CN102215212B - 一种安全策略的冲突处理方法、架构及统一转换器 - Google Patents

Abstract

本发明公开了一种安全策略的冲突处理方法、架构及统一转换器，其中所述方法包括：策略层将不同网络的安全策略下发到中间层；中间层将不同网络的安全策略进行统一转换并下发到处理层；处理层对转换后的不同网络的安全策略进行冲突处理。本发明实现了不同网络的安全策略的冲突处理，满足统一安全策略部署的需求。

Description

一种安全策略的冲突处理方法、架构及统一转换器

技术领域

本发明涉及通信技术领域，特别涉及一种安全策略的冲突处理方法、架构及统一转换器。

背景技术

基于策略的安全管理是目前大型网络和分布式系统中广泛使用的一种解决方案。随着网络融合的发展，业务多样性、设备复杂性，网络异构性呈指数形式扩张，使得整个网络的安全也越来越复杂。因此繁杂的人工配置已经不能满足网络发展的需求，基于策略的解决方案由于能够提供效率优化、安全统一和操作便利的网络安全管理手段而得到广泛应用。

然而，由于安全策略形式化表示、理论模型和应用环境的复杂性，不可避免地存在策略冲突问题。策略冲突是指两条或多条策略在被执行时出现措施或结论互斥的情况。IETF(InternetEngineeringTaskForce，互联网工程任务组)在RFC3198(RequestForComments，请求评议)中叙述了策略冲突的概念：两条或多条策略的条件部分同时满足，而动作却不能同时执行，此时执行动作的实体不能确定应该执行哪个动作。

策略冲突主要分为模态冲突(形式冲突)和应用相关冲突(语义冲突)这两大类。模态冲突是指策略描述上的不一致，这种不一致发生在两个或多个带相反符号的策略作用于相同的主体、客体和措施的时候。应用相关冲突，通常是指策略和策略的外部约束之间发生冲突，即策略的内容与外部约束中明确规定不允许出现的情况发生冲突。现有信息安全领域中已有许多理论模型。典型的安全模型有BLP(Bell-LaPadula)模型，HRU(Harrison，Ruzzo，Ullman)模型，RBAC(Role-BasedAccessControl)，TBAC(Task-BasedAccessControl)模型等。每种模型中的实施体现成不同的安全策略，由于不同模型在策略表示、策略规则方面存在差异，容易造成策略冲突。

安全管理的重要特点是强调全局一致性，任一点的安全漏洞或不一致都可能导致安全体系的崩溃。作为安全管理的灵魂，安全策略自身的一致性尤为重要。因此安全策略冲突检测和消解是实现统一安全管理的首要目标。

针对策略冲突，研究人员提出了大量切实有效的冲突检测与消解方法。例如基于Ponder语言的冲突检测；基于XACML(eXtensibleAccessControlMarkupLanguage，可扩展访问控制标记语言)语言的冲突检测；基于ASL(AuthorizationSpecificationLanguage，授权规范语言)的语言冲突检测和基于形式语言EC(EventCalculus，事件演算)表现策略冲突的方法。

但这些处理机制都是针对某种策略规则或者策略描述语言实现冲突的检测和消解。目前常用的安全策略冲突检测和消解的方法主要有以下三类：(1)静态一致性检验和冲突消解。即在安全策略运行前，通过策略间的一致性分析，检查出策略间的冲突，通过调整其中某(些)策略以避免冲突。该方法在策略固定的情况下经常被采用，很少应用于策略灵活支持的信息系统。(2)基于优先级的一致性检验和冲突消解。即为每个安全策略分配一个优先级，当发生策略冲突时，依据策略优先级来选定选择哪个策略。这种策略冲突协调方式相对简单，但灵活性较差。(3)基于元策略的一致性检验和冲突消解。元策略是关于策略描述的顶层策略，设计元策略的主要目的是描述多个策略间相互关系。与基于策略优先级的冲突解决比较而言，这种冲突协调机制比较复杂，但灵活性和动态性较好。

在不同网络之间进行安全策略的协商时，不同网络的策略规则不同，采用的策略描述语言也可能不一样，而现有的安全策略处理机制大都针对某种策略规则或者策略描述语言实现冲突的检测和消解，并没有提供一个跨网络、具有通用性和扩展性的安全策略冲突和消解方案。

发明内容

本发明要解决的技术问题是提供一种安全策略的冲突处理方法、架构及统一转换器，解决不同网络中的安全策略冲突问题，满足统一安全策略部署的需求。

为了解决上述问题，本发明提供了一种安全策略的冲突处理方法，所述方法包括：

策略层将不同网络的安全策略下发到中间层；

所述中间层将所述不同网络的安全策略进行统一转换并下发到处理层；

所述处理层对转换后的所述不同网络的安全策略进行冲突处理。

进一步地，所述处理层对所述不同网络的安全策略进行冲突处理包括以下之一或任意组合：解析分解、冲突检测、消解。

进一步地，所述转换是指，提取所述不同网络的安全策略包含的条件和执行信息并采用统一的语言进行表示。

进一步地，所述采用统一的语言进行表示指采用可扩展标记语言(XML)表示。

进一步地，若所述处理层的安全设备支持所述XML语言表示的安全策略，则直接对所述XML语言表示的安全策略进行解析分解、冲突检测和消解；

若所述处理层的安全设备不支持所述XML语言表示的安全策略，则将所述XML语言表示的安全策略转换为所述处理层的安全设备支持的语言形式表示的安全策略后，再进行解析分解、冲突检测和消解。

本发明还提供了一种安全策略冲突的处理架构，所述架构包括：策略层、中间层和处理层，

所述策略层，用于承载不同网络的安全策略，并下发到所述中间层；

所述中间层，用于将所述不同网络的安全策略进行统一转换并下发到所述处理层；

所述处理层，用于对转换后的所述不同网络的安全策略进行冲突处理。

进一步地，所述处理层对所述不同网络的安全策略进行冲突处理包括以下之一或任意组合：解析分解、冲突检测、消解。

进一步地，所述不同网络的安全策略是采用不同的形式化规范语言表示的策略。

进一步地，所述中间层采用如下方式对所述不同网络的安全策略进行转换：提取所述安全策略包含的条件和执行信息并采用统一的语言进行表示。

进一步地，所述处理层还用于，将所述采用统一的语言表示的安全策略转换为本地安全设备支持的语言形式；以及对内部策略进行冲突处理或者对中间层转换后下发的其它网络的安全策略进行冲突处理。

进一步地，所述统一的语言表示是指采用XML语言表示。

进一步地，若所述处理层支持所述XML语言表示的安全策略，则所述处理层直接对所述XML语言表示的安全策略进行解析分解、冲突检测和消解；

若所述处理层不支持所述XML语言表示的安全策略，则所述中间层或者所述处理层将所述XML语言表示的安全策略转换为所述处理层支持的语言形式表示的安全策略后，由所述处理层进行解析分解、冲突检测和消解。

进一步地，所述处理层还包括：安全策略解析/分解模块、安全策略冲突检测模块、安全策略库、冲突数据库和安全策略冲突消解模块，其中：

所述安全策略解析/分解模块，用于对统一的语言表示的安全策略进行解析分解，或者，将采用统一的语言表示的安全策略转换为本地安全设备支持的语言形式后进行解析分解；

所述安全策略冲突检测模块，用于根据所述解析分解后的安全策略结合所述安全策略库中存储的安全策略进行安全策略冲突检测，如果检测到冲突，则查询所述冲突数据库确定冲突类型，并触发所述安全策略冲突消解模块；

所述安全策略库，用于存储安全策略；

所述冲突数据库，用于存储冲突数据表；

所述安全策略冲突消解模块，用于根据冲突类型，利用本地冲突消解策略对冲突进行消解，并将消解成功的策略加入所述安全策略库。

本发明还提供了一种统一转换器，

所述统一转换器用于，将不同网络的安全策略转换成统一的语言表示的安全策略，并提供给处理层进行安全策略的冲突处理。

进一步地，所述统一转换器采用如下方式对所述不同网络的安全策略进行转换：提取所述不同网络的安全策略包含的条件和执行信息并采用统一的语言进行表示。

进一步地，所述统一的语言表示是指采用XML语言表示。

本发明具有如下特点：

采用三层的冲突处理架构，其中策略层主要包括不同网络之间进行协商的策略，通过相对独立的中间统一转换层，屏蔽策略层策略的异构性，为下层提供统一表示的安全策略，且该架构每层的功能清晰，增加了系统可扩展性；

采用统一转换器对不同网络的安全策略进行统一转换，提取出每一安全策略包含的条件和执行信息并采用统一的语言进行表示后，再下发给处理层进行冲突处理，处理层看到的是同一种形式化规范表示的安全策略，从而可以屏蔽不同网络的安全策略对策略冲突检测和消解的影响。

附图说明

图1本发明实施例的安全策略冲突处理架构的分层示意图；

图2本发明实施例的安全策略冲突处理架构的组成示意图；

图3本发明实施例的安全策略冲突处理架构的组件交互示意图；

图4本发明实施例的安全策略冲突处理方法的流程示意图。

具体实施方式

本发明的目的在于，提供一个通用、可扩展的安全策略冲突检测和消解的架构及处理方法，满足统一安全策略部署的需求。

为实现上述目的，本发明实施例提供了一种安全策略冲突处理架构，如图1所示，该架构可分为如下三层：策略层，中间层和处理层，其中，各层主要完成的功能描述如下：

策略层，该策略层是安全策略的集合，用于承载来自不同网络的安全策略，这些安全策略可以是通过不同的形式化规范语言或GUI方式定义。

其中，安全策略是与系统安全相关的行为规则描述，其可以在一定的抽象层次上指导系统的行为管理并使其保持一致性。

中间层，负责对不同形式的安全策略进行归一化处理，将策略层中不同的策略表示转换成统一形式化规范语言表示的策略。

无论安全策略是由形式化规范语言还是GUI等方式定义，虽然具体的叙述形式不一样，但其实质都是包括条件(event)和执行(action)两方面的内容规则组成，因此，在进行统一转换时，只需提取出每一安全策略包含的条件和执行信息，再用统一的语言进行表示即可。

这样，经过中间层处理后，处理层看到的是同一种形式化规范表示的安全策略，从而可以屏蔽策略层不同的策略对策略冲突检测和消解的影响。

处理层对转换后的策略进行分解、简化后，基于分解、简化后的规则表实现安全策略冲突的检测、消解。

基于该架构可以将多种安全策略通过中间层统一在一个安全管理框架下，并在统一的策略表示基础上实现冲突检测和消解等功能，实现跨域、通用、可扩展的安全策略冲突检测和消解。

图2示出了本发明实施例的基于上述安全策略冲突处理架构的组件示意图，如图2所示，其主要包括如下组件/功能模块：

安全策略模块：位于策略层，主要用于承载不同网络中的安全策略，如网络A中的安全策略模块承载有网络A与其他一个或多个网络间的策略：策略(A，B)，策略(A，N)，策略(A，B，N)......等等。

统一转换器：位于中间层，通过在中间层部署统一转换器，实现对策略层不同策略的转换，将异构的安全策略用统一形式化规范来表示，简化下层(即处理层)冲突检测和处理的复杂度。

优选地，可以采用可扩展标记语言(eXtensibleMarkupLanguage，XML)对不同网络中的安全策略表述形式化语言进行转换。XML语言是一种自定义标签语言，其语法严格，可读性强，灵活性好，而且可扩展。采用XML作为一种统一转换器的安全策略表述语言，统一安全策略信息的描述方式，简化安全策略的冲突检测和消解过程，并且其严格的语法也有助于避免策略冲突。XML统一表示可以提供屏蔽上层安全策略的差异，简化融合网络环境中的安全策略冲突检测和消解的有效手段。统一转换成XML语言表示的形式，策略冲突检测和消解模块只要能够处理这种统一表示的策略即可，而不需要下层能够处理上层各种不同的安全策略。这样有新的安全机制或形式化语言相关的策略加入时，中间层可以对下层屏蔽这种影响。

当然，除了XML语言，也可以采用其他语言，如安全断言标记语言(SecurityAssertionMarkupLanguage，简称为SAML)，等。

安全策略解析/分解模块：利用策略分解算法将复杂的安全策略分解为若干规则，然后对每条规则进行化简，处理后的策略存储在一个规则表中，用于冲突检测。

本实施例中，安全策略解析/分解模块位于处理层，与现有的处理层安全策略解析/分解模块相比，在其原有功能的基础上，只需该模块能够支持统一语言表示的策略的分解解析即可。

但在本发明其他实施例中，例如，当本地安全策略冲突检测模块不能直接对中间层统一语言表示的策略进行分解检测时，安全策略解析/分解模块可以位于处理层，也可以位于中间层，用于将统一语言表示的策略解析为内部所支持的语言后，分解、化简成策略规则并存储在规则表中。

安全策略冲突检测模块：主要执行安全策略冲突检测，可以直接对统一语言表示的策略，或者对经过安全策略解析/分解模块解析后的策略进行冲突检测，如果检测到冲突，则将策略传递到安全策略冲突消解模块进行处理。

安全策略库：安全策略库主要用于存储安全策略。安全策略库可以是目录服务器或关系数据库服务器。

冲突数据库：冲突数据库主要用于存储冲突数据表，冲突数据表中列出了策略间在不同情况下发生的冲突类型。通过冲突数据表可以很方便的查询到冲突类型，进行冲突消解。

安全策略冲突消解模块：对检测到冲突的策略进行冲突消解处理。常用的冲突消解方法有重写冲突策略，删除冲突策略以及为发生冲突的策略建立优先级。基于优先级的方式进行冲突消解处理方法比较适合分布式环境，包括本地优先，属主级别优先和新加载策略优先等，在不确定的情况下将冲突提交给管理员，由管理员决定如何设定优先级。

上述的安全策略冲突检测模块、安全策略库、冲突数据库和安全策略冲突消解模块均位于处理层。该处理层不仅对网络中的内部策略进行冲突处理，还对中间层转换后的其它网络的安全策略进行冲突处理。

图3示出了基于上述实施例的安全策略冲突处理架构的组件间的交互示意图。其中，策略层中的安全策略封装在策略分发协议中进行网络之间的传输，例如COPS(commonopenpolicyservice，普通开放策略服务)协议等。策略在到达异地的网络的时候，由网络边界网关或边界路由器解析发现是策略消息，则转发到中间层的策略统一转换器组件，并在中间层进行统一转换后，由处理层进行冲突检测和消解。

结合图3，本实施例的安全策略冲突处理架构各模块间的交互过程如下：

不同网络交互通信时，需要协商安全策略，来自不同网络的安全策略在传送到对方网络前首先到达统一转换器；

统一转换器对这些跨网络、异构的安全策略进行转换，转换为同一种形式化语言表示的策略；

安全策略解析/分解模块对同一种形式化语言表示的策略并进行分解，将策略分解为条件和行为对应的一条条规则，组成规则表；

统一转换并分解后的规则表传送给本地的安全策略冲突检测模块，安全策略冲突检测模块结合本地安全策略库中的策略进行冲突检测，即，将本地策略库中的策略分解成规则后同规则表中的规则对比进行冲突检测，如果检测到冲突，可以查询冲突检测库确定冲突类型，并触发安全策略冲突消解模块；

安全策略冲突消解模块根据冲突类型和本地的冲突消解策略，对冲突进行消解，并将消解成功的策略加入本地安全策略库。

图4示出了本发明实施例的安全策略冲突处理方法的流程示意图，如图4所示，该流程具体描述如下：

步骤101：安全策略输入，可能是不同形式的安全策略，例如使用不同形式化语言描述的策略，或者是不同层次、不同安全规则域的安全策略。

步骤102：对安全策略进行转换，转换成统一指定的形式化语言表示的安全策略。

步骤103：利用策略分解算法将复杂的安全策略分解为若干规则，然后对每条规则进行化简，处理后的策略存储在一个规则数据表中；

步骤104：执行冲突检测，检查分解后的策略规则的条件和动作的有效性，并确保策略之间不发生冲突。如果检测到冲突，则需要查找冲突数据库，确定冲突类型；

步骤105：判断策略冲突检测模块的是否检测到冲突。如果检测到冲突，则执行步骤106，如果没有检测到冲突，则执行步骤107；

步骤106：执行安全策略消解算法，对产生冲突的策略进行冲突消解处理，并且将冲突消解处理后的策略传递到步骤104，继续对冲突消解后的策略进行策略冲突检测；

步骤107：如果没有检测到冲突，则本次冲突检测和消解处理结束。

此外，基于上述实施例的技术方案，本发明实施例还提供了一种统一转换器，该统一转换器用于将不同网络的安全策略转换成统一的语言表示的安全策略，并提供给处理层进行安全策略的冲突处理。

其中，所述统一转换器采用如下方式对所述不同网络的安全策略进行转换：提取所述不同网络的安全策略包含的条件和执行信息并采用统一的语言进行表示。

其中，所述统一的语言表示是指采用XML语言表示。

以上所述，仅为本发明的部分实施例，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种安全策略的冲突处理方法，其特征在于，所述方法包括：

策略层将不同网络的安全策略下发到中间层；

所述中间层将所述不同网络的安全策略进行统一转换并下发到处理层；所述转换是指，提取所述不同网络的安全策略包含的条件和执行信息并采用统一的语言进行表示；所述采用统一的语言进行表示指采用可扩展标记语言XML表示；

所述处理层对转换后的所述不同网络的安全策略进行冲突处理；

若所述处理层的安全设备支持所述XML语言表示的安全策略，则直接对所述XML语言表示的安全策略进行解析分解、冲突检测和消解；

若所述处理层的安全设备不支持所述XML语言表示的安全策略，则将所述XML语言表示的安全策略转换为所述处理层的安全设备支持的语言形式表示的安全策略后，再进行解析分解、冲突检测和消解。

2.如权利要求1所述的处理方法，其特征在于，所述处理层对所述不同网络的安全策略进行冲突处理包括以下之一或任意组合：解析分解、冲突检测、消解。

3.一种安全策略冲突的处理架构，其特征在于，所述架构包括：策略层、中间层和处理层，

所述策略层，用于承载不同网络的安全策略，并下发到所述中间层；

所述中间层，用于将所述不同网络的安全策略进行统一转换并下发到所述处理层；所述中间层采用如下方式对所述不同网络的安全策略进行转换：提取所述安全策略包含的条件和执行信息并采用统一的语言进行表示；所述统一的语言表示是指采用XML语言表示；

所述处理层，用于对转换后的所述不同网络的安全策略进行冲突处理；

若所述处理层支持所述XML语言表示的安全策略，则所述处理层直接对所述XML语言表示的安全策略进行解析分解、冲突检测和消解；

若所述处理层不支持所述XML语言表示的安全策略，则所述中间层或者所述处理层将所述XML语言表示的安全策略转换为所述处理层支持的语言形式表示的安全策略后，由所述处理层进行解析分解、冲突检测和消解。

4.如权利要求3所述的处理架构，其特征在于，所述处理层对所述不同网络的安全策略进行冲突处理包括以下之一或任意组合：解析分解、冲突检测、消解。

5.如权利要求3所述的处理架构，其特征在于，所述不同网络的安全策略是采用不同的形式化规范语言表示的策略。

6.如权利要求3所述的处理架构，其特征在于，

所述处理层还用于，将所述采用统一的语言表示的安全策略转换为本地安全设备支持的语言形式；以及对内部策略进行冲突处理或者对中间层转换后下发的其它网络的安全策略进行冲突处理。

7.如权利要求3所述的处理架构，其特征在于，所述处理层还包括：安全策略解析/分解模块、安全策略冲突检测模块、安全策略库、冲突数据库和安全策略冲突消解模块，其中：

所述安全策略解析/分解模块，用于对统一的语言表示的安全策略进行解析分解，或者，将采用统一的语言表示的安全策略转换为本地安全设备支持的语言形式后进行解析分解；

所述安全策略冲突检测模块，用于根据所述解析分解后的安全策略结合所述安全策略库中存储的安全策略进行安全策略冲突检测，如果检测到冲突，则查询所述冲突数据库确定冲突类型，并触发所述安全策略冲突消解模块；

所述安全策略库，用于存储安全策略；

所述冲突数据库，用于存储冲突数据表；

所述安全策略冲突消解模块，用于根据冲突类型，利用本地冲突消解策略对冲突进行消解，并将消解成功的策略加入所述安全策略库。

8.一种采用如权利要求1所述安全策略的冲突处理方法的统一转换器，其特征在于，

所述统一转换器用于，将不同网络的安全策略转换成统一的语言表示的安全策略，并提供给处理层进行安全策略的冲突处理；

所述统一转换器采用如下方式对所述不同网络的安全策略进行转换：提取所述不同网络的安全策略包含的条件和执行信息并采用统一的语言进行表示；所述统一的语言表示是指采用XML语言表示。