[发明专利]一种基于SDN技术实现网络边界访问控制的方法及系统

说明书

本发明提供了一种基于SDN技术实现网络边界访问控制的方法，该方法包括：基于五元组对SDN控制器设置批量静态策略对流经边界网络域的网络包进行控制；或，对SDN交换机设置策略，将流经边界的特定网络流镜像或串流到SDN控制器中，SDN控制器对流经边界网络域的网络包进行控制。还包括一种基于SDN技术实现网络边界访问控制的系统。本发明能够对跨网络边界的访问进行灵活、精细化控制，同时本发明能够方便的对接身份系统、策略系统等其他安全模块，实现对跨网络边界访问行为的动态管理，对异常访问行为能做出实时的响应。实现访问事前、事中和事后的控制和审计。

技术领域

本发明涉及网络安全技术领域，具体地说是一种基于SDN技术实现网络边界访问控制的方法及系统。

背景技术

近年来随着移动办公、大数据、私有云等技术的兴起和蓬勃发展，企事业单位内部网络面临着越来越复杂的安全问题。如何在便利单位内信息资源合理利用的前提下又能有效防范来自内部网络的攻击、保护单位内的敏感数据不被非法访问成为各单位管理者格外重视的问题。

传统的网络边界访问控制系统一般由采用网络防火墙技术或者API访问代理技术来实现。而这两种技术都有各自的缺陷。网络防火墙技术不能防范内部恶意用户、不通过防火墙的连接、病毒等。API访问代理技术仅能对应用层协议的访问进行管控无法有效的管控更低层协议栈的网络数据访问。

发明内容

本发明的目的在于提供一种基于SDN技术实现网络边界访问控制的方法及系统，用于解决现有技术上述存在的问题。

本发明解决其技术问题所采取的技术方案是：

本发明第一方面提供了一种基于SDN技术实现网络边界访问控制的方法，该方法包括：

基于五元组对SDN控制器设置批量静态策略对流经边界网络域的网络包进行控制；或，

对SDN交换机设置策略，将流经边界的特定网络流镜像或串流到SDN控制器中，SDN控制器对流经边界网络域的网络包进行控制。

结合第一方面，在第一方面第一种可能的实现方式中，所述的基于五元组对SDN控制器设置批量静态策略具体包括：

通过Openflow协议控制SDN交换机，对流经SDN交换机的每个IP包进行检查；

根据源IP，源端口，目的IP，目的端口和传输层协议特征对IP包进行处理。

结合第一方面，在第一方面第二种可能的实现方式中，对IP包进行处理包括：

对IP包丢弃、指定IP包流向的目的交换机接口、对IP包计数统计、把IP包镜像到SDN控制器、把IP包转发到SDN控制器。

结合第一方面，在第一方面第三种可能的实现方式中，当将流经边界的特定网络流镜像到SDN控制器时，SDN控制器通过DPI功能还原应用层协议数据，还原出流经边界的特定网络流的原始内容，对流经边界的特定网络流的数据交换进行审计，根据审计内容，下发至指定的网络策略，对该特定网络流进行控制；

当将流经边界的特定网络流串流到SDN控制器时，SDN控制器通过DPI功能还原应用层协议数据，根据预设的指定特征对应用层协议数据进行匹配，实现对边界网络包的实时控制。

结合第一方面，在第一方面第四种可能的实现方式中，所述根据预设的指定特征对应用层协议数据进行匹配还可以替换为利用人工智能分析模块通过对接外部的身份系统、策略系统对流程的数据包内容在多个维度进行智能判断。

结合第一方面，在第一方面第五种可能的实现方式中，所述的多个维度包括但不限于网络层特征、用户层特征。