專利名稱：通過數(shù)據(jù)流安全標(biāo)志的分布式流量掃描的制作方法
通過數(shù)據(jù)流安全標(biāo)志的分布式流量掃描本發(fā)明要求2005年1月12日申請(qǐng)的美國(guó)專利申請(qǐng)No.11/034,161的優(yōu)先權(quán)。技術(shù)領(lǐng)域[OOl體發(fā)明涉及計(jì)靴網(wǎng)路安頓域。更具體地，本發(fā)明涉朋于在具有多K全設(shè)備和技術(shù)的網(wǎng)絡(luò)中配合娜安全掃描的方法和系統(tǒng)。 背景駄
隨著互聯(lián)網(wǎng)的日益發(fā)展普及，特別是隨著互聯(lián)網(wǎng)的萬維網(wǎng)("WEB") 部分的發(fā)展，越來越多的計(jì)算機(jī)被連接到包括局域網(wǎng)("LAN")和廣域網(wǎng) ("WAN")在內(nèi)的網(wǎng)絡(luò)?；ヂ?lián)網(wǎng)的爆炸式增，人們?nèi)绾瓮ㄐ藕蛥⑴c商務(wù)， 產(chǎn)生了戲劇性的影響。M越多的人們需要接入互聯(lián)網(wǎng)來便利于搜索、競(jìng)爭(zhēng)性 分析、在子公司之間通信、向一些知道名字的人縦電子郵件。
結(jié)果，例如公司信息技術(shù)("IT")部門現(xiàn)在畫臨著頓的挑戰(zhàn)。特別 是，這種必須在明確限定和友好環(huán)境中大量處理數(shù)據(jù)的部門，即私人安全計(jì)算 機(jī)網(wǎng)絡(luò)，現(xiàn)在面臨著更復(fù)雜和敵對(duì)的情況。由于現(xiàn)在 越多的計(jì)算機(jī)要么直 接(例如，M互聯(lián)網(wǎng)提供商或"ISP"進(jìn)行撥號(hào)連接)要么M在LAN和互 聯(lián)網(wǎng)之間的網(wǎng)關(guān)連接到了互聯(lián)網(wǎng)，因此LAN管理員和單個(gè)的用戶所面臨的新的 一整套挑戰(zhàn)都是類微也這些以前封閉的計(jì)餅境現(xiàn)在對(duì)計(jì) 1系統(tǒng)的賴網(wǎng) 絡(luò)都開放了。具體地，實(shí)際上系統(tǒng)現(xiàn)在很容易受到任何能接入到互聯(lián)網(wǎng)的罪犯 或黑客的攻擊。
在很長(zhǎng)的時(shí)間內(nèi)，防火墻斜蟲擔(dān)負(fù)著用于流艦、駄網(wǎng)絡(luò)的l^的安 全網(wǎng)關(guān)。例如，防火墻是在連接到WAN的網(wǎng)關(guān)截取,通信，并盡量檢測(cè)用 于可疑或不必對(duì)于為交換的 包(即，互聯(lián)網(wǎng)協(xié)議包或"IP包")的自禾Mm 此外，防火墻可以在連接到LAN的計(jì),截取i^通信。最初，防火墻主要用 M3131濾l^而fflihLAN的入侵者。逐船也，防火墻:^掮負(fù)了更多的 安全功能，諸如為協(xié)議有效性禾吶容掃描網(wǎng)絡(luò)流量。作為網(wǎng)絡(luò)網(wǎng)關(guān)的現(xiàn)代防火
墻，實(shí)現(xiàn)了各種寬廣的安全技術(shù)，諸如反病毒("AV")、反垃圾郵件、協(xié)議的 不規(guī)則檢測(cè)、內(nèi)容過戯卩入侵檢觀係統(tǒng)("IDSD")等，以確保許多不同的網(wǎng)絡(luò) 應(yīng)用禾歸的安全。網(wǎng)絡(luò)應(yīng)用禾歸的實(shí)例包括網(wǎng)絡(luò)瀏覽器、電子郵件(Vmail")、 即時(shí)通信器("M")和,庫訪問。
現(xiàn)代網(wǎng)絡(luò)可能具有多種網(wǎng)絡(luò)設(shè)備，這包括安全設(shè)備(例如，IDS掃描 器、AV掃描器和e-mail掃描器)和配置的技術(shù)，并在服務(wù)器和桌面終端上安裝 的基于主機(jī)的安全軟件。依靠網(wǎng)絡(luò)流量的特定流向的通道，流量可以由特定的 安全技術(shù)掃描一次或多次。實(shí)際上，桌面和膝上型電腦M諸如防火墻、AV程 序、垃圾郵件掃描器和IDS軟件等的基于主機(jī)的安全設(shè)備肩負(fù)著安全網(wǎng)絡(luò), 流的大部分負(fù)荷。這種網(wǎng)絡(luò)流量的冗余掃描將不必要的負(fù)載加在了負(fù)重的安全 設(shè)備和網(wǎng)絡(luò)主枳上，并增加了網(wǎng)絡(luò)瓶頸或設(shè)備故障的可能性。
{頓網(wǎng)絡(luò)中的多^全設(shè)備來f跟特定的繊流，確保網(wǎng)絡(luò)有效地確 保其 流成為可能(issue)。當(dāng)前，齡設(shè)^3描所有的 流至咜最佳的能 力，從而在網(wǎng)絡(luò)內(nèi)流經(jīng)多個(gè)網(wǎng)關(guān)、設(shè)備和桌面的數(shù)據(jù)流可被多次掃描以確保網(wǎng) 絡(luò)流量完全掃描。例如，如果流量是從未知其是否進(jìn)行了病毒掃描的特定安全 網(wǎng)關(guān)而來，則網(wǎng)絡(luò)管理員可以配置AV掃描器來為病毒而掃描網(wǎng)絡(luò)流量。但， AV掃描器并不能看到網(wǎng)關(guān)后面，因此，可能網(wǎng)關(guān)后面的另一個(gè)設(shè)備已^t流量 進(jìn)行了病毒掃描。而且，由于網(wǎng)絡(luò)變得更加，并包括了更多的安全設(shè)備，因 此有效隨單個(gè)設(shè)備以創(chuàng)造安全而有效網(wǎng)絡(luò)的任^變f縣乎尋常地困難。因此， 十有八九地，每個(gè)安全設(shè)備都被配置來掃描所有的流量到其最佳的能力。雖然 這種設(shè)置確保了網(wǎng)絡(luò)流量安全，但這樣的設(shè)置對(duì)網(wǎng)絡(luò)資源來說是很低效的。
因此，需要一種系統(tǒng)和方法，雜包括了多種安全設(shè)備和技術(shù)的網(wǎng)絡(luò) 中配合數(shù)據(jù)安全掃描。所需要的是，這種系統(tǒng)和方法確保了經(jīng)過并進(jìn)入到網(wǎng)絡(luò) 的所有網(wǎng)絡(luò)流量都被保護(hù)到網(wǎng)絡(luò)管理員設(shè)置的7jC平，同時(shí)共享能皿這種安全 性的多種設(shè)備的安全網(wǎng)絡(luò)流量的負(fù)載。發(fā)明內(nèi)容
與本發(fā)明的原理一致，提供了一種在網(wǎng)絡(luò)中進(jìn)行數(shù)據(jù)安全掃描的方 法。該方fe^括為從網(wǎng)絡(luò)外部傳輸?shù)侥康木W(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)流量獲得網(wǎng)絡(luò)安全策 略；基于安全策略，探知應(yīng)當(dāng)或必須應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)；并基于與網(wǎng)
絡(luò)流量關(guān)聯(lián)的安全標(biāo)志確定還沒有^^用到網(wǎng)絡(luò)流量的安全技術(shù)。[OO艱始另一實(shí)施例，Jli共了一種網(wǎng)絡(luò)中用于繊安全掃描的系統(tǒng)。縣 統(tǒng)包括第一網(wǎng)絡(luò)設(shè)備，其為從網(wǎng)絡(luò)外部傳輸?shù)侥康木W(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)流量獲得網(wǎng) 絡(luò)安全策略；第二網(wǎng)絡(luò)設(shè)備，其基于安全策略，探知應(yīng)當(dāng)或必須應(yīng)用到網(wǎng)絡(luò)流 量的安全技術(shù)；和第三網(wǎng)絡(luò)設(shè)備，其基于與網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志確定還沒 有被應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)。
在符合本發(fā)明的另一實(shí)施例中，提供了計(jì)Ml可讀介質(zhì)^含用于執(zhí) 行在網(wǎng)絡(luò)中進(jìn)行數(shù)據(jù)安全掃描的方法的指令。該方、M括為從網(wǎng)絡(luò)外部傳輸?shù)?目的網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)流量獲得網(wǎng)絡(luò)安全策略；基于安全策略，探知應(yīng)當(dāng)或必須 應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)；并基于與網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志確定還沒有被 應(yīng)用到網(wǎng)絡(luò)流量的，技術(shù)。


[Oll]以上總的描述和以下詳細(xì)的描述僅是示例性的和說明性的。它們并不 限制所要求保護(hù)的本發(fā)明。而且，合并并構(gòu)成本說明書一部分的附圖顯示了本 發(fā)明的一個(gè)(或幾個(gè))實(shí)施例，并與說明書一起用來解釋本發(fā)明的原理，在附 圖中-
圖1是^^本發(fā)明原理的在具有多種安全設(shè)備和技術(shù)的網(wǎng)絡(luò)中用來配 合數(shù)據(jù)安全掃描的系統(tǒng)的示例性的結(jié)構(gòu)圖2和3是在包括了多種安全設(shè)備和技術(shù)的網(wǎng)絡(luò)中用M免冗余的數(shù) 據(jù)安全掃描的流程圖。
圖4和5是在包括多種安全設(shè)備和技術(shù)的網(wǎng)絡(luò)中用來分配網(wǎng)絡(luò)流量掃 描的流程圖。
符合本發(fā)明的方法和系統(tǒng)提供了用來在網(wǎng)絡(luò)中進(jìn)行數(shù)據(jù)安全掃描的 機(jī)制。在網(wǎng)絡(luò)上的設(shè)備為從網(wǎng)絡(luò)外部傳輸?shù)侥康木W(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)流量獲得網(wǎng)絡(luò) 安全策略。網(wǎng)絡(luò)設(shè)備基于安全策略，探知應(yīng)當(dāng)或必須應(yīng)用到網(wǎng)絡(luò)流量的安全技 術(shù)。網(wǎng)絡(luò)設(shè)備基于與網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志確定還沒有被應(yīng)用到網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)中的一個(gè)或多個(gè)。接著，基于如下確定絲應(yīng)用的安全技術(shù)是
可用于網(wǎng)絡(luò)設(shè)備的，那么，網(wǎng)絡(luò)設(shè)備應(yīng)用還未應(yīng)用的安全技術(shù)。接著，網(wǎng)絡(luò)設(shè) 備用安全標(biāo)志標(biāo)記網(wǎng)絡(luò)流量，安全標(biāo)志指明所應(yīng)用的還為MiS用的安全技術(shù)反 映了應(yīng)用到該網(wǎng)絡(luò)流量的安全技術(shù)。
符合本發(fā)明的方法和系統(tǒng)還可以提供另一種用來在網(wǎng)絡(luò)中的數(shù)據(jù)安 全掃描的機(jī)制。在網(wǎng)絡(luò)上的安全設(shè)備為從網(wǎng)絡(luò)外部來的網(wǎng)絡(luò)流量而從目的網(wǎng)絡(luò) 設(shè)，收請(qǐng)求。安全設(shè)備或目的網(wǎng)絡(luò)設(shè)備為從網(wǎng)絡(luò)外部傳輸?shù)侥康木W(wǎng)絡(luò)設(shè)備的 網(wǎng)絡(luò)流量獲得網(wǎng)絡(luò)安全策略。接著，基于該安全策略，安全設(shè)備或目的網(wǎng)絡(luò)設(shè) ，知應(yīng)當(dāng)或必須應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)。安全設(shè)備向位于到目的網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)流量的計(jì)劃路徑上的網(wǎng)絡(luò)設(shè)備皿查詢，其為在iii乓安全技術(shù)中的援 助而從一個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備懇求支援。基于從至少一個(gè)網(wǎng)絡(luò)設(shè)備已經(jīng)志愿來提 供安全技術(shù)的M^助的確定，安全設(shè)備沿網(wǎng)絡(luò)流量的計(jì)劃路徑向目標(biāo)設(shè)刷專 送網(wǎng)絡(luò)流量而不應(yīng)安全技術(shù)。
現(xiàn)將參考在附圖中所示的實(shí)例詳細(xì)描述本發(fā)明的實(shí)施例。盡可能地， 在齡附圖中相同的參考數(shù)字標(biāo)志相同的部分。 網(wǎng)絡(luò)設(shè)備配置[OIS]圖1 ^ffi來在網(wǎng)絡(luò)中^i徵字安全掃描的t^本發(fā)明的原理的網(wǎng)絡(luò)設(shè) 備的示例性結(jié)構(gòu)圖。網(wǎng)絡(luò)設(shè)備101和180-195可以包括中央處理器(CPU) 105、 盤驅(qū)動(dòng)器IIO、存儲(chǔ)器115和網(wǎng)，入設(shè)備120。 CPU150可以是任意適當(dāng)?shù)奶?理器或執(zhí)行禾歸指令的處理器。存儲(chǔ)器15可以是RAM或包括了 ROM和閃存 等的其f^C久、半永久或暫時(shí)性的存儲(chǔ)設(shè)備。盤驅(qū)動(dòng)器110可以是5體驅(qū)動(dòng)器、 光盤驅(qū)動(dòng)器或其他類型的 存儲(chǔ)設(shè)備。
網(wǎng)雜入設(shè)備120可以是調(diào)制解調(diào)器、有線調(diào)制解調(diào)器、以太網(wǎng)卡、 Tl線連接器鄉(xiāng)他用來將網(wǎng)絡(luò)設(shè)備101和180-195連接到網(wǎng)絡(luò)160 l^l信的接 入設(shè)備。網(wǎng)絡(luò)160可以是互聯(lián)網(wǎng)，網(wǎng)絡(luò)設(shè)備101和180-195可以使用f^l控制協(xié) 議(TCP)連接5j6i接到網(wǎng)絡(luò)160。
網(wǎng)絡(luò)設(shè)備101和180-195的*還可以連,如輸入設(shè)備140的一個(gè) 或多^Mf入設(shè)備，輸入設(shè)備可以包括鍵盤、鼠標(biāo)或其他類型的用來給網(wǎng)絡(luò)設(shè)備 輸入數(shù)據(jù)的裝置。網(wǎng)絡(luò)設(shè)備101和1S(M95的^3S可以連接到諸如顯示設(shè)備 150的一個(gè)或多個(gè)顯示設(shè)備，其可以鵬視器或其他視頻和/或音視頻輸出設(shè)備。
網(wǎng)絡(luò)160可以連接到網(wǎng)絡(luò)外的多個(gè)設(shè)備，在本例的情況下是示例性的
設(shè)備170-175。設(shè)備170-175可以是發(fā)送出網(wǎng)絡(luò)流量的計(jì)，，諸如服務(wù)器、數(shù) 據(jù)處理系統(tǒng)、電子由附服務(wù)器或個(gè)人計(jì)，。網(wǎng)絡(luò)160還可以包含多種設(shè)備， 在本例的情況下是示例性的網(wǎng)絡(luò)設(shè)備101和180-195。網(wǎng)絡(luò)設(shè)備101和180-195 可以^^各由器、交換機(jī)、網(wǎng)關(guān)、諸如防火墻或AV掃描儀等的網(wǎng)絡(luò)安全設(shè)備，或諸如服務(wù)器的數(shù)據(jù)處理系統(tǒng)、個(gè)人計(jì)^m或它們的組合，并可以Mil信端口 (未示出)接收和傳送,。網(wǎng)絡(luò)設(shè)備101和180-195可以M網(wǎng)絡(luò)160接收 數(shù)據(jù)并且其旨，以包括網(wǎng)纟維入設(shè)備等(未示出)。l頓諸如TCP/IP的網(wǎng) 絡(luò)連接，網(wǎng)絡(luò)160可以在網(wǎng)絡(luò)設(shè)備101和M—個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備180-195的網(wǎng) 絡(luò)外的一個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備170-172之間傳輸i^。本領(lǐng)域的技術(shù)人員知道，網(wǎng) 絡(luò)設(shè)備180可以位于網(wǎng)絡(luò)160的邊界上并連接至,絡(luò)外的設(shè)備，其作用就像網(wǎng) 絡(luò)160和在網(wǎng)絡(luò)160內(nèi)連接的網(wǎng)絡(luò)設(shè)備的邊界安全設(shè)備。
根據(jù)CPU105的指示從例如盤驅(qū)動(dòng)器110加載到存儲(chǔ)器115的軟件可 以用來實(shí)現(xiàn)數(shù)據(jù)安全掃描儀以掃描M并進(jìn)入網(wǎng)絡(luò)設(shè)備101的網(wǎng)絡(luò)流量。本領(lǐng) 域的技術(shù)人員可以明白，數(shù)據(jù)安全掃描儀還可以在防火墻、路由器、網(wǎng)關(guān)和其 他網(wǎng)絡(luò)結(jié)構(gòu)中實(shí)現(xiàn)。數(shù)據(jù)安全掃描儀可以包含一個(gè)或一組掃描流皿出網(wǎng)絡(luò)的 辦。
n>地址識(shí)別駄娜艦網(wǎng)絡(luò)設(shè)備ioi的itA^的來源。ip地址是 在網(wǎng)絡(luò)中計(jì)算機(jī)地址的數(shù)字化表示。除了作為特定網(wǎng)絡(luò)設(shè)備的唯Hgi只符外， 非常類似于 *址， 一個(gè)地址就會(huì)繊定相應(yīng)辨定ip地址的物理位置。
有幾種方式來確定相應(yīng)于已知的IP地址的位置。 一種方式是維持在盤 驅(qū)動(dòng)器110中所存儲(chǔ)的,庫。例如，,庫可以列出IP地址連同它們相應(yīng)的物理或邏輯地址。形卜，i^可以包括相應(yīng)于構(gòu)建特定網(wǎng)絡(luò)的ip地址范圍的項(xiàng)。在 庫中列出的位置可以包括，區(qū)域信息，諸如國(guó)家^市名或兩^fp有。網(wǎng)絡(luò)設(shè)備101可以訪問被驅(qū)動(dòng)器101中本地駐留的,庫，以,最初將數(shù) 據(jù)傳輸^^備101的計(jì),的IP地址。如果 庫包括了 IP ■，或?qū)οx或作 為地址范圍的1分，則網(wǎng)絡(luò)設(shè)備101可以確定與其接觸的計(jì)靴的健。
網(wǎng)絡(luò)設(shè)備101確定IP i也址的位置的另一種方式^131使用網(wǎng)絡(luò)160 經(jīng)由受信互聯(lián)網(wǎng)i也址訪問im庫。網(wǎng)絡(luò),庫頻m，以記錄新的IP地址， 并且本地 庫可會(huì)3青求用戶周期性地下載以更新數(shù)據(jù)庫。為了這樣做，網(wǎng)絡(luò) 設(shè)備101 M網(wǎng)絡(luò)160與一個(gè)或多^如網(wǎng)絡(luò)設(shè)備170-175的其他網(wǎng)絡(luò)設(shè)備通
信，以訪問娜庫。如本領(lǐng)域的技術(shù)人員所離的，也可以艦其他的方式。 避免冗余掃描的系統(tǒng)操作圖2和3是f始本發(fā)明的用來在包括了多種安全設(shè)備和技術(shù)的網(wǎng)絡(luò)中 避免冗余數(shù)據(jù)安全掃描的處理的流程圖。如在圖2中所示，在處理的開始，在 210階段，在網(wǎng)絡(luò)(例如圖1的單元160)中用來提供安全掃描(例如，圖1的 單元180)的網(wǎng)絡(luò)設(shè)備獲得網(wǎng)絡(luò)^策略。這可以發(fā)生在特定的時(shí)間或事件，諸 如當(dāng)網(wǎng)絡(luò)從在網(wǎng)絡(luò)外的設(shè)皿收網(wǎng)絡(luò)流量時(shí)。網(wǎng)絡(luò)設(shè)備可以M檢索在網(wǎng)絡(luò)設(shè) 備存儲(chǔ)器中存儲(chǔ)的畐體或M從在網(wǎng)絡(luò)上的其他網(wǎng)絡(luò)設(shè)備請(qǐng)求安全策略的副本 而獲得安全策略。為了確保安全策略是正確，得信任的，且網(wǎng)絡(luò)流并未惡化， 網(wǎng)絡(luò)設(shè)備或在網(wǎng)絡(luò)上的其他網(wǎng)絡(luò)設(shè)備可以iiil例如使用諸如PKI等的公共密鑰 方案以核查與安全策略和網(wǎng)絡(luò)流量關(guān)聯(lián)的簽名或來源來^i正安全策略的認(rèn)證和 網(wǎng)絡(luò)流量的完整性。接著，在220階段，網(wǎng)絡(luò)設(shè)備從安全策略確定要,用到該網(wǎng)絡(luò)流量 的安全技術(shù)。安全技術(shù)的實(shí)例包括AV、反垃圾郵件、異常協(xié)議檢測(cè)、內(nèi)容過濾 和IDS。例如，安全策略可以包括必須或應(yīng)當(dāng)應(yīng)用至ij;SA網(wǎng)絡(luò)的任何網(wǎng)絡(luò)流量 的安全技術(shù)列表。在220階段粒了應(yīng)用到網(wǎng)絡(luò)流量的錢技術(shù)后，在225階 段，網(wǎng)絡(luò)設(shè)備確定已經(jīng)被應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)。作為實(shí)例，網(wǎng)絡(luò)設(shè)備可 以讀取與網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志以確定什么安全技術(shù)已經(jīng)被應(yīng)用到了該網(wǎng)絡(luò) 流量。在一個(gè)實(shí)施例中，安全標(biāo)志可以 置在網(wǎng)絡(luò)流量中數(shù)據(jù)包的頭部中。 安全標(biāo)志可以包括安全技術(shù)列表和表示網(wǎng)絡(luò)設(shè)備可以信任的安全標(biāo)志的信息的 特定包(諸如混列碼、公贈(zèng)鑰、數(shù)字簽名或證書)。^^標(biāo)志可以包含已經(jīng)被 應(yīng)用到該網(wǎng)絡(luò)流量的安全技術(shù)列表。替換地，安全標(biāo)志可以包含沒有，用到 該網(wǎng)絡(luò)流量的安全技術(shù)的列表。為了確保在安全標(biāo)志中表示的信息是正確并值 得信任的且網(wǎng)絡(luò)流沒有惡化，該網(wǎng)絡(luò)設(shè)備可以M;例如使用諸如PKI等的公共 密鑰方案以核查與安全標(biāo)志和網(wǎng)絡(luò)流量關(guān)聯(lián)的數(shù)字簽名或來源來驗(yàn)i正安全標(biāo)志 的認(rèn)證和網(wǎng)絡(luò)流量的完整性。如果沒有驗(yàn)i正安全標(biāo)志，諸如當(dāng)用于安全標(biāo)志的 數(shù)字簽名是無效的或沒有被發(fā)現(xiàn)時(shí)，那么，網(wǎng)絡(luò)設(shè)備可以忽略該安全標(biāo)志并根 據(jù)網(wǎng)絡(luò)安全策略重新掃描流量?；趶?20-225階^M尋的結(jié)果，其中網(wǎng)絡(luò)設(shè)^5角定什么安全技術(shù)必
須或應(yīng)當(dāng)lte用至iMA網(wǎng)絡(luò)的網(wǎng)絡(luò)流量以及什么安全技術(shù)已經(jīng)te用到了網(wǎng)絡(luò)
流量，在230階段，網(wǎng)絡(luò)設(shè)備對(duì)網(wǎng)絡(luò)應(yīng)用該網(wǎng)絡(luò)設(shè)備可以得到的特定流量安全 技術(shù)。如上所述，如果網(wǎng)絡(luò)設(shè)備不能^i正表示已經(jīng)IK用到網(wǎng)絡(luò)流量或沒有被 應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)的安全標(biāo)志(諸如當(dāng)用于安全標(biāo)志的數(shù)字簽名是非 法的或沒有被發(fā)現(xiàn)時(shí))，貝U該網(wǎng)絡(luò)設(shè)備可以忽略該錢標(biāo)志并根據(jù)網(wǎng)絡(luò)安全策略 重新掃描該流量。在235階段，網(wǎng)絡(luò)設(shè)備對(duì)該網(wǎng)絡(luò)流量加;li^以g安全技術(shù)已經(jīng)在230 階段lte用到了網(wǎng)絡(luò)流量。如果沒有安全標(biāo)志與該網(wǎng)絡(luò)流量關(guān)聯(lián)，則網(wǎng)絡(luò)設(shè)備 通過添加安全標(biāo)志來對(duì)網(wǎng)絡(luò)流量加標(biāo)簽，而如果存在與網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo) 志，貝啊絡(luò)設(shè)備M修改與網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志^t網(wǎng)絡(luò)流量加標(biāo)簽。安 全標(biāo)志可以放置在網(wǎng)絡(luò)流量中數(shù)據(jù)包的頭部，安全標(biāo)志可以包括安全技術(shù)列表 和表示網(wǎng)絡(luò)設(shè)備可以信任的安全標(biāo)志的信息的特定包(諸如混列碼、公共密鑰、 數(shù)字簽名或證書)。安全標(biāo)志可以包含已經(jīng)被應(yīng)用到該網(wǎng)絡(luò)流量的安全技術(shù)列 表。替換地，安全標(biāo)志可以包含沒有被應(yīng)用到該網(wǎng)絡(luò)流量的安全技術(shù)的列表。 為了確保在安全標(biāo)志中表示的信息是正確并值得信任的且網(wǎng)絡(luò)流沒有惡化，網(wǎng) 絡(luò)設(shè)備可以M31例如i，諸如PKI等的公共密鑰方M數(shù)字化簽名安全標(biāo)志和 網(wǎng)絡(luò)流量。在240階段，網(wǎng)絡(luò)設(shè)備將網(wǎng)絡(luò)流量f^T給網(wǎng)絡(luò)中的下一個(gè)網(wǎng)絡(luò)設(shè)備。 接著，在245階段，確定網(wǎng)絡(luò)流量是否已經(jīng)到達(dá)了目的網(wǎng)絡(luò)設(shè)備。如果網(wǎng)絡(luò)設(shè) 備沒有到達(dá)目的網(wǎng)絡(luò)設(shè)備，則處理返回到210階段。替換地，如果網(wǎng)絡(luò)設(shè)備到 達(dá)目的網(wǎng)絡(luò)設(shè)備，則處理3^賣進(jìn)行至幅3中的310階段?，F(xiàn)參考圖3，在310階段，目的網(wǎng)絡(luò)設(shè)備從^:策略確定)l靴么安全
技術(shù)應(yīng)用到網(wǎng)絡(luò)流量。在310階段^lz:將什么安全技術(shù)應(yīng)用到網(wǎng)絡(luò)流量后，在
315階段，目的網(wǎng)絡(luò)設(shè)備確定什么安全技術(shù)己經(jīng)鵬用到網(wǎng)絡(luò)流量。例如，目的 網(wǎng)絡(luò)設(shè)備可以讀取與網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志以確定什么安全技術(shù)已經(jīng),用 到網(wǎng)絡(luò)流量。作為確保在安全標(biāo)志中表示的信息是正確和值得信任的且網(wǎng)絡(luò)流 沒有惡化的方式，目的網(wǎng)絡(luò)設(shè)備可以船正安全標(biāo)志的認(rèn)證和網(wǎng)絡(luò)流量的完整性。 如果安全標(biāo)志沒有被^i正ffi3i，諸如當(dāng)用于安全標(biāo)志的數(shù)字簽名是^瞎的或沒 有被發(fā)現(xiàn)時(shí)，則網(wǎng)絡(luò)設(shè)備可以忽略安全標(biāo)志并根據(jù)網(wǎng)絡(luò)安全策略重新掃描該流基于從310-315階m^f得的結(jié)果，其中，網(wǎng)絡(luò)設(shè)糊定什么安全技術(shù) 必須或應(yīng)當(dāng)被應(yīng)用至IMA網(wǎng)絡(luò)的網(wǎng)絡(luò)流量以及什么安全技術(shù)已經(jīng),用到了網(wǎng) 絡(luò)流量，在320階段，目的網(wǎng)絡(luò)設(shè)備做出決定是否它需要目任何還沒有應(yīng)用 的安全技術(shù)。如果在320階段基于所做出的決定，目的網(wǎng)絡(luò)設(shè)備無需應(yīng)用{對(duì)可 安全技術(shù)，則目的網(wǎng)絡(luò)設(shè)絲受網(wǎng)絡(luò)流量。否則，如果在320階段基于所做出 的決定，目的網(wǎng)絡(luò)設(shè)備必須應(yīng)用還沒有m用的安全技術(shù)，則處理繼續(xù)進(jìn)行到 330階段。在330階段，目的網(wǎng)絡(luò)設(shè)備確定是否它倉被用還沒有!鵬用的安全技 術(shù)。如果網(wǎng)絡(luò)設(shè)備倉,應(yīng)用還沒有鵬用的安全技術(shù)，貝拠翻行到335階段， 并且目的網(wǎng)絡(luò)設(shè)備使用還沒有^^用的安全技術(shù)掃描網(wǎng)絡(luò)流量。另一方面，如 果在330階段確定了網(wǎng)絡(luò)設(shè)備不倉^Z用還沒有M^用的^技術(shù)，則處 行 到340階段并且目的網(wǎng)絡(luò)設(shè)敘巨絕網(wǎng)絡(luò)流量鵬該網(wǎng)絡(luò)流量重新路由至孵定的 安全設(shè)備。
用于分布式流量掃描的系統(tǒng)操作圖4和5是符合本發(fā)明的用來在包括多種安全設(shè)備和技術(shù)的網(wǎng)絡(luò)中分 配數(shù)據(jù)安全掃描的處理的流程圖。如在圖4中所示的處理的開始，410階段，在 網(wǎng)絡(luò)(例如，圖1的元件160)內(nèi)的目的網(wǎng)絡(luò)設(shè)備(例如，圖1的元件101)給
在網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備發(fā)送用于網(wǎng)絡(luò)流量的請(qǐng)求，安全設(shè)備可以iM:例如使用諸
如PKI等的公共密鑰方案以檢查請(qǐng)求的簽名^^源或比較目的網(wǎng)絡(luò)設(shè)備的1P地 tttl^i正用于網(wǎng)絡(luò)流量的請(qǐng)求的認(rèn)證。例如，在420階段， 一旦發(fā)生特定事件， 例如當(dāng)目的網(wǎng)絡(luò)設(shè)備從網(wǎng)絡(luò)外請(qǐng)求網(wǎng)絡(luò)流量時(shí)，安全設(shè)備或目的網(wǎng)絡(luò)設(shè)備可以 獲取網(wǎng)絡(luò)的安全策略。安全設(shè)備或目的網(wǎng)絡(luò)設(shè)備可以ffl31檢索在網(wǎng)絡(luò)設(shè)備存儲(chǔ)
器中存儲(chǔ)的副本或iM;從在網(wǎng)絡(luò)上的其他網(wǎng)絡(luò)設(shè)備請(qǐng)求安全策略的副本而獲得
安全策略。為了確保安全策略是正確并值得信任的且網(wǎng)絡(luò)流并未惡化，該網(wǎng)絡(luò) 設(shè)備或在網(wǎng)絡(luò)上的其他網(wǎng)絡(luò)設(shè)備可以通過例如使用諸如PKI等的公共密鑰方案 以核査與安全策略和網(wǎng)絡(luò)流量關(guān)聯(lián)的簽名或來源來驗(yàn)證與安全策略的認(rèn)證和網(wǎng) 絡(luò)流量的完整性。安全設(shè)備在相同的計(jì)劃網(wǎng)絡(luò)路徑上發(fā)送查詢來作為要被掃描的網(wǎng)絡(luò) 流量，其確保了查詢的路徑與網(wǎng)絡(luò)流量的路徑相同，而不考慮可能在計(jì)劃網(wǎng)絡(luò) 路祉的任何交換 網(wǎng)絡(luò)地址翻譯設(shè)備。在一個(gè)實(shí)施例中，安全設(shè)備發(fā)送查詢來從一個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備懇i歸 助，以幫助應(yīng)用指定在按全策略的安全技術(shù)。在435階段，在網(wǎng)絡(luò)流量的it^J 路徑上的網(wǎng)絡(luò)設(shè)備的任意一個(gè)都可以截取該查詢并加入自己的響應(yīng)，這很可能 自愿來應(yīng)用一個(gè)或多個(gè)指定在安全策略的安全技術(shù)。為了確保該安全技術(shù)是正 確并值得信任的且該安全技術(shù)不會(huì)惡化，自愿應(yīng)用一個(gè)或多個(gè)安全技術(shù)的網(wǎng)絡(luò) 設(shè)備例如艦i細(xì)諸如PKI等的公雜鑰方案來數(shù)字化簽名該安全技術(shù)。在435 階段之后，在440階段做出決定而不i侖該査詢是否已經(jīng)到達(dá)了目的網(wǎng)絡(luò)設(shè)備或 在計(jì)劃網(wǎng)絡(luò)路4i上的一個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備是否自愿應(yīng)用指定在安全策略中的所 有安全技術(shù)?；谠?40階段做出的否定決定，在445階段，網(wǎng)絡(luò)設(shè)備的任意 一個(gè)將該查詢fHl給在計(jì)劃網(wǎng)絡(luò)路^Jl的下一個(gè)網(wǎng)絡(luò)設(shè)備，并且處理返回到435 階段。替換地，基于在440階段中做出的肯定決定，彭旬至噠了目的網(wǎng)絡(luò)設(shè)備 或在計(jì)劃網(wǎng)絡(luò)路徑上的一個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備自愿應(yīng)用指定在安全策略中的所有 安全技術(shù)，在450階段，響應(yīng)，回安全設(shè)備。為了確保響應(yīng)是正確且值得信任的并且響應(yīng)沒有惡化，將響應(yīng)^3^lJ 安全設(shè)備的網(wǎng)絡(luò)設(shè)備M:例如使用諸如PKI的公，鑰方案數(shù)字化簽名該安全
技術(shù)。如果沒有衞正該響應(yīng)的認(rèn)證和完整性，諸如當(dāng)用于該響應(yīng)的數(shù)字簽名是 非法的或不能被發(fā)現(xiàn)，貝按全設(shè)備必須忽略該響應(yīng)并根據(jù)網(wǎng)絡(luò)安全策略掃描流在成功的完成450階段后，處理繼續(xù)到圖5的505階段。在505階段，
安全設(shè)備確定在計(jì)劃網(wǎng)絡(luò)路^i:的一個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備是否已經(jīng)自愿應(yīng)用指定 在安全策略中的所有安全技術(shù)。如果在計(jì)劃網(wǎng)絡(luò)路^i:的一個(gè)或多個(gè)網(wǎng)絡(luò)設(shè)備 已經(jīng)自愿應(yīng)用指定在安全策略中的所有^:技術(shù)，則安全設(shè)備^&i十劃網(wǎng)絡(luò)路徑 傳輸網(wǎng)絡(luò)流量而不需應(yīng)用在510階段中的安全技術(shù)。替換地，如果在計(jì)劃網(wǎng)絡(luò) 路^±沒有網(wǎng)絡(luò)設(shè)備自愿應(yīng)用指定在安全策略中的所有安全技術(shù)，則處理進(jìn)行 到515階段。在515階段，確定是否目的網(wǎng)絡(luò)設(shè)備被配置來拒絕不安全的網(wǎng)絡(luò) 流量。如果515階段的確定是肯定的，則處鵬行到510階段，其中，安全設(shè) 備^i十劃網(wǎng)絡(luò)路徑f^J網(wǎng)絡(luò)流量而不需應(yīng)用安全技術(shù)。但是，如果515階段的 決定是否定的，則處職行到520階段，其中，在將網(wǎng)絡(luò)流量傳輸給目的網(wǎng)絡(luò) 設(shè)備之前，安全設(shè)備應(yīng)用由安全策略指定的安全技術(shù)。
本發(fā)明上述描述僅代表示例和說明性的。它們并不是窮舉且并不將本 發(fā)明限定到所公開的精確形式?？梢愿鶕?jù)上述的教導(dǎo)或從本發(fā)明的實(shí)踐做出修 改和變化。例如，所描述的實(shí)施方式包括軟件，但本發(fā)明可以由硬件和元件的 組合或由硬件單獨(dú)實(shí)現(xiàn)。此外，雖然本發(fā)明的各個(gè)方面所描述的是存儲(chǔ)在存儲(chǔ) 器中，但本領(lǐng)域技術(shù)人員可以明白，也能存儲(chǔ)在其他類型的計(jì)穀幾可讀介質(zhì)中， 諸如次級(jí)存儲(chǔ)設(shè)備，類似于鵬、軟盤、或CD-ROM; M聯(lián)網(wǎng)或其他傳播介 質(zhì)來的tT波；或其他形式的RAM或ROM。把那發(fā)明的范圍由權(quán)利要求及其等 同限定。
從這里公開的本發(fā)明的說明和實(shí)施的考量中本領(lǐng)域的技術(shù)人員可以 明白本發(fā)明的其他實(shí)施例。說明書和實(shí)施例應(yīng)當(dāng)僅認(rèn)為是示例性的，本發(fā)明的 范圍和精神由以下的權(quán)利要求限定。
權(quán)利要求
1.一種在網(wǎng)絡(luò)中進(jìn)行數(shù)據(jù)安全掃描的方法，包括為從網(wǎng)絡(luò)外傳輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備獲取網(wǎng)絡(luò)的安全策略；基于所述安全策略，探知需要應(yīng)用到所述網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)；和基于與所述網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志，確定還沒有被應(yīng)用到所述網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)。
2. 根據(jù)權(quán)利要求l臓的方法，還包括基于所述安全設(shè)備可用的至少一個(gè)強(qiáng)制技術(shù)的確定，由在網(wǎng)絡(luò)上的安全設(shè) ^^至少一個(gè)還沒有鵬用的強(qiáng)制安全技術(shù)的強(qiáng)制安全技術(shù)；和用在網(wǎng)絡(luò)流量中的^:標(biāo)志指明應(yīng)用到所述網(wǎng)絡(luò)流量的至少一個(gè)強(qiáng)制安全技術(shù)。
3. 根據(jù)權(quán)禾腰求1戶腿的方法，其中獲取包括由在網(wǎng)絡(luò)邊界上的邊界安全 設(shè)備獲取網(wǎng)絡(luò)的安全策略。
4. 根據(jù)權(quán)利要求1戶，的方法，其中探知還包括 斷砂/M安全策略的完整性。
5. 根據(jù)權(quán)利要求1戶腿的方法，其中探知還包括 斷砂艦安全策略的認(rèn)證。
6. 根據(jù)權(quán)利要求1所述的方法，其中確定包括接收數(shù)字化簽名的安全標(biāo)志。
7. 根據(jù)權(quán)利要求6戶腿的方法，其中確定包括^i砂，安全標(biāo)志的完整性。
8. t雕權(quán)利要求7戶腿的方法，其中確定包括^E與戶，安全標(biāo)志關(guān)聯(lián)的數(shù)字簽名的認(rèn)證。
9. 一種在網(wǎng)絡(luò)中進(jìn)行l(wèi)^安全掃描的系統(tǒng)，包括裝置，用于從網(wǎng)絡(luò)夕M專輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略 體，基于戶脫安全策略，探知需要應(yīng)用至IJ戶艦網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù);和，，基于與戶，網(wǎng)絡(luò)流量關(guān)聯(lián)的，標(biāo)志，確定還沒有Mis用到戶;M網(wǎng) 絡(luò)流量的強(qiáng)制^技術(shù)。
10. 根據(jù)權(quán)利要求9戶脫的系統(tǒng)，還包括裝置，基于所述安全設(shè)備可用的至少一個(gè)強(qiáng)制技術(shù)的確定，由在網(wǎng)絡(luò)上的 安全設(shè)^lf共至少一個(gè)還沒有豐贓用的強(qiáng)制安全技術(shù)的安全技術(shù)；禾口裝置，使用在網(wǎng)絡(luò)流量中的安全標(biāo)志指明應(yīng)用到所述網(wǎng)絡(luò)流量的至少一個(gè) 強(qiáng)制安全技術(shù)。
11. 根據(jù)權(quán)利要求9戶腿的系統(tǒng)，其中，用于獲取的^gas包括由在網(wǎng)絡(luò)邊界上的邊界安全設(shè)備獲取網(wǎng)絡(luò)的安全策略的裝置。
12. 根據(jù)權(quán)利要求9戶腐的系統(tǒng)，其中用來探知的體還包括 用來^i!E^M^:策略的完整性的裝置。
13. 根據(jù)權(quán)利要求9戶脫的系統(tǒng)，其中用來探知的驢還包括 用來衞砂，安全策略的認(rèn)證的，。
14. 根據(jù)權(quán)利要求9戶腿的系統(tǒng)，其中用于確定的體包括接收數(shù)字化簽名的安全標(biāo)志的，。
15. 根據(jù)權(quán)禾腰求14戶脫的系統(tǒng)，其中用來確定的體包括-用來^i砂皿安全標(biāo)志的完整性的，。
16. 根據(jù)權(quán)禾腰求14戶腿的系統(tǒng)，其中用來確定的體包括用來衞正與戶;M安全標(biāo)志關(guān)聯(lián)的數(shù)字簽名的認(rèn)證的，。
17. —種用于在網(wǎng)絡(luò)中進(jìn)行娜安全掃描的系統(tǒng)，包括第一網(wǎng)絡(luò)設(shè)備，用于從網(wǎng)絡(luò)外傳輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略；第二網(wǎng)絡(luò)設(shè)備，基于戶脫安全策略，探知需要應(yīng)用到戶服網(wǎng)絡(luò)流量的強(qiáng)制 安全技術(shù)；和第三網(wǎng)絡(luò)設(shè)備，基于與戶脫網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志，確定還沒有teffl 到所述網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)。
18. 根據(jù)權(quán)利要求17戶脫的系統(tǒng)，還包括安全設(shè)備，基于所述安全設(shè)備可用的至少一個(gè)強(qiáng)制技術(shù)的確定，,至少 一個(gè)還沒有被應(yīng)用的強(qiáng)制安全技術(shù)的強(qiáng)制安全技術(shù)，其中，戶腿安全設(shè)備4頓 在網(wǎng)絡(luò)流量中的安全標(biāo)志指明應(yīng)用至U戶脫網(wǎng)絡(luò)流量的至少一個(gè)強(qiáng)制安全技術(shù)。
19. 根據(jù)權(quán)利要求17戶服的系統(tǒng)，其中戶腿第一網(wǎng)絡(luò)設(shè)備包括用于獲取網(wǎng) 絡(luò)安全策略的邊界^設(shè)備。
20. 根據(jù)權(quán)利要求i7戶腐的系統(tǒng)，其中戶;^m二網(wǎng)絡(luò)設(shè)備還包括 用來船砂;M安全策略的完整性的的處理器。
21. 根據(jù)權(quán)利要求17戶艦的系統(tǒng)，其中戶; ^于探知的體還包括用來^i!E^M安全策略的認(rèn)證的處理器。
22. 根據(jù)權(quán)利要求17所述的系統(tǒng)，其中所述第三網(wǎng)絡(luò)設(shè)備包括用來接收數(shù) 字化簽名的安全標(biāo)志的處理器。
23. 根據(jù)權(quán)利要求22所述的系統(tǒng)，其中所述第三網(wǎng)絡(luò)設(shè)備包括 用來斷砂脫安全標(biāo)志的完整性的處理器。
24. 根據(jù)權(quán)利要求23所述的系統(tǒng)，其中所述第三網(wǎng)絡(luò)設(shè)備包括 用來船正與所述安全標(biāo)志關(guān)聯(lián)的數(shù)字簽名的認(rèn)證的處理器。
25. —種在網(wǎng)絡(luò)中進(jìn)行,安全掃描的系統(tǒng)，包括 處理器；和存儲(chǔ)器，其中戶脫處理器和戶腿存儲(chǔ)親皮配置來執(zhí)行包括如下的方法 從網(wǎng)絡(luò)夕M專輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略； 基于所述安全策略，探知需要應(yīng)用到所述網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)；和 基于與所述網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志，確定還沒有,用到所述網(wǎng)絡(luò)流量 的強(qiáng)制安全技術(shù)。
26. 根據(jù)權(quán)利要求25戶腿的系統(tǒng)，其中戶脫處理器和戶脫存儲(chǔ)器還被隨 來執(zhí)行如下的方法基于戶皿處理器]可用的至少一個(gè)強(qiáng)制技術(shù)的確定，，至少一個(gè)還沒有被 應(yīng)用的強(qiáng)制安全技術(shù)的強(qiáng)制^技術(shù)；禾口用在網(wǎng)絡(luò)流量中的^標(biāo)志指明應(yīng)用到戶，網(wǎng)絡(luò)流量的至少一個(gè)強(qiáng)制^: 技術(shù)。
27. 根據(jù)權(quán)利要求25所述的系統(tǒng)，其中探知還包括 ^iJE^M^^策略的完整性。
28. 根據(jù)權(quán)利要求25所述的系統(tǒng)，其中探知還包括 斷砂脫安全策略的認(rèn)證。
29. 根據(jù)權(quán)利要求25戶服的系統(tǒng)，其中確定包括接收數(shù)字化簽名的安全標(biāo)志o
30. 根據(jù)權(quán)利要求29戶腐的系統(tǒng)，其中確定包括^i!E^M安全標(biāo)志的完整性。
31. 根據(jù)權(quán)利要求30戶腿的系統(tǒng)，其中確定包括 船正與戶，安全標(biāo)志關(guān)聯(lián)的數(shù)字簽名的認(rèn)證。
32. —種包含用來執(zhí)行在網(wǎng)絡(luò)中進(jìn)行繊安全掃描的方法附旨令的計(jì)穀幾 可讀介質(zhì)，臓方跑括用于從網(wǎng)絡(luò)外傳輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略； 基于戶腿安全策略，探知需要應(yīng)用到戶脫網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)；禾口 基于與所述網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志，確定還沒有te用到所述網(wǎng)絡(luò)流量 的強(qiáng)制安全技術(shù)。
33. 根據(jù)權(quán)利要求32戶脫的計(jì)^fl可讀介質(zhì)，其中戶脫方法還包括 基于戶，安全設(shè)備可用的至少一個(gè)強(qiáng)制技術(shù)的確定，由在網(wǎng)絡(luò)上的安全設(shè)^Hi共至少一個(gè)還沒有^^用的強(qiáng)制安全技術(shù)的強(qiáng)制安全技術(shù)；和用在網(wǎng)絡(luò)流量中的安全標(biāo)志指明應(yīng)用到所述網(wǎng)絡(luò)流量的至少一個(gè)強(qiáng)制^ 技術(shù)。
34. 根據(jù)權(quán)利要求32戶服的計(jì)飾可讀介質(zhì)，其中獲取包括由在網(wǎng)絡(luò)邊界 上的邊界安全設(shè)備獲取網(wǎng)絡(luò)的安全策略。
35. 根據(jù)權(quán)利要求32所述的計(jì),可讀介質(zhì)，其中探知還包括 ^iJE^M安全策略的完整性。
36. 根據(jù)權(quán)利要求32所述的計(jì)^l幾可讀介質(zhì)，其中探知包括 ^ilK/M安全策略的認(rèn)證。
37. 根據(jù)權(quán)利要求32所述的計(jì)對(duì)幾可讀介質(zhì)，其中確定包括接ra字化簽 名的安全標(biāo)志。
38. 根據(jù)權(quán)利要求37戶;M的計(jì)^n可讀介質(zhì)，其中確定包括-細(xì)脫安全標(biāo)志的完整性。
39. 根據(jù)權(quán)利要求38戶腿的計(jì)^m可讀介質(zhì)，其中確定包括-衞正與戶;M安全標(biāo)志關(guān)聯(lián)的數(shù)字簽名0M的認(rèn)證。
40. —種在網(wǎng)絡(luò)中進(jìn)行 安全掃描的方法，包括 用于從網(wǎng)絡(luò)外傳輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略； 基于戶腿安全策略，探知需要應(yīng)用至IBM網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)；基于與所述網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志，確定還沒有ffiz用到戶;M網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)；和確定沒有,用到所述網(wǎng)絡(luò)流量的強(qiáng)制^r技術(shù)對(duì)戶，目的網(wǎng)絡(luò)設(shè)備是否可用。
41. 根據(jù)權(quán)利要求40戶脫的方法，還包括基于沒有應(yīng)用到所述網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)對(duì)戶;M目的網(wǎng)絡(luò)設(shè)備是可用的確定，由戶脫目的網(wǎng)絡(luò)設(shè)備應(yīng)用沒有M用到戶脫網(wǎng)絡(luò)流量的強(qiáng)制娃技術(shù)。
42. 根據(jù)權(quán)利要求40戶腐的方法，還包括基于沒有應(yīng)用到所述網(wǎng)絡(luò)流量的所述強(qiáng)制安全技術(shù)對(duì)所述目的網(wǎng)絡(luò)設(shè)備是 不可用的確定，由所述目的網(wǎng)絡(luò)設(shè)，鄉(xiāng)MM網(wǎng)絡(luò)流量。
43. —種在網(wǎng)絡(luò)中進(jìn)行 安全掃描的系統(tǒng)，包括裝置，用于從網(wǎng)絡(luò)外傳輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略 體，基于戶服安全策略，探知需要應(yīng)用到戶腿網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)體，基于與戶腿網(wǎng)絡(luò)流量關(guān)聯(lián)的安全標(biāo)志，確定還沒有l(wèi)鵬用到戶腿網(wǎng) 絡(luò)流量的強(qiáng)制安全技術(shù)；禾口裝置，確定沒有l(wèi)鵬用到戶腿網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)對(duì)戶腿目的網(wǎng)絡(luò)設(shè) 備是否可用。
44. 根據(jù)權(quán)利要求43所述的系統(tǒng)，還包括裝置，基于沒有應(yīng)用到所述網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)對(duì)戶，目的網(wǎng)絡(luò)設(shè)備 是可用的確定，由所述目的網(wǎng)絡(luò)設(shè)^^沒有，用到戶，網(wǎng)絡(luò)流量的強(qiáng)制安 全技術(shù)。
45. 根據(jù)權(quán)利要求43所述的系統(tǒng)，還包括裝置，基于沒有應(yīng)用到所述網(wǎng)絡(luò)流量的所述強(qiáng)制^技術(shù)對(duì)戶;M目的網(wǎng)絡(luò)設(shè)備是不可用的確定，由戶，目的網(wǎng)絡(luò)設(shè)^B鄉(xiāng)MM網(wǎng)絡(luò)流量。
46. —種在網(wǎng)絡(luò)中進(jìn)行,^掃描的方法，包括 為從網(wǎng)紛卜來的網(wǎng)絡(luò)流量從目的網(wǎng)絡(luò)設(shè)條收請(qǐng)求； 從網(wǎng)絡(luò)州專輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略； 基于戶/M安全策略，探知需要鵬到戶腿網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)； 向位于網(wǎng)絡(luò)流量的計(jì)劃路徑到目的網(wǎng)絡(luò)設(shè)備的至少一個(gè)網(wǎng)絡(luò)設(shè)備，査瓶戶腿査詢膽少一個(gè)網(wǎng)絡(luò)設(shè)備懇求幫助，以便幫助卿強(qiáng)制安全駄。
47. 根據(jù)權(quán)利要求46的方法，還包括-基于膽少一個(gè)網(wǎng)絡(luò)設(shè)備自愿鵬戶腿強(qiáng)制安全技術(shù)的幫助的確定，沿所 述網(wǎng)絡(luò)流量的計(jì)劃路徑將所述網(wǎng)絡(luò)流量傳輸給所述目的設(shè)備而不應(yīng)用安全技 術(shù)。
48. 根據(jù)權(quán)利要求46臓的方法，還包括基于戶脫目的網(wǎng)絡(luò)設(shè)備被配魏拒絕不錢的網(wǎng)絡(luò)流量的確定，沿戶脫網(wǎng) 絡(luò)流量的計(jì)劃路徑將所述網(wǎng)絡(luò)流量傳輸給所述目的設(shè)備而不應(yīng)用安全技術(shù)，其 中，戶腿不安全的網(wǎng)絡(luò)流量是沒有用強(qiáng)制安全技術(shù)掃描的網(wǎng)絡(luò)流量。
49. 根據(jù)權(quán)利要求46所述的方法，其中皿包括基于戶，網(wǎng)絡(luò)流量的大小的確定m戶;M查詢。
50. 根據(jù)權(quán)利要求46戶腿的方法，其中接收包括由^^腿網(wǎng)絡(luò)邊界上的邊 界安全設(shè)，收。
51. 根據(jù)權(quán)利要求46戶腿的方法，其中探知還包括^i砂/M安全策略的完整性。
52. 根據(jù)權(quán)利要求46所述的方法，其中探知還包括 ^ffi^M安全策略的認(rèn)證。
53. 根據(jù)權(quán)利要求47所述的方法，其中所述至少一個(gè)網(wǎng)絡(luò)設(shè)，字化簽名幫助的安全技術(shù)。
54. 根據(jù)權(quán)利要求53戶腿的方法，其中傳驗(yàn)包括 船0，幫助的安全技術(shù)的完整性。
55. 根據(jù)權(quán)利要求54所述的方法，其中傳輸還包括 衞正與戶，幫助的安全技術(shù)關(guān)聯(lián)的一個(gè)和多個(gè)數(shù)字簽名的認(rèn)證。
56. —種在網(wǎng)絡(luò)中進(jìn)行麵錢掃描的系統(tǒng)，包括 裝置，為從網(wǎng)絡(luò)外來的網(wǎng)絡(luò)流量從目的網(wǎng)絡(luò)設(shè)皿收請(qǐng)求；裝置，用于從網(wǎng)絡(luò)夕hf專輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略體，基于戶腿安全策略，探知需要應(yīng)用到戶腿網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù) 裝置，向位于網(wǎng)絡(luò)流量的計(jì)劃路徑到目的網(wǎng)絡(luò)設(shè)備的至少一個(gè)網(wǎng)絡(luò)設(shè)備發(fā)送査詢，戶腿彭旬輕少一個(gè)網(wǎng)絡(luò)設(shè)備懇求幫助，以幫助應(yīng)用強(qiáng)制安全策略。
57. 根據(jù)權(quán)利要求56戶腿的系統(tǒng)，還包括裝置，基于膽少一個(gè)網(wǎng)絡(luò)設(shè)備自愿應(yīng)用戶腿強(qiáng)制安全技術(shù)的幫助的確定， 沿所述網(wǎng)絡(luò)的計(jì)劃路徑將所述網(wǎng)絡(luò)流量傳輸給所述目的設(shè)備而不應(yīng)用安全技 術(shù)。
58. 根據(jù)權(quán)利要求56戶脫的系統(tǒng)，還包括體，基于戶腿目的網(wǎng)絡(luò)設(shè)備被配魏拒絕不安全的網(wǎng)絡(luò)流量的確定，沿 戶，網(wǎng)絡(luò)的計(jì)劃路徑將所述網(wǎng)絡(luò)流量傳輸給所述目的設(shè)備而不應(yīng)用安全技術(shù)， 其中，戶腿不安全的網(wǎng)絡(luò)流量是沒有用強(qiáng)帝按全技術(shù)掃描的網(wǎng)絡(luò)流量。
59. 根據(jù)權(quán)利要求56戶脫的系統(tǒng)，其中用來総的縫包括基于戶脫網(wǎng)絡(luò) 流量的大小的確定皿戶，査詢的裝置。
60. 根據(jù)權(quán)利要求56戶腿的系統(tǒng)，其中用來接收的裝置包括由在戶脫網(wǎng)絡(luò) 邊界上的邊界安全設(shè)皿收的裝置。
61. 根據(jù)權(quán)利要求56戶腿的系統(tǒng)，其中用于探知的錢還包括用于斷:eM安全策略的完整性的，。
62. 根據(jù)權(quán)利要求56戶脫的方法，其中用于探知的體還包括 用于驗(yàn)i!E^M安全策略的認(rèn)證的裝置。
63. 根據(jù)權(quán)利要求57戶腿的方法，其中戶; ^M少一個(gè)網(wǎng)絡(luò)設(shè)微字化簽名 幫助的安全技術(shù)。
64. 根據(jù)權(quán)利要求63戶腿的方法，其中用于傳輸?shù)捏w還包括 用于衞砂，幫助的安全技術(shù)的完整性的，。
65. 根據(jù)權(quán)利要求64戶，的方法，其中用于傳輸?shù)腲g^包括 用于驗(yàn)證與所述幫助的M技術(shù)關(guān)聯(lián)的一個(gè)或多個(gè)數(shù)字簽名的認(rèn)證的裝置。
66. —種在網(wǎng)絡(luò)中進(jìn)行,安全掃描的系統(tǒng)，包括 處理器；和存儲(chǔ)器，其中，戶腿處理器和戶脫存儲(chǔ)辦皮配置來執(zhí)行包括如下的方法 為從網(wǎng)絡(luò)外來的網(wǎng)絡(luò)流量從目的網(wǎng)絡(luò)設(shè)皿收請(qǐng)求； 從網(wǎng)絡(luò)夕M專輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略；基于戶脫安全策略，探知需要應(yīng)用至U戶脫網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)； ^1^于網(wǎng)絡(luò)流量的it^路徑到目的網(wǎng)絡(luò)設(shè)備的至少一個(gè)網(wǎng)絡(luò)設(shè)備皿查瓶戶臓查詢/AM少一個(gè)網(wǎng)絡(luò)設(shè)備懇求幫助，用于幫助鵬強(qiáng)制安全技術(shù)。
67. 根據(jù)權(quán)利要求66戶腿的系統(tǒng)，其中戶腿處理器和戶脫存儲(chǔ)器還被配置 來執(zhí)行包括如下的方法基于膽少一個(gè)網(wǎng)絡(luò)設(shè)備自愿應(yīng)用戶脫強(qiáng)制安全技術(shù)的幫助的確定，沿所述網(wǎng)絡(luò)的計(jì)劃路徑將戶，網(wǎng)絡(luò)流量^lr給戶;M目的設(shè)備而不應(yīng)用安全技術(shù)。
68. 根據(jù)權(quán)利要求66戶腿的系統(tǒng)，其中戶脫處理器和戶/M存儲(chǔ)器還被配置 來執(zhí)行包括如下的方法基于戶腿目的網(wǎng)絡(luò)設(shè)備被配置來拒絕不安全的網(wǎng)絡(luò)流量的確定，沿戶腿網(wǎng) 絡(luò)的計(jì)劃路徑將所述網(wǎng)絡(luò)流量傳輸給所述目的設(shè)備而不應(yīng)用安全技術(shù)，其中， 戶腿不安全的網(wǎng)絡(luò)流量是沒有用強(qiáng)制安全技術(shù)掃描的網(wǎng)絡(luò)流量。
69. 根據(jù)權(quán)利要求66戶腿的系統(tǒng)，其中^i^包括基于戶脫網(wǎng)絡(luò)流量的大小的確定發(fā)送戶，查詢。
70. 根據(jù)權(quán)禾腰求66戶艦的系統(tǒng)，其中探知還包括^i正卩/M安全策略的完整性。
71. 根據(jù)權(quán)禾腰求66戶腿的系統(tǒng)，其中探知還包括^i正戶;M安全策略的認(rèn)證。
72. 根據(jù)權(quán)利要求67戶腿的系統(tǒng)，其中至少一個(gè)網(wǎng)絡(luò)設(shè)微字化簽名幫助 的安全技術(shù)。
73. 根據(jù)權(quán)利要求72戶腿的系統(tǒng)，其中縦包括^JE^M幫助的安全技術(shù)的，性。
74. 根據(jù)權(quán)利要求73戶腿的系統(tǒng)，其中^^包括跑正與戶;M幫助的^技術(shù)關(guān)聯(lián)的一個(gè)或多個(gè)數(shù)字簽名的認(rèn)證。
75. —種包含用來執(zhí)行在網(wǎng)絡(luò)中進(jìn)行 安全掃描的方法的指令的計(jì) 1 可讀介質(zhì)，臓方飽括..為從網(wǎng)絡(luò)外來的網(wǎng)絡(luò)流量從目的網(wǎng)絡(luò)設(shè)M收請(qǐng)求； 從網(wǎng)絡(luò)夕Kt輸網(wǎng)絡(luò)流量到目的網(wǎng)絡(luò)設(shè)備而獲取網(wǎng)絡(luò)的安全策略； 基于戶，安全策略，探知需要應(yīng)用至IJ戶，網(wǎng)絡(luò)流量的強(qiáng)制安全技術(shù)； 向位于網(wǎng)絡(luò)流量的計(jì)劃路徑到目的網(wǎng)路設(shè)備的至少一個(gè)網(wǎng)絡(luò)設(shè)備皿查瓶戶;M查詢膽少一個(gè)網(wǎng)絡(luò)設(shè)備懇求幫助，以幫助應(yīng)用強(qiáng)制安全技術(shù)。
76. 根據(jù)權(quán)利要求75戶腿的計(jì)靴可讀介質(zhì)，其中戶腿方法還包括 基于/AM少一個(gè)網(wǎng)絡(luò)設(shè)備自愿應(yīng)用戶腿強(qiáng)制安全技術(shù)的幫助的確定，無需沿所述網(wǎng)絡(luò)的計(jì)劃路徑將所述網(wǎng)絡(luò)流量傳輸給所述目的設(shè)備而不應(yīng)用安全技 術(shù)。
77. 根據(jù)權(quán)利要求75戶脫的計(jì)^m可讀介質(zhì)，其中戶腿方法還包括 基于卵悉目的網(wǎng)絡(luò)設(shè)備被配置來拒絕不安全的網(wǎng)絡(luò)流量的決定，沿"皿網(wǎng)絡(luò)的計(jì)劃路徑將所述網(wǎng)絡(luò)流量傳輸給所述目的設(shè)備而不應(yīng)用安全技術(shù)，其中， 所述不安全的網(wǎng)絡(luò)流量是沒有用強(qiáng)制安全技術(shù)掃描的網(wǎng)絡(luò)流量。
78. 根據(jù)權(quán)利要求75所述的計(jì)M1可讀介質(zhì)，其中，包括基于戶脫網(wǎng)絡(luò) 流量的大小的確定發(fā)送戶，査詢。
79. 根據(jù)權(quán)利要求75所述的計(jì)穀幾可讀介質(zhì)，其中接收包括由在所述網(wǎng)絡(luò) 邊界上的邊界安全設(shè)，收。
80. 根據(jù)權(quán)利要求75戶脫的計(jì),可讀介質(zhì)，其中探知還包括 衞正戶腿安全策略的完整性。
81. 根據(jù)權(quán)利要求75戶脫的計(jì)^m可讀介質(zhì)，其中探知還包括衞正戶;M安全策略的認(rèn)證。
82. 根據(jù)權(quán)利要求76戶脫的計(jì)^m可讀介質(zhì)，其中戶腿至少一個(gè)網(wǎng)絡(luò)設(shè)備 數(shù)字化簽名幫助的安全技術(shù)。
83. 根據(jù)權(quán)利要求82戶服的計(jì)^l可讀介質(zhì)，其中傳輸還包括 ^i!E^M幫助意圖的完整性。
84. 根據(jù)權(quán)利要求83戶脫的計(jì)^m可讀介質(zhì)，其中#^還包括 銜正與戶皿幫助的^技術(shù)關(guān)聯(lián)的一個(gè)和多個(gè)數(shù)字簽名的認(rèn)證。
全文摘要
用來在網(wǎng)絡(luò)中提供數(shù)據(jù)安全掃描的方法和系統(tǒng)。網(wǎng)絡(luò)設(shè)備基于網(wǎng)絡(luò)的安全策略(210)，探知應(yīng)當(dāng)或必須被應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)(220)。基于還沒有被應(yīng)用的安全技術(shù)對(duì)網(wǎng)絡(luò)設(shè)備是可用的確定(230)，網(wǎng)絡(luò)設(shè)備應(yīng)用還沒有被應(yīng)用的安全技術(shù)。接著，網(wǎng)絡(luò)設(shè)備用表示還沒有被應(yīng)用的安全技術(shù)的安全標(biāo)志對(duì)網(wǎng)絡(luò)流量做標(biāo)記以反映被應(yīng)用到網(wǎng)絡(luò)流量的安全技術(shù)(235)。
文檔編號(hào)G06F12/14GK101164050SQ200680008026
公開日2008年4月16日 申請(qǐng)日期2006年1月6日 優(yōu)先權(quán)日2005年1月12日
發(fā)明者基思·G·紐斯泰特, 威廉·J·高文, 戴維·T·林 申請(qǐng)人:賽門鐵克公司