[發明專利]一種基于全要素網絡標識的可信安全網關實現方法

在審

• 申請號: 202310904849.0
• 申請日: 2023-07-24
• 公開（公告）號: CN116633693A
• 公開（公告）日: 2023-08-22
• 發明（設計）人: 戚建淮;徐國前;崔宸;唐娟;汪喬
• 申請（專利權）人: 深圳市永達電子信息股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/32
• 代理公司: 深圳市順天達專利商標代理有限公司 44217
• 代理人: 高占元

1.一種基于全要素網絡標識的可信安全網關實現方法，其特征在于，包括：

對網絡身份標識進行管控；

建立矩陣式全流量檢測引擎；

對業務工作流進行可信管控；

對微服務進行強隔離。

2.根據權利要求1所述的基于全要素網絡標識的可信安全網關實現方法，其特征在于，所述對網絡身份標識進行管控，包括：

建立全要素網絡身份標識；

建立認證操作鏈，定義多種認證序列，并基于角色授權框架的基礎上，結合上下文感知信息構建業務訪問權限以實施自適應的訪問控制；

設置統一登錄平臺，并制定網絡訪問策略；

通過網絡監測和信任評估，實時評估訪問主體當前的信任狀態。

3.根據權利要求2所述的基于全要素網絡標識的可信安全網關實現方法，其特征在于，所述設置統一登錄平臺，并制定網絡訪問策略，包括：

設置訪問控制接口，從而與外部權限管理服務器共同實現訪問控制功能；

設置安全審計接口，從而與外部安全審計服務器共同實現安全審計功能；

判斷客戶端證書是否作廢；

獲取客戶端證書的屬性，并將客戶端證書的屬性提交給服務器以進行處理；

為生成站點私鑰文件和為生成站點證書提供請求文件，從而為認證網關提供站點私鑰文件和站點證書；

進行用戶身份確認，并接受網絡信任域管理中心的統一管理，從而保證合法用戶可以在全網范圍內自由通行；

為責任認定提供用戶上網狀態信息，提供用戶跨網、跨域訪問的行為記錄，從而支持責任認定的全網化；

通過責任認定后，將訪問請求放行，并路由到目的地；

提供用戶終端到可信安全網關的加密傳輸服務，從而確保信息傳輸的安全性。

4.根據權利要求1所述的基于全要素網絡標識的可信安全網關實現方法，其特征在于，所述建立矩陣式全流量檢測引擎，包括：

基于SDN全交換的并行檢測技術框架，實現矩陣式全流量檢測引擎；

基于多目標分發機制形成連接級并行內容分析，并運行多個邏輯上獨立的并行內容分析協議棧；

基于全交換的矩陣式全流量檢測引擎將多個安全功能整合為一體。

5.根據權利要求4所述的基于全要素網絡標識的可信安全網關實現方法，其特征在于，所述基于SDN全交換的并行檢測技術框架，實現矩陣式全流量檢測引擎，包括：

劃分空閑緩沖區隊列和已使用緩沖區隊列，并保存緩沖區數據單元指針的指針列表；

當捕獲一個數據包之前，從空閑緩沖區隊列的頭部取下一個空的存儲單元，并將從網卡讀入的數據拷貝到所述存儲單元以后，捕包程序將緩沖單元掛到已使用緩沖隊列的尾部；

從已使用緩沖隊列的頭部取下一個數據單元進行消費，消費完成以后，直接將所述數據單元掛到待發送緩沖區隊列；

所述基于多目標分發機制形成連接級并行內容分析，并運行多個邏輯上獨立的并行內容分析協議棧，包括：

通過一個數據分發器并按照IP包首的源地址和目的地址對分發到相應的線程對并行協議棧進行處理，并通過一個發送單元收集器完成數據單元的發送；同時，將發送單元收集器占用的數據單元返回給空閑存儲單元隊列中，讓捕包系統重復利用這些單元；

每一個內容分析任務，均設有一個私有的協議棧狀態表和兩個數據隊列索引，其中，協議棧狀態表是協議棧在進行IP協議、TCP協議和上層應用協議還原的時候，用來保存上下文信息和暫存數據使用，而兩個數據隊列索引則分別用來存儲待分析的數據塊和已分析的數據塊。

6.根據權利要求1所述的基于全要素網絡標識的可信安全網關實現方法，其特征在于，所述對業務工作流進行可信管控，包括：

基于SDN對業務工作流進行可信管控；

將業務流程與數據流間映射，把業務審計流程映射到相關網絡交換策略、數據隔離策略，形成業務與數據安全平面；

根據業務要求定義業務邏輯拓撲；

設置流量基線；

設置可信業務工作流的安全機制。