用于通信网络的防入侵方法和系统.pdf

本发明公开了一种用于包括多个网元的通信网络的防入侵方法。该方法包括以下步骤：a)提供与通信网络协作的被动监视组件、决策组件和动作组件；b)在被动监视组件处，检测表明对至少一个网元的攻击的管理信息，处理该管理信息从而生成感染数据，并且将该感染数据发送到决策组件；c)在决策组件处，接收感染数据，做出与为了阻止攻击而将进行的动作有关的决策，并且将该决策发送到动作组件；并且d)在动作组件处，基于决策来指示该至少一个网元执行动作。

1.  一种用于通信网络(CN)的防入侵方法，所述通信网络(CN)包括多个网元(NE1，NE2，NE3′，NE4；NE1′，NE2′，NE3′，NE4′；NE1，NE2″，NE3″，NE4；NE1，NE2″，NE3″，NE4″)，所述方法包括以下步骤：
a)提供与所述通信网络(CN)协作的被动监视组件(PMC)、决策组件(DMC)和动作组件(AMC)；
b)在所述被动监视组件(PMC)处，检测表明对所述多个网元中的至少一个网元(NE4)的攻击的管理信息，处理所述管理信息从而生成感染数据，并且将所述感染数据发送到所述决策组件(DMC)；
c)在所述决策组件(DMC)处，接收所述感染数据，做出与为了阻止所述攻击而将进行的动作有关的决策，并且将所述决策发送到所述动作组件(AMC)；以及
d)在所述动作组件(AMC)处，基于所述决策来指示所述至少一个网元(NE4)执行所述动作，
所述方法的特征在于所述步骤a)包括在所述多个网元中的每个网元处提供所述被动监视组件(PMC)。

2.  根据权利要求1所述的方法，其中所述步骤a)还包括在所述多个网元中的一个网元(NE3′)处提供所述决策组件(DMC)和所述动作组件(AMC)。

3.  根据权利要求1所述的方法，其中所述步骤a)还包括在所述多个网元中的每个网元(NE1′，NE2′，NE3′，NE4′)处提供所述决策组件(DMC)和所述动作组件(AMC)。

4.  根据权利要求1所述的方法，其中所述步骤a)包括在所述多个网元中的一个网元(NE2″)处提供所述决策组件(DMC)而在所述多个网元中的另一网元(NE3″)处提供所述动作组件(AMC)。

5.  根据权利要求1所述的方法，其中所述步骤a)还包括以下步骤中的至少一个步骤：
-在所述多个网元中的至少两个网元处提供所述决策组件(DMC)，从而形成决策集群；以及
-在所述多个网元中的另外至少两个网元(NE3″，NE4″)处提供所述动作组件(AMC)，从而形成动作集群(AC)。

6.  根据前述权利要求中任一项所述的方法，其中所述步骤c)还包括通过使用静态关联表和动态关联表中的至少一种关联表来进行所述决策，所述静态关联表和所述动态关联表各自均包括多行，所述多行中的每一行均包括安全阈值和与所述安全阈值关联的可能动作。

7.  一种用于通信网络(CN)的防入侵系统，所述通信网络(CN)包括多个网元(NE1，NE2，NE3′，NE4；NE1′，NE2′，NE3′，NE4′；NE 1，NE2″，NE3″，NE4；NE1，NE2″，NE3″，NE4″)，所述系统包括与所述通信网络(CN)协作的被动监视组件(PMC)、决策组件(DMC)和动作组件(AMC)，其中：
-所述被动监视组件(PMC)适合于检测表明对所述多个网元中的至少一个网元(NE4)的攻击的管理信息、处理所述管理信息从而生成感染数据并且将所述感染数据发送到所述决策组件(DMC)；
-所述决策组件(DMC)适合于接收所述感染数据、做出与为了阻止所述攻击而将进行的动作有关的决策并且将所述决策发送到所述动作组件(AMC)；以及
-所述动作组件(AMC)适合于基于所述决策来指示所述至少一个网元(NE4)执行所述动作，
所述系统的特征在于在所述多个网元中的每个网元处提供所述被动监视组件(PMC)。

8.  根据权利要求7所述的系统，其中在所述多个网元中的一个网元(NE3′)处提供所述决策组件(DMC)和所述动作组件(AMC)。

9.  根据权利要求7所述的系统，其中包括在所述多个网元中的各网元(NE1′，NE2′，NE3′，NE4′)处提供所述决策组件(DMC)和所述动作组件(AMC)。

10.  根据权利要求7所述的系统，其中在所述多个网元中的一个网元(NE2″)处提供所述决策组件(DMC)而在所述多个网元中的另一网元(NE3″)处提供所述动作组件(AMC)。

11.  根据权利要求7所述的系统，其中：
-在所述多个网元中的至少两个网元处提供所述决策组件(DMC)，从而形成决策集群；和/或
-在所述多个网元中的另外至少两个网元(NE3″，NE4″)处提供所述动作组件(AMC)，从而形成动作集群(AC)。

12.  根据权利要求7-11中任一项所述的系统，其中所述系统还包括静态关联表和动态关联表中的至少一种关联表，所述静态关联表和所述动态关联表各自均包括多行，所述多行中的每一行均包括安全阈值和与所述安全阈值关联的可能动作，所述决策组件(DMC)适合于通过使用所述静态关联表和所述动态关联表中的所述至少一种关联表来进行所述决策。

用于通信网络的防入侵方法和系统
技术领域
本发明涉及通信系统领域。具体而言，本发明涉及一种用于通信网络的防入侵方法和系统。
背景技术
正如所知，通信网络包括三个逻辑主平面，即：数据平面，该平面是适合于发送用户数据的平面；控制平面，该平面是适合于执行控制操作的平面；以及管理平面，该平面是适合于执行管理操作的平面。
对通信网络进行管理，提供对诸多操作的执行，这些操作例如：
-监视网络性能；
-配置网元及其资源(板卡、端口、交叉连接等)；
-对网络中出现的错误进行管理；等等。
通常，管理操作由连接到待管理的网络的各网元的称为“网络管理站或者系统”(或者简称为NMS)的装置来执行。
具体而言，NMS具有称为“管理器”的软件应用，该软件应用能够与位于网元处的称为“代理”的软件应用交换信息。管理器和代理通过使用在管理平面中执行并且视通信网络类型而定的管理协议来相互交换管理信息。管理协议的例子有SNMP(简单网络管理协议)、CMIP(公共管理信息协议)、Q3和TL1。
由于控制平面和管理平面所具有的功能，它们特别容易受到所谓“黑客”的攻击。在以下描述中和在权利要求书中，术语“攻击”将表示黑客在通信网络中引入未授权软件和/或以未授权方式操控对通信网络进行管理和控制的管理和控制软件的尝试。可能的攻击类型有：
-DOS(服务拒绝)攻击，这些攻击基本上以导致低效率为目的，这可能造成网元的故障；
-恶意软件复制，这些复制以在网元中打开所谓的“后门”由此有利于未授权访问为目的；以及
-木马、蠕虫、Key Logger和病毒的扩散。
广而言之，数据平面非常安全，因为它不以任何方式与网元的软件应用交互。换而言之，用户数据在数据平面中以透明方式传送，即网元的软件应用并不处理用户数据。
在以下描述中和在权利要求书中，“防入侵机制-系统-方法”这一表述将表示在通信网络中实施并且适合于将受到攻击的一个或者多个网元与网络的其它网元隔离的机制-系统-方法。受到攻击的网元又称为“受感染网元”。
在本领域中已知诸多防入侵机制，例如不对称密码、单向散列函数等。这些已知的防入侵机制通常提供编码/解码密钥，比如通常是人尽皆知的公用编码/解码密钥和保密的私用编码/解码密钥。公用和私用编码/解码密钥彼此相关。具体而言，由公用编码密钥编码的信息只能由对应的私用解码密钥解码，并且反之亦然，由私用编码密钥编码的信息只能由对应的公用解码密钥解码。
发明内容
申请人已经注意到在通信网络领域中希望提供基于web技术的管理系统。这主要归因于如下事实：以这一方式操作的管理系统有利地使得可以使用与诸如Mozilla、Internet Explorer等用于浏览网络的当前计算机程序的图形接口(普遍称为“web浏览器”)相似的管理图形接口。
申请人已经注意到管理系统由此可以通过由NMS执行并且能够支持web式管理图形接口的浏览器来实施，其中将管理信息显示为web接口特有的图形对象，即窗口、图标等。
基于web技术的网络管理系统的使用与“开放源代码”软件的广泛运用一起造成网元脆弱性的增加。因此，基于web技术的管理系统的发展一方面带来通信网络可访问性方面的优点，另一方面又不利地使通信网络并且特别是上文提到的控制平面和管理平面更容易受到“黑客”的攻击。
申请人已经注意到已知的防入侵机制在应用于上述通信网络的管理系统时存在诸多弊端。
首先，从决策的观点来看，它们是被动机制。换而言之，这些机制检测网络内的异常业务(异常业务一般表明通信网络正在受到攻击)，并且它们向操作者发送可视的和/或声音的报警信号。接着，操作者例如通过关闭异常业务中转经过的端口来隔离受感染网元从而停止该业务，并且分析网络从而检测异常的原因。因此，这些机制引起在检测到攻击的时间与通过操作者的干预来隔离受感染网元的时间之间的延迟。然后，不利的是，操作者可能会在损害已经明显扩大时才进行干预。
其次，已知的防入侵机制会占用大量计算资源。
另外，如果例如黑客进入通信网络的管理平面，则他可以改变网元的管理配置。不利的是，现有防入侵机制通过停止全部网元从而也停止用户数据处理来操作。
因此，申请人已经针对提供一种能够克服至少一个上文提到的弊端的用于通信网络的防入侵方法和系统这一问题进行了研究。
具体而言，申请人已经针对提供用于通信网络的如下防入侵方法和系统这一问题进行了研究，该防入侵方法和系统使得在检测到攻击的时间与将受感染网元与其它网元隔离的时间之间的延迟明显减少。
根据第一方面，本发明提供一种用于通信网络的防入侵方法，该通信网络包括多个网元，该方法包括以下步骤：
a)提供与通信网络协作的被动监视组件、决策组件和动作组件；
b)在被动监视组件处，检测表明对多个网元中的至少一个网元的攻击的管理信息，处理该管理信息从而生成感染数据，并且将该感染数据发送到决策组件；
c)在决策组件处，接收感染数据，做出与为了阻止攻击而将进行的动作有关的决策，并且将该决策发送到动作组件；并且
d)在动作组件处，基于该决策来指示至少一个网元执行动作。
优选地，步骤a)包括在多个网元中的各网元处提供被动监视组件。
优选地，步骤a)还包括在多个网元中的一个网元处提供决策组件和动作组件。
取而代之，步骤a)还包括在多个网元中的各网元处提供决策组件和动作组件。
取而代之，步骤a)包括在多个网元中的一个网元处提供决策组件而在多个网元中的另一网元处提供动作组件。
取而代之，步骤a)还包括以下步骤中的至少一个步骤：
-在多个网元中的至少两个网元处提供决策组件，从而形成决策集群；并且
-在多个网元中的另外至少两个网元处提供动作组件，从而形成动作集群。
优选地，步骤c)还包括通过使用静态关联表和动态关联表中的至少一种关联表来进行决策，静态关联表和动态关联表各自均包括多行，多行中的各行包括安全阈值和与安全阈值关联的可能动作。
根据第二方面，本发明提供一种用于通信网络的防入侵系统，该通信网络包括多个网元，该系统包括与通信网络协作的被动监视组件、决策组件和动作组件，其中：
-被动监视组件适合于检测表明对多个网元中的至少一个网元的攻击的管理信息、处理该管理信息从而生成感染数据并且将该感染数据发送到决策组件；
-决策组件适合于接收感染数据、做出与为了阻止攻击而将进行的动作有关的决策并且将该决策发送到动作组件；以及
-动作组件适合于基于该决策来指示至少一个网元执行动作。
优选地，在多个网元中的各网元处提供被动监视组件。
优选地，在多个网元中的一个网元处提供决策组件和动作组件。
取而代之，在多个网元中的各网元处提供决策组件和动作组件。
取而代之，在多个网元中的一个网元处提供决策组件而在多个网元中的另一网元提供动作组件。
取而代之，在多个网元中的至少两个网元处提供决策组件，从而形成决策集群；和/或在多个网元中的另外至少两个网元处提供动作组件，从而形成动作集群。
优选地，该系统还包括静态关联表和动态关联表中的至少一种关联表，静态关联表和动态关联表各自均包括多行，多行中的各行包括安全阈值和与安全阈值关联的可能动作，决策组件适合于通过使用静态关联表和动态关联表中的至少一种关联表来进行决策。
附图说明
通过参照以下附图来阅读下文以举例而非限制的方式给出的具体描述，将更好地理解本发明：
-图1示意地示出了具有根据本发明第一实施例的防入侵系统的通信网络；
-图2和图3分别更具体地示出了图1的通信网络的第一和第二网元的结构；
-图4示意地示出了具有根据本发明第二实施例的防入侵系统的通信网络；
-图5示意地示出了具有根据本发明第三实施例的防入侵系统的通信网络；
-图6和图7分别更具体地示出了图5的通信网络的第一和第二网元的结构；并且
-图8示意地示出了具有根据本发明第四实施例的防入侵系统的通信网络。
具体实施方式
图1示意地示出了具有根据本发明第一实施例的防入侵系统的通信网络CN。
为简单起见，假设通信网络CN包括仅四个网元NE1、NE2、NE3′和NE4。显然，这只是示例性的，因为通信网络CN可以包括任何数目的网元。各网元NE1、NE2、NE3′和NE4包括用于相应数据业务的一个或者多个输入/输出端口。为简单起见，在图1中没有示出输入/输出端口。
优选地，网元NE1、NE2、NE3′和NE4形成同一计算网格G的一部分。正如所知，计算网格使得可以执行分布式应用，即它使得可以在形成网格的所有计算机之间共享对给定应用的执行。换而言之，在形成网格的所有计算机之间共享该应用。优选地，形成网格的计算机借助于称为“中间件”的应用经由网络相互通信。示例计算网格是由Globus Alliance提出的使用中间件Globus的网格。
根据这一实施例，通信网络CN的网元NE1、NE2、NE3′和NE4借助于中间件经由网络相互连接。申请人已经通过使用上文提到的中间件Globus执行了一些有效测试。
优选地，通信网络CN还连接到管理终端MT，该MT被配置成执行浏览模块B并且连接到网格G的任一网元，例如网元NE1。浏览模块B能够支持web式管理图形接口(为简单起见在图中没有示出)。
web式管理图形接口适合于显示图形对象(比如窗口和图标)、与通信网络CN的管理有关的管理信息(即网元NE1、NE2、NE3′和NE4的资源配置参数、网元NE1、NE2、NE3′和NE4的资源性能参数以及由网元NE1、NE2、NE3′和NE4生成的任何报警)。
根据本发明的实施例，计算网格G与防入侵模块AIM和防入侵监视模块AIMM协作。
根据本发明的第一实施例并且参照图2，防入侵模块AIM安装于通信网络CN的一个网元如网元NE3′中。
优选地，防入侵模块AIM包括：被动监视组件PMC、通信组件CC、决策组件DMC和动作组件AMC。
被动监视组件PMC优选地适合于：
-以持续方式本地监视通过网元NE3′的端口的管理信息业务；
-处理这些管理信息以生成可能的感染数据；并且
-将可能的感染数据提供给决策组件DMC。
决策组件DMC优选地适合于：
-接收来自被动监视组件PMC以及通过通信组件CC来自其它网元的可能的感染数据；
-做出(优选实时地做出)与为了阻止可能的攻击而将进行的可能动作有关的决策；并且
-将这样的决策发送到动作组件AMC。
动作组件AMC被配置成基于从决策组件DMC接收的决策来激活最佳阻止动作以保护通信网络。
优选地，决策组件DMC基于一对关联表，即静态关联表和动态关联表来进行决策。
静态关联表由操作者在防入侵模块AIM的配置步骤期间编译，并且它包括多行，每行包括一个安全阈值。优选地，一个安全阈值与防入侵模块AIM的一个相应行为关联。表1提供了静态关联表的例子。
表1