[发明专利]计算机网络内的安全服务的分级应用程序

权利要求书

1.一种提供安全服务分级应用的方法，包括：

利用网络装置接收安全分类信息，所述安全分类信息标识 安全分类和至少一个计算装置之间的至少一个映射，其中，所 述安全分类标识所述至少一个计算装置的安全能力；

利用所述网络装置接收与所述至少一个计算装置相关联 的网络通信量；

确定拥塞等级；

对所述拥塞等级与政策所标识的阈值进行比较以确定是 否转发所述网络通信量而不应用由与所述安全分类相关联的 政策所限定的图案集合；

当所述拥塞等级未超过所述政策所标识的阈值时，利用所 述网络装置将与所述安全分类相关联的政策所限定的图案集 合应用于所述网络通信量以检测相应的网络攻击集合中的任 意网络攻击以及利用所述网络装置基于应用所述图案集合来 转发所述网络通信量；以及

当所述拥塞等级超过所述政策所标识的阈值时，转发所述 网络通信量而不应用由所述政策所限定的图案集合。

2.根据权利要求1所述的方法，

其中，接收所述安全分类信息包括：接收第一聚集安全分 类信息以及接收第二聚集安全分类信息，其中，所述第一聚集 安全分类信息标识第一安全分类和第一计算装置集合之间的 第一映射，以及所述第二聚集安全分类信息标识第二安全分类 和第二计算装置集合之间的第二映射，

其中，接收所述网络通信量包括：接收与所述第一计算装 置集合中的一个或多个计算装置相关联的网络通信量的第一 部分，以及接收与所述第二计算装置集合中的一个或多个计算 装置相关联的网络通信量的第二部分，

其中，应用所述攻击图案集合包括：将第一政策所限定的 第一图案集合应用至所述网络通信量的所述第一部分以检测 相应网络攻击的第一集合、以及将第二政策所限定的第二图案 集合应用至所述网络通信量的所述第二部分以检测相应网络 攻击的第二集合，所述第一图案集合和所述第二图案集合至少 有一个图案是不同的，以及

其中，转发所述网络通信量包括：分别基于应用所述第一 图案集合和所述第二图案集合来转发所述网络通信量的所述 第一部分和所述第二部分。

3.根据权利要求1所述的方法，还包括：

在接收到所述安全分类信息之后，确定与所述安全分类相 关联的政策；以及

对由所述网络装置维护的流表的至少一个流条目进行更 新以使所确定的政策与数据包流相关联，其中，所述数据包流 与所述至少一个计算装置相关联，

其中，应用所述图案集合包括：

对所述网络通信量进行解析以确定与所述至少一个 计算装置相关联的至少一个网络地址；

利用所述至少一个地址来访问所述流表以检索所述 流条目；以及

将所检索到的流条目所标识的政策所限定的图案集 合应用至与所述至少一个计算装置相关联的网络通信量 以检测相应的网络攻击集合。

4.根据权利要求1所述的方法，其中，接收所述安全分类信息包 括：接收标识一个聚集安全分类和多个计算装置之间的单个聚 集映射的聚集安全分类信息，并且其中，所述安全分类包括多 个安全分类中的一个安全分类，所述方法还包括：

从所述多个计算装置中的每个计算装置收集安全信息，其 中，所述安全信息分别标识所述集合中的每个计算装置的所述 安全能力；

将所收集到的安全信息映射到安全分类以输出装置特有 安全分类信息，所述装置特有安全分类信息为所述计算机装置 集合中的每个计算装置都标识了所述多个安全分类之一与所 述计算装置集合中的一个计算装置之间的关联；以及

聚集所述装置特有安全分类信息以输出标识了所述聚集 安全分类和所述计算装置集合之间的所述单个聚集映射的所 述聚集安全分类信息。

5.根据权利要求1所述的方法，其中，接收所述安全分类信息包 括接收虚拟局域网安全分类信息，所述虚拟局域网安全分类信 息标识了聚集安全分类与代表了计算装置集合的逻辑分组的 虚拟局域网之间的聚集映射。