[发明专利]用于网络安全性的装置和方法

说明书

各种示例实施例通常涉及基于对通信网络中的攻击的检测和缓解为通信网络提供安全性。支持攻击检测和缓解的各种示例实施例可以被配置为基于在网络元件处的网络流量信息的分布式收集，以及在网络控制器处的对聚合的网络流量信息用以确定是否检测到指示对通信网络的攻击的流量异常的分析，来支持对通信网络中的攻击的检测和缓解。支持攻击检测和缓解的各种示例实施例可以被配置为基于用来支持网络流量信息的收集、聚合和分析的流量记录的使用，来支持对通信网络中的攻击的检测和缓解。

技术领域

各种示例实施例大致涉及通信网络，并且更具体但非排他地涉及通信网络的网络安全性。

背景技术

通信网络可能受到来自恶意实体的各种类型的攻击。

发明内容

各个示例实施例大致涉及为通信网络提供安全性。

在至少一些示例实施例中，提供了一种装置。该装置包括至少一个处理器。该装置包括至少一个包括计算机程序代码的存储器。所述至少一个存储器和所述计算机程序代码被配置成与所述至少一个处理器一起，致使所述装置至少在通信网络的边缘设备处针对请求分组和响应分组监视流量，生成第一流量记录和第二流量记录，所述第一流量记录指示针对各个数据流经由所述边缘设备离开所述通信网络的请求分组的各个测量，所述第二流量记录指示针对各个数据流经由所述边缘设备进入所述通信网络的响应分组的各个测量；以及从所述边缘设备向所述控制器发送所述第一流量记录和所述第二流量记录。在至少一些实施例中，在边缘设备处使用流级别监视来监视所述流量。在至少一些实施例中，所述第一流量记录包括第一可逆草图，所述第二流量记录包括第二可逆草图。在至少一些实施例中，基于目的地地址信息来对所述第一流量记录取关键字，并且基于源地址信息来对所述第二流量记录取关键字。在至少一些实施例中，针对所述各个数据流由所述边缘设备发送的请求分组的各个测量以及针对所述各个数据流由所述边缘设备接收的响应分组的各个测量包括流大小信息。在至少一些实施例中，所述至少一个存储器和所述计算机程序代码被配置为与所述至少一个处理器一起致使所述装置至少从所述控制器接收用以控制被识别为具有与其相关联的流量异常的数据流之一的流量的指令，以及控制被识别为具有与其相关联的流量异常的数据流之一的所述流量。在至少一些实施例中，所述至少一个存储器和所述计算机程序代码被配置为与所述至少一个处理器一起致使所述装置至少从所述控制器接收停止控制被识别为具有与其相关联的流量异常的数据流之一的流量的指令，以及停止控制被识别为具有与之关联的流量异常的数据流之一的所述流量。在至少一些实施例中，所述边缘设备是所述通信网络的边缘路由器。

在至少一些示例实施例中，提供了一种方法。该方法包括：在通信网络的边缘设备处针对请求分组和响应分组监视流量，生成第一流量记录和第二流量记录，所述第一流量记录指示针对各个数据流经由所述边缘设备离开所述通信网络的请求分组的各个测量，所述第二流量记录指示针对各个数据流经由所述边缘设备进入所述通信网络的响应分组的各个测量。该方法包括从所述边缘设备向控制器发送所述第一流量记录和所述第二流量记录。在至少一些实施例中，在边缘设备处使用流级别监视来监视所述流量。在至少一些实施例中，所述第一流量记录包括第一可逆草图，所述第二流量记录包括第二可逆草图。在至少一些实施例中，基于目的地地址信息来对所述第一流量记录取关键字，并且基于源地址信息来对所述第二流量记录取关键字。在至少一些实施例中，针对所述各个数据流由所述边缘设备发送的请求分组的各个测量以及针对所述各个数据流由所述边缘设备接收的响应分组的各个测量包括流大小信息。在至少一些实施例中，所述方法包括从所述控制器接收用以控制被识别为具有与其相关联的流量异常的数据流之一的流量的指令，以及控制被识别为具有与其相关联的流量异常的数据流之一的所述流量。在至少一些实施例中，所述方法包括从所述控制器接收停止控制被识别为具有与其相关联的流量异常的数据流之一的流量的指令，以及停止控制被识别为具有与之关联的流量异常的数据流之一的所述流量。在至少一些实施例中，所述边缘设备是所述通信网络的边缘路由器。