[發明專利]網絡安全設備

有效

• 申請號: 201210350428.X
• 申請日: 2006-10-05
• 公開（公告）號: CN102904749A
• 公開（公告）日: 2013-01-30
• 發明（設計）人: 埃里克·拜爾斯;達雷恩·利斯摩爾;約翰·卡爾施;凱·李
• 申請（專利權）人: 拜爾斯安全公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/26;H04L29/06;H04L29/08
• 代理公司: 北京天昊聯合知識產權代理有限公司 11112
• 代理人: 陳源;崔利梅

1.一種采用安全設備保護網絡裝置的方法，該安全設備將網絡裝置耦接至數據網絡，該方法包括以下步驟：

在所述安全設備中，從被尋址到所述網絡裝置的包中接收源于被連接至所述數據網絡的管理服務器的加密管理連接數據；

利用與所述網絡裝置相關聯的地址作為所述包的起始地址，將與所述網絡裝置相關的裝置屬性發送給所述管理服務器；

在所述安全設備中，從被尋址到所述網絡裝置的包中接收來自于所述管理服務器的加密配置數據，其中所述管理服務器基于所述裝置屬性來選擇所述配置數據；

基于所述配置數據來對所述網絡裝置和通過所述數據網絡能夠訪問的其他裝置之間的包進行管理；以及

利用與所述網絡裝置相關聯的地址作為所述包的起始地址，將多個加密心跳消息發送到所述管理服務器。

2.根據權利要求1的方法，其中所述包的地址還包括沒有被所述網絡裝置利用的TCP或者UDP端口號。

3.根據權利要求1的方法，其中當將數據發送到所述管理服務器時，所述安全設備既利用所述網絡裝置的層2的地址又利用所述網絡裝置的層3的地址。

4.根據權利要求1的方法，其中基于對所述包進行的管理針對多個異常事件生成所述心跳。

5.根據權利要求1的方法，其中所述多個異常事件中的至少一個異常事件使所述管理服務器將重新配置數據發送到所述安全設備。

6.根據權利要求1的方法，其中從包括防火墻模塊、裝置識別模塊、虛擬專用網絡（VPN）模塊、侵入檢測模塊、網絡統計收集模塊以及帶寬監視和業務調整模塊的組中選擇配置軟件。

7.根據權利要求1的方法，其中所述通信模塊接收來自所述管理服務器的管理連接請求，用于建立與所述管理服務器的加密連接。

8.根據權利要求1的方法，其中通過安全套接鏈路（SSL）或IPSec安全連接對所述配置數據進行加密。

9.根據權利要求1的方法，其中所述配置數據包括與所述網絡裝置所利用的控制協議相關聯的安全規則和軟件模塊。

10.根據權利要求1的方法，其中所述心跳消息和所述加密管理連接數據利用無連接包類型。

11.根據權利要求1的方法，還包括通過監視所述網絡裝置和通過所述數據網絡能夠訪問的其他裝置之間的業務來確定所述裝置屬性。

12.一種用于保護處在數據網絡內的安全設備下游的一個或多個網絡裝置的安全設備，該安全設備包括：

心跳模塊，其利用與所述一個或多個網絡裝置中的一個網絡裝置相關聯的地址作為包的起始地址，來將狀態信號傳輸到所述數據網絡中的管理服務器；

通信模塊，其用于處理從所述管理服務器傳輸的并且尋址到所述安全設備下游的一個網絡裝置的包，所述通信模塊對嵌入所述包內的數據進行提取，以用于對所述安全設備的管理；以及

可由所述管理服務器配置的一個或多個安全模塊，所述安全模塊基于與所述安全設備下游的一個或多個網絡裝置相關聯的安全描述檔對經過所述安全模塊的數據提供安全管理，其中所述安全模塊處于所述安全設備下游的一個或多個網絡裝置和所述數據網絡上的其他裝置之間，所述安全描述檔是由所述安全設備下游的一個或多個網絡裝置的裝置屬性確定的。

13.根據權利要求12的安全設備，其中從包括防火墻模塊、裝置識別模塊、虛擬專用網絡（VPN）模塊、侵入檢測模塊、網絡統計收集模塊以及帶寬監視和業務調整模塊的組中選擇所述一個或多個安全模塊。

14.根據權利要求12的安全設備，其中所述心跳模塊產生異常狀態信號和定時狀態信號，當所述一個或多個安全模塊識別出異常事件時所述異常狀態信號產生。

15.根據權利要求12的安全設備，其中所述通信模塊還包括用于對所述安全設備和所述管理服務器之間的數據進行認證的認證模塊。

16.根據權利要求12的安全設備，其中所述管理服務器基于所述一個或多個網絡裝置的屬性來配置所述一個或多個安全模塊。

17.根據權利要求12的安全設備，其中所述通信模塊配置為接收加密包和處理加密包，該加密包是以所述安全設備下游的一個裝置的IP地址和預定義端口號來尋址的。