ЗАЩИТА СЕТЕВЫХ СЛУЖБ С ПОМОЩЬЮ СПИСКОВ УПРАВЛЕНИЯ СЕТЕВЫМИ ОПЕРАЦИЯМИ

1. Компьютерная система, имеющая защищенные сетевые службы, содержащая
процессор,
запоминающее устройство и
модуль обработки сетевых операций, который обрабатывает сетевые операции от одной или более сетевых служб, исполняющихся в компьютерной системе;
при этом компьютерная система выполнена с возможностью исполнения по меньшей мере одной сетевой службы, выполняющей сетевые операции совместно с модулем обработки сетевых операций; и
при этом модуль обработки сетевых операций по приему сетевой операции от сетевой службы:
определяет, является ли сетевая операция допустимой сетевой операцией, согласно списку управления сетевыми операциями;
блокирует сетевую операцию, если предшествующее определение дает, что сетевая операция не является допустимой сетевой операцией; и
разрешает сетевой операции выполниться до завершения, если предшествующее определение дает, что сетевая операция является допустимой сетевой операцией.
2. Компьютерная система по п.1, дополнительно содержащая модуль проверки допустимости сетевых операций, при этом модуль обработки сетевых операций определяет, является ли сетевая операция допустимой сетевой операцией, согласно списку управления сетевыми операциями, путем
запрашивания модуля проверки допустимости сетевых операций относительно того, является ли сетевая операция допустимой сетевой операцией, согласно списку управления сетевыми операциями, при этом модуль проверки допустимости сетевых операций имеет доступ к списку управления сетевыми операциями; и
приема ответа от модуля проверки допустимости сетевых операций, указывающего то, является ли сетевая операция допустимой сетевой операцией.
3. Компьютерная система по п.2, в которой по приему сетевой операции от сетевой службы модуль обработки сетевых операций:
определяет, относится ли сетевая операция к типу, который должен быть удостоверен модулем проверки допустимости сетевых операций; и
запрашивает модуль проверки допустимости сетевых операций в отношении того, является ли сетевая операция допустимой сетевой операцией, только если сетевая операция относится к типу, который должен быть удостоверен модулем проверки допустимости сетевых операций.
4. Компьютерная система по п.3, в которой определение того, относится ли сетевая операция к типу, который должен быть удостоверен модулем проверки допустимости сетевых операций, содержит определение того, является ли сетевая операция сетевой операцией создания оконечных пунктов.
5. Компьютерная система по п.3, в которой модуль проверки допустимости сетевых операций определяет, является ли сетевая операция допустимой сетевой операцией, посредством сопоставления сетевой операции с записями в списке управления сетевыми операциями, соответствующими сетевой службе, которая выдала сетевую операцию.
6. Компьютерная система по п.5, в которой каждая сетевая операция ассоциирована с идентификатором сетевой службы, который уникально идентифицирует сетевую службу, выдающую сетевую операцию;
при этом модуль проверки допустимости сетевых операций определяет, является ли сетевая операция допустимой сетевой операцией, посредством сопоставления сетевой операции с записями в списке управления сетевыми операциями, соответствующими сетевой службе, согласно идентификатору сетевой службы в сетевой операции.
7. Компьютерная система по п.6, в которой модуль проверки допустимости сетевых операций определяет, что сетевая операция является допустимой сетевой операцией, если нет записей в списке управления сетевыми операциями, которые запрещают разрешение на сетевую службу.
8. Компьютерная система по п.5, в которой модуль проверки допустимости сетевых операций дополнительно записывает информацию, касающуюся сетевых операций, а также того, являются ли они допустимыми сетевыми операциями, в журнал аудита.
9. Компьютерная система по п.2, в которой список управления сетевыми операциями формируется, по меньшей мере, из одного манифеста операций, соответствующего сетевой службе, причем манифест операций идентифицирует допустимые сетевые операции для соответствующей сетевой службы.
10. Компьютерная система по п.2, в которой модуль обработки сетевых операций - это модуль обработки TCP/IP-стека в компьютерной системе.
11. Машиночитаемый носитель, переносящий машиноисполняемые инструкции, при их исполнении в подключенном к сети компьютеру осуществляют способ защиты сетевых служб на этом компьютере, при этом способ содержит этапы, на которых:
принимают сетевую операцию от сетевой службы;
определяют, должна ли сетевая операция быть дополнительно удостоверена как допустимая сетевая операция, и если должна, то:
определяют, является ли сетевая операция допустимой сетевой операцией для сетевой службы, согласно списку управления сетевыми операциями;
блокируют сетевую операцию, если сетевая операция не является допустимой сетевой операцией согласно списку управления сетевыми операциями; и
разрешают выполниться сетевой операции до завершения, если сетевая операция является допустимой сетевой операцией согласно списку управления сетевыми операциями.
12. Машиночитаемый носитель по п.11, в котором определение того, должна ли сетевая операция быть дополнительно удостоверена как допустимая сетевая операция, содержит этап, на котором определяют, является ли сетевая операция сетевой операцией создания оконечных пунктов, так что допустимость сетевой операции должна быть дополнительно удостоверена, если сетевая операция является сетевой операцией создания оконечных пунктов.
13. Машиночитаемый носитель по п.11, в котором определение того, является ли сетевая операция допустимой сетевой операцией для сетевой службы согласно списку управления сетевыми операциями, содержит сопоставление сетевой операции с записями в списке управления сетевыми операциями, которые соответствуют сетевой службе.
14. Машиночитаемый носитель по п.13, в котором сетевая операция включает в себя идентификатор сетевой службы, который уникально идентифицирует сетевую службу, при этом согласно способу сопоставляют сетевую операцию с записями в списке управления сетевыми операциями, которые соответствуют сетевой службе, идентифицированной посредством идентификатора сетевой службы.
15. Машиночитаемый носитель по п.14, в котором, если нет записей в списке управления сетевыми операциями, соответствующих сетевой службе, идентифицированной посредством идентификатора сетевой службы, сетевая операция определяется как допустимая сетевая операция.
16. Машиночитаемый носитель по п.11, в котором способ дополнительно содержит этап, на котором записывают результаты определения того, является ли сетевая операция допустимой сетевой операцией для сетевой службы, в журнал аудита.
17. Машиночитаемый носитель по п.11, в котором список управления сетевыми операциями содержит записи, сформированные, по меньшей мере, из одного манифеста, соответствующего, по меньшей мере, одной сетевой службе.
18. Способ защиты сетевых служб на вычислительном устройстве, подключенном к сети, содержащий этапы, на которых:
принимают сетевую операцию от сетевой службы, функционирующей на вычислительном устройстве;
определяют, относится ли сетевая операция к типу, который должен быть удостоверен как являющийся допустимой сетевой операцией, и если относится:
получают идентификатор сетевой службы, уникально идентифицирующий сетевую службу,
определяют, является ли сетевая операция допустимой сетевой операцией для сетевой службы согласно одной или более записям в списке управления сетевыми операциями, которые соответствуют сетевой службе, идентифицированной посредством идентификатора сетевой службы, и
блокируют сетевую операцию, если сетевая операция не является допустимой сетевой операцией согласно списку управления сетевыми операциями.
19. Способ по п.18, в котором определение того, относится ли сетевая операция к типу, который должен быть удостоверен как являющийся допустимой сетевой операцией, содержит этап, на котором определяют, является ли сетевая операция сетевой операцией создания оконечных пунктов, и допустимость сетевой операции должна быть дополнительно удостоверена, если сетевая операция является сетевой операцией создания оконечных пунктов.
20. Способ по п.18 в котором, если нет записей в списке управления сетевыми операциями, соответствующих сетевой службе, идентифицированной посредством идентификатора сетевой службы, сетевая операция определяется как допустимая сетевая операция.