CN110177100B - 一种协同网络防御的安全设备数据通信协议 - Google Patents

Abstract

本发明公开一种协同网络防御的安全设备数据通信协议，属于网络防御技术领域。本发明所述的通信协议用于协同网络防御命令创建者和网络防御命令接收者之间的数据通信，其特征在于，网络防御命令创建者接收防御手段后，根据此通讯协议创建网络防御命令，并发送给网络防御命令接收者，网络防御命令接收者成功接收网络防御命令后根据此通讯协议创建针对所接收网络防御命令的网络防御命令响应，并发送回网络防御命令创建者；在此通讯协议中，网络防御命令接收者是安全设备。此协议通过保持协议内容的更新来应对层出不穷的网络威胁，具有更改灵活、内容精确，无歧义的优点。

Description

一种协同网络防御的安全设备数据通信协议

技术领域

本发明属于网络防御技术领域，具体涉及一种协同网络防御的安全设备数据通信协议。

背景技术

现如今，网络防御体系已实现利用网络威胁情报共享的方式在攻击者开始利用漏洞进行攻击之前就对其进行发现和遏制。成熟的国外威胁情报标准包括网络可观察表达式(CyboX)、结构化威胁信息表达式(StructuredThreatInformationeXpression,STIX)以及指标信息的可信自动化交换(TrustedAutomatedeXchangeofIndicatorInformation,TAXII)，STIX规范可以描述威胁情报中多方面的特征，包括威胁因素、威胁活动，安全事故等，TAXII用来传输威胁情报。用户将能够把匿名数据传递给它们的安全供应商，而安全供应商也能够快速地共享威胁情报给其他用户。而在中国，2018年10月已发布了网络安全威胁信息格式规范，即在共享网络威胁情报上做出了格式规范处理。

这些规范的目标都在于分享网络情报，而仅仅将网络情报分享至各大安全厂商还远远不够。近年来，随着网络威胁的不断更新以及更快速的传播，现有的防御系统即使能够迅速接收到网络威胁情报，但是在不同安全设备的不同解析时效来看，各有不同，在对网络威胁做出反应、是否能够处理上难以预料。

而根据安全设备数据通信协议来创建网络威胁防御命令是提高网络防御，协同网络实现防御的重要一步。较于网络威胁情报共享，根据安全设备数据通信协议的好处在于，如果正确实施的话，是多方面的。同一防御命令格式促使整个网络的防御速度加快，它可以使得安全设备更快速地处理不断变化的威胁，提高协调，对新的威胁采取集体反映动作，减少在整个系统、行业、部门或跨部分发生级联效应的可能性。

因此，如何规定网络威胁防御中安全设备数据通信协议，协同整个网络提高网络威胁防御速度是本领域技术人员需要解决的问题。

发明内容

本发明主要解决的技术问题是提供一种协同网络防御的安全设备数据通信协议，通过协同网络防御命令创建者与命令接收者间的数据通信，提高现有网络威胁防御速度。

本发明的目的是这样实现的：

一种协同网络防御的安全设备数据通信协议，用于协同网络防御命令创建者和网络防御命令接收者之间的数据通信，网络防御命令创建者接收防御手段后，根据此通讯协议创建网络防御命令，并发送给网络防御命令接收者，网络防御命令接收者成功接收网络防御命令后根据此通讯协议创建针对所接收网络防御命令的网络防御命令响应，并发送回网络防御命令创建者；在此通讯协议中，网络防御命令接收者是安全设备。

所述网络防御命令创建者创建的网络防御命令由一四元组组成，四元数组内元素包括：Def_behav、Def_obj、Exec_contr和Def_attr，其中元素Def_behav是防御行为，元素Def_obj是防御对象，元素Exec_contr是执行控制器，元素Def_attr是防御属性；

所述网络防御命令响应由一四元组组成，四元数组内元素包括：Res_num、Res_com_num、Res_status_num和Res_des，元素Res_num是响应编号，元素Res_com_num是此响应对应的命令编号，元素Res_status_num是响应的状态编码，元素Res_des是响应描述信息。

若网络防御命令创建者接收的网络防御手段含有新的防御行为，则协议内容预更新防御行为，在第一次发送含新防御行为的命令时，在防御命令属性中对该命令做解释说明；在此防御命令执行成功后保存防御行为和防御行为所匹配的防御对象、执行控制器的更新。

若网络防御命令创建者接收的网络防御手段含有新的防御对象时，则协议内容预更新防御对象，在第一次发送含有新防御对象的命令时，在防御命令属性中做解释说明；在此防御命令执行成功后保存防御对象和防御对象被匹配的防御行为的更新。

若网络防御命令创建者接收的网络防御手段含有新的防御对象属性时，则协议内容预更新防御对象属性，在第一次发送含新防御对象属性的命令时，在防御命令属性中对命令做解释说明；在此防御命令执行成功后保存防御对象属性的更新。

所述的防御行为是网络防御命令将要执行的操作，包括：Stop_act、Up_soft、Clear、Abolish_def和Alter，其中，Stop_act为暂停或结束活动，Up_soft为部分组件根据软件更新来查询、安装和整理防御行为，Clear为删除数据和文件，Abolish_def为使前一个接收的防御行为确认为无效，Alter为将流量更改为除现在所要求的对象之外的防御对象；

所述的防御对象是执行控制器实施防御行为的对象，包括：Addr_med、NameofDom、IP_link、Equip、Addrs_ip和Document，其中，Addr_med为单个媒体的可访问控制地址，NameofDom为网络域名，IP_link为源地址发往目的地址的网络连接，为IPv4或IPv6，且源地址与目的地址为相同版本，Equip为硬件设备；Addrs_ip为使用CIDR表示法表示一个或多个IP地址，Document为文件；

所述执行控制器包括：防火墙、入侵监测系统和安全网关；

所述防御属性由一个二元组表示，二元数组内元素包括Def_obj_attr和Def_com_attr元素，元素Def_obj_attr是防御对象属性，元素Def_com_attr是防御命令属性；所述的防御命令属性包括：Com_id、Start_time、Stop_time和Endure；其中，Com_id是命令编号，Start_time是开始时间，Stop_time是结束时间，Endure是持续时间。

所述的状态编码包括：102，通知命令发送者已接受命令但尚未完成命令；200，命令执行成功；400，命令接收者无法处理命令；401，命令缺少防御对象有效实施信息，或已拒绝对该对象进行防御操作；403，命令接收者接收命令但拒绝执行；500，命令接收者遇到意外情况，导致无法执行命令；501，命令接收者不支持完成命令所需的功能。

本发明的优点在于：

定义了创建网络防御命令与响应的语言，来解决不同安全设备接收防御手段后需要多次改写命令格式的问题，协同整个网络完成防御命令的快速下发，该协议还通过保持协议内容的更新来应对层出不穷的网络威胁，具有更改灵活、内容精确，无歧义的优点。

附图说明

图1是一种协同网络防御的安全设备数据通信协议结构示意图；

图2是一种协同网络防御的安全设备数据通信协议网络环境使用示意图；

图3一种协同网络防御的安全设备数据通信协议更新流程示意图。

具体实施方式

一种协同网络防御的安全设备数据通信协议，通过协同网络防御命令创建者与命令接收者间的数据通信，加快现有网络防御速度，其特征在于，网络防御命令创建者接收防御手段后，根据此协议创建网络防御命令，并发送给命令接收者，命令接收者成功接收命令后根据此协议创建针对所接收命令的命令响应，并发送回命令创建者；在此协议中，命令接收者是安全设备，协议定义了创建网络防御命令和响应的语言，并支持内容的更新。

协议定义了网络防御命令创建者创建命令、命令接收者接收命令的语言，并支持内容的更新。

其中，网络防御命令由一四元组组成：

<’Def_behav’，’Def_obj’，’Exec_contr’，’Def_attr’>，元素Def_behav是防御行为，元素Def_obj是防御对象，元素Exec_contr是执行控制器，元素Def_attr是防御属性；其中元素Def_attr由一个2元组<Def_obj_attr，Def_com_attr>表示，元素Def_obj_attr是防御对象属性，元素Def_com_attr是防御命令属性。

协议规定的防御行为是防御命令将要执行的操作有：Stop_act，Up_soft，Clear，Abolish_def，Alter；其中，Stop_act：暂停或结束活动；Up_soft：部分组件根据软件更新来查询、安装，整理防御行为；Clear：删除数据，文件；Abolish_def：使前一个接收的防御行为确认为无效；Alter：将流量更改为除现在所要求的对象之外的防御对象；

防御对象有：Addr_med，NameofDom，IP_link，Equip，Addrs_ip，Document；其中，Addr_med：单个媒体的可访问控制地址；NameofDom：网络域名；IP_link：源地址发往目的地址的网络连接，可以是IPv4或IPv6，但源地址与目的地址为相同版本；Equip：硬件设备；Addrs_ip：使用CIDR表示法表示一个或多个IP地址(IPv4或IPv6)；Document：文件；

防御命令属性一般包括：Com_id，Start_time，Stop_time，Endure，即是命令编号，开始时间，结束时间，持续时间；

能接收防御命令的执行控制器即安全设备有：防火墙，入侵监测系统，安全网关。

网络防御命令遵循四条创建规则：

规则1：

x y z m(Def_behav(x) Def_obj(y) Exec_contr(z) Def_attr(m))→nComm(n)；

规则2：

xDef_behav(x)→yDef_obj_attr(y)；

规则3：

xComm(x)→yDef_behav(y)；

规则4：

xComm(x)→yDef_com_attr(y)。

防御命令响应由一4元组表示：

<’Res_num’，’Res_com_num’，’Res_status_num’,’Res_des’>，元素Res_num是响应编号，元素Res_com_num是此响应对应的命令编号，元素Res_status_num是响应的状态编码，元素Res_des是响应描述信息。

命令接收者创建的防御命令响应的状态编码包括：102，通知命令发送者已接受命令但尚未完成命令；200，命令执行成功；400，命令接收者无法处理命令；401，命令缺少防御对象有效实施信息，或已拒绝对该对象进行防御操作；403，命令接收者接收命令但拒绝执行；500，命令接收者遇到意外情况，导致无法执行命令；501，命令接收者不支持完成命令所需的功能。

若命令创建者接收的网络威胁防御手段含有新的防御行为，则协议内容预更新防御行为，并在第一次发送含新防御行为的命令时，在防御命令属性中对该命令做解释说明；在此防御命令执行成功后保存防御行为和防御行为所匹配的防御对象、执行控制器的更新。

若命令创建者接收的网络威胁防御手段含有新的防御对象时，则协议内容预更新防御对象，并在第一次发送含有新防御对象的命令时，防御命令属性做解释说明；在此防御命令执行成功后保存防御对象和防御对象被匹配的防御行为的更新。

命令创建者接收的网络威胁防御手段含有新的防御对象属性时，则协议内容预更新防御对象属性，并第一次发送含新防御对象属性的命令时，防御命令属性对命令做解释说明；在此防御命令执行成功后保存防御对象属性的更新。

命令创建者接收到的命令响应中的响应编码为200时，协议内容才能保存更新。

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种协同网络防御的安全设备数据通信协议，以支持命令创建者根据此协议创建防御命令，命令接收者根据此协议解析网络防御命令创建命令响应，提高网络威胁防御的速度。

本发明实施例提供一种协同网络防御的安全设备数据通信协议，包括：

参见图1，为本实施例提供的一种协同网络防御的安全设备数据通信协议结构示意图，可知：

协同网络防御的安全设备数据通信协议定义了网络防御命令创建者创建命令、命令接收者接收响应的语言：网络防御命令由一四元组组成：

<’Def_behav’，’Def_obj’，’Exec_contr’，’Def_attr’>，其中元素Def_attr由一个2元组<Def_obj_attr，Def_com_attr>组成；命令响应由一四元组组成：<’Res_num’，’Res_com_num’，’Res_status_num’，’Res_des’>。

在网络防御命令创建过程中，还需遵守一些规则：

规则1：

x y z m(Def_behav(x)Def_obj(y)Exec_contr(z)Def_attr(m))→nComm(n)；

规则2：

xDef_behav(x)→yDef_obj_attr(y)；

规则3：

xComm(x)→yDef_behav(y)；

规则4：

xComm(x)→yDef_com_attr(y)

通过所述的网络防御命令、命令响应语言，网络防御命令创建者与接收者可创建统一语言格式的命令信息，实现快速数据通信，尤其对于网络防御命令创建者与响应者以一对多的情况出现时，将极大的缩减网络防御手段格式转化时间，加快防御命令的执行。

将根据以下实施例来模拟此协议的使用，详细解释根据此协议来创建网络防御命令及协议更新的过程。

参见图2，本实施例提供的一种协同网络防御的安全设备数据通信协议的使用环境示意图，示出了可在其中实现本发明的一网络防御命令创建者：Web应用场景的示例。Web应用场景只是一合适的网络防御命令创建者，而不是要提出对本发明使用或功能范围进行限制。Web应用场景也不应解释成在示例Web环境中所示的任一功能有任何依赖或需求。

参见图2，STIX记录当前网络观察对象的网络威胁信息，由TAXII传输网络情报至网络终端，网络终端针对每个威胁情报创建对应的网络威胁防御手段；

具体的，在本实施例中，STIX记录的网络观察对象信息来自于使用该协议的Web应用场景(命令创建者)，此Web应用场景提供所管理网域出现的网络威胁，在网络威胁发生之前将网络威胁情报发送至网络终端处理，对于未处于该Web应用场景所管理网域范围内的发送网络威胁，将无法根据此协议创建网络防御命令和响应信息；

网络终端通过TAXII服务器将网络威胁防御手段发送至Web应用场景，Web应用场景接收后分析防御手段内容，并根据此协议创建防御命令，通过设备API发送至管理网域的安全设备(即命令接收者)；

网络终端创建防御手段后直接传送至Web应用场景，在现有网络威胁情报共享的前提下，针对每个网络威胁情报的防御手段，能直接发送至Web应用场景用于创建统一网络防御命令，加快了网络防御的速度，对同一网段可能出现同一威胁的网络环境进行提前防御，弥补了现有网络威胁情报对于不同网络环境的解析耗时以及同一网段出现同种威胁的预防问题；

其中，Web应用场景将根据json格式的协议来创建防御命令，并处理来自管理网域命令接收者的响应信息，额外的，在本实施例中，对于Web应用场景接收来自网络终端的网络威胁防御手段不受限，对于发送至所管理网域的防御命令需要监测响应信息，判断命令是否执行成功；

本实施例中，Web应用场景根据此协议创建防御命令发送至Web应用场景管理的各个网段的安全设备，对于防御命令的执行成功需要：

Web应用场景使用此协议创建与防御手段对应的防御命令，若解析错误，会造成执行错误、减少威胁防御时间造成网络威胁未防御成功等问题，对于Web应用场景管理的网域，掌握当前此协议、正确解析接收到的防御命令也很必要。

由于网络威胁的不断更新，防御手段也将不断更新，所以目前协议的重点为：持续实现可执行防御命令的协议更新；

Web应用场景接收到新的网络威胁防御手段解析后：

若接收的网络威胁防御手段含有新的防御行为、防御对象或防御命令属性，则预更新防御行为、防御对象或防御命令属性，在第一次发送含新的防御元素的防御命令时，在防御命令属性中对该命令做解释说明，以告知命令接收者此命令新元素的含义，当接收到含有新元素的命令成功执行(即响应编号为200)的响应时，协议内容保存更新。

参见图3，为本实施例提供的一种协同网络防御的安全设备数据通信协议更新流程示意图，在本实施例中，网络防御命令创建者根据此协议创建防御命令，等待所管理的各个网段安全设备根据此协议返回针对所接收的命令的响应信息，对于执行失败的命令，协议规定：采取拆分新命令的方式构建多个按一定次序执行的防御命令，若命令执行成功，将保存更新协议内容；

具体的，Web应用场景不间断的接收防御手段后，对于存在上述含有预更新的协议内容，若第一次接收到执行失败的响应信息，将根据上一版的协议，即保存预更新之前的协议，拆分为按一定顺序排列的防御命令，重新发送至Web应用场景管理的各个网段中的安全设备(命令接收者)；

第二次接收到同一命令执行失败的响应，查看是否为Web应用场景管理的网段中的安全设备出现问题，协议要求，更新安全设备解析协议功能的处理手段，当解决安全设备问题后，安全设备向Web应用场景发送响应，Web应用场景重新发送防御命令；

第三次接收到同一命令执行失败的响应，默认当前安全设备无法处理此威胁，因此无法正常执行防御命令，扩展安全设备，重新发送防御命令；

第四次接收到同一的执行失败的响应信息，默认为当前Web应用场景与安全设备无法处理的防御手段，发送反馈信息至网络终端，重新处理威胁情报；

对于以上出现的任何一次执行成功的响应信息，保存更新协议内容，对于之后出现的同一防御手段将更快速的创建防御命令，加快网络威胁防御进程。

本说明书中各个实施例采用递进的方式描述，每个实施例的描述重点各不相同，各个实施例之间相同相似部分互相参见。

以上对本发明实施例所提供的一种协同网络防御的安全设备数据通信协议进行了详细介绍，本文中通过此协议的内容、使用环境和更新过程对本发明的原理及实施方式进行了阐释，实施例的说明只是用于帮助理解本发明的方法及思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施过程及应用范围上出现不同之处为正常现象。因此，本说明书内容不应理解为对本发明的限制。

综上所述：本发明公开了一种协同网络防御的安全设备数据通信协议，属于网络安全技术领域。描述的是网络防御命令创建者接收防御手段后，通过此协议创建网络防御命令，并发送给命令接收者，命令接收者成功接收命令后根据此协议创建命令响应，并发送回命令创建者。在此协议中，命令接收者是安全设备。协议定义了创建网络防御命令与响应的语言，来解决不同安全设备接收防御手段后需要多次改写命令格式的问题，协同整个网络完成防御命令的快速下发，该协议还通过保持协议内容的更新来应对层出不穷的网络威胁，具有更改灵活、内容精确，无歧义的优点。

Claims (8)

1.一种协同网络防御的安全设备数据通信方法，规定了协同网络防御的安全设备数据通信协议，数据通信协议用于协同网络防御命令创建者和网络防御命令接收者之间的数据通信，其特征在于，数据通信协议定义了创建网络防御命令与响应的语言，网络防御命令创建者接收防御手段后，根据此数据通信协议创建网络防御命令，并发送给网络防御命令接收者，网络防御命令接收者成功接收网络防御命令后根据此数据通信协议创建针对所接收网络防御命令的网络防御命令响应，并发送回网络防御命令创建者；在此数据通信协议中，网络防御命令接收者是安全设备；

所述数据通信协议的更新过程如下：

网络防御命令创建者接收安全设备返回的针对网络防御命令的响应信息，若网络防御命令创建者第一次接收到网络防御命令执行失败的响应信息，将根据上一版的协议，即保存预更新之前的协议，拆分为按一定顺序排列的防御命令，重新发送至Web应用场景管理的各个网段中的安全设备，即网络防御命令接收者；

第二次接收到同一命令执行失败的响应，则更新安全设备解析协议功能的处理手段，当解决安全设备问题后，安全设备向Web应用场景发送响应，Web应用场景重新发送防御命令；

第三次接收到同一命令执行失败的响应，默认当前安全设备无法处理此威胁，因此无法正常执行防御命令，则扩展安全设备，重新发送防御命令；

第四次接收到同一命令的执行失败的响应信息，默认为当前Web应用场景与安全设备无法处理的防御手段，发送反馈信息至网络终端，重新处理威胁情报；

若网络防御命令执行成功，则保存更新协议内容，对于之后出现的同一防御手段将更快速的创建防御命令，加快网络威胁防御进程。

2.根据权利要求1所述的一种协同网络防御的安全设备数据通信方法，其特征在于，所述网络防御命令创建者创建的网络防御命令由一四元组组成，四元数组内元素包括：Def_behav、Def_obj、Exec_contr和Def_attr，其中元素Def_behav是防御行为，元素Def_obj是防御对象，元素Exec_contr是执行控制器，元素Def_attr是防御属性。

3.根据权利要求1所述的一种协同网络防御的安全设备数据通信方法，其特征在于，所述网络防御命令响应由一四元组组成，四元数组内元素包括：Res_num、Res_com_num、Res_status_num和Res_des，元素Res_num是响应编号，元素Res_com_num是此响应对应的命令编号，元素Res_status_num是响应的状态编码，元素Res_des是响应描述信息。

4.根据权利要求1所述的一种协同网络防御的安全设备数据通信方法，其特征在于，若网络防御命令创建者接收的网络防御手段含有新的防御行为，则协议内容预更新防御行为，在第一次发送含新防御行为的命令时，在防御命令属性中对该命令做解释说明；在此防御命令执行成功后保存防御行为和防御行为所匹配的防御对象、执行控制器的更新。

5.根据权利要求1所述的一种协同网络防御的安全设备数据通信方法，其特征在于，若网络防御命令创建者接收的网络防御手段含有新的防御对象时，则协议内容预更新防御对象，在第一次发送含有新防御对象的命令时，在防御命令属性中做解释说明；在此防御命令执行成功后保存防御对象和防御对象被匹配的防御行为的更新。

6.根据权利要求1所述的一种协同网络防御的安全设备数据通信方法，其特征在于，若网络防御命令创建者接收的网络防御手段含有新的防御对象属性时，则协议内容预更新防御对象属性，在第一次发送含新防御对象属性的命令时，在防御命令属性中对命令做解释说明；在此防御命令执行成功后保存防御对象属性的更新。

7.根据权利要求2所述的一种协同网络防御的安全设备数据通信方法，其特征在于，所述的防御行为是网络防御命令将要执行的操作，包括：Stop_act、Up_soft、Clear、Abolish_def和Alter，其中，Stop_act为暂停或结束活动，Up_soft为部分组件根据软件更新来查询、安装和整理防御行为，Clear为删除数据和文件，Abolish_def为使前一个接收的防御行为确认为无效，Alter为将流量更改为除现在所要求的对象之外的防御对象；

所述的防御对象是执行控制器实施防御行为的对象，包括：Addr_med、NameofDom、IP_link、Equip、Addrs_ip和Document，其中，Addr_med为单个媒体的可访问控制地址，NameofDom为网络域名，IP_link为源地址发往目的地址的网络连接，为IPv4或IPv6，且源地址与目的地址为相同版本，Equip为硬件设备；Addrs_ip为使用CIDR表示法表示一个或多个IP地址，Document为文件；

所述执行控制器包括：防火墙、入侵监测系统和安全网关；

所述防御属性由一个二元组表示，二元数组内元素包括Def_obj_attr和Def_com_attr元素，元素Def_obj_attr是防御对象属性，元素Def_com_attr是防御命令属性；所述的防御命令属性包括：Com_id、Start_time、Stop_time和Endure；其中，Com_id是命令编号，Start_time是开始时间，Stop_time是结束时间，Endure是持续时间。

8.根据权利要求3所述的一种协同网络防御的安全设备数据通信方法，其特征在于，所述的状态编码包括：102，通知命令发送者已接受命令但尚未完成命令；200，命令执行成功；400，命令接收者无法处理命令；401，命令缺少防御对象有效实施信息，或已拒绝对该对象进行防御操作；403，命令接收者接收命令但拒绝执行；500，命令接收者遇到意外情况，导致无法执行命令；501，命令接收者不支持完成命令所需的功能。

Images