明背景
NGN ( Next Generation Network, 下一代网络） 实现了业务层与传 送层分离， 传送层基于分组和光技术， 业务层提供丰富的多媒体业务。 由于 NGN网络为基于网际协议 ( IP )分组技术, 因此， 解决 NGN业务的 安全和服务质量问题将备 重视.。 而防火墙功能作为最重要的也是使用 最广泛的网络安全技术， 其在解决 NGN业务的安全问题上将会继续应 用。
目前防火墙产品主要分为两种： 包过滤类防火墙和代理类防火墙。 其中， 包过滤类防火墙工作在传输层, 代理类防火墙工作在应用层。
所述的包过滤防火墙又进一步包括以下四种工作方式：
( 1 )静态包过滤（ Static Packet Filter ) 防火墙
静态包过滤防火墙实现了根据数据包头信息的静态包过滤。 静态包 过滤防火墙对所接收的每个数据包做允许拒绝的决定。 防火墙审查每个 数据包以便确定其是否与某一条包过滤规则匹配。 过滤规则基于可以提 供给 IP转发过程的包头信息。 包过滤主要检查包头中的下列内容： IP源 地址、 IP目标地址、协议类型（TCP包、 UDP包和 ICMP包）、 TCP或 UDP 包的目的端口、 TCP或 UDP包的源端口、 ICMP消息类型、 TCP包头的 ACK 位等。 静态包过滤防火墙的缺点是： 维护比较困难； 不能有效防止黑客的 欺骗攻击； 不支持应用层的过滤， 不能防范数据驱动型攻击； 无法对网 絡上流动的信息提供全面的控制。 因此， 静态包过滤的安全性较低。
( 2 )动态包过滤（ Dynamic Packet Filter ) 防火墙
采用动态设置包过滤规则的方法， 避免了静态包过滤所具有的问 题。 动态包过滤只有在用户的请求下才打开端口， 并且在服务完毕之后 关闭端口， 这样可以降低受到与开放端口相关的攻击的可能性。 防火墙 可以动态地决定哪些数据包可以通过内部网络的链路和应用程序层服 务。 可以配置相应的访问策略， 只有在允许范围之内才自动打开端口， 当通信结束时关闭端口。
动态包过滤防火墙在两个方向上都最小化了暴露端口的数量， 给网 络提供更高的安全性。 对于许多应用程序协议而言， 例如媒体流， 动态 IP包过滤提供了处理动态分配端'口的最安全方法。
( 3 )全状态检测 （ Statefbl Inspection ) 防火墙
全状态检测防火墙在包过滤的同时， 检查数据包之间的关联性， 检 查数据包中动态变化的状态码。 它有一个监测引擎， 采用抽取有关数据 的方法对网络通信的各层实施监测， 抽取状态信息， 并动态地保存起来 作为以后执行安全策略的参考。 当用户访问请求到达网关的操作系统 前， 状态监视器要抽取有关数据进行分析， 结合网络配置和安全规定做 出接纳、 拒绝、 身份认证、 报警或给该通信加密等处理动作。
全状态检测防火墙保留状态连接表， 并将进出网络的数据当成一个 个的会话， 利用状态表跟踪每一个会话状态。 状态监测对每一个包的检 查不仅根据规则表， 更考虑了数据包是否符合会话所处的状态， 因此提 供了完整的对传输层的控制能力。 目前市场上的主流防火墙， 一般都是 全状态检测防火墙。 全状态检测的防火墙的安全性得到一定程度的提 高， 但是在对付 DDoS攻击、 实现应用层内容过滤， 病毒过滤方面的表 现也不尽人意。
( 4 )深度包检测 ( Deep Packet Inspection ) 防火墙
深度包检测技术融合入侵检测和攻击防范的功能， 它能深入检查信 息包流， 查出恶意行为， 可以根据特征检测和内容过滤， 来寻找已知的 攻击。 并理解什么是 "正常的，，通信， 同时阻止异常的访问。 深度包检测 引擎以基于指紋匹配、 启发式技术、 异常检测以及统计学分析等技术来 决定如何处理数据包。 深度包检测防火墙能有效阻止 DDoS攻击、 病毒 传播问题和高级应用入侵问题。
目前， 所述的代理防火墙技术也经历了应用层代理（Proxy )、 电路 层代理（ Circuit Proxy )到自适应代理（ Application Proxy ) 防火墙的演 变。
其中， 所述的应用层代理也被称为应用层网关 （Application Gateway ) 。 代理服务是运行在防火墙主机上的专门的应用程序或者服 务器程序。 应用层代理为一特 用服务提供代理， 它对应用协议进行 解析并解释应用协议的命令。
应用层代理防火墙的能够解释应用协议， 支持用户认证， 从而能对 应用层的数据进行更细粒度的控制。 缺点是效率低， 不能支持大规模的 并发连接， 只适用于单一协议。
在网络安全解决方案中，应用代理和包过滤类防火墙得到了广泛应 用。 应用代理和包过滤类防火墙可以并存， 分别从两个层面对网络中传 输的数据包进行过滤处理。
在目前 NGN安全解决方案中以及正在研究的资源和准入控制框架 中， 只有动态包过滤会接受来自会话控制代理的打开 /关闭请求， 即业务 控制代理功能（SCPF )通过资源和准入控制功能（RACF )控制 （边界 网关功能） BGF上的动态包过滤的打开和关闭， 类似于自适应代理防火 墙设备中代理与包过滤器之间的控制和互动。
然而， NGN传送层中静态包过滤、状态检测和深度包检测的设置由 管理员进行， 只能是按运营策略配置的粗粒度安全分级处理， 其存在对 NGN业务层（包括会话控制代理）是不可见的。 当一个防火墙同时提供 静态包过滤、 动态包过滤、 '·状态检测和深度包检测等不同安全级别的包 过滤功能时， 无法根据用户需求和会话类型动态选择和执行不同安全级 别的包过滤功能。 发明内容 鉴于上述现有技术所存在的问题， 本发明的主要目的是提供一种基 于 NGN业务的防火墙控制系统，使得基于包过滤的防火墙可以执行 NGN 每用户每会话细粒度的安全分级处理。
本发明的另一目的是提供一种基于 NGN业务的防火墙控制方法，使 得基于包过滤的防火墙可！ ^执行 NGN每用户每会话细粒度的安全分级 处理。 '
本发明的目的是通过以下技术方案实现的：
本发明提供了一种基于 NGN业务的防火墙控制系统， 包括： 应用层代理模块： 包含基于应用代理的防火墙功能， 位于 NGN业务 控制设备中， 用于解析应用层信令， 进行信令流的安全检测， 确定业务 媒体流的安全级别需求信息， 并提供给策略决策功能实体；
策略决策功能实体： 根据业务媒体流的安全级别需求信息及保存的 策略信息确定业务媒体流的安全级别控制信息， 并提供给基于包过滤的 防火墙功能模块；
防火墙功能模块： 设置于网络边界设备中， 用于根据所述的媒体流 的安全级别控制信息对流经的业务媒体流进行安全检测。
所述的业务控制设备包括：
NGN的多媒体子系统 IMS中的代理呼叫会话控制功能实体 P-CSCF , 或者， NGN的软交换系统中的呼叫代理设备， 或者， NGN其他业务系统 中含有应用层代理功能的业务控制设备。
所述的策略决策功能实体设置于业务控制设备或网络边界设备中， 或者设置为独立的设备。
所述的防火墙功能模块具体包括：
包过滤方式选择模块： 用于根据策略决策功能实体提供的媒体流安 全级别控制信息确定针对业务媒体流进行安全检测的防火墙包过滤工 作方式， 并启用相应的包过滤处理模块中相应的基于包过滤的防火墙处 理功能；
包过滤处理模块： 包括设置的各种防火墙包过滤工作方式的防火墙 功能， 各种防火墙包过滤工作方式的防火墙功能在包过滤方式选择模块 的控制下启用， 并对相应的业务进行安全检测。
所述的包过滤处理模块所设置的防火墙包过滤工作方式包括： 动态 包过滤、 全状态检测、 深度包检测中的任意一种或者其中一种以上的任 意组合。
本发明提供了一种基于 NGN业务的防火墙控制方法， 包括：
A、 业务控制设备中的应用层代理模块解析应用层信令， 进行信令 流的安全检测， 确定业务媒体流的安全级别需求信息， 并提供给策略决 策功能实体；
B、 策略决策功能实体根据所述的媒体流的安全级别需求信息以及 保存的策略信息确定媒体流的安全级别控制信息， 并提供给网络边界设 备； C、 网络边界设备中的防火墙功能模块根据所述的媒体流的安全级 别控制信息对流经的业务媒体流进行安全检测。
所述的步骤 A包括：
应用层代理模块对应用层信令进行解析 , 进行信令流的安全检测， 并根据应用属性或者用户属性确定业务媒体流的安全级别需求信息； 将所述的业务的媒体流标识信息和所述的媒体流的安全级别需求 信息一起提供给策略决策功能实体。
所述的步驟 A还包括： '.
将业务的媒体流标识信息和安全級别需求信息连同业务的服务质 量参数需求信息一同提供给策略决策功能实体。
所述的步骤 B包括：
策略决策功能实体根据所述的媒体流的安全级别需求信息以及保 存的策略信息将业务媒体流的安全级别需求信息映射为媒体流的安全 级别控制信息， 并提供给相应的网络边界设备。
所述的步骤 C包括：
网络边界设备中的防火墙功能模块根据所述的媒体流的安全级别 控制信息选择确定对流经的业务媒体流进行安全检测的防火墙包过滤 工作方式； '
根据选择确定的防火墙包过滤工作方式对流经的业务媒体流进行 安全检测。
所述的防火墙包过滤工作方式包括：
动态包过滤方式防火墙、全状态检测方式防火墙和 /或深度包检测方 式防火墙中的任意一种或者其中一种以上的任意组合。
由上述本发明提供的技术方案可以看出， 本发明通过业务层的会话 控制代理功能与传送层的基于包过滤的防火墙功能之间的协同工作 , 使 得基于包过滤的防火墙可以执行 NGN每用户每会话细粒度的安全分级 处理， 可根据用户需求和会话类型动态选择不同安全级别的包过滤工作 方式来防止资源盗用、 IP地址伪装、 拒绝服务和高级应用入侵等网络攻 击。
而且， 本发明中， 业务安全级别需求信息和网络安全级别控制信息 可以独立定义， 由策略决策功能依据策略规则进行映射， 实现了 NGN业 务层和传送层的分离特点。
另外， 本发明中， 应用代理防火墙功能和基于包过滤的防火墙功能 分别位于业务控制设备和网络边界设备上， 各自的技术演进和功能增强 独立进行， 不会互相影响， 只需修改策略决策功能上的策略规则即可协 同工作。 附图简要说明
图 1为才 居本发明实施例的防火墙动态控制系统的示范性结构示意 图；
图 2为根据本发明实施例的防火墙动态控制方法的实现示范性流程 示意图。 实施本发明的方式
为使本发明的目的、 技术方案和优点表达得更加清楚明白， 下面结 合附图及具体实施例对本发明再作进一步详细的说明。
在 NGN业务层体系架构中， 会话控制代理功能是一个必不可少的 部件， 如 IMS (多媒体业务子系统） 中的 P-CSCF (代理呼叫会话控制 功能）， 本质上就是应用代理， 是多媒体会话业务的第一个接触点， 进 行用户认证、 应用协议解析和代理、 以及应用层的 NAPT (网絡地址和 端口转换器）。 在 NGN传送层体系架构中， 基于包过滤的防火墙功能是 必不可少的安全部件， 包括静态包过滤、 动态包过滤、 状态检测和深度 包检测功能， 通常部署在网络边缘， 保护网络内部部件不受攻击。
为此， 本发明提供了一种支持 NGN业务安全级别的防火墙动态控 制系统和方法。 通过业务层的会话控制代理功能与传送层的基于包过滤 的防火墙功能之间的协同工作 ,使得基于包过滤的防火墙可以执行 NGN 针对每个用户每个会话的细粒度的安全分级处理， 可根据用户需求和会 话类型动态选择不同安全级别的包过滤工作方式来防止资源盗用、 IP地 址伪装、 拒绝服务和高级应用入侵等网络攻击， 如选择动态包过滤、 状 态检测或深度包检测等包过滤工作方式。
本发明提供了一种支持 NGN业务安全级别的防火墙动态控制系统 和方法。 本发明所提供的系统和方法可以独立应用作为 NGN业务的安 全方案，也可以集成在 NGN的资源和准入控制框架中作为 NGN业务的 传送服务质量、 安全和 NAPT穿越的综合方案。
本发明所述的防火墙动态控制系统的示范性结构框图如图 1所示， 具体包括：
( 1 )应用层代理（Application Proxy )模块， 包含基于应用代理的 防火墙功能， 优选位于业务控制设备中 , 用于对应用层信令进行解析处 理， 进行信令流的安全检测， 确定业务媒体流的安全级别需求信息， 并 提供给策略决策功能实体；
所述的业务控制代理设备可以为： NGN IP多媒体子系统（IMS )中 的 P-CSCF (代理呼叫会话控制功能）设备， 或者 NGN软交换系统 ( Softswitch ) 中的 CallAgent (呼叫代理）设备， 或者， NGN其他业务 系统中含有应用层代理功能的业务控制设备。
( 2 )策略决策功能实体，用于将所述的业务媒体流的安全级别需求 信息映射为媒体流的安全级别控制信息， 并提供给网络边界设备中的基 于包过滤的防火墙功能模块；
策略决策功能实体可以是一个独立设备， 也可以是集成在业务控制 设备或网络边界设备中的一个功能模块。
( 3 )防火墙功能模块， 设置于网络边界设备中， 用于根据所述的媒 体流的安全级别控制信息对流经的业务媒体流进行基于包过滤的安全 检测， 该模块具体包括：
包过滤方式选择模块： 用于根据策略决策功能实体提供的媒体流的 安全级别控制信息确定针对业务媒体流进行安全检测的防火墙包过滤 工作方式， 并启用相应的包过滤处理模块中相应的基于包过滤的防火墙 处理功能；
包过滤处理模块： 包括设置的各种防火墙包过滤工作方式的防火墙 功能， 各种防火墙包过滤工作方式的防火墙功能在包过滤方式选择模块 的控制下启用 , 并对相应的业务媒体流进行安全检测。
所述的各种防火墙包过滤工作方式包括： Dynamic packet filter (动 态包过滤 )、 Stateful inspection (全状态检测 )和 Deep packet inspection (深度包检测） 防火墙功能， 等等。
基于上述防火墙动态控制系统， 本发明所述的方法的具体实现方式 如图 2所示， 具体包括：
步骤 21 : 业务控制设务执行应用层代理功能， 对应用层信令流进行 解析、 安全检测和代理， 即实现基于应用代理的防火墙技术。 基于应用 代理的防火墙功能包含于"应用层代理"功能模块中， 同时， 支持用户认 证， 用于对接入的用户进行安全检查， 及接入认证处理；
步骤 22: 业务控制设备根据应用属性或者用户属性确定本次应用业 务的媒体流安全级别， 并将该业务的媒体流标识信息和安全级别需求信 息提供给策略决策功能实体；
所述的应用属性或用户属性包括： 业务类型 （语音流可能比视频流 的安全要求高）， 用户向运营商预定的安全要求（比如企业用户的安全 要求高）， 等等， 相应的应用属性或用户属性信息可能保存在用户数据 库或业务数据库中， 也可能是配置在业务控制设备中的粗分类信息， 由 商业运营模式决定， 艮难标准化或专利保护；
根据需要还可以连同其它 QoS (服务质量）和优先级等需求信息一 同提供给策略决策功能实体；
步骤 23: 策略决策功能基于策略规则将所收到的该业务的媒体流的 安全级别需求信息映射为媒体流的安全级别控制信息；
所述的策略规则具体可以由运营商根据设备部署和商业运营模式确 定； '
步骤 24: 策略决策功能将该业务的媒体流标识信息和媒体流的安全 级别控制信息提供给网络边界设备， 以控制网络边界设备中的基于包过 滤的防火墙功能； 根据应用需要， 在策略决策功能实体上还可以连同其 它 QoS和 NAPT控制信息一同提供给网络边界设备；
步骤 25: 网络边界设备根据所收到的媒体流的安全级别控制信息选 择相应安全级别的防火墙包过滤工作方式，例如，可以选择动态包过滤、 状态检测或深度包检测等防火墙包过滤工作方式， 对该业务的媒体流执 行基于包过滤的防火墙功能， 以防止资源盗用、 IP地址伪装、 拒绝服务 和高级应用入侵等网络攻击。
综上所述， 本发明中通过业务层的会话控制代理功能与传送层的基 于包过滤的防火墙功能之间的协同工作 , 使得基于包过滤的防火墙可以 执行 NGN每用户每会话细粒度的安全分级处理， 可根据用户需求和会 话类型动态选择不同安全级別的防火墙包过滤工作方式来防止资源盗 用、 IP地址伪装、 拒绝服务和高级应用入侵等网络攻击。
以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围 并不局限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范 围内， 可轻易想到的变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范围应该以权利要求的保护范围为准。

Claims

权利要求书
1、一种基于下一代网络 NGN业务的防火墙控制系统，其特征在于， 包括：
应用层代理模块： 包含基于应用代理的防火墙功能， 位于 NGN业 务控制设备中， 用于解析应用层信令， 进行信令流的安全检测， 确定业 务媒体流的安全级别需求信息， 并提供给策略决策功能实体；
策略决策功能实体： 根据业务媒体流的安全级别需求信息及保存的 策略信息确定业务媒体流的安全级别控制信息， 并提供给基于包过滤的 防火墙功能模块；
防火墙功能模块： 设置于网络边界设备中， 用于根据所述的媒体流 的安全级别控制信息对流经的业务媒体流进行安全检测。
2、 根据权利要求 1所述的基于 NGN业务的防火墙控制系统， 其特 征在于， 所述的业务控制设备包括：
NGN 的多媒体子系统 IMS 中的代理呼叫会话控制功能实体 P-CSCF, 或者， NGN的软交换系统中的呼叫代理设备， 或者， NGN其 他业务系统中含有应用层代理功能的业务控制设备。
3、 根据权利要求 1所述的基于 NGN业务的防火墙控制系统， 其特 征在于， 所述的策略决策功能实体设置于业务控制设备或网络边界设备 中， 或者设置为独立的设备。
4、 根据权利要求 1、 2或 3所述的基于 NGN业务的防火墙控制系 统， 其特征在于， 所述的防火墙功能模块具体包括：
包过滤方式选择模块: 用于根据策略决策功能实体提供的媒体流安 全级别控制信息确定针对业务媒体流进行安全检测的防火墙包过滤工 作方式， 并启用相应的包过滤处理模块中相应的基于包过滤的防火墙处 理功能；
包过滤处理模块： 包括设置的各种防火墙包过滤工作方式的防火墙 功能， 各种防火墙包过滤工作方式的防火墙功能在包过滤方式选择模块 的控制下启用， 并对相应的业务进行安全检测。
5、 根据权利要求 4所述的基于 NGN业务的防火墙控制系统， 其特 征在于， 所述的包过滤处理模块所设置的防火墙包过滤工作方式包括： 动态包过滤、 全状态检测、 深度包检测中的任意一种或者其中一种以上 的任意组合。
6、 一种基于 NGN业务的防火墙控制方法， 其特征在于， 包括：
A、 业务控制设备中的应用层代理模块解析应用层信令， 进行信令 流的安全检测， 确定业务媒体流的安全级别需求信息， 并提供给策略决 策功能实体；
B、 策略决策功能实体根据所述的媒体流的安全级别需求信息以及 保存的策略信息确定媒体流的安全级别控制信息， 并提供给网络边界设 备；
C、 网络边界设备中的防火墙功能模块根据所述的媒体流的安全级 别控制信息对流经的业务媒体流进行安全检测。
7、 根据权利要求 6所述的基于 NGN业务的防火墙控制方法， 其特 征在于， 所述的步骤 A包括：
应用层代理模块对应用层信令进行解析， 进行信令流的安全检测， 并根据应用属性或者用户属性确定业务媒体流的安全级别需求信息； 将所述的业务的: ¾某体流标识信息和所述的媒体流的安全级别需求信 息一起提供给策略决策功能实体。
8、 根据权利要求 7所述的基于 NGN业务的防火墙控制方法， 其特 征在于， 所述的步骤 A还包括： 将业务的媒体流标识信息和安全级别需求信息连同业务的服务质量 参数需求信息一同提供给策略决策功能实体。
9、 根据权利要求 6所述的基于 NGN业务的防火墙控制方法， 其特 征在于， 所述的步骤 B包括：
策略决策功能实体根据所述的媒体流的安全级别需求信息以及保存 的策略信息将业务媒体流的安全级别需求信息映射为媒体流的安全级 别控制信息， 并提供给相应的网络边界设备。
10、 根据权利要求 6至 9任一项所述的基于 NGN业务的防火墙控 制方法， 其特征在于， 所述的步骤 C包括：
网络边界设备中的防火墙功能模块根据所述的媒体流的安全级别控 制信息选择确定对流经的业务媒体流进行安全检测的防火墙包过滤工 作方式；
根据选择确定的防火墙包过滤工作方式对流经的业务媒体流进行安 全检测。
11、 根据权利要求 10所述的基于 NGN业务的防火墙控制方法， 其 特征在于， 所述的防火墙包过滤工作方式包括：
动态包过滤方式防火墙、 全状态检测方式防火墙、 深度包检测方式 防火墙中的任意一种或者其中一种以上的任意组合。
PCT/CN2006/001141 2005-07-30 2006-05-29 System and method for controling ngn service-based firewall WO2007014507A1 (en)

Priority Applications (5)

Application Number Priority Date Filing Date Title
AT06742029T ATE454781T1 (de) 2005-07-30 2006-05-29 Vorrichtung und verfahren zur steuerung einer dienste-basierten firewall der nächsten generation
DE602006011569T DE602006011569D1 (de) 2005-07-30 2006-05-29 Vorrichtung und verfahren zur steuerung einer dienste-basierten firewall der nächsten generation
CN200680012307.7A CN101160774B (zh) 2005-07-30 2006-05-29 基于下一代网络业务的防火墙控制系统及方法
EP06742029A EP1802023B1 (en) 2005-07-30 2006-05-29 System and method for controling ngn service-based firewall
US11/785,991 US7987503B2 (en) 2005-07-30 2007-04-23 Firewall control system based on a next generation network service and method thereof

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200510085721.8A CN1905555B (zh) 2005-07-30 2005-07-30 基于ngn业务的防火墙控制系统及方法
CN200510085721.8 2005-07-30

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US11/785,991 Continuation US7987503B2 (en) 2005-07-30 2007-04-23 Firewall control system based on a next generation network service and method thereof

Publications (1)

Publication Number Publication Date
WO2007014507A1 true WO2007014507A1 (en) 2007-02-08

Family

ID=37674681

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2006/001141 WO2007014507A1 (en) 2005-07-30 2006-05-29 System and method for controling ngn service-based firewall

Country Status (7)

Country Link
US (1) US7987503B2 (zh)
EP (1) EP1802023B1 (zh)
CN (2) CN1905555B (zh)
AT (1) ATE454781T1 (zh)
DE (1) DE602006011569D1 (zh)
ES (1) ES2355047T3 (zh)
WO (1) WO2007014507A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102035847A (zh) * 2010-12-14 2011-04-27 成都市华为赛门铁克科技有限公司 用户访问行为处理方法、系统和客户端
US8751787B2 (en) 2007-12-13 2014-06-10 International Business Machines Corporation Method and device for integrating multiple threat security services

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7739403B1 (en) 2003-10-03 2010-06-15 Juniper Networks, Inc. Synchronizing state information between control units
GB0518578D0 (en) * 2005-09-13 2005-10-19 Qinetiq Ltd Communications systems firewall
US8316429B2 (en) * 2006-01-31 2012-11-20 Blue Coat Systems, Inc. Methods and systems for obtaining URL filtering information
US8166534B2 (en) 2007-05-18 2012-04-24 Microsoft Corporation Incorporating network connection security levels into firewall rules
WO2009030172A1 (fr) * 2007-09-06 2009-03-12 Huawei Technologies Co., Ltd. Procédé et système pour contrôler un service de réseau
US8955088B2 (en) 2007-11-07 2015-02-10 Futurewei Technologies, Inc. Firewall control for public access networks
CN101741821A (zh) 2008-11-07 2010-06-16 华为技术有限公司 一种实现包过滤的方法、媒体网关及系统
US8266673B2 (en) 2009-03-12 2012-09-11 At&T Mobility Ii Llc Policy-based privacy protection in converged communication networks
US8363549B1 (en) * 2009-09-02 2013-01-29 Juniper Networks, Inc. Adaptively maintaining sequence numbers on high availability peers
US8938795B2 (en) * 2012-11-19 2015-01-20 Owl Computing Technologies, Inc. System for real-time cross-domain system packet filtering
CN104580168B (zh) * 2014-12-22 2019-02-26 华为技术有限公司 一种攻击数据包的处理方法、装置及系统
US9825909B2 (en) * 2015-01-30 2017-11-21 Aruba Networks, Inc. Dynamic detection and application-based policy enforcement of proxy connections
US10587698B2 (en) * 2015-02-25 2020-03-10 Futurewei Technologies, Inc. Service function registration mechanism and capability indexing
TW201724800A (zh) * 2015-12-07 2017-07-01 Nec Corp 資料通信裝置、通信系統、資料中繼方法及程式
US10432650B2 (en) 2016-03-31 2019-10-01 Stuart Staniford System and method to protect a webserver against application exploits and attacks
US10284521B2 (en) * 2016-08-17 2019-05-07 Cisco Technology, Inc. Automatic security list offload with exponential timeout
CN111224996A (zh) * 2020-01-17 2020-06-02 国网福建省电力有限公司 一种防火墙集中辅助维护系统
CN111585957B (zh) * 2020-04-01 2023-03-28 新华三信息安全技术有限公司 报文处理方法、装置、网络设备及存储介质
FR3114212B1 (fr) * 2020-09-14 2023-02-10 Mbda France Procédé et pare-feu configurés pour contrôler des messages transitant entre deux éléments de communication.

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1286430A (zh) * 1999-08-26 2001-03-07 网观科技(加拿大)有限公司 互联网络防火墙
CN1574792A (zh) * 2003-06-06 2005-02-02 微软公司 用于执行网络防火墙的基于多层的方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6978383B2 (en) * 2001-07-18 2005-12-20 Crystal Voice Communications Null-packet transmission from inside a firewall to open a communication window for an outside transmitter
CN1301607C (zh) * 2002-02-01 2007-02-21 联想网御科技(北京)有限公司 实现支持虚拟局域网防火墙的方法
US8166533B2 (en) * 2002-08-17 2012-04-24 Rockstar Bidco Lp Method for providing media communication across firewalls
US7328451B2 (en) 2003-06-30 2008-02-05 At&T Delaware Intellectual Property, Inc. Network firewall policy configuration facilitation
CN1555170A (zh) * 2003-12-23 2004-12-15 沈阳东软软件股份有限公司 流过滤防火墙

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1286430A (zh) * 1999-08-26 2001-03-07 网观科技(加拿大)有限公司 互联网络防火墙
CN1574792A (zh) * 2003-06-06 2005-02-02 微软公司 用于执行网络防火墙的基于多层的方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8751787B2 (en) 2007-12-13 2014-06-10 International Business Machines Corporation Method and device for integrating multiple threat security services
CN102035847A (zh) * 2010-12-14 2011-04-27 成都市华为赛门铁克科技有限公司 用户访问行为处理方法、系统和客户端

Also Published As

Publication number Publication date
US20070234414A1 (en) 2007-10-04
CN1905555A (zh) 2007-01-31
ATE454781T1 (de) 2010-01-15
CN101160774A (zh) 2008-04-09
EP1802023B1 (en) 2010-01-06
EP1802023A4 (en) 2008-01-23
CN1905555B (zh) 2010-07-07
DE602006011569D1 (de) 2010-02-25
CN101160774B (zh) 2010-09-29
ES2355047T3 (es) 2011-03-22
US7987503B2 (en) 2011-07-26
EP1802023A1 (en) 2007-06-27

Similar Documents

Publication Publication Date Title
WO2007014507A1 (en) System and method for controling ngn service-based firewall
US7764612B2 (en) Controlling access to a host processor in a session border controller
US8904514B2 (en) Implementing a host security service by delegating enforcement to a network device
Srisuresh et al. Middlebox communication architecture and framework
US7596806B2 (en) VPN and firewall integrated system
US8060927B2 (en) Security state aware firewall
US7853998B2 (en) Firewall propagation
KR101107742B1 (ko) 에스아이피(ｓｉｐ) 기반 서비스의 보호를 위한 ｓｉｐ 침입 탐지 및 대응 시스템
US9531673B2 (en) High availability security device
JP2010268483A (ja) 能動的ネットワーク防衛システム及び方法
KR20070087165A (ko) 클라이언트 이용 방화벽 설정
US9391954B2 (en) Security processing in active security devices
US20070143841A1 (en) Defense device, defense method, defense program, and network-attack defense system
Roedig et al. RSVP as firewall signalling protocol
WO2007115457A1 (fr) Point d'application de politiques et procédé et système de liaison pour système de détection d'intrus
JP2006099590A (ja) アクセス制御装置、アクセス制御方法およびアクセス制御プログラム
JP2006023934A (ja) サービス拒絶攻撃防御方法およびシステム
Ge et al. Context-aware service chaining framework for over-the-top applications in 5G networks
Reynolds et al. STEM: secure telephony enabled middlebox
Gopal et al. User plane firewall for 3G mobile network
Alimi Effective Multi-Layer Security for Campus Network
Woodall Firewall design principles
McRae High speed packet classification
Roedig et al. Industrial Process and System Communications, Darmstadt University of Technology, Germany German National Research Center for Information Technology, GMD IPSI, Darmstadt, Germany Email:{Utz. Roedig| Manuel. Goertz| Martin. Karsten| Ralf. Steinmetz}@ KOM. tu-darmstadt. de
Mariani Firewall Strategies using network processors

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 11785991

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2006742029

Country of ref document: EP

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWP Wipo information: published in national office

Ref document number: 2006742029

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 11785991

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 200680012307.7

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE