[發明專利]一種網絡節點自學習的安全過濾方法及裝置

有效

• 申請號: 202010412198.X
• 申請日: 2020-05-15
• 公開（公告）號: CN111695148B
• 公開（公告）日: 2023-07-04
• 發明（設計）人: 王真震;許志峰;韓劍鋒
• 申請（專利權）人: 浙江信網真科技股份有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;H04N21/258;H04N21/472
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 楊天嬌

本發明公開了一種網絡節點自學習的安全過濾方法及裝置，網絡節點對轉發的數據的屬性信息進行自學習，在發現所述數據屬性信息滿足優化條件時，根據所述優化條件生成對應的控制表項，刪除業務終端原來的數據表項。并將該優化條件發送給業務管理服務器，以便業務管理服務器判斷業務終端的數據轉發是否滿足所述優化條件，在滿足時不向網絡節點發送白名單增減信息，否則向網絡節點發送白名單增減信息。從而減少了業務管理服務器與網絡節點之間的信令交互，也減少了網絡節點上的控制表項數量。

技術領域

本發明屬于訪問控制技術領域，尤其涉及一種網絡節點自學習的安全過濾方法及裝置。

背景技術

在集中式管理的信息系統中，管理服務器具有所有網絡設備之間的交互信息，從而可以通過對網絡節點的集中管控，下發白名單，在網絡節點上添加控制表項，實現數據的轉發控制。這種控制數據轉發的控制表項一般是所有網絡節點均支持的訪問控制列表。

然而，由于網絡節點的控制表項規格有限，采用靜態訪問控制列表會導致規格超標，無法適用于業務復雜的系統。動態訪問控制列表由管理服務器隨著與業務終端之間的交互而進行及時的增加/刪除表項。即使如此，網絡節點的訪問控制列表的表項數量依舊十分緊張，從而導致系統無法采用深層控制表項，影響系統的安全性。

在集中式管理的信息系統中，業務管理服務器實現對所有業務終端和網絡節點的控制。默認情況下，網絡節點只允許網絡基礎協議數據和業務終端向業務管理服務器的注冊消息通行，其他數據報文一概拒絕轉發；當業務終端注冊通過后，業務管理服務器才通知該業務終端對到業務管理服務器的路徑上的所有網絡節點對該業務終端放行該業務終端權限范圍內可以交互的信令與數據，即增加白名單，當然該白名單必定包含該業務終端的IP地址。

但現有技術中，業務管理服務器為每一個業務終端向網絡節點下發白名單通知消息，由于業務終端加入與退出頻繁，導致業務管理服務器與網絡節點之間的信令交互非常頻繁，造成系統性能和網絡帶寬的占用都比較大，而且網絡節點的訪問控制列表的表項數量十分緊張。

發明內容

本申請的目的是提供種網絡節點自學習的安全過濾方法及裝置，用以減少業務管理服務器與網絡節點之間的信令交互，也解決網絡節點的控制表項數量緊張的問題。

為了實現上述目的，本申請技術方案如下：

一種網絡節點自學習的安全過濾方法，應用于網絡節點，包括：

網絡節點獲取業務終端的數據屬性信息，在發現所述數據屬性信息滿足優化條件時，根據所述優化條件生成對應的控制表項，刪除業務終端原來的控制表項；

網絡節點將所述優化條件發送給業務管理服務器，以便業務管理服務器判斷業務終端的數據轉發是否滿足所述優化條件，在滿足時不向網絡節點發送白名單增減信息，否則向網絡節點發送白名單增減信息。

進一步的，所述網絡節點獲取業務終端的數據屬性信息，在發現所述數據屬性信息滿足優化條件時，根據所述優化條件生成對應的控制表項，包括：

網絡節點獲取業務終端的數據屬性信息，在發現業務終端的數據轉發周期為T，每次轉發數據的時長為固定第一時長時，判斷滿足優化條件，則按照所述周期T生成關于所述業務終端的控制表項，所述控制表項允許所述業務終端的數據通過，每次生成的所述控制表項在所述第一時長結束后刪除。

進一步的，所述網絡節點獲取業務終端的數據屬性信息，在所述數據屬性信息滿足優化條件時，根據所述優化條件生成對應的控制表項，包括：

網絡節點獲取業務終端的數據屬性信息，判斷轉發業務終端的數據的物理端口是否是安全端口；

在判斷所述物理端口是安全端口后，判斷滿足優化條件，設置對應所述物理端口的控制表項，允許從所述物理端口轉發的數據通過，并刪除轉發端口為所述物理端口的其他控制表項。