[发明专利]一种拟态开关以及拟态系统内部单向通信方法

说明书

本发明提供一种拟态开关以及拟态系统内部单向通信方法，通过在拟态组件、执行体通信链路上串联拟态开关，用来保证拟态链路通信的单向性，一方面解决了传统iptables、交换机ACL规则配置灵活性较差的问题，另一发面避免了iptables存在漏洞，造成规则失效的问题，提高了拟态系统通信链路的安全性和灵活性，同时拟态开关中流量记录功能可以协助用户快速地寻找攻击源。

技术领域

本发明涉及拟态系统通信领域，具体的说，涉及了一种拟态开关以及拟态系统内部单向通信方法。

背景技术

拟态防御技术改变了网络空间防御的游戏规则，为网络设备实现网络安全提供了一种全新的解决方案。拟态系统内部各模块(拟态组件、执行体)之间往往通过交换机实现内部通信，为了保证拟态系统内部各模块的安全性，在某些模块出现攻击时，应确保攻击无法扩散到其它模块，因此拟态系统要求各模块之间的通信是单向的。在工程实践中往往通过在模块所在的操作系统上配置防火墙规则或者在交换机上配置ACL规则实现，然而此种方法一方面受制防火墙或者ACL规则的配置条件，往往无法对报文进行深度检测和控制，灵活性较差，另一方面基于操作系统的防火墙规则，在同一内核操作系统下，有可能存在漏洞，造成防火墙规则失效。因此，如何提高拟态组件内部网络通信系统单向性的安全性，对于增强拟态系统的可靠性和稳定性具有重要意义。

为了解决以上存在的问题，人们一直在寻求一种理想的技术解决方案。

发明内容

本发明的目的是针对现有技术的不足，从而提供了一种拟态开关以及拟态系统内部单向通信方法。

为了实现上述目的，本发明第一方面提供一种拟态开关，包括用于转发上行数据流的输入网络接口和用于转发下行数据流的输出网络接口，还包括：

输入规则检测器，与所述输入网络接口连接，用于检测所述输入网络接口转发的上行数据流是否符合输入检测规则，并在符合所述输入检测规则时，将所述上行数据流通过所述输出网络接口发送出去，以及在不符合所述输入检测规则时，将所述上行数据流记录在输入流量存储器中，并将所述上行数据流丢弃；

输出规则检测器，与所述输出网络接口连接，用于检测所述输出网络接口转发的下行数据流是否符合输出检测规则，并在符合所述输出检测规则时，将所述下行数据流通过所述输入网络接口发送出去，以及在不符合所述输出检测规则时，将所述下行数据流记录在输出流量存储器中，并将所述下行数据流量丢弃；

所述输入检测规则包括上行数据流的源设备IP地址、目标设备IP地址、网络端口以及通信协议；所述输出检测规则包括下行数据流的源设备IP地址、目标设备IP地址、网络端口以及通信协议。

本发明第二方面提供一种拟态系统内部单向通信方法，包括以下步骤：

配置输入代理/输出裁决模块与各执行体之间通过内部交换网络的第一IP子网段进行流量传输；配置各执行体与裁决器之间以及调度器与裁决器之间通过内部交换网络的第二子网段进行流量传输；配置调度器与各执行体和输入代理之间通过内部交换网络的第三子网段进行流量传输；

分别在输入代理/输出裁决模块与各执行体之间的通信链路、各执行体与裁决器之间以及调度器与裁决器之间的通信链路、调度器与各执行体和输入代理之间的通信链路上设置前述的拟态开关；

通过各拟态开关检测其输入网络接口转发的上行数据流是否符合输入检测规则或检测其所述输出网络接口转发的下行数据流是否符合输出检测规则，实现输入代理/输出裁决模块与各执行体之间的通信链路、各执行体与裁决器之间以及调度器与裁决器之间的通信链路、调度器与各执行体和输入代理之间的通信链路的单向性。

具体的，分别在输入代理/输出裁决模块与各执行体之间的通信链路、各执行体与裁决器之间以及调度器与裁决器之间的通信链路、调度器与各执行体和输入代理之间的通信链路上设置拟态开关，具体包括以下步骤：