專利名稱：：用于通信網(wǎng)絡(luò)的防入侵方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
：本發(fā)明涉及通信系統(tǒng)領(lǐng)域。具體而言，本發(fā)明涉及一種用于通信網(wǎng)^各的防入^f曼方法和系統(tǒng)。
背景技術(shù)：
：正如所知，通信網(wǎng)絡(luò)包括三個(gè)邏輯主平面，即數(shù)據(jù)平面，該平面是適合于發(fā)送用戶數(shù)據(jù)的平面；控制平面，該平面是適合于執(zhí)行控制操作的平面；以及管理平面，該平面是適合于執(zhí)行管理操作的平面。對(duì)通信網(wǎng)絡(luò)進(jìn)行管理，提供對(duì)諸多操作的執(zhí)行，這些操作例如-監(jiān)^f見網(wǎng)絡(luò)性能；-配置網(wǎng)元及其資源(板卡、端口、交叉連接等)；-對(duì)網(wǎng)絡(luò)中出現(xiàn)的錯(cuò)誤進(jìn)行管理；等等。通常，管理操作由連接到待管理的網(wǎng)絡(luò)的各網(wǎng)元的稱為"網(wǎng)絡(luò)管理站或者系統(tǒng)"(或者簡稱為NMS)的裝置來執(zhí)行。具體而言，NMS具有稱為"管理器"的軟件應(yīng)用，該軟件應(yīng)用能夠與位于網(wǎng)元處的稱為"代理"的軟件應(yīng)用交換信息。管理器和代理通過使用在管理平面中執(zhí)行并且視通信網(wǎng)絡(luò)類型而定的管理協(xié)議來相互交換管理信息。管理協(xié)議的例子有SNMP(簡單網(wǎng)絡(luò)管理協(xié)議)、CMIP(公共管理信息協(xié)議)、Q3和TL1。由于控制平面和管理平面所具有的功能，它們特別容易受到所謂"黑客"的攻擊。在以下描述中和在權(quán)利要求書中，術(shù)語"攻擊，，將表示黑客在通信網(wǎng)絡(luò)中引入未授權(quán)軟件和/或以未授權(quán)方式操控對(duì)通信網(wǎng)絡(luò)進(jìn)行管理和控制的管理和控制軟件的嘗試?？赡艿墓纛愋陀?DOS(服務(wù)拒絕)攻擊，這些攻擊基本上以導(dǎo)致低效率為目的，這可能造成網(wǎng)元的故障；-惡意軟件復(fù)制，這些復(fù)制以在網(wǎng)元中打開所謂的"后門"由此有利于未授權(quán)訪問為目的；以及-木馬、蠕蟲、KeyLogger和病毒的擴(kuò)散。廣而言之，數(shù)據(jù)平面非常安全，因?yàn)樗灰匀魏畏绞脚c網(wǎng)元的軟件應(yīng)用交互。換而言之，用戶數(shù)據(jù)在數(shù)據(jù)平面中以透明方式傳送，即網(wǎng)元的軟件應(yīng)用并不處理用戶^t據(jù)。在以下描述中和在權(quán)利要求書中，"防入侵機(jī)制-系統(tǒng)-方法"這一表述將表示在通信網(wǎng)絡(luò)中實(shí)施并且適合于將受到攻擊的一個(gè)或者多個(gè)網(wǎng)元與網(wǎng)絡(luò)的其它網(wǎng)元隔離的4幾制-系統(tǒng)-方法。受到攻擊的網(wǎng)元又稱為"受感染網(wǎng)元"。在本領(lǐng)域中已知諸多防入侵機(jī)制，例如不對(duì)稱密碼、單向散列函數(shù)等。這些已知的防入侵機(jī)制通常提供編碼/解碼密鑰，比如通常是人盡皆知的公用編碼/解碼密鑰和保密的私用編碼/解碼密鑰。公用和私用編碼/解碼密鑰;波此相關(guān)。具體而言，由^^用編碼密鑰編碼的信息只能由對(duì)應(yīng)的私用解碼密鑰解碼，并且反之亦然，由私用編碼密鑰編碼的信息只能由對(duì)應(yīng)的公用解碼密鑰解碼。
發(fā)明內(nèi)容申請(qǐng)人已經(jīng)注意到在通信網(wǎng)絡(luò)領(lǐng)域中希望提供基于web技術(shù)的管理系統(tǒng)。這主要?dú)w因于如下事實(shí)以這一方式操作的管理系統(tǒng)有利地使得可以使用與諸如Mozilla、InternetExplorer等用于瀏覽網(wǎng)絡(luò)的當(dāng)前計(jì)算機(jī)程序的圖形接口(普遍稱為"web瀏覽器")相似的管理圖形接口。申請(qǐng)人已經(jīng)注意到管理系統(tǒng)由此可以通過由NMS執(zhí)行并且能夠支持web式管理圖形接口的瀏覽器來實(shí)施，其中將管理信息顯示為web接口特有的圖形對(duì)象，即窗口、圖標(biāo)等?；趙eb技術(shù)的網(wǎng)絡(luò)管理系統(tǒng)的使用與"開放源代碼"軟件的廣泛運(yùn)用一起造成網(wǎng)元脆弱性的增加。因此，基于web技術(shù)的管理系統(tǒng)的發(fā)展一方面帶來通信網(wǎng)絡(luò)可訪問性方面的優(yōu)點(diǎn)，另一方面又不利地使通信網(wǎng)絡(luò)并且特別是上文提到的控制平面和管理平面更容易受到"黑客"的攻擊。申請(qǐng)人已經(jīng)注意到已知的防入侵機(jī)制在應(yīng)用于上述通信網(wǎng)絡(luò)的管理系統(tǒng)時(shí)存在諸多弊端。首先，從決策的觀點(diǎn)來看，它們是被動(dòng)機(jī)制。換而言之，這些機(jī)制檢測網(wǎng)絡(luò)內(nèi)的異常業(yè)務(wù)(異常業(yè)務(wù)一般表明通信網(wǎng)絡(luò)正在受到攻擊)，并且它們向操作者發(fā)送可視的和/或聲音的報(bào)警信號(hào)。接著，操作者例如通過關(guān)閉異常業(yè)務(wù)中轉(zhuǎn)經(jīng)過的端口來隔離受感染網(wǎng)元從而停止該業(yè)務(wù)，并且分析網(wǎng)絡(luò)從而檢測異常的原因。因此，這些枳j制引起在檢測到攻擊的時(shí)間與通過操作者的干預(yù)來隔離受感染網(wǎng)元的時(shí)間之間的延遲。然后，不利的是，操作者可能會(huì)在損害已經(jīng)明顯擴(kuò)大時(shí)才進(jìn)行千預(yù)。其次，已知的防入侵機(jī)制會(huì)占用大量計(jì)算資源。另外，如果例如黑客進(jìn)入通信網(wǎng)絡(luò)的管理平面，則他可以改變網(wǎng)元的管理配置。不利的是，現(xiàn)有防入侵才幾制通過停止全部網(wǎng)元從而也停止用戶數(shù)據(jù)處理來操作。因此，申請(qǐng)人已經(jīng)針對(duì)提供一種能夠克服至少一個(gè)上文提到的弊端的用于通信網(wǎng)絡(luò)的防入侵方法和系統(tǒng)這一問題進(jìn)行了研究。具體而言，申請(qǐng)人已經(jīng)針對(duì)提供用于通信網(wǎng)絡(luò)的如下防入侵方法和系統(tǒng)這一問題進(jìn)行了研究，該防入侵方法和系統(tǒng)使得在檢測到攻擊的時(shí)間與將受感染網(wǎng)元與其它網(wǎng)元隔離的時(shí)間之間的延遲明顯減少。根據(jù)第一方面，本發(fā)明提供一種用于通信網(wǎng)絡(luò)的防入侵方法，該通信網(wǎng)絡(luò)包括多個(gè)網(wǎng)元，該方法包括以下步驟a)提供與通信網(wǎng)絡(luò)協(xié)作的被動(dòng)監(jiān)視組件、決策組件和動(dòng)作組件；b)在被動(dòng)監(jiān)視組件處，4企測表明對(duì)多個(gè)網(wǎng)元中的至少一個(gè)網(wǎng)元的攻擊的管理信息，處理該管理信息從而生成感染數(shù)據(jù)，并且將該感染數(shù)據(jù)發(fā)送到?jīng)Q策組件；C)在決策組件處，接收感染數(shù)據(jù)，做出與為了阻止攻擊而將進(jìn)行的動(dòng)作有關(guān)的決策，并且將該決策發(fā)送到動(dòng)作組件；并且d)在動(dòng)作組件處，基于該決策來指示至少一個(gè)網(wǎng)元執(zhí)行動(dòng)作。優(yōu)選地，步驟a)包括在多個(gè)網(wǎng)元中的各網(wǎng)元處提供被動(dòng)監(jiān)視組件。優(yōu)選地，步驟a)還包括在多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元處提供決策組件和動(dòng)作組件。取而代之，步驟a)還包括在多個(gè)網(wǎng)元中的各網(wǎng)元處提供決策組件和動(dòng)作組件。取而代之，步驟a)包括在多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元處提供決策組件而在多個(gè)網(wǎng)元中的另一網(wǎng)元處提供動(dòng)作組件。取而代之，步驟a)還包括以下步驟中的至少一個(gè)步驟-在多個(gè)網(wǎng)元中的至少兩個(gè)網(wǎng)元處提供決策組件，從而形成決策集群；并且-在多個(gè)網(wǎng)元中的另外至少兩個(gè)網(wǎng)元處提供動(dòng)作組件，從而形成動(dòng)作集群。優(yōu)選地，步驟c)還包括通過使用靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表中的至少一種關(guān)聯(lián)表來進(jìn)行決策，靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表各自均包括多行，多行中的各行包括安全閾值和與安全閾值關(guān)聯(lián)的可能動(dòng)作。根據(jù)第二方面，本發(fā)明提供一種用于通信網(wǎng)絡(luò)的防入侵系統(tǒng)，該通信網(wǎng)絡(luò)包括多個(gè)網(wǎng)元，該系統(tǒng)包括與通信網(wǎng)絡(luò)協(xié)作的被動(dòng)監(jiān)視組件、決策組件和動(dòng)作組件，其中-被動(dòng)監(jiān)視組件適合于檢測表明對(duì)多個(gè)網(wǎng)元中的至少一個(gè)網(wǎng)元的攻擊的管理信息、處理該管理信息從而生成感染數(shù)據(jù)并且將該感染數(shù)據(jù)發(fā)送到?jīng)Q策組件；-決策組件適合于接收感染數(shù)據(jù)、做出與為了阻止攻擊而將進(jìn)行的動(dòng)作有關(guān)的決策并且將該決策發(fā)送到動(dòng)作組件；以及-動(dòng)作組件適合于基于該決策來指示至少一個(gè)網(wǎng)元執(zhí)行動(dòng)作。優(yōu)選地，在多個(gè)網(wǎng)元中的各網(wǎng)元處提供被動(dòng)監(jiān)視組件。優(yōu)選地，在多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元處提供決策組件和動(dòng)作組件。取而代之，在多個(gè)網(wǎng)元中的各網(wǎng)元處提供決策組件和動(dòng)作組件。取而代之，在多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元處提供決策組件而在多個(gè)網(wǎng)元中的另一網(wǎng)元提供動(dòng)作組件。取而代之，在多個(gè)網(wǎng)元中的至少兩個(gè)網(wǎng)元處提供決策組件，從而形成決策集群；和/或在多個(gè)網(wǎng)元中的另外至少兩個(gè)網(wǎng)元處提供動(dòng)作組件，從而形成動(dòng)作集群。優(yōu)選地，該系統(tǒng)還包括靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表中的至少一種關(guān)聯(lián)表，靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表各自均包括多行，多行中的各行包括安全閾值和與安全閾值關(guān)聯(lián)的可能動(dòng)作，決策組件適合于通過使用靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表中的至少一種關(guān)聯(lián)表來進(jìn)行決策。通過參照以下附圖來閱讀下文以舉例而非限制的方式給出的具體描述，將更好地理解本發(fā)明-圖1示意地示出了具有根據(jù)本發(fā)明第一實(shí)施例的防入侵系統(tǒng)的通信網(wǎng)絡(luò)；-圖2和圖3分別更具體地示出了圖1的通信網(wǎng)絡(luò)的第一和第二網(wǎng)元的結(jié)構(gòu)；-圖4示意地示出了具有根據(jù)本發(fā)明第二實(shí)施例的防入侵系統(tǒng)的通信網(wǎng)絡(luò)；-圖5示意地示出了具有根據(jù)本發(fā)明第三實(shí)施例的防入侵系統(tǒng)的通信網(wǎng)絡(luò)；-圖6和圖7分別更具體地示出了圖5的通信網(wǎng)絡(luò)的第一和第二網(wǎng)元的結(jié)構(gòu)；并且-圖8示意地示出了具有根據(jù)本發(fā)明第四實(shí)施例的防入侵系統(tǒng)的通信網(wǎng)絡(luò)。具體實(shí)施例方式圖1示意地示出了具有根據(jù)本發(fā)明第一實(shí)施例的防入侵系統(tǒng)的通信網(wǎng)絡(luò)CN。為簡單起見，假設(shè)通信網(wǎng)絡(luò)CN包括僅四個(gè)網(wǎng)元NE1、NE2、NE3'和NE4。顯然，這只是示例性的，因?yàn)橥ㄐ啪W(wǎng)絡(luò)CN可以包括任何數(shù)目的網(wǎng)元。各網(wǎng)元NE1、NE2、NE3'和NE4包括用于相應(yīng)數(shù)據(jù)業(yè)務(wù)的一個(gè)或者多個(gè)輸入/輸出端口。為簡單起見，在圖1中沒有示出輸入/輸出端口。優(yōu)選地，網(wǎng)元NE1、NE2、NE3'和NE4形成同一計(jì)算網(wǎng)格G的一部分。正如所知，計(jì)算網(wǎng)格使得可以執(zhí)行分布式應(yīng)用，即它使得可以在形成網(wǎng)格的所有計(jì)算機(jī)之間共享對(duì)給定應(yīng)用的執(zhí)行。換而言之，在形成網(wǎng)格的所有計(jì)算機(jī)之間共享該應(yīng)用。優(yōu)選地，形成網(wǎng)格的計(jì)算機(jī)借助于稱為"中間件"的應(yīng)用經(jīng)由網(wǎng)絡(luò)相互通信。示例計(jì)算網(wǎng)格是由GlobusAlliance提出的使用中間件Globus的網(wǎng)格。根據(jù)這一實(shí)施例，通信網(wǎng)絡(luò)CN的網(wǎng)元NE1、NE2、NE3'和NE4借助于中間件經(jīng)由網(wǎng)絡(luò)相互連接。申請(qǐng)人已經(jīng)通過使用上文提到的中間件Globus執(zhí)行了一些有效測試。優(yōu)選地，通信網(wǎng)絡(luò)CN還連接到管理終端MT，該MT^皮配置成執(zhí)行瀏覽模塊B并且連接到網(wǎng)格G的任一網(wǎng)元，例如網(wǎng)元NE1。瀏覽模塊B能夠支持web式管理圖形接口(為簡單起見在圖中沒有示出)。web式管理圖形接口適合于顯示圖形對(duì)象(比如窗口和圖標(biāo))、與通信網(wǎng)絡(luò)CN的管理有關(guān)的管理信息(即網(wǎng)元NE1、NE2、NE3'和NE4的資源配置參數(shù)、網(wǎng)元NE1、NE2、NE3'和NE4的資源性能參數(shù)以及由網(wǎng)元NE1、NE2、NE3'和NE4生成的任何報(bào)警)。根據(jù)本發(fā)明的實(shí)施例，計(jì)算網(wǎng)格G與防入侵模塊AIM和防入侵監(jiān)視模塊AIMM協(xié)作。根據(jù)本發(fā)明的第一實(shí)施例并且參照?qǐng)D2,防入侵模塊AIM安裝于通信網(wǎng)絡(luò)CN的一個(gè)網(wǎng)元如網(wǎng)元NE3'中。優(yōu)選地，防入侵模塊AIM包括被動(dòng)監(jiān)視組件PMC、通信組件CC、決策組件DMC和動(dòng)作組件AMC。被動(dòng)監(jiān)視組件PMC優(yōu)選地適合于-以持續(xù)方式本地監(jiān)視通過網(wǎng)元NE3'的端口的管理信息業(yè)務(wù)；-處理這些管理信息以生成可能的感染數(shù)據(jù)；并且-將可能的感染數(shù)據(jù)提供給決策組件DMC。決策組件DMC優(yōu)選地適合于-接收來自被動(dòng)監(jiān)視組件PMC以及通過通信組件CC來自其它網(wǎng)元的可能的感染數(shù)據(jù)；-做出(優(yōu)選實(shí)時(shí)地做出)與為了阻止可能的攻擊而將進(jìn)行的可能動(dòng)作有關(guān)的決策；并且-將這樣的決策發(fā)送到動(dòng)作組件AMC。動(dòng)作組件AMC被配置成基于從決策組件DMC接收的決策來激活最佳阻止動(dòng)作以保護(hù)通信網(wǎng)絡(luò)。優(yōu)選地，決策組件DMC基于一對(duì)關(guān)聯(lián)表，即靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表來進(jìn)行決策。靜態(tài)關(guān)聯(lián)表由操作者在防入侵模塊AIM的配置步驟期間編譯，并且它包括多行，每行包括一個(gè)安全閾值。優(yōu)選地，一個(gè)安全閾值與防入侵模塊AIM的一個(gè)相應(yīng)行為關(guān)聯(lián)。表1提供了靜態(tài)關(guān)聯(lián)表的例子。<table>tableseeoriginaldocumentpage11</column></row><table><table>tableseeoriginaldocumentpage12</column></row><table>根據(jù)第一實(shí)施例，網(wǎng)元NE1、NE2和NE4具有相應(yīng)的防入侵監(jiān)視模塊AIMM。圖3具體地示出了網(wǎng)元NE1、NE2和NE4之一的結(jié)構(gòu)。如圖3中所示，通用網(wǎng)元NEi(i二l、2、4)的防入侵監(jiān)視模塊AIMM包括級(jí)聯(lián)連接的被動(dòng)監(jiān)視組件PMC和通信組件CC。被動(dòng)監(jiān)浮見組件PMC適合于-以持續(xù)方式本地監(jiān)^見流過網(wǎng)元NEi(i=l、2、4)的端口的管理信息業(yè)務(wù)；-處理這些管理信息以生成可能的感染數(shù)據(jù)；并且-借助于通信組件CC將可能的感染數(shù)據(jù)發(fā)送到網(wǎng)元NE3'的決策組件DMC。因此，通信組件CC適合于使網(wǎng)元NEi(i=l、2、4)可能地通過計(jì)算網(wǎng)格G的其它網(wǎng)元與網(wǎng)元NE3'通信?，F(xiàn)在將參照?qǐng)D1、圖2和圖3具體地描述根據(jù)第一實(shí)施例的防入侵系統(tǒng)及其組件的操作。例如假設(shè)網(wǎng)元NE4受到黑客攻擊(例如DOS型攻擊)。在這一情況下，受感染網(wǎng)元NE4往往例如通過復(fù)制管理信息并且在通信網(wǎng)絡(luò)CN中廣播它們以便使網(wǎng)元之間的鏈路超負(fù)荷來攻擊通信網(wǎng)絡(luò)CN的其它網(wǎng)元?？赡艹霈F(xiàn)兩種情況。在第一種情況下，網(wǎng)元NE4借助于它的被動(dòng)監(jiān)視組件PMC來自主地檢測到它已經(jīng)受到攻擊，并且它將此傳達(dá)到其它網(wǎng)元、特別是網(wǎng)元NE3'。在第二種情況下，網(wǎng)元NE4沒有意識(shí)到已經(jīng)受感染。在后一種情況下，通信網(wǎng)絡(luò)CN的其它網(wǎng)元通過借助于它們相應(yīng)的被動(dòng)監(jiān)視組件PMC監(jiān)視在網(wǎng)格G上交換的管理信息來4全測網(wǎng)元NE4的感染。在這兩種情形中，已經(jīng)檢測到網(wǎng)元NE4處的管理信息業(yè)務(wù)異常的網(wǎng)元的被動(dòng)監(jiān)視組件PMC生成感染數(shù)據(jù)并且將它們發(fā)送到網(wǎng)元NE3'的決策組件DMC。具體而言，如果網(wǎng)元NE3'的^皮動(dòng)監(jiān)^L組件PMC檢測到感染，則它將感染數(shù)據(jù)直接地發(fā)送到?jīng)Q策組件DMC。反言之，如果任何其它網(wǎng)元的被動(dòng)監(jiān)視組件PMC檢測到感染，則它通過它的通信組件CC將感染數(shù)據(jù)發(fā)送到?jīng)Q策組件DMC。基于所接收的感染數(shù)據(jù)，決策組件DMC做出決策。具體而言，決策組件DMC具有存儲(chǔ)于其中的安全閾值，該安全閾值是從上文在表1中列舉的安全閾值之中選擇。優(yōu)選地，負(fù)責(zé)管理通信網(wǎng)絡(luò)CN的操作者可以基于使用通信網(wǎng)絡(luò)的客戶的需要來設(shè)置安全閾值。當(dāng)決策組件DMC接收到表明網(wǎng)元NE4受到感染的感染數(shù)據(jù)時(shí)，它優(yōu)選地確定是否已經(jīng)超過安全閾值并且如果已經(jīng)超過則選擇靜態(tài)關(guān)聯(lián)表內(nèi)的先前存儲(chǔ)的對(duì)應(yīng)動(dòng)作。取而代之，決策組件DMC確定新的安全閾值和新的對(duì)應(yīng)動(dòng)作并且更新動(dòng)態(tài)關(guān)聯(lián)表。例如，決策組件DMC可以決定關(guān)閉管理信息業(yè)務(wù)所流經(jīng)的網(wǎng)元NE4的端口并從而對(duì)動(dòng)作才莫塊AMC發(fā)出命令。結(jié)果是動(dòng)作模塊AMC借助于它的通信組件CC命令端口關(guān)閉，從而將受感染網(wǎng)元NE與網(wǎng)絡(luò)CN隔離。因此，從決策的觀點(diǎn)來看，有利的是，上述防入侵系統(tǒng)是主動(dòng)的。這有利地使得可以在檢測到影響一個(gè)或者多個(gè)網(wǎng)元的任何感染時(shí)基本上實(shí)時(shí)地作出回應(yīng)，從而消化攻擊對(duì)通信網(wǎng)絡(luò)CN造成的磁:壞。因此，上述防入侵系統(tǒng)有利地使在檢測到攻擊的時(shí)間與隔離受感染網(wǎng)元的時(shí)間之間的延遲明顯減少，因?yàn)橥ㄐ啪W(wǎng)絡(luò)CN本身會(huì)自動(dòng)地回應(yīng)外部攻擊而無需操作者的干預(yù)。另外，在通信網(wǎng)絡(luò)的網(wǎng)元處實(shí)施上述防入侵系統(tǒng)。這有利地形成防入侵機(jī)制的分散，從而使得可以減少專用于在管理終端MT處實(shí)施防入侵機(jī)制的計(jì)算資源的數(shù)量。根據(jù)圖4中所示本發(fā)明的第二實(shí)施例，各網(wǎng)元NE1'、NE2'、NE3'和NE4'具有相應(yīng)的防入侵模塊AIM。具體而言，網(wǎng)元NE1'、NE2'、NE3'和NE4'都具有與圖2中所示網(wǎng)元NE3'的結(jié)構(gòu)相似的結(jié)構(gòu)。然后，根據(jù)此第二實(shí)施例，各網(wǎng)元NE1'、NE2'、NE3'和NE4'能夠獨(dú)立地管理可能的攻擊。換而言之，在有攻擊企圖的情況下，各網(wǎng)元能夠-獨(dú)立并且基本上實(shí)時(shí)地決定將進(jìn)行的動(dòng)作(決策組件DMC);并且-進(jìn)^f亍所決定的動(dòng)作(動(dòng)作組件AMC)。因此，在一個(gè)網(wǎng)元的防入侵模塊AIM停止運(yùn)轉(zhuǎn)的情況下，通信網(wǎng)絡(luò)CN的其它網(wǎng)元有利地繼續(xù)適合于執(zhí)行從上述防入侵系統(tǒng)提供的所有操作(監(jiān)視、決策、動(dòng)作)。根據(jù)圖5至圖7中所示本發(fā)明的第三實(shí)施例，決策功能和動(dòng)作功能單獨(dú)地實(shí)施于通信網(wǎng)絡(luò)CN的相應(yīng)網(wǎng)元中。例如，各網(wǎng)元NE1、NE4包括與圖3中所示防入侵監(jiān)禍L模塊AIMM相似的相應(yīng)防入侵監(jiān)視模塊AIMM。另外，例如網(wǎng)元NE2"包括具有被動(dòng)監(jiān)視組件PMC、通信組件CC和決策組件DMC的模塊AIM'。被動(dòng)監(jiān)視組件PMC優(yōu)選地適合于畫以持續(xù)方式本地監(jiān)視流過網(wǎng)元NE2"的端口的管理信息；-處理這些管理信息，從而生成可能的感染數(shù)據(jù)；并且-將可能的感染數(shù)據(jù)發(fā)送到?jīng)Q策組件DMC。決策組件DMC優(yōu)選地適合于-接收來自被動(dòng)監(jiān)視組件PMC以及借助于通信組件CC來自其它網(wǎng)元的感染數(shù)據(jù)；-優(yōu)選地，實(shí)時(shí)地做出與為了阻止任何攻擊而將進(jìn)行的可能動(dòng)作有關(guān)的決策；并且-通過通信組件CC將這樣的決策發(fā)送到網(wǎng)元NE3"。另外，例如網(wǎng)元NE3"包括具有被動(dòng)監(jiān)視組件PMC、通信組件CC和動(dòng)作組件AMC的模塊AIM"。被動(dòng)監(jiān)視組件PMC優(yōu)選地適合于-以持續(xù)方式本地監(jiān)視流過網(wǎng)元NE3"的端口的管理信息業(yè)務(wù)；-處理這些管理信息，從而生成可能的感染數(shù)據(jù)；并且-借助于通信組件CC將可能的感染數(shù)據(jù)發(fā)送到網(wǎng)元NE2"。動(dòng)作組件AMC優(yōu)選地適合于-從網(wǎng)元NE2"接收決策；并且-通過通信組件CC將對(duì)應(yīng)的指令發(fā)送到其它網(wǎng)元。因此，根據(jù)諸如通信網(wǎng)絡(luò)CN的拓樸結(jié)構(gòu)、一個(gè)或者多個(gè)受感染網(wǎng)元的位置等各種標(biāo)準(zhǔn)，決策功能和動(dòng)作功能有利地可以單獨(dú)地位于通信網(wǎng)絡(luò)CN內(nèi)。根據(jù)本發(fā)明的第四實(shí)施例，在通信網(wǎng)絡(luò)CN的下文稱為"決策集群"的第一組網(wǎng)元中實(shí)施決策功能。除此之外或者取而代之，在下文稱為"動(dòng)作集群"的第二組網(wǎng)元中實(shí)施動(dòng)作功能。例如，在圖8中所示實(shí)施例中，在其結(jié)構(gòu)優(yōu)選地與圖6中所示結(jié)構(gòu)相似的網(wǎng)元NE2"實(shí)施決策功能。另一方面，在由網(wǎng)元NE3"和NE4"形成的動(dòng)作集群AC中實(shí)施動(dòng)作功能。網(wǎng)元NE3"和NE4"的結(jié)構(gòu)優(yōu)選地與圖7中所示結(jié)構(gòu)相似。最后，網(wǎng)元NE1僅執(zhí)行監(jiān)視功能，因此它具有優(yōu)選地與圖3中所示結(jié)構(gòu)相似的結(jié)構(gòu)。操作者或者通信網(wǎng)絡(luò)CN本身可以根據(jù)不同標(biāo)準(zhǔn)確定決策集群和/或動(dòng)作集群的組成，這些標(biāo)準(zhǔn)例如是可用計(jì)算資源(網(wǎng)元NE3"和NE4"可以是可用計(jì)算資源數(shù)量最大的網(wǎng)元)、通信網(wǎng)絡(luò)CN的拓樸結(jié)構(gòu)、在受感染網(wǎng)元與實(shí)施決策功能和動(dòng)作功能的網(wǎng)元之間的跳數(shù)。另外，在通信網(wǎng)絡(luò)CN內(nèi)復(fù)制決策功能和/或動(dòng)作功能使得可以有利地保證即使屬于該組的網(wǎng)元之一變得失效仍然繼續(xù)實(shí)施這樣的功能。雖然上述防入侵系統(tǒng)特別地適合于保護(hù)通信網(wǎng)絡(luò)CN免受對(duì)控制平面和管理平面的攻擊，但是它還可以有利地用來應(yīng)對(duì)對(duì)數(shù)據(jù)平面的攻擊。例如，如果黑客不僅成功地訪問了流過網(wǎng)元的管理信息而且還將錯(cuò)誤值應(yīng)用于網(wǎng)元的配置參數(shù)，則這涉及到在數(shù)據(jù)平面發(fā)生感染，即付費(fèi)業(yè)務(wù)發(fā)生感染的可能風(fēng)險(xiǎn)。由于這一情形將對(duì)通信網(wǎng)絡(luò)管理器造成的經(jīng)濟(jì)性石皮壞，因此應(yīng)當(dāng)對(duì)其加以避免。為了避開這一弊端，本發(fā)明的防入侵系統(tǒng)優(yōu)選地提供如下方案，即在管理平面受到感染的網(wǎng)元通過中斷付費(fèi)業(yè)務(wù)的發(fā)送來對(duì)故障進(jìn)行仿真。以這一方式，通信網(wǎng)絡(luò)CN的其它網(wǎng)元激活恢復(fù)機(jī)制，該恢復(fù)機(jī)制沿著不包括受感染網(wǎng)元的替代路徑對(duì)付費(fèi)業(yè)務(wù)進(jìn)行重新路由。因此，同樣根據(jù)本發(fā)明的第二、第三和第四實(shí)施例，從決策的觀點(diǎn)來看，有利的是，防入侵系統(tǒng)是主動(dòng)的。這有利地使得可以在檢測到對(duì)一個(gè)或者多個(gè)網(wǎng)元的攻擊時(shí)基本上實(shí)時(shí)地作出回應(yīng)，從而防止一個(gè)或者多個(gè)受感染網(wǎng)元將"感染"發(fā)送到其它網(wǎng)元。因此，上述防入侵系統(tǒng)有利地使在檢測到攻擊的時(shí)間與隔離受感染網(wǎng)元的時(shí)間之間的延遲明顯減少，因?yàn)橥ㄐ啪W(wǎng)絡(luò)CN本身會(huì)自動(dòng)地回應(yīng)外部攻擊而無需操作者的干預(yù)。權(quán)利要求1.一種用于通信網(wǎng)絡(luò)(CN)的防入侵方法，所述通信網(wǎng)絡(luò)(CN)包括多個(gè)網(wǎng)元(NE1，NE2，NE3′，NE4；NE1′，NE2′，NE3′，NE4′；NE1，NE2″，NE3″，NE4；NE1，NE2″，NE3″，NE4″)，所述方法包括以下步驟a)提供與所述通信網(wǎng)絡(luò)(CN)協(xié)作的被動(dòng)監(jiān)視組件(PMC)、決策組件(DMC)和動(dòng)作組件(AMC)；b)在所述被動(dòng)監(jiān)視組件(PMC)處，檢測表明對(duì)所述多個(gè)網(wǎng)元中的至少一個(gè)網(wǎng)元(NE4)的攻擊的管理信息，處理所述管理信息從而生成感染數(shù)據(jù)，并且將所述感染數(shù)據(jù)發(fā)送到所述決策組件(DMC)；c)在所述決策組件(DMC)處，接收所述感染數(shù)據(jù)，做出與為了阻止所述攻擊而將進(jìn)行的動(dòng)作有關(guān)的決策，并且將所述決策發(fā)送到所述動(dòng)作組件(AMC)；以及d)在所述動(dòng)作組件(AMC)處，基于所述決策來指示所述至少一個(gè)網(wǎng)元(NE4)執(zhí)行所述動(dòng)作，所述方法的特征在于所述步驟a)包括在所述多個(gè)網(wǎng)元中的每個(gè)網(wǎng)元處提供所述被動(dòng)監(jiān)視組件(PMC)。2.根據(jù)權(quán)利要求1所述的方法，其中所述步驟a)還包括在所述多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元(NE3')處提供所述決策組件(DMC)和所述動(dòng)作組件(AMC)。3.根據(jù)權(quán)利要求1所述的方法，其中所述步驟a)還包括在所述多個(gè)網(wǎng)元中的每個(gè)網(wǎng)元(NE1',NE2',NE3',NE4')處提供所述決策組件(DMC)和所述動(dòng)作組件(AMC)。4.根據(jù)權(quán)利要求1所述的方法，其中所述步驟a)包括在所述多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元(NE2")處提供所述決策組件(DMC)而在所述多個(gè)網(wǎng)元中的另一網(wǎng)元(NE3")處提供所述動(dòng)作組件(AMC)。5.根據(jù)權(quán)利要求1所述的方法，其中所述步驟a)還包括以下步驟中的至少一個(gè)步驟-在所述多個(gè)網(wǎng)元中的至少兩個(gè)網(wǎng)元處提供所述決策組件(DMC)，從而形成決策集群；以及-在所述多個(gè)網(wǎng)元中的另外至少兩個(gè)網(wǎng)元(NE3",NE4")處提供所述動(dòng)作組件(AMC)，從而形成動(dòng)作集群(AC)。6.根據(jù)前述權(quán)利要求中任一項(xiàng)所述的方法，其中所述步驟c)還包括通過使用靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表中的至少一種關(guān)聯(lián)表來進(jìn)行所述決策，所述靜態(tài)關(guān)聯(lián)表和所述動(dòng)態(tài)關(guān)聯(lián)表各自均包括多行，所述多行中的每一行均包括安全閾值和與所述安全闊值關(guān)聯(lián)的可能動(dòng)作。7.—種用于通信網(wǎng)絡(luò)(CN)的防入侵系統(tǒng)，所述通信網(wǎng)絡(luò)(CN)包括多個(gè)網(wǎng)元(NE1，NE2,NE3'，NE4;NE1',NE2'，NE3'，NE4';NE1,NE2",NE3"，NE4;NE1，NE2",NE3",NE4"),所述系統(tǒng)包括與所述通信網(wǎng)絡(luò)(CN)協(xié)作的被動(dòng)監(jiān)視組件(PMC)、決策組件(DMC)和動(dòng)作組件(AMC)，其中-所述^皮動(dòng)監(jiān)^見組件(PMC)適合于4全測表明對(duì)所述多個(gè)網(wǎng)元中的至少一個(gè)網(wǎng)元(NE4)的攻擊的管理信息、處理所述管理信息從而生成感染數(shù)據(jù)并且將所述感染數(shù)據(jù)發(fā)送到所述決策組件(DMC);-所述決策組件(DMC)適合于接收所述感染數(shù)據(jù)、做出與為所述動(dòng)作組件(AMC);以及-所述動(dòng)作組件(AMC)適合于基于所述決策來指示所述至少一個(gè)網(wǎng)元(NE4)l丸行所述動(dòng)作，所述系統(tǒng)的特征在于在所述多個(gè)網(wǎng)元中的每個(gè)網(wǎng)元處提供所述被動(dòng)監(jiān)一見組件(PMC)。8.根據(jù)權(quán)利要求7所述的系統(tǒng)，其中在所述多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元(NE3')處提供所述決策組件(DMC)和所述動(dòng)作組件(AMC)。9.根據(jù)權(quán)利要求7所述的系統(tǒng)，其中包括在所述多個(gè)網(wǎng)元中的各網(wǎng)元(NE1',NE2'，NE3',NE4')處提供所述決策組件(DMC)和所述動(dòng)作組件(AMC)。10.根據(jù)權(quán)利要求7所述的系統(tǒng)，其中在所述多個(gè)網(wǎng)元中的一個(gè)網(wǎng)元(NE2")處提供所述決策組件(DMC)而在所述多個(gè)網(wǎng)元中的另一網(wǎng)元(NE3")處提供所述動(dòng)作組件(AMC)。11.根據(jù)權(quán)利要求7所述的系統(tǒng)，其中-在所述多個(gè)網(wǎng)元中的至少兩個(gè)網(wǎng)元處提供所述決策組件(DMC),從而形成決策集群；和/或-在所述多個(gè)網(wǎng)元中的另外至少兩個(gè)網(wǎng)元(NE3"，NE4")處提供所述動(dòng)作組件(AMC),從而形成動(dòng)作集群(AC)。12.根據(jù)權(quán)利要求7-11中任一項(xiàng)所述的系統(tǒng)，其中所述系統(tǒng)還包括靜態(tài)關(guān)聯(lián)表和動(dòng)態(tài)關(guān)聯(lián)表中的至少一種關(guān)聯(lián)表，所述靜態(tài)關(guān)聯(lián)表和所述動(dòng)態(tài)關(guān)聯(lián)表各自均包括多行，所述多行中的每一行均包括安全閾值和與所述安全閾值關(guān)聯(lián)的可能動(dòng)作，所述決策組件(DMC)適合于通過使用所述靜態(tài)關(guān)聯(lián)表和所述動(dòng)態(tài)關(guān)聯(lián)表中的所述至少一種關(guān)聯(lián)表來進(jìn)行所述決策。全文摘要本發(fā)明公開了一種用于包括多個(gè)網(wǎng)元的通信網(wǎng)絡(luò)的防入侵方法。該方法包括以下步驟a)提供與通信網(wǎng)絡(luò)協(xié)作的被動(dòng)監(jiān)視組件、決策組件和動(dòng)作組件；b)在被動(dòng)監(jiān)視組件處，檢測表明對(duì)至少一個(gè)網(wǎng)元的攻擊的管理信息，處理該管理信息從而生成感染數(shù)據(jù)，并且將該感染數(shù)據(jù)發(fā)送到?jīng)Q策組件；c)在決策組件處，接收感染數(shù)據(jù)，做出與為了阻止攻擊而將進(jìn)行的動(dòng)作有關(guān)的決策，并且將該決策發(fā)送到動(dòng)作組件；并且d)在動(dòng)作組件處，基于決策來指示該至少一個(gè)網(wǎng)元執(zhí)行動(dòng)作。文檔編號(hào)H04L12/26GK101621427SQ20091015171公開日2010年1月6日申請(qǐng)日期2009年7月6日優(yōu)先權(quán)日2008年7月4日發(fā)明者A·帕帕雷拉,P·多納戴奧,R·里格利蒂申請(qǐng)人:阿爾卡特朗訊