CN108521398A - 一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法 - Google Patents

Abstract

本发明公开了一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，该方法基于与接入设备连接的前端管理主机，前端管理主机同普通交换机一样均通过中心交换机与服务器连接，所述前端管理主机内设置有具有非法接入及非法访问检测和控制功能的CPU，前端管理主机上设置有多个供接入设备连接的外部端口，每个外部端口均与前端管理主机的CPU连接，所述服务器能够通过中心交换机对每台前端管理主机下发白名单、设备类型识别特征库和约束集。本发明通过前端管理主机对接入设备进行设备特征识别、白名单管理、约束集分析等来实现非法接入、设备仿冒以及非法访问的检测和控制；并根据用户配置自动阻断设备通信、发送告警、和流阻断等处理。

Description

一种基于设备特征识别、白名单和约束集流控的视频监控安 全接入方法

【技术领域】

本发明涉及视频监控网络安全的技术领域，特别涉及一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法。

【背景技术】

当前视频监控系统已深入应用于各个关乎国计民生的行业领域，其中还不乏关系国家安全的重要部门。这就意味着这些视频资料都是具有高度保密价值的信息，一旦遭受非法窃取，后果不堪设想。因此对于各个视频监控网络特别是诸如公安这样的重要部门，需要采取完善的技术手段防止安全威胁带来的严重影响。

视频监控设备部署地点大都暴露在道路、街区等公共场所，极易被恶意侵入。视频监控系统已经进入了IPC(网络摄像机)时代，前端摄像头只需要设置一个IP地址就可以直接连接到视频专网中。当前端摄像头部署在室外广阔的自由空间时，极易被非授权人员物理接触，从而造成非法入侵、设备仿冒和非法访问。所以一种可以自动识别设备特征，检测设备是否仿冒，并阻断非法入侵和非法访问的手段是非常重要的。

【发明内容】

本发明的目的在于克服上述现有技术的不足，提供一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其旨在解决现有技术中视频监控设备极易被恶意侵入，造成非法入侵、设备仿冒和非法访问，视频监控系统安全性低的技术问题。

为实现上述目的，本发明提出了一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，该方法基于与接入设备连接的前端管理主机，所述的前端管理主机同普通交换机一样均通过中心交换机与服务器连接，所述的前端管理主机内设置有具有非法接入及非法访问检测和控制功能的CPU，所述的前端管理主机上设置有多个供接入设备连接的外部端口，每个外部端口均与前端管理主机的CPU连接，所述的服务器能够通过中心交换机对每台前端管理主机下发白名单、设备类型识别特征库和约束集，该方法的具体步骤如下：

S0、接入设备接入前端管理主机的外部端口，外部端口接收报文，前端管理主机的CPU启动端口镜像轮询功能，按照前端管理主机外部端口的顺序，依次将报文镜像到CPU管理口；

S1、数据报文分析：前端管理主机的CPU对镜像报文进行分析，得到接入设备的信息，包括接入设备IP地址、MAC地址、协议类型、端口号、报文长度和特征码；

S2、接入设备识别：前端管理主机的CPU根据接入设备的特征码在设备类型识别特征库中进行匹配，如果匹配的到，则返回设备类型编号，并转至S3；如果匹配不到则进入白名单匹配处理，如果白名单匹配失败，则返回无效的设备类型编号，并转至S5；如果白名单匹配成功，则转至S6；

S3、设备合法识别：前端管理主机的CPU根据返回的设备类型编号在设备类型识别特征库中进行匹配，验证该设备类型的授权信息，如果验证通过则初步确认该接入设备为合法授权设备，并转至S4；如果验证不通过，则将该接入设备的信息添加至设备类型识别特征库中，并转至S6；

S4、设备假冒识别：前端管理主机的CPU根据该接入设备的IP地址和MAC地址，匹配设备类型识别特征库，如果返回的设备类型编号和设备类型识别特征库中识别的不一致，且没有兼容性关系，则说明是假冒的设备，转至S5；如果一致，则前端管理主机的CPU允许该接入设备通信，转至S6；

S5、前端管理主机的CPU根据用户配置执行动作，如果用户配置的是告警，则前端管理主机的CPU发送告警信息，并转至S6；如果用户配置的是阻断并告警，则前端管理主机的CPU直接阻断该接入设备通信，并发送告警信息，重新转至S1，对下一个接入设备的报文进行分析；

S6、数据流分析：接入设备进行数据接入后，前端管理主机的CPU调用服务器下发的约束集，对接入数据报文与约束集进行比较分析，如果接入数据的报文是约束集允许的ip、协议、端口访问，说明是合法的数据访问，则放行，并重新转至S1，对下一个接入设备的报文进行分析；如果不在约束集中且是基于TCP协议的非法数据访问，则通过reset链路方式进行流阻断处理，并发送“非法访问”告警；如果是基于UDP协议的非法访问，则直接发送“非法访问”告警，并重新转至S1，对下一个接入设备的报文进行分析。

作为优选，所述的白名单内容包括：MAC地址、IP地址、协议类型和端口号，用户还能够通过服务器对同一台前端管理主机上的白名单进行分配，为每个外部端口单独设置白名单。

作为优选，所述的设备类型识别特征库包括：设备类型编号、设备类型名称、设备类型协议特征、端口号、报文长度及设备类型编号的授权信息，所述的设备类型协议特征为协议号，每一个设备类型协议特征包括一个或多个特征码、特征码掩码、特征码偏移量信息。

作为优选，所述的约束集内容包括：约束集编号、设备类型编号、设备类型名称、协议号、源IP地址、源端口号、目标IP地址、目标端口号，所述的协议号指传输层协议TCP和UDP。

作为优选，所述的S5中，如果是S2中白名单匹配失败而发送的告警信息为“非法接入”，如果是S4中识别出是假冒的设备而发送的告警信息则为“设备仿冒”。

作为优选，所述的前端管理主机和普通交换机分别通过一光猫与中心交换机通信连接，且不同的前端管理主机之间、前端管理主机与普通交换机之间能够通信连接。

作为优选，所述的普通交换机均能够替换成前端管理主机，与中心交换机通信连接。

本发明的有益效果：与现有技术相比，本发明提供的一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，通过前端管理主机对接入设备进行端口镜像、报文分析、设备特征识别、白名单管理、约束集分析等功能来实现非法接入、设备仿冒以及非法访问的检测和控制；并根据用户配置自动阻断设备通信、发送告警、和流阻断等处理。较传统的视频监控系统具有如下优点：

1)、安全接入直接做到前端管理主机端口，能自动快速地识别设备类型、发现非法接入并阻断、检测仿冒接入并阻断、自动更新资产识别库、临时设备接入授权、更细粒度地数据流分析以及流阻断处理等；

2)、能形成一个有效的安全内环境，同时在上行口和下行口都进行发现和阻断。

3)、如果全部部署了远望前端管理主机，则能在全系统保证接入安全。

本发明的特征及优点将通过实施例结合附图进行详细说明。

【附图说明】

图1是本发明实施例的视频监控网络系统的布局图；

图2是本发明实施例一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法的流程图。

【具体实施方式】

为使本发明的目的、技术方案和优点更加清楚明了，下面通过附图及实施例，对本发明进行进一步详细说明。但是应该理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

参阅图1和图2，本发明实施例提供一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，该方法基于与接入设备连接的前端管理主机，所述的前端管理主机同普通交换机一样均通过中心交换机与服务器连接，所述的前端管理主机内设置有具有非法接入及非法访问检测和控制功能的CPU，所述的前端管理主机上设置有多个供接入设备连接的外部端口，每个外部端口均与前端管理主机的CPU连接，所述的服务器能够通过中心交换机对每台前端管理主机下发白名单、设备类型识别特征库和约束集，该方法的具体步骤如下：

S0、接入设备接入前端管理主机的外部端口，外部端口接收报文，前端管理主机的CPU启动端口镜像轮询功能，按照前端管理主机外部端口的顺序，依次将报文镜像到CPU管理口。

S1、数据报文分析：前端管理主机的CPU对镜像报文进行分析，得到接入设备的信息，包括接入设备IP地址、MAC地址、协议类型、端口号、报文长度和特征码。

S2、接入设备识别：前端管理主机的CPU根据接入设备的特征码在设备类型识别特征库中进行匹配，如果匹配的到，则返回设备类型编号，并转至S3；如果匹配不到则进入白名单匹配处理，如果白名单匹配失败，则返回无效的设备类型编号，并转至S5；如果白名单匹配成功，则转至S6。

S3、设备合法识别：前端管理主机的CPU根据返回的设备类型编号在设备类型识别特征库中进行匹配，验证该设备类型的授权信息，如果验证通过则初步确认该接入设备为合法授权设备，并转至S4；如果验证不通过，则将该接入设备的信息添加至设备类型识别特征库中，并转至S6。

S4、设备假冒识别：前端管理主机的CPU根据该接入设备的IP地址和MAC地址，匹配设备类型识别特征库，如果返回的设备类型编号和设备类型识别特征库中识别的不一致，且没有兼容性关系，则说明是假冒的设备，转至S5；如果一致，则前端管理主机的CPU允许该接入设备通信，转至S6。

S2接入设备识别，是通过设备类型特征的识别确定该接入设备是什么类型的设备，比如是哪家生产的设备、什么类型的设备；S3设备合法识别，是进一步对该设备的类型进行授权验证，确定该接入设备是否为经过授权的合法设备，但是以上两步并不能检测出该接入设备是否为仿冒设备，而S4设备假冒识别就能根据接入设备的IP地址和MAC地址(每个网络设备(如网卡、集线器、路由器)生产时内嵌一个唯一的MAC地址)与设备类型识别特征库进行匹配是否一致和兼容性关系，自动检测接入的设备是否为仿冒设备。举例说明，当匹配不一致时，存在下面这种情况，即该接入设备内的网卡进行过更换，则该接入设备的MAC地址就是该网卡的MAC地址，如果该网卡是经过认证能与该接入设备进行匹配的，就表示该接入设备与该MAC地址可兼容，可以认定为非假冒设备；否则不兼容，可以认定为该接入设备就是假冒设备。

S5、前端管理主机的CPU根据用户配置执行动作，如果用户配置的是告警，则前端管理主机的CPU发送告警信息，并转至S6；如果用户配置的是阻断并告警，则前端管理主机的CPU直接阻断该接入设备通信，并发送告警信息，重新转至S1，对下一个接入设备的报文进行分析。

S6、数据流分析：接入设备进行数据接入后，前端管理主机的CPU调用服务器下发的约束集，对接入数据报文与约束集进行比较分析，如果接入数据的报文是约束集允许的ip、协议、端口访问，说明是合法的数据访问，则放行，并重新转至S1，对下一个接入设备的报文进行分析；如果不在约束集中且是基于TCP协议的非法数据访问，则通过reset链路方式进行流阻断处理，并发送“非法访问”告警；如果是基于UDP协议的非法访问，则直接发送“非法访问”告警，并重新转至S1，对下一个接入设备的报文进行分析。

其中，所述的白名单内容包括：MAC地址、IP地址、协议类型和端口号，用户还能够通过服务器对同一台前端管理主机上的白名单进行分配，为每个外部端口单独设置白名单；所述的设备类型识别特征库包括：设备类型编号、设备类型名称、设备类型协议特征、端口号、报文长度及设备类型编号的授权信息，所述的设备类型协议特征为协议号，每一个设备类型协议特征包括一个或多个特征码、特征码掩码、特征码偏移量信息；所述的约束集内容包括：约束集编号、设备类型编号、设备类型名称、协议号、源IP地址、源端口号、目标IP地址、目标端口号，所述的协议号指传输层协议TCP和UDP。

进一步地，所述的S5中，如果是S2中白名单匹配失败而发送的告警信息为“非法接入”，如果是S4中识别出是假冒的设备而发送的告警信息则为“设备仿冒”。

在本发明实施例中，通过设备类型特征的识别和对设备类型的授权，我们可以自动识别接入的设备是否为经过授权的合法设备、也可以自动检测接入的设备是否为仿冒设备。通过约束集可以实现对基于数据报文的非法访问检测和控制。白名单和设备类型特征库的结合可以弥补白名单的手工维护的不足和设备举证周期性问题和设备类型特征库收集、更新的及时性问题，因此，通过白名单和设备类型识别特征库结合能完美地实现设备准入级别的监控。

根据设备类型对约束集进行分级划分能更细粒度地对功能访问进行报文级别的监控。比如说摄像头、补光灯、运维电脑都可以设计自己的约束集。一般来说，通过准入级别的设备类型识别、授权验证和白名单验证后，如果识别出设备类型，则根据设备类型的约束集进行匹配并处理；如果未识别出设备类型，则根据总约束集进行匹配并处理。对于超出设备类型约束集的行为，可以根据用户配置是告警还是流阻断处理；对于超出总约束集的行为，也可以根据用户配置执行告警、流阻断、甚至设备通信阻断处理。

进一步地，所述的前端管理主机和普通交换机分别通过一光猫与中心交换机通信连接，且不同的前端管理主机之间、前端管理主机与普通交换机之间能够通信连接。

在本发明实施例中，摄像头作为接入设备与前端管理主机上的外部端口连接，其中，与摄像头连接的外部端口采用RJ45接口，与光猫连接的外部端口采用RJ45-UP接口，具体运用如下，参阅图1：

1)、有非法访问从前端管理主机的RJ45口接入，此时，该前端管理主机分析该端口的镜像本文，如果发现该接入设备举证信息不在设备类型特征库里，则进一步匹配白名单；如果白名单匹配失败，则根据用户配置直接阻断设备通信(二层转发表控制)并发送“非法接入”告警信息或仅发送“非法接入”告警信息。

如果发现根据设备IP和MAC从前端管理主机本地或服务器的设备类型识别特征库中得到的设备类型和根据设备举证信息从设备类型特征库中得到的设备类型不一致，则根据用户配置直接阻断设备通信并发送“设备仿冒”告警信息或仅发送“设备仿冒”告警信息。如果是新加入的已知设备类型的接入设备，则将该接入设备信息添加到前端管理主机本地或服务器的设备类型识别特征库中。

然后进入流分析处理，如果在约束集中，则直接放行；如果不在约束集中且是TCP报文，则直接通过reset链路进行流阻断处理并发送“非法访问”告警；如果是UDP报文则直接发送“非法访问”告警。

2)、有非法访问从普通交换机的RJ45口接入，该非法访问可以访问到不是前端管理主机的其他终端的数据，但如果通过前端管理主机RJ45-UP访问该前端管理主机的数据，则该前端管理主机分析该端口的镜像本文。如果发现该接入设备举证不在设备类型识别特征库里，则进一步匹配白名单，如果白名单也匹配失败，则根据用户配置执行设备阻断并告警或仅告警；如果该设备类型编号和设备类型识别特征库中的不一致，则根据用户配置执行设备阻断并告警或仅告警。

然后进入流分析处理，如果在约束集中，则直接放行；如果不在约束集中且是TCP报文，则直接通过reset链路进行流阻断处理并发送“非法访问”告警；如果是UDP报文则直接发送“非法访问”告警。

3)、有非法访问从中心交换机的RJ45口接入，该非法访问可以访问到不是前端管理主机的其他终端的数据，但如果通过前端管理主机RJ45-UP访问该前端管理主机的数据，该前端管理主机分析该端口的镜像本文，如果发现该接入设备举证不在设备类型识别特征库里，则进一步匹配白名单，如果白名单也匹配失败，则根据用户配置执行设备阻断并告警或是仅告警；如果该设备类型编号和设备类型识别特征库中的不一致，则根据用户配置执行设备阻断并告警或仅告警。

然后进入流分析处理，如果在约束集中，则直接放行；如果不在约束集中且是TCP报文，则直接通过reset链路进行流阻断处理并发送“非法访问”告警；如果是UDP报文则直接发送“非法访问”告警。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换或改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其特征在于：该方法基于与接入设备连接的前端管理主机，所述的前端管理主机同普通交换机一样均通过中心交换机与服务器连接，所述的前端管理主机内设置有具有非法接入及非法访问检测和控制功能的CPU，所述的前端管理主机上设置有多个供接入设备连接的外部端口，每个外部端口均与前端管理主机的CPU连接，所述的服务器能够通过中心交换机对每台前端管理主机下发白名单、设备类型识别特征库和约束集，该方法的具体步骤如下：

S0、接入设备接入前端管理主机的外部端口，外部端口接收报文，前端管理主机的CPU启动端口镜像轮询功能，按照前端管理主机外部端口的顺序，依次将报文镜像到CPU管理口；

S1、数据报文分析：前端管理主机的CPU对镜像报文进行分析，得到接入设备的信息，包括接入设备IP地址、MAC地址、协议类型、端口号、报文长度和特征码；

S2、接入设备识别：前端管理主机的CPU根据接入设备的特征码在设备类型识别特征库中进行匹配，如果匹配的到，则返回设备类型编号，并转至S3；如果匹配不到则进入白名单匹配处理，如果白名单匹配失败，则返回无效的设备类型编号，并转至S5；如果白名单匹配成功，则转至S6；

S3、设备合法识别：前端管理主机的CPU根据返回的设备类型编号在设备类型识别特征库中进行匹配，验证该设备类型的授权信息，如果验证通过则初步确认该接入设备为合法授权设备，并转至S4；如果验证不通过，则将该接入设备的信息添加至设备类型识别特征库中，并转至S6；

S4、设备假冒识别：前端管理主机的CPU根据该接入设备的IP地址和MAC地址，匹配设备类型识别特征库，如果返回的设备类型编号和设备类型识别特征库中识别的不一致，且没有兼容性关系，则说明是假冒的设备，转至S5；如果一致，则前端管理主机的CPU允许该接入设备通信，转至S6；

S5、前端管理主机的CPU根据用户配置执行动作，如果用户配置的是告警，则前端管理主机的CPU发送告警信息，并转至S6；如果用户配置的是阻断并告警，则前端管理主机的CPU直接阻断该接入设备通信，并发送告警信息，重新转至S1，对下一个接入设备的报文进行分析；

S6、数据流分析：接入设备进行数据接入后，前端管理主机的CPU调用服务器下发的约束集，对接入数据报文与约束集进行比较分析，如果接入数据的报文是约束集允许的ip、协议、端口访问，说明是合法的数据访问，则放行，并重新转至S1，对下一个接入设备的报文进行分析；如果不在约束集中且是基于TCP协议的非法数据访问，则通过reset链路方式进行流阻断处理，并发送“非法访问”告警；如果是基于UDP协议的非法访问，则直接发送“非法访问”告警，并重新转至S1，对下一个接入设备的报文进行分析。

2.如权利要求1所述的一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其特征在于：所述的白名单内容包括：MAC地址、IP地址、协议类型和端口号，用户还能够通过服务器对同一台前端管理主机上的白名单进行分配，为每个外部端口单独设置白名单。

3.如权利要求1所述的一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其特征在于：所述的设备类型识别特征库包括：设备类型编号、设备类型名称、设备类型协议特征、端口号、报文长度及设备类型编号的授权信息，所述的设备类型协议特征为协议号，每一个设备类型协议特征包括一个或多个特征码、特征码掩码、特征码偏移量信息。

4.如权利要求1所述的一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其特征在于：所述的约束集内容包括：约束集编号、设备类型编号、设备类型名称、协议号、源IP地址、源端口号、目标IP地址、目标端口号，所述的协议号指传输层协议TCP和UDP。

5.如权利要求1所述的一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其特征在于：所述的S5中，如果是S2中白名单匹配失败而发送的告警信息为“非法接入”，如果是S4中识别出是假冒的设备而发送的告警信息则为“设备仿冒”。

6.如权利要求1所述的一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其特征在于：所述的前端管理主机和普通交换机分别通过一光猫与中心交换机通信连接，且不同的前端管理主机之间、前端管理主机与普通交换机之间能够通信连接。

7.如权利要求1或6所述的一种基于设备特征识别、白名单和约束集流控的视频监控安全接入方法，其特征在于：所述的普通交换机均能够替换成前端管理主机，与中心交换机通信连接。