[發明專利]一種基于密鑰的分布式訪問控制方法、裝置及存儲設備

在審

• 申請號: 201910343326.7
• 申請日: 2019-04-26
• 公開（公告）號: CN111030976A
• 公開（公告）日: 2020-04-17
• 發明（設計）人: 李林哲;向菁菁;關墨辰;肖新光
• 申請（專利權）人: 哈爾濱安天科技集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于密鑰的分布式訪問控制方法，其特征在于：

接收數據包，檢測數據包是否為加密數據包；

若不是，則將所述數據包丟棄；

若是，查詢本設備訪問控制規則列表中與發送數據包的設備有關的規則，獲取規則對應的密鑰，使用密鑰對數據包解密；

若解密成功，則根據密鑰對應規則執行對所述數據包的動作；若未解密成功，將所述數據包引流至蜜罐網絡誘導環境中，或重定向到特定網關設備。

2.如權利要求1所述的方法，其特征在于，還包括：若數據包被與發送數據包的設備無關的規則對應的密鑰解密，則所述數據包將被丟棄。

3.如權利要求1所述的方法，其特征在于，所述訪問控制規則列表中每條規則的格式為規則ID、密鑰、優先級、匹配內容、動作內容；

規則ID：規則編號；

密鑰：規則對應的密鑰，每條規則對應不同的密鑰，加密和解密使用同一密鑰；

優先級：表示規則的優先級；

匹配內容包括：發起IP、目的IP、發起端口、目的端口、發起網段、目的網段、傳輸層協議、應用層協議、發起方登錄的用戶、發起的應用；

動作內容包括：允許通訊、禁止通訊、重定向數據包到特定網關設備、告警并丟棄、告警并重定向。

4.如權利要求1所述的方法，其特征在于，訪問控制規則列表采用白名單機制，每臺設備的訪問控制規則列表均來源于訪問控制規則庫，所述規則庫存放內網單臺設備上或者分布式集群上。

5.如權利要求4所述的方法，其特征在于，所述訪問控制規則庫不斷進行更新，具體包括：

通知內網所有設備同步更新訪問控制規則列表；

或者識別所述訪問控制規則列表更新所影響的內網設備，主動將更新后的訪問控制規則列表推送給被影響的內網設備。

6.如權利要求1所述的方法，其特征在于，所述訪問控制規則列表中還包含特定范圍互訪規則，所述特定范圍互訪規則在內網或者內外網的特定范圍內進行互訪時，自動批復所需規則在一段時間內生效。

7.如權利要求1所述的方法，其特征在于，將所述數據包引流至蜜罐網絡誘導環境中，具體為：

內網設備對加密數據包外層Ethernet header、IPv6 Header、傳輸層報頭進行更改，具體為：將目的Mac、目的IP、端口變更為蜜罐網絡誘導環境的信息，源IP、端口、Mac變更為內網設備的信息；

蜜罐網絡誘導環境接收到更改后的數據包，對該數據包進行檢測，根據檢測結果選擇對應密鑰，構造加密的反饋數據包；

內網設備收到蜜罐發送的反饋數據包，根據成功解密的密鑰對應規則ID決定對所述數據包采取的動作。

8.如權利要求1所述的方法，其特征在于，將所述數據包重定向到特定網關設備，具體為：

內網設備對加密數據包Ethernet header、IPv6 Header、傳輸層報頭進行更改，具體為：將目的Mac、目的IP、端口變更為特定網關設備的信息，源IP、端口、Mac變更為內網設備的信息；

將所述數據包重定向到特定網關設備。

9.一種基于密鑰的分布式訪問控制裝置，其特征在于，所述裝置包括存儲器和處理器，所述存儲器用于存儲多條指令，所述處理器用于加載所述存儲器中存儲的指令以執行：

接收數據包，檢測數據包是否為加密數據包；

若不是，則將所述數據包丟棄；

若是，查詢本設備訪問控制規則列表中與發送數據包的設備有關的規則，獲取規則對應的密鑰，使用密鑰對數據包解密；

若解密成功，則根據密鑰對應規則執行對所述數據包的動作；若未解密成功，將所述數據包引流至蜜罐網絡誘導環境中，或重定向到特定網關設備。

10.如權利要求9所述的裝置，其特征在于，所述處理器還用于加載所述存儲器中存儲的指令以執行：

還包括：若數據包被與發送數據包的設備無關的規則對應的密鑰解密，則所述數據包將被丟棄。