Improving cloud network security using the Tree-Rule firewall

This study proposes a new model of firewall called the ‘Tree-Rule Firewall’, which offers various benefits and is applicable for large networks such as ‘cloud’ networks. The recently available firewalls (i.e., Listed-Rule firewalls) have their limitations in performing the tasks and are inapplicable for working on some networks with huge firewall rule sizes. The Listed-Rule firewall is mathematically tested in this paper to prove that the firewall potentially causes conflict rules and redundant rules and hence leads to problematic network security systems and slow functional speed. To overcome these problems, we show the design and development of Tree-Rule firewall that does not create conflict rules and redundant rules. In a Tree-Rule firewall, the rule positioning is based on a tree structure instead of traditional rule listing. To manage firewall rules, we implement a Tree-Rule firewall on the Linux platform and test it on a regular network and under a cloud environment respectively to show its performance. It is demonstrated that the Tree-Rule firewall offers better network security and functional speed than the Listed-Rule firewall. Compared to the Listed-Rule firewall, rules of the Tree-Rule firewall are easier to be created, especially on a large network such as a cloud network.     

云环境下基于BN模型的虚拟机安全部署模型

针对云计算环境下多用户共享硬件资源带来的安全风险,提出了虚拟机安全邵署模型CVDBN,基于BN模 型设计了安全部署规则,以满足云计算环境下利益冲突用户对于虚拟机部署的安全隔离需求。最后设计了虚拟机安 全部署模块和安全部署算法。仿真实验结果证明了该模型和算法的有效性和可用性。     

基于OpenFlow的虚拟机流量检测系统的设计与实现

云平台下的虚拟机在物理机内部交互流量,而不通过防火墙等安全组件。针对这类流量无法在网络边界被获取并检测的问题,分析了OpenFlow技术的原理,提出了一种基于OpenFlow技术将虚拟机流量重定向到入侵检测系统进行检测的方案。方案使用OpenFlow虚拟交换机和控制器替代传统交换机,然后基于OpenFlow技术控制流量转发过程,将其导向外部的安全组件进行处理,并构建了由虚拟交换机、控制单元、入侵检测和系统配置管理4个模块组成的流量检测系统。实验结果表明,系统能够在满足虚拟机网络正常使用的前提下,将待监管流量导向入侵检测系统进行处理,而且能够同时提供交换机级及虚拟机级两种粒度的流量重定向控制。通过对虚拟机引流的方式实现在传统场景中解决云计算环境下流量检测问题,同时能够基于OpenFlow轻松实现流量处理的扩展操作。     

基于马尔可夫模型的云系统安全性与性能建模

针对云环境缺乏安全性评估的问题,提出一种评估系统安全性的建模方法,并建立了云环境下的安全性-性能（S-P）关联模型。首先,针对云系统中最重要的组成部分,即虚拟机,建立了评估其安全性的模型,该模型充分反映了安全机制和恶意攻击两个安全因素对虚拟机的影响;随后基于虚拟机与云系统之间的关系,提出评估云系统安全性的指标;其次,提出一种分层建模方法来建立S-P关联模型。利用队列理论对云计算系统的性能进行建模,然后基于贝叶斯理论和相关分析建立了安全性和性能之间的关联关系,并提出评估复杂S-P相关性的新指标。实验结果验证了理论模型的正确性,并揭示了安全因素引起的性能动态变化规律。     

一种防火墙规则冲突检测算法

在入侵检测系统和状态检测防火墙等系统的应用中,规则冲突检测及冲突检测算法在计算机网络安全及服务质量方面起着至关重要的作用。文章首先对防火墙过滤规则进行了描述,然后对规则冲突进行了分类,在此基础上提出了一种规则冲突检测算法。     

基于权重与匹配效率的防火墙规则集优化算法

研究并分析防火墙规则集的优化方法,给出规则与网络数据包的的匹配频率、匹配热度和规则权重的关系公式;设计并编写基于权重与基于匹配效率的规则集优化算法程序;最后通过对相应的实验数据的分析比较,得出两种算法均可较大幅度的降低防火墙规则集与网络数据包的匹配次数,从而优化防火墙性能的结论。     

一种防火墙规则冲突检测算法

在入侵检测系统和状态检测防火墙等应用中,规则冲突检测及冲突解析算法是影响安全性及服务质量的关键。首先对防火墙过滤规则之间的关系进行了建模和分类。然后在过滤规则关系分类的基础上提出了一种冲突检测算法。该算法能够自动检测、发现规则冲突和潜在的问题,并且能够对防火墙过滤规则进行无冲突的插入、删除和修改。实现该算法的工具软件能够显著简化防火墙策略的管理和消除防火墙的规则冲突。     

防火墙过滤规则的建模和全面优化

防火墙的管理在今天的企业网络环境中是一个复杂和易出错的任务,网络管理员不能仅仅依靠自己的经验和知识来配置防火墙,而必须使用有效的工具和技术,在系统的方法学的指导下来完成。论文采用几何技术对防火墙的配置进行建模,每个过滤规则被映射为多维空间中的一个几何体,从而使得防火墙的配置可视化和易于理解。该方法可以对防火墙的现有规则库进行彻底的重写,从而实现全面的优化。另外,该文还将通常定义在两个规则之间的规则冲突的概念和分类扩展到多个规则之间。     

一种支持远程大规模多用户并发控制防火墙系统

提出并设计了采用虚拟设备和最新的虚拟操作系统技术以支持远程大规模多用户并发控制的防火墙系统,其突出特点是支持远程的信息安全教学、培训实验与实践教学,远程多用户并发配置任意防火墙规则而相互不冲突。该系统使一台防火墙设备复用为许多虚拟防火墙设备,满足了目前信息安全实践培训中远程教学的需求,并解决了需使用大量昂贵信息安全设备的缺陷。     

一种基于MapReduce的防火墙策略冲突并行化检测及消解模型

防火墙在网络安全中起到很重要的作用,其中防火墙策略中的规则决定了网络数据包被“允许”或被“拒绝”进出网络。对于大型网络来说,由于规则太多,管理者很难保证其中不出现冲突,因此策略中规则冲突的检测及解决成为了保证网络安全的重要方面。提出了一种基于MapReduce模型的防火墙策略冲突检测解决算法,它对由基于规则的分段技术得到的片段进行自定义的排序,之后将其转化为规则的形式来代替原来的规则进行数据包的过滤。片段间两两不相交且匹配的包只执行一种动作,从而消除了冲突。     

一种IPV6环境下的高性能规则匹配算法研究

防火墙是确保网络安全的关键设施,而规则匹配又是防火墙的核心技术。随着网络技术的发展,互联网体系结构正逐渐从IPV4向IPV6结构发展,原有的IPV4防火墙规则匹配算法很难直接应用于IPV6网络环境,因为IPV6协议所能表示的地址范围远远超过IPV4协议对应的地址范围。因此提出了一种适用于IPV6环境的高性能规则匹配算法HiPRM(High Performance Rule Matching)。HiPRM算法的核心思想是依据规则的协议和目的端口分布特征,先把整个规则集划分成多个子规则集,再利用位选取算法对规则的源和目的IPV6地址组合的特定位进行选取,然后据此构建二叉查找规则树,最后利用规则树把多个规则子集划分成若干个更小的规则集合。而当报文匹配到某个更小的规则集合时,在小规则集中利用线性匹配法确定具体匹配的对应规则。分析和测试表明,HiPRM算法可以在时间复杂度和空间复杂度较低的情况下实现报文的高速匹配,且具有较好的规则集适应性。     

Ant Colony Optimization based approach for efficient packet filtering in firewall

A firewall is a security guard placed at the point of entry between a private network and the outside network. The function of a firewall is to accept or discard the incoming packets passing through it based on the rules in a ruleset. Approaches employing Neural networks for packet filtering in firewall and packet classification using 2D filters have been proposed in the literature. These approaches suffer from the drawbacks of acceptance of packets from the IP address or ports not specified in the firewall rule set and a restricted search in the face of multiple occurrences of the same IP address or ports respectively. In this paper we propose an Ant Colony Optimization (ACO) based approach for packet filtering in the firewall rule set. Termed Ant Colony Optimization Packet Filtering algorithm (ACO-PF), the scheme unlike its predecessors, considers all multiple occurrences of the same IP address or ports in the firewall rule set during its search process. The other parameters of the rule matching with the compared IP address or ports in the firewall ruleset are retrieved and the firewall decides whether the packet has to be accepted or rejected. Also this scheme has a search space lesser than that of binary search in a worst case scenario. It also strictly filters the packets according to the filter rules in the firewall rule set. It is shown that ACO-PF performs well when compared to other existing packet filtering methods. Experimental results comparing the performance of the ACO-PF scheme with the binary search scheme, sequential search scheme and neural network based approaches are presented.     

NAT环境下基于兴趣关联规则的重定向技术

针对IP地址资源的匮乏和网络攻击手段的多样化,NAT环境下的网络安全性要求不断提高。文章研究了在NAT环境下的安全策略,并引入人侵重定向的概念。在Apriori算法挖掘的基础上,引入关联规则兴趣度,对入侵行为进行深度挖掘,将具有威胁的网络访问重定向到特定环境中,通过访问规则数据库与防火墙规则、IDS数据库的交互,提高了网络防御的主动性,与结合NAT的防火墙技术实现了对网络的双重保护。     

网卡虚拟化综述

近年来,越来越多的应用或微服务部署到云端.虚拟网络是云端部署运行的基本保障.为了构建面向虚拟机和容器等虚拟实例的虚拟网络,网卡虚拟化在物理网卡的基础上,构建虚拟网卡和虚拟网桥等设备,并对各虚拟设备进行配置和管理.本文从虚拟网卡和虚拟网桥出发,调研了网卡虚拟化中目前流行的虚拟技术,并将这些技术进行了分类和比较,最后就网卡虚拟化的现状及未来进行了总结和展望.     

云环境下面向拟态防御的反馈控制方法

云环境下的虚拟化技术,给用户带来了一些数据和隐私安全问题.针对云环境中虚拟机单一性、同质性和静态性等问题,文章提出一种云环境下面向拟态防御的反馈控制方法.该方法以云中虚拟机为基础,利用拟态防御技术对虚拟机进行拟态化封装,通过反馈控制架构对其实现闭环负反馈控制,并基于异构虚拟机动态轮换改变执行环境,保证虚拟机系统环境的随...     

创建软件定义网络中的进程级纵深防御体系结构

云计算因其资源的弹性和可拓展性,在为用户提供各项服务时,相对于传统方式占据了先机。在用户考虑是否转向云计算时,一个极其重要的安全风险是：攻击者可以通过共享的云资源对云用户发起针对虚拟机的高效攻击。虚拟机作为云服务的基本资源,攻击者在攻击或者租用了某虚拟机之后,通过在其中部署恶意软件,并针对云内其他虚拟机发起更大范围的攻击行为,如分布式拒绝服务型攻击。为防止此种情况的发生,提出基于软件定义网络的纵深防御系统,以及时检测可疑虚拟机并控制其发出的流量,抑制来自该虚拟机的攻击行为并减轻因攻击所受到的影响。该系统以完全无代理的非侵入方式检测虚拟机状态,且基于软件定义网络,对同主机内虚拟机间或云主机间的网络流量进行进程级的监控。实验结果表明了该系统的有效性。     

支持防火墙规则扩展的匹配算法HERAM

防火墙是一种重要的网络安全技术,但随着网络规模的发展,遇到了许多急需解决的问题,其中就有防火墙网络瓶颈的问题。提出一种新的规则匹配算法来解决这个问题,把多维的问题进行降维处理,根据规则之间有无关联性把规则进行分类处理,另外把新添加的规则运用散列表进行组织,从而做到在增加扩展性的同时,使时间效率不受大的影响。     

防火墙在传输网络中的吞吐量与管理问题及解决方案

讨论防火墙在大型传输网络(Transit Network )应用中的管理和吞吐量问题：一是手工方式配置分布在各个接入点的多个防火墙,无法适应开放的、动态的网络环境;二是大量的过滤规则导致防火墙吞吐量下降.针对大量防火墙的管理问题,该文提出了一种访问控制政策的自动分配与动态配置模型,将全局过滤规则自动地分发到相应的防火墙;同时利用入侵监测系统和搜索引擎的结果,自动定位防火墙、动态配置过滤规则,实时地过滤不良站点,终止攻击行为.针对单个防火墙的吞吐量问题,提出了一种基于散列表的规则匹配算法,该算法可以将时间复杂度从O(N)降低到O(1),从而大大提高防火墙的吞吐量.     

基于防火墙规则匹配优化算法的研究

随着网络功能和应用程序的增加,过滤规则集日益庞大,这严重影响了网络的性能。该文提出了一种基于规则匹配的防火墙优化方法。该方法对通过防火墙匹配的数据包进行权重计算相关规则排序,从而减少规则匹配时间。仿真结果显示,该方法有效地改善了防火墙的性能。     

云应用资源交付与分裂聚类调度方法

针对私有云环境中资源交付与调度的高效实现问题,提出一种面向云应用的资源交付调度及实现方法。该方法以云应用元模型为核心,根据模型中虚拟机间数据交互特征生成最小生成树,采用图论分裂聚类算法拆分虚拟机集合并映射物理主机。通过对比分析面向虚拟机调度的实验数据,证明该方法能在提升云应用整体性能的同时降低云应用对物理网络设备及带宽资源的占用。