[发明专利]一种用于光子防火墙的模式匹配域的划分和识别方法

说明书

本发明为一种用于光子防火墙的模式匹配域的划分和识别方法，发送端对光信号业务分类，调制时在业务间插入业务特征光，在模式匹配域间插入域特征光。接收端光子防火墙对光信号采样得常规和采样信号，采样信号再分光为采样检测和采样还原信号。常规信号和采样还原信号延迟后接入2×1光开关。采样检测信号依次接入业务特征光和域特征光识别模块，识别的业务类型和到达时间送入安全操作模块，后者据此激活对应的模式匹配模块。模式匹配域被送入模式匹配模块与本地光信号进行模式匹配，匹配结果送安全操作模块，此结果控制2×1光开关将采样还原信号丢弃或与常规信号拼接后输出。本法保证光子防火墙快速高效地检测连续光信号的入侵和安全防护。

技术领域

本发明涉及光纤通信系统光网络安全领域，具体为一种用于光子防火墙的模式匹配域的划分和识别方法，以实现光子防火墙的入侵检测和安全防护。

背景技术

光网络作为整个通信系统中的物理链路层，因其传输介质封闭绝缘，信号速率和可靠性高等特点，传统意义上被认为具有较高的安全性保障，因此光网络中的业务传输的安全防护措施通常只在电层实现。光网络可以承载多种类型的业务，包括语音、视频、数据等。为提高光网络的承载效率和进行一些运维操作，通常将最原始的信息进行封装，加入管控信息组成一个消息体，然后再调制成光信号，利用光网络进行信息传递，例如SDH、OTN等。传统电层防火墙的入侵检测和安全防护通常是识别消息体中特定的字段，例如来源IP地址、来源端口号、目的IP地址或端口号、服务类型等，然后根据网络管理者配置的特定规则进行入侵检测的识别，对有安全威胁的消息体按照相对应的规则进行操作。电层防火墙的入侵检测需要进行电-光和光-电的转化，光电转化具有成本高、处理速度慢、处理带宽小等缺陷，仅仅在电层对传输数据进行入侵检测和安全防护，不能适应光网络高速、大容量、低时延的传输特征。随着光通信技术的迅猛发展，预计近5-10年，光网络单信道的传输容量将达到1Tbps，面对如此高速的信息传递，仅仅依赖电层的入侵检测和安全防护将远远不能满足高速、大容量光网络的安全需要。并且光网络作为承载网，需要对上层业务信息进行封装、调制/解调、复用/解复用、路由等一系列操作，安全威胁可能隐藏在任意一个环节，迫切需要在光层能够直接进行基于业务内容、传输模式、编码方式、调制格式等不同特征的入侵检测和安全防护。同时，由于光网络长期采用透明开放的管控模式，并不关心数据内容、数据特征、数据用途，任凭有害数据肆意挥霍着频谱资源，迫切需要在光层建设一堵安全可靠的防火墙，阻隔所有有害数据。当前，光网络安全问题已成为网络安全领域不可忽视的区域。

光子防火墙作为一种重要的光层入侵检测和安全防护技术储备，可广泛应用于广域骨干网、城域网等光纤接入网，对各种入侵信息进行鉴别过滤，保障光信息传输的安全。但是目前的光子防火墙的研究仅仅针对光突发交换传输模式的光包，对光包进行模式匹配和安全操作。然而目前骨干网、城域网、本地网、校园网等中已部署的光网络主要采用基于电路交换的传输模式(包括SDH、OTN等)，光网络中传输的是连续光信号。为实现面向连续光信号的入侵检测，基于模式匹配的光子防火墙首先需要对连续的光信号进行模式匹配域的划分，进行连续光信号的离散化，然后对已经离散化的光片段进行模式匹配，基于模式匹配的结果，根据已部署的安全策略进行针对此光片段的安全操作。连续光信号的模式匹配域的划分需要综合考虑光子防火墙的安全策略和业务的类型，同时，光子防火墙需要快速地识别模式匹配域，以提高对连续光信号进行模式匹配的效率。目前还没有针对连续光信号的模式匹配域的划分和识别方法，此为实现光子防火墙面向连续光信号的入侵检测面临的首位难题之一。

发明内容