CN103368965A - 一种将网络安全规范映射为网络所对应的属性要求的工作方法 - Google Patents

Abstract

本发明涉及一种将网络安全规范映射为网络所对应的属性要求的工作方法，包括以下步骤：将网络安全规范按照单机设备规范和网络整体规范进行分类，并将通过规范确定的关键检查点转化为要检查的网络设备的一种属性的工作方法。本发明的有益效果为：可以将大量复杂的网络安全规范及要求，翻译为规范化、可比较、可计量、可判断的具体数据，为后期依照此标准来对网络中设备或整个网络属性进行检验提供了数据依据。本方法并不限于网络设备检查中配套使用，也适用于在任何已有相关标准的产品的自动化检查操作中配套使用。

Description

一种将网络安全规范映射为网络所对应的属性要求的工作方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种将网络安全规范映射为网络所对应的属性要求的工作方法。

背景技术

在对现有网络进行检查，或升级改造现有网络，或者测试新协议项目中，都需要对网络的可靠性和有效性进行客观地评估，以降低网络建设的投资风险，使设计网络有很高的性能，或者使测试结果能够真实反映新协议的表现。传统网络设计和规划方法主要靠经验，对复杂的大型网络，很多地方由于无法预知而抓不住设计的要点。因此越来越需要一种新的网络检查和审计手段。

网络设备特指所有构成网络主体、以及用于网络连接的硬件设备，包括PC终端、移动终端、专用服务器等各种终端设备，以及路由器、交换机、防火墙、IPS、IDS等组网专用设备。的自动检查又面临着大量的技术难题，从设备的自动识别到设备配置的自动判断，检查及后期自动生成报告，都存在较多技术难点。将大量的国内外安全规则映射为可量化、可对比、可判断的规范化数据，以用来进行自动化网络配置检查，也是其中一个技术重点。

发明内容

本发明的目的是提供一种将网络安全规范映射为网络所对应的属性要求的工作方法，以克服目前现有技术上述不足。

本发明的目的是通过以下技术方案来实现：

一种将网络安全规范映射为网络所对应的属性要求的工作方法，包括以下步骤：

（1）将网络安全规范按照单机设备规范和网络整体规范进行分类，分类规则为：规则中对技术点的要求，只涉及一台网络设备，与其他网络设备无关，则该规则为单机设备规范，该规则描述涉及的相关技术中，需要两台或两台以上设备共同实现的，则该规则界定为整体网络规范；

（2）将每一条单机或网络整体规范所描述的内容，变更为每个厂商，每种设备应设置成的配置命令相应的设备状态；

（3）找出每种应设置的配置命令中的关键检查点，确定关键检查点的规则为：要检查的内容，不会出现完全符合检查标准，而该设备又没有达到最终要求的检查效果的情况；

（4）将确定的关键检查点转化为要检查的网络设备的一种属性。

进一步的，在步骤（1）中，应将所有安全规范划分为单机适用规范和网络整体适用规范。

进一步的，在步骤（3）中，应将对应的命令中的关键检查点找出。

进一步的，在步骤（4）中，将关键检查点表示为需要检查的网络设备或网络整体的某一种属性。

本发明的有益效果为：可以将大量复杂的网络安全规范及要求，翻译为规范化、可比较、可计量、可判断的具体数据，为后期依照此标准来对网络中设备或整个网络属性进行检验提供了数据依据。本方法并不限于网络设备检查中配套使用，也适用于在任何已有相关标准的产品的自动化检查操作中配套使用。

附图说明

下面根据附图对本发明作进一步详细说明。

图1是本发明实施例所述的一种将网络安全规范映射为网络所对应的属性要求的工作方法的流程图。

具体实施方式

如图1所示，本发明实施例所述的一种将网络安全规范映射为网络所对应的属性要求的工作方法，其特征在于，包括以下步骤：

（1）将网络安全规范按照单机设备规范和网络整体规范进行分类，分类规则为：规则中对技术点的要求，只涉及一台网络设备，与其他网络设备无关，则该规则为单机设备规范，该规则描述涉及的相关技术中，需要两台或两台以上设备共同实现的，则该规则界定为整体网络规范；应将所有安全规范划分为单机适用规范和网络整体适用规范；应将对应的命令中的关键检查点找出。

例1：某归测中要求网络设备必须创建本地用户。该规则只涉及一台机器，虽然每一台机器都要设定本地用户，但每台机器独自就能实现该要求，不用其他设备配合。

例2：某规则要求Trunk线路两端的设定的VLAN必须对应（相同）。由于Trunk线路是连接两台交换机的线路，在设定时，要两台交换机各自制定己端的线路的设定，所以如果要两端的VLAN设定一致，就需要同时涉及两台设备，一台设备无法满足该要求。

（2）将每一条单机或网络整体规范所描述的内容，变更为每个厂商，每种设备应设置成的配置命令相应的设备状态；

例如：思科安全规范中强调思科设备需要设定本地用户。经查，对应的思科IOS设备命令为：

username “username” privilege “num” secret “password” 

（3）找出每种应设置的配置命令中的关键检查点，确定关键检查点的规则为：要检查的内容，不会出现完全符合检查标准，而该设备又没有达到最终要求的检查效果的情况。

例如：接上例，发现思科配置中以username开头的命令即为设定本地用户的命令，则该条规则的关键检查点为“配置命令中是否包含以username开头的配置命令”；因满足此关键检查点的情况有且只有一种，并且此种情况即为我们最初要求的情况：“网络设备有本地用户”。

（4）将确定的关键检查点转化为要检查的网络设备的一种属性，将关键检查点表示为需要检查的网络设备或网络整体的某一种属性。

例如：接上例，将“配置命令中是否包含以username开头的配置命令”这条检查标准在软件中设置如下：

a要检查的网络设备的“设备配置”大类中“本地用户”属性对应的字符：username

b“本地用户”的配套属性：“匹配文字是否为一行开头”：是

c检验结果：真（如果被检测设备与该规则状态相同，则通过，否则不通过）

本阶段设定完毕后，在后续检测时，即可按照如上设定进行检测。首先判断待检测设备的“设备配置”大类中“本地用户”这个属性的内容；如找到为username，与规则中的一样，结果为真；继续检查配套属性“匹配文字是否为一行开头”，如果继续为真，则该检测判定结果为：则该检测通过，不记录在问题报告中。

网络设备特指所有构成网络主体、以及用于网络连接的硬件装置，和保障网络连通的非实物的，逻辑上存在的客体，包括如下：

1、PC终端、专用服务器、打印机、移动终端等各种终端设备；

2、路由器、交换机、防火墙、单独插接的物理功能模块等组网专用装置；

3、联网中需要的物理线路或逻辑连接，如网络线缆、无线连接；

4、逻辑上的非实体目标，如由各个网络连接装置所组成的“局域网”这个虚拟实体本身或“云”（虚拟实体“云”适于多种应用场合，如：由运营商提供的骨干网等）。

本发明不局限于上述最佳实施方式，任何人在本发明的启示下都可得出其他各种形式的产品，但不论在其形状或结构上作任何变化，凡是具有与本申请相同或相近似的技术方案，均落在本发明的保护范围之内。

Claims (5)

1.一种将网络安全规范映射为网络所对应的属性要求的工作方法，其特征在于，包括以下步骤：

（1）将网络安全规范按照单机设备规范和网络整体规范进行分类，其中分类规则为：规则中对技术点的要求，只涉及一台网络设备，与其他网络设备无关，则该规则为单机设备规范，该规则描述涉及的相关技术中，需要两台或两台以上设备共同实现的，则该规则界定为整体网络规范；

（2）将每一条单机或网络整体规范所描述的内容，变更为每个厂商，每种设备应设置成的配置命令相应的设备状态；

（3）找出每种应设置的配置命令中的关键检查点；

（4）将确定的关键检查点转化为要检查的网络设备的一种属性。

2.根据权利要求1所述的一种将网络安全规范映射为网络所对应的属性要求的工作方法，其特征在于：步骤（1）中，应将所有安全规范划分为单机适用规范和网络整体适用规范。

3.根据权利要求2所述的一种将网络安全规范映射为网络所对应的属性要求的工作方法，其特征在于：步骤（3）中，确定关键检查点的规则为：要检查的内容，不会出现完全符合检查标准，而该设备又没有达到最终要求的检查效果的情况。

4.根据权利要求3所述的一种将网络安全规范映射为网络所对应的属性要求的工作方法，其特征在于：步骤（3）中，应将对应的命令中的关键检查点找出。

5.根据权利要求4所述的一种将网络安全规范映射为网络所对应的属性要求的工作方法，其特征在于：步骤（4）中，将关键检查点表示为需要检查的网络设备或网络整体的某一种属性。