[发明专利]用于SDP控制器的访问方法及装置、计算机可存储介质

说明书

本公开涉及用于SDP控制器的访问方法及装置、计算机可存储介质，涉及网络技术领域。用于SDP控制器的访问方法包括：对第一SDP控制器进行风险评估，得到风险评估结果；在所述风险评估结果满足预设风险条件的情况下，生成第二SDP控制器的访问信息和所述第二SDP控制器；控制访问所述第一SDP控制器的目标SDP客户端根据所述第二SDP控制器的访问信息，向所述第二SDP控制器发送访问请求消息。根据本公开，可以精准及时地控制SDP客户端对SDP控制器的访问，从而提高软硬件资源的利用率和SDP架构的安全性。

技术领域

本公开涉及网络技术领域，特别涉及用于SDP控制器的访问方法及装置、计算机可存储介质。

背景技术

SDP(Software Defined Perimeter，软件定义边界)是由云安全联盟(CloudSecurity Alliance，CSA)开发的一种安全框架。SDP作为零信任概念的扩展，可以抑制威胁并减少攻击面，防止基于网络及利用应用程序漏洞的攻击。

SDP的主要组件通常包括SDP客户端、服务端和包含了SDP控制器的SDP管控平台，SDP客户端和服务端之间的连接都是通过SDP控制器与安全控制信道的交互来管控的。

SDP控制器和SDP架构下的服务器默认情况下利用单包授权(Single PacketAuthorization，SPA)技术工作于网络隐身模式，即为其提供防护的防火墙配置的默认防护策略为“缺省丢弃”，在监听到发往特定端口的SPA数据包并通过认证的情况下，才会面向可信的SDP客户端开放访问通道，完成后续的通信。

SDP控制器作为SDP系统的核心设备，配置信息相对固化。随着SDP控制器的在线时间越来越长，以及SDP客户端在复杂的网络环境下使用，SDP控制器将面临大量的监听、网络扫描等信息收集行为，SDP控制器的IP地址、认证端口、负载情况等信息会逐渐被收集从而暴露出来，进而导致SDP控制器的可信度下降，影响SDP架构的安全。

相关技术中，采用固定周期对为各个SDP客户端服务的SDP控制器进行设备轮换，但保持SDP客户端用于访问SDP控制器的访问配置信息不变。

发明内容

发明人认为：相关技术中，SDP控制器的应用场景复杂且不固定，存在多种不确定因素，采用固定周期进行设备轮换无法精准及时地控制SDP客户端对SDP控制器的访问，固定周期过长会降低SDP架构的安全性，固定周期过短会导致软硬件资源浪费。

针对上述技术问题，本公开提出了一种解决方案，可以精准及时地控制SDP客户端对SDP控制器的访问，从而提高软硬件资源的利用率和SDP架构的安全性。

根据本公开的第一方面，提供了一种用于软件定义边界SDP控制器的访问方法，包括：对第一SDP控制器进行风险评估，得到风险评估结果；在所述风险评估结果满足预设风险条件的情况下，生成第二SDP控制器的访问信息和所述第二SDP控制器；控制访问所述第一SDP控制器的目标SDP客户端根据所述第二SDP控制器的访问信息，向所述第二SDP控制器发送访问请求消息。

在一些实施例中，生成所述第二SDP控制器包括：在生成所述访问信息后，监测包括所述目标SDP客户端的多个SDP客户端是否满足预设发送条件，所述目标SDP客户端满足预设发送条件；对于满足所述预设发送条件的一个或多个SDP客户端，发送所述访问信息到所述一个或多个SDP客户端，直到所述一个或多个SDP客户端的数量与所述多个SDP客户端的总数量的比值大于或等于比值阈值；在所述比值大于或等于所述比值阈值的情况下，生成所述第二SDP控制器。

在一些实施例中，所述预设发送条件包括在线状态信息为在线。