CN100512531C - 一种关联响应系统中实现策略控制的方法及其系统 - Google Patents

Abstract

本发明公开了一种关联响应系统中提供策略服务的方法，该方法为：控制执行装置向安全服务器发送控制策略请求；所述安全服务器确定与受控对象相关的用户控制策略，并发送给所述控制执行装置；所述控制执行装置执行所述用户控制策略，并向安全服务器发送策略执行响应。这样，便解决了现有关联响应系统中如何在安全服务器与控制执行装置之间进行交互以可靠的下发策略，实现策略控制的问题。本发明还公开了一种关联响应系统。

Description

一种关联响应系统中实现策略控制的方法及其系统

技术领域

本发明涉及移动通信系统，特别涉及一种关联响应系统中实现策略控制的方法及其系统。

背景技术

随着分组数据业务逐渐取代传统电路语音，移动运营商网络趋于IP化。在以TCP/IP协议栈为基础的因特网体系，每个网络节点、每台主机、每个用户是平等的，存在着一点突破、全网瘫痪的危险。

随着应用业务极大丰富，第三方应用服务提供商ASP逐渐增加，业务趋向增值服务和精细化经营。移动用户在获得更多样化的服务的同时，给自身和网络带来的安全风险也大大增加。例如：由于用户身份失窃，企业有可能使自己的内部资源暴露给非授权用户；应用系统可能遭到破坏或被滥用；应用服务质量下降甚至不可用。

随着病毒技术的迅速发展，当病毒大规模爆发时，网络中传输的大量数据流量是由病毒产生的垃圾数据和探测、攻击流量，不仅造成资源浪费，严重影响了运营商的网络效率和安全，也对用户终端和业务产生不利的影响和安全威胁。

对于来自运营商网络内部的安全威胁容易控制，其安全容易保障。相对而言，移动终端却更容易被病毒侵入，而且分布范围更广泛。功能弱小的移动终端因为资源有限导致防护能力较低，因此无法保证客户端都装有杀毒软件或防火墙。即使都安装安全应用软件客户端，由于没有统一控制，用户很可能不能及时进行安全更新，造成系统漏洞或病毒库的过期等安全隐患。

现有的安全攻击分为两类：基于网络层的网络攻击和基于应用层的服务攻击，前者在网络连接建立阶段和应用服务之前进行，后者则在网络连接建立后，在提供应用服务的过程中发起的攻击。往往网络攻击以服务为载体，而攻击的目的是危害网络系统和服务系统。通常，安全威胁分为以下几种：

终端用户：盗用账号，窃取其他隐私信息；滥用用户有偿服务，服务质量下降；

终端系统：破坏系统造成性能下降或不可用；例如用户防范意识差、终端安全配置有限，都可能导致移动终端容易成为病毒攻击的跳板；

移动网络系统：病毒或蠕虫传播造成网络资源浪费和被滥用，攻击特定的网元或传输体系；

应用服务系统：中毒、黑客攻击、定购用户信息的泄漏，应用服务的可用性。

为了保护移动网络，现有技术采用关联响应系统(Correlative ReactingSystem，CRS)阻止来自不安全终端的安全威胁。参阅图1所示，CRS系统包括移动台侧的安全代理(SCA)、网络侧的安全服务器(SCS)、网络侧的访问控制执行装置。访问控制执行装置可以是网络访问控制器(NAC)或/和应用服务控制器(ASC)。

安全代理和安全服务器通过Ic接口进行通信，同时，安全服务器通过Ics接口和公共陆地移动网(PLMN)中的其它网元通信，通过它们之间的通信和交互，关联反应系统提供对移动台的控制功能。

安全代理SCA负责收集移动台的安全相关信息，对其进行处理并与安全服务器进行通信。安全服务器SCS通过安全代理收集到的安全相关信息来评估移动台的安全状况。当安全服务器判断出移动台不安全时，要求安全服务器向网络访问控制器(NAC)和应用服务控制器(ASC)提供策略，以控制移动台。但如何在安全服务器与控制执行装置之间进行交互以可靠的下发策略，实现策略控制成为需要解决的问题。

发明内容

本发明提供一种关联响应系统中实现策略控制的方法及其系统，以保证策略的可靠下发，实现对移动台的安全控制。

本发明技术方案如下：

控制执行装置向安全服务器发送控制策略请求；

所述安全服务器确定与受控对象相关的用户控制策略，将所述用户控制策略发送给所述控制执行装置；

所述控制执行装置向安全服务器发送策略执行响应，执行所述用户控制策略；

在执行用户控制策略过程中，所述控制装置向所述安全服务器发送针对受控对象的安全控制状态报告；以及

使控制执行装置执行的用户控制策略与所述安全服务器确定的用户控制策略保持同步。

根据上述方法：

所述控制执行装置在接收到受控对象的访问网络请求时向安全服务器发送控制策略请求；或者，所述安全服务器生成新的用户控制策略后主动通知所述控制执行装置，所述控制执行装置接收到该通知后向安全服务器发送控制策略请求。

所述安全服务器在接收控制策略请求后进一步判断是否已获取所述受控对象安全等级的评估结果，若是，则根据所述安全等级确定针对该受控对象的用户控制策略；否则，选择默认的初始用户控制策略。

当控制执行装置无法执行所述用户控制策略时，在向所述安全服务器发送的策略执行响应中指明用户控制

所述控制执行装置与所述安全服务器之间通过已建立的策略传输通道传送信息。

所述安全服务器在建立所述策略传输通道过程中还向控制执行装置下发时间策略；在建立所述策略传输通道后，所述控制执行装置根据所述时间策略中规定的时间向所述安全服务器发送服务保活信息。

在建立所述策略传输通道后，安全服务器在接收到控制执行装置发送的服务终止信息或在规定的时间内未接收到控制执行装置发送的服务保活信息时，停止提供策略服务。

在提供策略服务的过程中，安全服务器在获得策略终止信息后停止向控制执行装置下发用户控制策略。

在提供策略服务的过程中，所述安全服务器在规定的时间内未接收到受控对象的安全相关信息报告时，主动请求接收安全相关信息报告；在主动请求次数达到设定的阈值仍未接收到有效的安全相关信息报告时，将默认的初始用户控制策略发送给控制执行装置。

所述控制执行装置还按照时间策略中规定的时间向所述安全服务器发送针对受控对象的安全控制状态报告。

所述安全服务器根据安全控制状态报告发现控制执行装置针对所述受控对象执行的用户控制策略与安全服务器针对该受控对象确定的用户控制策略不同步时，将最新确定的针对该受控对象的用户控制策略重新发送给控制执行装置；或者，安全服务器定期向控制执行装置发送同步命令使用户控制策略保持同步。

保持用户控制策略同步包括步骤：

安全服务器向控制执行装置发送策略状态同步请求；

所述控制执行装置接收策略状态同步请求，向所述安全服务器发送控制策略请求；

所述安全服务器接收控制策略请求，将最新确定的针对所述受控对象的用户控制策略重新发送给控制执行装置；

所述控制执行装置接收并执行所述用户控制策略，向所述安全服务器返回策略执行响应；

所述控制执行装置向所述安全服务器返回策略状态同步响应。

所述安全服务器在接收到控制策略请求后下发针对所述受控对象的完整的用户控制策略。

所述安全服务器在下发完整的用户控制策略后，在主动向控制执行装置发送针对所述受控对象的用户控制策略时，仅发送需要更新的策略部分。

一种关联响应系统，包括：受控装置、控制执行装置和安全服务器；

所述受控装置用于向安全服务器发送安全相关信息报告；

所述安全服务器用于根据所述关联信息报告确定相应的用户控制策略；

所述控制执行装置用于向安全服务器请求用户控制策略，执行用户控制策略对所述受控装置进行控制，以及向安全服务器发送策略执行响应。

本发明有益效果如下：

本发明在安全服务器与控制执行装置之间建立策略传输通道，将安全服务器选取的安全控制策略，通过所述策略传输通道发送给控制执行装置，所述控制执行装置接收并执行所述安全控制策略并返回策略执行响应，从而保证了策略的可靠下发，实现了对移动台的安全控制。此外，在控制执行装置所执行的安全控制策略被其他对象更改时，安全服用器通过所述策略传输通道重新下发相应的安全控制策略，实现了控制策略的同步。

附图说明

图1为现有技术下关联响应系统体系结构和环境，

图2为本发明实施例中关联响应系统体系结构和环境，

图3为本发明实施例中策略传输通道建立流程图，

图4为本发明实施例中关联响应系统中实现策略控制流程图，

图5为本发明实施例中安全服务器保持用户控制策略同步流程图。

具体实施方式

为了解决在现有关联响应系统中如何在安全服务器与控制执行装置之间进行交互以可靠的下发策略，实现策略控制的问题，本发明通过在安全服务器与控制执行装置之间建立策略传输通道，将安全服务器选取的安全控制策略，通过所述策略传输通道发送给控制执行装置。

本发明实施例中，移动台整理自身的安全相关信息，生成安全相关信息报告，并将该安全相关信息报告发送给网络侧的安全服务器；安全服务器接收并分析所述安全相关信息报告，确定移动台的安全等级并根据该安全等级选取相应的用户控制策略，再将该用户控制策略传送给控制执行装置；所述控制执行装置根据所述用户控制策略对移动台进行安全控制。

所述安全服务器确定的用户控制策略主要包括网络访问控制策略、应用服务控制策略以及QoS重定向策略等。可选地，依据不同的实现目的，用户控制策略进一步划分为针对所有安全等级相同的移动台的公共的用户控制策略、针对单个移动台的用户定制的用户控制策略、针对一组或一个路由域内移动台的特别的用户控制策略等。

所述安全服务器在确定用户控制策略时先判断是否存在用户定制的用户控制策略或/和特别的用户控制策略，若不是，则仅选择所述安全等级对应的公共的用户控制策略；否则，根据该定制的用户控制策略或/和特别的用户控制策略，以及所述安全等级对应的公共的用户控制策略，生成针对所述移动台的用户控制策略。

参阅图2所示，本发明实施例中的关联响应系统包括移动台20、控制执行装置21和安全服务器22。安全服务器22和移动台20之间通过Ic接口进行通信连接，安全服务器22与控制执行装置21之间通过Ics接口进行通信连接。

所述移动台20用于向安全服务器22发送安全相关信息报告以及向控制执行装置21发送访问请求；所述控制执行装置21用于接收移动台20发送的访问请求、向安全服务器22发送控制策略请求、执行安全服务器22下发的用户控制策略以及向安全服务器22发送策略执行响应，所述安全服务器22用于接收移动台20发送的安全相关信息报告和控制执行装置21发送的控制策略请求、确定相应的用户控制策略并将该策略下发至控制执行装置21以及接收控制执行装置21发送的策略执行响应。

控制执行装置21与安全服务器22之间通过协商后建立的策略传输通道传送信息，在建立策略传输通道之前，应首先建立TCP连接，并且完成相应的安全协商，以保证两者之间端到端的通信是可靠和准确无误的，可以采用IETF的TLS、IPsec等安全机制。

参阅图3所示，控制执行装置21与安全服务器22之间策略传输通道建立的详细流程如下：

步骤300：控制执行装置21向安全服务器22发送服务注册请求。

所述服务注册请求中包含控制执行装置21的客户类型消息、控制执行装置21的身份标识、控制执行装置21的配置信息、上一次提供服务的安全服务器的地址以及完整性密钥的协商信息。所述客户类型消息中应说明要求提供的策略是网络访问控制类、应用服务控制类还是其他控制类型。

步骤301：安全服务器22接收服务注册请求后，激活对控制执行装置21的策略服务，并返回服务注册响应，通知控制执行装置21策略服务已可用。

所述服务注册响应中应包括为保证信息完整性而采用的密钥和时间策略。

步骤302：控制执行装置21与安全服务器22之间建立策略传输通道。此时安全服务器22已经具备了向控制执行装置21提供策略服务的能力。

上述实施例中，在策略传输通道建立后，控制执行装置21应按照时间策略的指示向安全服务器22发送服务保活信息。所述时间策略规定了控制执行装置21向安全服务器22发送服务保活信息的时间间隔和发送安全控制状态报告的时间间隔；所述服务保活信息用于维持策略服务的活动状态；所述安全控制状态报告用于在安全服务器22向控制执行装置21提供策略服务的过程中，通知安全服务器22当前针对移动台20的策略配置情况。

如果安全服务器22在时间策略规定的时间内未接收到控制执行装置21发送的服务保活信息，则向控制执行装置21发送服务终止信息，并关闭所述策略传输通道，停止向控制执行装置21提供策略服务。

当控制执行装置21或安全服务器22出现故障不能正常工作时，会向对方发送服务终止信息用于通知对方策略传输通道将关闭以及导致通道关闭的原因。若所述服务终止信息是由安全服务器22发送的，该服务终止信息还应包含另一个可用的的安全服务器的地址，保证控制执行装置21继续获取相应的用户控制策略。

在控制执行装置21与安全服务器22之间建立策略传输通道后，安全服务器22已经具备了向控制执行装置21提供策略服务的能力，同时控制执行装置21也已具备了接收并执行由安全服务器22下发的用户控制策略的能力。此时，两者之间已可以通过信息交互，实现对移动台20的安全控制。

参阅图4所示，安全服务器22向控制执行装置21提供策略服务的详细流程如下：

步骤400：控制执行装置21接收移动台20的访问请求并向安全服务器22发送控制策略请求；所述控制策略请求中包括控制策略请求编号、策略类别、控制对象类型、控制对象标识和控制对象信息。

步骤401：安全服务器22接收控制策略请求并判断是否获取到移动台20安全等级的评估结果，若是，则进行步骤406；否则进行步骤402。

步骤402：安全服务器22将默认的初始用户控制策略发送给控制执行装置21，所述默认的初始用户控制策略为将移动台20的网络访问重定向至某个专用的安全网关或/和允许移动台20访问安全服务器22。

步骤403：安全服务器22向移动台20发送安全相关信息报告请求。

步骤404：移动台20向安全服务器22发送安全相关信息报告。

步骤405：安全服务器22接收所述安全相关信息报告并根据该报告确定移动台20的安全等级。

步骤406：安全服务器22根据所述移动台20的安全等级确定并下发相应的用户控制策略。

步骤407：控制执行装置21接收并执行所述用户控制策略，对移动台20的网络访问和应用服务访问进行适当的控制。

步骤408：控制执行装置21向安全服务器22发送策略执行响应，该响应中包含对所述用户控制策略的执行结果。

上述实施例中，控制执行装置21向安全服务器22发送的控制策略请求中包括控制策略请求编号、策略类别、控制对象类型、控制对象标识和控制对象信息。所述控制策略请求编号用于唯一标识所述控制策略请求；所述策略类别用于指明所请求的用户控制策略的类别是网络访问控制类或/和应用服务控制类；所述控制对象类型用于说明访问的移动台的类型是单个移动台、同安全等级移动台组或是同路由域移动台组等等；所述控制对象标识是指，对于单个移动台可以用“移动台用户标识+移动台标识”识别，对于同安全等级移动台组的可以用安全等级代码标识；对于同路由域移动台组可以用路由域标识RAI来标识。

安全服务器22接收控制执行装置21发送的控制策略请求后，选取并下发相应的用户控制策略，控制执行装置21接收并执行所述用户控制策略，无论该策略是否执行成功，控制执行装置21均应向安全服务器22返回策略执行响应报告所述用户控制策略的执行结果。当控制执行装置21因自身配置或其他原因不能执行所述用户控制策略时，控制执行装置21按照上一个成功执行的用户控制策略对移动台20进行安全控制，并在返回的策略执行响应中说明所述安全服务器22下发的用户控制策略中的哪一部分不能执行以及执行失败的原因。控制执行装置21还应按照时间策略的指示向安全服务器22发送安全控制状态报告。

安全服务器22在向控制执行装置21提供策略服务的过程中，如果接收到控制执行装置21发送的策略终止信息，则停止下发用户控制策略，此时策略服务并没有停止，策略传输通道仍然可以使用。

而在提供策略服务的过程中，当安全服务器22在规定的时间内未收到移动台20发送的安全相关信息报告或主动向移动台20发送安全相关信息报告请求而无响应时，安全服务器22无法判断移动台20的安全状况，此时安全服务器22将默认的初始用户控制策略发送给控制执行装置21以保证网络的安全性，即将移动台20的网络访问重定向至某个专用的安全网关或/和允许移动台20访问安全服务器22。

此外，当安全服务器22有新的用户控制策略要下发时，例如，当安全服务器22基于对每个移动台发送的安全相关信息报告的分析统计结果，选取了针对某移动台组的新的用户控制策略，安全服务器22将通知控制执行装置21发送控制策略请求来获取所述新的用户控制策略。

当控制执行装置21所执行的用户控制策略由于网络病毒的侵害或是人为原因而被更改后，安全服务器通过控制执行装置21发送的安全控制状态报告发现这种情况，此时安全服务器22会主动向控制执行装置21发送策略状态同步请求，要求控制执行装置21重新发送控制策略请求，并将最新确定的针对移动台20的用户控制策略重新下发给控制执行装置21；或者，安全服务器22向控制执行装置21发送同步命令，以保持用户控制策略的同步。

综上所述，控制执行装置21只有在接收到移动台20的访问请求或安全服务器22发送的通知或策略状态同步请求时，才会向安全服务器22发送控制策略请求，而安全服务器22只有在接收到控制策略请求后，才下发针对移动台20的完整的用户控制策略；在其他后续过程中，当安全服务器22根据移动台20当前的安全等级主动向控制执行装置21发送针对移动台20的用户控制策略时，仅发送需要更新的策略部分。

参阅图5所示，用户控制策略同步的详细流程如下：

步骤500：安全服务器22向控制执行装置21发送策略状态同步请求，所述策略状态同步请求中应包含所需要的控制策略请求的编号。

步骤501：控制执行装置21接收所述策略状态同步请求并根据所述控制策略请求编号向安全服务器22发送相应的控制策略请求。

步骤502：安全服务器22接收所述控制策略请求，将最新确定的针对该请求的移动台20的用户控制策略重新发送给控制执行装置21。

步骤503：控制执行装置21接收并执行所述用户控制策略，接着向安全服务器22返回策略执行响应。

步骤504：控制执行装置21向安全服务器22返回策略状态同步响应，完成策略状态的同步。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (16)

1、一种关联响应系统中实现策略控制的方法，其特征在于，包括步骤：

控制执行装置向安全服务器发送控制策略请求；

所述安全服务器确定与受控对象相关的用户控制策略，将所述用户控制策略发送给所述控制执行装置；

所述控制执行装置向安全服务器发送策略执行响应，执行所述用户控制策略；

在执行用户控制策略过程中，所述控制装置向所述安全服务器发送针对受控对象的安全控制状态报告；以及

使控制执行装置执行的用户控制策略与所述安全服务器确定的用户控制策略保持同步。

2、如权利要求1所述的方法，其特征在于，所述控制执行装置在接收到受控对象的访问网络请求时向安全服务器发送控制策略请求；或者，所述安全服务器生成新的用户控制策略后主动通知所述控制执行装置，所述控制执行装置接收到该通知后向安全服务器发送控制策略请求。

3、如权利要求1所述的方法，其特征在于，所述安全服务器在接收控制策略请求后进一步判断是否已获取所述受控对象安全等级的评估结果，若是，则根据所述安全等级确定针对该受控对象的用户控制策略；否则，选择默认的初始用户控制策略。

4、如权利要求1所述的方法，其特征在于，当控制执行装置无法执行所述用户控制策略时，在向所述安全服务器发送的策略执行响应中指明用户控制策略中不能执行的部分以及执行失败的原因。

5、如权利要求1-4任一项所述的方法，其特征在于，所述控制执行装置与所述安全服务器之间通过已建立的策略传输通道传送信息。

6、如权利要求5所述的方法，其特征在于，所述安全服务器在建立所述策略传输通道过程中还向控制执行装置下发时间策略；在建立所述策略传输通道后，所述控制执行装置根据所述时间策略中规定的时间向所述安全服务器发送服务保活信息。

7、如权利要求6所述的方法，其特征在于，在建立所述策略传输通道后，安全服务器在接收到控制执行装置发送的服务终止信息或在规定的时间内未接收到控制执行装置发送的服务保活信息时，停止提供策略服务。

8、如权利要求5所述的方法，其特征在于，在提供策略服务的过程中，安全服务器在获得策略终止信息后停止向控制执行装置下发用户控制策略。

9、如权利要求5所述的方法，其特征在于，在提供策略服务的过程中，所述安全服务器在规定的时间内未接收到受控对象的安全相关信息报告时，主动请求接收安全相关信息报告；在主动请求次数达到设定的阈值仍未接收到有效的安全相关信息报告时，将默认的初始用户控制策略发送给控制执行装置。

10、如权利要求5所述的方法，其特征在于，所述控制执行装置还按照时间策略中规定的时间向所述安全服务器发送针对受控对象的安全控制状态报告。

11、如权利要求1所述的方法，其特征在于，所述安全服务器根据安全控制状态报告发现控制执行装置针对所述受控对象执行的用户控制策略与安全服务器针对该受控对象确定的用户控制策略不同步时，将最新确定的针对该受控对象的用户控制策略重新发送给控制执行装置；或者，安全服务器定期向控制执行装置发送同步命令使用户控制策略保持同步。

12、如权利要求11所述的方法，其特征在于，保持用户控制策略同步包括步骤：

安全服务器向控制执行装置发送策略状态同步请求；

所述控制执行装置接收策略状态同步请求，向所述安全服务器发送控制策略请求；

所述安全服务器接收控制策略请求，将最新确定的针对所述受控对象的用户控制策略重新发送给控制执行装置；

所述控制执行装置接收并执行所述用户控制策略，向所述安全服务器返回策略执行响应；

所述控制执行装置向所述安全服务器返回策略状态同步响应。

13、如权利要求1、2或12所述的方法，其特征在于，所述安全服务器在接收到控制策略请求后下发针对所述受控对象的完整的用户控制策略。

14、如权利要求13所述的方法，其特征在于，所述安全服务器在下发完整的用户控制策略后，在主动向控制执行装置发送针对所述受控对象的用户控制策略时，仅发送需要更新的策略部分。

15、一种关联响应系统，其特征在于，包括：受控装置、控制执行装置和安全服务器；

所述受控装置用于向安全服务器发送安全相关信息报告；

所述安全服务器用于根据所述关联信息报告确定相应的用户控制策略；

所述控制执行装置用于向安全服务器请求用户控制策略，执行用户控制策略对所述受控装置进行控制，以及向安全服务器发送策略执行响应。

16、如权利要求15所述的系统，其特征在于，所述控制执行装置根据安全服务器下发的时间策略，在规定的时间内向安全服务器发送安全控制状态报告或服务保活信息。

Images