TNJCESS 003-2024 內(nèi)生安全網(wǎng)絡(luò)控制器技術(shù)規(guī)范

ICS35.030CCSL70T/NJCESS團(tuán) 體 標(biāo) 準(zhǔn)T/NJCESS003-2024內(nèi)生安全網(wǎng)絡(luò)控制器技術(shù)規(guī)范Technicalspecificationofendogenoussecuritynetworkcontroller2024-12-26發(fā)布 2025-6-30實(shí)施南京市網(wǎng)絡(luò)空間內(nèi)生安全協(xié)會(huì)發(fā)布PAGE\*ROMANPAGE\*ROMANII目錄前言 II范圍 1規(guī)范性引用文件 1術(shù)語(yǔ)和定義 1縮略語(yǔ) 1內(nèi)生安全網(wǎng)絡(luò)控制器總體架構(gòu)要求 2內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口技術(shù)要求 3內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口功能要求 3內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口安全要求 4異構(gòu)冗余控制器執(zhí)行體組要求 4功能等價(jià)要求 4異構(gòu)性要求 4異構(gòu)執(zhí)行體數(shù)量要求 5內(nèi)生安全網(wǎng)絡(luò)控制器模塊功能要求 5北向協(xié)議代理功能要求 5南向協(xié)議代理功能要求 6協(xié)議語(yǔ)義級(jí)裁決功能要求 6控制器數(shù)據(jù)和狀態(tài)裁決功能要求 7調(diào)度功能要求 7內(nèi)生安全網(wǎng)絡(luò)控制器性能要求 8清洗時(shí)間 8執(zhí)行體狀態(tài)收斂時(shí)間 8內(nèi)生安全網(wǎng)絡(luò)控制器安全要求 8差模注入情況安全要求 8N-1模注入情況安全要求 8N模注入情況安全要求 9前言GB/T本文件的發(fā)布機(jī)構(gòu)提請(qǐng)注意，本標(biāo)準(zhǔn)涉及以下專(zhuān)利申請(qǐng)?zhí)枌?duì)應(yīng)專(zhuān)利的使用：1、CN202410439731.X 一種數(shù)據(jù)傳輸方法、系統(tǒng)、設(shè)備、計(jì)算機(jī)存儲(chǔ)介質(zhì)及產(chǎn)品2、CN202310760842.6 網(wǎng)元業(yè)務(wù)接口創(chuàng)建方法、裝置及相關(guān)設(shè)備3、CN202211548444.X一種開(kāi)放虛擬網(wǎng)絡(luò)系統(tǒng)、一種通信方法及設(shè)備和存儲(chǔ)介質(zhì)4、CN202210728335.X一種基于BGP-LS裁決的擬態(tài)路由方法、裝置及存儲(chǔ)介質(zhì)5、CN202310813240.2一種報(bào)文處理方法、裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)6、CN202311264807.1 擬態(tài)控制器與外部設(shè)備的通信方法、裝置、設(shè)備及介質(zhì)7、CN202410211753.0一種裁決方法、裝置、設(shè)備及介質(zhì)8、CN202310690290.6一種PCEP協(xié)議代理方法、裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)9、CN202310723811.3擬態(tài)設(shè)備的構(gòu)件池分配方法、設(shè)備及可讀存儲(chǔ)介質(zhì)本文件的發(fā)布機(jī)構(gòu)對(duì)于該專(zhuān)利的真實(shí)性、有效性和范圍無(wú)任何立場(chǎng)。該專(zhuān)利權(quán)人已向本文件的發(fā)布機(jī)構(gòu)承諾,他愿意同任何申請(qǐng)人在合理且無(wú)歧視的條款和條件下，就專(zhuān)利授權(quán)許可進(jìn)行談判。該專(zhuān)利權(quán)人的聲明已在本文件的發(fā)布機(jī)構(gòu)備案。請(qǐng)注意除上述專(zhuān)利外，本文件的某些內(nèi)容仍可能涉及專(zhuān)利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專(zhuān)利的責(zé)任。本文件主要起草人：唐寅、張進(jìn)、江逸茗PAGEPAGE1范圍本文件適用于支持?jǐn)M態(tài)防御能力的網(wǎng)絡(luò)控制器的設(shè)計(jì)、開(kāi)發(fā)、測(cè)試、部署和維護(hù)。規(guī)范性引用文件YD/T4223-2023支持?jǐn)M態(tài)防御功能設(shè)備的總體技術(shù)指南。術(shù)語(yǔ)和定義YD/T4223-2023《支持?jǐn)M態(tài)防御功能設(shè)備的總體技術(shù)指南》確立的術(shù)語(yǔ)和定義適用于本文件?？s略語(yǔ)下列縮略語(yǔ)適用于本文件。BGP-LS 邊界網(wǎng)關(guān)協(xié)議-鏈路狀態(tài) BorderGatewayProtocolLinkStateHTTP 超文本傳輸協(xié)議 HypertextProtocolNetconf 網(wǎng)絡(luò)配置協(xié)議 NetworkConfigurationProtocolOVSDB 開(kāi)放虛擬交換機(jī)數(shù)據(jù)庫(kù) OpenvSwitchdatabaseOpenFlow 開(kāi)放流協(xié)議 OpenFlowP4Runtime ProgrammingProtocol-IndependentPacketProcessorsRuntimePCEP PathComputationElementCommunicationProtocol內(nèi)生安全網(wǎng)絡(luò)控制器總體架構(gòu)要求圖1內(nèi)生安全網(wǎng)絡(luò)控制器總體架構(gòu)內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口技術(shù)要求內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口功能要求內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口功能要求包括：1、業(yè)務(wù)通道：主控的內(nèi)生安全組件和各個(gè)控制器執(zhí)行體單元的業(yè)務(wù)通道接口通過(guò)內(nèi)部交換互聯(lián)形成業(yè)務(wù)通道，該通道交互的內(nèi)容包括：南向協(xié)議報(bào)文在主控單元內(nèi)生安全組件和控制器執(zhí)行體之間的交互，包括但不限BGP-LS，PCEP，OVSDB管理協(xié)議，Openflow，P4Runtime，Netconf。A、內(nèi)生安全網(wǎng)絡(luò)控制器通過(guò)南向協(xié)議接收到的報(bào)文，主控單元的內(nèi)生安全組件通過(guò)專(zhuān)用通道，將協(xié)議報(bào)文復(fù)制分發(fā)給各個(gè)控制器執(zhí)行體；B、控制器執(zhí)行體通過(guò)南向協(xié)議向外發(fā)送的協(xié)議報(bào)文，通過(guò)業(yè)務(wù)通道將報(bào)文發(fā)送給主控單元的內(nèi)生安全組件；北向協(xié)議報(bào)文在主控單元內(nèi)生安全組件和控制器執(zhí)行體之間的交互，包括但不限HTTP，OVSDB管理協(xié)議。A、內(nèi)生安全網(wǎng)絡(luò)控制器通過(guò)北向協(xié)議接收到的報(bào)文，主控單元的內(nèi)生安全組件通過(guò)業(yè)務(wù)通道，將協(xié)議報(bào)文復(fù)制分發(fā)給各個(gè)控制器執(zhí)行體；B、控制器執(zhí)行體通過(guò)北向協(xié)議向外發(fā)送的協(xié)議報(bào)文，通過(guò)業(yè)務(wù)通道將報(bào)文發(fā)送給主控單元的內(nèi)生安全組件；2、管理通道：主控單元的內(nèi)生安全組件和各個(gè)執(zhí)行體單元的管理通道接口通過(guò)內(nèi)部交內(nèi)生安全組件向控制器執(zhí)行體下發(fā)控制管理信息，包括但不限于：內(nèi)生安全組件裁決模塊從各個(gè)執(zhí)行體獲取信息，包括各執(zhí)行體的配置信息，流表信息等；裁決結(jié)果上報(bào)調(diào)度模塊。內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口安全要求內(nèi)生安全網(wǎng)絡(luò)控制器內(nèi)部接口安全要求包括：1、業(yè)務(wù)通道和管理通道，需要在網(wǎng)絡(luò)上完全隔離，保證某個(gè)通道上交互的報(bào)文不會(huì)影響另一個(gè)通道的報(bào)文交互功能。2、內(nèi)生安全組件所在的單元，限定只能與特定的控制器執(zhí)行體交互；3、控制器執(zhí)行體，限定只能與內(nèi)生安全組件所在單元進(jìn)行交互，不與其他控制器執(zhí)行體進(jìn)行交互。異構(gòu)冗余控制器執(zhí)行體組要求功能等價(jià)要求異構(gòu)冗余控制器執(zhí)行體組中的各個(gè)執(zhí)行體需要滿(mǎn)足功能等價(jià)的要求，主要包括：4、各控制器執(zhí)行體北向協(xié)議接口的格式相同；5、各控制器執(zhí)行體南向協(xié)議存在一致性，包括支持的協(xié)議類(lèi)型一致，同一協(xié)議對(duì)應(yīng)的協(xié)議功能特性集一致；6、各控制器執(zhí)行體對(duì)相同輸入進(jìn)行處理后的輸出結(jié)果語(yǔ)義一致，如控制器計(jì)算網(wǎng)絡(luò)最優(yōu)路徑的算法一致，生成的轉(zhuǎn)發(fā)數(shù)據(jù)流表邏輯規(guī)則一致。異構(gòu)性要求1、支持控制器的異構(gòu)執(zhí)行體數(shù)量不小于3個(gè)；2、由多個(gè)異構(gòu)冗余的控制器執(zhí)行體構(gòu)成，每個(gè)控制器執(zhí)行體之間的異構(gòu)方式不少于2個(gè)維度，異構(gòu)性維度包括：CPUCPUX86ARM2對(duì)控制器源碼多樣化編譯，通過(guò)代碼布局隨機(jī)化及堆棧變換等多樣化編譯手段，生成多個(gè)異構(gòu)的控制器二進(jìn)制代碼變體；Ubuntu，CentOs，Debian控制器版本異構(gòu)，各控制器執(zhí)行體使用的控制器版本，在保證功能滿(mǎn)足業(yè)務(wù)需要的情況下，使用不同的發(fā)行版本。支持后續(xù)擴(kuò)展的異構(gòu)性維度。異構(gòu)執(zhí)行體數(shù)量要求1、在線執(zhí)行體數(shù)量要求：基于內(nèi)生安全控制器的裁決原則，需要滿(mǎn)足擇多判決算法時(shí)的執(zhí)行體數(shù)量要求，因此在線執(zhí)行體數(shù)量要求為奇數(shù)個(gè)，最少為3個(gè)；2、執(zhí)行體總數(shù)量要求：應(yīng)構(gòu)建異構(gòu)執(zhí)行體的資源池，執(zhí)行體總數(shù)量=在線執(zhí)行體數(shù)量+備份執(zhí)行體數(shù)量，備份執(zhí)行體數(shù)量最少為1個(gè)。內(nèi)生安全網(wǎng)絡(luò)控制器模塊功能要求北向協(xié)議代理功能要求1、支持對(duì)北向協(xié)議報(bào)文的基本收發(fā)功能，對(duì)從外部接收的北向協(xié)議報(bào)文進(jìn)行存儲(chǔ)、復(fù)制分發(fā)到各控制器執(zhí)行體，并且只將主控制器執(zhí)行體的北向協(xié)議報(bào)文對(duì)外發(fā)送；2、支持控制器執(zhí)行體變化時(shí)的北向協(xié)議恢復(fù)，控制器執(zhí)行體新上線后，針對(duì)內(nèi)生安全3、支持對(duì)異步事件的周期性檢查，包括北向協(xié)議連接失敗時(shí)的重試操作，執(zhí)行體下線后僵尸連接的清除。南向協(xié)議代理功能要求1、對(duì)于控制器執(zhí)行體和外部網(wǎng)元，南向協(xié)議代理是透明的，通過(guò)外部網(wǎng)絡(luò)無(wú)法直接訪2、支持將控制器南向接收的協(xié)議消息復(fù)制分發(fā)到多個(gè)運(yùn)行狀態(tài)的控制器執(zhí)行體；并將多個(gè)控制器執(zhí)行體輸出的消息進(jìn)行歸一化處理后，通過(guò)南向協(xié)議對(duì)外發(fā)送。3、南向協(xié)議代理應(yīng)支持南向協(xié)議加密（SSL，TLS等），認(rèn)證（MD5等）的處理。4、南向協(xié)議代理只對(duì)支持異構(gòu)化的南向協(xié)議消息進(jìn)行處理，對(duì)其他消息可以基于自定義策略處理，包括丟棄、分發(fā)至單個(gè)控制器執(zhí)行體、重定向至日志處理系統(tǒng)等。5、支持控制器執(zhí)行體變化時(shí)的南向協(xié)議恢復(fù)，控制器執(zhí)行體上線或下線時(shí)，南向協(xié)議協(xié)議語(yǔ)義級(jí)裁決功能要求1、支持對(duì)南向協(xié)議報(bào)文的基本獲取功能，各個(gè)執(zhí)行體支持對(duì)收到的協(xié)議報(bào)文分別進(jìn)行獨(dú)立緩存。2、支持裁決等待時(shí)間可配置，周期性對(duì)存儲(chǔ)的各個(gè)執(zhí)行體的協(xié)議報(bào)文進(jìn)行裁決，判斷各個(gè)執(zhí)行體是否存在異常情況。3、支持基于協(xié)議報(bào)文字節(jié)流的內(nèi)容進(jìn)行裁決的方式，必須支持擇多判決算法、可選支持加權(quán)判決等算法。4、支持裁決發(fā)現(xiàn)異常后的信息上報(bào)，對(duì)裁決后存在異常結(jié)果的控制器執(zhí)行體進(jìn)行異常信息的封裝打包，并發(fā)送給調(diào)度模塊處理。5、支持在控制器執(zhí)行體新上線時(shí)，首次裁決的周期設(shè)置?？刂破鲌?zhí)行體新上線時(shí)，從控制器數(shù)據(jù)和狀態(tài)裁決功能要求1、對(duì)控制器執(zhí)行體輸出的哪些數(shù)據(jù)和狀態(tài)信息進(jìn)行裁決，應(yīng)根據(jù)控制器的業(yè)務(wù)要求，３、裁決功能在獲取各個(gè)異構(gòu)控制器的數(shù)據(jù)和狀態(tài)信息后,應(yīng)對(duì)該信息按照裁決的目的和要求進(jìn)行格式化解析，得到各執(zhí)行體待裁決的格式化數(shù)據(jù)。４、必須支持擇多判決算法、可選支持加權(quán)判決等算法。調(diào)度功能要求1、調(diào)度功能是內(nèi)生安全控制器中內(nèi)生安全組件的總控管理單元，實(shí)現(xiàn)對(duì)控制器異構(gòu)冗2、調(diào)度器與控制器執(zhí)行體之間采用單向異步通信的方式，控制各個(gè)異構(gòu)控制器執(zhí)行體的啟動(dòng)、停止和重啟等操作。3、支持根據(jù)裁決異常和狀態(tài)反饋進(jìn)行決策的功能，應(yīng)依據(jù)裁決功能反饋的裁決結(jié)果、異構(gòu)冗余控制器執(zhí)行體組等運(yùn)行狀態(tài)信息和產(chǎn)生的異常信息，最終生成調(diào)度策略。4、按照生成的調(diào)度策略，動(dòng)態(tài)調(diào)度管理異構(gòu)