CN102045320A

CN102045320A - 安全策略的老化方法及装置

Info

Publication number: CN102045320A
Application number: CN200910208233XA
Authority: CN
Inventors: 颜正清; 韦银星; 高峰
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2009-10-19
Filing date: 2009-10-19
Publication date: 2011-05-04

Abstract

本发明公开了一种安全策略的老化方法及装置，在上述方法中，安全设备接收来自于策略服务器的包括安全策略的报文，其中，报文携带有老化时间长度的信息；安全设备对老化时间长度和时间戳差值进行比较；若时间戳差值大于或等于老化时间长度，则老化安全策略。根据本发明提供的技术方案，可以解决安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题，进而可以提高安全设备的工作效率，减小安全策略的存储量。

Description

安全策略的老化方法及装置

技术领域

本发明涉及通信领域，具体而言，涉及一种安全策略的老化方法及装置。

背景技术

随着网络的融合以及全英特网协议(Internet Protocol，简称为IP)化的发展趋势，安全问题越来越受重视。因此，相应的各种安全设备层出不穷。目前，传统安全设备已经向大容量和高性能方向发展，主要应对网络层的安全威胁。各种应用级安全设备和检测设备也被部署到网络中，用以抵御来自网络各个层面的安全威胁。

传统安全设备主要具有包过滤、网络地址翻译(Network AddressTransfer，简称为NAT)、防分布式拒绝服务(Distribution Denial ofservice，简称为DDoS)攻击和防畸形报文攻击等基本功能，可以抵御来自网络层的安全威胁。随着网络的发展和网络应用的丰富，针对应用层的攻击技术发展迅速。而抵御这些应用层攻击的安全设备也随之出现，如入侵检测系统(Intrusion Detection System，简称为IDS)、入侵防护系统(Intrusion Protection System，简称为IPS)和统一威胁管理(Unified Threat Management，简称为UTM)设备。同时一些非专业安全网络设备也在逐渐增加安全功能。

ITU-T X.1036标准对安全策略进行了定义和分类，分类如下：攻击检测策略(Attack Detection Policy)、访问控制策略(AccessControl Policy)、告警控制策略(Alert Control Policy)、流量控制策略(Traffic Control Policy)和路由控制策略(Routing Control Policy)。

相关技术中，在安全策略系统中，上述安全策略可由策略服务器向安全设备分发。但是，可能存在如下问题：网络中越来越多的安全威胁导致策略服务器向安全策略分发大量的安全策略。有些安全策略用于抵御风险级别很高的网络攻击，例如，TCP SYN Flood攻击；而有些安全策略只用于抵御一些简单的非法报文，例如，用访问控制列表(Access Control List，简称为ACL)实现的访问控制。越来越多的安全策略被下发到安全设备中执行，这必然会导致安全设备的执行效率下降，有时还会导致安全设备无法保存如此之多的安全策略。

发明内容

针对相关技术中网络安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题而提出本发明，为此，本发明的主要目的在于提供一种改进的安全策略的老化方法及装置，以解决上述问题。

根据本发明的一个方面，提供了一种安全策略的老化方法。

根据本发明的安全策略的老化方法包括：安全设备接收来自于策略服务器的包括安全策略的报文，其中，报文携带有老化时间长度的信息；安全设备对老化时间长度和时间戳差值进行比较；若时间戳差值大于或等于老化时间长度，则老化安全策略。

根据本发明的另一方面，提供了一种安全策略的老化方法。

根据本发明的安全策略的老化方法包括：安全设备接收来自于策略服务器的包括安全策略的报文并设定老化时间长度；安全设备对老化时间长度和时间戳差值进行比较；若时间戳差值大于或等于老化时间长度，则老化安全策略。

根据本发明的又一方面，提供了一种安全策略的老化装置。

根据本发明的安全策略的老化装置包括：接收单元，用于接收来自于策略服务器的包括安全策略的报文，其中，报文携带有老化时间长度信息；比较单元，用于对老化时间长度和时间戳差值进行比较；老化单元，用于在时间戳差值大于或等于老化时间长度的情况下，老化安全策略。

根据本发明的再一方面，提供了一种安全策略的老化装置。

根据本发明的安全策略的老化装置包括：接收设定单元，用于接收来自于策略服务器的包括安全策略的报文并设定老化时间长度；比对单元，用于对老化时间长度和时间戳差值进行比较；老化执行单元，用于在时间戳差值大于或等于老化时间长度的情况下，老化安全策略。

通过本发明，策略服务器在分发安全策略时，为每一条安全策略定制老化时间。当上述安全策略在安全设备中存在时间的长度超过该老化时间时，安全设备将老化上述安全策略，解决了安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题，进而可以提高安全设备的工作效率，减小安全策略的存储量。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为根据本发明实施例的安全策略的老化方法的流程图；

图2为根据本发明实例一的系统架构示意图；

图3为根据本发明实例二的系统架构示意图；

图4为根据本发明实施例的基于XML封装的带老化时间的安全策略报文格式示意图；

图5为根据本发明实施例的安全策略的另一老化方法的流程图；

图6为根据本发明实施例的安全策略的老化装置的结构框图；

图7为根据本发明优选实施例的安全策略的老化装置的结构框图。

图8为根据本发明实施例的安全策略的另一老化装置的结构框图。

具体实施方式

功能概述

考虑到相关技术中网络安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题，本发明实施例提供了一种安全策略的老化方案，包括以下部分：(1)策略服务器向安全设备分发安全策略时，需携带老化时间参数；(2)安全设备根据该老化时间的长度和安全设备内的时间戳来判断该安全策略是否已到时间；(3)安全策略的老化分两种，一是删除，通常指一些ACL之类的由策略服务器下发的安全策略；二是去使能，通常指一些策略服务器只是下发使能命令的安全策略。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

方法实施例

根据本发明实施例，首先提供了一种安全策略的老化方法。

图1为根据本发明实施例的安全策略的老化方法的流程图。如图1所示，根据本发明实施例的安全策略的老化方法包括以下处理：(步骤S101-步骤S103)：

步骤S101：安全设备接收来自于策略服务器的包括安全策略的报文，其中，报文携带有老化时间长度的信息；

步骤S103：安全设备对老化时间长度和时间戳差值进行比较；

其中，上述时间戳差值为以下之一：当前时间戳与最初设置的时间戳的差值；当前时间戳与最近一次检测到安全威胁的时间戳的差值。

如果在安全策略未被老化之前，一直未检测到安全威胁，则将当前时间戳与最初设置的时间戳的差值作为上述时间戳差值。其中，上述最初设置的时间戳可以为接收到安全策略并将该安全策略存入设备的起始时刻，也可以根据具体情况，设置其他时刻为上述最初设置的时间戳。

如果在安全策略未被老化之前，检测安全威胁，则每次检测到安全威胁时，将当前时刻替换最初设置的时间戳，在这种情况下，上述时间戳差值为当前时间戳与最近一次检测到安全威胁的时间戳的差值。

步骤S105：如果时间戳差值大于或等于老化时间长度，则老化安全策略。

优选地，步骤S101中提到的报文的相应字段，携带有老化时间长度信息及老化机制信息，其中，相应字段为自定义的类型字段。

优选地，可以将安全策略的Type的类型进行自定义，根据自定义的不同来设置老化时间及老化处理机制，例如，定义的字段可以表述如下老化方案：如果在180秒之内没有检测到安全威胁，则去使能安全策略，并在180秒之后，再删除该安全策略。

优选地，通过以下至少之一老化处理机制老化安全策略：删除安全策略、去使能安全策略。

其中，删除处理机制，主要针对一些ACL之类的由策略服务器下发的安全策略；去使能处理机制，主要针对一些策略服务器只是下发使能命令的安全策略。

其中，安全策略的传输方式可以采用现有的传输技术，例如，策略服务器和安全设备之间可以使用如公共开放策略业务(Common Open Policy Service Protocol，简称为COPS)、网络数据设备配置管理(NETCONF)等协议，也可以直接使用超文本传输协议(HyperText Transport Protocol，简称为HTTP)进行直接传输。

通过上述实施例，提供了一种安全策略的老化方法。解决了安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题，进而可以提高安全设备的工作效率，减小安全策略的存储量。

实例一

图2为根据本发明实例一的系统架构示意图。如图2所示，该系统包括：策略服务器100、入侵检测系统110、安全设备120，其中，由入侵检测系统110报告，带老化时间的安全策略在策略服务器100自动生成，并分发至安全设备120。

在具体实施过程中，入侵检测系统110检测到网络中某台主机不停的发出大量的攻击报文。入侵检测系统110将该主机的IP地址向策略服务器100报告。策略服务器100接收到该报告，经内部分析之后决定对该主机实施惩罚。

策略服务器100生成安全策略(黑名单)，在一定时间内禁止该主机访问遭其攻击的几个主要地址。其中这一定时间就是设定的老化时间。策略服务器100将该安全策略下发到安全设备120执行。

在安全设备120中，接收到新的安全策略(黑名单)，将其存入设备中，并根据当前时间为其设置时间戳。同时在安全设备120中，有专门的程序运行，用当前时间戳和最初设置的时间戳来计算该安全策略是否该老化。如果当前时间戳减去最初设置的时间戳，得出的时间长度大于或者等于该安全策略的(黑名单)的老化时间，则说明该主机在惩罚时间内停止攻击活动，该安全策略(黑名单)则会被删除。

但是，如果在该安全策略(黑名单)尚未老化之前，该主机又试图访问遭其攻击的地址，安全设备120用安全策略(黑名单)匹配到该主机，则该安全策略(黑名单)的最初设置的时间戳会被当前时间戳代替。相当于该安全策略(黑名单)的老化时间，要从当前时间开始从新计算。换一种说法，就是对该主机的惩罚时间延长了。

实例二

图3为根据本发明实例二的系统架构示意图。如图3所示，该系统包括：策略服务器200、告警系统210、安全设备220，其中，告警系统210报告有SYN Flood攻击预警，带老化时间的安全策略(使能SYN Flood攻击防范)在策略服务器200自动生成，并分发到安全设备220。

在具体实施过程中，告警系统210通知策略服务器200，即将发生SYN Flood攻击。策略服务器200根据该告警生成安全策略(使能SYN Flood攻击防范)，并下发给具有该SYN Flood攻击防范功能的安全设备220。该安全策略(使能SYN Flood攻击防范)的属性中有老化时间一项。SYN Flood攻击防范是属于比较消耗设备资源的功能，因此设置老化时间有利于优化网络性能。

该安全策略(使能SYN Flood攻击防范)下发到安全设备220，该设备使能其SYN Flood攻击防范功能，并为该功能设定时间戳。如果在老化时间内没有检测到有SYN Flood攻击发生，该安全策略(使能SYN Flood攻击防范)将被去使能。如果在老化时间内检测到有SYN Flood攻击发生，则每次检测到攻击，都要将当初设置的时间戳修改为当前时间戳，相对地，延长了老化时间。

图4为根据本发明实施例的基于XML封装的带老化时间的安全策略报文格式示意图。该报文格式示出了一种带老化时间的安全策略封装方案。安全策略的Type 300如图4所示。其中，Type的类型可以自定义，根据定义的不同来设置老化时间。例如，该实施例中老化时间(单位是秒)定为180秒。也就是说，超过180秒没有攻击发生，安全设备将去使能该SYN Flood功能。下一次再告警，后者人工告警时，可以再次启动该功能。

图5为根据本发明实施例的安全策略的另一老化方法的流程图。如图5所示，根据本发明实施例的安全策略的另一老化方法包括以下处理(步骤S501-步骤S505)：

步骤S501：安全设备接收来自于策略服务器的包括安全策略的报文并设定老化时间长度；

步骤S503：安全设备对老化时间长度和时间戳差值进行比较；

步骤S505：若时间戳差值大于或等于老化时间长度，则老化安全策略。

其中，除了图1描述的安全策略的老化方法之外，本发明还提出了如图5所示的安全策略的老化方法，该方法与前述方法存在以下区别：老化时间长度的信息并非由策略服务器发送至安全设备，而是安全设备在接收来自于策略服务器的包括安全策略的报文时，自身设定老化时间长度。

通过该技术方案，也可以解决安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题，进而可以提高安全设备的工作效率，减小安全策略的存储量。

装置实施例

根据本发明实施例，还提供了一种安全策略的老化装置。

图6为根据本发明实施例的安全策略的老化装置的结构框图。图7为根据本发明优选实施例的安全策略的老化装置的结构框图。如图5所示，根据本发明实施例的安全策略的老化装置包括：接收单元60、比较单元62、老化单元64，以下结合图6进行描述。

接收单元60，用于接收来自于策略服务器的包括安全策略的报文，其中，报文携带有老化时间长度信息；

比较单元62，与接收单元60相连接，用于对老化时间长度和时间戳差值进行比较；

老化单元64，与比较单元62相连接，用于在时间戳差值大于或等于老化时间长度的情况下，老化安全策略。

优选地，如图7所示，该装置还可以包括计算单元66，连接于接收单元60和比较单元62之间，用于计算当前时间戳与最初设置的时间戳的差值，并计算当前时间戳与最近一次检测到安全威胁的时间戳的差值。

优选地，如图7所示，上述老化单元64还可以包括：删除模块640，用于删除安全策略；和/或，去使能模块642，用于去使能安全策略。

上述装置中各单元及模块的工作方式可以参见图1中的描述，此处不再赘述。

图8为根据本发明实施例的安全策略的另一老化装置的结构框图。如图8所示，根据本发明实施例的安全策略的另一老化装置包括：接收设定单元80、比对单元82、老化执行单元84，其中，接收设定单元80，用于接收来自于策略服务器的包括安全策略的报文并设定老化时间长度；比对单元82，用于对老化时间长度和时间戳差值进行比较；老化执行单元84，用于在时间戳差值大于或等于老化时间长度的情况下，老化安全策略。

通过上述实施例，提供了两种安全策略的老化装置。通过各单元的相互结合，可以实现网络中安全策略的合理存在，解决了安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题。

综上所述，通过本发明的上述实施例，提供的安全策略的老化方案，能够实现网络中安全策略的合理存在，解决网络安全设备因接收大量安全策略而导致效率下降或者容量达到上限的问题，进而可以提高安全设备的工作效率，减小安全策略的存储量。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种安全策略的老化方法，其特征在于，包括：

安全设备接收来自于策略服务器的包括安全策略的报文，其中，所述报文携带有老化时间长度的信息；

所述安全设备对所述老化时间长度和时间戳差值进行比较；

若所述时间戳差值大于或等于所述老化时间长度，则老化所述安全策略。

2.根据权利要求1所述的方法，其特征在于，所述时间戳差值为以下之一：

当前时间戳与最初设置的时间戳的差值；

当前时间戳与最近一次检测到安全威胁的时间戳的差值。

3.根据权利要求1所述的方法，其特征在于，所述报文的相应字段携带有所述老化时间长度信息及老化处理机制信息，其中，所述相应字段为自定义的类型字段。

4.根据权利要求1至3中任一项所述的方法，其特征在于，通过以下至少之一老化处理机制老化所述安全策略：

删除所述安全策略、去使能所述安全策略。

5.一种安全策略的老化方法，其特征在于，包括：

安全设备接收来自于策略服务器的包括安全策略的报文并设定老化时间长度；

所述安全设备对所述老化时间长度和时间戳差值进行比较；

6.一种安全策略的老化装置，其特征在于，包括：

接收单元，用于接收来自于策略服务器的包括安全策略的报文，其中，所述报文携带有老化时间长度信息；

比较单元，用于对所述老化时间长度和时间戳差值进行比较；

老化单元，用于在所述时间戳差值大于或等于所述老化时间长度的情况下，老化所述安全策略。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

计算单元，用于计算当前时间戳与最初设置的时间戳的差值，并计算当前时间戳与最近一次检测到安全威胁的时间戳的差值。

8.根据权利要求6或7所述的装置，其特征在于，所述老化单元包括：

删除模块，用于删除所述安全策略；和/或

去使能模块，用于去使能所述安全策略。

9.一种安全策略的老化装置，其特征在于，包括：

接收设定单元，用于接收来自于策略服务器的包括安全策略的报文并设定老化时间长度；

比对单元，用于对所述老化时间长度和时间戳差值进行比较；

老化执行单元，用于在所述时间戳差值大于或等于所述老化时间长度的情况下，老化所述安全策略。