用于在動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)中傳達(dá)數(shù)據(jù)的路由器的制造方法
【專利摘要】本發(fā)明揭示一種路由器及其使用方法。所述路由器包含用于接收數(shù)據(jù)包及將數(shù)據(jù)包路由到連接到網(wǎng)絡(luò)的計(jì)算裝置的輸入及輸出電路。所述路由器還包含經(jīng)配置以存儲(chǔ)使特定包的目的地與所述包遵循的路線相關(guān)的若干個(gè)表的存儲(chǔ)器。所述路由器能夠正確地路由指定假身份參數(shù)的數(shù)據(jù)包。所述路由器也能夠使用以路由數(shù)據(jù)包的路由協(xié)議動(dòng)態(tài)地變化。所述路由器也能夠基于所述身份參數(shù)中指定假信息的至少一個(gè)身份參數(shù)與存儲(chǔ)于所述路由器的存儲(chǔ)器中的表的比較而將數(shù)據(jù)包路由到若干個(gè)輸出端口中的一者。
【專利說明】用于在動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)中傳達(dá)數(shù)據(jù)的路由器

【技術(shù)領(lǐng)域】
[0001]發(fā)明性布置涉及計(jì)算機(jī)網(wǎng)絡(luò)安全性，且更特定來說涉及用于在計(jì)算機(jī)網(wǎng)絡(luò)的兩個(gè)或兩個(gè)以上邏輯子區(qū)之間通信的系統(tǒng)，其中所述網(wǎng)絡(luò)可動(dòng)態(tài)地操縱以抵御惡意攻擊。

【背景技術(shù)】
[0002]當(dāng)前網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)的主要弱點(diǎn)是其靜態(tài)本性。資產(chǎn)接收永久或不常改變的識(shí)別，此允許對(duì)手幾乎不限時(shí)間地探測(cè)網(wǎng)絡(luò)、映射及利用漏洞。另外，可捕獲在這些固定實(shí)體之間行進(jìn)的數(shù)據(jù)及給所述數(shù)據(jù)賦予屬性。網(wǎng)絡(luò)安全性的當(dāng)前方法圍繞固定資產(chǎn)應(yīng)用例如防火墻及入侵檢測(cè)系統(tǒng)等技術(shù)，且使用加密來保護(hù)途中的數(shù)據(jù)。然而，此傳統(tǒng)方法根本上存在缺陷，因?yàn)槠浣o攻擊者提供固定目標(biāo)。在今天的全球連接的通信基礎(chǔ)結(jié)構(gòu)中，靜態(tài)網(wǎng)絡(luò)為易受攻擊的網(wǎng)絡(luò)。
[0003]國防先進(jìn)研究計(jì)劃局(DARPA)信息保證(IA)項(xiàng)目已執(zhí)行動(dòng)態(tài)網(wǎng)絡(luò)防御領(lǐng)域中的初始研究。在信息保證項(xiàng)目下開發(fā)用以出于使觀察網(wǎng)絡(luò)的任何潛在對(duì)手混淆的目的而動(dòng)態(tài)地重新指派饋送到預(yù)先指定的網(wǎng)絡(luò)飛地(enclave)中的因特網(wǎng)協(xié)議(IP)地址空間的技術(shù)。此技術(shù)稱作動(dòng)態(tài)網(wǎng)絡(luò)地址變換(DYNAT)。在標(biāo)題為“用以阻撓對(duì)手智能的動(dòng)態(tài)方法(DynamicApproaches to Thwart Adversary Intelligence) ” (2001)的 DARPA 的公開論文中提出DYNAT技術(shù)的概述。


【發(fā)明內(nèi)容】

[0004]本發(fā)明的實(shí)施例涉及一種供在動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)中使用的路由器。所述路由器包含連接到經(jīng)配置以接收數(shù)據(jù)通信的至少一個(gè)輸入端口的輸入電路。所述路由器還包含連接到經(jīng)配置以發(fā)射數(shù)據(jù)通信的輸出端口的輸出電路及用于存儲(chǔ)至少一個(gè)表的存儲(chǔ)器。提供至少一個(gè)處理單元且其經(jīng)配置以用于執(zhí)行路由方法。所述路由方法包含:接收包含與源計(jì)算裝置及目的地計(jì)算裝置相關(guān)聯(lián)的兩個(gè)或兩個(gè)以上身份參數(shù)的數(shù)據(jù)通信。所述身份參數(shù)的集合指定假信息。所述處理單元將所述數(shù)據(jù)通信路由到所述多個(gè)輸出端口中的一者。根據(jù)對(duì)應(yīng)于所述身份參數(shù)中指定假信息的至少一者的至少一個(gè)真信息，用于所述數(shù)據(jù)通信的路線是用于所述數(shù)據(jù)通信的正確路由。所述真信息與所述假信息相比不同。
[0005]本發(fā)明還涉及一種用于在使用路由器連接的邏輯網(wǎng)絡(luò)之間傳達(dá)數(shù)據(jù)的方法。所述方法可通過在路由器的輸入端口中的一者處接收數(shù)據(jù)通信開始。確定若干個(gè)可行路線。從所述經(jīng)確定可行路線偽隨機(jī)地選擇一路線。所述方法以基于所述選定路線將所述數(shù)據(jù)通信路由通過所述路由器的輸出端口繼續(xù)。

【專利附圖】

【附圖說明】
[0006]將參考以下繪圖描述實(shí)施例，其中遍及所述圖，相似編號(hào)表示相似物項(xiàng)，且其中:
[0007]圖1是對(duì)于理解本發(fā)明有用的計(jì)算機(jī)網(wǎng)絡(luò)的實(shí)例。
[0008]圖2是在本發(fā)明中可用于執(zhí)行身份參數(shù)的某些操控的模塊的實(shí)例。
[0009]圖3是對(duì)于理解可用以幫助表征圖1中的網(wǎng)絡(luò)的工具有用的圖式。
[0010]圖4是可用以選擇圖1中的模塊的動(dòng)態(tài)設(shè)定的圖形用戶接口的對(duì)話框的實(shí)例。
[0011]圖5是可用以選擇與圖1中的每一模塊相關(guān)聯(lián)的作用狀態(tài)及繞過狀態(tài)的序列的圖形用戶接口的對(duì)話框的實(shí)例。
[0012]圖6是對(duì)于理解可將任務(wù)計(jì)劃傳達(dá)到圖1中的網(wǎng)絡(luò)中的多個(gè)模塊的方式有用的圖式。
[0013]圖7是可用以選擇任務(wù)計(jì)劃且將所述任務(wù)計(jì)劃傳達(dá)到如圖6中所展示的模塊的圖形用戶接口的對(duì)話框的實(shí)例。
[0014]圖8是對(duì)于理解圖1中的模塊的操作有用的流程圖。
[0015]圖9是對(duì)于理解網(wǎng)絡(luò)控制軟件應(yīng)用程序(NCSA)關(guān)于創(chuàng)建及加載任務(wù)計(jì)劃的操作有用的流程圖。
[0016]圖10是可用以實(shí)施圖1中的模塊的計(jì)算機(jī)架構(gòu)的框圖。
[0017]圖11是可用以實(shí)施圖1中所展示的網(wǎng)絡(luò)管理計(jì)算機(jī)(NAC)的計(jì)算機(jī)架構(gòu)的框圖。
[0018]圖12是對(duì)于理解本發(fā)明有用的計(jì)算機(jī)網(wǎng)絡(luò)的實(shí)例。
[0019]圖13是對(duì)于理解圖1中的路由器的操作有用的流程圖。
[0020]圖14是對(duì)于理解圖1中的路由器的操作有用的流程圖。
[0021]圖15是對(duì)于理解圖1中的路由器的操作有用的流程圖。
[0022]圖16是根據(jù)本發(fā)明的可用以實(shí)施用于路由數(shù)據(jù)包的方法的路由器的實(shí)例。
[0023]圖17是對(duì)于理解可修改的一些類型的身份參數(shù)有用的表。

【具體實(shí)施方式】
[0024]參考附圖描述本發(fā)明。所述圖未按比例繪制且其經(jīng)提供以僅圖解說明本發(fā)明。為了圖解說明，下文參考實(shí)例性應(yīng)用描述本發(fā)明的數(shù)個(gè)方面。應(yīng)理解，陳述眾多特定細(xì)節(jié)、關(guān)系及方法以提供對(duì)本發(fā)明的完全理解。然而，相關(guān)領(lǐng)域的技術(shù)人員將容易地認(rèn)識(shí)到，可在不具有特定細(xì)節(jié)中的一或多者的情況下或借助其它方法實(shí)踐本發(fā)明。在其它例子中，未詳細(xì)展示眾所周知的結(jié)構(gòu)或操作以避免使本發(fā)明模糊。本發(fā)明不受行動(dòng)或事件的所圖解說明的次序限制，因?yàn)橐恍┬袆?dòng)可以不同于其它行動(dòng)或事件的次序發(fā)生及/或與其它行動(dòng)或事件同時(shí)發(fā)生。此外，并非需要所有所圖解說明的行動(dòng)或事件來實(shí)施根據(jù)本發(fā)明的方法。
[0025]還應(yīng)了解，本文中所使用的術(shù)語僅用于描述特定實(shí)施例的目的而并非打算限制本發(fā)明。如本文中所使用，單數(shù)形式“一(a及an)”、及“所述(the) ”也打算包含復(fù)數(shù)形式，除非上下文另外清楚地指示。此外，就在詳細(xì)說明及/或權(quán)利要求書中使用術(shù)語“包含(including、include) ”、“具有(having、has及with) ”或其變化形式來說,此類術(shù)語打算以類似于術(shù)語“包括(comprising) ”的方式為包含性的。
[0026]此外，除非另外定義，否則本文中所使用的所有術(shù)語(包含技術(shù)及科學(xué)術(shù)語)均具有與本發(fā)明所屬領(lǐng)域的技術(shù)人員通常所理解相同的含義。應(yīng)進(jìn)一步理解，應(yīng)將術(shù)語(例如常用字典中所定義的那些術(shù)語)解釋為具有與其在相關(guān)技術(shù)的上下文中的含義一致的含義，而不應(yīng)以理想化或過分形式化意義來解釋，除非本文中明確界定如此。
[0027]身份敏捷計(jì)算機(jī)網(wǎng)絡(luò)
[0028]現(xiàn)在參考圖1，其展示包含多個(gè)計(jì)算裝置的示范性網(wǎng)絡(luò)100的圖式。所述計(jì)算裝置可包含客戶端計(jì)算機(jī)101到103，網(wǎng)絡(luò)管理計(jì)算機(jī)(NAC) 104，服務(wù)器111、112，網(wǎng)絡(luò)集線器108、109，路由器110及橋接器115?？蛻舳擞?jì)算機(jī)可為可能需要網(wǎng)絡(luò)服務(wù)的任何類型的計(jì)算裝置，例如常規(guī)平板計(jì)算機(jī)、筆記型計(jì)算機(jī)、膝上型計(jì)算機(jī)或桌上型計(jì)算機(jī)。路由器110可為在計(jì)算機(jī)網(wǎng)絡(luò)之間路由數(shù)據(jù)包的常規(guī)路由裝置。集線器108、109為如此項(xiàng)技術(shù)中眾所周知的常規(guī)集線器裝置(例如，以太網(wǎng)集線器)。服務(wù)器111、112可提供由客戶端計(jì)算機(jī)101到103利用的各種計(jì)算服務(wù)。舉例來說，服務(wù)器111、112可為提供用于由客戶端計(jì)算機(jī)101到103使用的計(jì)算機(jī)文件的共享存儲(chǔ)的位置的文件服務(wù)器。
[0029]用于網(wǎng)絡(luò)100的通信媒體可為有線的、無線的或兩者，但在本文中為了簡(jiǎn)化及避免使本發(fā)明模糊而將描述為有線網(wǎng)絡(luò)。所述網(wǎng)絡(luò)將使用通信協(xié)議傳達(dá)數(shù)據(jù)。如此項(xiàng)技術(shù)中眾所周知，通信協(xié)議定義用于遍及網(wǎng)絡(luò)傳達(dá)數(shù)據(jù)的格式及規(guī)則。圖1中的網(wǎng)絡(luò)可使用現(xiàn)在已知或未來將知曉的任何通信協(xié)議或協(xié)議組合。舉例來說，所述網(wǎng)絡(luò)可針對(duì)此類通信使用眾所周知的以太網(wǎng)協(xié)議套件?；蛘撸鼍W(wǎng)絡(luò)可利用其它協(xié)議，例如因特網(wǎng)協(xié)議套件(通常稱為TCP/IP)、S0NET/SDH或不同步傳送模式(ATM)通信協(xié)議。在一些實(shí)施例中，這些通信協(xié)議中的一或多者可以組合方式使用。雖然圖1中展示一個(gè)網(wǎng)絡(luò)拓?fù)?，但本發(fā)明在此方面不受限制。而是，可使用任何類型的適合網(wǎng)絡(luò)拓?fù)?，例如總線網(wǎng)絡(luò)、星形網(wǎng)絡(luò)、環(huán)形網(wǎng)絡(luò)或網(wǎng)狀網(wǎng)絡(luò)。
[0030]本發(fā)明大體來說涉及一種用于在計(jì)算機(jī)網(wǎng)絡(luò)中(例如，在計(jì)算機(jī)網(wǎng)絡(luò)100中)傳達(dá)數(shù)據(jù)的方法，其中將數(shù)據(jù)從第一計(jì)算裝置傳達(dá)到第二計(jì)算裝置。所述網(wǎng)絡(luò)內(nèi)的計(jì)算裝置用多個(gè)身份參數(shù)表示。如本文中所使用的短語“身份參數(shù)”可包含例如因特網(wǎng)協(xié)議(IP)地址、媒體接入控制(MAC)地址、端口等等物項(xiàng)。然而，本發(fā)明在此方面不受限制，且身份參數(shù)也可包含用于表征網(wǎng)絡(luò)節(jié)點(diǎn)的多種其它信息。下文進(jìn)一步詳細(xì)地論述本文中所預(yù)期的各種類型的身份參數(shù)。發(fā)明性布置涉及使用移動(dòng)目標(biāo)技術(shù)(MTT)來操控網(wǎng)絡(luò)內(nèi)的一或多個(gè)計(jì)算裝置的此類些身份參數(shù)中的一或多者。此技術(shù)掩飾此類計(jì)算裝置的通信型式及網(wǎng)絡(luò)地址。如本文中所描述的身份參數(shù)的操控通常連同網(wǎng)絡(luò)中的數(shù)據(jù)通信一起執(zhí)行，即，在將數(shù)據(jù)從網(wǎng)絡(luò)中的第一計(jì)算機(jī)(例如，客戶端計(jì)算機(jī)101)傳達(dá)到網(wǎng)絡(luò)中的第二計(jì)算機(jī)(例如，客戶端計(jì)算機(jī)102)時(shí)執(zhí)行。因此，所操控的身份參數(shù)可包含源計(jì)算裝置(數(shù)據(jù)始發(fā)于其的裝置)及目的地計(jì)算裝置(數(shù)據(jù)正被發(fā)送到其的裝置)的那些身份參數(shù)。所傳達(dá)的身份參數(shù)的集合在本文中稱為身份參數(shù)集合(IDP集合)。此概念圖解說明于圖1中，其展示IDP集合120作為數(shù)據(jù)包(未展示)的部分由客戶端計(jì)算機(jī)101發(fā)射。
[0031]根據(jù)發(fā)明性布置的過程涉及在計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)的第一位置處選擇性地修改數(shù)據(jù)包或數(shù)據(jù)報(bào)中所含有的指定源計(jì)算裝置及/或目的地計(jì)算裝置的一或多個(gè)身份參數(shù)的值。根據(jù)任務(wù)計(jì)劃修改身份參數(shù)。其中執(zhí)行此修改的位置將通常與模塊105到107、113、114中的一者的位置重合。再次參考圖1，可觀察到，模塊105、106、107、113、114在構(gòu)成所述網(wǎng)絡(luò)中的節(jié)點(diǎn)的各種計(jì)算裝置之間插入于此網(wǎng)絡(luò)中。在這些位置中，所述模塊攔截?cái)?shù)據(jù)包通信、執(zhí)行身份參數(shù)的必要操控且沿發(fā)射路徑重新發(fā)射數(shù)據(jù)包。在替代實(shí)施例中，模塊105、106、107、113、114可執(zhí)行類似功能，但可直接集成到計(jì)算裝置中的一或多者中。舉例來說，所述模塊可集成到客戶端計(jì)算機(jī)101、102、103，服務(wù)器111、112，集線器108、109中及/或路由器110內(nèi)。
[0032]另外，網(wǎng)絡(luò)100可劃分成通過路由器110連接的若干個(gè)邏輯子區(qū)(有時(shí)稱為子網(wǎng)絡(luò)或子網(wǎng))。企業(yè)網(wǎng)絡(luò)可出于多種管理或技術(shù)原因而劃分成若干個(gè)子網(wǎng)，所述原因包含但不限于隱藏網(wǎng)絡(luò)的拓?fù)湟允蛊鋵?duì)外部主機(jī)不可見、利用不同網(wǎng)絡(luò)協(xié)議連接網(wǎng)絡(luò)、在子網(wǎng)層級(jí)上單獨(dú)管理網(wǎng)絡(luò)尋址方案、由于經(jīng)約束數(shù)據(jù)連接而啟用跨越子網(wǎng)的數(shù)據(jù)業(yè)務(wù)的管理及諸如此類。子網(wǎng)分割為此項(xiàng)技術(shù)中眾所周知的且將不做進(jìn)一步詳細(xì)描述。
[0033]再次參考圖1，網(wǎng)絡(luò)100劃分成兩個(gè)邏輯網(wǎng)絡(luò)，第一邏輯網(wǎng)絡(luò)130及第二邏輯網(wǎng)絡(luò)132。如本文中所使用的短語“邏輯網(wǎng)絡(luò)”是指計(jì)算機(jī)網(wǎng)絡(luò)的任何邏輯子區(qū)。在一實(shí)施例中，邏輯網(wǎng)絡(luò)130、132通過路由器110連接。路由器110負(fù)責(zé)引導(dǎo)邏輯網(wǎng)絡(luò)之間(即，從客戶端計(jì)算機(jī)101到客戶端計(jì)算機(jī)103)的業(yè)務(wù)。路由器110還負(fù)責(zé)引導(dǎo)從連接到網(wǎng)絡(luò)100的任何主機(jī)去往第二網(wǎng)絡(luò)124的業(yè)務(wù)。在圖1中所展示的實(shí)施例中，從網(wǎng)絡(luò)100路由到第二網(wǎng)絡(luò)124的業(yè)務(wù)通過橋接器115。如同上文的模塊，橋接器115的功能性可集成于路由器110 內(nèi)。
[0034]圖2中展示模塊105的功能性框圖的實(shí)例。模塊106到107、113、114可具有類似功能性框圖，但應(yīng)理解，本發(fā)明在此方面不受限制。如圖2中所展示，模塊105具有至少兩個(gè)數(shù)據(jù)端口 201、202，其中的每一者可對(duì)應(yīng)于相應(yīng)網(wǎng)絡(luò)接口裝置204、205。在端口 201處接收的數(shù)據(jù)在網(wǎng)絡(luò)接口裝置204處處理且暫時(shí)存儲(chǔ)于輸入緩沖器210處。處理器215存取輸入緩沖器210中所含有的輸入數(shù)據(jù)包且執(zhí)行如本文中所描述的身份參數(shù)的任何必要操控。經(jīng)修改數(shù)據(jù)包傳遞到輸出緩沖器212且隨后使用網(wǎng)絡(luò)接口裝置205從端口 202發(fā)射。類似地，在端口 202處接收的數(shù)據(jù)在網(wǎng)絡(luò)接口裝置205處處理且暫時(shí)存儲(chǔ)于輸入緩沖器208處。處理器215存取輸入緩沖器208中所含有的輸入數(shù)據(jù)包且執(zhí)行如本文中所描述的身份參數(shù)的任何必要操控。經(jīng)修改數(shù)據(jù)包傳遞到輸出緩沖器206且隨后使用網(wǎng)絡(luò)接口裝置204從端口 201發(fā)射。在每一模塊中，處理器215根據(jù)存儲(chǔ)于存儲(chǔ)器218中的任務(wù)計(jì)劃220執(zhí)行身份參數(shù)的操控。
[0035]從圖2應(yīng)理解，模塊優(yōu)選地經(jīng)配置使得其雙向地操作。在此類實(shí)施例中，取決于特定數(shù)據(jù)包的源，模塊可實(shí)施不同修改功能。可根據(jù)特定數(shù)據(jù)包的源計(jì)算裝置在任務(wù)計(jì)劃中指定每一模塊中的動(dòng)態(tài)修改功能。模塊可通過任何適合手段確定數(shù)據(jù)包的源。舉例來說，可出于此目的使用數(shù)據(jù)包的源地址。
[0036]在網(wǎng)絡(luò)100內(nèi)的選定模塊處，處理器215將確定將代替真身份參數(shù)值使用的一或多個(gè)假身份參數(shù)值。處理器將把一或多個(gè)真身份參數(shù)值變換為一或多個(gè)假身份參數(shù)值，所述假身份參數(shù)值優(yōu)選地通過偽隨機(jī)函數(shù)來指定。在此變換之后，模塊將沿著發(fā)射路徑將經(jīng)修改包或數(shù)據(jù)報(bào)轉(zhuǎn)發(fā)到網(wǎng)絡(luò)的下一節(jié)點(diǎn)。在通信路徑中的后續(xù)點(diǎn)處，正監(jiān)視此類網(wǎng)絡(luò)通信的對(duì)手將觀察到關(guān)于在網(wǎng)絡(luò)上通信的計(jì)算裝置的身份的假或不正確信息。
[0037]在優(yōu)選實(shí)施例中，根據(jù)一或多個(gè)觸發(fā)事件的發(fā)生使由偽隨機(jī)函數(shù)指定的假身份參數(shù)變化。觸發(fā)事件致使處理器215使用偽隨機(jī)函數(shù)來產(chǎn)生新的假身份參數(shù)值集合，真身份參數(shù)被變換成所述假身份參數(shù)值。因此，觸發(fā)事件充當(dāng)本文中所描述的假身份參數(shù)的動(dòng)態(tài)變化的基礎(chǔ)。下文更詳細(xì)地論述觸發(fā)事件。然而，應(yīng)注意，用于選擇新的假身份參數(shù)值集合的觸發(fā)事件可基于時(shí)間的流逝及/或某些網(wǎng)絡(luò)事件的發(fā)生。觸發(fā)事件也可通過用戶命令起始。
[0038]上文所描述的身份參數(shù)的變換提供出于阻撓網(wǎng)絡(luò)攻擊的目的而操縱計(jì)算機(jī)網(wǎng)絡(luò)100的一種方式。在優(yōu)選實(shí)施例中，由處理器215實(shí)施的任務(wù)計(jì)劃220也將控制計(jì)算機(jī)網(wǎng)絡(luò)可操縱的方式的某些其它方面。舉例來說，任務(wù)計(jì)劃可指定操控身份參數(shù)的動(dòng)態(tài)選擇。所述動(dòng)態(tài)選擇可包含選擇哪些身份參數(shù)進(jìn)行修改及/或選擇此類身份參數(shù)的數(shù)目的選擇。此可變選擇過程提供可用以進(jìn)一步阻撓對(duì)手滲入或了解計(jì)算機(jī)網(wǎng)絡(luò)100的努力的不確定性或變化的添加的維度。作為此技術(shù)的實(shí)例，考慮在第一時(shí)間周期期間，模塊可修改每一數(shù)據(jù)包的目的地IP地址及目的地MAC地址。在第二時(shí)間周期期間，模塊可操控每一數(shù)據(jù)包中的源IP地址及源主機(jī)名稱。在第三時(shí)間周期期間，模塊可操控源端口編號(hào)及源用戶名稱。身份參數(shù)的選擇的改變可同步地發(fā)生(同時(shí)改變所有選定身份參數(shù))?；蛘?，身份參數(shù)的選擇的改變可不同步地發(fā)生(選定身份參數(shù)的群組隨給選定身份參數(shù)的群組添加或移除個(gè)別身份參數(shù)而遞增地改變)。
[0039]偽隨機(jī)函數(shù)優(yōu)選地用于確定將操控或變換成假值的身份值的選擇。換句話說，模塊將僅變換通過偽隨機(jī)函數(shù)選擇的身份參數(shù)。在優(yōu)選實(shí)施例中，根據(jù)觸發(fā)事件的發(fā)生使由偽隨機(jī)函數(shù)指定的身份參數(shù)的選擇變化。觸發(fā)事件致使處理器215使用偽隨機(jī)函數(shù)來產(chǎn)生將變換成假身份參數(shù)的身份參數(shù)的新選擇。因此，觸發(fā)事件充當(dāng)本文中所描述的身份參數(shù)的選擇的動(dòng)態(tài)變化的基礎(chǔ)。值得注意的是，也可根據(jù)偽隨機(jī)算法使身份參數(shù)的值變化。
[0040]所述模塊有利地也能夠提供出于阻撓網(wǎng)絡(luò)攻擊的目的而操縱計(jì)算機(jī)網(wǎng)絡(luò)的第三方法。具體來說，加載于每一模塊中的任務(wù)計(jì)劃可使網(wǎng)絡(luò)內(nèi)的其中發(fā)生身份參數(shù)的修改或變換的位置動(dòng)態(tài)地變化?？紤]從客戶端計(jì)算機(jī)101發(fā)射到客戶端計(jì)算機(jī)102的IDP集合120中的身份參數(shù)的修改可發(fā)生于模塊105中。此條件展示于圖1中，其中在模塊105中操控IDP集合120中所含有的身份參數(shù)以使得IDP集合120被變換為新的或經(jīng)修改的IDP集合122。與IDP集合120中的身份參數(shù)相比，IDP集合122中的身份參數(shù)中的至少一些身份參數(shù)是不同的。但其中發(fā)生此變換的位置優(yōu)選地也由任務(wù)計(jì)劃控制。因此，IDP集合120的操控可(舉例來說)有時(shí)發(fā)生在模塊113或114處而非在模塊105處。使其中發(fā)生身份參數(shù)的操控的位置選擇性地變化的此能力給計(jì)算機(jī)網(wǎng)絡(luò)的操縱能力添加又一重要維度。
[0041]通過選擇性地控制每一模塊的操作狀態(tài)促進(jìn)其中修改身份參數(shù)的位置的動(dòng)態(tài)變化。為此目的，每一模塊的操作狀態(tài)優(yōu)選地包含:(I)作用狀態(tài)，其中根據(jù)當(dāng)前任務(wù)計(jì)劃處理數(shù)據(jù)；及(2)繞過狀態(tài)，其中包可流動(dòng)通過模塊，就如模塊不存在一樣。通過選擇性地致使某些模塊處于作用狀態(tài)中且致使某些模塊處于待用狀態(tài)中而控制其中執(zhí)行動(dòng)態(tài)修改的位置?？赏ㄟ^以協(xié)調(diào)方式使模塊的當(dāng)前狀態(tài)動(dòng)態(tài)地變化而動(dòng)態(tài)地改變所述位置。
[0042]任務(wù)計(jì)劃可包含用于確定計(jì)算機(jī)網(wǎng)絡(luò)100內(nèi)的其中將操控身份參數(shù)的位置的預(yù)定義序列。其中將操控身份參數(shù)的位置將在由觸發(fā)事件指示的時(shí)間根據(jù)所述序列改變。舉例來說，所述觸發(fā)事件可致使到用于如本文中所描述的身份參數(shù)的操控或變換的新位置的轉(zhuǎn)變。因此，所述觸發(fā)事件充當(dāng)其中修改身份參數(shù)的位置的改變的發(fā)生的基礎(chǔ)，且預(yù)定義序列確定所述新位置將在何處。
[0043]從前述內(nèi)容，應(yīng)了解，在模塊處修改數(shù)據(jù)包以包含假身份參數(shù)。在計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)的某一點(diǎn)處，使身份參數(shù)恢復(fù)到其真值以使得身份參數(shù)可用以根據(jù)特定網(wǎng)絡(luò)協(xié)議恰當(dāng)?shù)貓?zhí)行其既定功能是必要的。因此，發(fā)明性布置還包含在第二位置(即，第二模塊)處根據(jù)任務(wù)計(jì)劃動(dòng)態(tài)地修改身份參數(shù)的經(jīng)指派值。在第二位置處的修改基本上包括在第一位置處用以修改身份參數(shù)的過程的逆過程。第二位置處的模塊可因此使假值身份參數(shù)恢復(fù)或變換回到其真值。為了實(shí)現(xiàn)此動(dòng)作，第二位置處的模塊必須能夠確定至少:(I)將變換的身份參數(shù)值的選擇?’及(2)選定身份參數(shù)從假值到真值的正確變換。實(shí)際上，此過程涉及用以確定身份參數(shù)選擇的偽隨機(jī)過程及對(duì)此類身份參數(shù)值實(shí)現(xiàn)的改變的逆過程。逆變換步驟圖解說明于圖1中，其中在模塊106處接收IDP集合122，且將IDP集合122中的身份參數(shù)值變換或操控回到其原始或真值。在此情景中，模塊106將身份參數(shù)值轉(zhuǎn)換回到IDP集合120的那些身份參數(shù)值。
[0044]值得注意的是，模塊必須具有確定適用于其接收到的每一數(shù)據(jù)通信的恰當(dāng)變換或操控的某種方式。在優(yōu)選實(shí)施例中，通過檢查所接收數(shù)據(jù)通信內(nèi)所含有的至少源地址身份參數(shù)而執(zhí)行此確定。舉例來說，源地址身份參數(shù)可包含源計(jì)算裝置的IP地址。一旦知曉源計(jì)算裝置的真身份，模塊即咨詢?nèi)蝿?wù)計(jì)劃(或從任務(wù)計(jì)劃導(dǎo)出的信息)以確定其需要采取哪些動(dòng)作。舉例來說，這些動(dòng)作可包含將某些真身份參數(shù)值轉(zhuǎn)換為假身份參數(shù)值?；蛘?，這些改變可包含將假身份參數(shù)值轉(zhuǎn)換回到真身份參數(shù)值。
[0045]值得注意的是，將存在其中所接收數(shù)據(jù)通信中所含有的源地址身份參數(shù)信息已改變?yōu)榧僦档睦印Ｔ谀切┣樾蜗?，接收?shù)據(jù)通信的模塊將不能立即確定數(shù)據(jù)通信的源的身份。然而，在此類例子中，接收通信的模塊可仍識(shí)別源計(jì)算裝置。這在接收模塊處通過將假源地址身份參數(shù)值與查找表(LUT)進(jìn)行比較而實(shí)現(xiàn)，所述查找表列示在特定時(shí)間期間使用的所有此類假源地址身份參數(shù)值。LUT還包含對(duì)應(yīng)于假源地址值的真源地址身份參數(shù)值的列表。LUT可直接由任務(wù)計(jì)劃提供或可由任務(wù)計(jì)劃內(nèi)所含有的信息產(chǎn)生。在任一情況中，可從LUT容易地確定真源地址身份參數(shù)值的識(shí)別。一旦已確定真源地址身份參數(shù)，那么接收數(shù)據(jù)通信的模塊可使用此信息來確定(基于任務(wù)計(jì)劃)需要對(duì)身份參數(shù)的哪些操控。
[0046]值得注意的是，任務(wù)計(jì)劃還可指定其中使身份參數(shù)恢復(fù)到其真值的第二位置的變化。舉例來說，假定在包括模塊105的第一位置處動(dòng)態(tài)地修改身份參數(shù)。任務(wù)計(jì)劃可指定如所描述在模塊106處發(fā)生使身份參數(shù)恢復(fù)到其真值，但或者，可指定代替地在模塊113或114處發(fā)生動(dòng)態(tài)修改。在一些實(shí)施例中，任務(wù)計(jì)劃根據(jù)預(yù)定義序列動(dòng)態(tài)地確定其中發(fā)生此類操控的位置。所述預(yù)定義序列可確定其中將發(fā)生身份參數(shù)的操控的位置或模塊的序列。
[0047]涉及不同位置處的動(dòng)態(tài)修改的轉(zhuǎn)變優(yōu)選地根據(jù)觸發(fā)事件而發(fā)生。因此，預(yù)定義序列確定其中將發(fā)生數(shù)據(jù)操控的位置的型樣或序列，且觸發(fā)事件充當(dāng)用于致使從一個(gè)位置到下一位置的轉(zhuǎn)變的基礎(chǔ)。下文更詳細(xì)地論述觸發(fā)事件；然而，應(yīng)注意，觸發(fā)事件可基于時(shí)間的流逝、用戶控制及/或某些網(wǎng)絡(luò)事件的發(fā)生?？梢耘c上文關(guān)于第一位置所描述相同的方式實(shí)現(xiàn)對(duì)第二位置(即，其中使身份參數(shù)返回到其真值)的選擇的控制。具體來說，兩個(gè)或兩個(gè)以上模塊的操作狀態(tài)可在作用狀態(tài)與繞過狀態(tài)之間雙態(tài)切換。身份參數(shù)的操控將僅發(fā)生于具有作用操作狀態(tài)的模塊中。具有繞過操作狀態(tài)的模塊將僅傳遞數(shù)據(jù)包而不進(jìn)行修改。
[0048]替代方法也可用于控制其中將發(fā)生身份參數(shù)的操控的位置。舉例來說，網(wǎng)絡(luò)管理員可在任務(wù)計(jì)劃中定義其中可將身份參數(shù)從真值轉(zhuǎn)換為假值的數(shù)個(gè)可能模塊。在發(fā)生觸發(fā)事件后，可即刻通過使用偽隨機(jī)函數(shù)且使用觸發(fā)時(shí)間作為所述偽隨機(jī)函數(shù)的種子值而從數(shù)個(gè)模塊當(dāng)中選擇新位置。如果每一模塊均使用相同初始種子值實(shí)施同偽隨機(jī)函數(shù)，那么每一模塊將計(jì)算相同偽隨機(jī)值。可基于時(shí)鐘時(shí)間(例如GPS時(shí)間或系統(tǒng)時(shí)鐘時(shí)間)確定觸發(fā)時(shí)間。以此方式，每一模塊可獨(dú)立地確定其當(dāng)前是否為其中應(yīng)發(fā)生身份參數(shù)的操控的作用位置。類似地，網(wǎng)絡(luò)管理員可在任務(wù)計(jì)劃中定義其中動(dòng)態(tài)操控使身份參數(shù)返回到其正確值或真值的數(shù)個(gè)可能模塊。將哪一模塊用于此目的的選擇也可根據(jù)如本文中所描述的觸發(fā)時(shí)間及偽隨機(jī)函數(shù)確定。用于確定其中將發(fā)生身份參數(shù)操控的位置或模塊的其它方法也是可能的。因此，本發(fā)明并不打算限于本文中所描述的特定方法。
[0049]值得注意的是，使其中操控身份函數(shù)的第一及/或第二位置的定位變化將通常導(dǎo)致使第一與第二位置之間沿網(wǎng)絡(luò)通信路徑的物理距離變化。第一與第二位置之間的距離在本文中稱為距離向量。所述距離向量可為第一與第二位置之間沿通信路徑的實(shí)際物理距離。然而，將所述距離向量視為表示存在于第一與第二位置之間的通信路徑中的網(wǎng)絡(luò)節(jié)點(diǎn)的數(shù)目是有用的。應(yīng)了解，動(dòng)態(tài)地選擇網(wǎng)絡(luò)內(nèi)的第一及第二位置的不同定位可具有改變第一與第二位置之間的節(jié)點(diǎn)的數(shù)目的效應(yīng)。舉例來說，在圖1中，在模塊105、106、107、113、114中的選定者中實(shí)施身份參數(shù)的動(dòng)態(tài)修改。如先前所描述地確定實(shí)際上用以分別實(shí)施動(dòng)態(tài)修改的模塊。如果模塊105用于將身份參數(shù)轉(zhuǎn)換為假值且模塊106用以將其轉(zhuǎn)換回到真值，那么在模塊105與106之間存在三個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)108、110、109。但如果模塊113用以轉(zhuǎn)換為假值且模塊114用以將身份參數(shù)轉(zhuǎn)換回到真值，那么在模塊113與114之間存在僅一個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)110。因此，應(yīng)了解，動(dòng)態(tài)地改變其中發(fā)生動(dòng)態(tài)修改的位置的定位可使距離向量動(dòng)態(tài)地變化。距離向量的此變化給如本文中所描述的網(wǎng)絡(luò)操縱或修改提供可變性的添加的維度。
[0050]在本發(fā)明中，身份參數(shù)值的操控、身份參數(shù)的選擇及其中這些身份參數(shù)的位置各自定義為操縱參數(shù)。每當(dāng)在此三個(gè)操縱參數(shù)中的一者中發(fā)生改變時(shí)，可認(rèn)為網(wǎng)絡(luò)操縱已發(fā)生。此三個(gè)操縱參數(shù)中的一者無論在何時(shí)改變，均可認(rèn)為網(wǎng)絡(luò)操縱已發(fā)生。為了最有效地阻撓對(duì)手滲入計(jì)算機(jī)網(wǎng)絡(luò)100的努力，優(yōu)選地借助于如先前所描述的偽隨機(jī)過程控制網(wǎng)絡(luò)操縱。所屬領(lǐng)域的技術(shù)人員將了解，混亂過程也可用于執(zhí)行此功能。與偽隨機(jī)函數(shù)相比，混亂過程在技術(shù)上是不同的，但出于本發(fā)明的目的，可使用任一者且兩者視為等效的。在一些實(shí)施例中，相同偽隨機(jī)過程可用于使操縱參數(shù)中的兩者或兩者以上動(dòng)態(tài)地變化。然而，在本發(fā)明的優(yōu)選實(shí)施例中，使用兩個(gè)或兩個(gè)以上不同偽隨機(jī)過程以使得這些操縱參數(shù)中的兩者或兩者以上獨(dú)立于其它操縱參數(shù)而被修改。
[0051]觸發(fā)事件
[0052]如上文所述，通過至少一個(gè)觸發(fā)控制對(duì)操縱參數(shù)中的每一者的動(dòng)態(tài)改變。觸發(fā)為致使相對(duì)于本文中所描述的動(dòng)態(tài)修改而發(fā)生改變的事件。換句話說，可認(rèn)為，觸發(fā)致使網(wǎng)絡(luò)以不同于在先前時(shí)間(即，在發(fā)生觸發(fā)之前)的新方式操縱。舉例來說，在第一時(shí)間周期期間，任務(wù)計(jì)劃可致使可將IP地址從值A(chǔ)改變?yōu)橹礏 ;但在觸發(fā)事件之后，IP地址可代替地從值A(chǔ)改變?yōu)橹礐。類似地，在第一時(shí)間周期期間，任務(wù)計(jì)劃可致使IP地址及MAC地址被修改；但在觸發(fā)事件之后，所述任務(wù)計(jì)劃可代替地致使MAC地址及用戶名稱被修改。作為第三實(shí)例，考慮在第一時(shí)間周期期間，任務(wù)計(jì)劃可致使身份參數(shù)在IDP集合120到達(dá)模塊105處時(shí)改變；但在觸發(fā)事件之后，可致使身份參數(shù)代替地在IDP集合120到達(dá)模塊113處時(shí)改變。
[0053]在其最簡(jiǎn)單形式中，觸發(fā)可為用戶激活的或基于簡(jiǎn)單時(shí)序方案。在此實(shí)施例中，每一模塊中的時(shí)鐘時(shí)間可充當(dāng)觸發(fā)。舉例來說，觸發(fā)事件可定義為在每60秒時(shí)間間隔的期滿時(shí)發(fā)生。對(duì)于此布置，操縱參數(shù)中的一或多者可根據(jù)預(yù)定時(shí)鐘時(shí)間每60秒改變。在一些實(shí)施例中，所有操縱參數(shù)可同時(shí)改變以使得所述改變?yōu)橥降?。在稍微更?fù)雜實(shí)施例中，也可使用基于時(shí)間的觸發(fā)布置，但可針對(duì)每一操縱參數(shù)選擇不同獨(dú)特觸發(fā)時(shí)間間隔。因此，假身份參數(shù)值可能以時(shí)間間隔X改變，身份參數(shù)的選擇將根據(jù)時(shí)間間隔Y改變，且其中執(zhí)行此類改變的位置將以時(shí)間間隔Z發(fā)生，其中X、Y及Z為不同值。
[0054]應(yīng)了解，在依賴于時(shí)鐘時(shí)間作為觸發(fā)機(jī)制的本發(fā)明的實(shí)施例中，提供如各種模塊105、106、107、113、114中的時(shí)鐘之間的同步以確保包不會(huì)由于未辨識(shí)的身份參數(shù)而丟失或丟棄是有利的。同步方法是眾所周知的且任何適合同步機(jī)制均可用于此目的。舉例來說，可通過使用高度準(zhǔn)確時(shí)間參考(例如GPS時(shí)鐘時(shí)間)而使模塊同步?；蛘撸蓪ⅹ?dú)特?zé)o線同步信號(hào)從中央控制設(shè)施廣播到模塊中的每一者。
[0055]關(guān)于本發(fā)明，其它類型的觸發(fā)也是可能的。舉例來說，觸發(fā)事件可基于潛在網(wǎng)絡(luò)安全性威脅的發(fā)生或檢測(cè)。根據(jù)本發(fā)明的實(shí)施例，潛在網(wǎng)絡(luò)安全性威脅可由網(wǎng)絡(luò)安全性軟件套件識(shí)別?；蛘?，可在于模塊105、106、107、113、114處接收到數(shù)據(jù)包后即刻識(shí)別潛在網(wǎng)絡(luò)安全性威脅，其中所述包含有與網(wǎng)絡(luò)操縱的目前狀態(tài)不一致的一或多個(gè)身份參數(shù)。無論用于識(shí)別網(wǎng)絡(luò)安全性威脅的基礎(chǔ)如何，此威脅的存在可充當(dāng)觸發(fā)事件。基于網(wǎng)絡(luò)安全性威脅的觸發(fā)事件可致使與上文所描述的基于時(shí)間的觸發(fā)導(dǎo)致的那些網(wǎng)絡(luò)操縱相同類型的網(wǎng)絡(luò)操縱。舉例來說，假身份參數(shù)、身份參數(shù)的選擇及身份參數(shù)變換的位置可保持穩(wěn)定(即，不改變)，其中檢測(cè)到網(wǎng)絡(luò)安全性威脅的情況除外。舉例來說，可在其中頻繁網(wǎng)絡(luò)操縱是不合意的計(jì)算機(jī)網(wǎng)絡(luò)中選擇此布置。
[0056]或者，基于時(shí)間的觸發(fā)事件可與基于對(duì)網(wǎng)絡(luò)安全性的潛在威脅的觸發(fā)事件組合。在此類實(shí)施例中，與基于時(shí)間的觸發(fā)相比，基于安全性威脅的觸發(fā)事件可對(duì)網(wǎng)絡(luò)操縱具有不同影響。舉例來說，基于安全性威脅的觸發(fā)事件可導(dǎo)致網(wǎng)絡(luò)操縱的策略性或防御性改變以便更積極應(yīng)對(duì)此網(wǎng)絡(luò)安全性威脅。此類措施的精確本性可取決于威脅的本性，但可包含多種響應(yīng)。舉例來說，可選擇不同偽隨機(jī)算法，及/或可增加每一 IDP集合120中經(jīng)選擇以用于操控的身份參數(shù)的數(shù)目。在已利用基于時(shí)間的觸發(fā)的系統(tǒng)中，響應(yīng)還可包含增加網(wǎng)絡(luò)操縱的頻率。因此，可關(guān)于以下各項(xiàng)做出更頻繁改變:(I)假身份參數(shù)值；(2)對(duì)每一 IDP集合中待改變的身份參數(shù)的選擇；及/或(3)其中改變身份參數(shù)的第一及第二位置的定位。因此，本文中所描述的網(wǎng)絡(luò)操縱提供用于識(shí)別潛在網(wǎng)絡(luò)安全性威脅及對(duì)潛在網(wǎng)絡(luò)安全性威脅做出響應(yīng)的方法。
[0057]任務(wù)計(jì)劃
[0058]根據(jù)本發(fā)明的優(yōu)選實(shí)施例，根據(jù)任務(wù)計(jì)劃控制本文中所描述的網(wǎng)絡(luò)操縱。任務(wù)計(jì)劃為定義及控制網(wǎng)絡(luò)的上下文及安全性模型內(nèi)的操縱能力的方案。如此，任務(wù)計(jì)劃可表示為從網(wǎng)絡(luò)管理計(jì)算機(jī)(NAC) 104傳達(dá)到每一模塊105到107、113到114的數(shù)據(jù)文件。任務(wù)計(jì)劃此后由每一模塊用以控制身份參數(shù)的操控且使其活動(dòng)與網(wǎng)絡(luò)中的其它模塊的動(dòng)作協(xié)調(diào)。
[0059]根據(jù)優(yōu)選實(shí)施例，任務(wù)計(jì)劃可由網(wǎng)絡(luò)管理員不時(shí)地修改以更新或改變網(wǎng)絡(luò)操縱阻撓潛在對(duì)手的方式。如此，任務(wù)計(jì)劃給網(wǎng)絡(luò)管理員提供促進(jìn)對(duì)網(wǎng)絡(luò)操縱將在網(wǎng)絡(luò)內(nèi)發(fā)生的時(shí)間、地點(diǎn)及方式的完全控制的工具。此更新能力允許網(wǎng)絡(luò)管理員修整計(jì)算機(jī)網(wǎng)絡(luò)的行為以適合當(dāng)前操作條件且更有效地阻撓對(duì)手滲入網(wǎng)絡(luò)的努力?？捎捎脩舳x及存儲(chǔ)多個(gè)任務(wù)計(jì)劃以使得其可由網(wǎng)絡(luò)內(nèi)的模塊存取。舉例來說，多個(gè)任務(wù)計(jì)劃可存儲(chǔ)于NAC 104處且視需要傳達(dá)到模塊。或者，多個(gè)任務(wù)計(jì)劃可存儲(chǔ)于每一模塊上且可視需要或視情況經(jīng)激活以維持網(wǎng)絡(luò)的安全性。舉例來說，如果網(wǎng)絡(luò)管理員確定或懷疑對(duì)手已發(fā)現(xiàn)網(wǎng)絡(luò)的當(dāng)前任務(wù)計(jì)劃，那么管理員可希望改變所述任務(wù)計(jì)劃。有效安全性程序也可指示周期性地改變?nèi)蝿?wù)計(jì)劃。
[0060]創(chuàng)建任務(wù)計(jì)劃的過程可通過對(duì)網(wǎng)絡(luò)100進(jìn)行建模開始。模型的創(chuàng)建通過在網(wǎng)絡(luò)命令中心處的計(jì)算機(jī)或服務(wù)器上執(zhí)行的網(wǎng)絡(luò)控制軟件應(yīng)用程序(NCSA)促進(jìn)。舉例來說，在圖1中所展示的實(shí)施例中，NCSA可在NAC 104上執(zhí)行。網(wǎng)絡(luò)模型優(yōu)選地包含定義網(wǎng)絡(luò)100中所包含的各種計(jì)算裝置之間的數(shù)據(jù)連接及/或關(guān)系的信息。NCSA將提供促進(jìn)輸入此關(guān)系數(shù)據(jù)的適合接口。根據(jù)一個(gè)實(shí)施例，NCSA可促進(jìn)將數(shù)據(jù)輸入到可用以定義任務(wù)計(jì)劃的表中。然而，在優(yōu)選實(shí)施例中，使用圖形用戶接口來促進(jìn)此過程?，F(xiàn)在參考圖3，NCSA可包含網(wǎng)絡(luò)拓?fù)淠Ｐ彤a(chǎn)生器工具。所述工具用以輔助網(wǎng)絡(luò)管理員定義網(wǎng)絡(luò)的各種組件中的每一者之間的關(guān)系。網(wǎng)絡(luò)拓?fù)涔ぞ咛峁┢渲泄芾韱T可通過使用光標(biāo)304而拖放網(wǎng)絡(luò)組件302的工作空間300。網(wǎng)絡(luò)管理員也可創(chuàng)建各種網(wǎng)絡(luò)組件302之間的數(shù)據(jù)連接306。作為此建模過程的部分，網(wǎng)絡(luò)管理員可提供各種網(wǎng)絡(luò)組件(包含模塊105到107、113、114)的網(wǎng)絡(luò)地址信息。
[0061]一旦已將網(wǎng)絡(luò)建模，其即可由網(wǎng)絡(luò)管理員保存及使用以定義各種模塊105到107、113、114表現(xiàn)及彼此交互的方式?，F(xiàn)在參考圖4，NCSA可產(chǎn)生可用以進(jìn)一步開發(fā)任務(wù)計(jì)劃的對(duì)話框400。下拉式菜單432可用以選擇待將對(duì)話框400中的設(shè)定應(yīng)用于其的特定模塊(例如，模塊105)?；蛘撸W(wǎng)絡(luò)管理員可使用下拉式菜單432來指示打算將對(duì)話框400中的設(shè)定應(yīng)用于網(wǎng)絡(luò)內(nèi)的全部模塊(例如，通過選擇菜單432中的“全部”)。過程可通過指定是否將總是在模塊中的每一者中修改固定身份參數(shù)集合或是否應(yīng)使所操控的身份參數(shù)集合動(dòng)態(tài)地變化而繼續(xù)。如果打算使將在模塊中操控的身份參數(shù)的選擇或集合動(dòng)態(tài)地變化，那么網(wǎng)絡(luò)管理員可標(biāo)記復(fù)選框401以指示所述偏好。如果未標(biāo)記復(fù)選框401，那么此將指示待變化的身份參數(shù)集合為不隨時(shí)間變化的固定集合。
[0062]對(duì)話框400包含標(biāo)簽402、404、406，所述標(biāo)簽允許用戶選擇其出于創(chuàng)建任務(wù)計(jì)劃的目的而希望處理的特定身份參數(shù)。出于本發(fā)明的目的，對(duì)話框400促進(jìn)僅三個(gè)身份參數(shù)的動(dòng)態(tài)變化。具體來說，這些身份參數(shù)包含IP地址、MAC地址及端口地址?？赏ㄟ^提供額外標(biāo)簽而使更多或更少身份參數(shù)動(dòng)態(tài)地變化，但所述的三個(gè)身份參數(shù)足以解釋發(fā)明性概念。在圖4中，用戶已選擇標(biāo)簽402來處理身份參數(shù)的IP地址類型。在標(biāo)簽402內(nèi)，提供用于指定與選定模塊內(nèi)的IP地址的動(dòng)態(tài)變化相關(guān)的細(xì)節(jié)的多種用戶接口控件408到420?？商峁└嗷蚋倏丶源龠M(jìn)IP地址類型的動(dòng)態(tài)操控，且僅提供所展示的控件以輔助讀者理解所述概念。在所展示的實(shí)例中，網(wǎng)絡(luò)管理員可通過選擇(例如，借助指向裝置(例如鼠標(biāo)))標(biāo)記為啟用IP地址跳躍的復(fù)選框408而啟用IP地址的動(dòng)態(tài)變化。類似地，網(wǎng)絡(luò)管理員可指示將使源地址、目的地地址還是兩者變化。在此實(shí)例中，標(biāo)記源地址框410及目的地地址框412兩者，從而指示將改變兩種類型的地址?？捎晒芾韱T在列表框422、424中指定源地址及目的地地址的所允許值的范圍。
[0063]通過選擇偽隨機(jī)過程而指定用以選擇假IP地址值的特定偽隨機(jī)過程。在框414、415中指定此選擇。不同偽隨機(jī)過程可具有針對(duì)可變真隨機(jī)程度的不同復(fù)雜性等級(jí)，且管理員可選擇最適合網(wǎng)絡(luò)100的需要的過程。
[0064]對(duì)話框400也允許網(wǎng)絡(luò)管理員設(shè)定待用于IP地址身份參數(shù)的動(dòng)態(tài)變化的觸發(fā)類型。在此實(shí)例中，用戶已選擇框416，從而指示基于時(shí)間的觸發(fā)將用于確定何時(shí)轉(zhuǎn)變?yōu)樾碌募買P地址值。此外，復(fù)選框418已經(jīng)選擇以指示基于時(shí)間的觸發(fā)將在周期性基礎(chǔ)上發(fā)生。滑塊420可由用戶調(diào)整以確定基于周期性時(shí)間的觸發(fā)的頻率。在所展示的實(shí)例中，觸發(fā)頻率可在每小時(shí)6個(gè)觸發(fā)的發(fā)生率(每10分鐘發(fā)生觸發(fā))與每小時(shí)120個(gè)觸發(fā)的發(fā)生率(每30秒發(fā)生觸發(fā))之間調(diào)整。在此實(shí)例中，也可選擇其它類型的觸發(fā)。舉例來說，對(duì)話框402包含網(wǎng)絡(luò)管理員可借以選擇基于事件的觸發(fā)的復(fù)選框428、430。數(shù)個(gè)不同特定事件類型可經(jīng)選擇以形成用于此類基于事件的觸發(fā)(例如，事件類型1、事件類型2等)的基礎(chǔ)。這些事件類型可包含各種潛在計(jì)算機(jī)網(wǎng)絡(luò)安全性威脅的檢測(cè)。在圖4中，標(biāo)簽404及406類似于標(biāo)簽402，但其中的控件經(jīng)修整以適合MAC地址及端口值而非IP地址的動(dòng)態(tài)變化?？商峁┯糜诳刂破渌愋偷纳矸輩?shù)的動(dòng)態(tài)變化的額外標(biāo)簽。
[0065]任務(wù)計(jì)劃還可指定用于使其中修改身份參數(shù)的位置動(dòng)態(tài)地變化的計(jì)劃。在一些實(shí)施例中，通過控制定義每一模塊何時(shí)處于作用狀態(tài)或繞過狀態(tài)中的序列而促進(jìn)此可變位置特征。因此，任務(wù)計(jì)劃有利地包含指定此序列的某一方式。在本發(fā)明的一些實(shí)施例中，此可涉及使用經(jīng)定義時(shí)間間隔或時(shí)隙，所述經(jīng)定義時(shí)間間隔或時(shí)隙由觸發(fā)事件的發(fā)生分離。
[0066]現(xiàn)在參考圖5，對(duì)話框500可由NCSA提供以促進(jìn)位置序列及時(shí)序信息的協(xié)調(diào)及輸入。對(duì)話框500可包含控件502，控件502用于選擇將包含于時(shí)期506內(nèi)的時(shí)隙50+到504n的數(shù)目。在所圖解說明的實(shí)例中，網(wǎng)絡(luò)管理員已定義每時(shí)期4個(gè)時(shí)隙。對(duì)話框500還可包含表503,表503包含網(wǎng)絡(luò)100中的所有模塊。針對(duì)所列不的每一模塊，所述表包含一個(gè)時(shí)期506的可用時(shí)隙504到5044的圖形表示。應(yīng)記得，對(duì)其中操控身份參數(shù)的位置的動(dòng)態(tài)控制通過每一模塊是處于作用操作狀態(tài)中還是處于繞過操作狀態(tài)中而確定。因此，在圖形用戶接口內(nèi)，用戶可移動(dòng)光標(biāo)508且做出選擇以指定在每一時(shí)隙期間特定模塊是處于作用模式中還是繞過模式中。在所展示的實(shí)例中，模塊105在時(shí)隙501及5043期間為作用的，但在時(shí)隙5042、5044期間處于繞過模式中。相反地,模塊113在時(shí)隙5042、5044期間為作用的，但在時(shí)隙501及5043期間處于繞過模式中，參考圖1，此意味著身份參數(shù)的操控在時(shí)隙501及5043期間發(fā)生于與模塊105相關(guān)聯(lián)的位置處，但在時(shí)隙5042、5044期間代替地發(fā)生于模塊113處。
[0067]在圖5中所展示的實(shí)例中，網(wǎng)絡(luò)管理員已選擇使模塊114總是在作用模式中操作(即，模塊114在所有時(shí)隙期間為作用的)。因此，針對(duì)從客戶端計(jì)算機(jī)101發(fā)射到客戶端計(jì)算機(jī)103的數(shù)據(jù)通信，數(shù)據(jù)包將交替地在模塊105、113中操控，但將總是在模塊114處操控。最后，在此實(shí)例中，網(wǎng)絡(luò)管理員已選擇在時(shí)隙501到5044期間將模塊106及107維持于繞過模式中。因此，在經(jīng)定義時(shí)隙中的任一者期間將不在這些模塊處執(zhí)行身份參數(shù)的操控。一旦已在對(duì)話框500中定義模塊時(shí)序，網(wǎng)絡(luò)管理員即可選擇按鈕510來將改變存儲(chǔ)為經(jīng)更新任務(wù)計(jì)劃的部分。可以各種格式保存任務(wù)計(jì)劃。在一些實(shí)施例中，可將任務(wù)計(jì)劃保存為簡(jiǎn)單表或可由每一模塊用于控制模塊的行為的其它類型的經(jīng)定義數(shù)據(jù)結(jié)構(gòu)。
[0068]任務(wù)計(jì)劃的分布及加載
[0069]現(xiàn)在將進(jìn)一步詳細(xì)地描述如本文中所揭示的任務(wù)計(jì)劃的分布及加載。再次參考圖1，可觀察到，模塊105到107、113、114遍及網(wǎng)絡(luò)100分布于一或多個(gè)位置處。所述模塊集成于通信路徑內(nèi)以攔截此類位置處的通信、執(zhí)行必要操控且將數(shù)據(jù)轉(zhuǎn)發(fā)到網(wǎng)絡(luò)內(nèi)的其它計(jì)算裝置。在前述布置的情況下，本文中所描述的對(duì)模塊的任何必要維護(hù)(例如，更新任務(wù)計(jì)劃的維護(hù))將有可能在替換模塊或?qū)⒛K重新編程時(shí)打斷網(wǎng)絡(luò)通信。在其中網(wǎng)絡(luò)服務(wù)的可靠性及可用性為至關(guān)重要的許多情形下，此類打斷是不合意的。舉例來說，對(duì)于軍事、應(yīng)急服務(wù)及商業(yè)所使用的計(jì)算機(jī)網(wǎng)絡(luò)，不中斷網(wǎng)絡(luò)操作可為至關(guān)重要的。
[0070]為了確保不中斷網(wǎng)絡(luò)操作，每一模塊優(yōu)選地具有數(shù)種操作狀態(tài)。這些操作狀態(tài)包含:(1)關(guān)斷狀態(tài)，其中模塊被關(guān)閉電源且不處理任何包；(2)初始化狀態(tài)，其中模塊根據(jù)任務(wù)計(jì)劃安裝軟件腳本；(3)作用狀態(tài)，其中根據(jù)當(dāng)前任務(wù)計(jì)劃處理數(shù)據(jù) '及(4)繞過狀態(tài)，其中包可流動(dòng)通過模塊，就如模塊不存在一樣。模塊經(jīng)配置以使得在其處于作用狀態(tài)或繞過狀態(tài)中時(shí)，模塊可接收及加載由網(wǎng)絡(luò)管理員提供的經(jīng)更新任務(wù)計(jì)劃。模塊操作狀態(tài)可由網(wǎng)絡(luò)管理員借助于(舉例來說)在NAC 104上執(zhí)行的NCSA人工地控制。舉例來說，用戶可通過使用圖形用戶接口控制面板選擇各種模塊的操作狀態(tài)。用于控制網(wǎng)絡(luò)的操作狀態(tài)的命令經(jīng)由網(wǎng)絡(luò)100傳達(dá)，或者可通過任何其它適合手段來傳達(dá)。舉例來說，可出于所述目的而使用單獨(dú)有線或無線網(wǎng)絡(luò)(未展示)。
[0071]任務(wù)計(jì)劃可直接加載于每一模塊的物理位置處，或其可從NCSA傳達(dá)到模塊。此概念圖解說明于圖6中，其展示任務(wù)計(jì)劃604經(jīng)由通信媒體606從NCSA 602傳達(dá)到模塊105到107、113、114中的每一者。在所展示的實(shí)例中，NCSA軟件應(yīng)用程序在由網(wǎng)絡(luò)管理員操作的NAC 104上執(zhí)行。在一些實(shí)施例中，通信媒體可包含使用計(jì)算機(jī)網(wǎng)絡(luò)100的帶內(nèi)發(fā)信?；蛘撸瑤饩W(wǎng)絡(luò)(例如，單獨(dú)無線網(wǎng)絡(luò))可用作通信媒體606以將經(jīng)更新任務(wù)計(jì)劃從NCSA傳達(dá)到每一模塊。如圖7中所展示，NCSA可提供對(duì)話框700以促進(jìn)數(shù)個(gè)任務(wù)計(jì)劃702中的一者的選擇。這些任務(wù)計(jì)劃702中的每一者可存儲(chǔ)于NAC 104上。網(wǎng)絡(luò)管理員可從數(shù)個(gè)任務(wù)計(jì)劃702中的一者做出選擇，此后其可激活發(fā)送任務(wù)計(jì)劃按鈕704。或者，多個(gè)任務(wù)計(jì)劃可傳達(dá)到每一模塊且存儲(chǔ)于那兒。在任一情景中，用戶可選擇經(jīng)定義任務(wù)計(jì)劃中的一者來激活。
[0072]響應(yīng)于用以發(fā)送任務(wù)計(jì)劃的命令，選定任務(wù)計(jì)劃在模塊處于其中其經(jīng)配置以用于主動(dòng)地執(zhí)行身份參數(shù)的動(dòng)態(tài)修改的作用狀態(tài)中(如本文中所描述)時(shí)傳達(dá)到所述模塊。此布置最小化其間網(wǎng)絡(luò)以明文方式操作且不操控身份參數(shù)的時(shí)間。然而，經(jīng)更新任務(wù)計(jì)劃也可在模塊處于繞過模式中時(shí)傳達(dá)到所述模塊，且此方法在某些情況中可為合意的。
[0073]一旦任務(wù)計(jì)劃由模塊接收，其即可自動(dòng)地存儲(chǔ)于模塊內(nèi)的存儲(chǔ)器位置中。此后，可致使模塊進(jìn)入繞過狀態(tài)，且在仍處于所述狀態(tài)中時(shí)，模塊可加載與新任務(wù)計(jì)劃相關(guān)聯(lián)的數(shù)據(jù)。進(jìn)入到繞過狀態(tài)中且加載新任務(wù)計(jì)劃數(shù)據(jù)的此過程可響應(yīng)于接收到任務(wù)計(jì)劃而自動(dòng)地發(fā)生，或可響應(yīng)于來自由網(wǎng)絡(luò)管理員控制的NCSA軟件的命令而發(fā)生。所述新任務(wù)計(jì)劃優(yōu)選地包含改變使身份參數(shù)值變化的方式。一旦已加載新任務(wù)計(jì)劃，模塊105到107、113及114即可以確保不發(fā)生數(shù)據(jù)通信錯(cuò)誤的同步方式從繞過模式轉(zhuǎn)變?yōu)樽饔媚Ｊ?。任?wù)計(jì)劃可指定模塊將返回到作用模式的時(shí)間，或網(wǎng)絡(luò)管理員可使用NCSA來將命令傳達(dá)到各種模塊，從而引導(dǎo)其進(jìn)入到作用模式中。更新任務(wù)計(jì)劃的前述過程有利地允許網(wǎng)絡(luò)安全性程序的改變?cè)诓淮驍喔浇拥接?jì)算機(jī)網(wǎng)絡(luò)100的各種計(jì)算裝置當(dāng)中的通信的情況下發(fā)生。
[0074]每一模塊105、106、107、113及114處的各種身份參數(shù)的動(dòng)態(tài)操控優(yōu)選地由在每一模塊105到107、113、114上執(zhí)行的應(yīng)用軟件控制。然而，應(yīng)用軟件的行為有利地由任務(wù)計(jì)劃控制。
[0075]現(xiàn)在參考圖8，其提供概述每一模塊105到107、113、114的操作的流程圖。為避免混淆，關(guān)于在單個(gè)方向上的通信描述過程。舉例來說，在模塊105的情況中，單個(gè)方向可涉及從客戶端計(jì)算機(jī)101發(fā)射到集線器108的數(shù)據(jù)。然而，在實(shí)踐中，優(yōu)選地，模塊105到107、113、114雙向地操作。所述過程在將模塊開啟電源時(shí)在步驟802處開始且繼續(xù)到步驟804，其中利用模塊應(yīng)用軟件執(zhí)行本文中所描述的方法。在步驟806中，從模塊內(nèi)的存儲(chǔ)器位置加載任務(wù)計(jì)劃。在此點(diǎn)處，模塊準(zhǔn)備好開始處理數(shù)據(jù)且繼續(xù)進(jìn)行到在步驟808處處理數(shù)據(jù)，其中其從模塊的輸入數(shù)據(jù)緩沖器存取數(shù)據(jù)包。在步驟810中，模塊檢查以確定其是否處于繞過操作模式中。如果如此，那么在步驟812中在不具有數(shù)據(jù)包的任何修改的情況下重新發(fā)射在步驟808中存取的數(shù)據(jù)包。如果模塊不在繞過模式中，那么其必定在其作用操作模式中且繼續(xù)到步驟814。在步驟814中，模塊讀取數(shù)據(jù)包以確定數(shù)據(jù)包始發(fā)于其的源節(jié)點(diǎn)的身份。在步驟816中，其檢查包以確定源節(jié)點(diǎn)是否有效?？蓪⑺付ㄔ垂?jié)點(diǎn)與有效節(jié)點(diǎn)的列表進(jìn)行比較以確定所指定源節(jié)點(diǎn)當(dāng)前是否有效。如果其并非有效節(jié)點(diǎn)，那么在步驟818中摒棄包。在步驟820中，過程檢查以確定觸發(fā)事件是否發(fā)生。觸發(fā)事件的發(fā)生將影響對(duì)待使用的假身份值的選擇。因此，在步驟822中，模塊基于觸發(fā)信息、時(shí)鐘時(shí)間及任務(wù)計(jì)劃中的一或多者確定待使用的假身份值。模塊然后繼續(xù)到步驟826，其中其操控?cái)?shù)據(jù)包的身份參數(shù)。一旦操控完成，即將數(shù)據(jù)包從模塊的輸出端口重新發(fā)射到鄰近節(jié)點(diǎn)。在步驟830中，做出關(guān)于是否已命令將模塊關(guān)閉電源的確定。如果如此，那么過程在步驟832處結(jié)束。在步驟808中，過程繼續(xù)且從模塊的輸入數(shù)據(jù)緩沖器存取下一數(shù)據(jù)包。
[0076]現(xiàn)在參考圖9，其提供概述用于管理動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)的本文中所描述的方法的流程圖。過程在步驟902中開始且繼續(xù)到步驟904，其中創(chuàng)建網(wǎng)絡(luò)模型(例如，如關(guān)于圖3所展示及描述)。在步驟906中，做出關(guān)于是否將創(chuàng)建新任務(wù)計(jì)劃的確定。如果如此，那么在步驟908中創(chuàng)建新任務(wù)計(jì)劃且過程繼續(xù)到步驟910，其中選擇新任務(wù)計(jì)劃?；蛘撸绻诓襟E906中已創(chuàng)建所要任務(wù)計(jì)劃，那么方法可直接繼續(xù)到步驟910，其中選擇現(xiàn)有任務(wù)計(jì)劃。在步驟912中，將任務(wù)計(jì)劃傳達(dá)到模塊(例如，模塊105到107、113、114)，其中將任務(wù)計(jì)劃存儲(chǔ)于存儲(chǔ)器位置中。當(dāng)網(wǎng)絡(luò)管理員準(zhǔn)備好實(shí)施新任務(wù)模型時(shí)，在步驟914中發(fā)送命令，所述命令致使模塊進(jìn)入如本文中所描述的待用模式。當(dāng)模塊處于此待用模式中時(shí)，在步驟916處加載任務(wù)計(jì)劃。任務(wù)計(jì)劃的加載發(fā)生于每一模塊處以使得可使用任務(wù)計(jì)劃來控制在模塊上執(zhí)行的應(yīng)用軟件的操作。特定來說，使用任務(wù)計(jì)劃來控制應(yīng)用軟件執(zhí)行身份參數(shù)的動(dòng)態(tài)操控的方式。在步驟918中，再次致使任務(wù)模塊進(jìn)入到其中每一任務(wù)模塊根據(jù)任務(wù)計(jì)劃執(zhí)行身份參數(shù)的操控的作用操作模式中。步驟914、916及918可響應(yīng)于從網(wǎng)絡(luò)管理員發(fā)送的特定命令而發(fā)生，或可響應(yīng)于在步驟912中接收到任務(wù)計(jì)劃而在每一模塊處自動(dòng)地發(fā)生。在步驟918之后，模塊根據(jù)已加載的任務(wù)計(jì)劃繼續(xù)執(zhí)行處理。在步驟920中，過程通過檢查以確定用戶是否已指示改變?nèi)蝿?wù)計(jì)劃的期望而繼續(xù)；如果如此，那么過程返回到步驟906，其中其如上文所描述地繼續(xù)。如果不存在用戶或網(wǎng)絡(luò)管理員希望改變現(xiàn)有任務(wù)計(jì)劃的指示，那么過程在步驟922中確定其是否已被指令終止。如果如此，那么過程在步驟924中終止。如果未接收到終止指令，那么過程返回到步驟920且繼續(xù)。
[0077]現(xiàn)在參考圖10，其提供展示可用于執(zhí)行本文中所描述的身份參數(shù)的操控的示范性模塊1000的計(jì)算機(jī)架構(gòu)的框圖。模塊1000包含經(jīng)由總線1022彼此通信的處理器1012 (例如中央處理單元(CPU))、主存儲(chǔ)器1020及靜態(tài)存儲(chǔ)器1018。計(jì)算機(jī)系統(tǒng)1000可進(jìn)一步包含用以指示模塊的狀態(tài)的顯示器單元1002，例如液晶顯示器或IXD。模塊1000還可包含允許模塊同時(shí)在兩個(gè)單獨(dú)數(shù)據(jù)線上接收及發(fā)射數(shù)據(jù)的一或多個(gè)網(wǎng)絡(luò)接口裝置1016、1017。兩個(gè)網(wǎng)絡(luò)接口端口促進(jìn)圖1中所展示的布置，其中每一模塊經(jīng)配置以同時(shí)攔截及重新發(fā)射從網(wǎng)絡(luò)上的兩個(gè)單獨(dú)計(jì)算裝置接收的數(shù)據(jù)包。
[0078]主存儲(chǔ)器1020包含其上存儲(chǔ)有經(jīng)配置以實(shí)施本文中所描述的方法、程序或功能中的一或多者的一或多組的指令1008(例如，軟件代碼)的計(jì)算機(jī)可讀存儲(chǔ)媒體1010。指令1008也可在其由模塊執(zhí)行期間完全或至少部分地駐存于靜態(tài)存儲(chǔ)器1018內(nèi)及/或處理器1012內(nèi)。靜態(tài)存儲(chǔ)器1018及處理器1012也可構(gòu)成機(jī)器可讀媒體。在本發(fā)明的各種實(shí)施例中，連接到網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)接口裝置1016使用指令1008經(jīng)由網(wǎng)絡(luò)通信。
[0079]現(xiàn)在參考圖11，其展示根據(jù)發(fā)明性布置的示范性網(wǎng)絡(luò)管理計(jì)算機(jī)(NAC) 114。NAC可包括各種類型的計(jì)算系統(tǒng)及裝置，包含服務(wù)器計(jì)算機(jī)、客戶端用戶計(jì)算機(jī)、個(gè)人計(jì)算機(jī)(PC)、平板PC、膝上型計(jì)算機(jī)、桌上型計(jì)算機(jī)、控制系統(tǒng)或能夠執(zhí)行指定所述裝置待采取的動(dòng)作的一組指令(循序或其它)的任何其它裝置。此外，盡管圖11中圖解說明單個(gè)計(jì)算機(jī)，但短語“NAC”應(yīng)理解為包含個(gè)別地或聯(lián)合地執(zhí)行一組(或多組)指令以執(zhí)行本文中所論述的方法中的任一者或多者的計(jì)算裝置的任何集合。
[0080]現(xiàn)在參考圖11，NAC 104包含經(jīng)由總線1122彼此通信的處理器1112(例如中央處理單元(CPU))、磁盤驅(qū)動(dòng)單元1106、主存儲(chǔ)器1120及靜態(tài)存儲(chǔ)器1118。NAC 104可進(jìn)一步包含顯示器單元1102,例如視頻顯示器(例如，液晶顯示器或IXD)、平板顯示器、固態(tài)顯示器或陰極射線管(CRT)。NAC 104可包含用戶輸入裝置1104(例如，鍵盤)、光標(biāo)控制裝置1114(例如，鼠標(biāo))及網(wǎng)絡(luò)接口裝置1116。
[0081]磁盤驅(qū)動(dòng)單元1106包含其上存儲(chǔ)有經(jīng)配置以實(shí)施本文中所描述的方法、過程或功能中的一或多者的一或多組指令1108(例如，軟件代碼)的計(jì)算機(jī)可讀存儲(chǔ)媒體1110。指令1108還可在其執(zhí)行期間完全或至少部分地駐存于主存儲(chǔ)器1120、靜態(tài)存儲(chǔ)器1118內(nèi)及/或處理器1112內(nèi)。主存儲(chǔ)器1120及處理器1112還可構(gòu)成機(jī)器可讀媒體。
[0082]所屬領(lǐng)域的技術(shù)人員應(yīng)了解，圖10中所圖解說明的模塊架構(gòu)及圖11中的NAC架構(gòu)各自表示可分別用于執(zhí)行本文中所描述的方法的計(jì)算裝置的僅一個(gè)可能實(shí)例。然而，本發(fā)明在此方面并不受限，且任何其它適合計(jì)算裝置架構(gòu)也可在無限制的情況下使用。包含但不限于專用集成電路、可編程邏輯陣列及其它硬件裝置的專用硬件實(shí)施方案可同樣地經(jīng)構(gòu)造以實(shí)施本文中所描述的方法?？砂鞣N實(shí)施例的裝備及系統(tǒng)的應(yīng)用廣義地包含多種電子及計(jì)算機(jī)系統(tǒng)。一些實(shí)施例可借助在模塊之間及貫通模塊傳達(dá)的相關(guān)控制及數(shù)據(jù)信號(hào)或作為專用集成電路的部分實(shí)施兩個(gè)或兩個(gè)以上特定互連的硬件裝置中的功能。因此，示范性系統(tǒng)適用于軟件、固件及硬件實(shí)施方案。
[0083]根據(jù)本發(fā)明的各種實(shí)施例，本文中所描述的方法作為軟件程序存儲(chǔ)于計(jì)算機(jī)可讀存儲(chǔ)媒體中且經(jīng)配置以在計(jì)算機(jī)處理器上運(yùn)行。此外，軟件實(shí)施方案可包含但不限于也可經(jīng)構(gòu)造以實(shí)施本文中所描述的方法的分布式處理、組件/對(duì)象分布式處理、并行處理、虛擬機(jī)器處理。
[0084]盡管在圖10及11中將計(jì)算機(jī)可讀存儲(chǔ)媒體1010、1110展示為單個(gè)存儲(chǔ)媒體，但術(shù)語“計(jì)算機(jī)可讀存儲(chǔ)媒體”應(yīng)視為包含存儲(chǔ)一或多組指令的單個(gè)媒體或多個(gè)媒體(例如，集中式或分布式數(shù)據(jù)庫及/或相關(guān)聯(lián)高速緩沖存儲(chǔ)器及服務(wù)器)。術(shù)語“計(jì)算機(jī)可讀存儲(chǔ)媒體”也應(yīng)視為包含能夠存儲(chǔ)、編碼或攜載供由機(jī)器執(zhí)行的一組指令且致使機(jī)器執(zhí)行本發(fā)明的方法中任一者或多者的任何媒體。
[0085]術(shù)語“計(jì)算機(jī)可讀媒體”應(yīng)相應(yīng)地視為包含但不限于固態(tài)存儲(chǔ)器(例如存儲(chǔ)器卡或者裝納一或多個(gè)只讀(非易失性)存儲(chǔ)器、隨機(jī)存取存儲(chǔ)器或其它可重復(fù)寫入(易失性)存儲(chǔ)器的其它包)；磁光媒體或光學(xué)媒體(例如磁盤或磁帶)。因此，本發(fā)明應(yīng)視為包含如本文中所列示的計(jì)算機(jī)可讀媒體中的任一者或多者且包含已認(rèn)可的等效物及其中存儲(chǔ)有本文中的軟件實(shí)施方案的后續(xù)任務(wù)媒體。
[0086]與連接到不同邏輯網(wǎng)絡(luò)的計(jì)算裝置的通信
[0087]在描述發(fā)明性布置的其它方面之前，考慮常規(guī)路由器的操作是有用的。參考圖12，其展示路由器的示范性網(wǎng)絡(luò)，其中路由器1202、1204、1206各自連接到單獨(dú)網(wǎng)絡(luò)且類似于圖1的路由器110。還展示連接到路由器1202的服務(wù)器1210及連接到路由器1206的客戶端計(jì)算機(jī)1208。為避免使本發(fā)明模糊，未展示每一路由器連接到其的網(wǎng)絡(luò)及可能在那些網(wǎng)絡(luò)內(nèi)的網(wǎng)絡(luò)組件。此外，圖12中所展示的網(wǎng)絡(luò)拓?fù)錇槭痉缎缘?，且本發(fā)明的實(shí)施例在此方面并不受限。
[0088]路由器的原生功能是根據(jù)一組路由規(guī)則引導(dǎo)業(yè)務(wù)，所述組路由規(guī)則可存儲(chǔ)于存儲(chǔ)器(例如，圖10的主存儲(chǔ)器1020)中。舉例來說，客戶端計(jì)算機(jī)1208將包發(fā)送到服務(wù)器1210。所述包首先到達(dá)路由器1206。路由器1206檢查包標(biāo)頭且確定所述包的最后目的地為服務(wù)器1210。路由器1206然后查找服務(wù)器1210的網(wǎng)絡(luò)地址且確定所述包的下一目的地。舉例來說，靜態(tài)路由協(xié)議可指定包應(yīng)沿循具有最少數(shù)目個(gè)躍點(diǎn)的路線，即，朝向最后目的地行進(jìn)通過最少數(shù)目個(gè)路由器。在此情景中，路由表將指定應(yīng)將包引導(dǎo)到路由器1202。路由器1206然后將包路由到連接到路由器1202的端口。在接收到包后，路由器1202即刻檢查包、確定最后目的地為服務(wù)器1210且將包路由到連接到服務(wù)器1210的端口。
[0089]盡管本文中所描述的用于身份參數(shù)的動(dòng)態(tài)操控的方法可在單個(gè)邏輯網(wǎng)絡(luò)(例如，第一邏輯網(wǎng)絡(luò)130)內(nèi)良好地工作，但其確實(shí)呈現(xiàn)與連接到另一邏輯網(wǎng)絡(luò)(例如，第二邏輯網(wǎng)絡(luò)132)的計(jì)算機(jī)的通信的一些問題。即使整個(gè)網(wǎng)絡(luò)100根據(jù)相同任務(wù)計(jì)劃操作也可發(fā)生這些問題。由于這些問題，如果不采取適當(dāng)動(dòng)作，那么不同邏輯網(wǎng)絡(luò)上的計(jì)算機(jī)之間的通信可能被打斷。因此，邏輯網(wǎng)絡(luò)130、132有利地包含經(jīng)布置以處理進(jìn)入或離開每一邏輯網(wǎng)絡(luò)130、132的通信的至少一個(gè)路由器110。路由器110確保邏輯網(wǎng)絡(luò)130內(nèi)的計(jì)算裝置與邏輯網(wǎng)絡(luò)132內(nèi)的計(jì)算裝置之間的此類通信可在無錯(cuò)誤的情況下發(fā)生。路由器110為將具有類似于如圖2中所展示的模塊的功能框圖的功能框圖的計(jì)算裝置。路由器110也可具有類似于圖10中所展示的計(jì)算機(jī)架構(gòu)的計(jì)算機(jī)架構(gòu)。
[0090]根據(jù)發(fā)明性布置的一個(gè)方面，路由器110經(jīng)配置以調(diào)整其路由操作以確保仍將含有假身份參數(shù)的數(shù)據(jù)包傳達(dá)到其恰當(dāng)目的地節(jié)點(diǎn)。除執(zhí)行此類基本路由功能之外，路由器還可經(jīng)配置而以類似于上文關(guān)于模塊所描述的方式的方式執(zhí)行身份參數(shù)的動(dòng)態(tài)操控。最后，路由器可經(jīng)配置以使其路由過程動(dòng)態(tài)地變化以使得包的路由路徑隨時(shí)間及/或響應(yīng)于各種觸發(fā)條件而以偽隨機(jī)方式變化。
[0091]現(xiàn)在參考圖13，其提供對(duì)于理解本發(fā)明有用的流程圖。所述過程在步驟1302處在將模塊開啟電源時(shí)開始且繼續(xù)到步驟1304，其中將用于執(zhí)行本文中所描述的方法的路由器應(yīng)用軟件初始化。在步驟1306中，從路由器內(nèi)的存儲(chǔ)器位置加載一或多個(gè)任務(wù)計(jì)劃。任務(wù)計(jì)劃可定義單個(gè)動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)的多個(gè)邏輯網(wǎng)絡(luò)的動(dòng)態(tài)操縱。可以類似于上文關(guān)于模塊所描述的方式的方式將一或多個(gè)任務(wù)計(jì)劃加載于路由器中。舉例來說，可在停用網(wǎng)絡(luò)的MTT操作時(shí)加載任務(wù)計(jì)劃。一旦已加載任務(wù)計(jì)劃，路由器即準(zhǔn)備好開始處理數(shù)據(jù)且在步驟1308處繼續(xù)如此進(jìn)行，其中其從路由器的輸入數(shù)據(jù)緩沖器存取數(shù)據(jù)包。
[0092]在步驟1310中，路由器檢查以確定是否已在網(wǎng)絡(luò)中啟用MTT操作模式。如果否(1310:否)，那么在步驟1312中使用經(jīng)布置以確保含有真身份參數(shù)值的包的恰當(dāng)路由的靜態(tài)路由表將在步驟1308中存取的數(shù)據(jù)包引導(dǎo)到路由器輸出端口。換句話說，在MTT操作模式不作用且假定所有身份參數(shù)具有其真值時(shí)使用此模式。在步驟1312中，路由器在不對(duì)數(shù)據(jù)包進(jìn)行任何修改的情況下以常規(guī)路由器將使用的相同的方式將數(shù)據(jù)包傳達(dá)到適當(dāng)路由器輸出端口。如果啟用MTT模式(1310:是)，那么過程繼續(xù)到步驟1314。
[0093]網(wǎng)絡(luò)將具有定義當(dāng)前如何操控網(wǎng)絡(luò)中的身份參數(shù)的某一 MTT狀態(tài)。在步驟1314中，路由器基于任務(wù)計(jì)劃及當(dāng)前MTT狀態(tài)確定假身份參數(shù)值的當(dāng)前狀態(tài)。在步驟1316中，系統(tǒng)周期性地檢查以確定是否已發(fā)生將改變MTT狀態(tài)的觸發(fā)事件。針對(duì)觸發(fā)事件的發(fā)生的此檢查步驟可如所展示地基于時(shí)鐘信號(hào)周期性地執(zhí)行，或其可在框1315內(nèi)所包含的過程期間的任何時(shí)間執(zhí)行。此為重要步驟，因?yàn)橛|發(fā)事件的發(fā)生可對(duì)網(wǎng)絡(luò)中的當(dāng)前正使用的恰當(dāng)假身份值的計(jì)算具有顯著影響。然后使用來自步驟1316的信息及有關(guān)網(wǎng)絡(luò)的MTT狀態(tài)的任何其它適當(dāng)信息來確定那時(shí)網(wǎng)絡(luò)正使用的任何MTT操控的當(dāng)前狀態(tài)。舉例來說，在步驟1314中觸發(fā)事件的發(fā)生可致使系統(tǒng)產(chǎn)生包含那時(shí)正使用的任何假身份參數(shù)值及對(duì)應(yīng)真身份參數(shù)值的經(jīng)更新交叉參考表。可使用如先前所描述的偽隨機(jī)過程確定有關(guān)哪些身份參數(shù)為假及此類身份參數(shù)的真值的信息。如圖13中所展示，觸發(fā)事件可在處理步驟1314、1318、1320、1324、1326及1328中的任一者期間發(fā)生且將觸發(fā)那時(shí)的當(dāng)前MTT狀態(tài)(例如，假身份參數(shù)值的當(dāng)前狀態(tài))的立即重新確定。
[0094]任選地，可在步驟1314處啟用MTT身份參數(shù)的不可否認(rèn)性。不可否認(rèn)性為允許網(wǎng)絡(luò)管理員在任何時(shí)間發(fā)現(xiàn)動(dòng)態(tài)網(wǎng)絡(luò)所使用的MTT身份的安全性服務(wù)。因此，盡管具有網(wǎng)絡(luò)業(yè)務(wù)的身份參數(shù)的潛在偽隨機(jī)本性，但網(wǎng)絡(luò)源及目的地的真身份為可知曉的且不能“否認(rèn)”以拒絕責(zé)任。在一個(gè)實(shí)施例中，這可通過簡(jiǎn)單記錄所有假身份而實(shí)現(xiàn)。因此，執(zhí)行記錄功能，借此將在步驟1314中確定的所有假身份參數(shù)記錄于(舉例來說)存儲(chǔ)器中?；蛘?，可通過偽隨機(jī)函數(shù)的時(shí)間戳記錄及與MTT任務(wù)計(jì)劃的當(dāng)前狀態(tài)相關(guān)聯(lián)的種子值來實(shí)現(xiàn)不可否認(rèn)性。此允許網(wǎng)絡(luò)管理員在網(wǎng)絡(luò)操作期間的任何時(shí)間往回查看以依據(jù)偽隨機(jī)函數(shù)及那時(shí)任務(wù)計(jì)劃所使用的種子值“重新建構(gòu)”網(wǎng)絡(luò)身份。
[0095]在步驟1318中，路由器讀取數(shù)據(jù)包以確定數(shù)據(jù)包從其始發(fā)的源節(jié)點(diǎn)及目的地節(jié)點(diǎn)的身份。所接收數(shù)據(jù)的源地址信息及目的地地址信息是重要的，因?yàn)樾枰鋪頊?zhǔn)許路由器確定如何恰當(dāng)?shù)夭倏財(cái)?shù)據(jù)通信內(nèi)所含有的身份參數(shù)。在步驟1320中，路由器檢查數(shù)據(jù)包以確定源節(jié)點(diǎn)是否有效。此可通過將數(shù)據(jù)包中所指定的源節(jié)點(diǎn)與當(dāng)前正使用的有效源節(jié)點(diǎn)的當(dāng)前列表(例如，如步驟1314中所確定)進(jìn)行比較而實(shí)現(xiàn)。如果源節(jié)點(diǎn)信息并非有效，那么在步驟1322中摒棄包。步驟1324及1326是下文進(jìn)一步詳細(xì)論述的任選步驟。
[0096]過程繼續(xù)到步驟1328，在此時(shí)路由器將包引導(dǎo)到適當(dāng)路由器輸出端口。此步驟優(yōu)選地包含用以確保含有假身份參數(shù)的包的恰當(dāng)路由的適當(dāng)動(dòng)作。更特定來說，根據(jù)對(duì)應(yīng)于假身份參數(shù)的真信息，用于數(shù)據(jù)通信的路線是用于數(shù)據(jù)通信的正確路由。應(yīng)記得，假身份參數(shù)中的信息將與真身份參數(shù)值不一致，因此必須做出適當(dāng)調(diào)整以適應(yīng)假信息，同時(shí)仍確保數(shù)據(jù)消息的恰當(dāng)路由。存在解決此問題的至少兩種可能方法。在一些實(shí)施例中，步驟1328可涉及借以確定包中所含有的任何假身份參數(shù)的真身份參數(shù)值的交叉參考過程。舉例來說，在步驟1314中產(chǎn)生的查找表可用于此目的。一旦確定此類身份參數(shù)的真值，路由器即可使用其靜態(tài)路由表(即，在步驟1312中所使用的相同表)來確定特定包的正確路由器輸出端口。此后，可將包引導(dǎo)到正確路由器輸出端口?；蛘?，可產(chǎn)生經(jīng)調(diào)整動(dòng)態(tài)路由表以供在步驟1328中使用。經(jīng)調(diào)整動(dòng)態(tài)路由表可直接指定對(duì)應(yīng)于數(shù)據(jù)包中所含有的假身份參數(shù)信息的正確路由端口。其它方法也是可能的，且本發(fā)明并不打算限于此處所描述的兩種方法。
[0097]在步驟1330中，做出關(guān)于是否已命令將路由器關(guān)閉電源的確定。如果如此，那么過程在步驟1332處結(jié)束；否則，過程返回到1308。在步驟1308中，過程繼續(xù)且從路由器的輸入數(shù)據(jù)緩沖器存取下一數(shù)據(jù)包。
[0098]在上文所描述的過程中，路由器110執(zhí)行確保將含有假身份參數(shù)的數(shù)據(jù)包仍傳達(dá)到其恰當(dāng)目的地節(jié)點(diǎn)的路由操作。除執(zhí)行此類基本路由功能之外，路由器還可經(jīng)配置而以類似于上文關(guān)于模塊所描述的方式的方式執(zhí)行身份參數(shù)的動(dòng)態(tài)操控。再次參考圖13，任選步驟1324可包括根據(jù)任務(wù)計(jì)劃及當(dāng)前網(wǎng)絡(luò)狀態(tài)動(dòng)態(tài)操控身份參數(shù)。步驟1324處的操作將類似于如上文所描述的由模塊105到107、113、114執(zhí)行的身份參數(shù)操控。在完成身份參數(shù)的此操控后，所述過程將即刻基本上如上文關(guān)于步驟1328描述地繼續(xù)。將使用如路由器所操控的當(dāng)前身份參數(shù)值來執(zhí)行路由操作。值得注意的是，步驟1324中的操控操作可根據(jù)任務(wù)計(jì)劃在進(jìn)行與停止之間選擇性地雙態(tài)切換。此過程類似于上文關(guān)于模塊所描述的繞過模式，且可促進(jìn)使網(wǎng)絡(luò)內(nèi)的其中執(zhí)行身份參數(shù)操控的位置變化。可在如上文所描述的步驟1310及1312中實(shí)施此繞過操作模式。或者，可個(gè)別地繞過步驟1324。
[0099]在如至此所描述的路由器過程中，已操控身份參數(shù)，但路由協(xié)議一直為靜態(tài)的。換句話說，用于路由包的規(guī)則已隨時(shí)間保持相同，且這些規(guī)則尚未受網(wǎng)絡(luò)的MTT狀態(tài)的改變影響。包總是沿與其將在具有靜態(tài)路由表的默認(rèn)路由情景中路由相同的路徑來路由。除這些靜態(tài)路由方法之外，發(fā)明性布置還可包含動(dòng)態(tài)路由。
[0100]為了更完全地理解動(dòng)態(tài)路由的概念，考慮實(shí)例是有用的。在上文參考圖12所描述的默認(rèn)路由情景中，路由器1206將送往服務(wù)器1210的包引導(dǎo)到路由器1202，因?yàn)榇寺肪€具有最短數(shù)目個(gè)躍點(diǎn)。然而，在本發(fā)明的動(dòng)態(tài)路由實(shí)施例中，每一路由器的路由協(xié)議可經(jīng)動(dòng)態(tài)修改以使得特定路由器路由包的方式將隨時(shí)間(且在不同條件下)改變。此類路由變化在不存取任務(wù)計(jì)劃中所指定的信息的情況下將是不可預(yù)測(cè)的。因此，任務(wù)計(jì)劃可指定(舉例來說)有時(shí)將送往服務(wù)器1210的包引導(dǎo)到路由器1204而非直接引導(dǎo)到路由器1202。然后將包引導(dǎo)到路由器1202及最后目的地服務(wù)器1210。在其它時(shí)間，送往同一服務(wù)器的包可具有不同路由。在涉及動(dòng)態(tài)路由的此類實(shí)施例中，可認(rèn)為包貫通網(wǎng)絡(luò)1200中采取的路線以偽隨機(jī)方式動(dòng)態(tài)地更改以阻撓試圖監(jiān)視網(wǎng)絡(luò)通信的對(duì)手。下文中所描述的動(dòng)態(tài)路由方法可使用任何適合技術(shù)執(zhí)行，且所有此類技術(shù)均打算包含于本發(fā)明的范圍中。此外，路由協(xié)議的動(dòng)態(tài)修改可單獨(dú)或連同如上文所描述的身份參數(shù)的動(dòng)態(tài)修改一起執(zhí)行。
[0101]現(xiàn)在參考圖14，其提供概述用于實(shí)施如上文所描述的動(dòng)態(tài)路由方法的過程的示范性實(shí)施例的流程圖。圖14中的流程圖描述可在圖13的步驟1326處實(shí)施的示范性處理。過程在任選步驟1324之后開始且繼續(xù)到步驟1402，其中路由器110確定數(shù)據(jù)包可采取的一組可行路線?？尚新肪€可為數(shù)據(jù)包可采取的到其最終目的地的任何路線。可用于數(shù)據(jù)包的可行路線的數(shù)目可受外部約束(例如網(wǎng)絡(luò)可用性及服務(wù)需要的質(zhì)量)限制。一旦已識(shí)別所有可用路線，過程即繼續(xù)到步驟1404，其中選擇單個(gè)路線來發(fā)送包?？筛鶕?jù)任務(wù)計(jì)劃偽隨機(jī)地選擇所挑選的路線。一旦選擇了路線，過程即以圖13的步驟1328繼續(xù)，其中使用適當(dāng)路由協(xié)議將數(shù)據(jù)路由到輸出端口，如上文所描述。
[0102]仍應(yīng)理解，本文中所描述的動(dòng)態(tài)路由方法不限于圖14中所展示的過程。在另一實(shí)施例中，根據(jù)任務(wù)計(jì)劃操作的路由器可確定貫通網(wǎng)絡(luò)的多個(gè)可行路線。路由器可根據(jù)由任務(wù)計(jì)劃定義的偽隨機(jī)算法將跨越可行路徑的通信分段及分散。舉例來說，參考圖12，路由器1206可接收分段成兩個(gè)包的通信。根據(jù)任務(wù)計(jì)劃操作，路由器1206可通過路由器1204發(fā)送一個(gè)包且將另一包直接發(fā)送到路由器1202。然后在目的地(例如，服務(wù)器1210)處重新匯編通信。在此實(shí)施例中，路由器1206可根據(jù)偽隨機(jī)函數(shù)使數(shù)據(jù)包將行進(jìn)的路線變化。所屬領(lǐng)域的技術(shù)人員應(yīng)認(rèn)識(shí)到，此技術(shù)可擴(kuò)縮到包含任何數(shù)目個(gè)路由器的網(wǎng)絡(luò)。
[0103]在另一實(shí)施例中，路由器可使其路由決策基于從其接收包的特定端口。舉例來說，來自客戶端計(jì)算機(jī)1208的包可在路由器1206處接收且發(fā)送到1204，如上文所描述。根據(jù)此實(shí)例，路由器1204中的動(dòng)態(tài)路由協(xié)議及/或表可指定可將從路由器1206接收的送往連接到路由器1202的主機(jī)的包發(fā)送回到路由器1206。再次，路由器1206接收相同包，但此次是從連接到路由器1204的端口而非連接到客戶端計(jì)算機(jī)1208的端口接收。路由器1206的動(dòng)態(tài)路由協(xié)議及/或表可指定將送往路由器1202且從連接到路由器1204的端口到達(dá)的包直接引導(dǎo)到路由器1202。
[0104]值得注意的是，上文關(guān)于圖14所描述的動(dòng)態(tài)路由過程也可獨(dú)立于關(guān)于圖13所描述的MTT功能中的一或多者發(fā)生?，F(xiàn)在參考圖15，其提供概述根據(jù)其中路由器110所使用的路由協(xié)議根據(jù)任務(wù)計(jì)劃變化的一個(gè)實(shí)施例的路由器的操作的流程圖。所述過程在步驟1502處在將模塊開啟電源時(shí)開始且繼續(xù)到步驟1504，其中將用于執(zhí)行本文中所描述的方法的路由器應(yīng)用軟件初始化。在步驟1506中，從路由器內(nèi)的存儲(chǔ)器位置加載一或多個(gè)任務(wù)計(jì)劃。在此時(shí)，路由器準(zhǔn)備好開始處理數(shù)據(jù)且在步驟1508處繼續(xù)如此進(jìn)行，其中其從路由器的輸入數(shù)據(jù)緩沖器存取所接收數(shù)據(jù)包。在步驟1510中，做出關(guān)于路由器是否在動(dòng)態(tài)路由模式中操作的確定。如果否，那么過程繼續(xù)到步驟1512且根據(jù)常規(guī)靜態(tài)路由協(xié)議路由數(shù)據(jù)?；蛘?，如果路由器根據(jù)動(dòng)態(tài)路由模式操作(1510:是)，那么過程繼續(xù)到框1513內(nèi)所包含的步驟1514到1518。步驟1514到1516類似于圖14中的步驟1402到1404。因此，在步驟1514中，路由器110確定貫通網(wǎng)絡(luò)的數(shù)據(jù)包為到達(dá)其目的地節(jié)點(diǎn)而可采取的一組可行路線。在步驟1516中，基于由任務(wù)計(jì)劃定義的偽隨機(jī)選擇過程選擇單個(gè)路線以發(fā)送包。在步驟1515中也發(fā)生針對(duì)觸發(fā)事件的發(fā)生的檢查。如上文關(guān)于圖13所論述，在步驟1515中確定的觸發(fā)事件將觸發(fā)那時(shí)的當(dāng)前MTT狀態(tài)(例如，假身份參數(shù)值的當(dāng)前狀態(tài))的立即重新確定。
[0105]一旦選擇了路線，即在步驟1518處朝向指定為包的下一目的地的鄰近節(jié)點(diǎn)將數(shù)據(jù)包引導(dǎo)到輸出端口。在步驟1520中，做出關(guān)于是否已命令將路由器關(guān)閉電源的確定。如果如此，那么過程在步驟1522處結(jié)束；否則，過程返回到1508。在步驟1508中，過程繼續(xù)且從路由器的輸入數(shù)據(jù)緩沖器存取下一數(shù)據(jù)包。
[0106]現(xiàn)在參考圖16，其展示路由器110的框圖。路由器110具有至少兩個(gè)數(shù)據(jù)端口1601、1602，其中的每一者可對(duì)應(yīng)于相應(yīng)網(wǎng)絡(luò)接口裝置1604、1605。如圖16中所展示，路由器110可具有多個(gè)數(shù)據(jù)端口，每一數(shù)據(jù)端口連接到不同邏輯網(wǎng)絡(luò)及/或計(jì)算裝置。在端口1601中的任一者處接收的數(shù)據(jù)在網(wǎng)絡(luò)接口裝置1604處處理且暫時(shí)存儲(chǔ)于輸入緩沖器1610處。處理器1615存取輸入緩沖器1610中所含有的輸入數(shù)據(jù)包且執(zhí)行如本文中所描述的任何必要路由程序即，方向2處理1616。經(jīng)修改數(shù)據(jù)包傳遞到輸出緩沖器1612且隨后使用網(wǎng)絡(luò)接口裝置1605從端口 1602發(fā)射。類似地，在端口 1602處接收的數(shù)據(jù)在網(wǎng)絡(luò)接口裝置1605處處理且暫時(shí)存儲(chǔ)于輸入緩沖器1608處。處理器1615存取輸入緩沖器1608中所含有的輸入數(shù)據(jù)包且執(zhí)行如本文中所描述的任何必要路由程序，即，方向I處理1614。經(jīng)修改數(shù)據(jù)包傳遞到輸出緩沖器1606且隨后使用網(wǎng)絡(luò)接口裝置1604從端口 1601發(fā)射。在每一模塊中，處理器1615根據(jù)存儲(chǔ)于存儲(chǔ)器1618中的任務(wù)計(jì)劃1620及/或一或多個(gè)表1622執(zhí)行數(shù)據(jù)包的動(dòng)態(tài)路由。
[0107]除其路由功能(及對(duì)潛在地管理動(dòng)態(tài)路由協(xié)議的需要)之外，路由器110的操作在許多方面中類似于模塊105到107、113、114的操作。仍應(yīng)了解，路由器110的操作也以一些方式不同。舉例來說，不同于模塊，路由器將決不會(huì)完全不作用，因?yàn)樵诰W(wǎng)絡(luò)作用時(shí)，總是需要其來至少執(zhí)行常規(guī)路由功能。但是，路由器的操作中的一些操作可以類似于模塊的方式在作用模式與非作用模式之間轉(zhuǎn)變。舉例來說，由路由器執(zhí)行的涉及身份參數(shù)的動(dòng)態(tài)修改(圖13的步驟1324)的變換功能可在作用模式與非作用(繞過)模式之間轉(zhuǎn)變。當(dāng)在作用模式中時(shí)，身份參數(shù)的動(dòng)態(tài)修改可由路由器執(zhí)行。當(dāng)在非作用或繞過模式中時(shí)，不動(dòng)態(tài)地修改身份參數(shù)，但路由功能仍是作用的。值得注意的是，任務(wù)計(jì)劃可使用路由器(以類似于上文關(guān)于模塊所描述的方式的方式)來使其中執(zhí)行身份參數(shù)操控的位置變化。此類動(dòng)作可僅由一或多個(gè)路由器執(zhí)行，或可連同其它裝置(例如模塊)一起執(zhí)行。可以類似于本文中關(guān)于模塊所描述的方式的方式(借助靜態(tài)表的常規(guī)路由功能可在加載新任務(wù)計(jì)劃的時(shí)間期間保持啟用除外)更新路由器所使用的任務(wù)計(jì)劃。
[0108]待由路由器操控的身份參數(shù)的選擇及操控所述身份參數(shù)的方式可類似于上文關(guān)于模塊所描述的方法。舉例來說，身份參數(shù)的選擇及假身份參數(shù)值的選擇可由偽隨機(jī)過程確定。所述過程及/或用于此過程的種子值分別由與網(wǎng)絡(luò)相關(guān)聯(lián)的任務(wù)計(jì)劃確定。路由器110將根據(jù)如上文參考模塊所描述的一或多個(gè)觸發(fā)事件的發(fā)生對(duì)待操控的身份參數(shù)值及/或身份參數(shù)的選擇做出改變。這些觸發(fā)事件可隨時(shí)間而變地產(chǎn)生，可由事件的發(fā)生確定，或兩者兼具。本文中所提及的事件的實(shí)例可包含用戶命令、時(shí)序間隔及潛在網(wǎng)絡(luò)安全性威脅的檢測(cè),如上文所論述。
[0109]可變化的身份參數(shù)的類型
[0110]現(xiàn)在參考圖17，其提供可由模塊105到107、113、114及/或由橋接器115操控的身份參數(shù)中的一些身份參數(shù)的列表。圖17中所列示的參數(shù)中的每一者包含于在使用TCP/IP通信協(xié)議的網(wǎng)絡(luò)中所包含的數(shù)據(jù)通信中。圖17中所列示的大多數(shù)信息類型是所屬領(lǐng)域的技術(shù)人員眾所周知的。然而，本文中提供每一類型的信息及其作為身份參數(shù)的使用的簡(jiǎn)要描述。還提供可操控每一身份參數(shù)的方式的簡(jiǎn)要論述。
[0111]IP地址。IP地址是指派給參與計(jì)算機(jī)網(wǎng)絡(luò)的每一計(jì)算裝置的數(shù)字識(shí)別符，其中所述網(wǎng)絡(luò)使用眾所周知的因特網(wǎng)協(xié)議進(jìn)行通信。IP地址可為32位或128位數(shù)。出于本發(fā)明的目的，可將IP地址數(shù)改變?yōu)殡S機(jī)地選擇(例如，使用偽隨機(jī)數(shù)產(chǎn)生器)的假值?；蛘?，可從預(yù)定假值列表(例如，由任務(wù)計(jì)劃指定的列表)隨機(jī)地選擇假IP地址值。源IP地址及目的地IP地址包含于數(shù)據(jù)包的標(biāo)頭部分中。因此，通過經(jīng)由使用改變IP標(biāo)頭信息的包操控技術(shù)簡(jiǎn)單地改變執(zhí)行這些值的操控。當(dāng)包到達(dá)第二模塊(可操控的位置)時(shí)，將假IP地址值變換回到其真值。第二模塊使用相同偽隨機(jī)過程(或其逆過程)來基于假值導(dǎo)出真IP地址值。
[0112]MAC地址。MAC地址是由制造商指派給網(wǎng)絡(luò)接口裝置且存儲(chǔ)于板上ROM中的唯一值。出于本發(fā)明的目的，可將源MAC地址及/或目的地MAC地址改變?yōu)殡S機(jī)地選擇(例如，使用偽隨機(jī)數(shù)產(chǎn)生器)的假值?；蛘?，可從預(yù)定假值列表(例如，由任務(wù)計(jì)劃指定的列表)隨機(jī)地選擇假M(fèi)AC值。源MAC地址及目的地MAC地址包含于數(shù)據(jù)包的標(biāo)頭部分中。因此，通過簡(jiǎn)單地改變每一包的以太網(wǎng)標(biāo)頭信息執(zhí)行這些值的操控。當(dāng)包到達(dá)第二模塊(可操控其的位置)時(shí)，將假M(fèi)AC地址值變換回到其真值。接收包的模塊將使用相同偽隨機(jī)過程(或其逆過程)來基于假值導(dǎo)出真MAC地址值。
[0113]網(wǎng)絡(luò)/子網(wǎng)。在一些實(shí)施例中，IP地址可視為單個(gè)身份參數(shù)。然而，通常將IP地址定義為包含至少兩個(gè)部分，所述至少兩個(gè)部分包含網(wǎng)絡(luò)前綴部分及主機(jī)編號(hào)部分。網(wǎng)絡(luò)前綴部分識(shí)別待將數(shù)據(jù)包傳達(dá)到其的網(wǎng)絡(luò)。主機(jī)編號(hào)識(shí)別局域網(wǎng)(LAN)內(nèi)的特定節(jié)點(diǎn)。子網(wǎng)絡(luò)(有時(shí)稱為子網(wǎng))為IP網(wǎng)絡(luò)的邏輯部分。在將網(wǎng)絡(luò)劃分成兩個(gè)或兩個(gè)以上子網(wǎng)絡(luò)的情況下，使用IP地址的主機(jī)編號(hào)區(qū)段的一部分來指定子網(wǎng)編號(hào)。出于本發(fā)明的目的，網(wǎng)絡(luò)前綴、子網(wǎng)編號(hào)及主機(jī)編號(hào)可各自視為單獨(dú)身份參數(shù)。因此，這些身份參數(shù)中的每一者可以偽隨機(jī)方式獨(dú)立于其它參數(shù)單獨(dú)地操控。此外，應(yīng)了解，數(shù)據(jù)包將包含源IP地址及目的地IP地址。因此，可在源IP地址及/或目的地IP地址中操控網(wǎng)絡(luò)前綴、子網(wǎng)編號(hào)及主機(jī)編號(hào)，總共六個(gè)可以偽隨機(jī)方式操控的不同可變身份參數(shù)。接收包的模塊將使用與始發(fā)節(jié)點(diǎn)相同的偽隨機(jī)過程(或此過程的逆過程)來基于假值導(dǎo)出真網(wǎng)絡(luò)/子網(wǎng)信息值。
[0114]TCP序列。在TCP會(huì)話的相對(duì)側(cè)上彼此通信的兩個(gè)客戶端計(jì)算機(jī)將各自維持TCP序號(hào)。所述序號(hào)允許每一計(jì)算機(jī)追蹤其已傳達(dá)多少數(shù)據(jù)。TCP序號(hào)包含于在會(huì)話期間傳達(dá)的每一包的TCP標(biāo)頭部分中。在起始TCP會(huì)話時(shí)，隨機(jī)地選擇初始序號(hào)值。出于本發(fā)明的目的，可根據(jù)偽隨機(jī)過程將TCP序號(hào)操控為身份參數(shù)。舉例來說，可將TCP序號(hào)改變?yōu)殡S機(jī)地選擇(例如，使用偽隨機(jī)數(shù)產(chǎn)生器)的假值。當(dāng)在網(wǎng)絡(luò)的不同模塊(其位置將動(dòng)態(tài)地變化)處接收到包時(shí)，可使用偽隨機(jī)過程的逆過程將TCP序號(hào)從假值變換回到真值。
[0115]端口編號(hào)。TCP/IP端口編號(hào)包含于數(shù)據(jù)包的TCP或UDP標(biāo)頭部分中。如TCP/IP通信協(xié)議中所使用的端口為此項(xiàng)技術(shù)中眾所周知的，且因此將不在本文中詳細(xì)描述。端口信息含在數(shù)據(jù)包的TCP標(biāo)頭部分內(nèi)。因此，通過簡(jiǎn)單地修改TCP標(biāo)頭信息以將真端口值改變?yōu)榧俣丝谥刀鴮?shí)現(xiàn)端口信息的操控。如同本文所論述的其它身份參數(shù)，可在第一模塊處根據(jù)偽隨機(jī)過程將端口編號(hào)信息操控或變換為假值。稍后，可在第二模塊處使用偽隨機(jī)過程的逆過程將端口信息從假值變換為真值。
[0116]雖然已關(guān)于一或多個(gè)實(shí)施方案圖解說明及描述了本發(fā)明，但所屬領(lǐng)域的技術(shù)人員在閱讀及理解本說明書及隨附圖式之后將想到等效更改及修改。另外，盡管可能已關(guān)于數(shù)種實(shí)施方案中的僅一者揭示了本發(fā)明的特定特征，但此特征可與其它實(shí)施方案的一或多個(gè)其它特征組合，此對(duì)于任何給定或特定應(yīng)用可能是合意的及有利的。因此，本發(fā)明的廣度及范圍不應(yīng)受上文所描述的實(shí)施例中的任一者限制。而是，本發(fā)明的范圍應(yīng)根據(jù)所附權(quán)利要求書及其等效形式來定義。
【權(quán)利要求】
1.一種在動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)中的路由器，其包括: 輸入電路，其連接到經(jīng)配置以接收數(shù)據(jù)通信的至少一個(gè)輸入端口； 輸出電路，其連接到經(jīng)配置以發(fā)射數(shù)據(jù)通信的多個(gè)輸出端口 ； 存儲(chǔ)器，其用于存儲(chǔ)至少一個(gè)表 '及 至少一個(gè)處理單元，其經(jīng)配置以 接收數(shù)據(jù)通信，所述數(shù)據(jù)通信包含與源計(jì)算裝置及目的地計(jì)算裝置相關(guān)聯(lián)的多個(gè)身份參數(shù)，其中所述多個(gè)身份參數(shù)的集合指定假信息； 根據(jù)對(duì)應(yīng)于所述多個(gè)身份參數(shù)中指定假信息的至少一個(gè)身份參數(shù)的至少一個(gè)真信息選擇用于所述數(shù)據(jù)通信的正確路線，所述真信息與所述假信息相比不同；及 將所述數(shù)據(jù)通信路由到所述多個(gè)輸出端口中對(duì)應(yīng)于所述正確路線的一個(gè)輸出端口。
2.根據(jù)權(quán)利要求1所述的路由器，其中所述集合中所包含的所述身份參數(shù)及所述身份參數(shù)的所述假信息是根據(jù)與所述動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)相關(guān)聯(lián)的任務(wù)計(jì)劃而確定。
3.根據(jù)權(quán)利要求1所述的路由器，其中所述至少一個(gè)處理裝置進(jìn)一步經(jīng)配置以: 通過執(zhí)行選自由以下各項(xiàng)組成的群組的至少一個(gè)動(dòng)作而修改所述集合:改變與所述身份參數(shù)相關(guān)聯(lián)的信息，及修改對(duì)所述集合中所包含的具有假信息的所述身份參數(shù)的選擇。
4.根據(jù)權(quán)利要求3所述的路由器，其中所述至少一個(gè)動(dòng)作是根據(jù)由與所述動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)相關(guān)聯(lián)的任務(wù)計(jì)劃定義的偽隨機(jī)過程而執(zhí)行。
5.根據(jù)權(quán)利要求4所述的路由器，其中所述至少一個(gè)處理裝置進(jìn)一步經(jīng)配置以在發(fā)生至少一個(gè)觸發(fā)事件后即刻修改所述偽隨機(jī)過程。
6.根據(jù)權(quán)利要求5所述的路由器，其中所述觸發(fā)事件選自由以下各項(xiàng)組成的群組:用戶命令、時(shí)序間隔及潛在網(wǎng)絡(luò)安全性威脅的檢測(cè)。
7.根據(jù)權(quán)利要求1所述的路由器，其中所述至少一個(gè)處理單元進(jìn)一步經(jīng)配置以使指定為用于所述數(shù)據(jù)通信的所述正確路由的所述路線動(dòng)態(tài)地變化。
8.根據(jù)權(quán)利要求7所述的路由器，其中所述路線的所述動(dòng)態(tài)變化是根據(jù)由與所述動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)相關(guān)聯(lián)的任務(wù)計(jì)劃定義的偽隨機(jī)過程而執(zhí)行。
9.根據(jù)權(quán)利要求8所述的路由器，其中所述至少一個(gè)處理單元進(jìn)一步經(jīng)配置以在所述發(fā)生至少一個(gè)觸發(fā)事件后即刻修改所述偽隨機(jī)過程。
10.根據(jù)權(quán)利要求9所述的路由器，其中所述觸發(fā)事件選自由以下各項(xiàng)組成的所述群組:用戶命令、時(shí)序間隔及潛在網(wǎng)絡(luò)安全性威脅的檢測(cè)。
11.根據(jù)權(quán)利要求1所述的路由器，其中所述至少一個(gè)處理單元進(jìn)一步經(jīng)配置以確定正由所述動(dòng)態(tài)計(jì)算機(jī)網(wǎng)絡(luò)使用的所述假信息的值，且如果所述假信息指定與當(dāng)前正由所述網(wǎng)絡(luò)使用的所述假信息不一致的源節(jié)點(diǎn)身份，那么所述至少一個(gè)處理裝置不將所述數(shù)據(jù)通信路由到下一節(jié)點(diǎn)。
12.根據(jù)權(quán)利要求1所述的路由器，其中所述至少一個(gè)處理單元進(jìn)一步經(jīng)配置以選擇性地在其中將所有所述身份參數(shù)假定為真的默認(rèn)操作模式中操作，且根據(jù)基于所述真身份參數(shù)的靜態(tài)路由表將所述數(shù)據(jù)通信正確地路由到所述多個(gè)輸出端口中的一者。
【文檔編號(hào)】H04L29/06GK104322027SQ201380023317
【公開日】2015年1月28日 申請(qǐng)日期:2013年4月24日 優(yōu)先權(quán)日:2012年5月1日
【發(fā)明者】韋恩·B·史密斯 申請(qǐng)人:賀利實(shí)公司