[发明专利]一种分布式访问控制方法、装置及存储设备有效
申请号: | 201910215908.7 | 申请日: | 2019-03-21 |
公开(公告)号: | CN111030970B | 公开(公告)日: | 2023-04-18 |
发明(设计)人: | 李林哲;向菁菁;关墨辰;肖新光 | 申请(专利权)人: | 安天科技集团股份有限公司 |
主分类号: | H04L9/40 | 分类号: | H04L9/40 |
代理公司: | 暂无信息 | 代理人: | 暂无信息 |
地址: | 150028 黑龙江省哈尔滨市高新技术产*** | 国省代码: | 黑龙江;23 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 一种 分布式 访问 控制 方法 装置 存储 设备 | ||
本发明实施例公开一种分布式访问控制方法、装置及存储设备,用以解决诸多防火墙的规则难以统一维护管理以及硬件防火墙在流量较大的情况下出现性能不足的问题。该方法包括:接收数据包,检测数据包是否为虚拟可扩展局域网数据包;若是,对所述数据包进行解析,否则将所述数据包丢弃;解析出虚拟可扩展局域网络标识,根据所述虚拟可扩展局域网络标识查询本设备访问控制规则列表;若查询到对应的规则,则根据规则执行对所述数据包的动作;若未查询到对应的规则,将所述数据包引流至蜜罐网络诱导环境中,或重定向到特定网关设备。
技术领域
本发明实施例涉及计算机网络安全领域,尤其涉及一种分布式访问控制方法、装置及存储设备。
背景技术
目前,防火墙是实现访问控制的一种常用方式,根据其位于协议栈的位置可分为网络层防火墙和应用层防火墙,网络层防火墙利用封包的多种属性进行过滤(IP、端口、协议等),应用层防火墙依据封包所属的应用程序进行过滤,理论上可以完全阻隔未知应用程序的数据流进到受保护的设备。防火墙可以部署在路由器上实现对内/外网的访问控制,也可以部署在单个PC上,实现对PC的访问控制。
但诸多防火墙的规则难以统一维护和管理,规则是否活跃也难以进行判断;同时,对于硬件防火墙来说,在流量较大的情况下常出现防火墙性能不足的情况。
发明内容
基于上述存在的问题,本发明实施例提供一种分布式访问控制方法、装置及存储设备,用以解决诸多防火墙的规则难以统一维护管理以及硬件防火墙在流量较大的情况下出现性能不足的问题。本发明实施例公开一种分布式访问控制方法,包括:
接收数据包,检测数据包是否为虚拟可扩展局域网数据包;若是,对所述数据包进行解析,否则将所述数据包丢弃;解析出虚拟可扩展局域网络标识,根据所述虚拟可扩展局域网络标识查询本设备访问控制规则列表;若查询到对应的规则,则根据规则执行对所述数据包的动作;若未查询到对应的规则,将所述数据包引流至蜜罐网络诱导环境中,或重定向到特定网关设备。
进一步地,根据所述虚拟可扩展局域网络标识查询本设备访问控制规则列表,还包括:若查询到非对应的规则,则所述数据包将被丢弃。
进一步地,所述访问控制规则列表采用白名单机制。
进一步地,所述访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容;规则ID:利用虚拟可扩展局域网络标识映射访问控制规则列表中的规则ID;优先级:表示规则的优先级;匹配内容包括:发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用;动作内容包括:允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。
进一步地,每台设备只拥有预期与本设备发生交互关系的访问控制规则列表,且每台设备的访问控制规则列表均存储在访问控制规则库中,所述规则库存放内网单台设备上或者存放在分布式集群上。
进一步地,所述访问控制规则库不断进行更新,还包括:通知内网所有设备同步更新访问控制规则列表;或者识别所述访问控制规则列表更新所影响的内网设备,主动将更新后的访问控制规则列表推送给被影响的内网设备。
进一步地,所述访问控制规则列表中还包含临时申请规则,所述临时申请规则在限定条件下自动生效,并在给定时间后自动失效。
进一步地,将所述数据包引流至蜜罐网络诱导环境中,具体为:内网设备对虚拟可扩展局域网数据包外层UDP、IP、Ethernet报头进行更改,具体为:将目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息,源IP、端口、Mac变更为内网设备的信息;蜜罐网络诱导环境接收到更改后的数据包,对该数据包进行检测,根据检测结果构造虚拟可扩展局域网格式的反馈数据包,其中虚拟可扩展局域网络标识对应蜜罐的检测结果;内网设备收到蜜罐发送的反馈数据包,根据虚拟可扩展局域网络标识决定对所述数据包采取的动作。
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于安天科技集团股份有限公司,未经安天科技集团股份有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201910215908.7/2.html,转载请声明来源钻瓜专利网。
- 上一篇:多层陶瓷电子组件阵列
- 下一篇:一种分布式访问控制方法、装置及存储设备