[发明专利]一种面向交换网络的动态ID隐藏方法

说明书

本发明属于交换网络安全技术领域，公开一种面向交换网络的动态ID隐藏方法，包括：步骤1：设置交换设备端口的内外网属性，建立端口内外网属性表；步骤2：构建隐藏ID池；步骤3：设置内外网ID隐藏表；步骤4：动态调整ID映射算法。本发明针对特定ID的普通类型攻击，攻击者无法通过扫描用户的ID达到攻击用户的目的，比如DDos攻击等；针对特定ID的APT攻击，本发明可以动态的变换内外网ID映射关系，理论上，只要动态ID变换周期小于攻击者破解周期，就可以避免该类攻击；该方法采用软件构建隐藏ID池，硬件实现隐藏表，并通过随机动态调度隐藏ID池的方式实现了动态ID变换，可以防御针对用户ID的攻击手段。

技术领域

本发明属于交换网络安全技术领域，尤其涉及一种面向交换网络的动态ID隐藏方法。

背景技术

随着互联网的快速发展，网络安全逐渐成为人们关注的热点，尤其是在交换网络中，ID信息是攻击者最关心的敏感信息之一。攻击者通过嗅探等手段，可以轻易获得特定用户的ID信息。一旦攻击者获取到数据包的ID信息，就可以进行进一步的APT攻击（李术夫,李薛, 王超. 典型APT攻击事件案例分析[J]. 信息网络安全(s1)），比如通过伪装手段窃取特定用户的信息，抑或针对该特定用户发动DDoS攻击（徐茜. DDoS攻击原理及应对策略[J]. 信息网络安全(5):48-50.），从而导致目标用户系统瘫痪。因此，在交换网络中，如何将ID进行安全的传输成为研究热点之一。

当前的ID保护措施，主要分以下几种方式：1.在端点设备上做ID保护，即，直接在源头上针对ID进行保护，比如使用加密协议进行数据传输抑或单独对ID进行加密，该方法简单可行，但是要求每个接入交换网络的用户都需要部署ID保护措施，增加了用户的成本；2.在交换网络中，通过将数据包交由控制管理层完成ID隐藏功能，比如，将需要ID隐藏的数据包发送到处理器，由处理器完成ID变换等操作，再下发给转发设备，然而该方法将数据交由软件处理，极大的影响了转发设备的性能。因此，为了消除这种影响，亟需提出一种能够部署在交换网络中的，不影响转发性能而又可以保护特定用户ID的保护技术。本专利就是从交换网络的ID保护需求出发，提出了一种面向交换网络的动态ID隐藏方法。

发明内容

本发明针对现有交换网络的ID保护方法存在的成本高、影响转发设备性能的问题，提出一种面向交换网络的动态ID隐藏方法。

为了实现上述目的，本发明采用以下技术方案：

一种面向交换网络的动态ID隐藏方法，包括：

步骤1：设置交换设备端口的内外网属性，建立端口内外网属性表，使得经过内网属性端口的用户数据的ID、即内网ID为私有ID，使得经过外网属性端口的用户数据的ID、即外网ID为公有ID；

步骤2：构建隐藏ID池；

步骤3：设置内外网ID隐藏表；

步骤4：动态调整ID映射算法。

进一步地，所述步骤2包括：

将内网ID与随机值进行逻辑运算，然后以内网ID为输入进行哈希运算映射后的输出为外网ID，所述映射满足外网的A类、B类或者C类子网划分要求；

每个内网ID需要映射多个外网ID，将运算得到的内外ID组进行保存构成隐藏ID池，对每个内网ID，随机选取与其对应的外网ID，组成内外网ID对，供内外网ID隐藏表配置使用。

进一步地，所述步骤3包括：

根据隐藏ID池提供的内外网映射关系配置内外网ID隐藏表，将内外网ID隐藏表和路由转发表进行关联：

通过端口内外网属性表查看端口的内外网属性；

如果是内网发往外网的用户数据，用内外网ID隐藏表中的外网ID替换路由转发表中数据的源ID，再进行路由转发查找；