[发明专利]基于访问控制信息进行的基于行为的通信剖析

权利要求书

1.一种由设备执行的方法，包括：

由所述设备接收与用户访问网络相关联的用户信息、角色信息、或授权信息中的一个或多个；

由所述设备选择与用户信息、角色信息、或授权信息中的所述一个或多个相关联的通信流以进行监控；

由所述设备监控所述通信流；

由所述设备基于与用户信息、角色信息、或授权信息中的所述一个或多个相关联的通信行为模式来确定关于所述通信流是否存在通信行为的异常；以及

当确定存在所述异常时，由所述设备执行安全响应。

2.根据权利要求1所述的方法，其中，所述确定包括：

由所述设备对通信行为模式历史与对应于所述通信流的通信行为进行比较；以及

由所述设备基于所述比较确定是否存在所述异常。

3.根据权利要求2所述的方法，进一步包括：

由所述设备接收来自另一个设备的所述通信行为模式。

4.根据权利要求1所述的方法，其中，所述用户信息包括以下各项中的一个：用户名称、包括所述用户名称的一部分的字符串、或对应于所述用户的字符串。

5.根据权利要求1所述的方法，其中，所述角色信息包括以下各项中的一个：用户身份、职位、或用户访问等级。

6.根据权利要求1所述的方法，其中，所述授权信息包括以下各项中的一个：口令信息、登录信息、授权代码、或认证信息。

7.根据权利要求1所述的方法，其中，所述接收包括：

由所述设备接收来自用户设备的用户信息、角色信息、或授权信息中的所述一个或多个，所述用户使用所述用户设备来访问所述网络，或

由所述设备接收来自另一个设备的用户信息、角色信息、或授权信息中的所述一个或多个，所述另一个设备管理所述用户的网络访问。

8.根据权利要求1所述的方法，进一步包括：

由所述设备存储安全策略；以及

其中，所述执行包括：

当确定存在所述异常时，由所述设备选择对应于所述异常的多个安全策略中的一个；以及

由所述设备执行对应于所述多个安全策略中的所述一个的所述安全响应。

9.一种网络设备，用来：

接收与用户的网络访问相关联的用户信息、角色信息、或授权信息中的一个或多个；

选择与用户信息、角色信息、或授权信息中的所述一个或多个相关联的通信流以进行监控；

基于所述用户的一个或多个之前的网络访问来存储与用户信息、角色信息、或授权信息中的所述一个或多个相对应的通信行为模式；

将与所述通信流相关联的通信流信息和与所述通信行为模式相关联的信息进行比较；

当所述通信流不同于与所述通信行为模式相关联的信息时，确定存在通信行为的异常；以及

当确定存在所述通信行为的异常时，执行安全响应。

10.根据权利要求9所述的网络设备，其中，所述网络设备进一步配置为：

接收来自另一个设备的所述通信行为模式。

11.根据权利要求9所述的网络设备，其中，所述网络设备包括入侵、检测、和防御设备。

12.根据权利要求9所述的网络设备，其中，所述网络设备进一步配置为：

当确定不存在所述异常时，继续监控所述通信流。

13.根据权利要求9所述的网络设备，其中，所述通信流信息包括以下各项中的一个或多个：源地址、源端口、目的地址、目的端口、协议、服务类型、服务质量、时间戳信息、或者字节或包的数目。

14.根据权利要求9所述的网络设备，其中，所述网络设备进一步配置为：

监控所述通信流；以及

从受监控的所述通信流中获得所述通信流信息。

15.根据权利要求9所述的网络设备，其中，所述网络设备进一步配置为接收与所述用户的网络访问相关联的源地址或源端口，并且其中，当选择所述通信流时，所述网络设备进一步配置为：

基于所述源地址或源端口来选择用于监控的与用户信息、角色信息、或授权信息中的所述一个或多个相关联的所述通信流。