CN107547499A - 特征库配置方法及装置 - Google Patents

Abstract

本公开涉及特征库配置方法及装置，所述方法应用于第一网络设备，所述方法包括：获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥；利用所述第二密钥对对所述特征库配置文件进行解密，若解密成功，则根据所述特征库配置文件配置特征库。通过采用第一密钥对特征库配置文件进行加密并利用与所述第一密钥对应的第二密钥对加密的特征库配置文件进行解密，根据本公开的特征库配置方法及装置可以保证特征库配置文件来源的合法性，进而保证特征库配置文件的有效性和完整性，甚至不可抵赖性，避免加载来源不明或者被恶意篡改过的特征库配置文件带来的安全隐患。

Description

特征库配置方法及装置

技术领域

本公开涉及网络安全技术领域，尤其涉及一种特征库配置方法及装置。

背景技术

特征库是一些基础数据，它主要是用于深度检测相关业务，例如IPS(IntrusionPrevention System，入侵防御系统)防护、病毒防护、访问控制等。

特征库技术在网络设备和主机漏洞/病毒查杀中广泛使用，这种主流的查杀机制主要基于安全专家构造的专业特征库导入设备生效(包括在线升级和带外方式的升级)，同时也允许用户自己定义和写作特征库，并支持导入和导出。无论是预定义特征库(上文前一种情况)还是自定义特征库(上文后一种情况)都是网络和主机漏洞防范和病毒查杀效果的关键，尤其是对位于核心位置的网络设备而言，因此，对特征库配置过程的安全性提出了很高的要求，举例来说，如果特征库在安装或在线升级过程中遭遇了黑客构造的钓鱼网站，导致下载了无效甚至恶意的特征库，会造成严重后果。

发明内容

有鉴于此，本公开提出了一种特征库配置方法及装置，保证特征库配置过程的安全性。

根据本公开的一方面，提供了一种特征库配置方法，所述方法应用于第一网络设备，所述方法包括：获取以第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥；利用所述第二密钥对所述特征库配置文件进行解密；若解密成功，则根据所述特征库配置文件配置特征库。

根据本公开的另一方面，提供了一种特征库配置装置，所述装置应用于第一网络设备，所述装置包括：获取模块，用于获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥；验证模块，用于利用所述第二密钥对所述特征库配置文件进行解密；其中，所述特征库配置文件用于对第一设备进行特征库配置。

通过采用第一密钥对特征库配置文件进行加密并利用与所述第一密钥对应的第二密钥对加密的特征库配置文件进行解密，根据本实施例的特征库配置方法及装置可以保证特征库配置文件来源的合法性，进而保证特征库配置文件的有效性和完整性，甚至不可抵赖性，避免加载来源不明或者被恶意篡改过的特征库配置文件带来的安全隐患。

根据下面参考附图对示例性实施例的详细说明，本公开的其它特征及方面将变得清楚。

附图说明

包含在说明书中并且构成说明书的一部分的附图与说明书一起示出了本公开的示例性实施例、特征和方面，并且用于解释本公开的原理。

图1示出根据本公开一实施例的特征库配置方法的流程图。

图2示出根据本公开一实施例的特征库配置方法的流程图。

图3示出根据本公开一实施例的特征库配置装置的框图。

图4示出根据本公开一实施例的特征库配置装置的框图。

图5示出根据本公开一实施例的特征库配置装置的框图。

具体实施方式

以下将参考附图详细说明本公开的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本公开，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本公开的主旨。

实施例1

图1示出根据本公开一实施例的特征库配置方法的流程图，该方法可应用于第一网络设备，所述第一网络设备可以是网络终端设备、服务器等，还可以是路由器、交换机、无线产品等。如图1所示，该方法包括：

步骤S11，获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥；

步骤S12，利用所述第二密钥对所述特征库配置文件进行解密；

步骤S13，若解密成功，则根据所述特征库配置文件配置特征库。

通过采用第一密钥对特征库配置文件进行加密并利用与所述第一密钥对应的第二密钥对加密的特征库配置文件进行解密，根据本实施例的特征库配置方法可以保证特征库配置文件来源的合法性，进而保证特征库配置文件的有效性和完整性，甚至不可抵赖性，避免加载来源不明或者被恶意篡改过的特征库配置文件带来的安全隐患。

本公开对具体的加密、解密算法不做限制。

在一种可能的实施方式中，所述第一密钥和第二密钥可为不同的密钥，例如，所述第一密钥和第二密钥可以为公私密钥对。

举例来说，所述第一密钥可以为公钥，所述第二密钥为与所述公钥对应的私钥。在一个示例性的应用场景中，实验室(厂商)安全专家构造(生产)官方特征库，在通过官网正式发布前，实验室采用公钥对特征库配置文件进行加密后在官网正式发布，提供下载资源。第一网络设备在需要安装特征库或者对特征库进行升级时，从官网加载该特征库配置文件。第一网络设备在安装或者升级之前，可先对配置文件进行来源验证。

在一种可能的实施方式中，在所述第一密钥可以为公钥、所述第二密钥为与所述公钥对应的私钥的情况下，可利用所述私钥对利用所述公钥加密的特征库配置文件进行解密以对所述特征库配置文件进行来源验证。

在来源验证可靠(例如的确是官网发布)的情况下，解密后根据特征库配置文件对第一网络设备进行特征库配置，例如进行安装或者升级。具体加密、解密的算法可以采用相关技术实现，例如RSA公钥加密算法等。

在一种可能的实施方式中，第一密钥和第二密钥可为公钥基础设施PKI生成的公私密钥对。

在一个示例性的应用场景中，PKI生成所述公私密钥对后，将公钥下发给实验室，私钥下发给待配置的第一网络设备由第一网络设备内置，也可以是实验室或者第一网络设备主动获取相应的密钥，实验室只需要在发布之前获取公钥进行加密，第一网络设备只需在解密之前获取私钥即可，本公开对此不作限定。

需要说明的是，还可以采用对称密钥与非对称密钥的结合来完成以上动作，例如，在第一设备获取密钥的过程中也可以采用对称或非对称密钥加密的技术传输密钥(例如，PKI在给待配置的第一网络设备下发私钥时使用PKI的私钥进行签名，第一网络设备可以采用PKI的公钥对所述私钥签名进行验证)，本公开对此不作限定。

本公开实施例提供的基于PKI体系的特征库认证、加密方法，解决了特征库配置文件在传输过程中的安全问题。特征库内容本该是设备的核心价值，对特征库的绕过、篡改、旁路一直也是黑客一直跃跃欲试的课题。本公开基于PKI体系的特征库配置方法可以最大程度的减少特征库在发放、传输过程中的风险，最大程度的保护设备的核心价值和用户的资产不受破坏。

在一种可能的实施方式中，第一密钥可与第一网络设备的性能相关联，不同性能的第一网络设备对应的第一密钥不同。其中，第一网络设备性能可以是指任何能够体现网络设备不同配置的性能，以路由器为例，可以根据路由器的工作频率和内存容量区分不同路由器的性能，具体可以分为高端、中端和低端。

在一种可能的实施方式中，所述第一密钥和所述第二密钥可为公钥基础设施PKI根据所述第一网络设备的性能生成的、与所述第一网络设备的性能对应的公私密钥对。

对于不同配置的第一网络设备，可以提供不同特征库配置文件，为了区分不同产品，所述PKI可以生成并维护多对公私密钥对，分别用于不同性能的网络设备。举例来说，为了区分如上文所述的高端、中端和低端路由器，PKI可以生成并维护3对公私密钥对分别用于不同性能的路由器，公钥分别命名为route_hig_public_key、route_mid_public_key以及route_low_public_key，私钥分别命名为route_hig_private_key、route_mid_private_key以及route_low_private_key。对于提供给不同性能网络设备的特征库配置文件采用不同的公钥进行加密，第一网络设备可以预先加载(主动获取或PKI下发)与网络设备性能相匹配的私钥内置，在安装或升级特征库之前对特征库配置文件进行来源验证(解密)，如果存在信任的公钥加密的特征库配置文件，说明来源可靠(的确是官网发布)，使用本地预置的私钥对特征库配置文件内容进行解密。

根据非对称密钥的工作原理，只有对应的私钥能解开对应的公钥，所以性能为高端的网络设备只能解析成功针对高端网络设备的特征库配置文件，中低端的网络设备无法加载针对高端网络设备的特征库，进而达到了约束设备型号，指定使用权限的效果，不会由误操作引起安装或升级失败，保证特征库配置文件功能的有效性。

在另一种可能的实施方式中，所述第一密钥为与提供所述特征库配置文件的第二网络设备对应的私钥，所述第二密钥为与所述第一密钥对应的公钥。举例来说，在自定义特征的导入导出场景中，第一网络设备要加载第二网络设备上导出的自定义特征库配置文件，那么第二网络设备在导出特征库配置文件之前，可用私钥对特征库配置文件进行加密(例如，采用私钥对特征库进行签名)。第一网络设备在安装或升级特征库之前，可对特征库配置文件的来源进行验证，保证导入的特征库配置文件的发布可信，并不受中间人劫持或者误操作的影响，避免网络设备加载恶意特征库导致攻击误报，或者误操作导入格式异常的文件引起设备不兼容甚至宕机等恶意后果。

在一种可能的实施方式中，可以使用与私钥对应的公钥对特征库配置文件进行解密(例如，采用对应的公钥对私钥签名进行验证)，解密后根据配置文件对第一网络设备进行特征库安装或者升级。具体加密、解密的算法可以采用相关技术实现。

在一种可能的实施方式中，所述第一密钥和所述第二密钥为所述第二网络设备生成的公私密钥对。举例来说，在一个示例性的应用场景中，第二网络设备本地生成公私密钥对后，私钥保存、公钥通过带内/带外的方式发送给第一网络设备。如上所述，第二网络设备采用第二网络设备生成的私钥对特征库配置文件进行签名，第一网络设备利用与所述私钥对应的公钥对所述私钥签名进行签名验证，以对所述特征库配置文件进行来源验证。在来源验证可靠(的确是第二设备发送的)的情况下，第一网络设备还可以采用特征库配置文件进行特征库安装或升级。

图2示出根据本公开一实施例的特征库配置方法的流程图。如图2所示，在一种可能的实施方式中，所述步骤S11，获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥，具体包括：

步骤S111，从所述第二网络设备获取利用第一密钥加密的特征库配置文件；

步骤S112，从所述第二网络设备获取所述第一密钥对应的第二密钥，或从PKI获取所述第二网络设备向所述PKI发送的所述第一密钥对应的第二密钥。

第二网络设备采用第二网络设备生成的私钥对特征库配置文件进行签名，第一网络设备可以从所述第二网络设备获取利用私钥签名的特征库配置文件以及所述第一密钥对应的第二密钥，第一网络设备利用与所述私钥对应的公钥对所述私钥签名进行签名验证，以对所述特征库配置文件进行来源验证。在来源验证可靠(的确是第二设备发送的)的情况下，第一网络设备还可以采用特征库配置文件进行特征库安装或升级。

或者，第二网络设备本地生成公私密钥对后，私钥保存、公钥存储在PKI上，第一网络设备在验证前可以从PKI获取第二网络设备的公钥，具体获取的方式可以是：通过内网的公钥基础设施PKI查询，权限允许的情况下，获得第二网络设备的公钥。如上所述，第二网络设备采用第二网络设备生成的私钥对特征库配置文件进行签名，第一网络设备从所述第二网络设备获取利用私钥签名的特征库配置文件，第一网络设备利用与所述私钥对应的公钥对所述私钥签名进行签名验证，以对所述特征库配置文件进行来源验证。在来源验证可靠(的确是第二设备发送的)的情况下，第一设备还可以采用特征库配置文件进行特征库安装或升级。

根据本公开上述实施例的特征库配置方法，通过采用私钥签名、公钥验证的方式对特征库配置文件进行来源验证，用户自定义特征库在网络设备间传递时，只有能获取其公钥的网络设备才可以采用对应的公钥进行验证，进一步导入加载，从而保证：特征库配置文件的来源正确，不经过此流程的来源不明的恶意/非法文件无法导入网络设备，因为签名验证环节会报错；特征库配置文件的目的正确，只有同厂商/同(指定)型号的持有其对应公钥的网络设备能导入特征库/配置文件并加载成功，控制网络设备特征库配只在制定范围内使用。同时，还避免了传输途中的恶意篡改、非正常导入或者误操作导致的配置失败等问题。

实施例2

图3示出根据本公开一实施例的特征库配置装置的框图，该装置可应用于第一网络设备，所述第一网络设备可以是终端设备、服务器等，还可以使路由器、交换机、无线产品等。如图3所示，该装置包括：获取模块71、验证模块72以及配置模块73。

获取模块71，用于获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥；

验证模块72，用于利用所述第二密钥对对所述特征库配置文件进行解密；

配置模块73，用于在解密成功时根据所述特征库配置文件配置特征库。

通过采用第一密钥对特征库配置文件进行加密并利用与所述第一密钥对应的第二密钥对加密的特征库配置文件进行解密，根据本实施例的特征库配置装置可以保证特征库配置文件来源的合法性，进而保证特征库配置文件的有效性和完整性，甚至不可抵赖性，避免加载来源不明或者被恶意篡改过的特征库配置文件带来的安全隐患。

图4示出根据本公开一实施例的特征库配置装置的框图。如图4所示，在一种可能的实施方式中，所述第一密钥和所述第二密钥为所述第二网络设备生成的公私密钥对，所述获取模块71具体包括：第一获取模块711以及第二获取模块712。

第一获取模块711，用于从所述第二网络设备获取利用第一密钥加密的特征库配置文件；

第二获取模块712，用于从所述第二网络设备获取所述第一密钥对应的第二密钥，或从PKI获取所述第二网络设备向所述PKI发送的所述第一密钥对应的第二密钥。

在一种可能的实施方式中，所述第一密钥为公钥，所述第二密钥为与所述公钥对应的私钥。

在一种可能的实施方式中，所述第一密钥与所述第一网络设备的性能相关联，不同性能的第一网络设备对应的第一密钥不同。

在一种可能的实施方式中，所述第一密钥和所述第二密钥为公钥基础设施PKI根据所述第一网络设备的性能生成的、与所述第一网络设备的性能相关联的公私密钥对。

在一种可能的实施方式中，述第一密钥为与提供所述特征库配置文件的第二网络设备对应的私钥，所述第二密钥为与所述第一密钥对应的公钥。

在一种可能的实施方式中，所述第一密钥和所述第二密钥为所述第二网络设备生成的公私密钥对。

实施例3

图5是根据一示例性实施例示出的一种特征库配置装置1900的框图。参照图5，装置1900包括处理组件1922，其进一步包括一个或多个处理器，以及由存储器1932所代表的存储器资源，用于存储可由处理组件1922的执行的指令，例如应用程序。存储器1932中存储的应用程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理组件1922被配置为执行指令，以执行上述方法。

装置1900还可以包括一个电源组件1926被配置为执行装置1900的电源管理，一个有线或无线网络接口1950被配置为将装置1900连接到网络，和一个输入输出(I/O)接口1958。装置1900可以操作基于存储在存储器1932的操作系统，例如Windows ServerTM，MacOS XTM，UnixTM,LinuxTM，FreeBSDTM或类似。

在示例性实施例中，还提供了一种包括指令的非易失性计算机可读存储介质，例如包括指令的存储器1932，上述指令可由装置1900的处理组件1922执行以完成上述方法。

本公开可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于使处理器实现本公开的各个方面的计算机可读程序指令。

计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本公开操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本公开的各个方面。

这里参照根据本公开实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本公开的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。

这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。

也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。

附图中的流程图和框图显示了根据本公开的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (12)

1.一种特征库配置方法，其特征在于，所述方法应用于第一网络设备，所述方法包括：

获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥；

利用所述第二密钥对所述特征库配置文件进行解密；

若解密成功，则根据所述特征库配置文件配置特征库。

2.根据权利要求1所述的特征库配置方法，其特征在于，

所述第一密钥为公钥，所述第二密钥为与所述公钥对应的私钥。

3.根据权利要求2所述的特征库配置方法，其特征在于，所述第一密钥与所述第一网络设备的性能相关联，不同性能的第一网络设备对应的第一密钥不同。

4.根据权利要求3所述的特征库配置方法，其特征在于，

所述第一密钥和所述第二密钥为公钥基础设施PKI根据所述第一网络设备的性能生成的、与所述第一网络设备的性能相关联的公私密钥对。

5.根据权利要求1所述的特征库配置方法，其特征在于，

所述第一密钥为与提供所述特征库配置文件的第二网络设备对应的私钥，所述第二密钥为与所述第一密钥对应的公钥。

6.根据权利要求5所述的特征库配置方法，其特征在于，

所述第一密钥和所述第二密钥为所述第二网络设备生成的公私密钥对；

获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥，具体包括：

从所述第二网络设备获取利用第一密钥加密的特征库配置文件；

从所述第二网络设备获取所述第一密钥对应的第二密钥，或从PKI获取所述第二网络设备向所述PKI发送的所述第一密钥对应的第二密钥。

7.一种特征库配置装置，其特征在于，所述装置应用于第一网络设备，所述装置包括：

获取模块，用于获取利用第一密钥加密的特征库配置文件以及与所述第一密钥对应的第二密钥；

验证模块，用于利用所述第二密钥对所述特征库配置文件进行解密；

配置模块，用于在解密成功时根据所述特征库配置文件配置特征库。

8.根据权利要求7所述的特征库配置装置，其特征在于，

所述第一密钥为公钥，所述第二密钥为与所述公钥对应的私钥。

9.根据权利要求8所述的特征库配置装置，其特征在于，

所述第一密钥与所述第一网络设备的性能相关联，不同性能的第一网络设备对应的第一密钥不同。

10.根据权利要求9所述的特征库配置装置，其特征在于，

所述第一密钥和所述第二密钥为公钥基础设施PKI根据所述第一网络设备的性能生成的、与所述第一网络设备的性能相关联的公私密钥对。

11.根据权利要求7所述的特征库配置装置，其特征在于，

所述第一密钥为与提供所述特征库配置文件的第二网络设备对应的私钥，所述第二密钥为与所述第一密钥对应的公钥。

12.根据权利要求11所述的特征库配置装置，其特征在于，

所述第一密钥和所述第二密钥为所述第二网络设备生成的公私密钥对；

所述获取模块具体包括：

第一获取模块，用于从所述第二网络设备获取利用第一密钥加密的特征库配置文件；

第二获取模块，用于从所述第二网络设备获取所述第一密钥对应的第二密钥，或从PKI获取所述第二网络设备向所述PKI发送的所述第一密钥对应的第二密钥。