CN101599977B - 网络业务的管理方法和系统 - Google Patents

Abstract

本发明公开了一种网络业务的管理方法和系统。该方法包括：安全策略服务器在业务管理服务器对用户终端的认证通过时，向安全联动设备下发第一访问控制策略，允许用户终端不受限制的访问业务管理服务器；所述安全策略服务器接收所述业务管理服务器发送的通知，所述通知中携带所述用户终端访问业务资源对应的数据流所需的信息；所述安全策略服务器根据所述通知向所述安全联动设备下发第二访问控制策略，允许所述用户终端访问所述业务资源对应的数据流。本发明中由安全策略服务器根据业务管理服务器对用户权限的授权信息，向安全联动设备下发相应的访问控制策略，实现了对用户终端访问业务资源权限的灵活控制。

Description

网络业务的管理方法和系统

技术领域

本发明涉及网络技术领域，尤其涉及一种网络业务的管理方法和系统。 

背景技术

随着标准化且易扩展的网络技术和IP(Internet Protocol，因特网协议)技术不断发展，基于IP和网络的智能监控技术得到快速发展，IP监控已经成为目前监控的主流。但是IP网络是一个开放式的网络，对监控系统存在安全威胁，只要接入了该网络的用户或者PC(Personal Computer，个人电脑)就能对监控服务器进行业务攻击，可能会导致监控系统瘫痪，形成安全黑洞；或者监听网络中的他人监控数据流，窃取自己没有权限访问的数据资料。譬如说某授权用户接入到监控网络中后，当其正常地访问某路摄像头时，就会将该视频流引入到网络中；这时其他不授权的用户也可以通过在网络中进行欺骗或者扫描等办法，将视频流引到自己的PC上，盗窃监控数据。 

现有技术中提出了一种基于EAD(Endpoint Admission Defense，端点准入防御)的监控方法。EAD的基本功能是通过安全客户端、安全联动设备(如交换机、路由器)、安全策略服务器以及防病毒服务器、补丁服务器的联动实现的，其基本原理如图1所示。 

用户终端试图接入网络时，首先通过安全客户端进行用户身份认证，非法用户将被拒绝接入网络。 

对于合法用户，将被要求进行安全状态认证，由安全策略服务器验证补丁版本、病毒库版本是否合格，不合格用户将被安全联动设备隔离到隔离区。 

进入隔离区的用户可以进行补丁、病毒库的升级，直到安全状态合格。 

安全状态合格的用户将实施由安全策略服务器下发的安全设置，并由安全联动设备提供基于身份的网络服务。 

从EAD的主要功能和基本原理可以看出，EAD将终端防病毒、补丁修复 等终端安全措施与网络接入控制、访问权限控制等网络安全措施整合为一个联动的安全体系，通过对网络接入终端的检查、隔离、修复、管理和监控，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中策略管理，提升了网络对病毒、蠕虫等新兴安全威胁的整体防御能力。 

EAD主要是对接入到网络中的用户进行身份认证，并根据用户的权限下发相应的访问策略，这些访问策略是管理员之前人为指定的。但是在实际的业务系统中的业务资源很多是实时分配的。以监控系统为例，监控系统的IP地址与端口号非常多，并且部分端口号是临时分配的，不可能通过人为预先指定。因此该方法无法对监控系统的访问做出全面有效的控制。譬如对于1个编码器，它可能有16个摄像头，这16路摄像头的视频流源IP地址是相同的，只是码流的端口号不同，而端口号又是监控系统临时确定的，使用EAD系统就无法控制用户仅能获取其中某个摄像头的视频流。只能都允许用户获取，或者都不允许用户获取。 

发明内容

本发明提供一种网络业务的管理方法和系统，用于对用户终端访问业务资源的权限进行灵活控制。 

为达到上述目的，本发明提供了一种网络监控业务的管理方法，应用于包括安全策略服务器、业务管理服务器以及安全联动设备的网络中，所述网络中的用户终端通过所述安全联动设备接入网络，所述方法包括： 

所述安全策略服务器在所述业务管理服务器对用户终端的认证通过时，向所述安全联动设备下发第一访问控制策略，允许所述用户终端不受限制的访问所述业务管理服务器； 

所述安全策略服务器接收所述业务管理服务器发送的通知，所述通知中携带所述用户终端访问业务资源对应的数据流所需的信息； 

所述安全策略服务器根据所述通知向所述安全联动设备下发第二访问控制策略，允许所述用户终端访问所述业务资源对应的数据流。 

其中，所述安全策略服务器在所述业务管理服务器对用户终端的认证通 过时，向所述安全联动设备下发第一访问控制策略前，还包括： 

所述安全策略服务器检测到用户终端接入网络时，向所述安全联动设备下发第三访问控制策略，禁止所述用户终端访问除所述业务管理服务器之外的其他地址，并向所述安全联动设备下发QoS，对所述用户终端与所述业务管理服务器之间的报文交互带宽进行限制； 

所述安全策略服务器向所述安全联动设备下发第一访问控制策略后，还包括： 

所述安全策略服务器撤销向所述安全联动设备下发的QoS，允许所述用户终端与所述业务管理服务器之间进行不受带宽限制的报文交互。 

其中，所述业务管理服务器对用户终端的认证包括： 

所述业务管理服务器接收到用户终端的登录请求时，对所述用户终端进行认证，并在认证通过时通知所述安全策略服务器。 

其中，所述安全策略服务器接收所述业务管理服务器发送的通知前，还包括： 

所述业务管理服务器接收所述用户终端对业务资源的资源访问请求，对所述资源访问请求的认证通过时，获取所述用户终端访问业务资源对应的数据流所需的信息； 

所述业务管理服务器向所述安全策略服务器发送通知，所述通知中携带所述用户终端访问业务资源对应的数据流所需的信息。 

其中，所述安全策略服务器根据所述通知向所述安全联动设备下发第二访问控制策略后，还包括： 

所述业务管理服务器检测到所述用户终端撤销了对业务资源的资源访问请求时，通知所述安全策略服务器； 

所述安全策略服务器通知所述安全联动设备撤销所述第二访问控制策略，禁止所述用户终端访问所述业务资源对应的数据流。 

本发明还提供一种网络监控的管理系统，包括安全策略服务器和业务管理服务器，所述管理系统所在的网络还包括通过安全联动设备接入网络的用户终端： 

所述安全策略服务器，用于在所述业务管理服务器对用户终端的认证通过时，向所述安全联动设备下发第一访问控制策略，允许所述用户终端不受限制的访问所述业务管理服务器；在接收所述业务管理服务器发送的通知时，根据所述通知中携带的所述用户终端访问业务资源对应的数据流所需的信息，向所述安全联动设备下发第二访问控制策略，允许所述用户终端访问所述业务资源对应的数据流； 

所述业务管理服务器，用于接收到用户终端的登录请求时，对所述用户终端进行认证，并在认证通过时通知所述安全策略服务器；接收到所述用户终端对业务资源的资源访问请求，对所述资源访问请求的认证通过时，获取所述用户终端访问业务资源对应的数据流所需的信息并通知所述安全策略服务器。 

其中，所述安全策略服务器包括： 

认证结果接收单元，用于接收业务管理服务器对接入网络的用户终端进行认证的结果； 

第一访问控制策略下发单元，用于在所述认证结果接收单元接收到的结果为认证通过时，向所述安全联动设备下发第一访问控制策略，允许所述用户终端不受限制的访问所述业务管理服务器； 

通知接收单元，用于接收所述业务管理服务器发送的通知，所述通知中携带所述用户终端访问业务资源对应的数据流所需的信息； 

第二访问控制策略下发单元，用于根据所述通知接收单元接收的通知向所述安全联动设备下发第二访问控制策略，允许所述用户终端访问所述业务资源对应的数据流。 

其中，所述安全策略服务器还包括： 

第三访问控制策略下发单元，用于检测到用户终端接入网络时，向所述安全联动设备下发第三访问控制策略，禁止所述用户终端访问除所述业务管理服务器之外的其他地址。 

其中，所述安全策略服务器还包括： 

QoS下发单元，用于在所述业务管理服务器对接入网络的用户终端进行 认证前，向所述安全联动设备下发QoS，对所述用户终端与所述业务管理服务器之间的报文交互带宽进行限制； 

QoS撤销单元，用于当所述第一访问控制策略下发单元向所述安全联动设备下发第一访问控制策略后，撤销向所述安全联动设备下发的QoS，允许所述用户终端与所述业务管理服务器之间进行不受带宽限制的报文交互。 

其中，所述业务管理服务器，还用于检测到所述用户终端撤销了对业务资源的资源访问请求时，通知所述安全策略服务器； 

所述安全策略服务器还包括：第二访问控制策略撤销单元，用于接收到所述业务管理服务器发送的用户终端撤销资源访问请求的通知时，通知所述安全联动设备撤销所述第二访问控制策略，禁止所述用户终端访问所述业务资源对应的数据流。 

与现有技术相比，本发明具有以下优点： 

本发明中由安全策略服务器根据业务管理服务器对用户权限的授权信息，向安全联动设备下发相应的访问控制策略，实现了对用户终端访问业务资源权限的灵活控制。 

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。 

图1是现有技术中端点准入防御方法的示意图； 

图2是本发明中提供的网络业务管理方法的流程图； 

图3是本发明中网络业务管理方法所应用的网络监控系统的组网示意图； 

图4是本发明中网络业务管理方法应用于网络监控系统时的流程图； 

图5是本发明中提供的网络监控业务的管理系统的结构示意图； 

图6是本发明中提供的安全策略服务器的结构示意图； 

图7是本发明中提供的安全策略服务器的另一结构示意图。 

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。 

本发明中提供了一种网络业务的管理方法，应用于包括安全策略服务器、业务管理服务器以及安全联动设备的网络中，该网络中的用户终端通过安全联动设备接入网络，该方法如图2所示，包括： 

步骤s201、安全策略服务器在业务管理服务器对用户终端的认证通过时，向安全联动设备下发第一访问控制策略，允许用户终端不受限制的访问业务管理服务器。 

步骤s202、安全策略服务器接收业务管理服务器发送的通知，通知中携带用户终端访问业务资源对应的数据流所需的信息。 

步骤s203、安全策略服务器根据通知向安全联动设备下发第二访问控制策略，允许用户终端访问业务资源对应的数据流。 

以下以网络监控系统为例，描述网络业务的管理方法的具体实施方式。 

网络监控系统中，其组网场景如图3所示，其中的业务管理服务器具体为视频监控服务器，业务资源具体为监控资源，监控资源中包括不同图像采集装置如摄像头采集到的视频数据流。用户终端通过安全联动设备接入网络后，可以在安全联动设备的控制下，访问安全策略服务器、视频监控服务器以及业务资源。 

如图4所示，本发明提供的网络业务的管理方法应用于网络监控系统中，包括以下步骤： 

步骤s401、用户终端从安全联动设备下的端口接入到网络。 

步骤s402、安全策略服务器检测到用户终端接入网络，向安全联动设备下发访问控制策略，对用户终端可访问的区域进行控制。 

具体的，安全策略服务器向安全联动设备下发ACL(Access Control List， 接入控制列表)，对于来自用户终端的报文禁止向除视频管理服务器的地址之外的目的地址发送，从而禁止用户终端访问监控资源。 

同时，安全策略服务器还可以向安全联动设备下发QoS(Quality ofService，服务质量)，对用户终端与业务管理服务器之间的报文交互带宽进行限制。例如将用户终端访问视频管理服务器的报文流量限制在一个很低的带宽，例如1秒钟两个包左右。由于流量限制，用户终端无法对视频管理服务器进行攻击，而对于用户终端向视频管理服务器发送的正常的登录请求报文，则可以经过安全联动设备正常转发到视频管理服务器。 

步骤s403、视频管理服务器接收到用户终端发送的登录请求报文，获取登录请求报文中携带的用户名及密码，对用户终端进行认证。 

步骤s404、对于通过认证的用户终端，视频管理服务器判断为合法的用户终端，并通知安全策略服务器。通知内容包括用户终端的IP地址、视频管理服务器的IP地址、协议端口，当视频管理服务器的数据库位于与视频管理服务器不同的网络设备时，还可以携带数据库的IP地址。数据库中可以存储有监控资源的列表信息，用户终端可以通过访问数据库获得监控资源的信息以发送相应的监控资源访问请求。 

步骤s405、安全策略服务器收到该报文后，根据用户终端的IP地址，向该用户终端接入的安全联动设备发送访问控制策略，允许该用户终端访问视频管理服务器及相应的数据库。 

当步骤s402中安全策略服务器向安全联动设备下发了QoS时，还需要撤销步骤s402中下发的QOS，允许该用户终端不受带宽限制的与安全策略服务器交互报文。 

步骤s406、视频管理服务器将用户终端访问监控资源对应的数据流所需的信息通知安全策略服务器。 

具体的，用户终端需要访问监控资源或者接收监控数据时，首先向视频管理服务器发送请求，视频管理服务器确认该用户终端的权限后，确认该用户终端访问监控资源所需要使用到的数据流信息，并通知安全策略服务器。具体的，视频管理服务器内预先存储有所有用户的信息。对于合法用户终端， 视频管理服务器通过其用户名可以查找预先存储的信息，进而获知用户的权限。根据用户的权限，视频管理服务器可以获得用户终端访问监控资源所需要使用的数据流，并获取该数据流的信息如数据流的IP地址、端口等。 

之后，视频管理服务器将获取到的监控资源对应数据流的信息通知安全策略服务器。通知内容可以包括：用户终端的IP地址、监控资源中的数据流的IP地址以及端口。 

步骤s407、安全策略服务器根据根据接收的通知向安全联动设备下发访问控制策略，允许用户终端访问监控资源中的数据流。 

具体的，安全策略服务器收到该通知后，根据用户终端的IP地址，找到该用户终端接入的安全联动设备，并向安全联动设备的下发新的访问控制策略(例如ACL)，更新之前下发的访问控制策略，允许该用户终端访问视频管理服务器及监控资源中的数据流，并撤销之前下发的QoS，允许该用户终端不受带宽限制的与视频管理服务器交互报文。 

步骤s408、用户终端正常访问视频管理服务器和监控资源中的数据流。 

之后，如用户终端下线或撤销了登录申请时，视频管理服务器通知安全策略服务器撤销相应的访问控制策略，禁止该用户终端访问该监控资源对应的数据流。 

通过使用本发明中提供的方法，由安全策略服务器根据业务管理服务器对用户权限的授权信息，向安全联动设备下发相应的访问控制策略，实现了对用户终端访问业务资源权限的灵活控制。 

本发明还提供了一种网络监控业务的管理系统，如图5所示，包括安全策略服务器10和业务管理服务器20，该管理系统所在的网络中还包括通过安全联动设备30接入网络的用户终端40。具体的， 

安全策略服务器10，用于在业务管理服务器20对用户终端的认证通过时，向安全联动设备30下发第一访问控制策略，允许用户终端40不受限制的访问业务管理服务器20；在接收业务管理服务器20发送的通知时，根据通知中携带的用户终端40访问业务资源对应的数据流所需的信息，向安全联动设备30下发第二访问控制策略，允许用户终端40访问业务资源对应的数据流。 

业务管理服务器20，用于接收到用户终端40的登录请求时，对用户终端40进行认证，并在认证通过时通知安全策略服务器10；接收到用户终端40对业务资源的资源访问请求、且对资源访问请求的认证通过时，获取用户终端40访问业务资源对应的数据流所需的信息并通知安全策略服务器10。还用于检测到用户终端40撤销了对业务资源的资源访问请求时，通知安全策略服务器10。 

本发明中提供的安全策略服务器10的结构如图6所示，具体包括： 

认证结果接收单元11，用于接收业务管理服务器20对接入网络的用户终端40进行认证的结果； 

第一访问控制策略下发单元12，用于在认证结果接收单元11接收到的业务管理服务器20对接入网络的用户终端40进行认证的结果为认证通过时，向安全联动设备30下发第一访问控制策略，允许用户终端40不受限制的访问业务管理服务器20； 

通知接收单元13，用于接收业务管理服务器20发送的通知，通知中携带用户终端40访问业务资源对应的数据流所需的信息； 

第二访问控制策略下发单元14，用于根据通知接收单元13接收的通知向安全联动设备30下发第二访问控制策略，允许用户终端40访问业务资源对应的数据流。 

如图7所示，本发明中提供的安全策略服务器10还可以包括： 

第三访问控制策略下发单元15，用于检测到用户终端40接入网络时，向安全联动设备30下发第三访问控制策略，禁止用户终端40访问除业务管理服务器20之外的其他地址。 

QoS下发单元16，用于在业务管理服务器20对接入网络的用户终端40进行认证前，向安全联动设备30下发QoS，对用户终端40与业务管理服务器20之间的报文交互带宽进行限制； 

QoS撤销单元17，用于当第一访问控制策略下发单元12向安全联动设备30下发第一访问控制策略后，撤销QoS下发单元16向安全联动设备30下发的QoS，允许用户终端40与业务管理服务器20之间进行不受带宽限制的报 文交互。 

第二访问控制策略撤销单元18，用于接收到业务管理服务器20发送的用户终端40撤销资源访问请求的通知时，通知安全联动设备30撤销第二访问控制策略下发单元14下发的第二访问控制策略，禁止用户终端40访问业务资源对应的数据流。 

通过使用本发明中提供的系统和设备，由安全策略服务器根据业务管理服务器对用户权限的授权信息，向安全联动设备下发相应的访问控制策略，实现了对用户终端访问业务资源权限的灵活控制。 

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。 

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的单元或流程并不一定是实施本发明所必须的。 

本领域技术人员可以理解实施例中的装置中的单元可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的单元可以合并为一个单元，也可以进一步拆分成多个子单元。 

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。 

Claims (9)

1.一种网络业务的管理方法，其特征在于，应用于包括安全策略服务器、业务管理服务器以及安全联动设备的网络中，所述网络中的用户终端通过所述安全联动设备接入网络，所述方法包括：

所述安全策略服务器在所述业务管理服务器对用户终端的认证通过时，向所述安全联动设备下发第一访问控制策略，允许所述用户终端不受限制的访问所述业务管理服务器；

所述安全策略服务器接收所述业务管理服务器发送的通知，所述通知中携带所述用户终端访问业务资源对应的数据流所需的信息；

所述安全策略服务器根据所述通知向所述安全联动设备下发第二访问控制策略，允许所述用户终端访问所述业务资源对应的数据流。

2.如权利要求1所述的方法，其特征在于，所述安全策略服务器在所述业务管理服务器对用户终端的认证通过时，向所述安全联动设备下发第一访问控制策略前，还包括：

所述安全策略服务器检测到用户终端接入网络时，向所述安全联动设备下发第三访问控制策略，禁止所述用户终端访问除所述业务管理服务器之外的其他地址，并向所述安全联动设备下发QoS，对所述用户终端与所述业务管理服务器之间的报文交互带宽进行限制；

所述安全策略服务器向所述安全联动设备下发第一访问控制策略后，还包括：

所述安全策略服务器撤销向所述安全联动设备下发的QoS，允许所述用户终端与所述业务管理服务器之间进行不受带宽限制的报文交互。

3.如权利要求1所述的方法，其特征在于，所述业务管理服务器对用户终端的认证包括：

所述业务管理服务器接收到用户终端的登录请求时，对所述用户终端进行认证，并在认证通过时通知所述安全策略服务器。

4.如权利要求1至3中任一项所述的方法，其特征在于，所述安全策略服务器接收所述业务管理服务器发送的通知前，还包括： 

所述业务管理服务器接收所述用户终端对业务资源的资源访问请求，对所述资源访问请求的认证通过时，获取所述用户终端访问业务资源对应的数据流所需的信息；

所述业务管理服务器向所述安全策略服务器发送通知，所述通知中携带所述用户终端访问业务资源对应的数据流所需的信息。

5.如权利要求1至3中任一项所述的方法，其特征在于，所述安全策略服务器根据所述通知向所述安全联动设备下发第二访问控制策略后，还包括：

所述业务管理服务器检测到所述用户终端撤销了对业务资源的资源访问请求时，通知所述安全策略服务器；

所述安全策略服务器通知所述安全联动设备撤销所述第二访问控制策略，禁止所述用户终端访问所述业务资源对应的数据流。

6.一种网络监控的管理系统，其特征在于，包括安全策略服务器和业务管理服务器，所述管理系统所在的网络还包括通过安全联动设备接入网络的用户终端：

所述安全策略服务器，用于在所述业务管理服务器对用户终端的认证通过时，向所述安全联动设备下发第一访问控制策略，允许所述用户终端不受限制的访问所述业务管理服务器；在接收所述业务管理服务器发送的通知时，根据所述通知中携带的所述用户终端访问业务资源对应的数据流所需的信息，向所述安全联动设备下发第二访问控制策略，允许所述用户终端访问所述业务资源对应的数据流，具体包括：

认证结果接收单元，用于接收业务管理服务器对接入网络的用户终端进行认证的结果；

第一访问控制策略下发单元，用于在所述认证结果接收单元接收到的结果为认证通过时，向所述安全联动设备下发第一访问控制策略，允许所述用户终端不受限制的访问所述业务管理服务器；

通知接收单元，用于接收所述业务管理服务器发送的通知，所述通知中携带所述用户终端访问业务资源对应的数据流所需的信息；

第二访问控制策略下发单元，用于根据所述通知接收单元接收的通知向 所述安全联动设备下发第二访问控制策略，允许所述用户终端访问所述业务资源对应的数据流；

所述业务管理服务器，用于接收到用户终端的登录请求时，对所述用户终端进行认证，并在认证通过时通知所述安全策略服务器；接收到所述用户终端对业务资源的资源访问请求，对所述资源访问请求的认证通过时，获取所述用户终端访问业务资源对应的数据流所需的信息并通知所述安全策略服务器。

7.如权利要求6所述的管理系统，其特征在于，所述安全策略服务器还包括：

第三访问控制策略下发单元，用于检测到用户终端接入网络时，向所述安全联动设备下发第三访问控制策略，禁止所述用户终端访问除所述业务管理服务器之外的其他地址。

8.如权利要求6或7所述的管理系统，其特征在于，所述安全策略服务器还包括：

QoS下发单元，用于在所述业务管理服务器对接入网络的用户终端进行认证前，向所述安全联动设备下发QoS，对所述用户终端与所述业务管理服务器之间的报文交互带宽进行限制；

QoS撤销单元，用于当所述第一访问控制策略下发单元向所述安全联动设备下发第一访问控制策略后，撤销向所述安全联动设备下发的QoS，允许所述用户终端与所述业务管理服务器之间进行不受带宽限制的报文交互。

9.如权利要求6或7所述的管理系统，其特征在于，

所述业务管理服务器，还用于检测到所述用户终端撤销了对业务资源的资源访问请求时，通知所述安全策略服务器；

所述安全策略服务器还包括：第二访问控制策略撤销单元，用于接收到所述业务管理服务器发送的用户终端撤销资源访问请求的通知时，通知所述安全联动设备撤销所述第二访问控制策略，禁止所述用户终端访问所述业务资源对应的数据流。 

Images