[發(fā)明專利]一種內(nèi)網(wǎng)橫向微隔離的邊緣計算網(wǎng)關架構及其微隔離方法

在審

• 申請?zhí)枺?/td>: 202211615515.3
• 申請日: 2022-12-15
• 公開（公告）號: CN116232647A
• 公開（公告）日: 2023-06-06
• 發(fā)明（設計）人: 顧鎧羥;劉文婷;郝春光;王永飛
• 申請（專利權）人: 中信數(shù)字創(chuàng)新（上海）科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L12/66
• 代理公司: 上海塔科專利代理事務所(普通合伙) 31380
• 代理人: 謝安軍

1.一種內(nèi)網(wǎng)橫向微隔離的邊緣計算網(wǎng)關架構，其特征在于，包括硬件部分和軟件部分；

所述硬件部分包括邊緣計算網(wǎng)關芯片，所述邊緣計算網(wǎng)關芯片包括集成設置的網(wǎng)絡交換單元和處理器單元，所述網(wǎng)絡交換單元具有多個網(wǎng)口；

所述軟件部分運行于所述處理器單元之上，包括：

系統(tǒng)層，運行有基于Linux的邊緣計算網(wǎng)關系統(tǒng)；

網(wǎng)卡驅動模塊，部署于所述邊緣計算網(wǎng)關系統(tǒng)的內(nèi)核，用于驅動所述邊緣計算網(wǎng)關芯片；

網(wǎng)絡層，部署于所述邊緣計算網(wǎng)關系統(tǒng)的內(nèi)核，用于將所述多個網(wǎng)口之中的至少一個網(wǎng)口配置為WAN口，將其余的網(wǎng)口分別配置為獨立的VLAN口，并掛載到同一個網(wǎng)橋中；

內(nèi)網(wǎng)通信報文識別模塊，部署于所述邊緣計算網(wǎng)關系統(tǒng)的內(nèi)核，用于判斷經(jīng)每個VLAN口流入的內(nèi)網(wǎng)通信報文是否合法，若是，放行該內(nèi)網(wǎng)通信報文，若否，基于預先配置的內(nèi)網(wǎng)橫向攻擊防護策略對該內(nèi)網(wǎng)通信報文進行處理，并上報處理結果，所述處理結果包括丟棄、阻斷和放行；

應用層，用于獲取用戶定義的內(nèi)網(wǎng)橫向攻擊防護策略并將其配置到所述內(nèi)網(wǎng)通信報文識別模塊，以及接收所述處理結果。

2.根據(jù)權利要求1所述的內(nèi)網(wǎng)橫向微隔離的邊緣計算網(wǎng)關架構，其特征在于，所述內(nèi)網(wǎng)通信報文識別模塊判斷內(nèi)網(wǎng)通信報文是否合法的具體方式為：

判斷所述內(nèi)網(wǎng)通信報文是否屬于預定的網(wǎng)絡攻擊類型，若是，則判斷所述內(nèi)網(wǎng)通信報文不合法。

3.根據(jù)權利要求2所述的內(nèi)網(wǎng)橫向微隔離的邊緣計算網(wǎng)關架構，其特征在于，所述預定的網(wǎng)絡攻擊類型包括中間人代理攻擊、內(nèi)網(wǎng)洪流攻擊和內(nèi)網(wǎng)掃射攻擊。

4.根據(jù)權利要求1所述的內(nèi)網(wǎng)橫向微隔離的邊緣計算網(wǎng)關架構，其特征在于，所述應用層基于云端或者用戶交互界面獲取所述內(nèi)網(wǎng)橫向攻擊防護策略。

5.根據(jù)權利要求1所述的內(nèi)網(wǎng)橫向微隔離的邊緣計算網(wǎng)關架構，其特征在于，所述邊緣計算網(wǎng)關芯片為QCA9531、IPQ4018、IPQ4019或者IPQ8064型號的芯片；

所述邊緣計算網(wǎng)關芯片具有5個以太網(wǎng)網(wǎng)口。

6.權利要求1-5任一項所述邊緣計算網(wǎng)關架構的內(nèi)網(wǎng)橫向微隔離方法，其特征在于，包括：

所述應用層獲取用戶定義的內(nèi)網(wǎng)橫向攻擊防護策略并將其配置到所述內(nèi)網(wǎng)通信報文識別模塊；

響應于經(jīng)目標VLAN口流入內(nèi)網(wǎng)通信報文，所述內(nèi)網(wǎng)通信報文識別模塊判斷所述內(nèi)網(wǎng)通信報文是否合法，若是，放行該內(nèi)網(wǎng)通信報文，若否，基于預先配置的內(nèi)網(wǎng)橫向攻擊防護策略對該內(nèi)網(wǎng)通信報文進行處理，并將處理結果上報至所述應用層，所述處理結果包括丟棄、阻斷和放行。