[发明专利]基于动态变换的网络安全防御系统和网络安全防御方法

摘要

本发明提出一种基于动态变换的网络安全防御系统和方法，所述网络安全防御系统包括通信处理单元、终端信息单元和动态变换单元，通信处理单元为内网中的每一个网络终端配置一个终端信息表，所述终端信息表包括分配给网络终端的真实IP地址、虚拟IP地址和外网访问IP地址，动态变换单元动态变换虚拟IP地址，通信处理单元使内网中的网络终端之间采用vIP进行通信，内网中的网络终端和外网之间采用wIP进行通信。本发明打破传统内网的静态性特征，通过动态变换内网中网络终端的IP地址信息，使得攻击者无法获得内网的拓扑结构，无法准确获得内网中网络终端的真实信息，从而有效防御了内网攻击行为，提高了内网的安全。

主权项

1.一种基于动态变换的网络安全防御系统，其特征在于，包括通信处理单元(13)、终端信息单元(14)和动态变换单元(15)，所述通信处理单元(13)连接所述终端信息单元(14)，所述动态变换单元(15)连接所述终端信息单元(14)，所述通信处理单元(13)位布置所述网络安全防御系统的内网中的每一个网络终端配置一个终端信息表，并存储于所述终端信息单元(14)中，所述终端信息表包括分配给网络终端的rIP、vIP和wIP，其中rIP为分配给网络终端的真实IP地址，vIP为分配给网络终端的虚拟IP地址，wIP为分配给网络终端的虚拟IP地址，wIP为分配给网络终端的外网访问IP地址，所述动态变换单元(15)动态变换所述终端信息单元(14)中存储的vIP，所述通信处理单元(13)基于所述终端信息表处理网络终端的通信数据包，并是内网中的网络终端之间采用vIP进行通信，内网中的网络终端和外网之间采用wIP进行通信；所述终端信息单元(14)存储的rIP、vIP和wIP相互之间具有一一对应关系，每个网络终端的终端信息表中包括有相互对应的一组rIP、vIP和wIP，所述通信数据包包括有源IP、目的IP、源端口、目的端口和通信协议；对于内网中的两个网络终端进行通信时，所述通信处理单元(13)将通信数据包中的源IP替换为发送该通信数据包的网络终端的终端信息表中与所述源IP对应的vIP，将通信数据包中的目的IP替换为接收该通信数据包的网络终端的终端信息表中于所述目的IP对应的rIP；对于内网中的网络终端访问外网时，所述通信处理单元(13)将通信数据包中的源IP替换为发送该通信数据包的网络终端的终端信息表中于所述源IP对应的wIP；对于外网访问内网中的网络终端时，所述通信处理单元(13)将来自外网的通信数据包中的目的IP替换为接收该通信数据包的网络终端的终端信息表中于所述目的IP对应的rIP；所述网络安全防御系统还包括有数据单元(12)，所述数据单元(12)连接于所述通信处理单元(13)，所述通信处理单元(13)包括IP地址分配模块(31)、域名解析模块(32)、会话信息存储模块(33)和IP地址变换模块(34)，所述IP地址分配模块(31)连接于所述数据单元(12)和所述终端信息单元(14)，所述域名解析模块(32)连接于所述数据单元(12)和所述终端信息单元(14)，所述会话信息存储模块(33)连接于所述IP地址变换模块(34)，所述IP地址变换模块(34)连接于所述数据单元(12)和所述终端信息单元(14)；所述IP地址分配模块(31)位接入内网的每一个网络终端分配一个rIP，并为每一个rIP分配对应的一个vIP和对应的一个wIP，为每一个vIP生成对应的一个vDomain，为每一个vIP生成对应的vIPtime，为每一个vDomain生成对应的vDomaintime，并获得每一个网络终端的rMac，其中所述vDomain为vIP对应的虚拟域名，所述vIPtime为vIP生成的当前时间，所述vDomaintime为vDomain生成的当前时间，所述rMac为网络终端的物理网卡地址，所述IP地址分配模块(31)生成各网络终端的终端信息表并存储于终端信息单元(14)中，每个网络终端的终端信息表包括对应的一组rIP、vIP、wIP、vDomain、vIPtime、vDomaintime和rMac；所述域名解析模块(32)基于终端信息单元(14)中存储的终端信息表解析DNS数据包；所述IP地址变换模块(34)执行通信数据包的IP替换操作；所述数据单元(12)作为通信处理单元(13)的数据包收发单元，并将接收的DHCP数据包发往IP地址分配模块(31)，将接收的DNS数据包发往域名解析模块(32)，将DHCP数据包和DNS数据包之外的其他数据包发往所述IP地址变换模块(34)；所述IP地址变换模块(34)按照以下方式执行通信数据包的IP替换操作：(一)、对于内网中的两个网络终端进行通信时，首先所述IP地址变换模块(34)建立本次通信的会话信息，所述会话信息包括通信数据包的源IP、目的IP、源端口、目的端口、通信协议以及与源IP对应的vIP、与目的IP对应的rIP，并将建立的所述会话信息存储于会话信息存储模块(33)；接着所述IP地址变换模块(34)基于本次通信的会话信息，将通信数据包中的源IP替换为会话信息中与所述源IP对应的vIP，将通信数据包中的目的IP替换为会话信息中与所述目的IP对应的rIP；然后所述IP地址变换模块(34)根据本次通信的会话信息重新计算数据包校验和后把数据包发送给数据单元(12)；最后所述IP地址变换模块(34)删除会话信息存储模块(33)中存储的本次通信的会话信息；(二)、对于内网中的网络终端访问外网时，首先所述IP地址变换模块(34)建立本次通信的会话信息，所述会话信息包括通信数据包的源IP、目的IP、源端口、目的端口、通信协议以及与源IP对应的wIP，并将建立的所述会话信息存储于会话信息存储模块(33)；接着所述IP地址变换模块(34)基于本次通信的会话信息，将通信数据包中的源IP替换为会话信息中与所述源IP对应的wIP；然后所述IP地址变换模块(34)根据本次通信的会话信息重新计算数据包校验和后把数据包发送给数据单元(12)；最后所述IP地址变换模块(34)删除会话信息存储模块(33)中存储的本次通信的会话信息；(三)、对于外网访问内网中的网络终端时，首先所述IP地址变换模块(34)建立本次通信的会话信息，所述会话信息包括通信数据包的源IP、目的IP、源端口、目的端口、通信协议以及与目的IP对应的rIP，并将建立的所述会话信息存储于会话信息存储模块(33)；接着所述IP地址变换模块(34)基于本次通信的会话信息，将来自外网的通信数据包中的目的IP替换为会话信息中与所述目的IP对应的rIP；然后所述IP 地址变换模块(34)根据本次通信的会话信息重新计算数据包校验和后把数据包发送给数据单元(12)；最后所述IP地址变换模块(34)删除会话信息存储模块(33)中存储的本次通信的会话信息。