具有设备隔离的网络功能虚拟化架构制造技术

网络系统包括中央处理单元和与中央处理单元电通信的外围设备。外围设备具有至少一个功率输入和一个数据输入。网络系统还包括与中央处理单元电通信的、外围设备和外部管理接口的带外控制器。响应于识别的威胁，带外控制器被配置为禁用对外围设备的至少一个功率输入和数据输入，其中禁用向中央处理单元指示相对于外围设备发生了热插拔事件设备。带外控制器还被配置为启用对外围设备的辅助功率，使得带外控制器在修复所识别的威胁期间保持与外围设备的通信。

【技术实现步骤摘要】
具有设备隔离的网络功能虚拟化架构
技术介绍
网络功能虚拟化(NFV)是指使用信息技术虚拟化来将网络节点功能的类虚拟化为构造块的架构。构造块用于生成用于供应通信以及其他网络服务的虚拟化网络功能。在一些实现中，虚拟化网络功能由虚拟机组成，所述虚拟机运行服务器、交换机、存储设备等上方的不同类型的软件以及过程。NFV架构利用这些虚拟化网络功能来替换在传统网络系统中找到的定制硬件组件中的一些。附图说明本专利技术的说明性实施例以下将参考附图来进行描述，其中，相似的附图标记指示相似的元件。图1是根据说明性实施例的网络系统的框图。图2是根据说明性实施例的对图1的网络系统的攻击的响应的框图。图3是根据说明性实施例的描绘了用于下一代端局(NGCO)的网络系统的威胁响应的框图。图4是根据说明性实施例的描绘了响应于威胁而由网络系统执行的操作的流程图。图5是根据说明性实施例的描绘了用于改进网络系统性能的操作的流程图。具体实施方式在包括网络功能虚拟化(NFV)架构的传统网络架构中，当系统被怀疑受到威胁，或者已知受到由恶意实体进行的威胁，则该系统通常被隔离以用于恢复、完全关闭、和/或重新格式化。这是困难的过程，因为所得到的网络转变的部分涉及将工作负载移动得更靠近消费者(例如，靠近端局(CentralOffice)(CO)或下一代端局(NGCO))。另外，具有系统组件的物理中间件通常需要服务技术人员的部署，这可能是消耗时间并且昂贵的。在网络架构中可用的硬件资源的数量通常是有限的。因此，关闭服务器(或者其他重要资源)并且从池中移除该资源导致网络性能和/或访问问题。所描述的是利用设备隔离来改进恶意攻击事件中网络的恢复以及安全的网络架构。所提出的方法和系统允许网络系统维护针对客户的良好的性能水平，同时通过切断攻击者而积极地响应威胁。所提出的系统和方法还实现无人NFV网络部署的保护，例如，在零日以及其他漏洞事件中虚拟用户前端设备(CPE)系统。所描述的系统和方法通过将对所有PCIe连接设备(NIC、存储装置等)以及其他连接的设备的控制给予实现SM总线(或者其他)控制器的带外设备(例如，基板)来提供强有力的威胁响应工具。如本文所描述的，带外指的是使用数据/通信信道，其独立于由系统使用的带内数据/通信信道中的主数据/通信信道。带外设备与客户代码运行于其中的标准NFV平台相比，更难以访问。所提出的系统和方法可以用于响应于多个不同类型的攻击，包括零日访问升级攻击。零日访问升级攻击允许用户逃避访客虚拟机(VM)，并且访问，其是由虚拟化服务的任何提供者(例如，通信服务提供者)所面对的最大威胁中的一个。在一个实施例中，为了防止恶意攻击者，受怀疑的系统与互联网(或者其他通信网络)断开连接来阻止攻击者访问系统。如果系统受到威胁，则对系统上的任何数据的访问都是可能的，并且是可能导致严重后果的大威胁。在另一实施例中，网络系统的访问和存储组件是与远程位置安全隔离的，以便防止恶意实体继续其在系统上的攻击。组件隔离还减少或者消除用于终端客户的服务停止，并且防止对受威胁系统上的客户数据的访问。如下文更详细描述的，设备隔离是独立于中央处理单元(CPU)以及网络系统的任何可访问的资源执行的，因为它们不再是可信任的。更具体地的，本文描述的是在攻击事件中用于将对存储、联网、现场可编程门阵列(FPGA)以及其他外围设备(例如，快速外围组件互连(PCIe)设备)的功率控制从操作系统(OS)移动到带外设备的系统和方法。FPGA是指被设计为在制造过程之后由客户/设计者配置的集成电路。PCIe设备是指告诉串行计算机扩展总线标准，其允许计算系统与各种外围设备接合。所提出的方法和系统允许操作者阻挡平台(例如，端局(CO))上的攻击，而不中断客户工作负载。所提出的方法和系统允许PCIe设备通过更加安全的带外方法来进行控制，使得即使攻击者闯入平台，他们也不能将任何数据从平台移除。当设备在功率或者热能受限的环境中时，所提出的方法和系统也允许操作者迫使PCIe设备在热或功率问题事件中离线。另外，功率管理集成电路(PMIC)以及缓冲器合并到设备的PCIe卡允许跨多个不同系统和组件(例如，网络接口控制器(NIC)、固态驱动器(SSD)等)的区别。图1是根据说明性实施例的网络系统的框图。网络系统包括中央处理单元(CPU)105，其通过PCIe总线107与多个PCIe设备电通信。如本文所使用的，电通信是指在实现组件之间的信息的单向或双向交换的组件之间的任何有线或无线连接。在替代实施例中，CPU105可以通过结构、网状互连等的方式来与外围组件通信。CPU105可以是本领域已知的任何类型的计算机处理器和/或计算机控制器。在替代实施例中，网络系统可以包括多个CPU。PCIe设备包括用于实现网络连接的第一网络接口控制器(NIC)100、用于实现网络连接的第二NIC115、用于实现客户连接的第三NIC120、FPGA125以及SSD130。NIC是指用于使用指定的物理层和数据链路层标准来将计算系统连接到网络的任何硬件/软件组件。网络连接可以是互联网连接、局域网(LAN)连接、蜂窝网络连接等。这些PCIe设备可以是本领域已知的任何类型的NIC、FPGA以及SSD。在替代实施例中，网络系统可以包括更少、额外的、和/或不同的PCIe设备。在另一替代实施例中，除了(或替代)PCIe设备，网络系统可以包括任何类型的外围设备，例如，串行高级技术附件(SATA)设备等。CPU105被配置为在网络系统的正常操作期间，控制PCIe设备和/或其他设备。控制器135通过系统管理总线(SM总线)137的方式与CPU105以及PCIe设备进行电通信。控制器135是带外控制器，其他实体(例如，网络系统的攻击者)不可访问该带外控制器。在另一替代实施例中，控制器135是微控制器，在攻击的事件中，该微控制器成为网络系统的主控制器，并且使得CPU105成为辅助控制器。在替代实施例中，控制器135可以是本领域已知的任何类型的计算机处理器或控制器。虽然在图1的网络系统中描绘的单个SM总线137，但是在替代实施例中，网络系统可以包括多个SM总线。控制器135是与外部管理接口140电通信的。外部管理接口140实现远程技术(或者远程软件)以通过不可由攻击者访问的安全连接来访问和控制控制器135。外部管理接口140可以允许全部或者部分专用的远程操作者计算设备(例如，膝上型计算机、桌面计算机、平板计算机、智能电话等)来访问控制器135。外部管理接口140还包括存储在远程计算设备中的应用或软件。在替代实施例中，在攻击或可能的攻击事件中，外部管理接口140受人类操作者访问和控制。在替代实施例中，外部管理接口140可以受软件控制，所述软件被设计为对攻击或潜在的攻击进行响应。在替代实施例中，网络系统利用控制器135和外部管理接口140(或者与外部管理接口140相关联的计算系统)之间的共有认证/密钥交换。当控制器135和外部管理接口140被添加到网络系统，并用于防止控制器135和/或外部本文档来自技高网...

【技术保护点】
1.一种网络系统，包括：/n中央处理单元；/n外围设备，其与所述中央处理单元电通信，其中，所述外围设备具有至少一个功率输入和数据输入；以及/n带外控制器，其与所述中央处理单元、所述外围设备以及外部管理接口电通信，其中，响应于识别的威胁，所述带外控制器被配置为：/n所述禁用对所述外围设备的所述至少一个功率输入和所述数据输入，其中，所述禁用向所述中央处理单元指示相对于所述外围设备发生了热插拔事件；以及/n启用对所述外围设备的辅助功率，使得所述带外控制器在修复所述识别的威胁期间保持与所述外围设备的通信。/n

【技术特征摘要】
20180705 US 16/027,7761.一种网络系统，包括：
中央处理单元；
外围设备，其与所述中央处理单元电通信，其中，所述外围设备具有至少一个功率输入和数据输入；以及
带外控制器，其与所述中央处理单元、所述外围设备以及外部管理接口电通信，其中，响应于识别的威胁，所述带外控制器被配置为：
所述禁用对所述外围设备的所述至少一个功率输入和所述数据输入，其中，所述禁用向所述中央处理单元指示相对于所述外围设备发生了热插拔事件；以及
启用对所述外围设备的辅助功率，使得所述带外控制器在修复所述识别的威胁期间保持与所述外围设备的通信。


2.如权利要求1所述的网络系统，其中，所述外围设备包括快速外围组件互连(PCIe)设备，并且其中，所述PCIe设备具有PCIe卡，所述PCIe卡包括功率管理集成电路(PMIC)和缓冲器。


3.如权利要求2所述的网络系统，其中，所述带外控制器使用所述PMIC来禁用对所述PCIe设备的所述至少一个功率输入。


4.如权利要求2所述的网络系统，其中，所述带外控制器使用所述缓冲器来阻止所述数据输入。


5.如权利要求2所述的网络系统，还包括系统管理总线，其中，所述PMIC和所述带外控制器连接到所述系统管理总线。


6.如权利要求1所述的网络系统，其中，所述外围组件包括与外部网络电通信的网络接口卡(NIC)。


7.如权利要求1所述的网络系统，其中，所述带外控制器被配置为在禁用所述至少一个功率输入之前向所述中央处理单元发送警告，使得所述中央处理单元能够完成涉及所述外围组件的例程。


8.如权利要求7所述的网络系统，其中，所述中央处理单元被配置为响应于所述警告向所述带外控制器发送响应，其中，所述响应指示所述禁用可以进行。


9.如权利要求8所述的网络系统，其中，所述带外控制器被配置为响应于在发送所述警告之后的阈值时间段期满而进行对所述至少功率输入的禁用，而不管所述中央处理单元是否向所述带外控制器发送所述响应。


10.如权利要求1所述的网络系统，还包括管理程序，其与所述中央处理单元电通信，其中，所述带外控制器被配置为确定所述管理程序是否由于所述识别的威胁而受到损害。


11.如权利要求10所述的网络系统，其中，所述带外控制器被配置为指示所述中央处理单元在所述管理程序上进行测试，其中，所述测试的结果由所述带外控制器使用来确定所述管理程序是否受到损害。


12.如权利要求10所述的网络系统，其中，所述带外控制器指示所述中央处理单元用于通过系统管理总线的方式或通过所述带外控制器和所述中央处理单元之间的单独通信路径的方式来进行所述测试。


13.一种对网络系统中的威胁进行响应的方法，所述方法包括：
由带外控制器接收用于响应于识别的威胁而禁用外围设备的指令，其中，所述外围设备与中央处理单元电通信，并且其中，所述外围设备具有至少一个功率输入和数据输入；
由所述带外控制器禁用对所述外围设备的所述至少一个功率输入和所述数据输入，其中，所述禁用向所述中央处理单元指示相对于所述外围设备发生了热插拔事件；以及

【专利技术属性】
技术研发人员：K·迪维，J·布朗，C·麦克纳马拉，E·沃尔什，B·理查森，A·坎宁安，N·鲍尔，D·亨特，C·魏，E·塔米尔，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国;US