CN102075347A - 一种安全配置核查设备和方法以及采用该设备的网络系统 - Google Patents

Abstract

本发明公开了一种用于对网络设备进行安全配置核查的安全配置核查设备，包括：一个或者多个预先配置的扫描策略；扫描策略生成器，选择所述一个或者多个预先配置的扫描策略中的扫描策略来生成与网络设备相对应的新扫描策略；以及扫描器，利用所生成的新扫描策略对网络设备进行安全扫描从而进行安全配置核查。本发明还公开了一种相应的安全配置核查方法以及采用该核查设备的网络系统。

Description

一种安全配置核查设备和方法以及采用该设备的网络系统

技术领域

本发明涉及网络安全领域，尤其涉及用于对网络设备的安全配置进行核查的安全配置核查设备和方法，以及采用该安全配置核查设备的网络系统。 

背景技术

随着信息技术的不断发展，网络服务和网络应用也越来越多，承载这些网络服务和网络应用的服务器或者网络设备也在不断地上架。这些服务器或者网络设备的安全性也越来越被人们所重视。一个网络服务或应用被非法侵入，除了这些服务器或网络设备自身的漏洞外，最重要的原因是服务器或者网络设备的使用者对它们的配置不够安全。这些配置上的缺陷给了黑客的可乘之机，也给服务器或网络设备的使用者造成了重大的损害。 

为了防止由于服务器或者网络设备的配置失误而造成的损失，网络管理员通常会对网络内的服务器或者网络设备的安全配置进行核查，对不符合安全配置规范的服务器或者网络设备进行安全加固。一些安全厂商已经提供了安全软件用于网络管理员对服务器或者网络设备的安全配置进行扫描。 

图1示出了传统上对服务器或者网络设备进行安全配置核查的过程示意图。如图1所示，首先，某个服务器或者网络设备的提供者会提供“安全配置规范”，随后，在网络管理员根据该“安全配置规范”对服务器或者网络设备进行安全配置的同时，安全厂商会根据该“安全配置规范”来对这个服务器或者网络设备定制安全配置扫描方案。然后，安全厂商通过这个安全扫描方案对服务器或者网络设备进行安全配置扫描，并将扫描结果通知给网络管理员，进而规范服务器或者网络设备的安全配置。这样对该服务器或者网络设备的配置安全加固就完成了。 

然而，虽然利用图1所示的现有方案可以方便地对一台服务器或 者网络设备进行安全配置核查，但是该安全配置核查由于涉及到安全厂商的工作而消耗了大量的时间。如果网络环境中不仅仅具有一台服务器或者网络设备(一般的都是会有两台以上的不同服务器或者网络设备)，那么如果要想对其他的这些设备进行安全配置核查，就要重复地进行如图1所描述的过程。这就表示网络环境中的服务器或者网络设备种类越多，重复步骤也就越多，需要耗费的时间就更长。另外，在不同的网络应用场景下，对服务器或者网络设备的安全配置规范要求也有可能不一样的，因此需要安全厂商更多的工作，这进一步需要消耗更多的时间和精力。 

综上可以看出，需要一种可以由或者服务器或者网络设备的使用者或者由网络管理员自行根据不同网络应用环境以及不同的服务器或者网络设备来灵活地定义自己的安全配置核查策略的安全配置核查方式，以便节约成本和时间。 

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的安全配置核查设备和方法以及采用该安全配置核查设备的网络系统。 

根据本发明的一个方面，提供了一种用于对网络设备进行安全配置核查的安全配置核查设备，该设备包括：一个或者多个预先配置的扫描策略，每个预先配置的扫描策略对应于一种网络设备，其中每个扫描策略包括一个或者多个安全检查项，每个安全检查项与相对应网络设备上的安全配置相关联；扫描策略生成器，选择所述一个或者多个预先配置的扫描策略中的扫描策略来生成与选定网络设备相对应的新扫描策略，所述新扫描策略中的安全检查项选自所选择的预先配置扫描策略中的安全检查项；以及扫描器，利用所生成的新扫描策略对所选定网络设备进行安全扫描从而进行安全配置核查，其中针对所述新扫描策略中的每个安全检查项，确定所选定网络设备的安全配置是否满足与该安全检查项所指示的安全检查。 

根据本发明的安全配置核查设备可以根据预先配置的扫描策略来生成新扫描策略以便对网络设备进行安全配置核查，从而消除了安全厂商的介入，这大大节省了进行安全配置核查的时间。 

可选地，在所述扫描策略生成器中，通过对所选择扫描策略中的安全检查项进行修改来生成所述新扫描策略中的安全检查项。另外，所选择的扫描策略和所述新扫描策略对应于相同类型的网络设备。这样，可以根据预先配置的扫描策略更快速和准确地生成适于新网络设备和新网络应用环境的新扫描策略，从而进一步节省了对网络设备进行安全配置核查的时间。 

可选地，根据本发明的安全配置核查设备还包括报告生成器，其基于扫描器的安全扫描结果来生成有关网络设备的安全配置核查结果以及用于存储一个或者多个预先配置的扫描策略的扫描策略存储器。 

根据本发明的另一个方面，提供了一种针对网络设备的安全配置核查方法，该方法可以根据预先配置的扫描策略来生成新扫描策略以便对网络设备进行安全配置核查，从而消除了安全厂商的介入，这大大节省了进行安全配置核查的时间。具体而言，该安全配置核查方法包括步骤：选择一个或者多个预先配置的扫描策略中的扫描策略来生成与所述网络设备相对应的新扫描策略，其中每个预先配置的扫描策略对应于一种网络设备且包括一个或者多个安全检查项，每个安全检查项与相对应的一种网络设备上的安全配置相关联，以及其中所述新扫描策略中的安全检查项选自所选择的预先配置扫描策略中的安全检查项；以及利用所生成的新扫描策略对所述网络设备进行安全扫描，其中针对所述新扫描策略中的每个安全检查项，确定所述网络设备的安全配置是否满足与该安全检查项所指示的安全检查。 

根据本发明的还有一个方面，提供了一种网络系统，其包括一个或者多个网络设备，以及根据本发明的安全配置核查设备，以用于对这些网络设备进行安全配置核查。

由于该网络系统采用了根据本发明的安全配置核查设备，因此即使该网络系统中具有多个类型不同的网络设备，也可以便利地生成与这些网络设备相对应的扫描策略来进行恰当的安全配置核查，从而节省了进行安全配置核查的时间。 

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方 式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中： 

图1示出了传统上对服务器或者网络设备进行安全配置核查的过程示意图； 

图2示出了根据本发明一个实施例的安全配置核查设备； 

图3示出了根据本发明一个实施例的安全配置核查设备中的扫描策略生成器生成新扫描策略的示意图； 

图4示出了根据本发明一个实施例的安全配置核查方法； 

图5示出了根据本发明一个实施例的、其中采用了安全配置核查设备的网络系统；以及 

图6示出了根据本发明另一个实施例的其中采用了安全配置核查设备的网络系统。 

具体实施方式

下面结合附图对本发明的具体实施方式进行描述。 

图2示出了根据本发明一个实施例的安全配置核查设备200。如图2所示，安全配置核查设备200包括一个或者多个预先配置的扫描策略210，每个扫描策略与一种网络设备(在下文中，为了便于描述，将服务器和网络设备统称为网络设备)相对应。预先配置的扫描策略通常由安全厂商根据网络设备提供者所提供的规范而预先定制。例如，取决于网络设备的类型，扫描策略210可以从包括下列扫描策略的组中选出：Windows扫描策略、Solaris扫描策略、Oracle扫描策略、CiscoRouter扫描策略、Juniper Router扫描策略、Huawei Router扫描策略、NETSCREEN扫描策略、PIX Firewall扫描策略、Informix扫描策略、HP Unix扫描策略、AIX扫描策略、Linux扫描策略、Microsoft SQLServer扫描策略、BIND扫描策略、Apache扫描策略、IIS扫描策略、Tomcat扫描策略、H3C Switch扫描策略、fortigate扫描策略和Windows-ORACLE扫描策略。每个扫描策略210包括一个或者多个安全检查项，这些安全检查项的中每个都与相应网络设备上的安全配置相关联。例如在扫描策略210为HP Unix扫描策略的情况下，此时对应的网络设备为HP Unix，其中安全检查项可以包括：检测用户缺省访问权限是否符合规范(根据该安全检查项检测用户缺省访问权限设置是 否符合安全规范)、检测telnet是否限制具备超级管理员权限的用户直接远程登录、检测ssh是否限制具备超级管理员权限的用户直接远程登录、检测采用静态口令认证技术的设备密码长度是否符合规范、检测采用静态口令认证技术的设备密码生存期是否满足规范、以及检测采用静态口令认证技术的设备不能使用最近指定次数内设置过的密码等等。根据与扫描策略相对应的网络设备的类型不同，扫描策略可以具有不同类型和数量的安全检查项。另外，即使针对同一种类型的网络设备，也可以预先配置适用于不同网络应用环境的扫描策略。例如，对于NETSCREEN网络设备，可以根据该网络设备是在公众网络中使用还是在局域网络中使用来预先配置不同的扫描策略。 

安全配置核查设备200还包括扫描策略生成器220，其为要进行安全配置核查的目标网络设备生成新扫描策略。扫描策略生成器220选择预先配置的扫描策略210中的一个或者多个扫描策略来生成与目标网络设备相对应的新扫描策略。 

图3示出了由扫描策略生成器220生成新扫描策略的示意图。在新扫描策略中，其中的安全检查项从所选择的预先配置扫描策略210中的安全检查项中选择得到。可选地，新扫描策略的安全检查项可以选自一个预先配置的扫描策略210，也可以选自多个预先配置的扫描策略。扫描策略生成器220基于目标网络设备的类型和网络应用环境，从所选择的一个或者多个预先配置扫描策略210的安全检查项中筛选出适合于目标网络设备的安全检查项以构造新扫描策略。 

可选地，当预先配置扫描策略210的安全检查项并不符合目标网络设备的网络应用环境时，扫描策略生成器220可以对安全检查项的参数进行修改以获得属于新扫描策略的安全检查项。由于此时仅仅需要对安全检查项的参数进行修改而不需要从零开始创建新安全检查项，因此可以快速地建立安全检查项。举例而言，对于现有的安全检查项“检测采用静态口令认证技术的设备用户不能重复使用最近8次内(含8次)已使用的口令”，其中的参数“8次”可以根据网络应用环境而进行修改以构造新的安全检查项。 

当然，扫描策略生成器220也可以根据目标网络设备的类型来新创建安全检查项。例如，在目标网络设备的类型为Windows操作系统的情况下，可以建立针对某个注册表项内容值的安全检查项。对于其他 网络设备类型，还存在其他创建新安全检查项的方式，所有这些都在本发明的保护范围之内。 

另外，可选地，新扫描策略可以从相关联的网络设备类型与目标网络设备相同的预先配置的扫描策略中选出。例如，当目标网络设备为Windows时，可以从用于Windows的各个预先配置的扫描策略中选择新扫描策略的安全检查项。这样可以快速而准确地构造新扫描策略。 

在扫描策略生成器220构造了新扫描策略之后，安全配置核查设备200中的扫描器230基于该新扫描策略对目标网络设备300进行安全扫描一遍进行安全配置核查。扫描器230针对新扫描策略中的每个安全检查项，确定目标网络设备300的安全配置是否满足与该安全检查项所指示的安全检查内容。扫描器230可以采用本领域的任何方式来进行安全检查项所指示内容的检测。例如，扫描器230可以基于安全检查项的内容生成登录到目标网络设备300上执行的脚本，在目标网络设备300上执行该脚本并根据该脚本的执行结果确定目标网络设备300是否满足该安全检查项。所以这些检查方式都在本发明的保护范围之内。 

可选地，安全配置核查设备还包括报告生成器240，其基于扫描器230的安全扫描结果来生成有关目标网络设备300的安全配置核查结果，以便目标网络设备300的系统管理员可以根据该核查结果来修改目标网络设备300上的安全配置，从而提高目标网络设备300的安全性。 

另外，安全配置核查设备200还包括扫描策略存储器250，用于存储所述一个或者多个预先配置的扫描策略210。 

安全配置核查设备200可以根据预先配置的扫描策略210来生成新扫描策略以便对目标网络设备300进行安全配置核查，从而消除了安全厂商的介入，这大大节省了进行安全配置核查的时间。 

图4示出了根据本发明一个实施例的安全配置核查方法，该方法可以由安全配置核查设备200执行以便对网络设备进行安全配置核查。如图4所示，该方法始于步骤S 410，其中选择一个或者多个预先配置的扫描策略中的扫描策略来生成与目标网络设备相对应的新扫描策略。如上所述，每个预先配置的扫描策略对应于一种网络设备且包括一个或者多个安全检查项，每个安全检查项与相对应的一种网络设备 上的安全配置相关联。 

在步骤S410中，基于目标网络设备的类型和网络应用环境，通过从所选择的预先配置扫描策略中的安全检查项中筛选出适合于目标网络设备的安全检查项来生成新扫描策略。可选地，新扫描策略的安全检查项可以选自一个预先配置的扫描策略，也可以选自多个预先配置的扫描策略。另外，可选地，当预先配置扫描策略的安全检查项并不符合目标网络设备的网络应用环境时，可以对安全检查项的参数进行修改以获得属于新扫描策略的安全检查项。由于此时仅仅需要对安全检查项的参数进行修改而不需要从零开始创建新安全检查项，因此可以快速地建立安全检查项。另外，可选地，新扫描策略可以从相关联的网络设备类型与目标网络设备相同的预先配置的扫描策略中选出。 

可选地，步骤S410可以由上述扫描策略生成器220来执行。 

在步骤S410构造了适于目标网络设备的新扫描策略之后，在步骤S420中，利用所生成的新扫描策略对目标网络设备进行安全扫描，其中针对新扫描策略中的每个安全检查项，确定目标网络设备的安全配置是否满足与该安全检查项所指示的安全检查。步骤S420可以采用本领域的任何方式来进行安全检查项所指示内容的检测。例如，可以基于安全检查项的内容生成登录到目标网络设备上执行的脚本，在目标网络设备上执行该脚本并根据该脚本的执行结果确定目标网络设备是否满足该安全检查项。所以这些检查方式都在本发明的保护范围之内。 

可选地，步骤S420可以由上述的扫描器230来执行。 

在步骤S420中对目标网络设备进行安全配置核查之后，可选地，该方法还包括步骤S430，其中基于步骤S420的安全扫描的结果来生成有关目标网络设备的安全配置核查结果，以便目标网络设备的系统管理员可以根据该核查结果来修改目标网络设备上的安全配置，从而提高目标网络设备的安全性。 

图5示出了根据本发明一个实施例的、其中采用了安全配置核查设备200的网络系统500。如图5所示，网络系统500中包括通过局域网络540互连的多个网络设备，这些网络设备除了传统的诸如网关、路由器之类的网络设备510之外，还包括服务器520和终端530等。安全配置核查设备200也通过局域网络540与这些网络设备互连，从而可以对这些网络设备的安全配置进行核查。这样，系统管理员可以利 用一台安全配置核查设备200就可以对网络系统500中的所有网络设备进行安全配置核查。 

此外，对于一些大型的网络，由于其组织结构复杂、分布点多、数据相对分散等原因，可以利用多台安全配置核查设备200的分布式部署来实现对整个网络系统中的网络设备的安全配置核查。图6就示出了这样的示例。如图6所示，安全配置核查设备200进行了分布式部署，并且支持各核查设备之间的数据共享和汇总，方便用户对分布式网络进行集中管理。在图6的网络系统600中，具有多台根据网络拓扑结构而分组的网络设备，而每组网络设备由相应的安全配置核查设备进行核查，而核查的数据又可以在各核查设备之间共享或汇总，这使得根据本发明的安全配置核查设备200可以在大型网络中应用。 

由于本发明可以灵活的对安全配置扫描方案进行自定义，这些自定义的东西完全取决于用户的需求，所以，用户能更灵活的对服务器或网络设备的配置进行安全扫描，而且能够节约大量的时间和成本。 

应当注意的是，在本发明的安全配置核查设备的各个部件中，根据其要实现的功能而对其中的部件进行了逻辑划分，但是，本发明不受限于此，可以根据需要对各个部件进行重新划分或者组合，例如，可以将一些部件组合为单个部件，或者可以将一些部件进一步分解为更多的子部件。 

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的安全配置核查设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。 

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可 设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。 

Claims (11)

1.一种安全配置核查设备，包括：

一个或者多个预先配置的扫描策略，每个预先配置的扫描策略对应于一种网络设备，其中每个扫描策略包括一个或者多个安全检查项，每个安全检查项与相对应网络设备上的安全配置相关联；

扫描策略生成器，选择所述一个或者多个预先配置的扫描策略中的扫描策略来生成与选定网络设备相对应的新扫描策略，所述新扫描策略中的安全检查项选自所选择的预先配置扫描策略中的安全检查项；

扫描器，利用所生成的新扫描策略对所选定网络设备进行安全扫描从而进行安全配置核查，其中针对所述新扫描策略中的每个安全检查项，确定所选定网络设备的安全配置是否满足与该安全检查项所指示的安全检查。

2.如权利要求1所述的安全配置核查设备，其中在所述扫描策略生成器中，通过对所选择扫描策略中的安全检查项进行修改来生成所述新扫描策略中的安全检查项。

3.如权利要求1所述的安全配置核查设备，其中在所述扫描策略生成器中，所选择的扫描策略和所述新扫描策略对应于相同类型的网络设备。

4.如权利要求1-3中的任一个所述的安全配置核查设备，还包括：

报告生成器，基于上述扫描器的安全扫描结果来生成有关所选定网络设备的安全配置核查结果。

5.如权利要求1-3中的任一个所述的安全配置核查设备，还包括：

扫描策略存储器，用于存储所述一个或者多个预先配置的扫描策略。

6.一种针对网络设备的安全配置核查方法，包括步骤：

选择一个或者多个预先配置的扫描策略中的扫描策略来生成与所述网络设备相对应的新扫描策略，其中每个预先配置的扫描策略对应于一种网络设备且包括一个或者多个安全检查项，每个安全检查项与相对应的一种网络设备上的安全配置相关联，以及其中所述新扫描策略中的安全检查项选自所选择的预先配置扫描策略中的安全检查项；

利用所生成的新扫描策略对所述网络设备进行安全扫描，其中针对所述新扫描策略中的每个安全检查项，确定所述网络设备的安全配置是否满足与该安全检查项所指示的安全检查。

7.如权利要求6所述的安全配置核查方法，其中所述选择一个或者多个预先配置的扫描策略中的扫描策略来生成与所述网络设备相对应的新扫描策略的步骤还包括：

对所选择扫描策略中的安全检查项进行修改来生成所述新扫描策略中的安全检查项。

8.如权利要求7所述的安全配置核查方法，其中所述选择一个或者多个预先配置的扫描策略中的扫描策略来生成与所述网络设备相对应的新扫描策略的步骤还包括：从对应于类型与所述网络设备相同的网络设备的预先配置扫描策略中选择扫描策略来生成所述新扫描策略。

9.如权利要求6-8中的任一个所述的安全配置核查方法，还包括步骤：

基于所述安全扫描的结果来生成有关所述网络设备的安全配置核查结果。

10.一种网络系统，包括：

一个或者多个网络设备；

如权利要求1-5中的任一个所述的安全配置核查设备，用于对所述一个或者多个网络设备进行安全配置核查。

11.如权利要求10所述的网络系统，其中包括多个网络设备，所述多个网络设备分成多个组；以及

在每个网络设备组中并入安全配置核查设备，以便对该网络设备组中的网络设备进行安全配置核查。

Images