CN100456692C - 可扩展广谱安全扫描分析系统及其使用方法 - Google Patents

Abstract

本发明公开了一种可扩展广谱安全扫描分析系统。该系统具有调度引擎、扫描规则库、协同规则库和分析知识库，调度引擎中不包含扫描规则、协同规则和分析知识的内容，因此称之为“零知识调度引擎”。调度引擎中包括调度器、协同规则解析引擎、扫描规则解析引擎、分析知识解析引擎以及对象信息获取代理，由调度器进行统一调度；协同规则解析引擎连接协同规则库，扫描规则解析引擎连接扫描规则库，所述分析知识解析引擎连接分析知识库；调度引擎通过对象信息获取代理获取分析对象的信息，并将结果放入结果库中。本系统通过对各安全产品的深度耦合、协同和管理，能够通过协同不同安全产品共同完成单项技术无法完成的安全防护功能。

Description

可扩展广谱安全扫描分析系统及其使用方法

技术领域

本发明涉及一种安全扫描分析系统，尤其涉及一种具备可扩展性的广谱安全扫描分析系统，也涉及到该安全扫描分析系统的使用方法，属于信息安全技术领域。

背景技术

为了解决网络信息安全的问题，人们陆续研发出防火墙、入侵监测、漏洞扫描、认证及审计等多项安全技术措施。这些安全技术措施能在一定程度上保证信息网络的安全。但是，信启安全领域的技术发展一日千里，没有任何一种单独的技术措施能够完全解决信息安全领域的所有问题。

为此，人们往往会同时采取多种技术措施来应对复杂、动态、多维的网络安全威胁。但是，不同安全技术措施之间存在防护盲区，无法有机管理和协同，同时还极大增大了管理成本和管理负担，并会给网络系统引入了新的安全隐患。因此，仅仅通过几种信息安全产品的各自为战或简单堆砌早已不适应信息安全的客观要求。

针对上述的不足，人们提出了网络安全综合管理平台的技术理念，即在一个统一的管理平台上实现对不同安全产品和设备的统一管理和部署，在一个整体的控制和调度框架下有机协同不同产品进行共同防护，这样将会在极大降低安全管理成本的同时大大提高安全防护机制的强度。近年来，已有一些著名的安全厂商推出各具特色的网络安全管理平台产品，如赛门铁克(Symantec)的集中开放式安全管理系统(SESA)、IBM的Tivoli等、启明星辰的网络安全资源管理平台等。

但是，现有的网络安全管理平台基本上是以对几种自己开发的或第三方的核心功能产品进行统一管理配置作为基础功能，由于不同的安全产品系统结构和管理接口没有统一的标准，这种管理配置也只能是浅层次的，平台所管理的不同产品之间是松散耦合的关系，不同产品之间的协同也只停留在对几种产品的日志信息进行统计分析的层面上，没有更深入有效的有机协同机制。概括来讲，现有的网络安全管理平台存在以下几方面的缺陷：

第一，仅仅注重不同安全产品的集中配置和管理，对产品的管理通常是松散和浅层次的，不能完全满足对产品进行全面管理配置的需要，开放性和可扩展性较差；

第二，处于平台管理之下的不同产品之间是一种松散耦合的关系，不同产品之间没有有机的协同机制，不能有效利用不同安全产品进行协同防护；

第三，每增加对一个新产品的管理都要做大量的开发工作，使得平台不能与安全技术和产品的快速发展保持同步，无法提供最好的服务。

要实现对不同安全产品的深层次管理和有效协同，必须从系统架构和产品引擎的层次对不同安全产品和系统进行耦合、协同和管理。这类在产品架构和系统引擎级进行深度耦合的管理平台为紧耦合结构安全管理平台。但到目前为止，现有技术中还没有符合深度耦合要求的安全管理平台出现。

发明内容

本发明的目的在于针对上述现有技术的不足，提供一种具有紧耦合结构的安全管理平台，我们称之为可扩展广谱安全扫描分析系统。该系统能够对不同的安全产品在产品架构和系统引擎层面进行深度耦合。

本发明的另外一个目的在于提供该安全扫描分析系统的使用方法。

为实现上述的发明目的，本发明采用下述的技术方案：

一种可扩展广谱安全扫描分析系统，其特征在于：

所述系统具有调度引擎、扫描规则库、协同规则库、分析知识库和结果库，其中所述调度引擎中包括调度器、协同规则解析引擎、扫描规则解析引擎、分析知识解析引擎以及对象信息获取代理，由所述调度器进行统一调度；

所述协同规则解析引擎连接所述协同规则库，所述扫描规则解析引擎连接所述扫描规则库，所述分析知识解析引擎连接所述分析知识库；

所述调度引擎通过所述对象信息获取代理获取分析对象的信息，并将分析结果放入所述结果库中。

其中，所述调度引擎与所述扫描规则库、协同规则库和分析知识库分离。

所述调度引擎有多个，彼此之间通过内部安全通信协议进行通信。

一种使用上述的可扩展广谱安全扫描分析系统的方法，包括如下步骤：

(1)将扫描规则库、协同规则库、分析知识库与调度引擎进行分离；

(2)所述调度引擎中的调度器从对象信息获取代理处获得分析对象的信息，按照所述协同规则库中的协同规则，结合所述分析知识库中的知识，利用扫描规则解析引擎对所述分析对象进行安全扫描与分析；

(3)所述调度引擎将分析结果放入结果库中。

本发明所提供的可扩展广谱安全扫描分析系统是一种紧耦合结构的安全管理平台，该平台将分析引擎中的扫描规则剥离出来，使之成为纯粹的调度引擎，再配合协同规则，从而能够通过协同不同安全产品来共同完成单项技术无法完成的安全防护功能。它能够有效支持安全隐患发现机制和应急响应机制的建立，从而构建高强度的人机协同信息安全维护体系，加强信息安全保障强度。

附图说明

下面结合附图和具体实施方式对本发明作进一步的说明。

图1为一个现有的安全扫描分析系统的系统逻辑架构图。

图2为不同的分析引擎之间进行协同时的逻辑架构图。

图3为本发明所述的可扩展广谱安全扫描分析系统的抽象结构图。

图4为本发明所述的可扩展广谱安全扫描分析系统的体系结构图。

图5为不同调度引擎协同工作时的系统运行部署架构图。

具体实施方式

从安全防护机制的角度来讲，所有的安全产品从本质上可以划分为两类，一类是基于系统自身结构保证安全的，如加密设备和防火墙等，这类设备部署在网络系统中将会改变系统的自身运行结构以增强安全防护强度；另一类是基于人机协同机制保证安全的，如入侵检测、漏洞扫描、病毒扫描等，这类产品的主要功能是获取和分析各种安全相关的信息并为安全管理人员提供决策支持信息，通过人机的共同协作完成入侵的消除、安全隐患的弥补、病毒信息的隔离等。

当前，以密码机和防泄漏为核心技术构造的链路层防范体系较为成熟，其安全强度很高，但不适于在开放网络环境中部署；以防火墙和密码协议为核心技术构造的传输层防范体系适合于在开放网络环境中部署，但是由于技术产品自身的局限性，传输层防范体系安全强度较低；在实际应用中，传输层防范体系和相关技术产品都需要借助人机协同信息安全维护体系提高其安全强度。

然而，维护体系的构造远比防范体系更为复杂，因为防范体系执行有限确知的任务，而维护体系是在不确知的环境中发现安全隐患并给出相应的应急策略。身份识别、入侵检测、病毒扫描、漏洞评估、安全审计、协议分析等，服务于维护体系建设的产品层出不穷，却没有支持完整构造维护体系的技术和产品。事实上，支持完整构造人机协同信息安全维护体系的核心技术和产品是信息安全所急需的，本发明所述的广谱安全扫描分析系统就是为满足这类需求研制开发的。

为了便于理解本广谱安全扫描分析系统的体系结构，首先介绍该系统的抽象概念模型。

如图1所示，一个通常的安全扫描分析系统的逻辑架构是这样的：该系统以分析引擎为中心，分析知识库和待分析数据分别与分析引擎连接，分析引擎根据分析数据库和分析数据所提供的信息进行分析，所得到的分析决策传送给结果库。现有分析系统的扫描算法是硬编码到分析引擎内部的。因此，当需要调整或优化扫描算法时，需要直接对系统的分析引擎代码进行修改。

当不同产品需要有机协同完成某些工作时，比如入侵检测引擎需要和漏洞扫描引擎以及审计分析引擎进行协同工作时，就需要设定单独的协同算法和协同机制，并在需要协同的引擎中对协同算法和机制进行硬编码，其逻辑架构如图2所示。上述协同机制的概念在现有松散耦合的安全管理平台中也有体现，其具体内容因参与协同的引擎的不同而有所区别。作为现有技术，在此就不详细解释了。

在协同工作的情况下中，各分析引擎之间的协同机制是通过硬编码到需要进行协同的分析引擎内部来实现的。除非对分析引擎代码进行直接修改，否则无法调整和改变协同机制。

在图1和图2所描述的技术内容基础上，本发明人提出了如下的技术解决方案：

用扫描规则表述扫描算法，将硬编码的扫描算法从分析引擎中分离出来；用协同规则表达不同引擎间的协同语义，将硬编码的协同机制也从分析引擎中分离出来。此时，分析引擎的功能被拆解，扫描算法和协同机制从分析引擎中析出，仅仅剩下进行协调调度的功能。因此，我们将上述经过功能拆解后的分析引擎改称为调度引擎。该调度引擎用统一的对象代理处理不同分析对象的数据，使之可以适应不同种类的扫描。于是一个安全扫描分析系统可以演化为图3所示的逻辑架构：该系统以调度引擎为中心，分析知识库、分析对象库、协同规则库、扫描规则库共同服务于该调度引擎，调度引擎所获得的结果送入结果库之中。

将图3所示的概念模型映射到常见的安全扫描分析类系统如入侵检测、安全审计、病毒扫描等，并进行进一步归纳，就可以得到本发明所述的广谱安全扫描分析系统的体系架构。

该体系架构如图4所示，它以调度引擎为中心。该调度引擎中包括调度器、协同规则解析引擎、扫描规则解析引擎、分析知识解析引擎以及对象信息获取代理。协同规则解析引擎则负责解析各条协同规则的内容。扫描规则解析引擎则按照扫描规则的规定，负责进行对病毒、网络攻击、扫描刺探、系统漏洞、协议漏洞等网络安全漏洞的扫描和防范。分析知识解析引擎负责从包含病毒、网络攻击、扫描刺探、系统漏洞、协议漏洞在内的分析知识库中获取有关网络安全的知识。对象信息获取代理作为调度引擎与分析对象的接口，负责将作为分析对象的程序、文件、日志、报文、进程等内容提供给调度器。调度器实际上是本系统所确定的调度算法的逻辑抽象，它作为整个调度引擎的中心，首先负责从对象信息获取代理处获得有关对象的信息，并按照协同规则解析引擎解析得到的协同规则，结合分析知识库的有关知识，利用扫描规则解析引擎进行安全扫描与分析。安全扫描的分析结果放入结果库中。

作为一个实用的广谱安全扫描分析系统，在上述调度引擎之上还具有人机交互接口和应急响应辅助工具。其中人机交互接口负责进行系统管理、策略分配、规则管理和信息处理等方面的工作。

通过上述知识、规则及对象逻辑分离的多层次体系结构，本系统实现了调度引擎和扫描规则及分析知识的完全分离，使得系统可以通过修改扫描规则库和分析知识库的方式进行灵活的功能扩展和生长，并以统一的体系架构提供了对入侵检测、安全审计、漏洞扫描、病毒扫描等常见的扫描与分析类网络安全系统的完全支持。这就是本系统被称为可扩展广谱安全扫描分析系统的原因所在。另外，将扫描规则和协同规则从系统中分离出来，一方面可以使得调度引擎功能更加单一、系统的整体结构更加清晰，另一方面，由于系统的扫描算法和协同机制可以通过规则管理和配置的方式进行动态调整和控制，使得管理员可以通过灵活、可定制的方式对系统的关键行为进行调整和深层次配置，充分体现了紧耦合安全平台的优点。

本系统在实际实施的过程中，是通过调用各个不同的原子扫描构件进行工作的。所谓原子扫描构件是对一类数据信息结构执行单项扫描分析操作并给出单元级分析结果的扫描功能单元。它是一个静态的功能组件，与一个原子任务绑定后形成一个原子扫描构件实例，能够提供针对特定数据结构的特定分析扫描功能。它与任务的绑定是在实例化时由调度引擎根据扫描场景上下文完成的。在系统的扫描分析操作执行过程中，由调度引擎根据分析场景上下文激活相应的原子扫描构件，每个原子扫描构件与分析知识点信息绑定后实例化为一个原子扫描构件实例，多个原子扫描构件序列化成为一个复合构件，当一个复合构件完成的原子扫描任务序列恰好构成一个基本扫描任务，即完成对一条检测规则的分析时，该复合构件称为一个基本扫描构件。

在上述的逻辑体系架构中，由于扫描规则、协同规则和分析知识从系统中完全分离出来，调度引擎在执行分析功能时，不需要掌握任何关于特定安全知识、扫描算法和对象数据的具体信息，只需要获取扫描构件对应的函数指针、知识和对象信息对应的数据指针，并按照固定的方式进行执行操作即可完成独立的扫描分析功能。这样，调度引擎可以在不了解任何具体安全场景知识的情况下普适性地适合于不同安全扫描与分析系统的核心功能执行。我们将之称为零知识调度引擎。所谓“零知识”是指调度引擎不需了解关于分析知识、扫描算法、协同机制和待处理对象的任何信息，只要按照统一、固定的调度模式调用和操作由不同的模块经过解析和构建处理后提供的数据结构，即可准确地完成对应的安全扫描与分析功能。上述零知识调度引擎是本广谱安全扫描分析系统的核心技术理念所在。它使得平台的技术逻辑架构更加清晰，增强了不同技术层次的内聚性、弱化了层次之间的耦合度，使得平台技术架构具备高度的灵活性和可扩展性。

为满足整个系统在分布式网络环境下的部署和对各安全子系统的有效控制管理，系统必须有一个统一、有效的分布式通信机制，同时必须保证系统内部控制、通信的高度安全性，防止监控平台的部署为网络引入新的安全隐患。为此我们设计了专用的安全通信协议。该协议应用在具有管理中心和多数个监控子系统的分布式网络中，管理中心控制各监控子系统的协调，管理中心和监控子系统都包括调度器、消息处理子系统、安全子系统、监控信息更新/获取子系统、上层应用和传输映射组件，具有如下技术特点：

1)当发送消息时，应用将要发送的消息类型、消息载荷和目标系统的编码传递给调度器，调度器请求消息处理子系统准备一条消息，消息处理器准备好消息的除加密、鉴别参数外的头部字段以及原始的载荷字段部分，并调用安全子系统，安全子系统根据消息处理器传来的消息相关字段对消息进行加密和鉴别处理，将加密和鉴别参数返给消息处理子系统，消息处理子系统准备好消息发送给调度器，调度器将准备好的发送消息映射到传输映射组件进行发送；

2)当接收消息时，传输映射组件将接收到的消息和地址信息，传递给调度器，调度器调用消息处理器对消息进行分析，恢复出不同的字段，消息处理器调用安全处理子系统对鉴别信息进行验证，对加密的信息进行解密操作，消息处理器将恢复后的消息返回给调度器，调度器传递给需要接收该消息的应用。

上述协议可以提供三方面的功能：

1)为管理中心和各安全子系统及安全子系统之间的管理、控制、协同和其它通信提供丰富、准确的消息编码支持；

2)提供高强度的加密和认证机制，保证平台运行的内部安全性，避免平台的部署为网络系统引入新的安全隐患；

3)提供维护平台自身健壮运行的自动维护机制，如心跳检查、密钥更新等。

如图5所示，以零知识调度引擎和多层次逻辑分离的体系结构为核心，以安全通信协议为基础通信设施，本广谱安全扫描分析系统在实践中可以采用下述的结构部署：完成不同分析与扫描功能的子调度引擎如病毒扫描子调度引擎、入侵检测子调度引擎、漏洞扫描子调度引擎等分别运行在不同的主机上，管理中心的中央调度引擎通过内部安全通信协议对子引擎实例进行统一调度与控制管理，从而形成一个分布式部署、集中式管理的主机群落。通过上述的结构部署，该系统实现了一种深度耦合的新型安全管理平台，并以灵活、可扩展的体系架构对安全扫描与分析类功能产品提供了完全开放式支持，实现了对病毒扫描、入侵检测、漏洞扫描、安全审计等多种安全扫描分析功能组件的深层次控制管理和有机协同。

上面虽然通过实施例描绘了本发明，但本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，所附的权利要求将包括这些变形和变化。

Claims (4)

1.一种可扩展广谱安全扫描分析系统，其特征在于：

所述系统具有调度引擎、扫描规则库、协同规则库、分析知识库和结果库，其中所述调度引擎中包括调度器、协同规则解析引擎、扫描规则解析引擎、分析知识解析引擎以及对象信息获取代理，由所述调度器进行统一调度；

所述协同规则解析引擎连接所述协同规则库，所述扫描规则解析引擎连接所述扫描规则库，所述分析知识解析引擎连接所述分析知识库；

所述调度引擎通过所述对象信息获取代理获取分析对象的信息，并将分析结果放入所述结果库中。

2.如权利要求1所述的可扩展广谱安全扫描分析系统，其特征在于：

所述调度引擎与所述扫描规则库、协同规则库和分析知识库分离。

3.如权利要求1所述的可扩展广谱安全扫描分析系统，其特征在于：

所述调度引擎有多个，彼此之间通过内部安全通信协议进行通信。

4.一种使用如权利要求1所述的可扩展广谱安全扫描分析系统的方法，其特征在于包括如下步骤：

(1)将扫描规则库、协同规则库、分析知识库与调度引擎进行分离；

(2)所述调度引擎中的调度器从对象信息获取代理处获得分析对象的信息，按照所述协同规则库中的协同规则，结合所述分析知识库中的知识，利用扫描规则解析引擎对所述分析对象进行安全扫描与分析；

(3)所述调度引擎将分析结果放入结果库中。

Images