[发明专利]基于SDP组件的网络系统及终端设备安全防护方法

说明书

本发明属于网络安全技术领域，特别涉及一种基于SDP组件的网络系统及终端设备安全防护方法，在由应用平面、控制平面和数据平面构成的三层平面架构下，利用SDP组件为数据平面的接入终端设备进行安全管控；在数据平面中的SR网络域外节点、SR网络域入口路由器及网络服务资源间，部署基于信任阈值进行恶意终端检测的多级应用网关；该多级应用网关至少包含：用于对接入SR网络域内终端设备进行入网通信级身份验证的一级应用网关，及用于对接入SR网络域内终端设备进行资源访问级身份验证的二级应用网关，其中，一级应用网关信任阈值低于二级应用网关信任阈值。本发明通过引入SDP组件为接入SR数据平面的终端设备提供安全部署方案，部署灵活，便于实际场景应用。

技术领域

本发明属于网络安全技术领域，特别涉及一种基于SDP组件的网络系统及面向新型网络的终端设备安全防护方法。

背景技术

在分段路由为未来网络带来敏捷性的同时，也为网络带来因引入新组件、新协议而产生的控制器单点失效、SR节点服务失效等新隐患。但目前学术界对SR安全技术鲜有研究；产业界为确保其安全性主要基于防火墙、VPN等硬件边界式安全组件，缺少体系化安全解决方案，又缺乏部署灵活性，难以面向移动互联、云计算、边缘计算、IaaS等新型应用场景为网络提供安全防护。软件定义边界（Software Defined Perimeter, SDP）是一种新型通用网络防御方案，其本质是一种利用SDP控制器、连接发起主机、连接接受主机等软件定义组件，在访问主客体间构建安全边界的访问控制架构，可实现服务及端口隐藏。将SDP安全架构与SR网络架构结合，有望实现安全和功能的良性耦合。

发明内容

本发明提供一种基于SDP组件的网络系统及面向新型网络的终端设备安全防护方法，通过引入软件定义边界（Software Defined Perimeter）SDP组件为接入分段路由（SegmentRouting）SR数据平面的终端设备提供安全部署方案，可面向移动互联、云计算、边缘计算、IaaS等新型应用场景网络提供安全防护，便于实际场景应用。

按照本发明所提供的设计方案，提供一种基于SDP组件的网络系统，在应用平面、控制平面和数据平面的三层平面架构下，利用SDP组件为数据平面的接入终端设备进行安全管控，在数据平面中的SR网络域外节点、SR网络域入口路由器及网络服务资源间，部署基于信任阈值进行恶意终端检测的多级应用网关，该多级应用网关至少包含：用于对接入SR网络域内终端设备进行入网通信级身份验证的一级应用网关，及用于对接入SR网络域内终端设备进行资源访问级身份验证的二级应用网关，其中，一级应用网关信任阈值低于二级应用网关信任阈值。

本发明基于SDP组件的网络系统中，进一步地，应用平面中同时集成有SDP应用和SR应用；控制平面中部署有SDP控制器及用于控制SR路由器的控制模块，该控制模块为SR网络控制器或SR路径计算单元，SDP控制器及控制模块组件之间建立mTLS连接；数据平面中，将公开网络中的用户和/或主机绑定为网络代理，并利用映射函数将该网络代理映射为连接发起主机，利用SDP控制器并结合多级应用网关对连接发起主机进行恶意终端威胁管控。

本发明基于SDP组件的网络系统中，进一步地，控制平面中各节点通过运行标签管理器来确保SR网络中SR组件与非SR组件之间的通信，其中，SR组件至少包含：SR路径计算单元、SR网络控制器及SR路由器，非SR组件至少包含：连接发起主机和连接接受主机。

进一步地，基于上述的网络架构，本发明还提供一种面向新型网络的终端设备安全防护方法，将SR域入口节点和SR域内服务资源处设置的层级式应用网关作为连接接受主机，利用层级式连接接受主机对SR网络中接入域内的终端设备进行梯度式访问控制。