CN103368927B - 一种安全配置核查设备和方法 - Google Patents

Abstract

本发明公开了一种安全配置核查设备，包括一个或者多个扫描策略，每个扫描策略对应于一种网络设备，其中每个扫描策略包括一个或者多个安全检查项，每个安全检查项与相对应网络设备上的安全配置相关联；一个或者多个预定义模板，每个预定义模板与一个安全检查项相对应；转换引擎，被配置为选择与目标网络设备相对应的扫描策略中的一个安全检查项，将根据与该安全检查项相对应的预定义模板来将该安全检查项转换为可执行应用；以及执行接口，被配置为通过该接口下载经转换的可执行应用以便在目标网络设备上执行。本发明还公开了一种相应的安全配置核查方法。

Description

一种安全配置核查设备和方法

技术领域

本发明涉及网络安全领域，尤其涉及用于对网络设备的安全配置进行核查的安全配置核查设备和相应核查方法。

背景技术

随着信息技术的不断发展，网络服务和网络应用也越来越多，承载这些网络服务和网络应用的服务器或者网络设备也在不断地上架。这些服务器或者网络设备的安全性也越来越被人们所重视。一个网络服务或应用被非法侵入，除了这些服务器或网络设备自身的漏洞外，最重要的原因是服务器或者网络设备的使用者对它们的配置不够安全。这些配置上的缺陷给了黑客的可乘之机，也给服务器或网络设备的使用者造成了重大的损害。

为了防止由于服务器或者网络设备的配置失误而造成的损失，网络管理员通常会对网络内的服务器或者网络设备的安全配置进行核查，对不符合安全配置规范的服务器或者网络设备进行安全加固。一些安全厂商已经提供了安全软件用于网络管理员对服务器或者网络设备的安全配置进行扫描。

传统上，某个服务器或者网络设备的提供商会提供“安全配置规范”，随后，在网络管理员根据该“安全配置规范”对服务器或者网络设备进行安全配置的同时，安全厂商会根据该“安全配置规范”来对这个服务器或者网络设备定制安全配置扫描方案。然后，安全厂商通过这个安全扫描方案对服务器或者网络设备进行安全配置扫描，并将扫描结果通知给网络管理员，进而规范服务器或者网络设备的安全配置。

随着，网络管理员要管理的服务器或者网络设备数量和种类不断增加，为了提高对这些网络设备进行安全配置核查的效率。本申请的申请人在先前申请号为201010549861.7的中国专利申请“一种安全配置核查设备和方法以及采用该设备的网络系统”中已经提出了一种可以由网络管理员或者服务器或者网络设备的使用者自行根据不同网络应用环境以及不同的服务器或者网络设备来灵活地定义自己的安全配置核查策略的安全配置核查方式，以便节约安全配置核查的成本和时间。

每个安全配置核查策略包括一个或者多个检查项。每个检查项均包括要对目标网络设备进行安全核查的内容。例如检查项的内容可以包括用户缺省访问权限是否符合规范、telnet是否限制具备超级管理员权限的用户直接远程登录、ssh是否限制具备超级管理员权限的用户直接远程登录、采用静态口令认证技术的设备密码长度是否符合规范、采用静态口令认证技术的设备密码生存期是否满足规范、以及采用静态口令认证技术的设备不能使用最近指定次数内设置过的密码等。

这些安全检查需要目标网络设备的特定权限才可以执行，然而在实践中，一些需要进行安全配置核查的网络设备出于安全考虑会不允许以特定权限远程登录到本机来执行文件，或者这些网络设备由于网络原因无法被远程登录，这样现有的安全配置核查方式就无法处理对这样的网络设备进行核查，从而存在现有的安全配置核查方式不适用的问题。

因此，希望有一种可以能够扩大安全核查的适用范围，以便可以对任何目标网络设备都进行安全核查的新的安全配置核查设备和方法。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的安全配置核查设备和相应的核查方法。

根据本发明的一个方面，提供了一种用于对网络设备进行安全配置核查的安全配置核查设备，该安全配置核查设备包括一个或者多个扫描策略，每个扫描策略对应于一种网络设备，而且每个扫描策略包括一个或者多个安全检查项，每个安全检查项与相对应网络设备上的安全配置相关联；一个或者多个预定义模板，每个预定义模板与一个安全检查项相对应；转换引擎，被配置为选择与目标网络设备相对应的扫描策略中的一个安全检查项，将根据与该安全检查项相对应的预定义模板来将该安全检查项转换为可执行应用；以及执行接口，被配置为通过该接口下载经转换的可执行应用以便在目标网络设备上执行。

根据本发明的安全配置核查设备可以将要在目标网络设备上进行安全核查的项目转换为可执行应用，从而目标网络设备的管理员可以从安全配置核查设备获取该经可执行应用，并且在目标网络设备上执行该应用来进行安全核查。这可以解决安全配置核查设备因为各种原因，例如没有权限或者网络不通等，而不能对目标网络设备进行安全核查的问题。

可选地，在根据本发明的安全配置核查设备中，还可以通过执行接口将可执行应用在目标网络设备上的执行结果上载到安全配置核查设备中，以便对该执行结果进行分析以确定对该目标设备的安全配置核查结果。

可选地，在根据本发明的安全配置核查设备中，可执行应用包括可执行脚本文件以及启动该可执行脚本文件的命令文件。可执行脚本文件例如为Perl编程语言编写的脚本。由于Perl在各种网络设备上被广泛支持，因此，这可以确保可执行应用的应用范围。

可选地，在根据本发明的安全配置核查设备中，可执行应用在目标网络设备的执行结果以XML文件存储，转换引擎在转换可执行应用时，存储与可执行应用相对应的唯一标识，而可执行应用的执行结果又包括该标识。这样，通过该标识，不仅可以在安全核查项和核查结果之间建立唯一关联，而且还可以在目标网络设备和核查结果之间建立唯一关联。安全配置核查设备从而可以明确该核查结果来自哪个网络设备以及基于哪个安全核查项生成。

根据本发明的另一个方面，提供了一种针对网络设备的安全配置核查方法，该方法包括步骤：从一个或者多个扫描策略中选择与网络设备相对应的扫描策略并选择其中的一个安全检查项，其中扫描策略对应于一种网络设备且包括一个或者多个安全检查项，每个安全检查项与相对应的一种网络设备上的安全配置相关联；基于与所选择的安全检查项相对应的预定义模板，来将该安全检查项转换为可执行应用；以及下载经转换的可执行应用以便在目标网络设备上执行。。

可选地，根据本发明的安全配置核查方法还包括上载可执行应用的执行结果以进行进一步分析的步骤。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示意地示出了根据本发明一个实施例的安全配置核查设备100；

图2示意地示出了根据本发明一个实施例的安全配置核查方法200的流程图；

图3示意地示出了根据本发明一个实施例的预定义模板的示例；

图4示意地示出了根据本发明一个实施例的可执行脚本的示例；

图5示意地示出了根据本发明一个实施例的命令文件的示例；以及

图6示意地示出了根据本发明一个实施例的可执行应用的执行结果。

具体实施方式

下面结合附图对本发明的具体实施方式进行描述。

图1示出了根据本发明一个实施例的安全配置核查设备100。如图1所示，安全配置核查设备100包括一个或者多个扫描策略110，每个扫描策略与一种网络设备（在下文中，为了便于描述，将服务器和网络设备统称为网络设备）相对应。每个扫描策略110包括一个或者多个安全检查项120，这些安全检查项的中每个都与相应网络设备上的安全配置相关联。例如在扫描策略110为与网络设备HP Unix相对应的情况下，安全检查项120可以包括：检测用户缺省访问权限是否符合规范、检测telnet是否限制具备超级管理员权限的用户直接远程登录、检测ssh是否限制具备超级管理员权限的用户直接远程登录、检测采用静态口令认证技术的设备密码长度是否符合规范、检测采用静态口令认证技术的设备密码生存期是否满足规范、以及检测采用静态口令认证技术的设备不能使用最近指定次数内设置过的密码等等。这些安全检查项可以通过在网络设备300上执行系统命令等方式来实现。

然而，有些网络设备300不支持与安全配置核查设备100直接交互。例如，有些网络设备300本身的权限设置导致不允许从安全配置核查设备100登录到网络设备300上来进行各种安全核查。又例如，有些网络设备300处于封闭的网络环境中，因此安全配置核查设备100根本不可能与网络设备300直接进行交互。

为此，安全配置核查设备100还包括转换引擎130，适于选择与网络设备300相对应的扫描策略中的一个安全检查项120，并且将该安全检查项转换为可执行应用。

为了便于转换引擎130将安全检查项120转换为可执行引用，安全配置核查设备100还包括预定义模板库140。预定义模板库140中包括一个或者多个预定义模板145，其中每个预定义模板145与一个安全检查项120相对应。转换引擎130适于使用预定义模板145来将安全检查项120转换为可执行应用。一般而言，可执行应用通常以各种编程语言来编写，而对于安全检查项的安全核查内容，其大部分内容是固定不变的，而是仅仅例如在应用的目标网络设备类型、各种安全检查阈值、可执行命令以及初始化参数等各种设置参数方面存在不同。为此，预定义模板145中可以预先编写好相应固定不变的内容，随后转换引擎130将安全检查项120中的各种设置参数合并到预定义模块145所预先编写的内容中以形成可执行引用。例如，当可执行应用以C语言等需要编译执行的语言来编写时，转换引擎130还包括对并入了相应设置参数的文件进行编译以获得可执行应用。而当可执行应用以Perl、类Script语言等之类的解析执行的脚本语言来编写使，转换引擎130不需要对脚本语言进行编译，但是为了便于脚本语言的执行，转换引擎130除了生成可执行脚本之外，还生成适于在目标网络设备300上执行以便调用可执行脚本的命令文件，并且将命令文件和脚本文件打包为可执行应用。

存在有多种转换引擎130的示例，例如，当要进行转换的安全检查项120为有关mysql数据库的安全并且可执行应用包括Perl脚本时，此时预定义模板145的内容可以如图3所示，而由转换引擎130转换后的Perl脚本的内容如图4所示。另外，可选地，转换引擎130还生成用于调用该Perl脚本的命令文件，其例如图5所示。

应当注意的是，上面仅仅给出了有关转换引擎130的操作的一个特定示例，本领域技术人员根据上述示例，可以设想出各种可以由转换引擎130采用来将安全检查项120转换为可执行应用的方式，所有这些方式都在本发明的保护范围之内。

安全配置核查设备100还包括执行接口150。由转换引擎130生成的可执行应用可以经由该执行接口150来下载。这样有权限在网络设备300上执行引用的用户可以经由该执行接口150来下载，然后将该可执行应用以各种方式上传到网络设备300上执行，以便就针对该安全检查项进行安全核查。由于可执行应用为独立应用，其不用依赖于安全配置核查设备100就可以独立运行，因此只要具有适当权限的用户将该可执行应用上传到网络设备300上，则该可执行应用就可以执行，并且生成安全配置核查结果。

可选地，执行接口150还提供了适于用户将可执行应用的执行结果上载到安全配置核查设备100上的接口，从而可以由安全配置核查设备100来确定该安全配置是否合格。

根据本发明的一个实施例，可执行应用的执行结果可以具有XML格式。图6示意性地示出了可执行应用的执行结果。可选地，如图6所示，可执行应用的执行结果中具有一个唯一的标识uuid，即“529220a2-2d06-9508-cf08-68fff475aca6”。同样，转换引擎130在针对安全检查项来生成可执行应用时，也会记录该唯一标识。这样当经由执行接口150接收执行可执行应用的安全配置核查结果时，安全配置核查设备可以将该安全配置核查结果和相应的安全检查项以及目标网络设备进行关联，从而确定该安全配置核查结果属于哪个目标网络设备，并且基于哪项安全检查项而生成。

安全配置核查设备还可以包括报告生成器160，其基于执行接口150接收的、有关相应安全检查项的检查结果来生成有关目标网络设备300的安全配置核查结果，以便目标网络设备300的系统管理员可以根据该核查结果来修改目标网络设备300上的安全配置，从而提高目标网络设备300的安全性。

应当注意的是，在一些情况下，例如由于网络设备300的权限设置，不是所有的安全检查项都不能通过安全配置核查设备100和网络设备300的直接交互来进行核查。因此，针对于每个扫描策略，可选地仅仅针对不能直接进行核查的安全检查项来由转换引擎130进行转化，而对于其它安全检查项，则可以利用扫描器170来与网络设备300直接进行交互来进行完全配置核查。扫描器170可以采用本领域的任何方式来进行安全检查项122所指示的检测。例如，扫描器170可以生成适于执行与安全检查项122所指示的检测相对应的、针对网络设备300的命令，在网络设备300上执行该命令并根据该命令的执行结果确定网络设备300是否满足该安全检查项。

图2示出了根据本发明一个实施例的安全配置核查方法，该方法可以由安全配置核查设备100执行以便对网络设备300进行安全配置核查。如图2所示，该方法始于步骤S210，其中从一个或者多个扫描策略中选择与网络设备300相对应的扫描策略，并选择所选扫描策略中的一个安全检查项，其中每个扫描策略对应于一种网络设备且包括一个或者多个安全检查项，而且每个安全检查项与相对应的一种网络设备上的安全配置相关联。这些安全检查项可以通过在网络设备300上执行系统命令等方式来实现。然而，如上所述，有些网络设备300不支持与安全配置核查设备100直接交互。例如，有些网络设备300本身的权限设置导致不允许从安全配置核查设备100登录到网络设备300上来进行各种安全核查。又例如，有些网络设备300处于封闭的网络环境中，因此安全配置核查设备100根本不可能与网络设备300直接进行交互。

因此，在步骤S220中，基于与在步骤S210中所选择的安全检查项相对应的预定义模板，来将该安全检查项转换为可执行应用。为了便于将安全检查项转换为可执行引用，一般来说，安全配置核查设备还包括有一个或者多个预定义模板，每个预定义模板与一个安全检查项相对应。可执行应用通常以各种编程语言来编写，而对于安全检查项的安全核查内容，其大部分内容是固定不变的，而是仅仅例如在要应用的目标网络设备类型、各种安全检查阈值等各种设置参数方面存在不同。为此，预定义模板中可以预先编写好相应固定不变的内容，随后在步骤S220中将步骤S210中选择的安全检查项中的各种设置参数合并到预定义模块所预先编写的内容中以形成可执行应用。

如上参考图3-5所述，可以存在有多种将安全检查项转换为可执行应用的方式。可选地，如上所述，在步骤S220中转换可执行应用时，除了生成可执行脚本之外，还生成适于在网络设备上执行以便调用可执行脚本的命令文件，并且将命令文件和脚本文件打包为可执行应用。

在步骤S220将安全检查项转换为可执行应用之后，在步骤S230中，可以例如由网络设备的用户下载经转换的可执行应用以便在网络设备上执行。网络设备的用户只要具有充分的权限，就可以任何方式将所下载的应用上传到网络设备上来执行。由于可执行应用为独立应用，其不用依赖于安全配置核查设备就可以独立运行，因此，可执行应用可以独立地在网络设备上执行，并生成安全配置核查结果。

可选地，根据本发明的安全配置核查方法200还包括步骤S240，其中上载可执行应用在网络设备上的执行结果，以便由安全配置核查设备针对该执行结果来确定相应安全检查项的核查结果。

可选地，可执行应用在网络设备上的执行结果可以具有XML格式。图6示意性地示出了可执行应用的执行结果。可选地，如图6所示，可执行应用的执行结果中具有一个唯一的标识uuid，即“529220a2-2d06-9508-cf08-68fff475aca6”。在步骤S220中在针对安全检查项来生成可执行应用时，也会记录该唯一标识。这样当在步骤S240中接收执行可执行应用的安全配置核查结果时，可以将该安全配置核查结果和相应的安全检查项以及目标网络设备进行关联，确定该安全配置核查结果属于哪个目标网络设备，并且基于哪项安全检查项而生成，从而准确地做出核查结果的判断。

应当注意的是，在本发明的安全配置核查设备的各个部件中，根据其要实现的功能而对其中的部件进行了逻辑划分，但是，本发明不受限于此，可以根据需要对各个部件进行重新划分或者组合，例如，可以将一些部件组合为单个部件，或者可以将一些部件进一步分解为更多的子部件。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的安全配置核查设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (8)

1.一种安全配置核查设备，包括：

一个或者多个扫描策略，每个扫描策略对应于一种网络设备，其中每个扫描策略包括一个或者多个安全检查项，每个安全检查项与相对应网络设备上的安全配置相关联；

一个或者多个预定义模板，每个预定义模板与一个安全检查项相对应；

转换引擎，被配置为选择与目标网络设备相对应的扫描策略中的一个安全检查项，其中该安全检查项不能通过该安全配置核查设备与该目标网络设备直接交互，将根据与该安全检查项相对应的预定义模板来将该安全检查项转换为可执行应用；

执行接口，被配置为通过该接口下载经转换的可执行应用以便在目标网络设备上执行，以及经由该接口上载经转换的可执行应用在目标网络设备上的执行结果；以及

扫描器，被配置为与该目标网络设备直接进行交互来针对能通过该安全配置核查设备与该目标网络设备直接交互的安全检查项进行安全配置核查。

2.如权利要求1所述的安全配置核查设备，其中所述可执行应用包括可执行脚本文件以及启动该可执行脚本文件的命令文件。

3.如权利要求1-2中任一个所述的安全配置核查设备，其中所述可执行应用在目标网络设备的执行结果以XML文件存储。

4.如权利要求1-3中任一个所述的安全配置核查设备，其中所述转换引擎还存储与目标网络设备和经转换的安全检查项相对应的标识，而且所述可执行应用的执行结果包括该标识。

5.一种针对网络设备的安全配置核查方法，包括步骤：

从一个或者多个扫描策略中选择与所述网络设备相对应的扫描策略并选择其中的一个安全检查项，其中扫描策略对应于一种网络设备且包括一个或者多个安全检查项，每个安全检查项与相对应的一种网络设备上的安全配置相关联，

对于不能够通过该安全配置核查设备与该目标网络设备直接交互的所选择的安全检查项，基于与该安全检查项相对应的预定义模板，来将该安全检查项转换为可执行应用；

下载经转换的可执行应用以便在目标网络设备上执行，以及上载经转换的可执行应用在所述网络设备上的执行结果；以及

对于能够通过该安全配置核查设备与该目标网络设备直接交互的所选择的安全检查项，则与该目标网络设备直接进行交互来针对该安全检查项进行安全配置核查。

6.如权利要求5所述的安全配置核查方法，其中所述可执行应用包括可执行脚本文件以及启动该可执行脚本文件的命令文件。

7.如权利要求5-6中任一个所述的安全配置核查方法，其中所述可执行应用在目标网络设备的执行结果以XML文件存储。

8.如权利要求5-7中任一个所述的安全配置核查方法，还包括步骤：存储与目标网络设备和经转换的安全检查项相对应的标识，而且所述可执行应用的执行结果包括该标识。