网络安全新技术？确定性网络安全防御技术简介（又称”通行证“防御技术）
广义定义：什么是网络病毒？任何在网络上能传的计算机病毒都是网络病毒，那么什么是计算机病毒？任何计算计算能运行的病毒都叫计算机病毒。真是难懂。（国内的网络安全资料都是这样的）
查了一堆资料后，特别是老外的资料才明白些。网络病毒指病毒代码中包含上网功能代码的叫网络病毒（在早期，直接感染邮箱程序，社交软件程序的网络病毒具有控制邮箱和社交软件上网功能的，也是网络病毒，现在在大公司的打压下，几乎已近绝迹了）。
所以没有上网功能的病毒只能称为文件病毒，有上网功能代码病毒才可以称为网络病毒。（所为的文件病毒的防御，还是老套路，运行监控、病毒查杀、防毒墙。），文件病毒仍需要安装杀毒软件和运行监控软件。
网络病毒激活后，其上网代码功能作用区分为后门攻击、IP随机扫描攻击（病毒已知可攻击的端口号，所以不需要端口扫描），因此有了木马和蠕虫病毒（百度百科：网络病毒-类型，木马病毒-原理，蠕虫病毒-结构原理）。当然某些网络病毒同时具有这两种攻击方式，如：勒索，DUQU等。而确定性防御技术就是针对这两个“原理”实施的防御技术。
确定性网络安全防御技术是在交换机上应用两个发明专利技术实现的，为了避免网络病毒的规避行为，不采用病毒代码特征、数据包特征、行为特征、IP等为检测和防御依据，攻击者可以通过重编译、加密、调整流量和扫描行为，修改源IP等进行规避。
2.确定性防御技术原理说明
1）采用VLAN构造访问控制来代替ACL。（一种基于VLAN构造的访问控制方法，发明专利号：202110022713.8）
2）采用用户组VLAN防主机IP扫描（同组可以寻址访问（通讯），不同组不能寻址访问（通讯））：（一种基于用户组VLAN的防主机IP扫描方法，发明专利号： 202011576510.5）
第一个专利的作用：在于用VLAN标签来实现通讯访问对象范围授权，实现访问控制管理和数据访问通道的保护。
所有数据都在授权的用户组VLAN中传输，可以跨越物理边界，但不能跨越用户组VLAN逻辑网络的封闭边界。
第二个专利的作用：由于计算机被授权允许的访问对象全部在其加入的VLAN用户组中（可加入多个VLAN用户组，而非授权的访问对象和空号IP并不在其中，因此计算机ARP缓存表中不可能有非用户组成员的MAC地址。当IP随机扫描非组成员时，不得不调用操作系统ARP寻址。触发广播寻址。故解决了侦听困难问题。通过比对是否是成员间的目标寻址。就可以判别是否是IP扫描。即通过成员寻址检测就可以完成对IP漏洞扫描攻击的防范。IP巨大的空间地址成为IP扫描攻击不可规避的陷阱。实现主动准确的入侵防御功能。
显然，该防御技术不依赖于攻击者可以操控的特征进行防御。依赖的是用户按IT系统访问数据流构造的逻辑通讯架构和成员架构，针对病毒攻击原理设计的网络防御方案。
3）由于VLAN标签不受操作系统、应用程序所控制和修改，第三方通讯设备可以在数据包发送至交换机端口时强制标记。网络病毒程序无法修改，甚至无法感知。不会如可信证书那样可以伪造、盗取或仿冒（卡巴斯基DUQU2.0案例）。因此其可信度不亚于可信计算技术。
3. 与其他网络防御方案的比较
1）不需要病毒数据特征库和行为特征库升级，免维护。
2）不影响通讯传输质量、不受网络链路冗余切换机制影响、保护成本低
3）APT攻击也能防御，布防简易
主动防御、全面感知、及时准确（扫描阶段）、原理清晰、设计简单、防御全面等等。
4.等保2.0防御方案设计
等保防御方案设计要求规范（GB/T25070-2019，工业网络安全）
1）安全防御系统功能要求（完全符合）
2）安全防御的逻辑架构（可以直接设计和对应满足设计要求）
结论：
1) 任何数据包必须也只能在VLAN标签授权范围内访问和传输，即使需要跨越物理网络边界，也不存在跨越逻辑边界的可能。（企业多层级网络的边界跨越和传输通道保护）同时解决了接入控制、设备的访问控制、边界的防护、数据传输通道的保护、以及安全策略的一致性。也解决了内联外联的问题
实现安全边界防御策略和通讯传输的安全防御策略
2)任何可信技术：取决于的逻辑推论完备证明或测试方案完备的测试证明，关键在于对安全策略完备验证。
任何非授权的非法访问的企图（可信验证完备）能够全部发现，由于VLAN标记的隔离效应，不能建立数据链。并且不能获取通讯对象的MAC地址，只能在VLAN用户组中进行ARP寻址广播，或以太网二层总线的广播寻址和通讯（泛洪方式）。因此通过全员非授权寻址侦听验证，能够发现任何非授权的寻址行为。在建立数据链路（ARP寻址）的阶段，依据VLAN标签“通行证”的授权对象访问范围。将被报警、源IP阻断或源端口阻断。同时解决了防入侵检测和可信验证。（常规所谓的可信验证与安全防护策略没有相关性，不知如何判断数据包是否违反了安全防护策略，无法进行可信验证）
实现可信的边界防护、传输通道保护和访问控制验证。（防御策略可信验证）
3）VLAN标签，攻击者无法篡改、伪造、感知。
虚拟逻辑网络采用统一规划配置设计、单独或统一下发相互匹配的配置。运行状态时，配置版本号一致性轮询互检（攻击者无法同时修改所有交换机配置），ROM只读烧录，配置变更报警。即使攻击者的数据包标记了VLAN，在入网时也会被强制修改。网管软件和通讯设备配置通道采用专用VLAN。网络人员需双因数口令管理。
拓扑发现技术和接入设备成员ARP检测（源和目的），阻止变更物理拓扑、内联接入和外联通讯通道的攻击可能。
实现可信的配置。（真正的零信任，可信证书也不信任）
安全策略的可信验证和可信配置图如上图所示：（是独立第三方对非授权访问寻址的全检测，和是否是授权访问准确判别。没有可信度多少问题。（100%）判别也是确定性的。）实际上是完备的确定性验证。关于可信根问题：已经是独立第三方检测验证了，不需要再用可信根、可信证书来模拟独立第三方检测验证
在一个按IEEE802标准设计的私有网络中（局域网和城域网是一个标准）：如：企业网
等保设计和网络病毒防护方案设计不再困难。而且可以采用确定性的防护方案。
备注：
1）节点子系统的自主访问控制是应用软件系统访问控制（班组、操作员口令等，应用软件系统自带功能），强制访问控制指计算机操作系统的域或用户组的标记访问控制，由“用户组VLAN”替代。（很多设备如：PLC、控制器、智能设备的嵌入式操作系统无此功能，操作系统不一致也无法实现）
2）支撑子系统：一般指操作系统安全标记防护策略（用户组或域）、通讯系统安全策略（接入、内联、外联）、防护设备（防火墙）安全策略的三者防护策略一致性。本方案中都用统一的交换机用户组VLAN取代。只要统一规划网络交换的用户组VLAN，就完成了一致。
3）三项管理中心子系统：有双因数口令的安全网管软件完成：
1.系统管理子系统：完成信息系统资源配制，身份管理等
a.完成通讯网络资产管理: 网络设备管理权，团体名、冗余机制设置等
b.物理网络拓扑管理:拓扑发现、链路冗余机制（环网、子环、耦合）等
交换机网络通讯功能配置：授权配置下载、各交换机联网配置一致性检测和确认
2. 安全管理子系统：是系统的安全中枢，主要管理标记、授权、可信管理等
a.统一规划逻辑网，对网络端口分配VLANID标记，并根据防护策略（用户组防护策略）允许放行VLANTAG（VLAN标签），完成统一标签授权、访问控制、边界防护、跨界访问通道保护。
b.按安全策略显示空闲端口或已经阻断的端口和IP
3. 审计子系统：是系统的监督中心，是审计员制定安全策略、系统强制处理，紧急处理和审计行为等。
a.日志记录网络安全异常事件：物理网络拓扑变更，接入设备或设备离线，通讯设备故障、可信验证检测的网络攻击事件和误操作事件（如：网卡网关误设置、应用程序目的IP误设）。
b.按报警的IP渗透攻击源的端口和IP提示，手动操作关闭通讯端口或切断源IP。或仅仅报警确认。
扩展应用：
私有云和物联网：由于VLAN标签穿透VPN加密通道。所以不存在问题，可以构架大的城域网。
公有云：可以采用VXLAN来实现客户隔离、并采用VLAN实现客户本身的业务隔离。
顺便提醒一下：VLAN本身是一种网络层安全管理的强制（标记）访问控制技术，也是用得最多的强制访问控制技术。VLANID是逻辑网络端口身份标识，而VLAN TAG（标记）就是强制访问控制标记。数据包发送时，需要按端口身份打印标记，数据包接收时，需要按端口身份的授权, 接收拥有允许访问标记的数据包。
与等保推荐的可信验证技术,在典型应用层建立强制访问制相比,具有不可替代的优势. 如:在应用层的读命令格式, 是首地址加长度.无法在标准应用层嵌入强制访问控制标记. 用VLAN标记授权计算节点的访问控制,非授权设备无法恶意访问攻击计算节点.等等.,与自主访问控制技术相比,强制访问控制的标记嵌入在每一个数据包中,特别是网络层的VLAN标记,可以嵌入在网络任何层级的数据包中,是等级最高的安全防护标记.任何非授权窃听和数据篡改都可以防止.
有人希望如等保要求那样，VLAN标记强制访问控制关联到具体的工程应用客户主体，也是可以的。无非是增加几个网口（主要时数据库服务器或某些多应用服务器），根据GB17859（4.4.2），建议对访问控制分两类（即安全等级分类），就可以了。
这样通过不同的端口。就实现了强制访问控制的安全等级分类。相当于数据库服务器需要按不同安全级别配置多个网络端口（应用程序合并同一台计算机）。以保证安全等级不同的VLAN访问控制标识通道和计算机系统或应用程序的不同安全级别访问资源对应。（注：在VLAN标记保护下、即没有网络窃听和篡改的风险下，端口号标记（套接字）是最好的应用层强制访问控制标记，每个数据包有嵌入该标记）
直白总结一下等保安全等级要求：
1）一级和二级——计算机网络保护技术
2）三级或以上——需要一个按保密等级分类的局域网，绝密、保密、普通
由于没有基于VLAN的访问控制技术，只能在应用层做标记，确定性防御技术提供了基于VLAN标记的虚拟网络的等级处理，即绝密网、保密网、普网。
确定性网络防御技术是否是最先进的？在LAN内的确如此！
所有的网络攻击条件和手段：
——在网络层未隔离条件下才能发起攻击（包括ARP攻击），以建立未授权的套接字通讯链路或破坏授权的套接字通讯链路为手段，无一例外。
解决方案：
——直接根据IT典型应用系统通讯需求采用VLAN标记授权，阻止对非授权开放逻辑网络，进行端到端保护授权的套接字通讯链路
注：套接字（IP+PORTS软件端口号）
