[发明专利]通过利用良性联网协议来防止IP网络中的恶意信息通信的方法和保护装置

说明书

本公开的系统和方法能够实现入侵辐射保护(IRP)，以防止安全网络中的恶意IP流量。IRP系统能够接收IP分组、确定IP分组的协议与多个预定策略中的预定策略匹配、基于该预定策略和IP分组的尺寸对IP分组进行分类、响应于分类而检查IP分组的有效载荷以确定IP分组的特征、基于分类确定IP分组的特征中的一个不正确，并且基于该确定将IP分组标记为可疑。IRP系统能够记录和/或丢弃标记的IP分组。IRP系统能够附加地用第二有效载荷替换IP分组的有效载荷，并且将具有第二有效载荷的IP分组发送到其目的地。

相关申请

本申请要求于2016年1月8日提交的标题为“入侵辐射保护系统和方法(Systemsand Methods for Intrusion Radiation Protection)”的美国临时专利申请No.62/276,716的优先权和权益，其全部内容通过引用结合于此。

技术领域

本公开大体上涉及用于保护受保护(secured)网络的系统和方法。特别地，本公开涉及用于识别和控制受保护网络的所有点处的入口和出口流量的入侵辐射保护。

背景技术

访问和使用诸如域名系统(DNS)、互联网控制消息协议(ICMP)、网络时间协议(NTP)和简单网络时间协议(SNTP)之类的协议对于适当的网络操作是必需的。传统上这种流量被认为对于恶意互联网活动是“安全”的，并且因此被允许自由流入和流出受保护网络。但是，最近不良行动者(actor)已经采用这些协议通过安全网络防火墙来隧穿(tunnel)信息。因此，防止恶意数据漏出(Exfiltration)需要监视这些协议中的流量，特别是在外出流量中。

发明内容

本公开提供了用于检测和防止数据漏出同时仍允许访问重要的协议和服务的多个系统和方法。在本公开的第一方面，系统可以使用深度分组检查来分析DNS、ICMP、NTP和SNTP消息背后的任何隧穿尝试。例如，DNS请求可以携带附加数据。系统可以检查DNS请求，以确定它是否来自正确的源、去往正确的目的地，并且被正确格式化。此外，系统可以向已知且可信的DNS服务器发送并行查询并核实结果。在另一示例中，ICMP错误消息也可以携带附加数据。但是，只有报头的前20个字节是重要的，因此系统可以阻止、移除或替换附加数据。在系统替换有效载荷的情况下，系统可以检查接收方是否正确地响应。在所有情况下，系统可以建立统计模型来估计特定消息是否可能是恶意的，并相应地对其进行过滤。系统可以过滤请求和响应两者。系统可以包括以下部件：(1)分组分类器单元，用于分类属于不同数据服务和数据流的分组，(2)上下文构建器单元，构建流和服务上下文以处理上下文范例内分类的流量，以及(3)分组处理机单元，可以对由分类器分类并且在分组内容的上下文内的分组执行预定义的动作。这些动作可以包括允许分组、忽略或丢弃分组、记录或保存分组，以及选择性地修改分组。

在本公开的第二方面，系统可以分析IP分组，以确定IP有效载荷的有效性并且用或者用户定义或者算法确定的数据替换全部或部分有效载荷。系统可以采用可伸缩框架，以包括和构建基于封装在IP分组内的较高层协议的算法树。系统还可以验证对修改的分组的响应。

附图说明

通过参考结合附图进行的详细描述，本公开的各种目的、方面、特征和优点将变得更加清楚和更好理解，其中相同的附图标记始终识别对应的元件。在附图中，相同的附图标记一般指示相同的、功能上相似的和/或结构上相似的元件。

图1是根据一个实现的入侵辐射保护的图示；

图2是用于入侵辐射保护的设备的示例实现的框图；

图3是根据一个实现的入侵辐射保护方法的流程图；

图4A是根据一个实现的入侵辐射保护方法的流程图；

图4B是根据一个实现的入侵辐射保护方法的流程图；

图5A是描绘包括与一个或多个设备或站通信的一个或多个设备的网络环境的实施例的框图；以及