[go: up one dir, main page]

CN106027455B - 提供关于现有通信信道的策略信息的方法、设备和存储介质 - Google Patents

提供关于现有通信信道的策略信息的方法、设备和存储介质 Download PDF

Info

Publication number
CN106027455B
CN106027455B CN201510455121.XA CN201510455121A CN106027455B CN 106027455 B CN106027455 B CN 106027455B CN 201510455121 A CN201510455121 A CN 201510455121A CN 106027455 B CN106027455 B CN 106027455B
Authority
CN
China
Prior art keywords
message
token
tactful
policy information
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510455121.XA
Other languages
English (en)
Other versions
CN106027455A (zh
Inventor
J·A·兰顿
K·亚当斯
D·J·奎因兰
D·康隆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Peribit Networks Inc
Original Assignee
Peribit Networks Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Peribit Networks Inc filed Critical Peribit Networks Inc
Publication of CN106027455A publication Critical patent/CN106027455A/zh
Application granted granted Critical
Publication of CN106027455B publication Critical patent/CN106027455B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/20—Traffic policing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0894—Policy-based network configuration management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/30—Routing of multiclass traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请的各实施例涉及提供关于现有通信信道的策略信息。一种设备可以接收或者生成用于在通信信道上向目的地路由的消息。通信信道可以已经被建立在源与目的地之间。该设备可以执行对与消息、目的地或者消息的源中的至少一个有关的策略信息的第一确定。策略信息可以描述供网络设备执行的动作。该设备可以将策略令牌与消息关联。策略令牌可以描述或者标识策略信息。该设备可以在通信信道上向网络设备提供具有关联的策略令牌的消息以使得网络设备基于策略令牌执行对策略信息的第二确定、执行由策略信息描述的动作并且在通信信道上提供消息。

Description

提供关于现有通信信道的策略信息的方法、设备和存储介质
技术领域
本申请的各实施例涉及提供关于现有通信信道的策略信息。
背景技术
网络可以包括客户端设备和一组网络设备(例如，路由器、交换机、防火墙、集线器等)。客户端设备可以在现有通信信道(例如，超文本传送协议(HTTP)信道、文件传送协议(FTP)信道等) 上经由该组网络设备通信。该组网络设备可以相互通信以有助于通信和/或保证网络的安全。
发明内容
根据一些可能实现方式，一种设备可以包括一个或者多个处理器。一个或者多个处理器可以接收或者生成用于在通信信道上向目的地路由的消息。通信信道可以已经被建立在源与目的地之间。一个或者多个处理器可以执行对与消息、目的地或者消息的源中的至少一个有关的策略信息的第一确定。策略信息可以描述供网络设备执行的动作。一个或者多个处理器可以将策略令牌与消息关联。策略令牌可以描述或者标识策略信息。一个或者多个处理器可以在通信信道上向网络设备提供具有关联的策略令牌的消息以使得网络设备基于策略令牌执行对策略信息的第二确定、执行由策略信息描述的动作并且在通信信道上提供消息。
在上述设备中，其中具有关联的策略令牌的消息还使得网络设备当在通信信道上提供消息之前从消息去除所述策略令牌。
在上述设备中，其中一个或者多个处理器在接收消息时还用于：与消息一起接收策略令牌；以及其中一个或者多个处理器在执行第一确定时还用于：基于策略令牌执行第一确定。
在上述设备中，其中设备与第一网络关联；以及其中网络设备与第二网络关联，第二网络是除了第一网络之外的网络。
在上述设备中，其中一个或者多个处理器在将策略令牌与消息关联时还用于：对策略令牌加密以防止恶意方确定策略信息；以及其中具有关联的策略令牌的消息还使得网络设备对策略令牌解密。
在上述设备中，其中加密和所密使用以下算法中的至少一种算法而被执行：对称密钥算法，或者公用密钥算法。
在上述设备中，其中一个或者多个处理器在将策略令牌与消息关联时还用于：向消息附着策略令牌，或者向消息的一部分中插入所述策略令牌。
根据一些可能实现方式，一种计算机可读介质可以存储一个一个或者多个指令，该一个或者多个指令在由设备的一个或者多个处理器执行时使得一个或者多个处理器接收或者生成用于在通信信道上向目的地路由的消息。通信信道可以已经被建立在源与目的地之间。该一个或者多个指令可以使得一个或者多个处理器确定与消息有关的策略信息。策略信息可以描述供网络设备执行的动作，并且可以描述与目的地或者源中的至少一个有关的信息。该一个或者多个指令可以使得一个或者多个处理器将描述或者标识策略信息的策略令牌与消息关联。该一个或者多个指令可以使得一个或者多个处理器在通信信道上向网络设备提供消息和策略令牌、以允许网络设备基于策略令牌确定策略信息并且在通信信道上向目的地提供消息。
在上述计算机可读介质中，其中具有关联的策略令牌的消息还使得网络设备当在通信信道上提供消息之前从消息去除策略令牌。
在上述计算机可读介质中，其中设备与第一网络关联；以及其中网络设备与第二网络关联，第二网络是除了第一网络之外的网络。
在上述计算机可读介质中，其中使得一个或者多个处理器接收消息的一个或者多个处理器还使得一个或者多个处理器：与消息一起接收策略令牌；以及其中使得一个或者多个处理器确定策略信息的一个或者多个指令还使得一个或者多个处理器：基于策略令牌确定策略信息。
在上述计算机可读介质中，其中一个或者多个指令在由一个或者多个处理器执行时还使得一个或者多个处理器：对策略令牌加密以防止恶意方确定策略信息；以及其中消息和策略令牌还使得网络设备对策略令牌解密。
在上述计算机可读介质中，其中加密和解密使用以下算法中的至少一种算法而被执行：对称密钥算法，或者公用密钥算法。
在上述计算机可读介质中，其中使得一个或者多个处理器将策略令牌与消息关联的一个或者多个指令还使得一个或者多个处理器：向消息附着策略令牌，或者向消息的一部分中插入策略令牌。
根据一些可能实现方式，一种方法可以包括由设备从源接收用于在通信信道上向目的地路由的消息。通信信道可以已经被建立在源与目的地之间。该方法可以包括由设备确定与消息、源或者目的地中的至少一个关联的策略信息。策略信息可以描述供网络设备执行的动作。该方法可以包括由设备将消息与策略令牌关联。策略令牌向网络设备描述或者标识策略信息。该方法可以包括由设备在通信信道上向网络设备提供消息和策略令牌、以允许或者使得网络设备基于策略令牌确定策略信息并且执行由策略信息描述的动作。
在上述方法中，其中消息和策略令牌还允许或者使得网络设备从消息去除策略令牌、并且在通信信道上向目的地提供消息。
在上述方法中，中接收消息还包括：与消息一起接收策略令牌；以及其中确定策略信息还包括：基于策略令牌确定策略信息。
在上述方法中，其中接收消息和策略令牌还包括：从源接收消息和策略令牌，或者源基于源被恶意方危害而提供消息和策略令牌。
在上述方法中，其中将策略令牌与消息关联还包括：在消息中包括策略令牌，或者向消息附着策略令牌。
在上述方法中，还包括：对策略令牌加密以阻碍恶意方确定策略信息；以及其中向网络设备提供策略令牌还包括：向网络设备提供策略令牌以允许网络设备对策略令牌解密。
根据一些可能的实现方式，一种设备包括：用于接收或者生成用于在通信信道上向目的地路由的消息的装置，通信信道已经被建立在源与目的地之间；用于执行对与消息、目的地或者消息的源中的至少一个有关的策略信息的第一确定的装置，策略信息描述供网络设备执行的动作；用于将策略令牌与消息关联的装置，策略令牌描述或者标识策略信息；以及用于在通信信道上向网络设备提供具有关联的策略令牌的消息、以使得网络设备基于策略令牌执行对策略信息的第二确定、执行由策略信息描述的动作并且在通信信道上提供消息的装置。
在上述设备中，具有关联的策略令牌的消息使得网络设备当在通信信道上提供消息之前从消息去除策略令牌。
在上述设备中，用于接收消息的装置包括：用于与消息一起接收策略令牌的装置；以及其中用于执行第一确定的装置包括：用于基于策略令牌执行第一确定的装置。
在上述设备中，设备与第一网络关联；以及其中网络设备与第二网络关联，第二网络是除了第一网络之外的网络。
在上述设备中，用于将策略令牌与消息关联的装置包括：用于对策略令牌加密以防止恶意方确定策略信息的装置；以及其中具有关联的策略令牌的消息还使得网络设备对策略令牌解密。
在上述设备中，加密和解密使用以下算法中的至少一种算法而被执行：对称密钥算法，或者公用密钥算法。
在上述设备中，用于将策略令牌与消息关联的装置包括：用于向消息附着策略令牌的装置，或者用于向消息的一部分中插入策略令牌的装置。
附图说明
图1是在这里描述的示例实现方式的概况的示图；
图2是其中可以实施在这里描述的系统和/或方法的示例环境的示图；
图3是图2的一个或者多个设备的示例部件的示图；
图4是用于与消息关联地确定并且在现有通信信道上提供策略令牌的示例过程的流程图；
图5是用于在现有通信信道上接收消息和策略令牌并且基于策略令牌执行动作的示例过程的流程图；以及
图6A和图6B是与图4图和5中所示的示例过程有关的示例实现方式的示图。
具体实施方式
示例实现方式的以下具体描述参照附图。不同附图中的相同标号可以标识相同或者相似单元。
网络可以包括客户端设备和一组网络设备(例如，防火墙、路由器、网关、交换机、集线器、网桥、反向代理、服务器、代理服务器、安全设备、入侵检测设备、负荷平衡器等)。该组网络设备可以通信以向客户端设备提供网络接入。例如，该组网络设备可以在现有通信信道上向客户端设备发送消息和/或从客户端设备接收消息(例如，现有超文本传送协议(HTTP)信道上的HTTP请求和/ 或响应、现有文件传送协议(FTP)信道上的FTP请求和/或响应等)。现有通信信道可以规定消息的格式和/或指示一个或者多个网络设备路由消息、提供消息、接收消息等。该组网络设备可能想要互通与客户端设备有关的信息而未向客户端设备或者互通的另一方报警。例如，该组网络设备可能想要在该组网络设备之中传达指示客户端设备可能被恶意方危害的信息、与允许或者拒绝客户端设备访问资源有关的信息等。
这里描述的实现方式可以使该组网络设备能够互相通信而未向客户端设备和/或恶意方报警。第一网络设备可以在现有通信信道上接收从客户端设备始发和/或去往客户端设备的消息。第一网络设备可以确定与客户端设备有关、与消息的源有关和/或与消息的目的地有关的策略信息，并且可以将消息与描述策略信息的策略令牌关联。
第一网络设备可以在现有通信信道上向其它网络设备提供消息和策略令牌。其它网络设备可以基于策略令牌确定策略信息、可以基于策略信息执行动作和/或可以当在现有通信信道上向消息的目的地(例如，向客户端设备、向外部设备等)提供消息之前去除策略令牌。以这一方式，第一网络设备可以与从客户端设备始发和/或去往客户端设备的消息关联地向其它网络设备提供策略令牌。通过在现有通信信道上提供策略令牌，第一网络设备可以保证向在现有通信信道的路径中的其它网络设备提供策略令牌，并且可以保证客户端设备将沿着现有通信信道提供和/或接收用于携带策略令牌的消息。通过在向目的地提供消息之前去除策略令牌，网络设备和/或其它网络设备可以保证客户端设备和/或与目的地关联的实体(例如，恶意方)不了解策略信息。
图1是在这里描述的示例实现方式100的概况的示图。如图1 中所示，客户端设备可以向第一网络设备(例如，被示出为“网络设备1”)提供消息(例如，被示出为“Web请求”)以用于向外部网络路由。假设客户端设备在现有通信信道(例如，HTTP请求信道等) 上提供消息。如图1所示，第一网络设备可以确定策略信息。假设策略信息与客户设备和/或关联于外部设备的设备关联。如图1所示，第一网络设备可以向消息附着策略令牌。假设策略令牌描述或者标识策略信息。
如图1进一步所示，第一网络设备可以向第二网络设备(例如，被示出为“网络设备2”)提供消息和策略令牌。如图1所示，第二网络设备可以基于策略令牌确定策略信息。假设策略信息指示与客户端设备和/或外部网络有关的待执行的动作，并且假设策略信息指示在向外部网络提供消息之前从消息去除策略令牌。假设第二网络设备执行由策略信息指示的动作。如图1所示，第二网络设备可以从消息去除策略令牌。如图1进一步所示，第二网络设备可以向外部网络提供消息而无策略令牌。
以这一方式，网络的网络设备可以使用在现有通信信道上传达的消息来相互传达信息。现有通信信道可以是客户端设备的功能所必需的，其可以保证在现有通信信道上规律地传输消息。与现有通信信道关联的网络设备可以使用与消息关联(例如，附着到消息、包括在消息中等)的令牌来相互传达信息，并且可以在向目的地提供消息之前通过去除令牌来向客户端设备和/或恶意方隐藏策略信息。
图2是其中可以实施这里描述的系统和/或方法的示例环境200 的示图。如图2中所示，环境200可以包括客户端设备210、网络设备220-1至220-N(N≥1)的集合(下文统被称为“网络设备220”并且被个别地称为“网络设备220”)和网络230。环境200的设备可以基于有线连接、无线连接或者有线连接和无线连接的组合而互连。
客户端设备210可以包括能够通过网络(例如，网络230)接收和/或提供信息和/或能够生成、存储和/或处理通过网络接收和/或提供的信息的一个或者多个设备。例如，客户端设备210可以包括计算设备(比如膝上型计算机、平板计算机、手持计算机、台式计算机、移动电话(例如，智能电话、无线电电话等))、游戏设备、网络设备(例如，路由器、网关、防火墙、集线器、网桥、接入点等)或者相似设备。客户端设备210可以充当用于现有通信信道上的消息的端点(例如源和/或目的地)。例如，第一客户端设备210 可以向第二客户端设备210和/或另一设备提供HTTP请求、FTP请求、系统消息、网络消息、电子邮件消息、文本消息等(例如，经由网络设备220)。
网络设备220可以包括能够接收、存储、生成、处理和/或提供网络流量的一个或者多个设备(例如，一个或者多个流量传送设备)。例如，网络设备220可以包括防火墙、路由器、网关、交换机、集线器、网桥、反向代理、服务器(例如，代理服务器)、安全设备、入侵检测设备、负荷平衡器或者相似设备。在一些实现方式中，网络设备220可以在现有通信信道上接收、处理和/或提供消息。网络设备220可以确定策略信息(例如，基于策略令牌、基于本地存储的信息、基于远程存储的信息等)，并且可以生成和/或向另一设备 (例如，向第二网络设备220并且与消息关联地)提供描述策略信息的策略令牌以传达该策略信息。
网络230可以包括一个或者多个有线网络和/或无线网络。例如，网络230可以包括蜂窝网络、公用陆地移动网络(PLMN)、无线局域网(例如，Wi-Fi网络)、局域网(LAN)、广域网(WAN)、城域网(MAN)、电话网络(例如，公用交换电话网络(PSTN))、专有网络、自组织网络、内联网、因特网、基于光纤的网络、云计算网络和/或这些或者另一类型的网络的组合。
图2中所示的设备和网络的数目和布置被提供作为示例。在实践中，可以存在除了图2中所示的设备和/或网络之外的附加设备和/ 或网络、更少设备和/或网络、不同设备和/或网络或者不同布置的设备和/或网络。另外，图2中所示的两个或者更多设备可以被实施在单个设备内，或者图2中所示的单个设备可以被实施为多个分布式设备。附加地或者备选地，环境200的设备(一个或者多个设备) 的集合可以执行如被描述为由环境200的另一设备集合执行的一个或者多个功能。
图3是设备300的示例部件的示图。设备300可以对应于客户端设备210和/或网络设备220。在一些实现方式中，客户端设备210 和/或网络设备220可以包括一个或者多个设备300和/或设备300的一个或者多个部件。如图3中所示，设备300可以包括总线310、处理器320、存储器330、存储部件340、输入部件350、输出部件360 和通信接口370。
总线310可以包括允许在设备300的部件之间的通信的部件。处理器320被实施在硬件、固件或者硬件和软件的组合中。处理器 320可以包括解译和/或执行指令的处理器(中央处理单元(CPU)、图形处理单元(GPU)、加速处理单元(APU)等)、微处理器和/ 或任何处理部件(例如，现场可编程门阵列(FPGA)、专用集成电路(ASIC)等)。存储器330可以包括存储用于由处理器320使用的信息和/或指令的随机存取存储器(RAM)、只读存储器(ROM)和/或另一类型的动态或者静态存储设备(例如，闪存、磁存储器、光存储器等)。
存储部件340可以存储与设备300的操作和使用有关的信息和/ 或软件。例如，存储部件340可以包括硬盘(例如，磁盘、光盘、磁光盘、固态盘等)、紧致盘(CD)、数字万用盘(DVD)、软盘、磁盒、磁带和/或另一类型的计算机可读介质以及对应的驱动。
输入部件350可以包括允许设备300比如经由用户输入(例如，触屏显示器、键盘、小键盘、鼠标、按钮、开关、麦克风等)接收信息的部件。附加地或者备选地，输入部件350可以包括用于感测信息的传感器(例如，全球定位系统(GPS)部件、加速度计、陀螺仪、致动器等)。输出部件360可以包括从设备300提供输出信息的部件(例如，显示器、扬声器、一个或者多个发光二极管(LED) 等)。
通信接口370可以包括使设备300能够比如经由有线连接、无线连接或者有线连接和无线连接的组合与其它设备通信的收发器式部件(例如，收发器、分离的接收器和发射器等)。通信接口370 可以允许设备300从另一设备接收信息和/或向另一设备提供信息。例如，通信接口370可以包括以太网接口、光接口、同轴接口、红外线接口、射频(RF)接口、通用串行总线(USB)接口、Wi-Fi 接口、蜂窝网络接口等。
设备300可以执行这里描述的一个或者多个过程。设备300可以响应于处理器320执行由计算机可读介质(比如存储器330和/或存储部件340)存储的软件指令来执行这些过程。计算机可读介质这里被定义为非瞬态存储器设备。存储器设备包括单个物理存储设备内的存储器空间或者跨多个物理存储设备散布的存储器空间。
软件指令可以从另一计算机可读介质或者经由通信接口370从另一设备被读取到存储器330和/或存储部件340中。在被执行时，在存储器330和/或存储部件340中存储的软件指令可以使得处理器 320执行这里描述的一个或者多个过程。附加地或者备选地，可以取代软件指令或者与软件指令组合使用硬接线的电路以执行这里描述的一个或者多个过程。因此，这里描述的实现方式不限于硬件电路和软件的任何具体组合。
图3中所示的部件的数目和布置被提供作为示例。在实践中，设备300可以包括除了图3中所示的部件之外的附加部件、更少部件、不同部件或者不同布置的部件。附加地或者备选地，设备300 的部件(一个或者多个部件)的集合可以执行如被描述为由设备300 的另一部件集合执行的一个或者多个功能。
图4是用于与消息关联地确定并且在现有通信信道上提供策略令牌的示例过程400的流程图。在一些实现方式中，图4的一个或者多个过程块可以由网络设备220执行。在一些实现方式中，图4 的一个或者多个过程块可以由与网络设备220分离或者包括网络设备220的另一设备或者设备集合(比如客户端设备210)执行。
如图4中所示，过程400可以包括在现有通信信道上接收消息 (块410)。例如，网络设备220可以在现有通信信道上接收消息。在一些实现方式中，客户端设备210可以生成对于与目的地设备(例如，另一客户端设备210、服务器等)建立通信信道的请求。客户端设备210可以输出可以由网络设备220接收的该请求。网络设备220 可以与一个或者多个其它网络设备220通信以建立在客户端设备 210与目的地设备之间的通信信道。在一些实现方式中，网络设备 220可以基于来自目的地设备而不是客户端设备210的请求而建立通信信道。网络设备220可以从客户端设备210接收经由现有通信信道传达的去往目的地设备的消息。在一些实现方式中，网络设备 220可以从源(例如，从另一网络设备220、从在包括网络设备220 的网络外部的设备等)接收去往客户端设备210的消息。网络设备220可以基于客户端设备210、源和/或目的地确定策略信息，并且可以向消息附着策略令牌以(例如，向其它网络设备220)传达该策略消息。
如以上描述的那样，网络设备220可以经由现有通信信道接收消息。现有通信信道可以包括网络协议、消息接发协议等，客户端设备210、网络设备220和/或其它设备通常基于该协议通信。例如，现有通信信道可以包括超文本传送协议(HTTP)信道、文件传送协议(FTP)信道、系统消息接发信道(例如，Windows消息接发信道等)、网络消息接发信道、电子邮件消息接发信道、文本消息接发信道、短形式消息接发信道等。客户端设备210可以使用现有通信信道以传输和/或接收消息。网络设备220可以使用消息以在现有通信信道上输送策略令牌，这可以允许网络设备220向在现有通信信道的路径中包括的其它网络设备220提供信息。
消息可以包括请求(例如，HTTP请求、FTP请求等)、对请求的响应(例如，对HTTP请求的响应、对FTP请求的响应等)、网络消息(例如，由客户端设备210、由网络设备220、由外部源(比如与另一网络关联的设备等)生成的网络消息)、文本消息、短形式消息等。简言之，消息可以是与现有通信信道关联的类型。在一些实现方式中，消息可以有助于附着和/或包括策略令牌(例如，通过包括空白头部、空白脚注、消息的未使用部分等)。网络设备220 可以在空白头部中、在空白脚注中、在消息的未使用部分中等附着和/或包括策略令牌，这可以允许网络设备220相互传达策略信息而未生成附加消息。
在一些实现方式中，消息可以从客户端设备210始发。例如，客户端设备210可以在现有通信信道上向网络设备220提供HTTP 请求、FTP请求、系统消息、网络消息等(例如，以用于向消息的目的地路由)。在其它实现方式中，消息可以从外部源(例如，与包括网络设备220的网络关联或者在其外部的设备)始发。例如，网络设备220可以从外部源接收对HTTP请求的响应、对FTP请求的响应、系统消息、网络消息等。在一些实现方式中，网络设备220 可以基于由客户端设备210向外部源提供的消息从外部源接收消息 (例如，可以响应于客户端设备210的HTTP请求、客户端设备210 的FTP请求等接收消息)。
如图4中进一步所示，过程400可以包括确定与消息的源和/或目的地关联的策略信息(块420)。例如，网络设备220可以确定与消息的源和/或目的地关联的策略信息。在一些实现方式中，网络设备220可以基于本地存储的信息确定策略信息。在一些实现方式中，网络设备220可以基于远程存储的信息确定策略信息。在一些实现方式中，网络设备220可以基于策略令牌确定策略信息。网络设备 220可以使用策略信息以生成和/或向另一网络设备220提供描述策略信息的策略令牌。
在一些实现方式中，策略信息可以指示与消息(例如，消息的源、消息的目的地等)和/或客户端设备210有关的待执行的动作。例如，如以下结合图5更详细描述的那样，策略信息可以指示监视和/或隔离客户端设备210、可以指示重定向去往和/或来自客户端设备210的网络流量、可以指示阻止从客户端设备210始发和/或去往客户端设备210的网络流量、可以指示向黑名单添加信息、可以指示向网络管理员和/或用户通知客户端设备210、可以指示向目的地递送消息等。
附加地或者备选地，策略信息可以包括其它信息(例如，描述客户端设备210的信息、描述与客户端设备210关联的程序、应用和/或操作系统的信息、标识与客户端设备210关联的时区的信息、用于网络优化目的的信息、用于分组优先化目的的信息等)。例如，策略信息可以标识与客户端设备210关联的操作系统，并且一个或者多个网络设备220可以基于标识操作系统的策略信息确定信息和/ 或执行动作(例如，可以基于操作系统对与策略信息关联的媒体文件编码等)。
在一些实现方式中，网络设备220可以基于消息的源和/或目的地确定策略信息。例如，网络设备220可以存储和/或访问与特定源和/或目的地关联的策略信息、特定类型的源和/或目的地(例如，设备类型、网站类型等)、源和/或目的地的分类(例如，源和/或目的地的地理起源、如被危害和/或不安全的源和/或目的地的分类等)等。在一些实现方式中，网络设备220可以基于源和/或目的地的列表(例如，列举待阻止和/或禁止的源和/或目的地的黑名单、列举被视为可接受的源和/或目的地的白名单、列举受制于特定规则的源和/或目的地的灰名单等)确定策略信息。
如图4中进一步所示，过程400可以包括基于策略信息将策略令牌与消息关联(块430)。例如，网络设备220可以基于策略信息将策略令牌与消息关联。策略令牌可以向(例如，可以从网络设备 220接收消息和策略令牌的)其它网络设备220指示策略信息。在一些实现方式中，另一设备可以将策略令牌与消息关联(例如，客户端设备210或者另一设备)。
策略令牌可以包括指示策略信息的一个或者多个字符。例如，策略令牌可以包括串(该串定义策略信息)、设备的网络地址(例如，web地址、网际协议(IP)地址等)(该设备存储供网络设备 220请求策略信息的策略信息)、与由网络设备220存储的策略信息对应的一个或者多个字符等。在一些实现方式中，策略令牌可以包括用于在向目的地提供策略令牌之前去除策略令牌的指示符。
在一些实现方式中，策略令牌可以被加密。例如，网络设备220 可以在附着和/或提供策略令牌之前对策略令牌加密。在一些实现方式中，网络设备220可以基于安全密钥对策略令牌加密，并且可以向其它网络设备220提供安全密钥。其它网络设备220可以对策略令牌解密(例如，使用安全密钥)以确定策略信息。作为另一示例，第一网络设备220和第二网络设备220可以共享对称密钥。第一网络设备220可以基于对称密钥使用对称密钥算法(例如，Twofish算法、Serpent算法、Blowfish算法、CAST5算法等)对策略令牌加密，并且可以向第二网络设备220提供策略令牌以用于解密以确定策略信息。这可以使第一网络设备220和第二网络设备220能够使用共享的对称密钥来通信，这可以提高加密的策略令牌的安全。通过对策略令牌加密和/或解密，网络设备220可以提高网络的安全，并且还可以阻碍恶意方访问策略信息。
在一些实现方式中，策略令牌可以使用公用和/或私用密钥而被加密。例如，假设第一网络设备220保持与公用密钥对应的私用密钥。假设第二网络设备220保持公用密钥。在这一情况下，第一网络设备220可以使用私用密钥来附着和加密策略令牌(例如，使用公用密钥加密算法，比如RSA算法等)，并且可以向第二网络设备 220传输消息和策略令牌。第二网络设备220可以使用对应的公用密钥对消息解密。作为另一示例，第二网络设备220可以使用公用密钥对策略令牌进行加密，并且可以向第一网络设备220提供消息和策略令牌。第一网络设备220可以使用对应的私用密钥对策略令牌解密。以这一方式，两个或者更多个网络设备220可以使用策略令牌来传达策略信息，这些策略令牌使用公用密钥和对应的私用密钥而被加密，这可以防止客户端设备210、其它网络设备220和/或恶意方对策略令牌解密。
在一些实现方式中，客户端设备210可以向从客户端设备210 始发的消息附着策略令牌。例如，假设由客户端设备210主控的应用被配置为检测恶意方是否危害客户端设备210。还假设在检测到恶意方已经危害了客户端设备210时，应用向由客户端设备210在现有通信信道上提供的消息附着策略令牌。策略令牌可以向网络设备 210指示恶意方已经危害了或者正在尝试危害客户端设备210。网络设备220可以基于由应用向消息附着的策略令牌执行动作(例如，可以隔离客户端设备210、可以警告客户端设备210的用户、可以丢弃与客户端设备210关联的流量等)。在一些实现方式中，客户端设备210可以在客户端设备210生成消息时包括策略令牌。例如，客户端设备210可以生成包括策略令牌的消息。以这一方式，与客户端设备210关联的应用可以在现有通信信道上提供指示客户端设备210已经被危害的策略令牌，这可以允许网络设备220采取适当动作。
如图4中进一步所示，过程400可以包括在现有通信信道上向网络设备提供消息和策略令牌(块440)。例如，第一网络设备220 可以向第二网络设备220(例如，在现有通信信道的路径中的第二网络设备220)提供消息和策略令牌。在一些实现方式中，客户端设备210可以向第二网络设备220提供消息和策略令牌。如以下结合图5 更详细描述的那样，第二网络设备220可以基于策略令牌确定策略信息和/或可以基于策略信息执行动作。
在一些实现方式中，第一网络设备220可以向除了与第一网络设备220关联的第一网络之外的第二网络提供消息和策略令牌。例如，第一网络设备220可以经由因特网、经由连接第一网络和第二网络的设备等向第二网络提供消息和策略令牌。与第二网络关联的第二网络设备220可以接收消息和策略令牌、可以基于策略令牌确定策略信息和/或可以基于策略信息执行动作。以这一方式，网络设备220可以在第一网络与第二网络之间传达策略信息，这可以使网络设备220能够在第一网络和/或第二网络中执行与策略信息有关的动作。
在一些实现方式中，与第一网络关联的第一网络设备220可以使用安全密钥(比如由与第二网络关联的第二网络设备220共享的对称密钥、与由第二网络设备220保持的私用密钥对应的公用密钥、与由第二网络设备220保持的公用密钥对应的私用密钥等)对策略令牌加密。第一网络设备220可以向第二网络设备220提供消息和加密的策略令牌。第二网络设备220可以基于安全密钥对策略令牌解密以确定策略信息。以这一方式，网络设备220可以对在不同网络之间传输的策略令牌加密，这可以使网络设备220能够在不同网络的网络设备220之间安全地传达策略信息。
虽然图4示出了过程400的示例块，但是在一些实现方式中，过程400可以包括除了图4中描绘的块之外的附加块、更少块、不同块或者不同布置的块。附加地或者备选地，可以并行执行过程400 的块中的两个或者更多个块。
图5是用于在现有通信信道上接收消息和策略令牌并且基于策略令牌执行动作的示例过程500的流程图。在一些实现方式中，图5 的一个或者多个过程块可以由网络设备220执行。在一些实现方式中，图5的一个或者多个过程块可以由与网络设备220分离或者包括网络设备220的另一设备或者设备集合(比如客户端设备210)执行。
如图5中所示，过程500可以包括在现有通信信道上接收去往目的地的消息和策略令牌(块510)。例如，网络设备220可以接收消息和策略令牌。网络设备220可以接收去往目的地(例如，去往客户端设备210、外部网络、外部网站、向外部设备等)的消息和策略令牌。网络设备220可以使用策略令牌以确定与消息、与消息的源和/或与消息的目的地关联的策略信息。
在一些实现方式中，网络设备220可以从另一网络设备220接收消息和策略令牌。例如，第一网络设备220可以将策略令牌与消息关联，并且可以向第二网络设备220提供消息和策略令牌。在一些实现方式中，第二网络设备220可以是边缘网络设备(例如，在网络的边缘处的网络设备220，该网络设备220向在网络外部的设备提供消息和/或从这些设备接收消息)、核心网络设备(例如，在网络的设备(比如客户端设备210和/或网络设备220)之间提供消息的网络设备220)。边缘网络设备220可以从客户端设备210和/或核心网络设备220接收消息和策略令牌(例如，基于将消息和策略令牌关联的核心网络设备220或者客户端设备210)。核心网络设备 220可以从客户端设备210、从另一核心网络设备220或者从边缘网络设备220接收消息和策略令牌。如以下更详细描述的那样，网络设备220可以使用消息和策略令牌以确定策略信息和/或可以执行与策略信息有关的动作。
如图5中进一步所示，过程500可以包括基于策略令牌确定策略信息(块520)。例如，网络设备220可以读取策略令牌以基于策略令牌确定策略信息。网络设备220可以如这里别处更详细描述的那样基于策略信息执行动作。
在一些实现方式中，网络设备220可以基于策略令牌确定策略信息。例如，策略令牌可以定义策略信息(例如，“隔离客户端设备 210”、“丢弃与这一策略令牌关联的消息”等)。通过在策略令牌中定义策略信息，网络设备220可以减少用于策略信息的本地存储要求和/或带宽要求以确定远程存储的策略信息。
在一些实现方式中，网络设备220可以基于本地存储的策略信息来确定策略信息。策略令牌可以包括与由网络设备220本地存储的策略信息对应的信息。例如，包括第一个值的策略令牌可以对应于指示隔离客户端设备210的策略信息，包括第二个值的策略令牌可以对应于指示丢弃消息的策略信息，指示第三个值的策略令牌可以对应于指示向网络管理员通知消息的策略信息等。以这一方式，网络设备220可以基于本地存储策略信息来确定策略信息，这可以减少附着到消息的策略令牌的大小和/或可检测性。
在一些实现方式中，网络设备220可以基于远程存储的策略信息确定策略信息。例如，策略令牌可以指示策略信息从其可用的特定网络地址、特定设备、特定存储器位置等。网络设备220可以请求来自特定网络地址、设备、存储器位置等的策略信息。以这一方式，网络设备220可以确定来自远程源的策略信息，这可以减少网络设备220的本地存储要求，并且可以通过更安全地存储策略信息来提高网络安全。
在一些实现方式中，网络设备220可以基于对策略令牌解码来确定策略信息。例如，策略令牌可以被加密，并且可以包括策略信息、与策略信息对应的信息和/或策略信息的位置。网络设备220可以对策略令牌解密(例如，基于向网络设备220提供并且由设备用来对策略令牌加密的安全密钥)以便确定策略信息。以这一方式，网络设备220可以基于对策略令牌解密来确定策略信息，这可以进一步阻碍恶意方访问策略信息。
如图5中进一步所示，过程500可以包括基于策略信息执行动作(块530)。例如，在从策略令牌确定策略信息之后，网络设备 220可以基于策略信息执行动作。在一些实现方式中，网络设备220 可以对消息执行动作(例如，可以重定向消息、可以阻止消息、可以用其它信息替换消息等)。在一些实现方式中，网络设备220可以执行与消息有关的动作(例如，可以监视与消息有关的网络流量、可以标记与消息有关的网络流量等)。在一些实现方式中，网络设备220可以存储消息、策略令牌和/或与消息和/或策略令牌有关的信息。
在一些实现方式中，策略信息可以指示丢弃消息。例如，网络设备220可以确定指示丢弃与恶意方关联的消息的策略信息。基于策略信息，网络设备220可以丢弃(例如，删除、未递送等)消息。以这一方式，网络设备220可以防止恶意方经由网络设备220发送和/或接收消息，这可以提高敏感信息的安全和/或防止恶意方篡改客户端设备210。
在一些实现方式中，策略信息可以指示隔离消息的源和/或目的地。例如，网络设备220可以确定指示隔离客户端设备210的策略信息(例如，基于客户端设备210是与恶意方关联的消息的源或者目的地、基于客户端设备210被恶意方危害等)。在该情况下，网络设备220可以隔离客户端设备210。通过隔离客户端设备210，网络设备220可以提高经由网络设备220与客户端设备210通信的其它设备的安全性和/或安全。
在一些实现方式中，策略信息可以指示向用户(例如，网络管理员、客户端设备210的用户等)提供信息。例如，网络设备220 可以确定指示向用户提供警告(例如，客户端设备210已经被危害的警告、客户端设备210正尝试向恶意方提供消息和/或从恶意方接收消息的警告等)的策略信息。在该情况下，网络设备220可以向用户(例如，向与网络设备220关联的网络管理员、向客户端设备210的用户等)提供警告。以这一方式，网络设备220可以向用户提供信息，这可以允许用户采取动作和/或制止与消息有关的动作。
在一些实现方式中，策略信息可以指示向目的地提供消息。例如，网络设备220可以确定指示向目的地(例如，由消息和/或由现有通信信道指示的目的地)提供消息的策略信息。在该情况下，网络设备220可以向目的地提供消息。以这一方式，网络设备220可以向消息的目的地提供消息，这可以允许网络设备220允许传输未与恶意方关联的消息。
在一些实现方式中，策略信息可以指示向黑名单添加与源和/或目的地有关的信息。例如，网络设备220可以确定指示将消息的源和/或目的地列入黑名单的策略信息。基于策略信息，网络设备220 可以向黑名单添加标识源和/或目的地的信息、添加标识用于向黑名单添加源和/或目的地的理由的信息、向黑名单添加标识与源和/或目的地关联的恶意方的信息等。以这一方式，网络设备220可以向黑名单填充与源、目的地和/或恶意方有关的信息，这可以提高在将来遇到源、目的地和/或恶意方时的网络安全。
在一些实现方式中，策略信息可以指示执行以上动作的组合。例如，网络设备220可以确定指示丢弃消息、隔离消息的源和/或将消息的目的地列入黑名单等的策略信息。以这一方式，网络设备220 可以基于策略信息执行动作组合，这可以允许网络管理员提供定制的规则集合以实行网络策略。
在一些实现方式中，网络设备220可以基于策略信息从消息去除策略令牌。例如，网络设备220可以从设备(例如，客户端设备 210、网络设备220等)接收消息和策略令牌。网络设备220可以基于由策略令牌描述的策略信息执行动作。在向消息的目的地(例如，客户端设备210、外部设备等)提供消息之前，网络设备220可以去除策略令牌。通过去除策略令牌，网络设备220可以防止恶意方(例如，已经危害了客户端设备210的恶意方、与外部设备关联的恶意方等)确定恶意方可以用来执行附加恶意动作的策略信息，由此提高网络的安全。
在一些实现方式中，多个网络设备220可以将不同策略令牌与消息关联。例如，第一网络设备220可以将描述第一策略信息的第一策略令牌与消息关联，并且可以向第二网络设备220提供消息和第一策略令牌。第二网络设备220可以确定第一策略信息和/或可以基于第一策略信息执行第一动作。在一些实现方式中，第二网络设备220可以确定第二策略信息(例如，基于第一策略信息、基于执行第一动作等)、可以从消息去除第一策略令牌和/或可以将第二策略令牌与消息关联。第二网络设备220可以向第三网络设备220证明消息和第二策略令牌(例如，以供第三网络设备220基于第二策略令牌确定第二策略信息、基于第二策略信息执行第二动作、将第三策略令牌与消息关联以使得第四网络设备220执行第三动作等)。以这一方式，一系列网络设备220可以将多个策略令牌与在该一系列网络设备220之间传输的消息关联，这可以允许该一系列网络设备220的一个或者多个网络设备220关于消息采取不同动作。
如图5中进一步所示，过程500可以包括在现有通信信道上朝着目的地提供消息和/或策略令牌(块540)。例如，网络设备220 可以在现有通信信道上朝着消息的目的地提供消息和/或策略令牌。在一些实现方式中，第一网络设备220可以向第二网络设备220提供消息和策略令牌(例如，以用于向目的地路由)。在这样的实现方式中，第二网络设备220可以执行这里结合图5描述的操作。在一些实现方式中，网络设备220可以向客户端设备210和/或向外部目的地(例如，在包括网络设备220的网络外部的目的地)提供消息。在这样的实现方式中，网络设备220可以不提供策略令牌，这可以向与客户端设备210和/或外部目的地关联的恶意方隐藏策略信息。
虽然图5示出了过程500的示例块，但是在一些实现方式中，过程500可以包括除了图5中描绘的块之外的附加块、更少块、不同块或者不同布置的块。附加地或者备选地，可以并行执行过程500 的块中的两个或者更多个块。
图6A和图6B是与图4中所示的示例过程400有关和与图5中所示的示例过程500有关的示例实现方式600的示图。图6A和图 6B示出了向从外部源接收的消息附着策略令牌、提供消息和策略令牌并且基于策略令牌执行动作的示例。出于图6A和图6B的目的，假设客户端设备210被与外部源“malware.cz”关联的恶意方危害。
如图6A中和由标号605所示，假设外部源(例如，被示出为“malware.cz”)生成消息。如由标号610所示，外部源可以在现有通信信道上朝着客户端设备210提供消息(例如，被示出为“HTTP响应”)(例如，由从网络设备220-1继续经过网络设备220-2和网络设备220-3而结束于客户端设备210处的虚线所示)。如图6A进一步所示，消息可以包括头部(例如，被示出为空白头部)、源(例如，被被示出为“malware.cz”)和目的地(例如，被示出为“客户端设备”)。
如由标号615所示，网络设备220-1可以接收消息。如图6A进一步所示，网络设备220-1可以确定消息的源(例如，基于由消息标识的源)。如由标号620所示，网络设备220-1可以确定与消息的源和/或目的地关联的策略信息。假设网络设备220-1基于指示消息的源(例如，malware.cz)与恶意方关联的本地存储的信息确定策略信息。如图6A所示，策略信息可以指示监视目的地设备(例如，客户端设备210)。如由标号625所示，网络设备220-1可以向消息附着策略令牌。假设策略令牌描述策略信息。
如图6B中和由标号630所示，网络设备220-1可以向网络设备 220-2提供消息和策略令牌。如图6B所示，可以在与消息关联的头部中包括策略令牌(例如，作为指示监视客户端设备210的串)。假设网络设备220-2确定由策略令牌指示的策略信息。如图6B所示，假设网络设备220-2在与HTTP响应关联的现有通信信道上向网络设备220-3提供消息和策略令牌。
如由标号635所示，网络设备220-3可以接收消息。如由标号640所示，网络设备220-3可以基于策略令牌确定策略信息。这里，网络设备220-3基于策略令牌确定监视客户端设备210。如由标号 645所示，网络设备220-3可以确定在向客户端设备210提供消息之前从消息去除策略令牌(例如，向危害客户端设备210的恶意方隐藏指示监视客户端设备210的策略信息)。假设网络设备220-3从与消息关联的头部去除策略令牌。如由标号650所示，网络设备220-3 可以向客户端设备210提供消息而无策略令牌。网络设备220-3可以随后基于由策略令牌描述的策略信息监视客户端设备210。
如以上指示的那样，图6A和图6B仅被提供作为示例。其它示例是可能的并且可以不同于关于图6A和图6B描述的示例。
这里描述的系统和/或方法可以使网络设备能够使用在现有通信信道上传输的消息来相互传达策略信息。现有通信信道可以是客户端设备的功能所必需的，这可以保证在现有通信信道上规律地传输消息。与现有通信信道关联的网络设备可以使用与消息关联(例如，附着到消息、在消息中插入等)的策略令牌来相互传达策略信息，并且可以通过在向目的地提供消息之前去除策略令牌来向客户端设备和/或恶意方隐藏策略信息。
前文公开内容提供了例示和描述，但是并未旨在于穷举或使实现方式限于公开的精确形式。修改和变化按照以上公开内容是可能的或者可以从实现方式的实践中被获悉。
如这里所用，术语部件旨在于被广义地解释为硬件、固件和/或硬件和软件的组合。
将清楚，这里描述的系统和/或方法可以被实施在不同形式的硬件、固件或者硬件和软件的组合中。用来实施这些系统和/或方法的实际专门化的控制硬件或者软件代码并未限制实现方式。因此，这里并未参照具体软件代码描述系统和/或方法的操作和行为——应理解，软件和硬件可以被设计为基于这里的描述来实施系统和/或方法。
即使在权利要求中记载和/或在说明书中公开了特定特征组合，这些组合也并未旨在于限制可能实现方式的公开内容。事实上，可以用未具体地在权利要求中记载和/或在说明书中公开的方式组合这些特征中的许多特征。虽然以下所附的列举的每个从属权利要求可以直接地从属于仅一个权利要求，但是可能实现方式的公开内容与在该套权利要求中的每个其它权利要求组合包括每个从属权利要求。
除非明确地这样描述，否则不应将这里使用的单元、动作或者指令为解释关键或者必需。也如这里所用，冠词“一个/一种”旨在于包括一个或者多个项目并且可以与“一个或者多个”可互换地使用。另外，如这里所用，术语“组”和“集合”旨在于包括一个或者多个项目 (例如，有关项目、无关项目、有关项目和无关项目的组合等)并且可以与“一个或者多个”可互换地使用。在仅旨在于一个项目时，使用术语“一个”或者相似措词。也如这里所用，术语“具有”等旨在于是开放式术语。另外，短语“基于”除非另有明示否则旨在于意味着“至少部分基于”。

Claims (20)

1.一种用于通信的设备，包括：
存储器：以及
一个或者多个处理器，用以：
接收用于在通信信道上向目的地路由的消息，
所述设备是第一网络设备，并且
所述通信信道已经被建立在所述消息的源与所述目的地之间；
确定与所述消息、所述目的地或者所述消息的所述源中的至少一个有关的第一策略信息，
所述第一策略信息描述供第二网络设备执行的第一动作，以及
所述第一策略信息基于以下一项或者多项而被确定：
黑名单，其列举待阻止或者禁止的源或者目的地中的一项或者多项，
白名单，其列举被视为可接受的源或者目的地中的一项或者多项，或者
灰名单，其列举受制于特定规则的源或者目的地中的一项或者多项；
基于所述第一策略信息将第一策略令牌与所述消息关联，
所述第一策略令牌包括如下信息，该信息标识存储用于所述第二网络设备的所述第一策略信息的不同设备；以及
在所述通信信道上向所述第二网络设备提供具有所述第一策略令牌的所述消息，以使所述第二网络设备基于所述第一策略令牌从所述不同设备请求所述第一策略信息，
第二策略信息由所述第二网络设备在所述第二网络设备接收到具有所述第一策略令牌的所述消息之后确定，
所述第一策略令牌由所述第二网络设备在所述第二网络设备接收到具有所述第一策略令牌的所述消息之后去除，
第二策略令牌基于所述第二策略信息而与所述消息关联，
所述消息被提供有所述第二策略令牌并由所述第二网络设备提供给第三网络设备，
第二动作由所述第三网络设备在所述第三网络设备接收到具有所述第二策略令牌的所述消息之后基于所述第二策略信息来执行，并且
所述第二动作包括以下各项之一：
丢弃所述消息，
监视所述消息的所述源，
隔离所述消息的所述源，或者
重定向去往或者来自所述消息的所述源的流量。
2.根据权利要求1所述的设备，
其中所述一个或者多个处理器在接收所述消息时还用以：
接收到具有所述消息的所述第一策略令牌；并且
其中所述一个或者多个处理器在确定所述第一策略信息时用以：
基于所述第一策略令牌确定所述第一策略信息。
3.根据权利要求1所述的设备，其中所述设备与第一网络关联；并且
其中所述第二网络设备与第二网络关联，
所述第二网络是除了所述第一网络之外的网络。
4.根据权利要求1所述的设备，
其中所述一个或者多个处理器在将所述第一策略令牌与所述消息关联时还用以：
对所述第一策略令牌加密以防止恶意方确定所述第一策略信息；以及
其中具有关联的所述第一策略令牌的所述消息还使所述第二网络设备对所述第一策略令牌解密。
5.根据权利要求4所述的设备，其中所述加密和所述解密使用以下算法中的至少一种算法而被执行：
对称密钥算法，或者
公用密钥算法。
6.根据权利要求1所述的设备，其中所述一个或者多个处理器在将所述第一策略令牌与所述消息关联时还用以：
向所述消息附着所述第一策略令牌，或者
向所述消息的一部分中插入所述第一策略令牌。
7.根据权利要求1所述的设备，其中所述第一策略令牌从与所述消息关联的头部被去除。
8.一种非瞬态计算机可读介质，其存储指令，所述指令包括：
一个或者多个指令，其在由设备的一个或者多个处理器执行时，使所述一个或者多个处理器：
接收用于在通信信道上向目的地路由的消息，
所述设备是第一网络设备，并且
所述通信信道已经被建立在源与所述目的地之间；
确定与所述消息有关的第一策略信息，
所述第一策略信息描述供第二网络设备执行的第一动作，
所述第一策略信息基于以下一项或者多项而被确定：
黑名单，其列举待阻止或者禁止的源或者目的地中的一项或者多项，
白名单，其列举被视为可接受的源或者目的地中的一项或者多项，或者
灰名单，其列举受制于特定规则的源或者目的地中的一项或者多项，并且
所述第一策略信息描述如下信息，该信息与所述目的地或者所述源中的至少一项有关；
基于所述第一策略信息将所述消息与包括如下信息的第一策略令牌关联，该信息标识存储用于所述第二网络设备的所述第一策略信息的不同设备，
在所述通信信道上向所述第二网络设备提供所述消息和所述第一策略令牌，以允许所述第二网络设备基于所述第一策略令牌从所述不同设备请求所述第一策略信息，
第二策略信息由所述第二网络设备在所述第二网络设备接收到具有所述第一策略令牌的所述消息之后确定，
第二策略令牌基于所述第二策略信息而与所述消息关联，
所述消息被提供有所述第二策略令牌并由所述第二网络设备提供给第三网络设备，
第二动作由所述第三网络设备在所述第三网络设备接收到具有所述第二策略令牌的所述消息之后基于所述第二策略信息来执行，并且
所述第二动作包括以下各项之一：
丢弃所述消息，
监视所述源，
隔离所述源，或者
重定向去往或者来自所述源的流量。
9.根据权利要求8所述的非瞬态计算机可读介质，
其中所述设备与第一网络关联；并且
其中所述第二网络设备与第二网络关联，
所述第二网络是除了所述第一网络的网络。
10.根据权利要求8所述的非瞬态计算机可读介质，
其中使所述一个或者多个处理器接收所述消息的所述一个或者多个指令还使所述一个或者多个处理器：
与所述消息一起接收所述第一策略令牌；并且
其中使所述一个或者多个处理器确定所述第一策略信息的所述一个或者多个指令还使所述一个或者多个处理器：
基于所述第一策略令牌确定所述第一策略信息。
11.根据权利要求8所述的非瞬态计算机可读介质，
其中所述一个或者多个指令在由所述一个或者处理器执行时还使所述一个或者多个处理器：
对所述第一策略令牌加密以防止恶意方确定所述第一策略信息，并且
其中所述消息和所述第一策略令牌还使所述第二网络设备对所述第一策略令牌解密。
12.根据权利要求11所述的非瞬态计算机可读介质，其中所述加密和所述解密使用以下算法中的至少一种算法而被执行：
对称密钥算法，或者
公用密钥算法。
13.根据权利要求8所述的非瞬态计算机可读介质，其中使所述一个或者多个处理器将所述第一策略令牌与所述消息关联的所述一个或者多个指令还使所述一个或者多个处理器：
向所述消息附着所述第一策略令牌，或者
向所述消息的一部分中插入所述第一策略令牌。
14.根据权利要求8所述的非瞬态计算机可读介质，其中所述一个或者多个指令还是的所述一个或者多个处理器：
当在所述通信信道上提供所述消息之前，从与所述消息关联的头部去除所述第一策略令牌。
15.一种用于通信的方法，包括：
由设备接收用于在通信信道上向目的地路由的消息，
所述设备是第一网络设备，并且
所述通信信道已经被建立在源与所述目的地之间；
由所述设备确定与所述消息、所述源或者所述目的地中的至少一个关联的第一策略信息，
所述第一策略信息描述供第二网络设备执行的第一动作，以及
所述第一策略信息基于以下一项或者多项而被确定：
黑名单，其列举待阻止或者禁止的源或者目的地中的一项或者多项，
白名单，其列举被视为可接受的源或者目的地中的一项或者多项，或者
灰名单，其列举受制于特定规则的源或者目的地中的一项或者多项；
由所述设备基于所述第一策略信息将所述消息与第一策略令牌关联，
所述第一策略令牌包括如下信息，该信息标识存储用于所述第二网络设备的所述第一策略信息的不同设备；以及
由所述设备在所述通信信道上向所述第二网络设备提供所述消息和所述第一策略令牌，以允许或者使所述第二网络设备基于所述第一策略令牌从所述不同设备请求所述第一策略信息，
第二策略信息由所述第二网络设备在所述第二网络设备接收到具有所述第一策略令牌的所述消息之后确定，
第二策略令牌基于所述第二策略信息而与所述消息关联，
所述消息被提供有所述第二策略令牌并由所述第二网络设备提供给第三网络设备，
第二动作由所述第三网络设备在所述第三网络设备接收到具有所述第二策略令牌的所述消息之后基于所述第二策略信息来执行，并且
所述第二动作包括以下各项之一：
丢弃所述消息，
监视所述源，
隔离所述源，或者
重定向去往或者来自所述源的流量。
16.根据权利要求15所述的方法，
其中接收所述消息还包括：
与所述消息一起接收所述第一策略令牌；并且
其中确定所述第一策略信息包括：
基于所述第一策略令牌确定所述第一策略信息。
17.根据权利要求16所述的方法，其中接收所述消息和所述第一策略令牌包括：
从所述源接收所述消息和所述第一策略令牌，
所述源基于所述源被恶意方危害而提供所述消息和所述第一策略令牌。
18.根据权利要求15所述的方法，其中将所述第一策略令牌与所述消息关联还包括：
将所述第一策略令牌包括在所述消息中，或者
向所述消息附着所述第一策略令牌。
19.根据权利要求15所述的方法，还包括：
对所述第一策略令牌加密以阻碍恶意方确定所述第一策略信息；并且
其中向所述第二网络设备提供所述第一策略令牌还包括：
向所述第二网络设备提供所述第一策略令牌以允许所述第二网络设备对所述第一策略令牌解密。
20.根据权利要求15所述的方法，还包括：
当在所述通信信道上提供所述消息之前，从与所述消息关联的头部去除所述第一策略令牌。
CN201510455121.XA 2015-03-31 2015-07-29 提供关于现有通信信道的策略信息的方法、设备和存储介质 Active CN106027455B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US14/674,787 2015-03-31
US14/674,787 US10110496B2 (en) 2015-03-31 2015-03-31 Providing policy information on an existing communication channel

Publications (2)

Publication Number Publication Date
CN106027455A CN106027455A (zh) 2016-10-12
CN106027455B true CN106027455B (zh) 2019-09-24

Family

ID=53900734

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510455121.XA Active CN106027455B (zh) 2015-03-31 2015-07-29 提供关于现有通信信道的策略信息的方法、设备和存储介质

Country Status (3)

Country Link
US (1) US10110496B2 (zh)
EP (1) EP3076591B1 (zh)
CN (1) CN106027455B (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8776207B2 (en) * 2011-02-16 2014-07-08 Fortinet, Inc. Load balancing in a network with session information
US10762245B2 (en) * 2015-12-17 2020-09-01 Ncr Corporation Input peripheral device security
JP7050937B2 (ja) * 2018-02-16 2022-04-08 テレフオンアクチーボラゲット エルエム エリクソン（パブル） コアネットワークドメイン間で伝送されるメッセージの保護
EP3797500B1 (en) 2018-05-21 2023-11-22 Telefonaktiebolaget Lm Ericsson (Publ) Message transmission between core network domains
US11025593B2 (en) * 2019-06-28 2021-06-01 Microsoft Technology Licensing, Llc Template-based session control in proxy solutions
CN115379467A (zh) * 2022-07-05 2022-11-22 浙江猫精人工智能科技有限公司 无线控制和配网方法、系统、电子设备和存储介质
US12438903B2 (en) * 2023-12-04 2025-10-07 InceptionCyber.ai, Inc. Systems and methods for detecting maliciousness of network communications through deployment of artificial intelligence techniques
CN118158162B (zh) * 2024-05-09 2024-07-05 暨南大学 一种基于p4可编程硬件交换机的公平性流量管制方法
US20250392622A1 (en) * 2024-06-20 2025-12-25 International Business Machines Corporation Adding policy coding to packet headers to use to access resources in a secure network

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101755271A (zh) * 2007-07-23 2010-06-23 三星电子株式会社 用于在连接受限设备配置和开放服务网关联盟环境中管理访问特权的方法和装置

Family Cites Families (39)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8099758B2 (en) * 1999-05-12 2012-01-17 Microsoft Corporation Policy based composite file system and method
JP2001168913A (ja) * 1999-12-10 2001-06-22 Hitachi Ltd ネットワークポリシー転送方法および分散ルールベースプログラム転送方法
US20060059117A1 (en) * 2004-09-14 2006-03-16 Michael Tolson Policy managed objects
US20030126464A1 (en) * 2001-12-04 2003-07-03 Mcdaniel Patrick D. Method and system for determining and enforcing security policy in a communication session
US7187681B1 (en) 2002-06-11 2007-03-06 Cisco Technology, Inc. Method and apparatus for traffic quality and billing authorization by request token insertion
US7747730B1 (en) * 2002-06-28 2010-06-29 Netfuel, Inc. Managing computer network resources
US8453196B2 (en) * 2003-10-14 2013-05-28 Salesforce.Com, Inc. Policy management in an interoperability network
US8005901B2 (en) * 2004-07-14 2011-08-23 Microsoft Corporation Mapping policies to messages
US7533265B2 (en) * 2004-07-14 2009-05-12 Microsoft Corporation Establishment of security context
US20060090196A1 (en) * 2004-10-21 2006-04-27 Van Bemmel Jeroen Method, apparatus and system for enforcing security policies
EP1674961A1 (en) * 2004-12-21 2006-06-28 International Business Machines Corporation Method for determining an applicable policy for an incoming message
WO2007099276A1 (en) * 2006-03-02 2007-09-07 British Telecommunications Public Limited Company Message processing methods and systems
US7774837B2 (en) * 2006-06-14 2010-08-10 Cipheroptics, Inc. Securing network traffic by distributing policies in a hierarchy over secure tunnels
US20080005204A1 (en) * 2006-06-30 2008-01-03 Scientific-Atlanta, Inc. Systems and Methods for Applying Retention Rules
US8059532B2 (en) * 2007-06-21 2011-11-15 Packeteer, Inc. Data and control plane architecture including server-side triggered flow policy mechanism
US8819164B2 (en) * 2007-08-31 2014-08-26 Microsoft Corporation Versioning management
US8972518B2 (en) * 2007-09-20 2015-03-03 Flash Networks Ltd. Integrated data-model and flow based policy system
US8059533B2 (en) * 2007-10-24 2011-11-15 Cisco Technology, Inc. Packet flow optimization (PFO) policy management in a communications network by rule name
US8060927B2 (en) 2007-10-31 2011-11-15 Microsoft Corporation Security state aware firewall
US8254381B2 (en) * 2008-01-28 2012-08-28 Microsoft Corporation Message processing engine with a virtual network interface
US8806607B2 (en) * 2008-08-12 2014-08-12 Verizon Patent And Licensing Inc. Unauthorized data transfer detection and prevention
US8345700B2 (en) 2009-12-17 2013-01-01 Verizon Patent And Licensing, Inc. Embedding of MPLS labels in IP address fields
US9294270B2 (en) * 2010-01-05 2016-03-22 Cisco Technology, Inc. Detection of stale encryption policy by group members
WO2011103385A1 (en) * 2010-02-22 2011-08-25 Avaya Inc. Secure, policy-based communications security and file sharing across mixed media, mixed-communications modalities and extensible to cloud computing such as soa
US8812020B2 (en) * 2010-10-15 2014-08-19 Tekelec, Inc. Methods, systems, and computer readable media for location-based policy enhancement
US8776256B2 (en) * 2011-04-29 2014-07-08 At&T Intellectual Property I, L.P. System and method for controlling multicast geographic distribution
US9392010B2 (en) * 2011-11-07 2016-07-12 Netflow Logic Corporation Streaming method and system for processing network metadata
US9871761B2 (en) * 2011-12-13 2018-01-16 Juniper Networks, Inc. Methods and apparatus for implementing a fibre channel zone policy
CA2859415C (en) 2012-02-21 2016-01-12 Logos Technologies, Llc System for detecting, analyzing, and controlling infiltration of computer and network systems
GB2503230A (en) * 2012-06-19 2013-12-25 Appsense Ltd Location based network access
US9252972B1 (en) * 2012-12-20 2016-02-02 Juniper Networks, Inc. Policy control using software defined network (SDN) protocol
US9258198B2 (en) * 2013-02-12 2016-02-09 International Business Machines Corporation Dynamic generation of policy enforcement rules and actions from policy attachment semantics
WO2014139553A1 (en) * 2013-03-11 2014-09-18 Nokia Solutions And Networks Oy Methods and apparatus for requesting user specific policy information for local applications
US9497129B2 (en) * 2013-04-10 2016-11-15 Cisco Technology, Inc. Methods and devices for providing a self-stretching policer
US10992710B2 (en) * 2013-09-24 2021-04-27 Netsweeper (Barbados) Inc. Network policy service for dynamic media
US20150134618A1 (en) * 2013-11-12 2015-05-14 Boris Teterin Techniques for Policy-Based Data Protection Services
US9414307B2 (en) * 2014-01-23 2016-08-09 Alcatel Lucent Rule-driven policy creation by an ANDSF server
US9276922B2 (en) * 2014-05-21 2016-03-01 Palo Alto Research Center Incorporated Border property validation for named data networks
US10362059B2 (en) * 2014-09-24 2019-07-23 Oracle International Corporation Proxy servers within computer subnetworks

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101755271A (zh) * 2007-07-23 2010-06-23 三星电子株式会社 用于在连接受限设备配置和开放服务网关联盟环境中管理访问特权的方法和装置

Also Published As

Publication number Publication date
US20160294703A1 (en) 2016-10-06
EP3076591A1 (en) 2016-10-05
CN106027455A (zh) 2016-10-12
EP3076591B1 (en) 2019-09-04
US10110496B2 (en) 2018-10-23

Similar Documents

Publication Publication Date Title
CN106027455B (zh) 提供关于现有通信信道的策略信息的方法、设备和存储介质
US11569986B2 (en) Decryption of secure sockets layer sessions having enabled perfect forward secrecy using a Diffie-Hellman key exchange
CN112887259B (zh) 基于应用的网络安全
US9584491B2 (en) Intelligent security analysis and enforcement for data transfer
KR101671594B1 (ko) 실시간 맞춤화된 위협 보호를 위한 시스템 및 방법
US9231976B2 (en) Creating and managing a network security tag
US10291651B1 (en) Unified secure socket layer decryption
US12095810B2 (en) Generating and analyzing network profile data
US9742738B2 (en) Method and apparatus for enforcing storage encryption for data stored in a cloud
WO2012098429A1 (en) Method, apparatus, and computer program product for managing unwanted traffic in a wireless network
KR20180099683A (ko) 컴퓨터 네트워크에서 트래픽 모니터링
US11811817B2 (en) SSL proxy whitelisting
US10097352B2 (en) Electronic device and communication method thereof
US20260019404A1 (en) Providing substitute domain information in a virtual private network
CN113452663B (zh) 基于应用特征的网络业务控制
CN105743863A (zh) 一种对报文进行处理的方法及装置
US12047410B2 (en) Systems and methods for avoiding offloading traffic flows associated with malicious data
US20180152462A1 (en) System and methods for secure short message service encryption and provisioning
KR20160123416A (ko) 정보 보안 장치 및 이의 정보 보안 방법, 단말기 및 이를 구비한 네트워크 시스템
CN103329590B (zh) 用于管理无线网络中的非所需流量的方法、装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant