[发明专利]把控制策略动态地应用于网络

说明书

技术领域

本发明的领域涉及计算系统。更特别地，本发明的实施例涉及网络安全管理。

背景技术

技术进步已经导致越来越大且复杂的网络的使用，其中数量日益增加的网络系统作为组织运作的组成部分。许多网络系统例行地接收、处理和/或存储敏感和/或机密性质的数据。经常经由外部网络接入点向用户提供对网络的接入以便检索数据和/或与网络内的网络系统交换数据。这样的外部网络接入点的增加的使用在许多情况下已经使得网络越来越易受恶意用户的攻击。

对网络的攻击在频率和复杂性方面都在增加。例行地存储在这样的网络中的数据的敏感性质经常吸引设法获得对敏感数据和/或机密数据的访问的恶意用户或黑客。在一些情况下，恶意用户怀着破坏网络和/或网络系统的目的来寻求对网络和网络系统的访问。恶意用户经常用来对网络造成损害的机制的实例包括但不限于病毒、蠕虫、蜘蛛、爬虫和木马。

对网络的增加频率的攻击已经经常导致对于网络管理员寻找更有效地保护网络免受这些攻击的方法的要求的增加。

附图说明

结合到本说明书中并且形成本说明书一部分的附图说明了用于把用户访问控制策略动态地应用于网络的系统的本技术的实施例，并且与描述一起用来解释下面讨论的原理。

图1是根据本技术的实施例的其中可以实施用于把控制策略动态地应用于网络的示例系统的示例网络的框图。

图2是根据本技术的实施例的用于把控制策略动态地应用于网络的示例系统的框图。

图3是根据本技术的实施例的用于把控制策略动态地应用于网络的示例方法的流程图。

图4是根据本技术的实施例的用于把控制策略动态地应用于网络的示例计算机系统的图。

图5是根据本技术的实施例的用于把控制策略动态地应用于网络的示例方法的流程图。

除非专门指出，本说明书中提到的附图不应当被理解为是按比例绘制的。

具体实施方式

现在将详细地参照本技术的实施例，其实例在附图中被示出。尽管将结合各种实施例来描述本技术，但是将会理解，它们并非意图把本技术限制为这些实施例。相反地，本技术意图覆盖可以被包含在由所附权利要求书限定的各种实施例的精神和范围内的替换、修改和等效物。

此外，在以下详细描述中，阐述了许多特定细节以便提供对于本技术的实施例的透彻理解。然而，可以在没有这些特定细节的情况下实践本技术的实施例。在其他情况下，没有详细描述公知的方法、过程、部件和电路以免不必要地使本实施例的各方面模糊不清。

除非另有专门说明，如根据以下讨论显然的，将会认识到，在整个本详细描述中，利用诸如“确定”、“访问”、“发送”、“检测”、“继续”、“标识”、“利用”等等之类的术语的讨论是指计算机系统或者类似电子计算设备的动作和过程。计算机系统或者类似电子计算设备将表示为计算机系统的寄存器和存储器内的物理（电子）量的数据操纵和变换成类似地表示为计算机系统存储器或寄存器或者其他这样的信息存储、传输或显示设备内的物理量的其他数据。本技术的实施例也非常适合于其他计算机系统（例如光学和机械计算机）的使用。

讨论概述。

根据本技术的实施例涉及用于跨网络所有层动态地应用基于身份的安全策略的系统。当用户的业务跨网络移动时，本技术的实施例把针对用户的集中式安全策略应用于网络的每层。例如，当用户的业务进入交换机时，将应用用户的交换机安全策略。在另一个实例中，当用户的业务进入防火墙时，将应用用户的网络防火墙安全策略。

这种应用基于身份的安全策略的方法允许网络管理员配置适用于网络所有层的集中管理安全策略。网络管理员可以容易地将该安全策略的适当部分部署到与关联的网络层耦合的所有的相应安全设备。因此，可以跨多个网络层应用针对用户的单个安全策略。

管理网络中的安全性。

图1是网络100的实例的框图表示，其中示出可以实施用于动态地应用用户访问控制策略的系统132的一个实施例。示例网络100通常包括第一、第二和第三网络交换机系统102、104、106，网络管理员系统108，网络管理系统110，第一、第二和第三服务器系统112、114、116，以及第一、第二、第三和第四威胁评估系统118、120、122、124。诸如膝上型计算机之类的外部系统128与网络100通信耦合。