CN101719899A - 用于网络安全装置的具有端口限制的动态访问控制策略 - Google Patents

Abstract

网络安全装置支持安全策略的定义以控制对网络的访问。安全策略由包括第七层网络应用程序、用于传输层协议的第四层端口的静态端口列表的匹配准则和应用到与匹配准则相匹配的包流上的动作定义。规则引擎基于包流的包净荷中的应用层数据的检查而不仅基于包中头部所指定的第四层端口上的识别来动态地识别与所接收到的包流相关联的第七层网络应用程序类型。规则引擎配置为应用安全策略以确定包流是否与匹配准则指定的静态端口列表相匹配。网络安全装置将安全策略指定的动作应用到包流上。

Description

用于网络安全装置的具有端口限制的动态访问控制策略

技术领域

本发明涉及计算机网络，以及更具体地，涉及计算机网络中攻击的检测和防御。

背景技术

计算机网络典型地包括交换数据并共享资源的互联的计算设备的集合。该设备可以包括(例如)web服务器、数据库服务器、文件服务器、路由器、打印机、用户端计算机和其他设备。各种设备可以执行无数种不同的服务和通信协议。每种不同的服务和通信协议使网络暴露出不同的安全弱点。

由于对可访问网络的计算机的依赖性增加，网络安全对组织和个人来说已经变成了一个主要问题。为了帮助确保其计算机的安全性，组织和个人可以在公共网络和其私有网络之间安装安全设备。这种安全设备可以防止来自公共网络的不希望的或恶意的信息侵袭私有网络中的设备。

这些安全设备通常被称为防火墙设备。典型地，防火墙是配置为基于组织的安全策略允许或拒绝通信流以控制对私有网络访问的专用设备。典型的高端防火墙通过动态地负载均衡包流来向一组服务卡提供包转发。这些服务卡提供基于流的安全服务，诸如流分块、网络地址转换(NAT)、防病毒(AV)扫描和检测、入侵检测防御(IDP)和/或任意其他的安全服务。防火墙设备典型地截取进入并离开私有网络的包，并且利用服务卡来处理该包，且应用管理员配置的策略以基于包括在每个包中的可定义与该包相关联的流状态的信息来确定是否允许或拒绝该包。

发明内容

大体上，描述了一种技术，该技术提供用于网络安全的灵活的访问控制策略。更具体地，本文描述了一种改进的技术，该技术用于定义访问控制策略的灵活且加强的机制。描述的安全装置可以应用由管理员定义的安全策略以控制到网络(诸如私有企业计算网络)或来自网络的访问。如本文所描述的，本发明的技术允许安全装置应用策略，该策略指定要应用至与包括网络源、网络目的地、第七层网络应用程序的类型、以及用于传输层协议的一个或多个第四层端口的静态端口列表的准则相匹配的包流的动作。在一些情况中，安全装置可以额外地执行入侵检测和防御(IDP)和/或深度包检查(DPI)(deep packet inspection，深度包检测)以检查并防止私有企业计算网络上的网络攻击。

传统地，许多防火墙和入侵检测系统将应用程序和静态第四层端口分配相关联，并且使用这些静态端口分配来静态地定义与给定数据流相关联的应用程序类型。然而，许多黑客或其它恶意个体利用采用动态或随机端口分配而不与静态端口分配一致的软件应用程序，以逃避检测和约束。这种技术使得防火墙和入侵检测系统难以仅基于静态端口分配而正确地识别第七层应用程序的类型。

响应于这些逃避检测的尝试，一些改进的防火墙和入侵检测系统可以基于签名或模式匹配操作来动态地确定与给定数据流(例如包流)相关联的第七层应用程序。例如，可以应用规则表达或子串匹配来检测数据流中的定义的模式。然而，即使使用动态应用程序识别，恶意用户可以试图用一种类型的应用程序欺骗(即，假装的)而使用另一种类型的应用程序，以试图绕过安全装置。如一个实例中，恶意用户可以试图通过欺骗的HTTP请求包围安全装置而实际上使用对等协议。不用应用第四层端口集的额外的匹配准则，这种欺骗可不被配置为允许HTTP应用程序的安全装置所检测。

如将在下面详细描述的，本发明的技术允许定义包括要应用的第四层端口列表或端口排列的附加的匹配准则的安全策略，即使网络应用程序的类型可以被动态地确定。在一些实例中，策略可以包括对于一个用户和一个网络应用程序的允许端口的静态列表，即使用户和网络应用程序两者均由安全装置动态地确定而不是应用程序识别仅基于包流的第四层端口。在另一实例中，策略可以包括特定端口，给定用户利用给定应用程序访问该端口不被允许。如一个实例中，这种策略可以允许安全装置来确定包流仅为绕过安全装置的尝试，并且安全装置可以采取合适的动作，诸如丢弃与该包流相关联的其它包和/或报警攻击的目标设备。如另一实例，这种策略可以允许安全装置防止企业网络中的用户使用对等应用程序或其他不期望的应用程序来浪费网络资源。

在一个实例中，网络安全装置包括配置为接收包流的接口、以及配置为支持控制包流对网络访问的安全策略的定义的控制单元，其中，安全策略指定：(a)包括第七层网络应用程序的匹配准则和用于传输层协议的一个或多个第四层端口的静态端口列表，以及(b)应用到与匹配准则相匹配的包流的动作。网络安全装置还包括规则引擎，配置为基于包流的包净荷中的应用层数据的检查，动态地识别与接收到的包流相关联的第七层网络应用程序的类型，而不是仅基于由包中头部所指定的第四层端口进行所述识别。规则引擎配置为在第七层网络应用程序的动态识别之后，应用安全策略来确定包流是否与匹配准则指定的静态端口列表相匹配。一旦规则引擎确定包流与静态端口列表相匹配，则控制单元将安全策略指定的动作应用至包流。

在另一实例中，用于控制对具有网络安全装置的网络进行访问的方法包括，利用网络安全装置的用户接口接收配置信息，其中配置信息指定由下列各项定义的安全策略：(a)包括第七层网络应用程序的匹配准则；以及用于传输层协议的一个或多个第四层端口的静态端口列表，以及(b)应用到与匹配准则相匹配的包流的动作。本方法还包括利用网络安全装置的接口来接收包流，并且利用网络安全装置的规则引擎，基于包流的包净荷中的应用层数据的检查，动态地识别与所接收到的包流相关联的第七层网络应用程序的类型，而不是仅基于由包中头部所指出的第四层端口进行所述识别。本方法还包括，利用规则引擎，在第七层网络应用程序的动态识别之后，应用安全策略来确定包流是否与匹配准则指定的静态端口列表相匹配，并且一旦规则引擎确定包流与静态端口列表相匹配，则将安全策略指定的动作应用至包流。

在另一实施例中，计算机可读介质包含指令。计算机可读介质可以是计算机可读的存储介质。指令使得可编程处理器利用控制对网络访问的网络安全装置的用户接口来接收配置信息，其中配置信息指定由以下各项定义的安全策略：(a)包括第七层网络应用程序的匹配准则；以及用于传输层协议的一个或多个第四层端口的静态端口列表，以及(b)应用到与匹配准则相匹配的包流的动作。该指令还使得可编程处理器利用网络安全装置的规则引擎，基于包流的包净荷中的应用层数据的检查，动态地识别与所接收到的包流相关联的第七层网络应用程序的类型，而不是仅基于由包中头部所指出的第四层端口进行所述识别。该指令还使得可编程处理器利用规则引擎，在第七层网络应用程序的动态识别之后，应用安全策略来确定包流是否与匹配准则指定的静态端口列表相匹配，并且一旦规则引擎确定包流与静态端口列表相匹配，则将安全策略指定的动作应用至包流。

本文描述的技术可以提供多个优点。例如，该技术可以允许安全装置在其中一些应用程序不再使用静态端口映射而是使用动态或随机端口分配以试图逃避检测和约束的环境中提供改进的防火墙和/或入侵检测和防御服务。

如另一实例，该技术可有助于消除误报和漏报。误报可以是将包流不正确地识别为是恶意的。漏报可以是没有识别出恶意的包流。该技术可以通过要求允许的通信不仅匹配特定的源(例如用户或用户角色)、目的地、和动态识别的应用程序，还通过将对于源和目的地的应用程序的使用限制在特定定义的第四层端口范围或端口集中，来减少或消除误报和漏报。

本发明的一个或多个实施例的细节将在下面的附图和说明中阐述。本发明的其他特征、目的和优点将从说明和附图以及权利要求中显而易见。

附图说明

图1是示出了示例性企业计算机网络的框图，其中安全装置应用根据本发明原理的访问控制策略。

图2是示出了进一步详细描述的安全装置的示例性实施例的框图。

图3是示出了图2中进一步详细描述的安全装置的规则引擎的示例性实施例的框图。

图4是示出了根据本发明原理的安全装置的示例性操作的流程图。

具体实施方式

图1是示出了示例性系统2的框图，其中企业计算机网络4包括安全装置10，其根据本发明原理控制对私有企业计算网络5的访问。在图1的示例性实施例中，安全装置10是单一的网络设备。网络4包括连接至诸如因特网的公共网络6的私有企业计算网络5。公共网络6可以包括(例如)一个或多个客户计算设备(未示出)。安全装置10可以包括防火墙组件以保护企业网络5，并且具体地，内部计算节点8A-8N。计算节点8A-8N(“计算节点8”)表示私有企业计算网络5中的任意私有计算设备，包括膝上型电脑、工作站、文件服务器、打印服务器、数据库服务器、打印机和其他设备。

安全装置10监控公共网络6和内部计算节点8之间的通信流。安全装置10可以应用管理员定义的安全策略以控制对私有企业计算网络5的访问，以及控制允许从计算节点8发送到公共网络6的通信。如本文中所描述的，本发明的技术允许安全装置10应用策略，该策略指定要应用到与包括源、目的地、应用程序类型、和端口集的准则相匹配的包流的动作。在一些情况中，安全装置10可以执行入侵检测和防御(IDP)和/或深度包检查(DPI)以检测并防止私有企业计算网络5上的网络攻击。

传统上，许多防火墙和入侵检测系统将应用程序与静态端口分配相关联并且使用这些静态端口分配来静态地定义与给定数据流相关联的协议和应用程序类型。然而，许多黑客或其他恶意个人利用采用了动态或随机端口分配而不与静态第四层端口分配一致的软件应用程序，以逃避检测和约束。附加地，恶意个人还使用公知端口执行其他恶意应用程序。这些技术使得防火墙和入侵检测系统难以仅基于静态端口分配而正确地识别协议和应用程序类型。

响应于这些逃避检测的尝试，不使用静态端口列表，一些改进的防火墙和入侵检测系统可以基于签名或模式匹配操作来动态地确定与给定数据流相关联的协议和应用程序。例如，可以应用规则表达或子串匹配来检测数据流中定义的模式。然而，即使使用了动态应用程序识别，恶意用户可以试图用一种类型的应用程序欺骗(即，假装的)而使用另一种类型的应用程序，以试图绕过安全装置。如一个实例中，恶意用户可以试图通过欺骗的HTTP请求包围安全装置而实际上使用对等协议。不用应用端口集的额外的匹配准则，如这里所描述的，与动态应用程序识别和可能的动态用户确定相联合，这种欺骗可不被安全装置检测。

如将详细描述的，本发明的技术允许安全装置应用包括静态第四层端口列表或端口排列的附加匹配准则的策略，即使安全装置首先动态地确定第七层(L7)应用程序类型(以及可选地网络用户)，而不关注任何静态端口限制。即，安全装置基于包流的包净荷中的应用层数据的检查来动态地识别与接收到的包流相关联的L7应用程序类型，而不是仅基于由包中头部指定的第四层端口来进行识别。

在一些实例中，策略可以包括允许的第四层端口列表，其中第四层端口指的是在包的传输层头部中找到的端口号，诸如包的TCP头部中的端口80。在另一实例中，策略可以包括特定端口，对于该特定端口不允许给定用户利用给定L7应用程序访问。如一个实例，这种策略可允许安全装置确定包流是绕过安全装置的尝试，并且安全装置可采取适当的动作，诸如丢弃与该包流相关联的其他包和/或向目标设备报警该攻击。如另一实例，这种策略可以允许安全装置防止企业网络5中的用户使用对等应用程序或其他不期望的应用程序而浪费网络资源。

如又一实例，这里描述的技术可允许将公知应用程序限制到非标准的第四层端口以用于管理员访问的服务。附加地，通过限制用户访问配置的端口列表，这里描述的技术防止黑客通过与策略相符的请求进行欺骗来访问植入在服务器上的木马。

在操作中，安全装置10识别所监控的通信中的包流。如上所述，安全装置10分析包流来识别包流的特征，包括动态地识别应用程序的类型。安全装置10还具有关于包流的源(例如用户名)和目的地的信息的知识。安全装置10将包流的特征和存储的策略进行比较以确定该特征是否与存储的策略的一组匹配准则相匹配。具体地，安全装置10的规则引擎配置为在动态识别第七层网络应用程序之后应用安全策略来确定包流是否与匹配准则指定的静态端口列表相匹配。如果找到匹配，则匹配策略指定的相应动作被应用到包流的包。例如，包可以被丢弃、允许、记录等。

在一些方面，定义的安全策略的源组件可以根据特定用户而被指定。这考虑了用户可以不被连接到单一的源IP地址的事实。然而，根据单独用户定义安全策略对于具有大量用户的大网络来说不是很好地成比例。对于改进的比例性的一个替换是根据企业网络中用户的角色来指定源组件。

此外，在一些方面，基于动态确定的网络应用程序的类型，安全装置10可以从包流的净荷透明地重组应用层通信，以检测由包流执行的网络攻击、病毒和其他恶意软件。安全装置10中的一组特定协议解码器可以分析应用层通信并识别应用层事务。大体上，“事务”指的是对等设备之间一系列限制的有关的应用层通信。例如，单一TCP连接可以被用来发送(接收)多个超文本传输协议(HTTP)请求(响应)。如一个实例，可以使用单一的TCP连接来到达包括多个图像和到HTML页的链接的单一网页。HTTP解码器将TCP连接中的每个请求/响应识别为不同的事务。这对防止特定攻击定义被应用到整个事务边界上是有用的。在一个实施例中，可以根据源和目的地因特网协议(IP)地址、协议、以及源和目的地端口号来识别事务。其他实施例可以以其他方式来识别事务，例如，通过使用介质访问控制(“MAC”)地址。

安全装置10可以使用从包头部获得的信息，诸如源网络地址(例如IP地址)来向域控制器12发送查询以获得与客户设备的用户相关联的相应的用户名。可选地，安全装置可以查询用户访问控制(UAC)设备或轻量级目录访问协议(LDAP)服务器。在一些情况中，由安全设备10存储的策略可以根据用户名或用户角色被写入。这里，安全装置10可以使用登陆信息来学习企业网络5中的用户角色。例如，可以关于安全检查(security clearance)或访问权限(例如管理员、第五级检查等)来定义用户角色。可选地，可以关于他或她在企业中的功能(诸如财政、市场、企业研究、最上层管理员、职员等)来定义用户角色。如另一个实施例，用户角色可以指出终点设备的安全情况，例如，设备对于安全修补是否已经更新、设备是否具有防病毒(AV)软件运行等。这些角色可以用来控制对网络资源的访问。

在一些实施例中，安全装置10的协议解码器分析应用层通信并提取特定协议元素。例如，对于FTP登陆事务，FTP解码器可以提取对应于用户名、目标设备名、客户设备名和其他信息的模式。

这些技术可以允许安全设备10在一些应用程序不再使用静态端口映射而是使用动态或随机的端口分配以试图逃避检测和约束的环境中提供改进的防火墙和/或入侵检测和防御服务。例如，即时通讯程序可以在一个端口上发起通信，但之后同意在一个不同的端口(有时称为“随机端口”)上通信。诸如对等程序的其他程序以及诸如Metasploit的黑客工具也可以动态确定端口。如所述，安全装置10可以包括存储的策略，该存储的策略不仅基于没有关于该确定的初始端口限制的动态识别的应用程序来允许或拒绝包流，还基于允许或拒绝关于特定端口的特定应用程序的附加的静态定义的端口集。在一些实施例中，可能地对于一个定义的时间段，安全装置10可以动态地创建允许许可的应用程序跳到端口列表中的一个不同的端口的新策略。

在一些实施例中，企业网络5可以包括位于企业网络5的不同区域(例如子网络)的多个安全装置。企业网络5可以包括操作为用于管理安全装置的中央设备的中央安全管理设备。虽然根据结合到执行防火墙功能或可选的入侵检测的独立安全装置10描述了图1中所示的实例，然而这里描述的功能也可以结合到其他设备中，诸如交换机19或路由器。

图1描绘的安全装置10的示例性实施例可以提供多个优点。例如，安全装置10可以减少或消除误报和漏报。误报可以是将包流不正确地识别为是恶意的。漏报是没有识别出恶意的包流。通过包括除了其中首先动态地进行确定而不限制特定端口的应用程序识别之外的端口列表的匹配准则，安全装置10通过将用于批准的应用程序(一旦确定)的允许的通信限制到特定的明确定义的端口，或选择性地在特定端口上阻止用于应用程序的通信，来帮助消除误报和漏报。

图2是示出了根据本发明原理通过将安全服务应用于接收到的包流来保护网络的示例性安全装置30的框图。安全装置30可以(例如)代表图1中的安全装置10。安全装置30通过将安全策略应用到由安全装置30所接收到的包流来控制对受保护网络的访问。安全装置30还可以控制从受保护网络到网络外部目的地的访问。例如，安全装置30可以控制哪种类型的应用程序可以允许被与受保护网络相关联的特定用户或用户角色用在特定端口上。该端口集可以由单一端口、多端口、或一个或多个端口排列构成。

安全装置30包括确定向哪里发送接收到的包以及相应地向哪里转发该包的控制单元32。在图2所示的示例性实施例中，安全装置30包括用于经由外向链路36A-36N(“外向链路36”)和内向链路38A-38N(“内向链路38”)来通信包的接口卡(IFC)34A-34N(总地，“IFC 34”)。通过高速交换机40和链路42来相互连接IFC34。在一个实例中，交换机40包括交换结构、开关设备、可配置网络交换机或集线器等。链路42包括任意形式的通信路径，诸如集成电路内的电路径、外部数据总线、光链路、网络连接、无线连接、或其他类型的通信路径。IFC 34经由一定数量的接口端(未示出)连接至外向链路36和内向链路38。

在示出的实例中，安全装置30包括转发面44，其透明地监控内向网络通信46并将该网络通信作为外向网络通信48进行转发。在由图2示出的实例中，转发面44包括流分析模块50、规则引擎52、协议解码器54、转发组件56。安全装置30的控制单元32包括管理模块58。管理模块58呈现一个用户接口，通过该用户接口管理员配置安全装置30，例如，通过修改策略60或配置数据62(CONFIG.DATA)。此外，管理模块58可以呈现一个用户接口，通过该用户接口管理员可以修改关于包流特征的假设，诸如用于监控的最高优先权包流、用于应用程序的端口绑定、或确定与包流相关联的协议和应用程序类型的其他特征。管理模块58可以将用户接口呈现为基于文本的命令行接口、基于网页浏览器的接口、或其他类型的用户接口。

系统管理员可以通过与管理模块58交互来配置安全装置30。由系统管理员输入的配置信息可以被存储到配置数据62。作为另一个实例，系统管理员可以配置策略60。策略60包括指定匹配准则和相应的动作的策略。根据本发明的技术，安全装置10支持允许管理员或软件代理(software agent)定义安全策略的命令句法，该安全策略指定一旦接收到匹配特定准则的包，则控制单元32应当在该包之上执行的特定动作，诸如允许、拒绝、丢弃、或记录该包。规则引擎52访问策略60以确定所接收到的网络通信是否与任意策略60相匹配。策略60和配置数据62可以保持为一个或多个表、数据库、链路列表、根树、数据库、平面文件、或任意其他数据结构的形式。

策略可以以多种方式来定义源和目的地。例如，目的地被定义为一个目的地因特网协议(IP)地址、一组目的地IP地址和定义一组输出接口的输出区域中的一个。类似地，源可以被定义为一个源IP地址、一组源IP地址、和定义一组输入接口的输入区域中的一个。在其他情况下，源可以被定义为一个特定的用户(例如通过用户名)、或定义为一个通用用户角色。

安全装置30可以(例如)提供一个基于文本的命令行接口，通过该接口系统管理员或软件实体提供与用来配置策略的命令句法相一致的配置数据，如下：

policy from-source to-destination{

match{

source<s>；

destination<d>；

application<app>；

port<p>；

}

then{

actions；

}

}

在上述实例句法中，关键字“policy”指出管理员正在定义将要被安全装置30应用的安全策略。关键字“from-source”指出随后的文本指定了定义的源，对于应用的策略必须从该定义的源接收通信。关键字“to-destination”指出随后的文本指定了定义的目的地，对于应用的策略通信必须被发往该定义的目的地。如上所示，策略包括允许管理员指定包流准则的关键字“match”，包流准则诸如源(例如，源网络地址)、目的地(例如，目的地网络地址)、端口(即，源端口和/或目的地端口)、应用程序或其他准则。此外，策略指定将应用到网络通信的一个或多个动作，该网络通信经由“from-source”被接收用于“to-destination”上的输出并且与策略中指定的任意包流准则匹配。之后安全装置30将策略中列举的动作应用到满足这些条件的网络通信。实例动作包括包过滤、包记录、入侵检测和防御、病毒扫描、网络地址转换(NAT)、基于策略的认证等。

如另一个实例，安全装置30可以提供一个基于文本的命令行接口，通过该接口系统管理员或软件代理提供与用于配置策略的命令句法相一致的配置数据，如下：

policy from-source to-destination{

match{

user-role<u>；

destination<d>；

application<app>；

port<p>；

}

then{

actions；

}

}

上述示出的策略句法与第一实例相似，除了“source”准则被“user-role”准则代替。因此，代替指定根据源网络地址的策略，策略可以根据用户角色来指定。

根据实例句法，管理员可以提供配置数据，如下：

policy from-Zone_Untrust to-Zone_Trust{

match{

user-role<administrator>；

destination<www.juniper.net>；

application<HTTP>；

port<tcp/80，tcp/8000>；

}

then{

allow；

}

}

不同于其中需要根据静态端口绑定或根据动态识别的应用程序来指定策略的传统的防火墙策略句法，管理模块58支持用于定义策略的改进的句法，该策略指定用于动态识别的应用程序和必须匹配的端口集。例如，在一些情况下，网络可以包括多个服务器，其中知道给定应用程序集将仅在特定端口上运行。这里描述的技术允许管理员将允许的应用程序请求限制于那些特定的端口，即使安全设备能够首先从包流动态地确定网络应用程序(例如HTTP)而不限制于应用程序和端口之间的静态映射。这提供了更具鲁棒性的防火墙策略。这里描述的句法允许用户享受访问改进的防火墙中的控制策略的动态应用程序识别方法的优点，同时还具有指定匹配端口集附加准则的灵活性，这可以弥补在仅基于动态应用程序识别的访问控制策略中找到的漏洞。

安全装置30接收来自公共网络6或IFC 34的一个内向链路38A上的一个节点8的网络通信。流分析模块50从交换机40接收作为向内通信46的网络通信并且识别通信中的包流。每个包流代表在网络通信中一个方向上的包流，并且通过至少一个源地址、目的地地址、和通信协议来识别。流分析模块50可以利用附加的信息来指定网络流，包括源介质访问控制(“MAC”)地址、目的地MAC地址、源端口、和目的地端口。其他实施例可以使用其他信息来识别网络流，诸如IP地址、VLAN标签、MPLS标签、或其他信息。

在一些情况中，流分析模块50可以基于包流的分析来确定与包流相关联的用户名。查询模块66可以利用在包流中的包头部中找到的IP地址向域控制器12(图1)发布一个查询68，以获得用户名、用户角色名、或与IP地址相关联的其他信息。查询模块66可以接收来自域控制器12的提供用户名、用户角色、或与IP地址相关联的其他信息的响应69。

大体上，规则引擎52检查内向通信以基于包流的特征动态地识别与每个包流相关联的网络应用程序的类型，诸如通过检查每个包的净荷的签名。以这种方式，应用程序识别是动态的在于，确定不是基于用于每种类型的应用程序的静态端口分配的，而是基于包内容的。在一些情况下，应用程序确定过程可以考虑指出或建议应用程序类型的通信会话的双向包流中的任意定时特性或可识别的握手。在一些方面，规则引擎52可以基于确定来进一步分析应用层通信的识别的应用程序类型来调用一个合适的协议解码器54。协议解码器54代表一个或多个指定协议的软件模块的集。每个协议解码器54对应于不同的通信协议或服务。可以由协议解码器54支持的通信协议的实例包括超文本传输协议(“HTTP”)、文件传输协议(“FTP”)、网络新闻传输协议(“NNTP”)、简单邮件传输协议(“SMTP”)、远程登录、域名系统(“DNS”)、Gopher、Finger、邮局协议(“POP”)、安全套接层(“SSL”)协议、轻量级目录访问协议(“LDAP”)、安全外壳(“SSH”)、服务消息块(“SMB”)以及其他协议。

协议解码器54分析重新组装的应用层通信并且输出指出应用层事务的事务数据。特别地，事务数据指出两对设备之间的一系列有关的应用层通信何时开始和结束。规则引擎52分析包流的重新组装的数据以识别与包流相关联的协议和应用程序类型。如果规则引擎52不能识别与包流相关联的协议和应用程序类型，则在一些实施例中规则引擎52可以使用公知的静态端口绑定作为默认的应用程序选择。

流分析模块50保持流表64中的数据，该流表描述了网络通信中出现的每个有效包流。流表64指定与每个有效包流相关联的网络元素，即，诸如与该包流相关联的源和目的地设备的网络地址、用户名、L7应用程序类型以及端口的信息。此外，流表64可以识别共同地形成客户机和服务器之间的单一通信会话的包流对。例如，流表64可以指出通信会话为相反方向上的包流对，用于流共享至少一些公共网络地址，以及包的传输层协议头部的第四层端口。

规则引擎52访问策略60以确定任意存储的策略是否与包流的包的传输层协议头部中的识别的源、目的地、应用程序类型以及第四层端口相匹配。如果找到匹配策略，则规则引擎52应用由匹配策略指定的相应的动作。实例动作可以包括允许、拒绝、丢弃、或记录包。如果没有找到匹配策略，则规则引擎52可以将默认动作应用到包流(例如允许或拒绝包流)。

在一些实施例中，安全装置30还可以执行深度包检查。例如，规则引擎52可以包括检查客户机到服务器包流和服务器到客户机包流两者的状态检查引擎以更加精确地识别应用程序类型和用于每个通信会话的下层协议。状态检查引擎可以应用攻击模式来识别网络攻击。关于这种状态检查引擎操作的进一步细节可以在2007年8月8日提交的标题为“Identifying Applications for IntrusionDetection Systems”的第11/835,923号申请中找到，其整体内容通过引证结合于此。这在(例如)恶意用户试图用一种类型的应用程序欺骗(即假装的)而使用另一种应用程序来试图绕过安全装置时是有帮助的。如一个实例，恶意用户可以试图通过欺骗的HTTP请求包围安全装置而实际上使用对等协议。安全装置30可以从服务器的响应确定原始的包流仅仅是试图绕过安全装置30并且可以采取适当的动作，诸如丢弃与该包流相关联的其它包和/或向目标设备报警该攻击。

图2中示出的安全装置30的构造仅用于示例性目的。本发明不限于这种构造。在其他实施例中，安全装置30可以以多种方式配置。在一个实施例中，例如，控制单元32的一些功能性可以被分布在IFC 34中。在另一个实施例中，控制单元32可以包括执行路由功能并保持路由信息库(RIB)(例如，路由信息)的路由引擎，以及基于根据RIB生成的转发信息库(FIB)(例如转发信息)执行包转发的转发引擎。此外，虽然关于安全装置30进行了描述，这里描述的转发技术可以被应用于其他类型的网络设备，诸如网关、交换机、服务器、工作站或其他网络设备。

控制单元32可以被仅实现为软件、或硬件、或可以被实现为软件、硬件或固件的组合。例如，控制单元32可以包括执行软件指令的一个或多个处理器。在该情况下，控制单元32的多种软件模块可以包括存储在诸如计算机存储器或硬盘的计算机可读存储介质上的可执行的指令。

图3是更详细地示出了规则引擎52的示例性实施例的方框图。在该示例性实施例中，规则引擎52包括重组模块70，应用程序识别模块71。此外，规则引擎52包括数据缓冲器75和策略比较模块72。重组模块70接收内向网络通信46并根据包流重新组装应用层通信。重组模块70向合适的协议解码器54转发重新组装的应用层通信用于处理。

应用程序识别模块71识别用于每个截取的通信会话的应用程序类型，诸如使用HTTP的SQL。当规则引擎52接收作为包流一部分的包时，重组模块70将该包缓存至数据缓冲器75。在一个实施例中，数据缓冲器75可以将数据存储为滑动窗口。即，数据缓冲器75可以存储数据直到变满或达到用于识别的特定要求的最大数据量。当为满时，数据缓冲器75丢弃特定数据来为存储的新数据开辟空间。在一个实施例中，数据缓冲器75可以根据先入先出(“FIFO”)型协议存储和丢弃数据，在该协议中当数据缓冲器75变满时最先被存储的数据是最先被丢弃的数据。在另一个实施例中，数据缓冲器75可以根据最近最少使用协议来丢弃数据，其中当数据缓冲器75为满时，最近最少使用的包流将被丢弃以为要存储的新数据开辟空间。

在一个实施例中，重组模块70可以根据5元组{源IP地址、目的IP地址、协议、源端口、目的端口}将包流中的包相关联并将多个流打包为通信会话。其他实施例可以使用相关联的包的其他形式。例如，在一个实施例中，安全装置30可以是利用虚拟局域网络(VLAN)的网络的一部分。因此，重组模块70可以根据VLAN标识符、源地址和目的地地址将包流中的包相关联。在任何情况下，重组模块70可以利用流表64(图2)中保持的信息来重新组装网络数据，例如，来形成重新组装的TCP数据。

应用程序识别模块71分析为包流重组的数据来识别与包流相关联的应用程序类型。如果应用程序识别模块71不能识别与包流相关联的应用程序类型，则应用程序识别模块71可以使用公知的静态端口绑定作为默认的应用程序选择。此外，管理员可以使用管理模块58配置静态端口映射。

在应用程序识别模块71不能识别包流的应用程序类型的情况下，应用程序识别模块71可以使用默认的静态端口映射来确定应用程序，使得安全装置30相应地进行响应。在一些情况下，应用程序识别模块71不能够识别应用程序并且静态端口映射不具有所请求的端口号的入口。多种实施例可以根据(例如)系统管理员的说明来处置该情况。例如，在一个实施例中，由于未知应用程序可指出包流没有指向已知会引起安全威胁的任何类型的应用程序，则安全装置30简单地转发具有不能被静态端口映射确定的未确定的应用程序类型的该包流。在其他实施例中，安全装置30可自动地丢弃具有不能被静态端口映射确定的未知应用程序类型的包流。

应用程序识别模块71可以包括相似应用程序类型的等级顺序列表。应用程序识别模块71可以将该列表作为树结构存储在计算机可读介质中。安全管理模块44可以向管理员提供用户接口来修改列表的内容和等级。一旦接收到属于多个相似应用程序之一的包流，应用程序识别模块71可以通过选择被指为与包流相应的列表中最高等级应用程序的应用程序类型来预先最好地猜测应用程序。由于应用程序识别模块71接收关于包流的更多信息，应用程序识别模块71可以相应地改变原始的确定。在确定应用程序之后，应用程序识别模块71可以高速缓存随后比较的确定。

如上所述，流分析模块50(图2)(诸如)基于包头部识别与包流相关联的源(具体地，用户或用户角色)、目的地、和端口。流分析模块50可以将该信息提供给规则引擎52，其可以高速缓存用于随后比较的该信息。规则引擎52的策略比较模块72将识别的包流的特征，例如用户或用户角色、目的地、应用程序类型和端口，与策略60进行比较。策略比较模块72可以使用多种方法用于执行该比较。例如，策略60可以使用散列执行作为参考。如另一个实例，策略60可以被保持为特里数据结构，其中策略比较模块72查询第一特征，并且之后基于第一特征指向特里数据结构的给定部分，之后策略比较模块72查询第二特征，等等。例如，策略比较模块72可以首先查询包流的用户角色特征，并且之后指向特里数据结构中指定用户角色的子集。策略比较模块72之后可查询指出用户角色的特里分支中的包流的应用程序类型，并且之后指向指出该应用程序类型的数据结构的另一个子集。仅为该用户角色和该应用程序类型指定某些端口。例如，使用HTTP的“第五级访问”的用户角色可以仅在端口80或8000上被允许。

一旦策略比较模块72在策略60中找到匹配策略，则规则引擎52将如匹配策略所指定的将对应的动作应用到包流上。实例动作包括允许、丢弃、和/或记录包流的包。如果没有找到匹配策略，则规则引擎52可以将默认动作应用到包流上(例如允许或拒绝包流)。

在一些实施例中，规则引擎52可以记录关于触发策略60匹配的包流的特定信息。例如，策略比较模块72可以维持记录数据73。记录数据73可以记录匹配包流是否被允许或拒绝、被允许或拒绝的用户的识别、包流使用的哪种应用程序、包流使用的哪个端口、时间戳、以及其他信息。该信息在创建进一步的安全策略中是有用的。在一些实施例中，规则引擎52可以动态地更新策略60以基于由安全装置30检测的包流“快速地”安装新的策略。

图4是示出了根据本发明原理的安全装置的示例性操作的流程图。对于示例性目的，参照安全装置30(图2)来描述图4。初始地，管理模块58从管理员接收配置信息，并且作为响应，配置安全装置30以监控感兴趣的网络或网络部分(例如子网络)(76)。在该处理期间，管理模块58可以呈现一个用户接口，管理员通过该接口可以指定安全策略或其他信息。根据本发明的技术，管理模块58支持允许管理员或软件代理根据由源(例如用户或用户角色)、目的地、应用程序、和端口集构成的匹配准则来指定安全策略的命令句法。

一旦被配置，安全装置30监控网络通信46(77)。在一些配置中，转发面44的规则引擎52可以接收网络通信并为分析目的而反映网络通信。转发组件56无缝地转发原始的网络通信。在其他实施例中，通信不被反映，而是使用线路速率缓冲方法来在转发之前实时分析该通信。

流分析模块50分析网络通信以识别包流并更新流表64以描述网络通信中出现的每一个有效流。例如，流分析模块50基于包流中的包头部来识别与包流相关联的目的地网络地址，诸如目的地IP地址(78)。流分析模块50还识别与包流相关联的源(80)。例如，流分析模块50可以从包流的包头部提取源网络地址(例如源IP地址)，并且可以利用源IP地址调用查询模块66来向域控制器、UAC、或LDAP服务器发布查询以获得与包流的源有关的用户名、用户角色、或其他信息。流分析模块50还在包中的传输层协议头部中识别第四层端口，诸如包的TCP头部中的端口80(82)。

规则引擎52在数据缓冲器75中缓存每个流的包，并且将包流中包的净荷重新组装为第七层应用层数据(80)。规则引擎52可以在进行应用程序识别之前等待直到从净荷重新组装了充足且最小量的应用层数据。由于包可以无序地到达，因此重组模块70可以在执行应用层数据分析之前等待直到到达了确定包流开始的足够的数据。

在识别了包流的开始之后，应用程序识别模块71分析从包净荷重新组装的应用层数据以动态地确定传输的包流的第七层应用程序类型，诸如Skype、超文本传输协议(“HTTP”)、文件传输协议(“FTP”)、网络新闻传输协议(“NNTP”)、简单邮件传输协议(“SMTP”)、远程登录、域名系统(“DNS”)、Gopher、Finger、邮局协议(“POP”)、安全套接层(“SSL”)协议、轻量级目录访问协议(“LDAP”)、安全外壳(“SSH”)、服务消息块(“SMB”)、以及其他第七层应用程序(84)。该确定可以基于签名或从净荷中的字节计算的特征(profile)、相对于在包流的每个包中接收到的数据量的接收到的包流的模式、以及每个包的定时、或其他特征。

在一些方面，当应用程序识别模块71不能识别定义的确信度之内的应用程序类型时，应用程序识别模块71可以使用静态端口绑定列表来选择默认的应用程序类型。在一些配置中，当应用到包流的初始模式没有显示足够的细节以选择第七层应用程序类型时，应用程序识别模块71可以使用函数指针来帮助识别应用程序。即，应用程序识别模块71可以维持一组附加的函数(即软件程序)来检查特定字段并在包含其中的数据上执行特定的功能以识别应用程序类型。函数指针还可以在由包流携带的净荷的一个或多个字段上执行操作以产生网络攻击的指示。

在一些实施例中，应用程序识别模块71可以利用预定的函数指针调用一个或多个函数以在确定通信会话的协议和应用程序类型时提供更深水平的分析。应用程序识别模块71也可以在一些情况下调用适当的协议解码器54以基于应用程序和协议确定来进一步分析应用层通信(即深度包检查)。

流分析模块50更新流表64以反应识别的包流特性(88)，包括确定的源、目的地、第七层应用程序、协议、以及端口。规则引擎52访问策略60以基于识别的特征确定包流是否与任意存储的策略60相匹配(90)。具体地，在基于包流的包净荷中的应用层数据的检查动态地识别与接收到的包流相关联的第七层网络应用程序的类型之后，规则引擎52应用策略60来确定包流是否与由匹配准则指定的静态端口列表相匹配。如果包流与策略60中的一个相匹配(91)(即，匹配由策略60的匹配准则指定的静态端口列表中的一个)，规则引擎根据匹配策略执行适当的动作(92)。如果包流没有与任意策略60相匹配，则规则引擎可以将默认动作应用到不匹配的包流(94)，诸如拒绝包流或允许包流通过转发组件56作外为向网络通信48被转发。

已经描述了本发明的多种实施例。这些和其他实施例在权利要求的范围之内。

Claims (14)

1.一种网络安全装置，包括：

接口，配置为接收包流；

控制单元，配置为支持安全策略的定义以控制所述包流对网络的访问，其中所述安全策略指定：

(a)包括第七层网络应用程序的匹配准则，和用于传输层协议的一个或多个第四层端口的静态端口列表，以及

(b)应用至与所述匹配准则相匹配的包流的动作，规则引擎，配置为基于所述包流的包净荷中的应用层数据的检查来动态地识别与所接收到的包流相关联的第七层网络应用程序的类型，而不是仅基于由所述包中头部指定的第四层端口来进行所述识别，其中所述规则引擎配置为在所述第七层网络应用程序的所述动态识别之后，应用所述安全策略来确定所述包流是否与由所述匹配准则指定的所述静态端口列表相匹配，

其中，一旦所述规则引擎确定了所述包流与所述静态端口列表相匹配，则所述控制单元将由所述安全策略指定的所述动作应用至所述包流。

2.根据权利要求1所述的网络安全装置，

其中，所述规则引擎配置为执行深度包检查和基于签名的应用程序识别来动态地识别第七层网络应用程序的类型，以及

其中，所述规则引擎配置为使用由所述包中头部所指定的所述第四层端口来动态地识别第七层网络应用程序的类型以选择要应用于所述基于签名的应用程序识别的一组模式。

3.根据权利要求1所述的网络安全装置，还包括：流分析模块，配置为分析所述包流中包的包头部，以识别与所述包流相关联的用于传输层协议的所述第四层端口；以及

流表，由所述流分析模块和所述规则引擎更新，以存储由所述规则引擎所识别的第七层网络应用程序，以及与所述包流相关联的第四层端口。

4.根据权利要求1所述的网络安全装置，

其中，所述匹配准则还包括网络源，

还包括查询模块，通过利用与所述包流相关联的源因特网协议(IP)地址查询域控制器来识别与所接收到的包流相关联的网络源，以获得与所述源IP地址相关联的用户名或用户角色中的一个。

5.根据权利要求1所述的网络安全装置，其中所述安全策略的匹配准则还包括网络目的地，其中所述网络目的地被定义为下列各项之一：目的地因特网协议(IP)地址、一组目的地IP地址、以及定义一组输出接口的输出区域。

6.根据权利要求1所述的网络安全装置，其中所述匹配准则还包括网络源，其中所述包流的所述网络源由所述安全策略根据用户、用户角色、源IP地址、一组源IP地址、以及定义一组输入接口的输入区域之一定义。

7.根据权利要求1所述的网络安全装置，其中用于所述传输层协议的一个或多个第四层端口由所述安全策略定义为一个第四层端口的排列。

8.根据权利要求1所述的网络安全装置，其中所述规则引擎动态地定义一个新的安全策略，所述新的安全策略允许匹配的包流在一个定义的时间段上在不同的第四层端口上对网络进行访问，所述第四层端口由所述安全策略的指定匹配准则所指定。

9.根据权利要求1所述的网络安全装置，其中，要应用的由所述安全策略指定的所述动作包括记录下列各项中的一个或多个：匹配包流是否被允许或拒绝、被允许或拒绝的所述用户的识别、所述包流使用哪种应用程序、所述包流使用哪个端口、以及指出匹配包流被检测时的时间戳。

10.一种利用网络安全装置控制对网络的访问的方法，包括：

利用所述网络安全装置的用户接口接收配置信息，其中所述配置信息指定由下列各项定义的安全策略：

(a)包括第七层网络应用程序的匹配准则，和用于传输层协议的一个或多个第四层端口的静态端口列表，以及

(b)应用至与所述匹配准则相匹配的包流的动作；

利用所述网络安全装置的接口接收包流；

利用所述网络安全装置的规则引擎，基于所述包流的包净荷中的应用层数据的检查来动态地识别与所接收到的包流相关联的第七层网络应用程序的类型，而不是仅基于在由所述包中头部指定的第四层端口来进行所述识别；

利用所述规则引擎，在所述第七层网络应用程序的所述动态识别之后，应用所述安全策略以确定所述包流是否与由所述匹配准则指定的所述静态端口列表相匹配；以及

一旦所述规则引擎确定了所述包流与所述静态端口列表相匹配，则将由所述安全策略指定的所述动作应用至所述包流。

11.根据权利要求10所述的方法，其中，基于应用层数据的检查动态地识别与所接收到的包流相关联的第七层网络应用程序的类型包括执行深度包检查和基于签名的应用程序识别以动态地识别第七层网络应用程序的类型，还包括：

利用流分析模块分析所述包流中包的包头部以识别与所述包流相关联的用于传输层协议的所述第四层端口；以及

更新利用所述流分析模块和所述规则引擎更新的流表，以存储与所述包流相关联的所识别的第七层网络应用程序和第四层端口。

12.根据权利要求10所述的方法，其中，所述安全策略的匹配准则还包括网络目的地，其中所述网络目的地被定义为下列各项之一：目的地因特网协议(IP)地址、一组目的地IP地址、以及定义一组输出接口的输出区域。

13.根据权利要求10所述的方法，其中所述匹配准则还包括网络源，其中所述包流的所述网络源由所述安全策略根据用户、用户角色之一定义，还包括：

通过利用与所述包流相关联的源因特网协议(IP)地址查询域控制器来识别与所接收到的包流相关联的所述网络源，以获得与所述源IP地址相关联的用户名或用户角色之一。

14.根据权利要求10所述的方法，还包括利用所述规则引擎动态地定义一个新的安全策略，所述新的安全策略允许匹配的包流在一个定义的时间段上在不同的第四层端口上对网络进行访问，所述第四层端口由所述安全策略的指定匹配准则所指定。

Images