[go: up one dir, main page]

ES2959674T3 - Cortafuegos de perímetro múltiple en la nube - Google Patents

Cortafuegos de perímetro múltiple en la nube Download PDF

Info

Publication number
ES2959674T3
ES2959674T3 ES16731961T ES16731961T ES2959674T3 ES 2959674 T3 ES2959674 T3 ES 2959674T3 ES 16731961 T ES16731961 T ES 16731961T ES 16731961 T ES16731961 T ES 16731961T ES 2959674 T3 ES2959674 T3 ES 2959674T3
Authority
ES
Spain
Prior art keywords
firewall
srv
access point
perimeter firewall
perimeter
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES16731961T
Other languages
English (en)
Inventor
Carlos Ore
Joseph Rubenstein
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Umbra Technologies Ltd
Original Assignee
Umbra Technologies Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=56101757&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=ES2959674(T3) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by Umbra Technologies Ltd filed Critical Umbra Technologies Ltd
Application granted granted Critical
Publication of ES2959674T3 publication Critical patent/ES2959674T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G06F9/4416—Network booting; Remote initial program loading [RIPL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H04L12/4645—Details on frame tagging
    • H04L12/465—Details on frame tagging wherein a single frame includes a plurality of VLAN tags
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/12—Shortest path evaluation
    • H04L45/123—Evaluation of link metrics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/22—Alternate routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/24—Multipath
    • H04L45/247—Multipath using M:N active or standby paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/28—Routing or path finding of packets in data switching networks using route fault recovery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/302—Route determination based on requested QoS
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/64—Routing or path finding of packets in data switching networks using an overlay routing layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/72—Admission control; Resource allocation using reservation actions during connection setup
    • H04L47/726—Reserving resources in multiple paths to be used simultaneously
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/80—Actions related to the user profile or the type of traffic
    • H04L47/801—Real time traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/80—Actions related to the user profile or the type of traffic
    • H04L47/805—QOS or priority aware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/82—Miscellaneous aspects
    • H04L47/825—Involving tunnels, e.g. MPLS
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/83—Admission control; Resource allocation based on usage prediction
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H04L63/0218—Distributed architectures, e.g. distributed firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0254—Stateful filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Stored Programmes (AREA)
  • Storage Device Security (AREA)

Abstract

Se divulgan sistemas y métodos para proporcionar cortafuegos multiperímetro a través de una red global virtual. En una realización, el sistema de red puede comprender un punto de entrada de salida en comunicación con un primer servidor de punto de acceso, un segundo servidor de punto de acceso en comunicación con el primer servidor de punto de acceso, un dispositivo de punto final en comunicación con el segundo servidor de punto de acceso, un primer firewall en comunicación con el primer servidor de punto de acceso, y un segundo cortafuegos en comunicación con el segundo servidor de punto de acceso. El primer y segundo cortafuegos pueden impedir que el tráfico pase a través de sus respectivos servidores de puntos de acceso. El primero y el segundo pueden estar en comunicación entre sí e intercambiar información sobre amenazas. (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN
Cortafuegos de perímetro múltiple en la nube
Campo de la divulgación
La presente divulgación se refiere de manera general a redes y, más particularmente, a seguridad de red que protege el flujo de tráfico a través de una red virtual global o red similar mediante el posicionamiento estratégico de dispositivos de cortafuegos (FW) distribuidos colocados en múltiples perímetros en la nube.
Antecedentes de la divulgación
Los seres humanos pueden percibir retardos de 200 ms o más ya que esto es normalmente el tiempo de reacción promedio de los seres humanos frente a un acontecimiento. Si la latencia es demasiado alta, los sistemas en línea tales como clientes ligeros para servidores basados en la nube, gestión de la relación con clientes (CR), planificación de recursos de empresa (EPvP) y otros sistemas funcionarán mal y pueden incluso dejar de funcionar debido a agotamientos de tiempo límite. La alta latencia en combinación con alta pérdida de paquetes puede hacer que una conexión no pueda usarse. Aunque consigan pasar datos, en un determinado momento demasiada lentitud da como resultado una mala experiencia del usuario (UX) y en esos casos el resultado puede ser un rechazo por parte de los usuarios a aceptar esas condiciones haciendo en efecto que los servicios mal suministrados sean inútiles.
Para abordar algunas de estas cuestiones, se han desarrollado diversas tecnologías. Una tecnología de este tipo es una optimización de WAN, que normalmente implica un dispositivo de hardware (HW) en el borde de una red de área local (LAN) que construye un túnel a otro dispositivo de HW de optimización de WAN en el borde de otra LAN, formando una red de área amplia (WAN) entre los mismos. Esta tecnología supone una conexión estable a través de la cual los dos dispositivos se conectan entre sí. Un optimizador de WAN se esfuerza por comprimir y proteger el flujo de datos, dando como resultado con frecuencia un aumento de velocidad. El factor impulsor comercial para la adopción de la optimización de WAN es ahorrar en cuanto al volumen de datos enviados en un esfuerzo por reducir el coste de la transmisión de datos. Las desventajas de esto son que con frecuencia es de punto a punto y puede resultar difícil cuando la conexión entre los dos dispositivos no es buena ya que hay de poco a ningún control sobre el trayecto del flujo de tráfico a través de Internet entre los mismos. Para abordar esto, los usuarios de optimizadores de WAN con frecuencia deciden ejecutar su WAN a través de una línea de MPLS o DDN u otro circuito dedicado dando como resultado un gasto añadido y, de nuevo, conllevando habitualmente una conexión de punto a punto fija y rígida.
Los enlaces directos tales como MPLS, DDN, circuitos dedicados u otros tipos de conexión de punto a punto fija ofrecen garantías de calidad de conexión y calidad de servicio (QoS). Conectan desde el interior de una LAN hasta los recursos de otra LAN a través de esta WAN directamente conectada. Sin embargo, cuando la pasarela (GW) a Internet general está ubicada en la LAN de un extremo, por ejemplo en la sede central, entonces el tráfico procedente de la LAN remota de un país subsidiario puede enrutarse a Internet a través de la GW. Se produce una ralentización a medida que fluye tráfico a través de Internet de vuelta a servidores en el mismo país que el subsidiario. Entonces, el tráfico debe ir desde la LAN a través de la WAN hasta la LAN en la que está ubicada la GW y después a través de Internet de vuelta a un servidor en el país de origen, después de vuelta a través de Internet hasta la GW, y después de vuelta por la línea dedicada hasta el dispositivo cliente dentro de la LAN. En esencia, se duplica o triplica (o peor) el tiempo de tránsito global de lo que debería tardar una pequeña fracción de la latencia global para acceder a este sitio cercano. Para superar esto, una conectividad alternativa de otra línea de Internet con cambios de configuración apropiados y dispositivos añadidos puede ofrecer tráfico local a Internet, en cada extremo de un sistema de este tipo.
Otra opción para crear enlaces de WAN desde una LAN hasta otra LAN implica la construcción de túneles tales como IPSec u otros túneles de protocolo entre dos enrutadores, cortafuegos o dispositivos de borde equivalentes. Habitualmente están cifrados y pueden ofrecer compresión y otra lógica para intentar mejorar la conectividad. Hay de poco a ningún control sobre las rutas entre los dos puntos ya que se basan en la política de diversos agentes intermedios en Internet que portan su tráfico a través de su(s) red(es) y homólogos con otros portadores y/u operadores de red. Los cortafuegos y enrutadores, conmutadores y otros dispositivos de varios proveedores de equipos tienen habitualmente opciones de tunelación incorporadas en su firmware.
Aunque la conectividad de línea local ha mejorado en gran medida en los últimos años, todavía existen problemas con la conectividad a larga distancia y el rendimiento debido a cuestiones relacionadas con la distancia, limitaciones de protocolo, conexión entre homólogos, interferencia y otros problemas y amenazas. Como tal, existe una necesidad de servicios de optimización de red segura que se ejecuten encima de conexiones de Internet convencionales.
El documento US 2006/195896 A1 da a conocer métodos, sistemas y productos de programa informático para proporcionar cortafuegos de funcionamiento en paralelo.
El documento US 2015/089582 A1 da a conocer un sistema y servicio de cortafuegos basado en la nube para proteger sitios de cliente frente a ataques, fugas de información confidencial y otras amenazas de seguridad.Sumario de la divulgación
En un primer aspecto, la invención proporciona un cortafuegos de perímetro múltiple que comprende un primer cortafuegos de perímetro, un segundo cortafuegos de perímetro, un primer servidor de punto de acceso y un segundo servidor de punto de acceso, tal como se expone en la reivindicación 1.
Según una realización, al menos uno de los servidores de punto de acceso está configurado para realizar servicios de cortafuegos.
Según otra realización, el primer cortafuegos está en comunicación con el segundo cortafuegos. El trayecto de comunicación entre el primer y segundo cortafuegos puede ser un túnel de red virtual global o un canal posterior de red virtual global o una llamada de API u otro. En algunas realizaciones, el primer cortafuegos y el segundo cortafuegos comparten información de amenazas que incluye al menos uno de patrones heurísticos, firmas o amenazas conocidas, direcciones IP de origen maliciosas conocidas o vectores de ataque. La información de amenazas puede compartirse mediante un servidor de control central.
En algunas realizaciones, al menos uno de los cortafuegos incluye un equilibrador de carga de cortafuegos en la nube que puede asignar recursos de cortafuegos en la nube bajo demanda.
Breve descripción de los dibujos
Con el fin de facilitar una comprensión más completa de la presente divulgación, ahora se hace referencia a los dibujos adjuntos, en los que se hace referencia a elementos iguales con números o referencias iguales. No debe interpretarse que estos dibujos sean limitativos de la presente divulgación, sino que sólo se pretende que sean ilustrativos.
La figura 1 ilustra cinco tipos de operaciones de dispositivos de cortafuegos.
La figura 2 ilustra posibilidades de flujo de tráfico a través de un cortafuegos.
La figura 3 ilustra inspección de estado de paquetes e inspección de paquetes profunda.
La figura 4 ilustra la generación de una carga útil combinada a partir de un flujo de paquetes.
La figura 5 ilustra un trayecto de ataque de red amplio desde Internet hasta una LAN.
La figura 6 muestra efectos de retroceso negativos sobre una red debido a un ataque de alto volumen de tráfico que se produce en una red opuesta.
La figura 7 ilustra un cortafuegos de perímetro múltiple ubicado en la nube.
La figura 8 ilustra la capacidad de ajuste a escala de un cortafuegos de perímetro múltiple ubicado en la nube. La figura 9 ilustra un cortafuegos de perímetro múltiple encima de una GVN que está encima de una conexión de Internet.
La figura 10 es un diagrama de flujo de las diversas rutas disponibles a través de una GVN desde un origen hasta un destino.
La figura 11 ilustra la comunicación entre un cortafuegos de inspección de estado de paquetes (SPI) y un cortafuegos de inspección de paquetes profunda (DPI).
La figura 12 ilustra un cortafuegos de perímetro múltiple (MPFW) en la nube habilitado mediante una red virtual global.
La figura 13 ilustra el flujo de información entre dispositivos de una red virtual global.
La figura 14 ilustra un cortafuegos de perímetro múltiple (MPFW) en la nube que soporta un dispositivo de punto de extremo personal.
La figura 15 ilustra los módulos requeridos para la colaboración automatizada de dispositivo y cortafuegos y el intercambio de información en una GVN.
La figura 16 ilustra el intercambio de información de dispositivo a dispositivo en una GVN.
La figura 17 ilustra la integración de un cortafuegos de perímetro múltiple con otros sistemas en una GVN.
La figura 18 ilustra la topología y colocación correspondiente de cortafuegos junto con la capacidad de ajuste a escala proporcionada por cortafuegos basados en la nube conectados mediante equilibradores de carga de cortafuegos basados en la nube.
La figura 19 ilustra topología de GVN, incluyendo un segmento de estructura principal a través de Internet o fibra oscura.
La figura 20 ilustra la topología de dispositivos y conectividad para el flujo de información hacia y desde un dispositivo de punto de extremo (EPD) e Internet.
La figura 21 ilustra un algoritmo de cortafuegos de perímetro múltiple.
La figura 22 ilustra una vista lógica de la arquitectura de software para un dispositivo de cortafuegos en la nube, un dispositivo de equilibrador de carga de cortafuegos en la nube, un servidor de control central, un servidor de punto de acceso y un dispositivo de punto de extremo.
La figura 23 ilustra el flujo de información desde cortafuegos (FW) hasta diversos dispositivos en una red virtual global (GVN) a través de un servidor de control central (SRV_CNTRL).
La figura 24 es un diagrama de flujo que describe el algoritmo usado para analizar tráfico que fluye a través de un cortafuegos, un equilibrador de carga de cortafuegos y/o a través de una matriz de cortafuegos.
La figura 25 ilustra las diversas capas en una pila de sistema para tratar con y gestionar amenazas.
La figura 26 ilustra un método para descifrar automáticamente un volumen cifrado durante un procedimiento de arranque.
La figura 27 ilustra cómo puede calcularse de manera sistemática una identificación de usuario única (UUID) para un dispositivo basándose en varios factores específicos para ese dispositivo.
La figura 28 ilustra los módulos del mecanismo de arranque seguro.
La figura 29 ilustra los detalles del mecanismo de canal posterior.
La figura 30 ilustra las conexiones entre muchos dispositivos de punto de extremo (EPD) y un servidor de canal posterior (SRV_BC).
La figura 31 ilustra la escritura de datos cifrados en campos seleccionados en una fila de una base de datos usando claves rotatorias y calculadas que son únicas para cada fila individual.
La figura 32 ilustra el descifrado de datos a partir de una única fila usando claves, elementos de ajuste de clave y otros factores usando un entramado para claves calculadas.
La figura 33 ilustra lo que sucede cuando se solicita contenido de interfaz gráfica de usuario (GUI) por un cliente a través de un dispositivo de punto de extremo (EPD) y se almacena el contenido solicitado dentro de un volumen bloqueado.
La figura 34 muestra un diagrama de bloques de alto nivel de Internet.
La figura 35 es un diagrama de bloques que muestra la resolución de localizador universal de recursos (URL) a direcciones de protocolo de Internet (IP) numéricas mediante el sistema de nombre de dominio (DNS).
Descripción detallada
Una GVN ofrece servicios de optimización de red segura a clientes encima de su conexión de Internet convencional. Esto es un resumen de las partes constituyentes de una GVN así como una descripción de tecnologías relacionadas que pueden servir como elementos de GVN. Los elementos de GVN pueden funcionar independientemente o dentro del ecosistema de una GVN tal como usando el entramado de GVN para sus propios fines, o pueden desplegarse para potenciar el rendimiento y la eficiencia de una GVN. Este resumen también describe cómo otras tecnologías pueden beneficiarse de una GVN o bien como despliegue autónomo que usa algunos o la totalidad de los componentes de una GVN, o bien que pueden desplegarse rápidamente como mecanismo independiente encima de una GVN existente, usando sus beneficios.
Una red privada virtual (VPN) basada en software (SW) ofrece privacidad mediante un túnel entre un dispositivo cliente y un servidor de VPN. Tienen la ventaja de cifrado y, en algunos casos, también compresión. Pero, también en este caso, hay de poco a ningún control sobre cómo fluye el tráfico entre el cliente de VPN y el servidor de VPN, así como entre el servidor de VPN y el servidor anfitrión, el cliente anfitrión u otros dispositivos en el destino. Con frecuencia son conexiones de punto a punto que requieren que se instale software cliente por cada dispositivo que usa la VPN y alguna habilidad técnica para mantener la conexión para cada dispositivo. Si un punto de egreso de servidor de VPN está en estrecha proximidad mediante un trayecto de comunicación de calidad hasta un cliente anfitrión o servidor anfitrión de destino, entonces el rendimiento será bueno. Si no es así, entonces habrá reducciones perceptibles sobre el rendimiento e insatisfacción desde un punto de vista de la capacidad de uso. Con frecuencia, un requisito para un usuario de VPN es tener que desconectarse de un servidor de VPN y volver a conectarse a otro servidor de VPN para tener acceso de calidad o local a contenido de una región frente a contenido de otra región.
Una red virtual global (GVN) es un tipo de red informática encima de Internet que proporciona servicios de optimización de red segura global que usa una malla de dispositivos distribuidos alrededor del mundo conectados de manera segura entre sí mediante túneles avanzados, que colaboran y se comunican mediante interfaz de programa de aplicación (API), replicación de bases de datos (DB) y otros métodos. El enrutamiento de tráfico en la GVN siempre es a través del mejor trayecto de comunicación regido mediante enrutamiento inteligente avanzado (ASR) alimentado mediante sistemas automatizados que combinan dispositivos de construcción, gestores, dispositivos de prueba, análisis algorítmico y otras metodologías para adaptarse a condiciones variables y que aprenden a lo largo del tiempo para configurar y reconfigurar el sistema.
La GVN ofrece un servicio para proporcionar conectividad concurrente segura, fiable, rápida, estable, precisa y enfocada encima de una o más conexiones de Internet regulares. Estos beneficios se logran mediante compresión de flujo de datos que transita por múltiples conexiones de túneles envueltos, camuflados y cifrados entre el EPD y servidores de punto de acceso (SRV_AP) en estrecha proximidad al EPD. La calidad de conexión entre EPD y SRV_AP se monitoriza constantemente.
Una GVN es una combinación de un dispositivo de punto de extremo (EPD) de hardware (HW) que tiene instalado software (SW), bases de datos (D<b>) y otros módulos automatizados del sistema de GVN, tales como mecanismo de interfaz de programación de aplicación neutra (NAPIM), gestor de canal posterior, gestor de túnel y más características que conectan el EPD a dispositivos de infraestructura distribuida tales como servidor de punto de acceso (SRV_AP) y servidor central (Sr V_CNTRL) dentro de la GVN.
Los algoritmos analizan continuamente el estado actual de red mientras se tiene en cuenta tendencias de finales más rendimiento histórico a largo plazo para determinar la mejor ruta para que tome el tráfico y que es el mejor SRV_AP o serie de servidores SRV_AP para empujar tráfico a través. La configuración, el trayecto de comunicación y otros cambios se realizan automáticamente y sobre la marcha requiriéndose una mínima o ninguna interacción o intervención del usuario.
El enrutamiento inteligente avanzado en un EPD y en un SRV_AP garantizan que fluye tráfico a través del trayecto más ideal desde el origen hasta el destino a través de una “tercera capa” de la GVN lo más sencilla posible. Los dispositivos clientes conectados a la GVN consideran esta tercera capa como un trayecto de Internet normal pero con un número inferior de saltos, mejor seguridad y, en la mayoría de los casos, menor latencia que el tráfico que fluye a través de Internet regular al mismo destino. La lógica y automatización funcionan en la “segunda capa” de la GVN en la que el software de la GVN monitoriza y controla automáticamente el enrutamiento subyacente y la construcción de interfaces virtuales (VIF), múltiples túneles y unión de trayectos de comunicación. La tercera y segunda capas de la GVN existen encima de la “primera capa” operativa de la GVN que interacciona con los dispositivos de la red de Internet subyacente.
Desde un punto de vista técnico y de conexión en red, la nube se refiere a dispositivos o grupos o matrices o agrupaciones de dispositivos que están conectados y están disponibles para otros dispositivos a través de Internet abierta. La ubicación física de estos dispositivos no tiene importancia significativa ya que, con frecuencia, tienen sus datos repetidos a través de múltiples ubicaciones con la administración hacia/desde el servidor más cercano hacia/desde el cliente que realiza la petición usando una red de suministro de contenido (CDN) u otra tecnología de este tipo para acelerar la conectividad, lo que potencia la experiencia del usuario (UX).
Esta invención se basa en el uso convencional por la industria de cortafuegos (FW) aumentando su valor de utilidad mediante la extensión de perímetros a la nube. Un cortafuegos es un dispositivo principalmente diseñado para proteger una red interna frente a las amenazas externas desde una red exterior, así como proteger la fuga de datos de información desde la red interna. Un cortafuegos se ha colocado tradicionalmente en el borde entre una red tal como una red de área local (LAN) y otra red tal como su enlace ascendente hacia una red más amplia. Los administradores de red tienen sensibilidades sobre la colocación y confianza de un FW debido a que se basan en el mismo para proteger sus redes.
Los componentes adicionales de la GVN incluyen el mecanismo de arranque seguro (SBM) y el mecanismo de canal posterior (BCM). El mecanismo de arranque seguro protege las claves de un volumen seguro almacenando la clave en un servidor remoto y haciendo que la clave sólo esté disponible a través del SBM. El mecanismo de canal posterior permite la administración y/o interacción de muchos dispositivos de una GVN. Durante momentos de mal rendimiento de red cuando se avería un túnel, el BCM ofrece un canal hacia dispositivos a los que no puede llegarse de otro modo, incluyendo acceso a dispositivos a los que no puede llegarse desde Internet abierta. Este mecanismo ofrece perforación de orificios inversa a través de barreras para mantener abierto el canal de comunicaciones. Otros componentes de seguridad de la GVN incluyen unión a hardware de UUID y cifrado de datos de granularidad fina usando claves por cada fila.
La figura 34 muestra un diagrama de bloques de alto nivel de Internet. El usuario medio dispone de una comprensión general muy escueta de cómo funciona Internet. La fuente 34-100 anfitrión es el punto de partida y designa un dispositivo cliente que puede ser un ordenador, un teléfono móvil, un ordenador de tipo tableta, un ordenador portátil u otro cliente de este tipo. Este cliente se conecta a través de Internet 34-200 a un servidor 34 300 anfitrión para enviar o recuperar contenido o a otro cliente 34-302 anfitrión para enviar o recibir información.
Un usuario nada técnico puede incluso suponer que el tráfico al servidor anfitrión sigue el trayecto 2P002 sin ni siquiera entender que sus datos transitarán a través de Internet. O puede pensar que el tráfico fluirá a través del trayecto 2P006 directamente a otro cliente dispositivo.
Un usuario con algo más de conocimiento sobre cómo funciona entenderá que el tráfico fluye a través del trayecto 2P004 a Internet 34-200 y después a través del trayecto 2P102 a un objetivo 34-300 de servidor anfitrión o a través del trayecto 2P104 a un objetivo 34-302 anfitrión (cliente).
Los usuarios con algo más de conocimiento técnico entenderán además que, cuando se envía un correo electrónico, este correo electrónico saldrá de su dispositivo 34-100 cliente, transitará a través del trayecto 2P004 a Internet 34-200 y después a través del trayecto 2P202 a un servidor 34-202 de correo. Después, el receptor del correo electrónico realizará una petición para recuperar el correo electrónico a través de su cliente 34-302 anfitrión a lo largo del trayecto 2P104 a Internet y después por el trayecto 2P204 al servidor 34-202 de correo.
Esto es más o menos el detalle con el que una persona media entiende Internet.
La figura 35 es un diagrama de bloques que muestra la resolución de localizador universal de recursos (URL) a direcciones de protocolo de Internet (IP) numéricas mediante el sistema de nombre de dominio (DNS).
Una petición de contenido 35-000 o empuje desde el cliente (C) 35-100 anfitrión hasta el servidor (S) 35-300 anfitrión como archivos o flujos o bloques de datos fluye desde el cliente (C) 35-100 anfitrión hasta el servidor (S) 35-300 anfitrión. La respuesta o suministro de contenido 35-002 se devuelve desde el S anfitrión hasta el C anfitrión como archivos o flujos o bloques de datos. El dispositivo 35-100 de cliente anfitrión en una relación de cliente-servidor (CS) con el servidor (S) anfitrión realiza peticiones para acceder a contenido a partir del servidor (S) anfitrión remoto o envía datos al servidor (S) anfitrión remoto mediante un localizador universal de recursos (URL) u otra dirección a la que puede llegarse por la red.
La conexión inicial desde el cliente (C) 35-100 anfitrión hasta Internet 35-206 se muestra como 3P02, la conexión desde el cliente (C) anfitrión hasta un punto 35-102 de presencia (POP) hacia el que puede directamente orientado. En otros casos, el cliente (C) anfitrión puede estar ubicado en una red de área local (LAN) que entonces se conecta a Internet a través de un punto de presencia (POP) y puede denominarse conexión de línea local. El punto 35-102 de presencia (POP) representa la conexión proporcionada desde un punto de extremo por un proveedor de servicios de Internet (ISP) hasta Internet a través de su red y sus interconexiones. Esto puede ser, pero no se limita a, cable, fibra, DSL, Ethernet, satélite, marcación y otras conexiones. Si el URL es un nombre de dominio en lugar de una dirección numérica, entonces este URL se envía al servidor 35-104 de sistema de nombre de dominio (DNS) en el que se traduce el nombre de dominio en una dirección IPv4 o IPv6 u otra con fines de enrutamiento.
El tráfico desde el cliente (C) 35-100 anfitrión hasta el servidor (S) 35-300 anfitrión se enruta a través de Internet 35-206 representando el tránsito entre POP (35-102 y 35-302) incluyendo conexión entre homólogos, retorno u otro tránsito de límites de red.
A la conexión 3P04 entre un POP 35-102 y un sistema 35-104 de nombre de dominio, usado para consultar una dirección numérica a partir de un localizador universal de recursos (URL) para obtener la dirección IPv4 u otra dirección numérica del servidor (S) objetivo, puede accederse directamente desde el POP, o a través de Internet 35-206. La conexión 3P06 desde un POP 35-102 de un ISP hasta Internet 35-206 puede ser de conexión individual o de conexión múltiple. De manera similar, la conexión 3P08 desde Internet 35-206 hasta el ISP remoto también puede ser de conexión individual o de conexión múltiple. Esta conexión es generalmente con el POP 35-302 orientado a Internet del ISP o del centro de datos de Internet (IDC). La conexión 3P10 desde el POP 35-302 del ISP remoto hasta el servidor (S) anfitrión puede dirigirse a través de múltiples saltos.
Las consultas de URL o nombre de anfitrión a dirección numérica a través de sistemas de nombre de dominio son convencionales en Internet en la actualidad y los sistemas suponen que el servidor de DNS es integral y que los resultados del servidor de DNS son actuales y puede confiarse en los mismos.
La figura 19 ilustra la topología de GVN, trayectos de comunicaciones que incluyen un segmento de estructura principal a través de Internet o fibra oscura e indica la colocación de diversos dispositivos incluyendo diversos tipos de dispositivos de cortafuegos (FW) en diversas ubicaciones perimetrales. Muestra cómo diversas regiones o zonas o territorios geográficos están conectados entre sí a través de diversos tipos de trayectos. Esta figura ilustra que pueden combinarse diversos tipos de tejidos de red para dar un tapiz de red más grande. Estos tejidos pueden entretejerse sin interrupciones entre sí tal como se describe en la solicitud de patente provisional estadounidense n.° 62/174.394.
Haciendo referencia a la figura 19, se muestran múltiples zonas: zona 0 de LAN (ZL00), zona 1 de LAN (ZL10), zona 0 de Internet (ZI00), zona 1 de Internet (ZI10), zona 2 de Internet (ZI20), zona 3 de Internet (ZI30), zona 2 de centro de datos de Internet (ZD20) y zona 3 de centro de datos de Internet (ZD30).
La zona 0 de LAN 19-ZL00 describe una red de área local (LAN) típica que incluye la colocación de cortafuegos con respecto a un dispositivo 19-100 de punto de extremo (EPD) entre la LAN y red externa OTT 19-202 de GVN e Internet 19-30. Hay un cortafuegos FW 19-40 de hardware entre la LAN 19-04 y el EPD 19-100. Otro FW 19-42 de hardware o software está entre el EPD 19-100 y el punto 19-20 de egreso-ingreso (EIP) para proteger el EPD frente a amenazas externas que surgen de Internet 19-30.
La zona uno de LAN 19-ZL10 es similar en cuanto a la topología a la zona cero de LAN 19-ZL00 con la excepción de que no hay ningún cortafuegos colocado entre el EPD 19-110 y la LAN 19-46.
La zona cero de Internet 19-ZI00 describe un ejemplo de topología de Internet en una región en estrecha proximidad a 19-ZL00. La zona uno de Internet 19-ZI10 describe un ejemplo de topología de Internet en una región en estrecha proximidad a 19-ZL10. La zona dos de Internet 19-ZI20 describe un ejemplo de topología de Internet en una región en estrecha proximidad a 19-ZD20. La zona tres de Internet 19-ZI30 describe un ejemplo de topología de Internet en una región en estrecha proximidad a 19-ZD30.
La zona dos de centro de datos de Internet 19-ZD20 describe la topología y colocación de cortafuegos basados en la nube CFW 19-46 que incluyen dispositivos de cortafuegos virtualizados detrás de equilibradores de carga de cortafuegos en la nube. La zona tres de centro de datos de Internet 19-ZD30 describe la topología y colocación de cortafuegos basados en la nube CFW 19-48 que incluyen dispositivos de cortafuegos virtualizados detrás de equilibradores de carga de cortafuegos en la nube.
El SRV_BBX 19-72 en la región o zona ZD20 puede estar conectado al SRV_BBX 19-80 en otra región o zona ZD30 a través de una conexión 19-P220 de fibra oscura a través de fibra 19-220 oscura. El SRV_BBX 19-72 puede escribir directamente un archivo en el almacenamiento de archivos paralelo PFS 19-82 mediante acceso de memoria directa remota (RDMA) a través de 19-P220 evitando la pila del SRV_BBX 19-80 a través del trayecto 19-P82. El SRV_BBX 19-80 puede escribir directamente un archivo en el almacenamiento de archivos paralelo PFS 19-74 mediante acceso de memoria directa remota (RDMA) a través de 19-P220 evitando la pila del SRV_BBX 19-72 a través del trayecto 19-P74.
El trayecto 19-P210 puede ser IPv4 o alguna clase de protocolo de Internet normalizado a través del cual fluye tráfico desde el SRV_AP 19-300 hasta, y/o desde el S<r>V_AP 19-310 a través del, trayecto 19-P210 encima de la GVN a través de un túnel u otro tipo de trayecto de comunicación.
Aunque la topología mostrada no tiene cortafuegos o dispositivos de monitorización de tráfico dentro de las rutas de GVN, estos dispositivos pueden colocarse según se necesite para proteger adicionalmente el flujo de datos.
La figura 13 ilustra el flujo de información entre dispositivos de una red virtual global. Un repositorio central compuesto por la base B200 de datos y el almacenamiento HFS200 de archivos se encentra en un servidor 200 central (SRV_CNTRL).
Los trayectos de comunicación entre dispositivos marcados como P### pueden representar una llamada de API, replicación de bases de datos, transferencia de archivos directa, combinación tal como replicación de bases de datos a través de llamada de API, u otra forma de intercambio de información. Las líneas más gruesas de 13-P100300, 13-P300500 y 13-P100500 representan comunicaciones directas entre dispositivos de GVN que tienen un emparejamiento con homólogos y, por tanto, una relación privilegiada entre sí.
Hay un patrón circular de comunicación entre pares de homólogos ilustrado desde el SRV_CNTRL 200 hasta el EPD 100 a través de 13-P200100, desde el<s>R<v>_AP 300 a través de 13-P200300, o a otros dispositivos 13-500 a través de 13-P200500. El EPD 100 se comunica con el SRV_CNTRL 200 a través de 13-P100200, el SRV_AP 300 se comunica a través del SRV_CNTRL 200 a través de 13-P300200, y otros dispositivos 13-500 se comunican con el SRV_CNTRL 200 a través de 13-P500200.
En algunos casos, habrá un bucle de información compartida entre dispositivos tal como en el caso en el que un EPD 100 puede pedir información a través de 13-P100200 a partir del SRV_CNTRL 200 que se envía de vuelta al EPD 100 a través de 13-P200100.
En otros casos, un dispositivo puede notificar información relevante para otros dispositivos tales como un SRV_AP 200 que notifica a través de 13-P300200 al SRV_CNTRL 200 que entonces envía esta información a través de 13-P200100 al EPD 100 y al SRV_AP 300 distinto del SRV_AP 300 notificador a través de 13-P200300 y además a otros dispositivos 13-500 a través de 13-P200500.
En aún otros casos no se requiere un bucle completo tal como el envío de información de registro desde un dispositivo tal como un EPD 100 hasta SRV_CNTRL 200 a través de 13-P100200, no hay necesidad de reenviar adicionalmente esta información hacia delante. Sin embargo, la información de registro puede moverse en un momento posterior desde el repositorio en el SRV_CNTRL 200 hasta un servidor 13-500 de almacenamiento de registro a largo plazo u otro dispositivo a través de 13-P200500.
El enlace 13-P100300 directo es entre los dispositivos EPD 100 y el SRV_AP 300. El enlace 13-P300500 directo es desde el SRV_AP 300 hasta otros dispositivos 13-500. Los enlaces directos implican comunicaciones entre dispositivos que no necesitan la participación del SRV_CNTRL 200.
El empuje (alimentación) desde el SRV_CNTRL 13-306 procedente del SRV_CNTRL 200 puede ser una alimentación de RSS u otro tipo de publicación de información a través de 13-P306. Las consultas de API al SRV_CNTRL 13-302 que realiza llamadas al SRV_CNTRL 200 pueden ser o bien una transacción de API tradicional o bien una llamada de API RESTful con petición realizada a través de 13-P302REQ y respuesta recibida a través de 13-P302RESP. Los elementos de empuje 13-306 y API 13-302 se presentan para ilustrar la comunicación con dispositivos que no comparten relaciones de pares de homólogos, estados privilegiados y/o arquitectura de sistema similar con dispositivos de GVN, pero que pueden beneficiarse de la información.
La figura 1 ilustra cinco tipos de operaciones de dispositivos de cortafuegos. El cortafuegos 1-FW0 demuestra un cortafuegos con todo abierto con algunos cierres mostrados. El trayecto 1-DP0-2 indica un flujo de tráfico que se permite a través del cortafuegos porque no está explícitamente bloqueado. El trayecto 1-DP0-4 demuestra tráfico que no se permite a través del cortafuegos porque está explícitamente bloqueado.
El cortafuegos 1-FW2 demuestra un cortafuegos con todo cerrado con algunas aberturas mostradas. El trayecto 1-DP2-4 indica tráfico que no se permite explícitamente que pase a través mediante una regla y, por tanto, está bloqueado. El trayecto 1-DP2-2 indica tráfico que se permite explícitamente y, por tanto, fluye a través sin impedimentos.
El cortafuegos 1-FW4 demuestra un cortafuegos basado en reglas mostrándose dos reglas. El tráfico entrante fluye desde Internet 1-D104 a través del trayecto entrante 1-DP4 hasta una tabla de reglas 1-D4 para el reenvío u otra gestión. Si el tráfico entrante coincide con una regla, fluirá a través del trayecto de regla 1-DP4A a la LAN 1- D104. Si coincide con otra regla, fluirá a través del trayecto de regla 1-DP4B a otra ubicación en la LAN 1-D104.
El cortafuegos 1-FW6 demuestra operaciones de cortafuegos tales como detectar y proteger con una matriz de decisiones 1-D6 para comprobar si el tráfico es correcto y debe permitirse a través del trayecto de SÍ 1-DP6Y a la LAN 1-D106 o si se detecta una amenaza y debe bloquearse y/o enviarse a un agujero negro el tráfico o gestionarse de otra manera mediante el trayecto de NO 1-DP6N.
El cortafuegos 1-FW8 demuestra un cortafuegos con una combinación de reglas más operaciones de detección y protección 1-D8 mostradas. El tráfico desde Internet 1-D108 puede o bien coincidir con reglas y fluir a través del trayecto de reglas de regla 1-DP8A o regla 1-DP8B de la LAN 1-D108, o bien puede permitirse mediante un filtro directo y de protección a través del trayecto de SÍ 1-DP8Y. Si no se permite el tráfico, se bloqueará o se enviará a un agujero negro o se gestionará de otro modo a través del trayecto de NO 1-DP8N.
Otro tipo de cortafuegos no mostrado es una combinación del cortafuegos 1-FW0 o el cortafuegos 1-FW2 y el cortafuegos 1-FW8. También hay diferentes clases de cortafuegos de detección y protección no mostrados tales como de inspección de estado de paquetes (SPI), inspección de paquetes profunda (DPI) y otros tipos de cortafuegos.
La figura 2 ilustra posibilidades de flujo de tráfico a través de un cortafuegos. El trayecto de conectividad entre el POP de línea local 2-022 y la LAN 2-114 es a través de 2-CP144 desde el POP hasta el FW 2-144 y a través de 2- CP114 desde la LAN 2-114 hasta el FW 2-144. El tráfico malo, infractor o de amenaza conocida que se atrapa o bien puede enviarse a un agujero negro 2-148 a través del trayecto 2-TR6A a 2-TR6B o bien pueden ponerse los datos en cuarentena en la cuarentena de FW 2-144Q a través del trayecto 2-TR4A a 2-TR4B. El trayecto para tráfico bueno, sin oposición o permitido puede fluir a través de 2-TR2. El tráfico de ataque de externo a interno se representa por 2-<a>T<k>-434 y 2-ATK-432.
La figura 3 ilustra dos clases de inspección que puede realizar un cortafuegos: inspección de estado de paquetes e inspección de paquetes profunda. En el caso en el que un cortafuegos está dentro de un dispositivo físico existe una opción sobre si realizar SPI o DPI, como compromiso de velocidad frente a exhaustividad. La inspección de estado de paquetes (SPI) se muestra en el cortafuegos 3-SP de SPI y la inspección de paquetes profunda (DPI) se muestra en el cortafuegos 3-DP de DPI.
Cuando se realiza SPI, el cortafuegos examina las cabeceras 3-SP0-H, 3-SP2-H y 3-SP4-H de paquetes para identificar información infractora, al tiempo que ignora la carga útil 3-SP0-P, 3-SP2-P y 3-SP4-P de los paquetes. Las ventajas de SPI con respecto a DPI son que es rápida y que consume menos procesador, RAM y recursos. La desventaja es que el cortafuegos no busca en el contenido dentro de la carga útil del/de los paquete(s).
DPI busca más allá de las cabeceras 3-DP0-H, 3-DP2-H, 3-DP4-H, 3-DP6-H y 3-DP8-H y examina el contenido, por ejemplo la carga útil 3-DP0-P, 3-DP2-P, 3-DP4-P, 3-DP6-P y 3-DP8-P de los paquetes. Las ventajas son que este examen es más exhaustivo para proporcionar visibilidad del contenido tanto dentro de la carga útil no sólo de un paquete sino de una compilación de carga útil 3-DP-ALL a partir de una serie de múltiples paquetes 3-DP0, 3-DP2, 3-DP4-H, 3-DP6 y 3-DP8. La desventaja de DPI es que es significativamente más lenta que la SPI y también que consume considerablemente más procesador, RAM y otros recursos que la SPI.
La figura 4 ilustra la generación de una carga útil combinada a partir de un flujo de paquetes. En este ejemplo, se presenta un flujo de paquetes 4-DP a un cortafuegos de DPI. Las cargas útiles 3-DP0-P6, 3-DP2-P6, 3-DP4-P6, 3-DP6-P6 y 3-DP8-P se unen para dar la carga útil combinada 3-DP-ALL que después se analiza mediante el cortafuegos 4-DP-ANL de DPI.
La inspección de paquetes profunda funciona examinando la carga útil de uno o más paquetes. Busca estrechamente en el contenido de la carga útil y puede buscar: una cadena de búsqueda, una firma de virus conocida o una firma heurística indicativa de un virus, patrones de malware, blobs binarios mal formados que se disfrazan de diferentes tipos de datos, u otras amenazas, conocidas o desconocidas.
La figura 5 ilustra un trayecto de ataque de red amplio desde Internet 002 hasta una LAN 114. Esta figura muestra el tamaño de tubería relativo o ancho de banda de cada segmento de red. Una LAN NTSP08 interna puede estar funcionando a una velocidad de 10 GigE. Este segmento de red incluye la conexión CP114 entre el POP 022 del ISP y el cortafuegos interno FW 144. La red NTSP04 del ISP local también puede ser de 10 GigE. Este segmento de red incluye la conexión CP022 entre Internet y el POP 022 del ISP. Generalmente, la velocidad de la red de estructura principal de Internet NTSP02 será significativamente más rápida, tal como una red 3 * 100 GigE de conexión múltiple.
Sin embargo, la red NTSP06 de conexión de “línea local” entre el cortafuegos de cliente FW 144 y el POP 022 del ISP será generalmente mucho más lenta. Por ejemplo, la conexión CP 144 entre el FW 144 y el POP 022 puede ser una conexión de 200 Mbps, en vez de la velocidad de 10 GigE más rápida de cualquiera de NTSP04 o NTSP08. Dado que esta conexión tiene menos ancho de banda, por ejemplo es más lenta, esta conexión puede saturarse fácilmente mediante un ataque coordinado basado en Internet. El POP 022 del ISP también puede saturarse, afectando no sólo a la conectividad de este cliente sino también a la de otros.
La figura 6 muestra efectos de retroceso negativos sobre una red debido a un ataque de alto volumen de tráfico que se produce en una red yuxtapuesta. Cuando el trayecto CP144 se sobresatura con tráfico de ataque ATK-432 y ATK-434, esto puede tener un efecto negativo sobre los trayectos de redes yuxtapuestas CP142 (que conecta al cortafuegos FW142 y el trayecto CP112 a la LAN 1120) y CP146 (que conecta al cortafuegos FW146 y el trayecto CP116 a la LAN 116). Esto se debe a la estrecha proximidad de CP142 y CP146 con CP144 y sus trayectos de flujo ascendente compartidos a través del POP 022.
Los efectos negativos sobre CP142 y CP146 pueden deberse a la congestión de puertos en conmutadores compartidos con CP144 así como a otros factores. Además, los problemas de congestión en la tubería CP022 desde Internet hasta el POP 022 afectan a todo el tráfico entre el Po p 022 del ISP e Internet 002. Los problemas de congestión del POP 022 también pueden afectar al flujo de tráfico a través del POP y saturar el ancho de banda del ISP, teniendo de ese modo un impacto negativo sobre el rendimiento de tráfico de dispositivo.
Aunque CP142 y CP146 pueden no someterse a un ataque directo, todavía se verán adversamente afectados por los ataques sobre CP144 a través del POP 022 común y el trayecto CP022.
La figura 7 ilustra un cortafuegos de perímetro múltiple ubicado en la nube. Ubicar un cortafuegos de perímetro múltiple en la nube tiene la ventaja de identificar y aislar tráfico problemático en un punto aguas arriba de la ubicación de un cortafuegos tradicional. Desplegando un cortafuegos de perímetro múltiple en la nube CFW 7-144LB, se identifica y se aísla tráfico problemático en la red 7-NTSP02 de estructura principal del ISP. El tráfico problemático se desvía y no llega a la red 7-NTSP06 de conexión de “línea local”. Esto significa que la red 7-NTSP06 de conexión de “línea local” lenta de 200 Mbps se aísla y se protege frente al alto volumen de tráfico procedente de múltiples vectores de ataque simultáneos presentes en la red 7-NTSP02 de estructura principal más rápida de 3 x 100 GigE.
La figura 8 ilustra la capacidad de ajuste a escala de un cortafuegos de perímetro múltiple ubicado en la nube y demuestra cómo puede habilitarse una característica tal como un cortafuegos (FW) distribuido en la nube mediante una GVN. Los cortafuegos basados en la nube pueden ajustarse dinámicamente a escala mediante mecanismos de equilibrado de carga de cortafuegos en la nube que pueden traer más recursos en línea según se necesite. Debido a la naturaleza de la topología de una GVN, las comunicaciones de dispositivo a dispositivo y el trayecto de tráfico seguro, un mecanismo de cortafuegos puede basarse en la nube y también puede virtualizarse. El cortafuegos 8-144 está ubicado en la nube entre Internet 8-000 y la GVN 8-028. El cortafuegos 8 144 puede incluir un equilibrador 8-144LB de carga de cortafuegos en la nube (CFW) que podrá asignar recursos de cortafuegos en la nube tales como 8-144-2, 8-144-3 y así sucesivamente según se necesite. Este ajuste a escala bajo demanda ofrece muchas ventajas para los clientes de una GVN.
En primer lugar, al absorber los impactos de los ataques para amenazas entrantes en la nube, la conectividad de línea local del cliente no se ve afectada. En segundo lugar, combinar un cortafuegos en la nube con un nodo de control y analizador permite que el cortafuegos en la región sometida a ataque conozca la naturaleza, fuente, firma y otras características del ataque de modo que el cortafuegos puede conocer y estar preparado para frustrar el ataque si el objetivo cambia a una red de cliente diferente. Además, puede compartirse información sobre ataques pasados y actuales a través del mecanismo de API neutro (NAPIM) de la GVN con otras instancias de CFW, de modo que es posible un conocimiento de amenaza global.
Finalmente, tal como se muestra a continuación en la figura 12, un cortafuegos en la nube ofrece la ventaja de ejecutar diferentes mecanismos de cortafuegos, tales como SPI y DPI, simultáneamente.
La figura 9 ilustra un cortafuegos de perímetro múltiple encima (OTT) de una GVN que a su vez está encima (OTT) de una conexión de Internet. Esta figura demuestra la funcionalidad en capas incorporada encima (OTT) de otra funcionalidad en capas. Por ejemplo, un cortafuegos de perímetro múltiple (MPFWM) 9-88 que es OTT2 9- TOP88 con respecto a una red virtual global (GVN) 9-86. La GVN 9-86 es O<t>T19-TOP86 con respecto a la conectividad 9-82 de Internet básica en el enlace de servicio de red de ISP de capa para Internet 9-TOP82.
OTT2 es por encima de segundo grado, lo que significa que algo está por encima de algo que a su vez es OTT1, por encima de otra cosa.
La figura 10 es un diagrama de flujo de las diversas rutas disponibles a través de una GVN desde un origen C 10- 002 hasta un destino S 10-502. Puede haber muchas más combinaciones posibles que no se muestran ni se comentan.
El trayecto 10-CP00 desde el cliente C 10-002 hasta el EPD 10-108 puede usarse para medir el rendimiento desde el cliente hasta la LAN hasta el EPD. La coincidencia de las mejores rutas se logra después de pruebas y evaluando datos en tiempo real de trayectos disponibles. El ingreso de GVN es desde el EPD 10-108 a través del primer salto 10-CP00 hasta un servidor 10-102, 10-104, 10-106, 10-202, 10-204 de punto de acceso (SRV_AP). Los trayectos desde el EPD 10-108 hasta un primer SRV_AP pueden definirse como el punto de ingreso desde el EPD 10-108 hasta la GVN y medirse en consecuencia. Los saltos internos desde el SRV_AP hasta el SRV_AP siguen rutas internas que siempre intentan mantener la mejor conectividad de trayecto. Estas rutas pueden ser OTT de Internet, sobre estructura principal, sobre fibra oscura u otro enrutamiento relacionado. También se realiza un seguimiento local de los mejores puntos de egreso de la GVN, en esa región remota y también de manera holística para todo el segmento de red desde el origen hasta el destino.
Pueden realizarse pruebas en cada segmento, combinaciones de segmentos y el trayecto de red total desde un extremo hasta otro teniendo en cuenta diversos factores para evaluar. El tipo de tráfico y la determinación de trayecto pueden depender de atributos de datos y requisitos de QoS de perfil. La elección de trayecto principal siempre se basa en los mejores factores para tráfico sobre trayecto. Una función de este mecanismo es hacer coincidir trayectos entre destino y origen con el flujo para la mejor ruta bidireccional posible.
El centro del enrutamiento inteligente avanzado (ASR) dentro de una GVN es un índice almacenado en un disco, en memoria o en una tabla de base de datos. El índice contiene una lista de direcciones IP para mantener localmente y saldrá a través de un EIP en la misma región. Para tráfico a través de una GVN a otras regiones, rutas mediante dispositivos de SRV_AP y trayectos se determinan mediante una matriz de disponibilidad de servidor (SAM) y ASR. El índice almacena una lista de objetivos que hace coincidir direcciones IP objetivo con los mejores puntos de egreso/ingreso (EIP) en esa región. Además, una tabla de direcciones IP de país mapeadas a regiones como bloques de IP de CIDR u otro tipo de notación puede ayudar en la determinación de los mejores puntos de egreso.
Para tráfico que fluye en dirección al origen C 10-002 desde el destino S 10-502, el primer EIP 10-320, 10-322, 10-334, 10-326 ó 10-328 es el límite inicial entre la GVN e Internet, otras redes (tales como LAN), tuberías principales u otros. Un cortafuegos de SPI puede estar ubicado en la GVN detrás de este punto de entrada inicial delimitando el primer perímetro externo. En los siguientes SRV_AP o en otros SRV_AP tales como el SRV_AP 10-102, 10-104, 10-204 y 10-206, puede estar ubicado un segundo perímetro de cortafuegos de DPI finales. El cliente también puede ejecutar un cortafuegos de SPI o DPI entrante en su propia red si lo desea en el segmento 10- CP00.
Para tráfico que fluye en dirección al destino S 10-502 desde el origen C 10-002 a través del EPD 10-108, los primeros cortafuegos de SPI/DPI pueden estar ubicados entre el origen C 10-002 y el EPD 10-108 a lo largo del trayecto 10-CP00. Un segundo perímetro de cortafuegos pueden estar ubicados en los SRV_AP tales como 10 102, 10-104, 10-204 y 10-106 para proteger tráfico saliente.
Para tráfico procedente de Internet, el ajuste a escala en la nube es muy importante porque puede gestionar la carga pico de un tráfico distribuido de conexión múltiple cuando se necesita aumentando a escala la asignación de recursos. Cuando la actividad está relativamente tranquila, puede entregarse una cantidad mínima de recursos. La capacidad de ajuste a escala de recursos no es un factor tan crítico para el tráfico saliente a Internet. En la mayoría de los casos, la red de LAN tendrá un ancho de banda mayor que el enlace ascendente de red. La capacidad de ajuste a escala es menos crítica debido a la naturaleza de las amenazas desde el interior de una LAN/DMZ/red bajo el control del/de los administrador(es) de red.
La figura 18 ilustra la topología y colocación correspondiente de cortafuegos junto con la capacidad de ajuste a escala proporcionada por cortafuegos basados en la nube unidos mediante equilibradores de carga de cortafuegos basados en la nube. Esta figura es similar a la figura 10 con la colocación adicional de diversos cortafuegos basados en la nube de SPI y DPI dentro del flujo de tráfico a través de una serie de trayectos a través de una GVN u otro tipo de red trayectos.
Los cortafuegos de inspección de estado de paquetes (SPI) son dispositivos a través de los cuales fluye el tráfico. Los dispositivos de cortafuegos de inspección de paquetes profunda (DPI) pueden o bien ser de flujo a través o bien analizar copias clonadas de tráfico ofreciendo la opción de funcionalidad de DPI como indicador final. Si se detecta tráfico dañino, posteriormente puede bloquearse una vez identificado. Un beneficio de la comunicación entre dispositivos es que información sobre fuentes de tráfico malas identificadas mediante cortafuegos de DPI puede enviarse mediante mensajes a cortafuegos de SPI para bloquearlas en los mismos.
La figura 11 ilustra la comunicación entre un cortafuegos de inspección de estado de paquetes (SPI) y un cortafuegos de inspección de paquetes profunda (DPI). Esta figura muestra el trayecto desde un dispositivo 11 100 de punto de extremo (EPD) hasta Internet 11-002 a través del trayecto TUN 11-0 hasta un primer servidor 11- 302 de punto de acceso (SRV_AP), después hasta un dispositivo 11-144LB de equilibrador de carga de cortafuegos en la nube (CFW LB) a través del TUN 11-4, y después hasta el SRV_AP 11-304 a través del TUN 11-6. Desde el SRV_AP 11-304, el tráfico egresa de la GVN a través del punto 11-E2 de egreso-ingreso (EIP) hasta Internet 11-002.
El EIP 11-E2 es el borde de la LAN extendida en la nube entre la GVN e Internet 11-002. El EIP puede unirse tanto a Internet abierta como a unos recursos basados en la nube de la organización incluyendo servidores, matrices de almacenamiento y otros dispositivos. También puede ser un enlace a una nube pública-privada híbrida que actúa como DMZ o red de perímetro en la nube.
El tráfico a través del SRV_AP 11-302 puede ser una desviación de tráfico o como tráfico clonado en un flujo duplicado y hacerse pasar a través del trayecto TUN 11-2 hasta el equilibrador 11-142LB de carga en la nube. Un flujo de tráfico clonado ofrece resultados finales de operaciones de detección costosas en cuanto a tiempo y recursos tales como DPI sin afectar a la velocidad del flujo de tráfico. El tráfico de retorno desde Internet 11-002 de vuelta hasta el EPD 11-100 sigue el trayecto inverso ingresando en la GVN a través del EIP 11-E2.
Para tráfico basado en Internet, el primer perímetro es el CFW 11-144LB que envía paquetes a través de los trayectos 11-CPSP0 y 11-CPSP2 al cortafuegos de inspección de estado de paquetes F<w>(SPI) 11-SP0-PRO en el que se inspeccionan las cabeceras del paquete 11-SP0-H. Los cortafuegos de SPI ofrecen un flujo a través de tráfico rápido y demandan relativamente menos recursos que los cortafuegos de DPI.
El segundo perímetro está en el CFW 11-142LB y aquí es donde el cortafuegos de inspección de paquetes profunda FW (DPI) 11-DP0-PRO puede inspeccionar las cargas útiles 11-DP0-P de uno o más paquetes combinados. Los cortafuegos de DPI ofrecen un análisis más en profundidad. Si la carga útil muestra un problema, entonces puede anotarse la fuente, el objetivo y otra información a partir de las cabeceras.
Por tanto, la comunicación entre los cortafuegos de SPI y los cortafuegos de DPI puede ser útil. El FW (SPI) 11SP0-PRO puede enviar información a partir de detecciones en tiempo real a través del trayecto 11-APFW-SP al equilibrador de carga de cortafuegos en la nube CFW 11-142LB para alertarle sobre cualquier amenaza que haya detectado mediante inspección de cabecera. Además de compartir las cabeceras infractoras detectadas, también se incluirán las cargas útiles 11-SP0-P cuando se transmita información al CFW 11-142LB y 11-DP0-PRO. El FW (DPI) 11-DP0-PRO puede enviar información a través del trayecto 11-APFW-DP al equilibrador de carga de cortafuegos en la nube CFW-11144LB para alertarle sobre cualquier amenaza que haya detectado mediante inspección de carga útil. La información que comparte también puede ser de la cabecera 11-DP0-H de modo que las operaciones de detección de cortafuegos de SPI mediante 11-144LB y/o 11-SP0-PRO pueden añadir las cabeceras infractoras a su lista de infractores de tráfico.
La figura 12 ilustra un cortafuegos de perímetro múltiple (MPFW) en la nube habilitado mediante una red virtual global (GVN). El túnel 12-TUN0 de GVN está encima (o Tt ) de Internet entre un dispositivo 12-100 de punto de extremo (EPD) y un servidor 12-300 de punto de acceso (SRV_AP) en estrecha proximidad al EPD 12-100.
Los tres perímetros indicados en este ejemplo de realización son 12-M1 que designa el límite entre una ubicación de cliente y su enlace a Internet, 12-M2 que es un límite en la nube en un centro de datos en estrecha proximidad al SRV_AP 12-300, y 12-M3 que es otro límite o bien en el mismo centro de datos que el SRV_AP 12-300 o bien en otra ubicación en estrecha proximidad al SRV_AP 12-302, posiblemente en otra región.
El túnel 12-TUN2 es similar al 12-TUN0 y diferente en un aspecto, ya que conecta un dispositivo 12-130 de punto de extremo personal (PEPD) que puede ser móvil y, por tanto, se conecta al SRV_AP 12-300 a través de redes de acceso público inalámbricas o cableadas u otras redes para integrarlas en la GVN. Un PEPD 12-130 puede ser menos potente que un EPD 12-100 y, por consiguiente, cambiar operaciones de procesamiento al SRV_AP tal como se muestra en la figura 14 a continuación.
Cada SRV_AP 12-300 y SRV_AP 12-302 puede representar uno o más dispositivos de SRV_AP a través de los cuales el EPD 12-100 y/o el EPD 12-130 pueden conectarse simultáneamente a través de uno o más túneles múltiples.
Hay tres tipos de cortafuegos descritos en este ejemplo de realización. El cortafuegos local FW local 12-442 es un ejemplo de un cortafuegos que puede usar un cliente para proteger su red de área local (LAN) frente a amenazas de Internet. Este está normalmente ubicado entre el EPD 12-100 y la LAN 12-000. El cortafuegos local FW local 12-442 puede ofrecer características tales como bloqueo de puertos y direcciones IP, reenvío y otra funcionalidad. Los otros dos tipos de cortafuegos ilustrados son FW SPI 12-446 ubicado en 12-M3 que proporciona inspección de estado de paquetes (SPI) y FW DPI 12-444 ubicado en 12-M2 que proporciona inspección de paquetes profunda (DPI).
La diferencia entre SPI y DPI tiene que ver con un compromiso del rendimiento frente a la exhaustividad de la visibilidad. SPI examina las cabeceras de paquetes para buscar información mal formada, o patrones, o hacer coincidir dirección IP o puerto u otra información de su lista de amenazas conocidas frente al flujo actual de paquetes. DPI, como su nombre implica, busca de manera más profunda en todo el paquete y, en el caso de una transmisión de múltiples paquetes en múltiples partes, buscará en la compilación de una serie de paquetes para obtener información sobre los datos que están transfiriéndose.
Todos los cortafuegos pueden configurarse para investigar y aplicar reglas en tráfico tanto entrante como saliente, y proporcionar otra funcionalidad relacionada. En muchos casos, con un cortafuegos tradicional tal como FW 12-442, los administradores tienen que elegir entre la eficiencia de SPI frente a la exhaustividad, pero intensos requisitos de recursos y tiempo, de<d>P<i>.
Una GVN ofrece la oportunidad de distribuir ambos tipos de inspección de paquetes en diversos puntos en la nube. Además, la GVN permite que los cortafuegos distribuidos funcionen en paralelo entre sí, sin afectar al flujo de tráfico.
Ubicando FW SPI 12-446 en 12-M3, el borde más cercano a Internet 12-302 a través del EIP 12-310 remoto, puede frustrarse la mayor cantidad de tráfico de ataque a partir de direcciones IP de origen conocidas o con cabeceras maliciosas reconocidas. El tráfico fluye desde el SRV_AP 12-302 hasta el FW SPI 12-446 a través del 12-T10 y de vuelta a través del 12-T12. El FW S<p>I 12-446 puede ser un equilibrador de carga de CFW (véase la figura 11) que tiene muchos recursos disponibles bajo demanda. Los SRV_AP en 12-M3 pueden estar en una estructura principal de conexión múltiple con una gran capacidad de ancho de banda (BW). Por tanto, en este primer perímetro, pueden atraparse ataques, protegiendo el ancho de banda dentro de la GVN.
En el siguiente perímetro 12-M2, el FW DPI 12-444 puede hacer que todo el tráfico fluya a través o recibir simplemente una copia clonada del tráfico a través de 12-T20 desde el SRV_AP 12-300 y puede o no devolver el tráfico a través de 12-T22. El punto clave es que la característica de DPI puede ser un indicador final que permite que cierto tráfico pase a través pero analizando y registrando los resultados. Este FW DPI 12-444 también puede ser un CFW que se somete a equilibrado de carga con recursos disponibles bajo demanda según se necesite para abordar acontecimientos a gran escala cuando se necesita sin que los clientes individuales tengan que administrar o soportar la carga de coste para mantener la infraestructura durante tiempos normales.
La información procedente del FW SPI 12-446 y el FW DPI 12-444 puede compartirse mediante el trayecto 12-P6 de comunicaciones interno que puede llevarse a cabo por el NAPIM de la GVN, a través de un túnel de GVN, a través de un canal posterior de GVN o a través de otra(s) ruta(s) de comunicaciones. Cada mecanismo de FW también comparte información con los servidores de control centrales (SRV_CNTRL) 12-200 de la GVN. Esta información puede retransmitirse a otros FW SPI y FW DPI alrededor del mundo de modo que los vectores de ataque, fuentes, cargas útiles y otra información relacionada pueden ponerse a disposición en una base de datos u otro índice de información de modo que el FW de SPI y DPI puede tener un punto de referencia con el que realizar comprobaciones. Esto permite mayores eficiencias de escala ya que la distribución global de información proporciona una red de seguridad añadida.
Atrapar tráfico infractor fuera de una LAN de cliente y en la nube protege la conectividad de Internet y de conexión local del cliente frente a la saturación por tráfico no deseado. La descarga de tráfico a CFW que pueden ajustarse a escala también ofrece muchas ventajas a los clientes.
El FW local 12-442 puede ser un dispositivo autónomo, una aplicación de software (APP) que se ejecuta dentro del EPD 12-100 u otra clase de dispositivo de FW. Los dispositivos de FW SPI 12-446 y FW D<pi>12-444 y dispositivos relacionados tales como equilibradores de carga, cortafuegos en la nube u otros dispositivos pueden producirse a medida o pueden estar comercialmente disponibles de otros proveedores. Estos dispositivos deben poder recibir y reenviar tráfico, identificar amenazas y, lo más importante, poder comunicar sus hallazgos sobre amenazas y recibir perfiles de amenaza y otra información a partir de otros dispositivos.
A medida que se acumulan los datos sobre amenazas, puede realizarse un análisis del contenido, los patrones, los vectores de ataque y otra información recopilada por los FW. Este análisis puede proporcionar una base a través de la cual puede aplicarse un análisis heurístico a nuevas posibles amenazas.
Esto sólo puede lograrse mediante los servicios de optimización de red segura (SNO) de una GVN o red similar que consiste en dispositivos relacionados conectados tanto mediante túneles seguros como mediante trayectos de comunicación.
La figura 14 ilustra un cortafuegos de perímetro múltiple (MPFW) en la nube que soporta un dispositivo de punto de extremo personal. Esta figura es similar a la figura 12 pero muestra dispositivos portátiles que se engancharán en la GVN desde una ubicación móvil y en la que el límite 14-M1 es el borde entre una red de área personal PAN 14-010 y la GVN.
Esta figura muestra la topología de un dispositivo de punto de extremo personal (PEPD) 14-130 con parte de su conectividad y otra funcionalidad distribuida en la nube. Esta figura describe además operaciones de cortafuegos distribuidas en la nube junto con aquellas operaciones realizadas en la nube en nombre de un dispositivo local tal como un dispositivo 14-130 de punto de extremo personal (PEPD). Cuando un PEDP 14-130 es un dispositivo menos potente y más portátil que un dispositivo de punto de extremo (EPD), todavía puede aprovechar la optimización de conectividad de red de área personal proporcionada por una GVN, incluyendo características tales como enrutamiento inteligente avanzado (ASR), cortafuegos de perímetro múltiple y más.
El punto clave ilustrado es que el dispositivo personal dispersa su necesidad de potencia de procesamiento en la nube. Los módulos que residen en el PEPD incluyen componentes de hardware para el procesador CPU 106, la memoria RAM 108 y la interfaz de red NIC 102. El sistema operativo es un O/S 110 mínimo para proporcionar una plataforma para software de sistema, SW 112 de sistema y un módulo 172 de conectividad. Esta configuración básica es suficiente para permitir que el PEPD 14-130 construya un túnel 14-TUN2 entre sí mismo y un servidor de punto de acceso SRV_AP 14-300.
Las partes componentes en los componentes de hardware de SRV_AP 14-300 para el procesador CPU 306, la memoria RAM 308 y la interfaz de red NIC 302. El sistema operativo O/S 310 es una instalación más extensa que el O/S 110. El O/S 310 proporciona una plataforma para el software de sistema, SW 312 de sistema y un módulo 372 de conectividad para el SRV_AP 14-300. El módulo 350 de enrutamiento inteligente avanzado (ASR) y otros módulos 370 ofrecen una funcionalidad tanto al SRV_AP 14-300 como al PEPD-14-130 conectado.
El PEPD 14-130 puede depender del túnel 14-TUN2 para poder portar tráfico para realizar funcionalidad basada en la nube de ASR, FW y otra funcionalidad operativa.
La figura 15 ilustra los módulos requeridos para la colaboración automatizada de dispositivo y cortafuegos y el intercambio de información en una GVN.
El EPD 100 es el dispositivo de punto de extremo. El SRV_AP 300 es un servidor de punto de acceso que está ubicado en la región de destino objetivo. El SRV_CNTRL 200 es un servidor central accesible tanto por el EPD como por el SRV_AP así como por otros dispositivos que pueden soportar un mecanismo de destino gráfico.
Cada dispositivo EPD 100, SRV_AP 200 y SRV_CNTRL 300 almacena información sobre sí mismo en un repositorio de información local en forma de listas, archivos, tablas de base de datos y registros y otros medios. Este repositorio también contiene información sobre relaciones de dispositivos homólogos, registros de almacenamientos, más otra información operativa relevante. El SRV_CNTRL 200 también tiene funcionalidad de almacenamiento adicional y su función es proporcionar información a otros dispositivos relevantes para ellos y/o para los dispositivos homólogos con los que pueden conectarse, para evaluar condiciones actuales y proporcionar directrices de tipo control centralizado tales como la publicación de una lista de disponibilidad de servidores y otra funcionalidad. Un mecanismo de API neutro (NAPIM) puede enviar información entre dispositivos y los homólogos con los que se conectan y también puede usarse para actualizar la propia API.
La base de datos en el SRV_CNTRL 200 actúa como repositorio para información sobre sí mismo así como repositorio centralizado para otros dispositivos. Puede haber muchos servidores SRV_CNTRL 200 diferentes que actúen como maestros múltiples en muchas ubicaciones. Cada base de datos puede almacenar cierta información incluyendo información de túnel, información de homólogos, información de tráfico, información de memoria caché y otra información. La seguridad y otros aspectos se gestionan independientemente por cada dispositivo incluyendo funcionalidad de latido, secuencias de comandos activadas y otros mecanismos.
Esta figura muestra adicionalmente el gestor D344, D244, D144 de cortafuegos en el servidor 300 de punto de acceso (SRV_AP), el servidor 200 de control central (SRV_CNTRL) y el dispositivo 100 de punto de extremo (EPD), respectivamente. El gestor D344 de FW del SRV_AP 300 se comunica con el gestor D244 de FW en el SRV_CNTRL 200 a través del trayecto 15-PA2. Hay información disponible para un gestor D144 de FW del EPD 100 a través del trayecto 15-PA1 para recibir información a partir del gestor D244 de FW en el SRV_CNTRL 200.
Las comunicaciones de comandos y control así como la transmisión de información de notificación entre los cortafuegos SPI 15-SP0-PRO y DPI 15-DP0-PRO se realiza a través de los trayectos 15-BA44 y 15-BA42, respectivamente.
El almacenamiento de información de FW en las bases de datos B344, B244 y D144 en diversos dispositivos permite conocer amenazas y también puede tener en cuenta decisiones de enrutamiento para tráfico a través de una GVN. Por ejemplo, en el caso de un ataque activo que satura una estructura principal en una región, esto puede tener un efecto adverso sobre la ponderación para tráfico a través de esa ruta, con el efecto de tráfico a través de una ruta menos congestionada para recibir prioridad de enrutamiento.
La figura 16 ilustra el intercambio de dispositivo a dispositivo de información en una GVN. El flujo de tráfico es desde la red 16-002 de área local (LAN) hasta el dispositivo de cortafuegos (FW) 16-144 a través del trayecto 16-CP144, luego hasta el dispositivo 16-100 de punto de extremo (EPD) a través del trayecto 16-CP100. El EPD construye un túnel TUN 16-0 encima (OTT) de Internet 16-000 hasta el SRV_AP 16-302.
La matriz de datos 16-144100 que contiene información sobre el EPD 16-100 se comparte con el FW 16-144 a través de los trayectos 16-APSP4 y 16-AP100. La matriz de datos 16-100144 que contiene información sobre el FW 16-144 se comparte con el EPD 16-100 mediante los trayectos 16-APSP4 y 16-AP144. En este ejemplo, la matriz de información de EPD sólo está disponible a través del puerto de LAN y no desde el exterior a través de un puerto de WAN abierto. Puede estar disponible para otros dispositivos de confianza en la GVN a través del TUN 16-0.
El punto clave es ilustrar un método automatizado para que un dispositivo se identifique frente a dispositivos relacionados que incluyen información tal como sus especificaciones de hardware, versión de software, estado de funcionamiento actual y otra información relevante.
La figura 17 ilustra la integración de un cortafuegos de perímetro múltiple con otros sistemas en una GVN. Siempre se producen actos de guerra de la información. Ya sean por una nación, por agentes corporativos, piratas informáticos u otros actores, estos ataques son incesantes y, según las tendencias, las amenazas están aumentando. Usando la topología descrita en el presente documento, existe la posibilidad de integrar la información sobre ataques en directo que se detectan por cortafuegos pasivos u otros dispositivos intermedios de monitorización de este tipo en Internet agregada y notificada por organizaciones o empresas de proveedores de seguridad. Ya sea la naturaleza del ataque una intrusión, un ataque de suplantación de la identidad, un intento de robo de propiedad intelectual, un ataque de DDoS u otra amenaza conocida o desconocida, el punto clave es proteger la red propia.
La figura 17 muestra bucles de API de petición / respuesta (REQ / RESP) entre diversos dispositivos. Estos bucles de información pueden compartir información que aprende un cortafuegos en la nube tal como CFW-DPI 17-142LB o CFW-SPI 17-144LB sobre tráfico que fluye a través del mismo que se notifica al SRV_CNTRL 17 200. Los bucles de información pueden compartir información sobre ataques en otras ubicaciones pasando información desde el SRV_CNT<r>L 17-200 hasta el cortafuegos en la nube tal como CFW-DPI 17-142LB o CFWSPI 17-144LB. Además, la información almacenada en la base de datos Db 17-B200 en el SRV_CNTRL 17-200 también puede contener patrones heurísticos, firmas de amenazas conocidas, así como información procedente de alimentaciones de monitorización de Internet globales que van a compartirse. La visibilidad para un administrador humano también puede ponerse a disposición de una instancia albergada en el EPD 17-100 a través de una interfaz gráfica de usuario (GUI) en el cliente 17-018 a través del trayecto 17-GUI-AJAX.
La flexibilidad de esta topología de intercambio de información también permite monitorización del rendimiento, módulo de facturación para un uso ajustable a escala basado en la nube recursos de cortafuegos, administración de sistemas y otros fines.
La figura 20 es similar a la figura 18 e ilustra la topología de dispositivos y conectividad para el flujo de información hacia y desde un dispositivo 20-100 de punto de extremo (EPD) e Internet 20-002.
El tráfico fluye desde Internet 20-002 hasta el punto 20-E2 de egreso-ingreso (EIP), al interior del servidor 20-304 de punto de acceso (SRV_AP) y después a través del túnel TUN 20-6 hasta el equilibrador de carga de cortafuegos en la nube CFW 20-144LB. Este equilibrador de carga asigna recursos de cortafuegos de inspección de estado de paquetes (SPI) en el FW (SPI) 20-SP0-PRO. Este cortafuegos de SPI examina la información de cabecera 20-SP0-H de paquetes que fluyen a través del mismo. La información de amenazas detectadas por el FW (SPI) 20-SP0-PRO se almacena en la base de datos local Db 20-BS y se comparte con el servidor 200 de control central (SRV_CNTRL) a través del trayecto de comunicaciones 20-APSP4. Esta información se almacena en la base de datos Db B200 del SRV_CNTRL. La información sobre amenazas detectadas en otros cortafuegos de SPI se comparte desde el SRV_CNTRL 200 hasta el FW (SPI) 20-SP0-PRO a través del trayecto de comunicaciones 20-APSP4.
El tráfico que el CFW 20-144LB permite que pase fluye a través del TUN 20-4 hasta el SRV_AP 20-302. En el SRV 20-302, el tráfico tiene dos opciones: puede o bien fluir directamente hasta el EPD a través del TUN 20-0 con una copia clonada del flujo de datos que se desplaza a través del TUN 20-2 hasta el equilibrador de carga de cortafuegos en la nube CFW 20-142LB. O bien el flujo no clonado puede desviarse para su filtrado y análisis por el equilibrador de carga de cortafuegos en la nube<c>F<w>20-142LB.
Este equilibrador de carga de cortafuegos en la nube CFW 20-142LB asigna recursos de cortafuegos de inspección de paquetes profunda (DPI) en el FW (DPI) 20-DP0-PRO. Este cortafuegos de DPI examina la información de carga útil 20-DP0-P de uno o más paquetes combinados que fluyen a través del mismo. La información de amenazas detectada por el FW (DSPI) 20-DP0-PRO se almacena en la base de datos Db 20-BD y también se comparte con el servidor 200 de control central (SRV_CNTRL) a través del trayecto de comunicaciones 20-APDP4. Esta información se almacena en la base de datos Db B200 del SRV_c Nt RL. La información sobre amenazas detectadas en otros cortafuegos de DPI se comparte desde el SRV_CNTRL 200 hasta el FW (DPI) 20-DP0-PRO a través del trayecto de comunicaciones 20-A<p>D<p>4.
Si se permite, entonces el tráfico de red fluye desde el SRV_AP 20-302 hasta el EPD 20-100 a través del TUN 20-0.
Los equilibradores de carga de cortafuegos en la nube de SPI y DPI pueden aprender sobre amenazas sistémicas, amenazas encontradas en regiones remotas y obtener otra diversa información o bien a través de comunicaciones con el SRV_CNTRL 200 o bien, en algunos casos, pueden comunicarse entre sí a través de un trayecto directo tal como 20-CPSPDP.
La figura 21 ilustra un algoritmo de cortafuegos de perímetro múltiple basado en la topología de la figura 20 o una topología similar en la que hay múltiples perímetros para diversos tipos de operaciones de cortafuegos.
Las amenazas de Db FW 21-D122 pueden almacenarse en cada dispositivo y/o comunicarse a un servidor de control central (SRV_CNTRL) para su acceso y uso futuros. Las operaciones de SPI están en un perímetro. Las operaciones de DPI están o bien en el mismo perímetro o bien en otro perímetro. Los cortafuegos de SPI y DPI pueden comunicar amenazas entre sí y, basándose en amenazas conocidas, pueden tomarse medidas apropiadas.
En este ejemplo, el tráfico comienza en 21-000. Si se detectan amenazas, se registra información de amenazas y se comparte y se envía el tráfico infractor a un agujero negro en 21-944. El tráfico que se considera limpio fluye hacia fuera en 21-900.
La figura 22 ilustra una vista lógica de la arquitectura de software para dispositivos de cortafuegos tales como un cortafuegos en la nube CFW 444 y un dispositivo equilibrador de carga de cortafuegos en la nube CFW LB 440 así como las pilas para dispositivos relacionados, un servidor 200 de control central (SRV_CNTRL), un servidor 300 de punto de acceso (SRV_AP) y un dispositivo 100 de punto de extremo (EPD). Tal como se muestra, el software y hardware pueden estar distribuidos dentro de los dispositivos de red y a través de diferentes placas de circuito, procesadores, tarjetas de interfaz de red, almacenamiento y memoria.
Las arquitecturas de software de los dispositivos son muy similares entre sí con la diferenciación por función de cada dispositivo en cuando a sus operaciones y algunos módulos diferentes.
El nivel más bajo de cada dispositivo es la memoria (RAM) S106, S206, S306, S406 y los procesadores (CPU) S102, S202,<s>302, S402 y las interfaces S108, S208, S308, S408 de red (NIC). Todos ellos están a nivel de hardware. El sistema S110, S210, S310, S410 operativo (O/S) puede ser un sistema de LINUX o sistema equivalente tal como Debian u otro. Esta descripción de un sistema operativo incluye paquetes y configuración para enrutar, albergar, comunicaciones y otro software de operaciones a nivel de sistema.
El servidor 200 de control central (SRV_CNTRL), el servidor 300 de punto de acceso (SRV_AP) y el dispositivo de punto de extremo (EPD) incluyen una capa de software de sistema S112, S212, S312 del sistema operativo de la red virtual global (GVN). Aquí funcionan comandos personalizados, módulos de sistema, gestores y otras partes constituyentes, así como otros componentes de la GVN. Cada tipo de dispositivo de la GVN puede tener algunas o la totalidad de estas porciones de la capa de software de sistema o diferentes porciones dependiendo de su función.
Los módulos de base de datos Db 120, 220, 320 y los módulos 122, 222 y 322 de hospedaje están configurados en este ejemplo de realización para escuchar, enviar, procesar, almacenar, recuperar y otras operaciones a nivel de base relacionadas del mecanismo de API neutro de la GVN (NAPIM), interfaces gráficas de usuario (GUI) y otros sitios hospedados de secuencia de comandos de lado de servidor. Los módulos 120, 220, 320 de base de datos (Db) pueden ser MySQL o equivalente tal como MariaDb y los módulos 122, 222 y 322 de hospedaje pueden ser secuencias de comandos de Apache y PHP u otro tipo de lenguajes de hospedaje. También se usan secuencias de líneas de comandos y pueden escribirse en Bash, C, PHP, Pearl, Python u otro lenguaje.
Los módulos de facturación pueden colaborar y compartir información tal como la cantidad de datos consumidos por tráfico de túnel que va a facturarse por un modelo de consumo. El módulo de contabilidad ACC 132, 232, 332 funciona en el EPD 100 y el SRV_AP 300 tiene un módulo de facturación correspondiente. Ambos pueden proporcionar información financiera en pantallas de notificación, formularios de pago, extractos enviados por correo electrónico y otros datos financieros producidos por la GVN.
El SRV_CNTRL 200 tiene un gestor 238 de repositorio que gestiona la información de facturación, información de gestor de túnel y otros datos que pueden usarse por diversos dispositivos dentro de la GVN. El gestor 238 de repositorio también gestiona la coordinación de compartir información de pares de homólogos, credenciales y otra información con dispositivos individuales que se conectan a otros homólogos de API a través del mecanismo de API neutro (NAPIM) de la GVN.
El EPD 100 tiene un módulo 130 de API, el SRV_CNTRL tiene un módulo 230 de API y el SRV_AP 300 tiene un módulo 330 de API. Por simplificad en la explicación de este ejemplo de realización, sólo se ha expresado un módulo de API por cada dispositivo. De hecho, los dispositivos pueden tener una función combinada de cliente y servidor dependiendo de su función dentro de la GVN.
Un gestor de memoria caché en el SRV_CNTRL 200 gestiona el índice maestro de diversas memorias caché encadenadas distribuidas a través de muchos dispositivos de la GVN. El motor 136 de compresión en el EPD 100 y 336 en el SRV_AP 300 gestiona la compresión y descompresión de datos almacenados en archivos, en tablas de DB o para datos de transporte en transmisión continua.
El módulo 150 de enrutamiento inteligente avanzado (ASR) en el EPD 100 gestiona el enrutamiento de tráfico desde un EPD 100 hasta el mejor punto de egreso para el destino a través de rutas de la GVN.
El BOT 311 de búsqueda remoto en el SRV_AP 300 es un componente principal del mecanismo de geodestino (Geo-D).
El gestor 254 de DNS en el SRV_CNTRL 200 gestiona el índice de DNS maestro que puede sembrar servidores de DNS en diversos dispositivos de GVN, tales como el DNS 154 en el EPD 100.
Un gestor de registrador en el SRV_CNTRL 200 gestiona tanto registros locales como registros compartidos por dispositivos para el repositorio a través de llamadas de API. El gestor de registrador en este ejemplo de realización implica la funcionalidad de registrar acontecimientos operativos, acciones de API y transacciones y el registrador también tiene otras funciones y procedimientos para diversos aspectos de las operaciones de GVN.
La memoria 152 caché local en el EPD 100 y la memoria 352 caché local en el SRV_AP 300 almacenan localmente datos en memoria caché.
Los gestores 272 de GVN funcionan en el SRV_CNTRL 200 para controlar las operaciones de diversos componentes del sistema tanto en el SRV_CNTRL 200 como en otros dispositivos de la GVN.
El servidor de DNS local y la memoria 154 caché en el EPD 100 y 354 en el SRV_AP 300 permiten almacenar en memoria caché consultas de DNS para una recuperación local rápida. El DNS 154 y 354 puede purgarse completamente, pueden purgarse elementos individuales o pueden establecerse tiempos límite para eliminar consultas recuperadas después de haber transcurrido un determinado periodo de tiempo.
En el EPD 100 hay un agente 158 de suministro de contenido (CDA) que es un componente de Geo-D. En el SRV_AP 300 hay un agente 358 de extracción de contenido (CPA), también un componente de Geo-D. El CPA 358 funciona con el BOT 311 en el SRV 300 para extraer contenido a partir de una región distante usando el DNS 354 local que siembra a partir de esa región. El CPA 358 envía contenido recuperado al CDA 158 usando túneles, memorias caché y otras mejoras de la GVN.
El gestor de conectividad (no mostrado) en el EPD 100 y en el SRV_AP 300 gestiona los túneles entre los dispositivos y otros trayectos de comunicaciones de dispositivo a dispositivo. El gestor de compresión en 215 del SRV_CNTRL 200 gestiona la compresión localmente y también se coordina con los motores 136 de compresión en el EPD 100, 336 en el SRV_AP 300 y en otros dispositivos de la GVN. El enrutamiento en el EPD se coordina con el ASR 150, Geo-D y otros elementos para gestionar el enrutamiento de tráfico.
La estructura de las tablas de base de datos en SDB100, SDB200 y SDB300 son equivalentes para operaciones de dispositivos mientras que los datos para cada una son específicos para tipos de dispositivo, y cada dispositivo tiene dispositivos específicos de identidad. En el SRV_CNTRL 200, la base de datos de repositorio SDB202 es donde se almacena información única para todos los dispositivos y esta información puede usarse por el gestor 238 de repositorio para comunicar credenciales de API, información de túnel u otra información a un dispositivo.
Dentro de cada base de datos de dispositivo están almacenadas la identidad e información de homólogos de API sobre el propio dispositivo y sus compañeros de pares de homólogos, listas de transacción y datos de cola, y otra información. Hay otros usos para los métodos y las bases de datos descritos más allá de lo que se describe pero, por simplicidad de la ilustración, este ejemplo sólo cubre algunos ejemplos de elementos de funcionalidad principal.
El cortafuegos en la nube CFW 444 incluye software de cortafuegos de base S414, así como las reglas generales, DPI, SPI, exploración heurística y otra funcionalidad S444. El dispositivo equilibrador de carga de cortafuegos en la nube CFW LB 440 incluye un software de equilibrador de cortafuegos S448 que gestiona el flujo de tráfico y la asignación de recursos a los cortafuegos en la nube bajo demanda y según se necesite.
Además del dispositivo 100 de punto de extremo (EPD), el servidor 300 de punto de acceso (SRV_AP) y el servidor 200 de control central (SRV_CNTRL), también pueden usarse dispositivos de terceros siempre que tengan la capacidad de comunicarse más credenciales configuradas y otra información para facilitar esta comunicación con otros dispositivos. Bajo cada dispositivo hay algunos componentes posibles que pueden estar ejecutándose dentro de la pila de ese dispositivo, sin embargo pueden estar ejecutándose simultáneamente algunos otros que no se describen en el presente documento. Estos componentes pueden incluir conectividad de FW S148 bajo el EPD 100, conectividad de FW S348 bajo el SRV_AP 300 y gestor de FW S244 bajo el SRV_CNTRL 200. Los módulos de conectividad y de gestor son para la interacción con el CFW 444 y el CFW LB 440. El módulo de gestor lleva a cabo análisis de FW en curso y se comunica con dispositivos de CFW y CFW LB en todo el sistema y ubicados de manera geográficamente diversa con respecto a amenazas conocidas.
Las comunicaciones del equilibrador de carga de cortafuegos CFW LB 440 al cortafuegos CFW 444 pueden realizarse mediante los módulos S434 de conectividad de FW en cada dispositivo. Estos módulos de conectividad pueden gestionar tanto los canales de flujo de datos así como el canal de flujo de información sobre el flujo de datos, las amenazas detectadas y otra información.
Las comunicaciones de dispositivo a dispositivo pueden ser mediante el mecanismo de API neutro (véase la solicitud de patente internacional n.° PCT/IB16/00110) en el EPD 100 a través del API S130, en el SRV_AP 300 a través del API S330, en el SRV_CNTRL 200 a través del API S230 y en el CFW LB 440 a través del API S430.
La figura 23 ilustra el flujo de información desde los cortafuegos (FW) hasta diversos dispositivos en una red virtual global (GVN) a través de un servidor 23-200 de control central (SRV_CNTRL). También incluye la naturaleza de la información almacenada en dispositivos locales con respecto a la información de cortafuegos en las tablas de base de datos (DB) tales como 23-4100 en la DB 23-110, 23-4300 en la DB 23-300, 23-4200 en la 23-210 y también en registros tales como 23-4140 en los dispositivos 23-140 de FW.
Se notifica información desde los dispositivos 23-140 de FW hasta el SRV_CNTRL 23-200 mediante petición de API 23-P140 REQ / 23-P140 RESP o compartición de información de dispositivo a dispositivo equivalente. También puede notificarse al SRV_CNTRL desde dispositivos individuales a través de los trayectos 23-P102, 23-P302, 23-P502 u otros trayectos a partir de otros dispositivos.
El SRV_CNTRL 23-200 puede emitir por radiodifusión y/o publicar información relacionada con FW a dispositivos a través de los trayectos 23-P100, 23-P300, 23-P500 u otros trayectos directos. La información de FW también puede estar disponible mediante llamada de API a partir de los dispositivos 23-260 a través de los trayectos de petición/respuesta 23-P260REQ y 23-P260RESP.
Indicadores pueden indicar la fuente de la información tal como “detectado en este dispositivo”, “detectado en otro dispositivo” y más, y también el punto de origen de ataque tal como “ataque basado en LAN al exterior”, “ataque basado en WAN”, “ataques en circulación libre” y más.
La información almacenada también puede incluir firmas, estructuras conocidas y predichas mediante análisis heurístico, direcciones IP, patrones de códigos de virus y/o malware y/u otras cargas útiles infractoras, características de comportamiento de tráfico problemático, patrón de propagación y más.
El SRV_CNTRL 23-200 también puede usar algoritmos para analizar la información y también clasificar la gravedad basándose en la longevidad de la amenaza, el momento de primera y última detección, la escala y el alcance del ataque y más, para determinar la historia y cualquier tendencia. Este análisis tiene en cuenta amenazas activas, amenazas pasadas, relaciones entre amenazas (por ejemplo, cómo un ataque de suplantación de la identidad puede conducir a un compromiso que abre una red a otros ataques), las condiciones actuales de Internet / red para asignar niveles de amenaza y otros indicadores para medir la intensidad de ataques. Durante momentos relativamente tranquilos, el FW puede ser más permisivo dando como resultado operaciones más rápidas. Durante momentos relativamente activos, el FW puede ser más restrictivo y analítico conduciendo a operaciones y rendimiento posiblemente más lentos.
El SRV_CNTRL 23-200 retiene información de FW en un almacén de repositorio que cataloga tipos de amenaza, historias de notificación y registro de interacción de dispositivos incluyendo publicación de actualización de información de amenazas.
La figura 24 es un diagrama de flujo que describe el algoritmo usado para analizar tráfico que fluye a través de un cortafuegos, un equilibrador de carga de cortafuegos y/o a través de una matriz de cortafuegos. Para tráfico que fluye a través, la primera etapa es evaluar si hay cualquier amenaza activa actual que se detecte 24-100. Esto se ve influido por el estado actual de amenazas 24-140 que es un indicador rodante de lo activo que está el cortafuegos.
Si no se detecta ninguna amenaza y el estado actual de amenazas es normal, entonces se aplican reglas de FW al tráfico 24-220 y se permite que pase a través en 24-300. Permanece en un modo de amenazas pasivo 24-524 y después se reinicia en el siguiente inicio de ciclo de FW 24-000.
Si se detecta una amenaza, el tráfico fluye a través del trayecto 24-P200 y se comprueba la amenaza frente a una lista de patrones de amenaza 24-210 a través del trayecto 24-P210. Si se reconoce, o bien se envía a un agujero negro o bien se pone en cuarentena. El tráfico infractor se registra en 24-240. Una vez gestionadas las amenazas actuales en 24-534, se establece el cortafuegos a modo de amenazas activo 24-554 y después vuelve al inicio de ciclo de FW 24-000.
Si no se reconoce ninguna amenaza, se comprueba usando detección de amenazas heurística en 24-250. Si no se detecta ninguna amenaza, sigue a través de 24-P314 para procesarse como un falso positivo en 24-314. Se actualiza el modo a modo de amenazas activo 24-554 y se inicia el siguiente ciclo en 24-000.
La figura 25 ilustra las diversas capas en una pila de sistema para tratar y gestionar amenazas. El nivel más bajo de la pila son la memoria 25-102, 25-202, 25-302 y la CPU 25-106, CPU 25-206, CPU 25-306. El sistema se construye a partir del nivel más bajo.
El bloqueo incremental de un dispositivo se basa en la naturaleza de la amenaza y lo profundo que puede bajar por la pila. Por ejemplo, la capa de seguridad de Protección-APP 25-140, 25-240 y 25-340 protegen los módulos de aplicación por encima de esa capa. Esto rige las operaciones de determinados módulos, pero no tiene necesariamente un impacto sobre la lógica profunda. Protección-Sis 25-124, 25-224 y 25-324 protegen la capa de software de sistema para operaciones de base de datos, DNS, registro, memoria caché, hospedaje y otra funcionalidad. Protección-O/S 25-114, 25-214 y 25-314 protegen el sistema operativo frente a amenazas. Protección-HW 25-104, 25-204 y 25-304 protegen la capa física del sistema de hardware frente a amenazas, incluyendo archivos de controlador, conjuntos de instrucciones que pueden almacenarse en memoria flash y otros sistemas.
Cuanto más baja está la capa bloqueada, menor es la funcionalidad del sistema.
La figura 26 ilustra un método para descifrar automáticamente un volumen cifrado durante un procedimiento de arranque en el que se recuperan archivos de sistema 26-110 a partir del almacenamiento 26-010 de archivos de HFS. En un punto en un procedimiento de arranque inicial 26-100, se recupera el archivo de clave 26-210 a partir del almacenamiento 26-010 de archivos de HFS. Se usa esta clave 26-A por el módulo 26-200 de desbloqueo de volumen cifrado. Una vez desbloqueado el volumen cifrado, puede usarse 26-300.
Hay un inconveniente evidente por almacenar la clave en un volumen cifrado en el volumen 26-010 de almacenamiento de archivos de HFS. Dado que esto es susceptible a piratas informáticos que logren acceder al sistema para desbloquear el volumen seguro usando la clave que está descifrada. La otra amenaza es para quienes toman la unidad física e intentan descifrar el volumen para robar datos valiosos de clientes y/o someter el sistema a ingeniería inversa para obtener acceso a software almacenado en el volumen cifrado.
La figura 27 ilustra cómo puede calcularse sistemáticamente una identificación de usuario única (UUID) para un dispositivo basándose en varios factores específicos para ese dispositivo. Las UUID 27-100 de hardware (HW), tales como número de serie de CPU, modelo de CPU, direcciones de MAC de tarjeta de interfaz de red (NIC) y otros factores, son normalmente únicas para cada dispositivo. La codificación de DMI de hardware (HW) 27-200 puede usarse usando valores de DMI grabados tales como números de serie, números de versión u otros datos de DMI. También puede usarse la ID de volumen única de una unidad de disco duro (HDD) o unidad de estado sólido (SSD) 27-300. También pueden usarse determinadas UUID de O/S 27-500 que son únicas para la versión de un sistema. La UUID y claves como valores en la tabla de identidad almacenada en la base de datos local 27 600 también pueden usarse como parte de una identidad para un dispositivo.
A nivel de aplicación, las UUID en forma de archivos de clave, certificados y otros identificadores 27-800 pueden usarse para generar una UUID específica para el propio dispositivo.
Pueden calcularse, usarse y validarse diversas UUID de dispositivos para garantizar la veracidad del funcionamiento integral de un dispositivo. La combinación de los diversos factores será difícil o casi imposible de falsificar sin acceder al dispositivo.
La figura 28 ilustra los módulos del mecanismo de arranque seguro. Un dispositivo 28-100 de punto de extremo (EPD) entra en contacto con un servidor 28-500 de arranque seguro (SRV_SB) y presenta un falso paquete de datos a través de la API-2A1-2A5 que rechaza el servidor de arranque seguro. Entonces, el SRV_SB consulta al EPD con un conjunto de interrogaciones. Al superar satisfactoriamente una serie de pruebas, se permite que el gestor 28-150 de arranque seguro en el EPD construya un túnel seguro TUN 28-100500 a través del elemento 28-552 de escucha de arranque seguro en el SRV_<s>B. Las credenciales del dispositivo 28-138 se presentan al SRV_SB para validarse por el gestor 28-550 de arranque seguro frente a valores o bien almacenados en la base de datos 28-B500 o bien en el almacén de 28-H500 HFS.
Sólo tras pasar todas las pruebas, se libera la clave para el volumen cifrado en el EPD 28-100 por el gestor 28 536 de clave y credenciales y se transporta de manera segura al EPD 28-100 a través del TUN 28-100500. La lista de servidores SRV_SB disponibles está disponible para el EPD a través de una consulta de API al servidor 28- 200 de control central (SRV_CNTRL) mediante el mecanismo de disponibilidad de servidor 28-222.
La figura 29 ilustra los detalles del mecanismo de canal posterior. Un dispositivo 29-100 de punto de extremo (EPD) recibe una lista de servidores de canal posterior (<s>R<v>_BC) con los que puede conectarse a través de una llamada de API API-29A1-29A2 al servidor 29-200 de control central (SRV_CNTRL). La lista de disponibilidad de servidor 29-220 proporciona los SRV_BC disponibles actuales con los que puede conectarse el EPD. Esta figura demuestra tres conexiones simultáneas a través del TUN 29-100500 al SRV_BC0 29-500, a través del TUN 29 100502 al SRV_BC229-502 y a través del TUN 29-100506 al SRV_BC629-506.
El cliente de canal posterior 29-510 en el EPD 29-100 realiza conexiones simultáneas a través de los gestores 29- 510, 29-512 y 29-516 de canal posterior una vez despejada la seguridad por la seguridad de BC 29-540, 29 542 y 29-546. Los dispositivos también pueden comunicarse directamente entre sí a través de llamadas de API tales como del EPD al SRV_CNTRL a través de API-29A1-29A2 o del SRV_BC0 al SRV_CNTRL a través de API-29A2-29A50.
La información sobre pares de homólogos, credenciales, certificaciones, claves y otra información referente a la construcción de túneles entre los EPD y los SRV_BC puede transmitirse a través de estas llamadas de API al SRV_CNTRL. Además, mensajes de estado entre homólogos conocidos que tienen una relación sana pueden enviarse directamente a través de API tal como desde el EPD 29-100 hasta el SRV_BC229-502 a través de API-29A1-29A52.
Este ejemplo es para que un EPD se conecte simultáneamente a muchos SRV_BC. El objetivo de un túnel activo es permitir un trayecto siempre disponible con un registro de interfaz de línea de comandos (CLI) al EPD independientemente de si el EPD puede descubrirse o no en Internet y/o red abierta.
La figura 30 ilustra las conexiones entre muchos dispositivos 30-100, 30-102 y 30-106 de punto de extremo (EPD) y un servidor 30-500 de canal posterior (SRV_BC0). Aunque el EPD inicia la conexión en un espacio registrado en el SRV_BC0 30-500, la instancia en la que se registra es una instancia aislada de seguridad de sistema 30-510 para el EPD 30-100, 30-512 para el EPD 30-102 y 30-516 para el EPD 30-106, respectivamente. Cada instancia aislada funciona como una cárcel de sistema en la que el usuario registrado sólo tiene credenciales para muy pocos comandos limitados restringiendo sus acciones, derechos, privilegios y de otro modo su capacidad para actuar en el sistema anfitrión.
Por tanto, desde el EPD hasta el SRV_BC0 30-500, se puede hacer muy poco aparte de mantener la conexión entre los dos. Sin embargo, en el otro sentido, un cliente 30-000 puede registrarse en el SRV_BC0 y, con ciertos permisos, puede tener derecho a acceder a una o más de las instancias aisladas. Y, a partir de ahí, puede realizar SSH inverso por el túnel hasta el registro para una interfaz de línea de comandos remota CLI 30-110 en el EPD 30-100, o la CLI 30-112 en el EPD 30-102, o la CLI 30-116 en el EPD 30-106. Esto permite que el cliente 30-000 realice tareas administrativas, accionamiento remoto, ejecute pruebas y lleve a cabo otras operaciones dentro del alcance de sus derechos registrados. El cliente puede ser un ser humano o un dispositivo automatizado.
La ventaja del canal posterior es proporcionar acceso cuando no puede alcanzarse de otro modo un EPD. Debido a la naturaleza de los túneles TUN 30-100500, 30-102500 y 30-106500, su tolerancia a pérdida de paquetes, fluctuación y otros factores es muy superior a otras formas de túnel y/o trayecto de comunicaciones. Por tanto, en momentos de red inestable, el canal posterior proporciona acceso para diagnosticar y remediar problemas que de lo contrario serán difíciles o imposibles de abordar.
La figura 31 ilustra la escritura de datos cifrados en campos seleccionados en una fila de una base de datos usando claves rotatorias y calculadas que son únicas para cada fila individual.
Este diagrama de flujo de procedimiento conlleva realizar una conexión a base de datos, crear una fila y recuperar el valor de ID de fila de número entero de incremento automático correspondiente. Después, usando un procedimiento de cifrado, los valores que van a cifrarse se procesan posteriormente usando una cadena de claves, elementos de ajuste de clave, campos dentro de la fila y otros factores. Los mismos factores usados para cifrar la fila de datos pueden usarse para descifrar.
Cada fila horizontal en la tabla anterior tiene dos campos cifrados, [ENC_A] y [ENC_B]. La clave para cada campo es rotatoria basándose en varios factores basados en algunos de los campos abiertos [User_ID], [Key_Adj] y [Time_Created], más otros factores tales como claves de sistema de base según el siguiente cálculo:
Clavecalculada=UsUdílOlD+Baseciave+ClavGElemento de ajuste+TiempOCreación+OtíOSFactores
Aunque el mismo User_ID introduzca los mismos valores para ENC_A y ENC_B exactamente en el mismo segundo, los valores serán diferentes porque el valor de número entero de incremento automático para n.° de Row_ID (por ejemplo, para [User_ID]=1 en los números de fila 658, 661, 663) es una parte del cálculo de clave. El [Key_Adj] o campo de elemento de ajuste de clave en el ejemplo anterior es un valor alfabético de dos dígitos pero puede ser otros datos almacenados en la fila. El punto clave es que si se roba el SQL de la base de datos, resulta costoso de descifrar desde un punto de vista de cálculo y de tiempo. Tendrá que robarse toda la base de código, SQL y entorno y replicarse para descifrar los valores.
La figura 32 ilustra el descifrado de datos a partir de una única fila usando claves, elementos de ajuste de clave y otros factores usando un entramado para claves calculadas.
La figura 33 ilustra lo que sucede cuando el contenido de interfaz gráfica de usuario (GUI) que pide un cliente 33 000 a partir de un dispositivo 33-100 de punto de extremo (EPD) y el contenido pedido se almacena dentro de un volumen 33-114 bloqueado. Se emite un error de no encontrado 404 y se capta por un gestor 33-144 de error 404. Se realiza un salto a contenido simplificado en 33-120. Se almacena este contenido fuera del volumen bloqueado o bien como archivos almacenados en el almacenamiento 33-220 de archivos de HFS abierto o bien en contenido de base de datos de DB abierta 33-210, o una combinación de ambas.
Si el volumen seguro está bloqueado, sólo está disponible el contenido fuera del volumen seguro. Sin embargo, si el volumen seguro está desbloqueado, entonces puede proporcionarse el contenido seguro 33-120 a partir de la DB segura 33-210 o los archivos almacenados en el almacenamiento 33-220 de archivos de HFS seguro, o una combinación de ambos.
Secuencias de comandos de Javascript dentro del contenido proporcionado también pueden interrogar al EPD 33-100 para comprobar el estado del volumen seguro. Si estaba bloqueado y se ha desbloqueado, se realiza un salto a contenido seguro. Y a la inversa, si un volumen estaba desbloqueado y de pronto se bloquea, entonces el contenido puede volver a contenido fuera del volumen seguro.

Claims (12)

REIVINDICACIONES
1. Cortafuegos de perímetro múltiple ubicado en una nube y que forma parte de una red virtual global, que comprende:
un dispositivo (EIP 12-310) de punto de egreso-ingreso;
un primer servidor (SRV_AP 12-302) de punto de acceso en comunicación con el dispositivo (EIP 12-310) de punto de egreso-ingreso;
un segundo servidor (SRV_AP 12-300) de punto de acceso en comunicación con el primer servidor (SRV_AP 12 302) de punto de acceso;
un dispositivo (EPD 12-100) de punto de extremo en comunicación con el segundo servidor (SRV_AP 12-300) de punto de acceso;
un primer cortafuegos (FW SPI 12-446) de perímetro en comunicación con el primer servidor (SRV_AP 12-302) de punto de acceso, en el que el primer cortafuegos (FW SPI 12-446) de perímetro evita que al menos parte del tráfico pase desde el primer servidor (SRV_AP 12-302) de punto de acceso hasta el segundo servidor (SRV_AP 12-300) de punto de acceso; y
un segundo cortafuegos (FW DPI 12-444) de perímetro en comunicación con el segundo servidor (SRV_AP 12 300) de punto de acceso, en el que el segundo cortafuegos (FW DPI 12-444) de perímetro evita que al menos parte del tráfico pase desde el segundo servidor (SRV_AP 12-300) de punto de acceso hasta el dispositivo (EPD 12-100) de punto de extremo;
caracterizado porque
un cortafuegos realiza una inspección de estado de paquetes y el otro cortafuegos realiza una inspección de paquetes profunda.
2. Cortafuegos de perímetro múltiple según la reivindicación 1, en el que el segundo cortafuegos (FW DPI 12 444) de perímetro está entre el dispositivo (EPD 12-100) de punto de extremo y el segundo servidor (SRV_AP 12-300) de punto de acceso.
3. Cortafuegos de perímetro múltiple según la reivindicación 1, en el que el primer cortafuegos (FW SPI 12-446) de perímetro está entre el primer servidor (SRV_AP 12-302) de punto de acceso y el segundo servidor (SRV_AP 12-300) de punto de acceso.
4. Cortafuegos de perímetro múltiple según la reivindicación 1, en el que al menos uno de los servidores (SRV_AP 12-300, SRV_AP 12-302) de punto de acceso está configurado para realizar servicios de cortafuegos.
5. Cortafuegos de perímetro múltiple según la reivindicación 1, en el que el primer cortafuegos (FW SPI 12-446) de perímetro está en comunicación con el segundo cortafuegos (FW DPI 12-444) de perímetro.
6. Cortafuegos de perímetro múltiple según la reivindicación 5, en el que el trayecto de comunicación entre el primer cortafuegos (FW SPI 12-446) de perímetro y el segundo cortafuegos (FW DPI 12-444) de perímetro es un túnel de red virtual global.
7. Cortafuegos de perímetro múltiple según la reivindicación 5, en el que el trayecto de comunicación entre el primer cortafuegos (FW SPI 12-446) de perímetro y el segundo cortafuegos (FW DPI 12-444) de perímetro es un canal posterior de red virtual global.
8. Cortafuegos de perímetro múltiple según la reivindicación 5, en el que el primer cortafuegos (FW SPI 12-446) de perímetro y el segundo cortafuegos (FW DPI 12-444) de perímetro comparten información de amenazas que incluye al menos uno de patrones heurísticos, firmas de amenazas conocidas, direcciones IP de origen maliciosas conocidas o vectores de ataque.
9. Cortafuegos de perímetro múltiple según la reivindicación 8, en el que el primer cortafuegos (FW SPI 12-446) de perímetro y el segundo cortafuegos (FW DPI 12-444) de perímetro comparten información de amenazas con un servidor de control central.
10. Cortafuegos de perímetro múltiple según la reivindicación 1, en el que la inspección de paquetes profunda se realiza con tráfico de flujo a través.
11. Cortafuegos de perímetro múltiple según la reivindicación 1, en el que la inspección de paquetes profunda se realiza con una copia clonada del tráfico.
12. Cortafuegos de perímetro múltiple según la reivindicación 1, en el que al menos uno de los cortafuegos incluye un equilibrador (8-144LB) de carga de cortafuegos en la nube y en el que el equilibrador (8-144LB) de carga de cortafuegos en la nube puede asignar recursos de cortafuegos en la nube bajo demanda.
ES16731961T 2015-04-07 2016-04-07 Cortafuegos de perímetro múltiple en la nube Active ES2959674T3 (es)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201562144293P 2015-04-07 2015-04-07
US201562151174P 2015-04-22 2015-04-22
PCT/IB2016/000528 WO2016162748A1 (en) 2015-04-07 2016-04-07 Multi-perimeter firewall in the cloud

Publications (1)

Publication Number Publication Date
ES2959674T3 true ES2959674T3 (es) 2024-02-27

Family

ID=56101757

Family Applications (3)

Application Number Title Priority Date Filing Date
ES16727220T Active ES2796473T3 (es) 2015-04-07 2016-04-07 Sistema de red que tiene interfaces virtuales y un módulo de enrutamiento para una red virtual
ES20171989T Active ES2951911T3 (es) 2015-04-07 2016-04-07 Sistema y método para interfaces virtual y enrutamiento inteligente avanzado en una red virtual global
ES16731961T Active ES2959674T3 (es) 2015-04-07 2016-04-07 Cortafuegos de perímetro múltiple en la nube

Family Applications Before (2)

Application Number Title Priority Date Filing Date
ES16727220T Active ES2796473T3 (es) 2015-04-07 2016-04-07 Sistema de red que tiene interfaces virtuales y un módulo de enrutamiento para una red virtual
ES20171989T Active ES2951911T3 (es) 2015-04-07 2016-04-07 Sistema y método para interfaces virtual y enrutamiento inteligente avanzado en una red virtual global

Country Status (7)

Country Link
US (12) US10659256B2 (es)
EP (6) EP4325804A3 (es)
JP (3) JP2018519688A (es)
CN (7) CN107852604B (es)
ES (3) ES2796473T3 (es)
HK (3) HK1249974A1 (es)
WO (3) WO2016162749A1 (es)

Families Citing this family (83)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9882713B1 (en) 2013-01-30 2018-01-30 vIPtela Inc. Method and system for key generation, distribution and management
US10454714B2 (en) 2013-07-10 2019-10-22 Nicira, Inc. Method and system of overlay flow control
US10142254B1 (en) 2013-09-16 2018-11-27 Cisco Technology, Inc. Service chaining based on labels in control and forwarding
US9467478B1 (en) 2013-12-18 2016-10-11 vIPtela Inc. Overlay management protocol for secure routing based on an overlay network
KR102496206B1 (ko) 2014-06-11 2023-02-06 몰레큘러 템플레이츠, 인코퍼레이션. 프로테아제-절단 저항성의 시가 독소 a 서브유닛 작동체 폴리펩티드 및 이를 포함하는 세포-표적화 분자
EP3230885B1 (en) 2014-12-08 2024-04-17 Umbra Technologies Ltd. Method for content retrieval from remote network regions
CN107251518B (zh) 2015-01-06 2021-03-02 安博科技有限公司 用于中立应用程序编程接口的系统和方法
CN115834534A (zh) 2015-01-28 2023-03-21 安博科技有限公司 用于全局虚拟网络的系统
EP3795594A1 (en) 2015-02-05 2021-03-24 Molecular Templates, Inc. Multivalent cd20-binding molecules comprising shiga toxin a subunit effector regions and enriched compositions thereof
EP4325804A3 (en) 2015-04-07 2024-05-29 Umbra Technologies Ltd. Multi-perimeter firewall in the cloud
US10135789B2 (en) 2015-04-13 2018-11-20 Nicira, Inc. Method and system of establishing a virtual private network in a cloud service for branch networking
US11558347B2 (en) 2015-06-11 2023-01-17 Umbra Technologies Ltd. System and method for network tapestry multiprotocol integration
WO2017098326A1 (en) 2015-12-11 2017-06-15 Umbra Technologies Ltd. System and method for information slingshot over a network tapestry and granularity of a tick
US9980303B2 (en) * 2015-12-18 2018-05-22 Cisco Technology, Inc. Establishing a private network using multi-uplink capable network devices
ES2975242T3 (es) 2016-04-26 2024-07-04 Umbra Tech Ltd Generadores de pulsos de baliza de datos potenciados por Slingshot de información
US10397189B1 (en) * 2016-09-27 2019-08-27 Amazon Technologies, Inc. Peered virtual private network endpoint nodes
US10579942B2 (en) * 2016-10-14 2020-03-03 Cisco Technology, Inc. Distributed and centralized modes for isolation networks
US11706127B2 (en) 2017-01-31 2023-07-18 Vmware, Inc. High performance software-defined core network
US20180219765A1 (en) 2017-01-31 2018-08-02 Waltz Networks Method and Apparatus for Network Traffic Control Optimization
US11196652B2 (en) * 2017-02-07 2021-12-07 Telefonaktiebolaget Lm Ericsson (Publ) Transport layer monitoring and performance assessment for OTT services
US10778528B2 (en) 2017-02-11 2020-09-15 Nicira, Inc. Method and system of connecting to a multipath hub in a cluster
US10491567B2 (en) * 2017-03-17 2019-11-26 Verizon Patent And Licensing Inc. Dynamic firewall configuration based on proxy container deployment
US10498810B2 (en) * 2017-05-04 2019-12-03 Amazon Technologies, Inc. Coordinating inter-region operations in provider network environments
US10644946B2 (en) * 2017-06-19 2020-05-05 Cisco Technology, Inc. Detection of overlapping subnets in a network
US20180375762A1 (en) * 2017-06-21 2018-12-27 Microsoft Technology Licensing, Llc System and method for limiting access to cloud-based resources including transmission between l3 and l7 layers using ipv6 packet with embedded ipv4 addresses and metadata
US10924449B2 (en) * 2017-07-06 2021-02-16 Facebook, Inc. Internet protocol (IP) address assignment
US10999100B2 (en) 2017-10-02 2021-05-04 Vmware, Inc. Identifying multiple nodes in a virtual network defined over a set of public clouds to connect to an external SAAS provider
US10778466B2 (en) 2017-10-02 2020-09-15 Vmware, Inc. Processing data messages of a virtual network that are sent to and received from external service machines
US11115480B2 (en) 2017-10-02 2021-09-07 Vmware, Inc. Layer four optimization for a virtual network defined over public cloud
US11223514B2 (en) 2017-11-09 2022-01-11 Nicira, Inc. Method and system of a dynamic high-availability mode based on current wide area network connectivity
US11546444B2 (en) * 2018-03-22 2023-01-03 Akamai Technologies, Inc. Traffic forwarding and disambiguation by using local proxies and addresses
CA3097632A1 (en) 2018-04-18 2019-10-24 Iboss, Inc. Hybrid cloud computing network management
KR101964592B1 (ko) * 2018-04-25 2019-04-02 한국전자통신연구원 보안위협 정보 공유 장치 및 방법
US11936629B2 (en) 2018-06-21 2024-03-19 VMware LLC System and method for creating a secure hybrid overlay network
US10887218B2 (en) 2018-06-27 2021-01-05 At&T Intellectual Property I, L.P. Enhanced dynamic encryption packet segmentation
US10644901B2 (en) * 2018-09-27 2020-05-05 Juniper Networks, Inc. Generating flexible, programmable, and scalable network tunnels on demand
US12238076B2 (en) * 2018-10-02 2025-02-25 Arista Networks, Inc. In-line encryption of network data
US11425216B2 (en) 2019-04-01 2022-08-23 Cloudflare, Inc. Virtual private network (VPN) whose traffic is intelligently routed
US11784912B2 (en) 2019-05-13 2023-10-10 Cloudflare, Inc. Intelligently routing internet traffic
US11018995B2 (en) 2019-08-27 2021-05-25 Vmware, Inc. Alleviating congestion in a virtual network deployed over public clouds for an entity
US11522913B1 (en) * 2019-09-03 2022-12-06 Rapid7, Inc. Simplifying networking setup complexity for security agents
US11328089B2 (en) * 2019-09-20 2022-05-10 International Business Machines Corporation Built-in legal framework file management
US11595357B2 (en) * 2019-10-23 2023-02-28 Cisco Technology, Inc. Identifying DNS tunneling domain names by aggregating features per subdomain
US11489783B2 (en) 2019-12-12 2022-11-01 Vmware, Inc. Performing deep packet inspection in a software defined wide area network
CN111555975B (zh) * 2020-03-20 2022-11-08 视联动力信息技术股份有限公司 一种数据发送方法、装置、电子设备及存储介质
US11444851B2 (en) * 2020-04-13 2022-09-13 Verizon Patent And Licensing Inc. Systems and methods of using adaptive network infrastructures
US11418955B2 (en) * 2020-05-15 2022-08-16 Secureg System and methods for transit path security assured network slices
KR20220053151A (ko) * 2020-10-22 2022-04-29 삼성에스디에스 주식회사 P2p 연결 제어 방법 및 장치
KR20220084603A (ko) * 2020-12-14 2022-06-21 삼성전기주식회사 적층형 커패시터 및 그 실장 기판
US11601356B2 (en) 2020-12-29 2023-03-07 Vmware, Inc. Emulating packet flows to assess network links for SD-WAN
US12218845B2 (en) 2021-01-18 2025-02-04 VMware LLC Network-aware load balancing
CN116783874A (zh) 2021-01-18 2023-09-19 Vm维尔股份有限公司 网络感知的负载平衡
US11979325B2 (en) 2021-01-28 2024-05-07 VMware LLC Dynamic SD-WAN hub cluster scaling with machine learning
US11363062B1 (en) 2021-03-31 2022-06-14 Peakstar Technologies Inc. System and method for decentralized internet traffic filtering policy reporting
US11729065B2 (en) 2021-05-06 2023-08-15 Vmware, Inc. Methods for application defined virtual network service among multiple transport in SD-WAN
US12250114B2 (en) 2021-06-18 2025-03-11 VMware LLC Method and apparatus for deploying tenant deployable elements across public clouds based on harvested performance metrics of sub-types of resource elements in the public clouds
US12015536B2 (en) 2021-06-18 2024-06-18 VMware LLC Method and apparatus for deploying tenant deployable elements across public clouds based on harvested performance metrics of types of resource elements in the public clouds
US11297038B1 (en) * 2021-07-03 2022-04-05 Oversec, Uab Rotating internet protocol addresses in a virtual private network
US12047282B2 (en) 2021-07-22 2024-07-23 VMware LLC Methods for smart bandwidth aggregation based dynamic overlay selection among preferred exits in SD-WAN
US11843581B2 (en) * 2021-08-15 2023-12-12 Netflow, UAB Clustering of virtual private network servers
US11943146B2 (en) 2021-10-01 2024-03-26 VMware LLC Traffic prioritization in SD-WAN
CN114499923B (zh) * 2021-11-30 2023-11-10 北京天融信网络安全技术有限公司 一种icmp模拟报文的生成方法及装置
US20230188460A1 (en) * 2021-12-10 2023-06-15 Cisco Technology, Inc. Ultimate Regional Fallback Path for Hierarchical SD-WAN
US12184557B2 (en) 2022-01-04 2024-12-31 VMware LLC Explicit congestion notification in a virtual environment
CN114567461A (zh) * 2022-02-09 2022-05-31 日照盈德气体有限公司 一种空分多系统互联远程工业监测系统
US11444911B1 (en) 2022-02-22 2022-09-13 Oversec, Uab Domain name system configuration during virtual private network connection
US12200066B2 (en) 2022-03-04 2025-01-14 Oversec, Uab Virtual private network connection management
US12015672B2 (en) 2022-03-04 2024-06-18 Oversec, Uab Network reconnection request handling
US11558469B1 (en) 2022-03-04 2023-01-17 Oversec, Uab Virtual private network connection status detection
US11627191B1 (en) 2022-03-04 2023-04-11 Oversec, Uab Network connection management
US11665141B1 (en) 2022-03-04 2023-05-30 Oversec, Uab Virtual private network connection status detection
US12021933B2 (en) 2022-03-04 2024-06-25 Oversec, Uab Network connection status detection
US12015674B2 (en) 2022-03-04 2024-06-18 Oversec, Uab Virtual private network connection status detection
US12113774B2 (en) 2022-03-04 2024-10-08 Oversec, Uab Virtual private network resource management
US11647084B1 (en) 2022-03-04 2023-05-09 Oversec, Uab Virtual private network connection management with echo packets
US11909815B2 (en) 2022-06-06 2024-02-20 VMware LLC Routing based on geolocation costs
CN117354276A (zh) * 2022-06-27 2024-01-05 中移（杭州）信息技术有限公司 一种网络穿透系统的启动方法及报文收发方法、通信设备
US12166661B2 (en) 2022-07-18 2024-12-10 VMware LLC DNS-based GSLB-aware SD-WAN for low latency SaaS applications
US20240028378A1 (en) 2022-07-20 2024-01-25 Vmware, Inc. Method for modifying an sd-wan using metric-based heat maps
US11729148B1 (en) * 2022-09-04 2023-08-15 Uab 360 It Optimized utilization of internet protocol addresses in a virtual private network
CN115525657B (zh) * 2022-10-12 2023-07-11 合肥九韶智能科技有限公司 一种可扩展的网络请求消息和转发系统
US12034587B1 (en) 2023-03-27 2024-07-09 VMware LLC Identifying and remediating anomalies in a self-healing network
US12057993B1 (en) 2023-03-27 2024-08-06 VMware LLC Identifying and remediating anomalies in a self-healing network

Family Cites Families (433)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
IT1196791B (it) * 1986-11-18 1988-11-25 Cselt Centro Studi Lab Telecom Elemento di commutazione per reti di interconnessione multistadio autoinstradanti a commutazione di pacchetto
JPH0717040Y2 (ja) 1987-08-13 1995-04-19 石川島播磨重工業株式会社 ガラス溶融炉
US5828847A (en) * 1996-04-19 1998-10-27 Storage Technology Corporation Dynamic server switching for maximum server availability and load balancing
US5893089A (en) 1996-11-15 1999-04-06 Lextron Systems, Inc. Memory with integrated search engine
US6370571B1 (en) 1997-03-05 2002-04-09 At Home Corporation System and method for delivering high-performance online multimedia services
CA2228879C (en) 1997-03-25 2001-08-07 At&T Corp. Methods for identifying service processing of telephone calls
US7389312B2 (en) 1997-04-28 2008-06-17 Emc Corporation Mirroring network data to establish virtual storage area network
US5940838A (en) 1997-07-11 1999-08-17 International Business Machines Corporation Parallel file system and method anticipating cache usage patterns
US6574661B1 (en) 1997-09-26 2003-06-03 Mci Communications Corporation Integrated proxy interface for web based telecommunication toll-free network management using a network manager for downloading a call routing tree to client
US6374302B1 (en) 1998-03-31 2002-04-16 At&T Corp. Method and system to provide an action control point master gatekeeper
US6289201B1 (en) 1998-10-02 2001-09-11 Motorola, Inc. Method and system for multilayer service management
US6209039B1 (en) 1998-10-16 2001-03-27 Mci Worldcom, Inc. Method and apparatus for providing an interface between a plurality of frame relay networks
US6502135B1 (en) 1998-10-30 2002-12-31 Science Applications International Corporation Agile network protocol for secure communications with assured system availability
ES2188512T3 (es) 1999-02-25 2003-07-01 Siemens Schweiz Ag Sistema de telecomunicaciones y metodo relacionado con servicios de telecomunicaciones con traduccion del numero.
US6463465B1 (en) 1999-05-07 2002-10-08 Sun Microsystems, Inc. System for facilitating remote access to parallel file system in a network using priviliged kernel mode and unpriviliged user mode to avoid processing failure
GB2350255A (en) 1999-05-15 2000-11-22 Ericsson Telefon Ab L M Signalling in a telecommunications network
FR2795593B1 (fr) 1999-06-24 2001-09-07 Cit Alcatel Procede de routage de messages entre des points d'acces
US6879995B1 (en) 1999-08-13 2005-04-12 Sun Microsystems, Inc. Application server message logging
US6693876B1 (en) 1999-08-31 2004-02-17 Worldcom, Inc. Selecting IPX/IGX nodes in a multi-domain environment
US6678241B1 (en) 1999-11-30 2004-01-13 Cisc Technology, Inc. Fast convergence with topology switching
US7508753B2 (en) * 2000-01-31 2009-03-24 At&T Intellectual Property, Ii, L.P. Packet redirection and message stream management
US7003571B1 (en) * 2000-01-31 2006-02-21 Telecommunication Systems Corporation Of Maryland System and method for re-directing requests from browsers for communication over non-IP based networks
US6735207B1 (en) 2000-06-13 2004-05-11 Cisco Technology, Inc. Apparatus and method for reducing queuing memory access cycles using a distributed queue structure
US6477166B1 (en) 2000-06-30 2002-11-05 Marconi Communications, Inc. System, method and switch for an MPLS network and an ATM network
GB2369213B (en) * 2000-07-04 2005-02-23 Honda Motor Co Ltd Electronic file management system
US20020007350A1 (en) * 2000-07-11 2002-01-17 Brian Yen System and method for on-demand data distribution in a P2P system
US7155508B2 (en) 2000-09-01 2006-12-26 Yodlee.Com, Inc. Target information generation and ad server
US20020087447A1 (en) * 2000-09-19 2002-07-04 Gazebo Inc. System and method for managing and executing event based investments
US6947433B2 (en) * 2000-09-21 2005-09-20 Avici Systems, Inc. System and method for implementing source based and egress based virtual networks in an interconnection network
US9525696B2 (en) 2000-09-25 2016-12-20 Blue Coat Systems, Inc. Systems and methods for processing data flows
US7657629B1 (en) 2000-09-26 2010-02-02 Foundry Networks, Inc. Global server load balancing
US7454500B1 (en) * 2000-09-26 2008-11-18 Foundry Networks, Inc. Global server load balancing
AU2002223181A1 (en) 2000-10-18 2002-04-29 Tricord Systems, Inc. Controller fault recovery system for a distributed file system
US7006505B1 (en) 2000-10-23 2006-02-28 Bay Microsystems, Inc. Memory management system and algorithm for network processor architecture
US6829215B2 (en) 2000-10-31 2004-12-07 Marconi Intellectual Property (Ringfence) Inc. IP multi-homing
US7254833B1 (en) * 2000-11-09 2007-08-07 Accenture Llp Electronic security system and scheme for a communications network
US7149797B1 (en) 2001-04-02 2006-12-12 Akamai Technologies, Inc. Content delivery network service provider (CDNSP)-managed content delivery network (CDN) for network service provider (NSP)
US7055036B2 (en) 2001-04-06 2006-05-30 Mcafee, Inc. System and method to verify trusted status of peer in a peer-to-peer network environment
US7599620B2 (en) * 2001-06-01 2009-10-06 Nortel Networks Limited Communications network for a metropolitan area
CN1241366C (zh) 2001-06-19 2006-02-08 中兴通讯股份有限公司 一种宽带接入用户配置方法
US7161899B2 (en) 2001-07-20 2007-01-09 Bay Microsystems, Inc. Interlocking SONET/SDH network architecture
US8625411B2 (en) 2001-07-20 2014-01-07 Bay Microsystems, Inc. Robust mesh transport network comprising conjoined rings
JP2003034163A (ja) 2001-07-24 2003-02-04 Honda Motor Co Ltd 車両用メータ装置
EP1563389A4 (en) * 2001-08-01 2008-06-25 Actona Technologies Ltd VIRTUAL DATA DISTRIBUTION NETWORK
EP1283464A1 (en) * 2001-08-06 2003-02-12 Hewlett-Packard Company A boot process for a computer, a boot ROM and a computer having a boot ROM
US7224706B2 (en) 2001-08-28 2007-05-29 Bay Microsystems, Inc. Hitless re-routing in composite switches
IL160997A0 (en) 2001-09-19 2004-08-31 Bay Microsystems Inc Vertical instruction and data processing in a network processor architecture
US7310348B2 (en) 2001-09-19 2007-12-18 Bay Microsystems, Inc. Network processor architecture
CN1250017C (zh) * 2001-09-27 2006-04-05 三星电子株式会社 把分布式防火墙用于分载因特网协议语音业务的软交换器
US7409706B1 (en) * 2001-10-02 2008-08-05 Cisco Technology, Inc. System and method for providing path protection of computer network traffic
US6973048B2 (en) 2001-10-10 2005-12-06 Bay Microsystems, Inc. Composite add/drop multiplexor
EP1442580B1 (en) 2001-11-02 2017-05-31 Juniper Networks, Inc. Method and system for providing secure access to resources on private networks
US6593863B2 (en) 2001-12-05 2003-07-15 Parama Networks, Inc. Serializer
JP3812727B2 (ja) 2001-12-11 2006-08-23 日本電気株式会社 情報処理システム
US6690223B1 (en) 2001-12-27 2004-02-10 Bay Microsystems, Inc. System and method for shifting the phase of a clock signal
JP3868815B2 (ja) * 2002-01-10 2007-01-17 富士通株式会社 通信システム
US7433964B2 (en) 2002-01-20 2008-10-07 Bay Microsystems, Inc. Coherent provisioning of multiple traffic paths in transport networks
DE60322988D1 (de) * 2002-01-28 2008-10-02 Hughes Network Systems Llc Verfahren und Vorrichtung zur Integration von Funktionen zur Leistungsverbesserung in einem virtuellen Privatnetzwerk (VPN)
US8976798B2 (en) * 2002-01-28 2015-03-10 Hughes Network Systems, Llc Method and system for communicating over a segmented virtual private network (VPN)
EP1472850B1 (en) * 2002-01-29 2017-05-03 Koninklijke Philips N.V. A method and system for connecting mobile client devices to the internet
WO2003075166A1 (fr) 2002-03-06 2003-09-12 Fujitsu Limited Systeme de stockage et procede de transfert de donnees dans ledit systeme
US7039701B2 (en) * 2002-03-27 2006-05-02 International Business Machines Corporation Providing management functions in decentralized networks
US7177929B2 (en) * 2002-03-27 2007-02-13 International Business Machines Corporation Persisting node reputations in transient network communities
US7069318B2 (en) * 2002-03-27 2006-06-27 International Business Machines Corporation Content tracking in transient network communities
US7145922B2 (en) 2002-03-29 2006-12-05 Bay Microsystems, Inc. Composite add/drop multiplexor with crisscross loop back
US7269130B2 (en) 2002-03-29 2007-09-11 Bay Microsystems, Inc. Redundant add/drop multiplexor
US7161965B2 (en) 2002-03-29 2007-01-09 Bay Microsystems, Inc. Add/drop multiplexor with aggregate serializer/deserializers
US7173902B2 (en) 2002-03-29 2007-02-06 Bay Microsystems, Inc. Expansion of telecommunications networks with automatic protection switching
US7145882B2 (en) 2002-04-04 2006-12-05 Bay Microsystems, Inc. Multiplexed automatic protection switching channels
US20030195973A1 (en) 2002-04-11 2003-10-16 Raymond Savarda Methods, systems, and computer program products for processing a packet with layered headers using a data structure that positionally relates the layered headers
WO2003088047A1 (en) 2002-04-12 2003-10-23 Bay Microsystems, Inc. System and method for memory management within a network processor architecture
WO2003090017A2 (en) 2002-04-14 2003-10-30 Bay Microsystems, Inc. Data forwarding engine
AU2003226395A1 (en) 2002-04-14 2003-11-03 Bay Microsystems, Inc. Network processor architecture
US20030204602A1 (en) 2002-04-26 2003-10-30 Hudson Michael D. Mediated multi-source peer content delivery network architecture
US7221687B2 (en) 2002-05-17 2007-05-22 Bay Microsystems, Inc. Reference timing architecture
US7349435B2 (en) 2002-07-11 2008-03-25 Bay Microsystems, Inc. Multiport overhead cell processor for telecommunications nodes
US7689722B1 (en) 2002-10-07 2010-03-30 Cisco Technology, Inc. Methods and apparatus for virtual private network fault tolerance
CN1754161A (zh) * 2002-10-18 2006-03-29 科拉图斯公司 用于建立虚拟网络的设备、方法和计算机程序产品
US8332464B2 (en) 2002-12-13 2012-12-11 Anxebusiness Corp. System and method for remote network access
US7633909B1 (en) 2002-12-20 2009-12-15 Sprint Spectrum L.P. Method and system for providing multiple connections from a common wireless access point
CN100471183C (zh) * 2003-02-05 2009-03-18 日本电信电话株式会社 防火墙装置
GB0306971D0 (en) * 2003-03-26 2003-04-30 British Telecomm Client server model
JP4119295B2 (ja) * 2003-04-07 2008-07-16 東京エレクトロン株式会社 保守・診断データ蓄積サーバ、保守・診断データの蓄積・取得システム、保守・診断データの蓄積・提供システム
US7143170B2 (en) * 2003-04-30 2006-11-28 Akamai Technologies, Inc. Automatic migration of data via a distributed computer network
US8437284B2 (en) 2003-07-29 2013-05-07 Citrix Systems, Inc. Systems and methods for additional retransmissions of dropped packets
US7349411B2 (en) 2003-07-30 2008-03-25 Bay Microsystems, Inc. Economically expansible switching network
US8069435B1 (en) 2003-08-18 2011-11-29 Oracle America, Inc. System and method for integration of web services
WO2005052759A2 (en) 2003-11-24 2005-06-09 Ebay Inc. Business language schema design framework
US7587487B1 (en) 2003-12-10 2009-09-08 Foundry Networks, Inc. Method and apparatus for load balancing based on XML content in a packet
WO2005065035A2 (en) 2004-01-08 2005-07-21 Wisair Ltd. Distributed and centralized media access control device and method
JP2005228036A (ja) * 2004-02-13 2005-08-25 Nec Commun Syst Ltd 負荷分散装置、その制御方法、その制御プログラム、及びクライアントサーバシステム
US20050180319A1 (en) 2004-02-18 2005-08-18 Hutnik Stephen M. Narrowband and broadband VPN optimal path selection using the global positioning system
US20050203892A1 (en) 2004-03-02 2005-09-15 Jonathan Wesley Dynamically integrating disparate systems and providing secure data sharing
US8005937B2 (en) 2004-03-02 2011-08-23 Fatpot Technologies, Llc Dynamically integrating disparate computer-aided dispatch systems
EP1723763A1 (en) * 2004-03-12 2006-11-22 THOMSON Licensing Cache server network and method of scheduling the distribution of content files
US9609003B1 (en) 2007-06-12 2017-03-28 Icontrol Networks, Inc. Generating risk profile using data of home monitoring and security system
JP2005268936A (ja) 2004-03-16 2005-09-29 Canon Inc アクセスポイント、ネットワークシステム及びネットワークサービス提供方法
US20050216957A1 (en) * 2004-03-25 2005-09-29 Banzhof Carl E Method and apparatus for protecting a remediated computer network from entry of a vulnerable computer system thereinto
CN101061454B (zh) * 2004-04-15 2011-09-28 清晰路径网络股份有限公司 用于管理网络的系统和方法
US8522205B2 (en) 2004-05-18 2013-08-27 Oracle International Corporation Packaging multiple groups of read-only files of an application's components into multiple shared libraries
US9088561B2 (en) * 2004-05-19 2015-07-21 Ca, Inc. Method and system for authentication in a computer network
US8107363B1 (en) * 2004-05-21 2012-01-31 Rockstar Bidco, LP Method and apparatus for accelerating failover of VPN traffic in an MPLS provider network
US7668951B2 (en) * 2004-05-25 2010-02-23 Google Inc. Electronic message source reputation information system
US7830372B2 (en) 2004-08-30 2010-11-09 Qnx Software Systems Gmbh & Co. Kg Method and system for providing transparent access to hardware graphic layers
US20060075057A1 (en) 2004-08-30 2006-04-06 International Business Machines Corporation Remote direct memory access system and method
US20060047944A1 (en) * 2004-09-01 2006-03-02 Roger Kilian-Kehr Secure booting of a computing device
DE102004047328A1 (de) * 2004-09-29 2006-06-01 OCé PRINTING SYSTEMS GMBH Computersystem und Verfahren zum automatischen Ausführen von Bestellungen
KR100611741B1 (ko) * 2004-10-19 2006-08-11 한국전자통신연구원 네트워크 침입 탐지 및 방지 시스템 및 그 방법
US8458467B2 (en) 2005-06-21 2013-06-04 Cisco Technology, Inc. Method and apparatus for adaptive application message payload content transformation in a network infrastructure element
US20060161563A1 (en) 2004-11-18 2006-07-20 Besbris David G Service discovery
AU2005328336B2 (en) 2004-12-22 2011-09-15 Wake Forest University Method, systems, and computer program products for implementing function-parallel network firewall
US7523491B2 (en) * 2005-01-03 2009-04-21 Nokia Corporation System, apparatus, and method for accessing mobile servers
US7551623B1 (en) 2005-01-31 2009-06-23 Packeteer, Inc. Modulation of partition parameters achieving delay-based QoS mechanism
EP1856861B1 (en) * 2005-02-19 2013-09-18 Cisco Technology, Inc. Techniques for oversubscribing edge nodes for virtual private networks
CN100417114C (zh) 2005-03-01 2008-09-03 华为技术有限公司 在无线局域网中接入设备间实现负载均衡的方法
WO2006118497A1 (en) 2005-04-29 2006-11-09 Telefonaktiebolaget L M Ericsson (Publ) Operator shop selection
US8818331B2 (en) 2005-04-29 2014-08-26 Jasper Technologies, Inc. Method for enabling a wireless device for geographically preferential services
US9401822B2 (en) 2005-06-09 2016-07-26 Whirlpool Corporation Software architecture system and method for operating an appliance exposing key press functionality to a network
JP2006350828A (ja) 2005-06-17 2006-12-28 Matsushita Electric Ind Co Ltd ストリーム制御装置
US8854965B1 (en) 2005-07-20 2014-10-07 Avaya Inc. Flow label systems and methods
CN1909501A (zh) * 2005-08-05 2007-02-07 华为技术有限公司 一种端到端业务快速收敛的方法和路由设备
US7801030B1 (en) 2005-09-16 2010-09-21 Cisco Technology, Inc. Technique for using OER with an ECT solution for multi-homed spoke-to-spoke sites
US20070083482A1 (en) 2005-10-08 2007-04-12 Unmesh Rathi Multiple quality of service file system
US20070112812A1 (en) * 2005-11-09 2007-05-17 Harvey Richard H System and method for writing data to a directory
JP4781089B2 (ja) 2005-11-15 2011-09-28 株式会社ソニー・コンピュータエンタテインメント タスク割り当て方法およびタスク割り当て装置
WO2007069194A1 (en) * 2005-12-13 2007-06-21 International Business Machines Corporation Methods for operating virtual networks, data network system, computer program and computer program product
US7782905B2 (en) 2006-01-19 2010-08-24 Intel-Ne, Inc. Apparatus and method for stateless CRC calculation
US7609701B2 (en) * 2006-02-22 2009-10-27 Zheng Yang Communication using private IP addresses of local networks
US8687791B1 (en) 2006-02-24 2014-04-01 West Corporation System, method, and computer readable medium for routing an agent to a preferred communications platform
US20070214283A1 (en) * 2006-03-07 2007-09-13 Metke Anthony R Method and apparatus for automated infrastructure ad hoc mode and autonomous ad hoc mode selection
US7945612B2 (en) * 2006-03-28 2011-05-17 Microsoft Corporation Aggregating user presence across multiple endpoints
US10079839B1 (en) 2007-06-12 2018-09-18 Icontrol Networks, Inc. Activation of gateway device
US8838823B2 (en) 2006-06-27 2014-09-16 Thomson Licensing Performance aware peer-to-peer content-on-demand
US8239915B1 (en) 2006-06-30 2012-08-07 Symantec Corporation Endpoint management using trust rating data
US20090132621A1 (en) 2006-07-28 2009-05-21 Craig Jensen Selecting storage location for file storage based on storage longevity and speed
US7577691B2 (en) 2006-08-02 2009-08-18 Microsoft Corporation Extending hierarchical synchronization scopes to non-hierarchical scenarios
US8718065B2 (en) 2006-08-15 2014-05-06 Broadcom Corporation Transmission using multiple physical interface
US7849505B2 (en) * 2006-08-17 2010-12-07 At&T Intellectual Property I, Lp System and method of selecting a virtual private network access server
US8312120B2 (en) * 2006-08-22 2012-11-13 Citrix Systems, Inc. Systems and methods for providing dynamic spillover of virtual servers based on bandwidth
US20080091598A1 (en) 2006-10-17 2008-04-17 Daniel Fauleau Method and system of executing an action on a portable data storage device
US20080130891A1 (en) 2006-11-03 2008-06-05 Alvin Sun Integrated circuit device interface with parallel scrambler and descrambler
US7742411B2 (en) 2006-11-03 2010-06-22 Bay Microsystems, Inc. Highly-scalable hardware-based traffic management within a network processor integrated circuit
US8514698B2 (en) 2006-11-21 2013-08-20 The Boeing Company Routing and forwarding of packets over a non-persistent communication link
US7822877B2 (en) 2006-11-27 2010-10-26 Bay Microsystems, Inc. Network processor integrated circuit with a software programmable search engine communications module
US9554061B1 (en) 2006-12-15 2017-01-24 Proctor Consulting LLP Smart hub
US9569587B2 (en) 2006-12-29 2017-02-14 Kip Prod Pi Lp Multi-services application gateway and system employing the same
US20170344703A1 (en) 2006-12-29 2017-11-30 Kip Prod P1 Lp Multi-services application gateway and system employing the same
US8015581B2 (en) 2007-01-05 2011-09-06 Verizon Patent And Licensing Inc. Resource data configuration for media content access systems and methods
US20080186203A1 (en) * 2007-02-02 2008-08-07 Raj Vaswani Method and system for packet transit through IPV4 networks connecting IPV6 nodes and LANs in a utility grid using tunneling technique
US8154185B2 (en) 2007-02-12 2012-04-10 The Board Of Trustees Of The Leland Stanford Junior University Diamondoid monolayers as electron emitters
US20080201722A1 (en) * 2007-02-20 2008-08-21 Gurusamy Sarathy Method and System For Unsafe Content Tracking
US9210034B2 (en) 2007-03-01 2015-12-08 Cisco Technology, Inc. Client addressing and roaming in a wireless network
US7957311B2 (en) 2007-03-09 2011-06-07 Bay Microsystems, Inc. Programmable hardware-based traffic policing
US8582557B2 (en) 2007-04-04 2013-11-12 Cisco Technology, Inc. Fax relay tunneling
CN101282448B (zh) 2007-04-05 2012-08-29 华为技术有限公司 多媒体广播数据的传输与接收方法及其系统、终端
US8688850B2 (en) * 2007-04-10 2014-04-01 International Business Machines Corporation Method for inter-site data stream transfer in cooperative data stream processing
US8705348B2 (en) 2007-04-18 2014-04-22 Cisco Technology, Inc. Use of metadata for time based anti-replay
US8141143B2 (en) * 2007-05-31 2012-03-20 Imera Systems, Inc. Method and system for providing remote access to resources in a secure data center over a network
US20180198756A1 (en) 2007-06-12 2018-07-12 Icontrol Networks, Inc. Communication protocols in integrated systems
CN101079896B (zh) 2007-06-22 2010-05-19 西安交通大学 一种构建并行存储系统多可用性机制并存架构的方法
US8111627B2 (en) 2007-06-29 2012-02-07 Cisco Technology, Inc. Discovering configured tunnels between nodes on a path in a data communications network
US8966075B1 (en) 2007-07-02 2015-02-24 Pulse Secure, Llc Accessing a policy server from multiple layer two networks
WO2009032710A2 (en) 2007-08-29 2009-03-12 Nirvanix, Inc. Filing system and method for data files stored in a distributed communications network
US8069258B1 (en) 2007-09-11 2011-11-29 Electronic Arts Inc. Local frame processing to apparently reduce network lag of multiplayer deterministic simulations
US7751329B2 (en) 2007-10-03 2010-07-06 Avaya Inc. Providing an abstraction layer in a cluster switch that includes plural switches
KR101053903B1 (ko) 2007-10-19 2011-08-04 삼성전자주식회사 네트워크온칩에서 전압 및 주파수 제어 장치 및 방법
EP2204066B1 (en) 2007-10-25 2017-06-28 Cisco Technology, Inc. Interworking gateway for mobile nodes
US8312307B2 (en) * 2007-11-07 2012-11-13 Intel Corporation Systems and methods for reducing power consumption during communication between link partners
US8272046B2 (en) * 2007-11-13 2012-09-18 Cisco Technology, Inc. Network mobility over a multi-path virtual private network
US7945696B2 (en) * 2007-11-30 2011-05-17 Cisco Technology, Inc. Differentiated routing using tunnels in a computer network
US8165138B2 (en) 2007-12-04 2012-04-24 International Business Machines Corporation Converged infiniband over ethernet network
US7895204B1 (en) * 2007-12-13 2011-02-22 Symantec Corporation Redirecting file uploads
US8422397B2 (en) 2007-12-28 2013-04-16 Prodea Systems, Inc. Method and apparatus for rapid session routing
US9455924B2 (en) * 2008-01-02 2016-09-27 Media Network Services As Device and system for selective forwarding
US8544065B2 (en) * 2008-01-23 2013-09-24 International Business Machines Corporation Dataspace protection utilizing virtual private networks on a multi-node computer system
EP4024777A1 (en) 2008-01-23 2022-07-06 Telefonaktiebolaget LM Ericsson (publ) Method and apparatus for use in a fixed access communications network
US20090193428A1 (en) * 2008-01-25 2009-07-30 Hewlett-Packard Development Company, L.P. Systems and Methods for Server Load Balancing
US20090213754A1 (en) 2008-02-26 2009-08-27 Roie Melamed Device, System, and Method of Group Communication
US7870418B2 (en) * 2008-02-27 2011-01-11 Microsoft Corporation Enhanced presence routing and roster fidelity by proactive crashed endpoint detection
US8266672B2 (en) 2008-03-21 2012-09-11 Sophos Plc Method and system for network identification via DNS
US8423592B2 (en) 2008-04-11 2013-04-16 Sandisk Technologies Inc. Method and system for accessing a storage system with multiple file systems
EP2112803B1 (en) * 2008-04-22 2013-12-18 Alcatel Lucent Attack protection for a packet-based network
CN101577661B (zh) * 2008-05-09 2013-09-11 华为技术有限公司 一种路径切换的方法和设备
US8626115B2 (en) 2009-01-28 2014-01-07 Headwater Partners I Llc Wireless network service interfaces
CN101599888B (zh) * 2008-06-06 2012-04-18 中兴通讯股份有限公司 一种家用基站网关负载均衡控制方法
US8245039B2 (en) 2008-07-18 2012-08-14 Bridgewater Systems Corp. Extensible authentication protocol authentication and key agreement (EAP-AKA) optimization
JP5178375B2 (ja) 2008-07-30 2013-04-10 パナソニック株式会社 デジタル放送再生装置およびデジタル放送再生方法
US8991147B2 (en) * 2008-08-05 2015-03-31 International Business Machines Corporation Augmented track to facilitate removal of stiffening layers from a cable retained in the track
US8307422B2 (en) * 2008-08-14 2012-11-06 Juniper Networks, Inc. Routing device having integrated MPLS-aware firewall
US8437641B2 (en) 2008-10-21 2013-05-07 Bay Microsystems, Inc. Clock regeneration for optical communications
US8825854B2 (en) * 2008-11-24 2014-09-02 Sap Ag DMZ framework
CN101478533B (zh) * 2008-11-29 2012-05-23 成都市华为赛门铁克科技有限公司 一种跨越虚拟防火墙发送和接收数据的方法及系统
US9524167B1 (en) * 2008-12-10 2016-12-20 Amazon Technologies, Inc. Providing location-specific network access to remote services
CN102257811B (zh) 2008-12-25 2013-03-20 中兴通讯股份有限公司 移动终端多媒体广播驱动接口及实现方法
EP2388961A1 (en) 2009-01-13 2011-11-23 Hitachi, Ltd. Communication system, subscriber accommodating apparatus and communication method
US10492102B2 (en) 2009-01-28 2019-11-26 Headwater Research Llc Intermediate networking devices
US9351193B2 (en) 2009-01-28 2016-05-24 Headwater Partners I Llc Intermediate networking devices
US9858559B2 (en) 2009-01-28 2018-01-02 Headwater Research Llc Network service plan design
US9164689B2 (en) 2009-03-30 2015-10-20 Oracle America, Inc. Data storage system and method of processing a data access request
US9049045B2 (en) 2009-04-24 2015-06-02 Aruba Networks, Inc. Peer-to-peer forwarding for packet-switched traffic
US8769057B1 (en) 2009-05-07 2014-07-01 Sprint Communications Company L.P. Employing a hierarchy of servers to resolve fractional IP addresses
US8527602B1 (en) * 2009-05-28 2013-09-03 Google Inc. Content upload system with preview and user demand based upload prioritization
US8848538B2 (en) 2009-06-09 2014-09-30 Telefonaktiebolaget Lm Ericsson (Publ) Power-saving functions in communications networks
US8284776B2 (en) 2009-06-10 2012-10-09 Broadcom Corporation Recursive packet header processing
US8229484B2 (en) 2009-06-11 2012-07-24 Genesys Telecommunications Laboratories, Inc. System and methods for integrating short message service messaging with contact center applications
EP2267942B1 (en) * 2009-06-22 2014-08-13 Citrix Systems, Inc. Systems and methods of handling non-http client or server push on http vserver
US8611335B1 (en) 2009-08-13 2013-12-17 Google, Inc. System and method for assigning paths for data flows through a wide-area network
CN102006646B (zh) * 2009-08-28 2012-08-08 华为终端有限公司 一种切换方法和切换设备
ES2429314T3 (es) 2009-09-16 2013-11-14 Telefonaktiebolaget L M Ericsson (Publ) La presente invención se refiere a la recuperación de tráfico en una red orientada a conexión
US9054899B2 (en) 2009-10-20 2015-06-09 Beelinx Usa, Llc Urban mobile network system
US9996548B2 (en) 2009-11-25 2018-06-12 International Business Machines Corporation Dispersed storage using localized peer-to-peer capable wireless devices in a peer-to-peer or femto cell supported carrier served fashion
US8458769B2 (en) 2009-12-12 2013-06-04 Akamai Technologies, Inc. Cloud based firewall system and service
US9158788B2 (en) 2009-12-16 2015-10-13 International Business Machines Corporation Scalable caching of remote file data in a cluster file system
US8769156B2 (en) * 2009-12-23 2014-07-01 Citrix Systems, Inc. Systems and methods for maintaining transparent end to end cache redirection
CN101765172A (zh) 2010-01-21 2010-06-30 华为技术有限公司 接入点网络中的切换方法和装置
US8689307B2 (en) * 2010-03-19 2014-04-01 Damaka, Inc. System and method for providing a virtual peer-to-peer environment
US8856281B2 (en) * 2010-03-22 2014-10-07 At&T Intellectual Property I, L.P. Internet protocol version 6 content routing
US8259571B1 (en) 2010-03-26 2012-09-04 Zscaler, Inc. Handling overlapping IP addresses in multi-tenant architecture
CN102209355B (zh) * 2010-03-31 2013-12-04 华为终端有限公司 网络切换的方法及支持网络切换的终端
US8601266B2 (en) * 2010-03-31 2013-12-03 Visa International Service Association Mutual mobile authentication using a key management center
GB201005479D0 (en) * 2010-03-31 2010-05-19 Becrypt Ltd System and method for unattended computer system access
US9461996B2 (en) 2010-05-07 2016-10-04 Citrix Systems, Inc. Systems and methods for providing a single click access to enterprise, SAAS and cloud hosted application
CN102255794B (zh) 2010-05-17 2014-07-30 塔塔咨询服务有限公司 远程消息收发吞吐量优化和等待时间缩短用系统和方法
US8473734B2 (en) * 2010-06-30 2013-06-25 Juniper Networks, Inc. Multi-service VPN network client for mobile device having dynamic failover
US20120005307A1 (en) 2010-06-30 2012-01-05 Abhik Das Storage virtualization
US8639746B2 (en) 2010-07-01 2014-01-28 Red Hat, Inc. Architecture, system and method for mediating communications between a client computer system and a cloud computing system with a driver framework
WO2012006595A2 (en) * 2010-07-09 2012-01-12 Nicolas Girard Transparent proxy architecture for multi-path data connections
US8458786B1 (en) 2010-08-13 2013-06-04 Zscaler, Inc. Automated dynamic tunnel management
US20140310243A1 (en) 2010-08-16 2014-10-16 Mr. Steven James McGee Heart beacon cycle
EP2622495A4 (en) 2010-09-27 2015-08-12 Lantronix Inc VARIOUS METHODS AND APPARATUSES FOR ACCESSING NETWORK DEVICES WITHOUT ADDRESSES ACCESSIBLE THROUGH VIRTUAL IP ADDRESSES
CN101969414B (zh) 2010-10-15 2012-10-03 北京交通大学 一种标识分离映射网络中IPSec网关自动发现的方法
CN102457539A (zh) 2010-10-19 2012-05-16 英业达集团(天津)电子技术有限公司 文件服务器的管理方法
US8798060B1 (en) 2010-10-21 2014-08-05 Juniper Networks, Inc. Converting between tunneling protocols
US8976744B2 (en) 2010-11-03 2015-03-10 Broadcom Corporation Vehicle communication network including wireless communications
US8935431B2 (en) 2010-12-17 2015-01-13 International Business Machines Corporation Highly scalable and distributed data sharing and storage
US9565117B2 (en) 2010-12-22 2017-02-07 Cisco Technology, Inc. Adaptive intelligent routing in a communication system
US9544137B1 (en) * 2010-12-29 2017-01-10 Amazon Technologies, Inc. Encrypted boot volume access in resource-on-demand environments
US8699683B1 (en) * 2010-12-30 2014-04-15 Cellco Partnership Extended dialing plan using dialable special character digits
US20120179904A1 (en) * 2011-01-11 2012-07-12 Safenet, Inc. Remote Pre-Boot Authentication
WO2012100087A2 (en) 2011-01-19 2012-07-26 Fusion-Io, Inc. Apparatus, system, and method for managing out-of-service conditions
US8612744B2 (en) 2011-02-10 2013-12-17 Varmour Networks, Inc. Distributed firewall architecture using virtual machines
US8800045B2 (en) 2011-02-11 2014-08-05 Achilles Guard, Inc. Security countermeasure management platform
US9369433B1 (en) 2011-03-18 2016-06-14 Zscaler, Inc. Cloud based social networking policy and compliance systems and methods
US9065800B2 (en) 2011-03-18 2015-06-23 Zscaler, Inc. Dynamic user identification and policy enforcement in cloud-based secure web gateways
US9716659B2 (en) 2011-03-23 2017-07-25 Hughes Network Systems, Llc System and method for providing improved quality of service over broadband networks
JP5747615B2 (ja) * 2011-03-31 2015-07-15 日本電気株式会社 通信システム、及び通信方法
US8839363B2 (en) 2011-04-18 2014-09-16 Bank Of America Corporation Trusted hardware for attesting to authenticity in a cloud environment
ES2425627B1 (es) 2011-05-12 2014-05-05 Telefónica, S.A. Método y rastreador para distribución de contenido a través de una red de distribución de contenido
WO2012163587A1 (en) 2011-05-31 2012-12-06 Alcatel Lucent Distributed access control across the network firewalls
CN103384992B (zh) * 2011-06-02 2015-11-25 华为技术有限公司 多处理器架构平台网络防火墙
US9432258B2 (en) 2011-06-06 2016-08-30 At&T Intellectual Property I, L.P. Methods and apparatus to configure virtual private mobile networks to reduce latency
EP4024760A1 (en) 2011-06-14 2022-07-06 ViaSat Inc. Transport protocol for anticipatory content
US9819546B2 (en) * 2011-07-07 2017-11-14 Ciena Corporation Data connectivity systems and methods through packet-optical switches
US9148223B2 (en) 2011-07-07 2015-09-29 Ciena Corporation Ethernet private local area network systems and methods
CN102340538B (zh) 2011-07-20 2013-09-04 杭州创联电子技术有限公司 一种用于gyk数据管理的手持式设备实现方法
JP6019847B2 (ja) 2011-08-01 2016-11-02 株式会社リコー 画像形成システム及び用紙搬送方法
CN102291455B (zh) 2011-08-10 2014-02-19 华为技术有限公司 分布式集群处理系统及其报文处理方法
US8881258B2 (en) * 2011-08-24 2014-11-04 Mcafee, Inc. System, method, and computer program for preventing infections from spreading in a network environment using dynamic application of a firewall policy
US9167501B2 (en) 2011-08-29 2015-10-20 Telefonaktiebolaget L M Ericsson (Publ) Implementing a 3G packet core in a cloud computer with openflow data and control planes
US10044678B2 (en) 2011-08-31 2018-08-07 At&T Intellectual Property I, L.P. Methods and apparatus to configure virtual private mobile networks with virtual private networks
US9590820B1 (en) * 2011-09-02 2017-03-07 Juniper Networks, Inc. Methods and apparatus for improving load balancing in overlay networks
US10237253B2 (en) * 2011-09-09 2019-03-19 Kingston Digital, Inc. Private cloud routing server, private network service and smart device client architecture without utilizing a public cloud based routing server
US20130070751A1 (en) 2011-09-20 2013-03-21 Peter Atwal Synchronization of time in a mobile ad-hoc network
EP2761839A4 (en) * 2011-09-30 2015-06-10 Intel Corp DEVICE, SYSTEM AND METHOD FOR MAINTAINING CONNECTIVITY ON A VIRTUAL PRIVATE NETWORK (VPN)
US9514154B2 (en) 2011-10-27 2016-12-06 International Business Machines Corporation Virtual file system interface for communicating changes of metadata in a data storage system
EP2587827A1 (en) 2011-10-31 2013-05-01 Nagravision S.A. Method and hybrid multimedia unit for descrambling a digital broadcast transport stream
US8874680B1 (en) 2011-11-03 2014-10-28 Netapp, Inc. Interconnect delivery process
EP2590100A1 (en) * 2011-11-04 2013-05-08 British Telecommunications Public Limited Company Method and apparatus for securing a computer
EP2777239A1 (en) 2011-11-07 2014-09-17 Option Establishing a communication session
EP2776952A2 (en) 2011-11-10 2014-09-17 Koninklijke KPN N.V. Logically and end-user-specific physically storing an electronic file
WO2013074855A1 (en) 2011-11-15 2013-05-23 Nicira, Inc. Control plane interface for logical middlebox services
US9183415B2 (en) * 2011-12-01 2015-11-10 Microsoft Technology Licensing, Llc Regulating access using information regarding a host machine of a portable storage drive
CN102726027B (zh) * 2011-12-28 2014-05-21 华为技术有限公司 虚拟机全盘加密下预启动时的密钥传输方法和设备
US9160681B2 (en) * 2012-01-27 2015-10-13 Empire Technology Development Llc Spiral protocol for iterative service level agreement (SLA) execution in cloud migration
US10484335B2 (en) 2012-02-09 2019-11-19 Connectify, Inc. Secure remote computer network
US9614774B2 (en) 2012-03-14 2017-04-04 Telefonaktiebolaget Lm Ericsson (Publ) Method for providing a QoS prioritized data traffic
CN202587025U (zh) * 2012-03-27 2012-12-05 苏州市职业大学 一种分布式内容过滤防火墙
US9164795B1 (en) 2012-03-30 2015-10-20 Amazon Technologies, Inc. Secure tunnel infrastructure between hosts in a hybrid network environment
US8955093B2 (en) 2012-04-11 2015-02-10 Varmour Networks, Inc. Cooperative network security inspection
US9350644B2 (en) 2012-04-13 2016-05-24 Zscaler. Inc. Secure and lightweight traffic forwarding systems and methods to cloud based network security systems
US8966122B2 (en) 2012-04-16 2015-02-24 Opendns, Inc. Cross-protocol communication in domain name systems
EP2839615A4 (en) 2012-04-18 2015-10-14 Nevion Europ As PROTECTION OF OFFSET DATA FLOW BEFORE START DELAY
US9288129B2 (en) * 2012-04-25 2016-03-15 Telefonaktiebolaget Lm Ericsson (Publ) Host-router virtual tunnelling and multiple tunnel management
US9100299B2 (en) 2012-05-21 2015-08-04 Verizon Patent And Licensing Inc. Detecting error conditions in standby links
US9898317B2 (en) 2012-06-06 2018-02-20 Juniper Networks, Inc. Physical path determination for virtual network packet flows
US9304801B2 (en) 2012-06-12 2016-04-05 TELEFONAKTIEBOLAGET L M ERRICSSON (publ) Elastic enforcement layer for cloud security using SDN
US8972602B2 (en) * 2012-06-15 2015-03-03 Citrix Systems, Inc. Systems and methods for using ECMP routes for traffic distribution
US9699135B2 (en) 2012-06-20 2017-07-04 Openvpn Technologies, Inc. Private tunnel network
US9185025B2 (en) 2012-06-22 2015-11-10 Telefonaktiebolaget L M Ericsson (Publ) Internetworking and failure recovery in unified MPLS and IP networks
JP2014010465A (ja) 2012-06-27 2014-01-20 International Business Maschines Corporation 複数のストレージ・クラウドから実体ファイルを格納するためのストレージ・クラウドを選択する方法、並びにそのコンピュータ及びコンピュータ・プログラム
US10177957B1 (en) 2012-07-06 2019-01-08 Cradlepoint, Inc. Connecting a cloud network to the internet
US8934215B2 (en) 2012-07-20 2015-01-13 Samsung Electro-Mechanics Co., Ltd Laminated chip electronic component, board for mounting the same, and packing unit thereof
US9087191B2 (en) 2012-08-24 2015-07-21 Vmware, Inc. Method and system for facilitating isolated workspace for applications
CN102833109B (zh) * 2012-08-30 2015-01-07 华为技术有限公司 故障点位置信息处理方法及设备
US9298719B2 (en) 2012-09-04 2016-03-29 International Business Machines Corporation On-demand caching in a WAN separated distributed file system or clustered file system cache
US9807613B2 (en) 2012-09-06 2017-10-31 Dell Products, Lp Collaborative method and system to improve carrier network policies with context aware radio communication management
US9164702B1 (en) 2012-09-07 2015-10-20 Google Inc. Single-sided distributed cache system
US9264301B1 (en) 2012-09-20 2016-02-16 Wiretap Ventures, LLC High availability for software defined networks
CN102904816B (zh) * 2012-09-26 2017-04-12 华为技术有限公司 业务流量保护方法和装置
US20140086253A1 (en) * 2012-09-26 2014-03-27 Futurewei Technologies, Inc. Overlay Virtual Gateway for Overlay Networks
EP2907090A4 (en) 2012-10-10 2016-05-18 Mastercard International Inc METHOD AND SYSTEMS FOR IMPLEMENTING TRANSACTIONS AT REMOTE SALES OFFICES
CN103731460A (zh) * 2012-10-16 2014-04-16 无锡云捷科技有限公司 一种构建网络服务器池的池化器
US9917865B2 (en) 2012-10-16 2018-03-13 Citrix Systems, Inc. Systems and methods for bridging between public and private clouds through multilevel API integration
US10275267B1 (en) 2012-10-22 2019-04-30 Amazon Technologies, Inc. Trust-based resource allocation
EP2728827A1 (en) * 2012-10-31 2014-05-07 British Telecommunications public limited company Communications network using a tunnel to connect two network nodes
US9160809B2 (en) 2012-11-26 2015-10-13 Go Daddy Operating Company, LLC DNS overriding-based methods of accelerating content delivery
CN106850817A (zh) * 2012-12-10 2017-06-13 北京奇虎科技有限公司 一种下载管理设备、方法及数据下载系统
US9042270B2 (en) 2012-12-19 2015-05-26 Hitachi, Ltd. Method and apparatus of network configuration for storage federation
US9521198B1 (en) 2012-12-19 2016-12-13 Springpath, Inc. Systems and methods for implementing an enterprise-class converged compute-network-storage appliance
US9407557B2 (en) 2012-12-22 2016-08-02 Edgewater Networks, Inc. Methods and systems to split equipment control between local and remote processing units
US10070369B2 (en) 2013-01-02 2018-09-04 Comcast Cable Communications, Llc Network provisioning
CN103118089A (zh) 2013-01-22 2013-05-22 华中科技大学 一种基于多个云存储系统的安全存储方法及其系统
EP2950211B1 (en) 2013-01-23 2021-07-07 Waseda University Parallelism extraction method and method for making program
US9652192B2 (en) 2013-01-25 2017-05-16 Qualcomm Incorporated Connectionless transport for user input control for wireless display devices
WO2014119719A1 (ja) * 2013-02-01 2014-08-07 日本電気株式会社 リソース制御システム、制御パターン生成装置、制御装置、リソース制御方法及びプログラム
US8923333B2 (en) 2013-02-08 2014-12-30 Shoab A. Khan Cognitive hub for self-healing and self-forming network with hybrid communication technologies
EP2957080B1 (en) 2013-02-12 2020-06-10 Hewlett-Packard Enterprise Development LP Network control using software defined flow mapping and virtualized network functions
US9432336B2 (en) * 2013-02-13 2016-08-30 Blackberry Limited Secure electronic device application connection to an application server
EP2957087B1 (en) 2013-02-15 2019-05-08 Nec Corporation Method and system for providing content in content delivery networks
GB2510874B (en) * 2013-02-15 2020-09-16 Ncr Corp Server system supporting remotely managed IT services
US9418072B2 (en) 2013-03-04 2016-08-16 Vmware, Inc. Cross-file differential content synchronization
US9277452B1 (en) 2013-03-07 2016-03-01 Dragonwave, Inc. Adaptive modulation and priority-based flow control in wireless communications
US20140282786A1 (en) * 2013-03-12 2014-09-18 Time Warner Cable Enterprises Llc Methods and apparatus for providing and uploading content to personalized network storage
US20140278543A1 (en) 2013-03-14 2014-09-18 M2S, Inc. Data collection marketplace for a data registry system
US9374241B2 (en) 2013-03-14 2016-06-21 International Business Machines Corporation Tagging virtual overlay packets in a virtual networking system
US20140280775A1 (en) * 2013-03-15 2014-09-18 Conrad N. Wood Network Stack and Related Techniques
US9992107B2 (en) 2013-03-15 2018-06-05 A10 Networks, Inc. Processing data packets using a policy based network path
US9450817B1 (en) 2013-03-15 2016-09-20 Juniper Networks, Inc. Software defined network controller
US9860332B2 (en) 2013-05-08 2018-01-02 Samsung Electronics Co., Ltd. Caching architecture for packet-form in-memory object caching
KR102051504B1 (ko) 2013-05-15 2019-12-03 삼성전자주식회사 무선 통신 시스템에서 데이터 패킷 송수신 방법 및 장치
US9264444B2 (en) 2013-05-21 2016-02-16 Rapid7, Llc Systems and methods for determining an objective security assessment for a network of assets
US9888042B2 (en) 2013-05-21 2018-02-06 Citrix Systems, Inc. Systems and methods for multipath transmission control protocol connection management
US9049613B2 (en) 2013-06-06 2015-06-02 Seven Networks, Inc. Radio or network evaluation for selection based on measurements using application layer protocols at a mobile device
US9106610B2 (en) 2013-06-07 2015-08-11 International Business Machines Corporation Regional firewall clustering in a networked computing environment
US9699001B2 (en) 2013-06-10 2017-07-04 Brocade Communications Systems, Inc. Scalable and segregated network virtualization
US20140369230A1 (en) 2013-06-18 2014-12-18 Alcatel-Lucent Usa Inc. Virtual Chassis Topology Management
US8601565B1 (en) * 2013-06-19 2013-12-03 Edgecast Networks, Inc. White-list firewall based on the document object model
CN104253770B (zh) 2013-06-27 2017-07-14 新华三技术有限公司 实现分布式虚拟交换机系统的方法及设备
US9509598B2 (en) * 2013-08-02 2016-11-29 Time Warner Cable Enterprises Llc Apparatus and methods for intelligent deployment of network infrastructure based on tunneling of ethernet ring protection
WO2015021343A1 (en) 2013-08-08 2015-02-12 Hughes Network Systems, Llc System and method for providing improved quality of service over broadband networks
US9241044B2 (en) 2013-08-28 2016-01-19 Hola Networks, Ltd. System and method for improving internet communication by using intermediate nodes
US8611355B1 (en) * 2013-09-03 2013-12-17 tw telecom holdings inc. Buffer-less virtual routing
US9503371B2 (en) 2013-09-04 2016-11-22 Nicira, Inc. High availability L3 gateways for logical networks
US9338066B2 (en) 2013-09-05 2016-05-10 Avaya Inc. Tunnel keep-alive timeout mechanism based on quality of service (QoS) value of received keep-alive messages
US9274858B2 (en) 2013-09-17 2016-03-01 Twilio, Inc. System and method for tagging and tracking events of an application platform
US20150086018A1 (en) 2013-09-23 2015-03-26 Venafi, Inc. Centralized key discovery and management
US10078754B1 (en) * 2013-09-24 2018-09-18 Amazon Technologies, Inc. Volume cryptographic key management
IN2013MU03094A (es) 2013-09-27 2015-07-17 Tata Consultancy Services Ltd
WO2015047451A1 (en) 2013-09-30 2015-04-02 Hewlett-Packard Development Company, L.P. Software defined network ecosystem
WO2015051181A1 (en) 2013-10-03 2015-04-09 Csg Cyber Solutions, Inc. Dynamic adaptive defense for cyber-security threats
US10904201B1 (en) 2013-10-11 2021-01-26 Cisco Technology, Inc. Updating distributed caches in network devices in the event of virtual machine changes in a virtualized network environment
US20150121532A1 (en) 2013-10-31 2015-04-30 Comsec Consulting Ltd Systems and methods for defending against cyber attacks at the software level
US9407602B2 (en) 2013-11-07 2016-08-02 Attivo Networks, Inc. Methods and apparatus for redirecting attacks on a network
US9253028B2 (en) 2013-12-13 2016-02-02 International Business Machines Corporation Software-defined networking tunneling extensions
DE102013114214A1 (de) 2013-12-17 2015-06-18 Fujitsu Technology Solutions Intellectual Property Gmbh POSIX-kompatibles Dateisystem, Verfahren zum Erzeugen einer Dateiliste und Speichervorrichtung
CN105745660B (zh) 2013-12-19 2018-11-16 英特尔公司 用于在客户机设备上支持多个数字权利管理协议的技术
EP3085038A1 (en) 2013-12-20 2016-10-26 Nokia Solutions And Networks Management International GmbH Sgc and pgc and sgu and pgu allocation procedure
CN103763310B (zh) * 2013-12-31 2017-04-12 曙光云计算技术有限公司 基于虚拟网络的防火墙服务系统及方法
US10432658B2 (en) 2014-01-17 2019-10-01 Watchguard Technologies, Inc. Systems and methods for identifying and performing an action in response to identified malicious network traffic
US10382595B2 (en) 2014-01-29 2019-08-13 Smart Security Systems Llc Systems and methods for protecting communications
CA2975585A1 (en) * 2014-02-04 2015-08-13 Distrix Networks Ltd. Bandwidth and latency estimation in a communication network
MX364546B (es) 2014-02-06 2019-04-30 Acceleration Systems Llc Sistemas y métodos para proporcionar una arquitectura de enlace seguro múltiple.
US11016941B2 (en) 2014-02-28 2021-05-25 Red Hat, Inc. Delayed asynchronous file replication in a distributed file system
US9241004B1 (en) 2014-03-11 2016-01-19 Trend Micro Incorporated Alteration of web documents for protection against web-injection attacks
US10423481B2 (en) 2014-03-14 2019-09-24 Cisco Technology, Inc. Reconciling redundant copies of media content
US10476698B2 (en) 2014-03-20 2019-11-12 Avago Technologies International Sales Pte. Limited Redundent virtual link aggregation group
US10673712B1 (en) 2014-03-27 2020-06-02 Amazon Technologies, Inc. Parallel asynchronous stack operations
US9729539B1 (en) 2014-03-28 2017-08-08 Pulse Secure, Llc Network access session detection to provide single-sign on (SSO) functionality for a network access control device
US9294304B2 (en) 2014-03-31 2016-03-22 Juniper Networks, Inc. Host network accelerator for data center overlay network
US9110820B1 (en) 2014-03-31 2015-08-18 Emc Corporation Hybrid data storage system in an HPC exascale environment
US20150281176A1 (en) 2014-04-01 2015-10-01 Bret Banfield Method And Technique for Automated Collection, Analysis, and Distribution of Network Security Threat Information
WO2015164370A1 (en) 2014-04-22 2015-10-29 Orckit-Corrigent Ltd. A method and system for deep packet inspection in software defined networks
US9609019B2 (en) 2014-05-07 2017-03-28 Attivo Networks Inc. System and method for directing malicous activity to a monitoring system
US9410816B2 (en) * 2014-05-07 2016-08-09 Yahoo! Inc. System and method for recommending pleasant routes from the sentiment of geo-tagged photographs
EP3143524A1 (en) * 2014-05-13 2017-03-22 Opera Software AS Web access performance enhancement
US9237129B2 (en) * 2014-05-13 2016-01-12 Dell Software Inc. Method to enable deep packet inspection (DPI) in openflow-based software defined network (SDN)
GB2533194B (en) * 2014-05-21 2020-09-16 Pismo Labs Technology Ltd Using a plurality of sim cards at a wireless communication device
US20150341223A1 (en) 2014-05-21 2015-11-26 Nicira, Inc. Automatic placement of clients in a distributed computer system based on at least physical network topology information
CN103997791B (zh) * 2014-06-13 2017-10-27 重庆大学 基于用户终端资源使用偏好的无线网络资源分配方法及系统
US9350710B2 (en) 2014-06-20 2016-05-24 Zscaler, Inc. Intelligent, cloud-based global virtual private network systems and methods
US9961587B2 (en) * 2014-06-26 2018-05-01 Gilat Satellite Networks Ltd. Methods and apparatus for optimizing tunneled traffic
WO2016000110A1 (zh) 2014-06-30 2016-01-07 路海燕 一种电动折叠车的半自动开合装置
CN104135514B (zh) 2014-07-25 2017-10-17 英业达科技有限公司 融合式虚拟化存储系统
US20160048789A1 (en) 2014-08-15 2016-02-18 Elementum Scm (Cayman) Ltd. Graph database for determining and analyzing impact severity of event on a network
US9311464B2 (en) * 2014-08-19 2016-04-12 Airwatch, Llc Authentication via accelerometer
GB2535264B (en) 2014-08-29 2021-10-06 Pismo Labs Technology Ltd Methods and systems for transmitting packets through an aggregated connection
US10331472B2 (en) * 2014-08-29 2019-06-25 Hewlett Packard Enterprise Development Lp Virtual machine service availability
US9671960B2 (en) 2014-09-12 2017-06-06 Netapp, Inc. Rate matching technique for balancing segment cleaning and I/O workload
US10003648B2 (en) 2014-10-02 2018-06-19 Samsung Electronics Co., Ltd. Mechanism for universal parallel information access
CN104301321B (zh) * 2014-10-22 2018-04-27 北京启明星辰信息技术股份有限公司 一种实现分布式网络安全防护的方法及系统
US10331595B2 (en) 2014-10-23 2019-06-25 Mellanox Technologies, Ltd. Collaborative hardware interaction by multiple entities using a shared queue
US10455030B2 (en) 2014-10-27 2019-10-22 Level 3 Communications, Llc Content delivery system and method using anycast or unicast address
CN104320472A (zh) 2014-10-29 2015-01-28 深圳市东信时代信息技术有限公司 分布式短信网关架构系统及其设计方法
US10084838B2 (en) 2014-10-29 2018-09-25 DLVR, Inc. Generating and using manifest files including content delivery network authentication data
US10129799B2 (en) 2014-11-03 2018-11-13 Alcatel Lucent Mobility management for wireless networks
US9565269B2 (en) 2014-11-04 2017-02-07 Pavilion Data Systems, Inc. Non-volatile memory express over ethernet
US20160134543A1 (en) 2014-11-06 2016-05-12 Mediatek Singapore Pte. Ltd. Method and associated network device for managing network traffic
US9590902B2 (en) 2014-11-10 2017-03-07 Juniper Networks, Inc. Signaling aliasing capability in data centers
US10114828B2 (en) * 2014-11-11 2018-10-30 International Business Machines Corporation Local content sharing through edge caching and time-shifted uploads
US9591018B1 (en) * 2014-11-20 2017-03-07 Amazon Technologies, Inc. Aggregation of network traffic source behavior data across network-based endpoints
US9853855B2 (en) 2014-12-03 2017-12-26 Fortinet, Inc. Stand-by controller assisted failover
EP3230885B1 (en) * 2014-12-08 2024-04-17 Umbra Technologies Ltd. Method for content retrieval from remote network regions
US9294497B1 (en) 2014-12-29 2016-03-22 Nice-Systems Ltd. Method and system for behavioral and risk prediction in networks using automatic feature generation and selection using network topolgies
US9948649B1 (en) 2014-12-30 2018-04-17 Juniper Networks, Inc. Internet address filtering based on a local database
CN107251518B (zh) 2015-01-06 2021-03-02 安博科技有限公司 用于中立应用程序编程接口的系统和方法
US10061664B2 (en) 2015-01-15 2018-08-28 Cisco Technology, Inc. High availability and failover
CN115834534A (zh) 2015-01-28 2023-03-21 安博科技有限公司 用于全局虚拟网络的系统
US9667538B2 (en) * 2015-01-30 2017-05-30 Telefonaktiebolget L M Ericsson (Publ) Method and apparatus for connecting a gateway router to a set of scalable virtual IP network appliances in overlay networks
US9609023B2 (en) 2015-02-10 2017-03-28 International Business Machines Corporation System and method for software defined deployment of security appliances using policy templates
US9451514B1 (en) 2015-02-26 2016-09-20 M87, Inc. Methods and apparatus for efficiently communicating time varying data
US9485244B2 (en) * 2015-03-02 2016-11-01 Citrix Systems, Inc. Executing an operation over file repositories located in different authentication domains using a representational state transfer (REST)-compliant client
US9661050B2 (en) 2015-04-03 2017-05-23 Cox Communications, Inc. Systems and methods for segmentation of content playlist and dynamic content insertion
EP4325804A3 (en) 2015-04-07 2024-05-29 Umbra Technologies Ltd. Multi-perimeter firewall in the cloud
US9948552B2 (en) * 2015-04-17 2018-04-17 Equinix, Inc. Cloud-based services exchange
US10039097B2 (en) 2015-05-04 2018-07-31 Verizon Patent And Licensing Inc. Remote head simultaneously transmitting radio wave
US9843505B2 (en) 2015-05-28 2017-12-12 Cisco Technology, Inc. Differentiated quality of service using tunnels with security as a service
US10678445B2 (en) 2015-06-10 2020-06-09 Microsoft Technology Licensing, Llc Recovery in data centers
US11483405B2 (en) 2015-06-10 2022-10-25 Platform9, Inc. Private cloud as a service
US11558347B2 (en) 2015-06-11 2023-01-17 Umbra Technologies Ltd. System and method for network tapestry multiprotocol integration
US9609482B1 (en) 2015-12-07 2017-03-28 Google Inc. Cloud-coordinated location system using ultrasonic pulses and radio signals
WO2017098326A1 (en) * 2015-12-11 2017-06-15 Umbra Technologies Ltd. System and method for information slingshot over a network tapestry and granularity of a tick
US9992248B2 (en) 2016-01-12 2018-06-05 International Business Machines Corporation Scalable event stream data processing using a messaging system
ES2975242T3 (es) 2016-04-26 2024-07-04 Umbra Tech Ltd Generadores de pulsos de baliza de datos potenciados por Slingshot de información
US10708667B1 (en) 2016-06-28 2020-07-07 Amazon Technologies, Inc. Combining fragments with different encodings
WO2018049649A1 (zh) 2016-09-18 2018-03-22 华为技术有限公司 网络性能测量方法及装置
US10659512B1 (en) 2017-12-05 2020-05-19 Amazon Technologies, Inc. Optimizing adaptive bit rate streaming at edge locations
EP3858103A4 (en) * 2018-09-28 2022-07-13 Sharp Kabushiki Kaisha RADIO ACCESS NETWORK AND ACCELERATED NETWORK ACCESS METHODS
US10958737B2 (en) * 2019-04-29 2021-03-23 Synamedia Limited Systems and methods for distributing content
US11909805B1 (en) * 2019-05-30 2024-02-20 Parallels International Gmbh Local device redirection in remote access computing environments
US11403849B2 (en) 2019-09-25 2022-08-02 Charter Communications Operating, Llc Methods and apparatus for characterization of digital content
US11829853B2 (en) * 2020-01-08 2023-11-28 Subtree Inc. Systems and methods for tracking and representing data science model runs
CN111737304B (zh) * 2020-07-31 2021-03-02 支付宝(杭州)信息技术有限公司 一种区块链数据的处理方法、装置及设备
US11812085B2 (en) * 2020-10-24 2023-11-07 Attn.Live Llc Live voice and media publishing and distribution platform

Also Published As

Publication number Publication date
CN113381994B (zh) 2023-05-02
US20180091417A1 (en) 2018-03-29
CN114079669A (zh) 2022-02-22
ES2951911T3 (es) 2023-10-25
US11108595B2 (en) 2021-08-31
EP3281435A4 (en) 2018-10-10
JP2018519688A (ja) 2018-07-19
EP3761592C0 (en) 2023-07-12
US20230370307A1 (en) 2023-11-16
US10756929B2 (en) 2020-08-25
EP3761592B8 (en) 2023-09-13
HK1252928A1 (zh) 2019-06-06
CN113381994A (zh) 2021-09-10
CN119210937A (zh) 2024-12-27
ES2796473T3 (es) 2020-11-27
EP3761592A1 (en) 2021-01-06
EP3281381C0 (en) 2023-10-04
US20250071000A1 (en) 2025-02-27
EP3281368A1 (en) 2018-02-14
US11799687B2 (en) 2023-10-24
EP3761592B1 (en) 2023-07-12
CN114079669B (zh) 2025-01-07
WO2016162748A1 (en) 2016-10-13
EP4325804A2 (en) 2024-02-21
EP3281381A1 (en) 2018-02-14
US10659256B2 (en) 2020-05-19
US20210044453A1 (en) 2021-02-11
US20200382341A1 (en) 2020-12-03
EP4293979A2 (en) 2023-12-20
US10574482B2 (en) 2020-02-25
US11750419B2 (en) 2023-09-05
CN107852604A (zh) 2018-03-27
CN107637037B (zh) 2021-09-28
CN107873128A (zh) 2018-04-03
US20240129162A1 (en) 2024-04-18
CN113872855A (zh) 2021-12-31
EP4293979A3 (en) 2024-04-17
US20180097774A1 (en) 2018-04-05
US20220191062A1 (en) 2022-06-16
HK1252927A1 (zh) 2019-06-06
CN107873128B (zh) 2021-06-25
US20180097656A1 (en) 2018-04-05
CN107637037A (zh) 2018-01-26
JP2018515974A (ja) 2018-06-14
WO2016162749A1 (en) 2016-10-13
US20220393907A1 (en) 2022-12-08
US11418366B2 (en) 2022-08-16
EP3281435A1 (en) 2018-02-14
HK1249974A1 (zh) 2018-11-16
US20200228372A1 (en) 2020-07-16
US12184451B2 (en) 2024-12-31
US12160328B2 (en) 2024-12-03
US20210392015A1 (en) 2021-12-16
EP3281381B1 (en) 2023-10-04
WO2016164612A1 (en) 2016-10-13
EP4325804A3 (en) 2024-05-29
JP2018518862A (ja) 2018-07-12
EP3281368B1 (en) 2020-05-06
CN113872855B (zh) 2024-06-18
US11271778B2 (en) 2022-03-08
CN107852604B (zh) 2021-12-03

Similar Documents

Publication Publication Date Title
ES2959674T3 (es) Cortafuegos de perímetro múltiple en la nube
US11228519B1 (en) Detection of latency, packet drops, and network hops through a TCP tunnel using ICMP and UDP probes
Karmakar et al. Mitigating attacks in software defined networks
US11546240B2 (en) Proactively detecting failure points in a network
US20200396259A1 (en) Cyber-Security in Heterogeneous Networks
US11671438B2 (en) Detection of latency, packet drops, and network hops through a tunnel by tracing hops therein
US11637766B2 (en) Detection of network hops and latency through an opaque tunnel and detection misconfiguration of tunnels
JP7224422B2 (ja) セキュリティサービスのためのネットワーク機能とセキュリティ機能との間のフローメタデータ交換
US11758025B2 (en) Adaptive tracing using one of a plurality of protocols
US11949578B2 (en) Adaptive probing to discover a protocol for network tracing
US11949663B2 (en) Cloud-based tunnel protocol systems and methods for multiple ports and protocols
US11811633B2 (en) Traceroutes through external proxies
Tudosi et al. Secure network architecture based on distributed firewalls
US20230379405A1 (en) Systems and methods for detecting Destination Network Address Translation (DNAT) in network paths
US11949577B2 (en) Determining the path of user datagram protocol (UDP) traceroute probes
Flauzac et al. Grid of security: A new approach of the network security
US12028237B2 (en) Egress handling for networks with public internet protocol (IP) address
US20240419787A1 (en) Identity threat detection and response
US20240333652A1 (en) Systems and methods to detect and bypass network throttling in User Datagram Protocol (UDP) connections
US20240214363A1 (en) Cloud-based tunnel protocol systems and methods for multiple ports and protocols
US20240422198A1 (en) Systems and methods for providing zero trust access to source applications
US20240314176A1 (en) Dynamically reconfigurable traffic inspection pipeline in zero trust networks
US20240146689A1 (en) Context Aware Client Firewall for Mobile Devices in Cloud Security Systems
US20250007835A1 (en) Egress and private router detection in Internet Protocol Version 6 (IPV6)
Shivaramu et al. A survey on security vulnerabilities in wireless ad hoc high performance clusters