CN110417731A - 一种适应信息对象业务安全属性的网络层标记动态生成方法及系统 - Google Patents

Abstract

本发明公开了一种适应信息对象业务安全属性的网络层标记动态生成方法及系统。本方法为：1)设置系统对象的业务安全标记，标明系统对象的业务安全属性；所述业务安全标记包括安全级别和业务属性；2)系统对象连接协议栈，请求发送网络数据；3)协议栈根据请求中的业务安全标记转换生成网络层业务安全标记，并封装到IP数据包内；其中，网络层业务安全标记标明IP数据包内数据的安全级别、业务类别。本发明能够支持相关安全机制在相关网络节点或环境实施细粒度控制，在网络传输和其他环境中面向数据的业务安全要求实现其全生命周期管控。

Description

一种适应信息对象业务安全属性的网络层标记动态生成方法 及系统

技术领域

本发明涉及一种根据数据的业务安全属性对数据进行网络层数据标记的方法，属于网络及信息安全技术领域。

背景技术

访问控制是信息安全领域主要的安全机制。传统的访问控制主要解决某一系统内主体和客体之间的访问控制问题。但在网络环境下，传统访问控制方法难以实现相关数据经网络传输进入其他系统后，仍可指示其他系统正确理解该数据的业务安全性质，从而在网络传输和其他环境中根据业务安全要求对其进行全生命周期管控。

发明内容

针对数据在网络环境下全生命周期管控需求，本发明的目的在于提供一种根据数据的业务安全属性动态为网络层数据包添加业务安全标记的方法和系统。

为实现数据在网络环境下的全生命周期管控，就需要根据数据的业务安全属性为其对应的网络数据赋予一致的安全属性，从而指示相关安全机制在相关网络节点或环境实施相应的控制。基于此特点，本发明主要思路是：在应用、服务或进程发送网络数据时，不是根据这些主体的安全标记，而是将拟发送数据的业务安全标记动态转换为相应的网络层数据标记，并附加到IP数据包的扩展字段中。

为实现上述目的，本发明提供适应信息对象的业务安全属性的网络层标记动态生成方法，该方法包括以下步骤：

步骤1：通过网络发送数据的系统对象应配置业务安全标记。系统对象包括应用、服务或进程等数据发送主体，系统对象的业务安全标记表明这些系统对象的安全级别、业务类别等业务安全属性；

步骤2：系统对象连接协议栈，请求发送网络数据。此步骤分为两种情况，情况1(静态标记模式)，这种情况下，系统对象不区分拟发送数据的业务安全属性，默认这些数据具有与系统对象一致的安全级别及业务属性等，系统对象在请求中仅提交其自身业务安全标记；情况2(动态标记模式)，这种情况下，系统对象理解并动态区分拟发送数据所具有的业务安全属性，系统对象在请求中提交其自身业务安全标记和拟发送数据的业务安全标记，其中数据的业务安全标记表明数据的安全级别、业务类别、环境要求、操作控制要求等业务安全属性。

步骤3：协议栈根据请求中的业务安全标记转换生成网络层业务安全标记，并封装到IP数据包内。网络层业务安全标记表明IP数据包内数据的安全级别、业务类别等。生成规则：针对步骤2中的情况1(静态标记模式)，直接将系统对象的业务安全标记转换为网络层业务安全标记；针对步骤2中的情况2(动态标记模式)，将拟发送数据的业务安全标记转换为网络层业务安全标记。

预设信息1：系统环境中的数据等信息对象具有业务安全标记，表明数据的安全级别、业务类别、环境要求、操作控制要求等业务安全属性。

预设信息2：系统中的应用、服务和进程等系统对象应配置业务安全标记，表明其安全等级、业务类别等业务安全属性。系统对象的业务安全标记可以通过配置指定，或根据其用户主体的业务安全标记进行定义。

为实现上述目的，本发明还提供了一种适应信息对象业务安全属性的网络层标记动态生成系统，其特征在于，包括业务安全标记配置模块和支持业务安全标记的协议栈。

所述业务安全标记配置模块，用于设置系统对象的业务安全标记，标明系统对象的业务安全属性；所述业务安全标记包括安全级别和业务属性；

所述支持业务安全标记的协议栈，用于接收系统对象的数据发送请求，并将数据发送请求中的业务安全标记转换生成网络层业务安全标记，并封装到IP数据包内；其中，网络层业务安全标记标明IP数据包内数据的安全级别、业务类别。

所述支持业务安全标记的协议栈提供应用接口支持应用、服务、进程等系统对象提交数据发送请求。上述应用接口根据业务需求可设计为采用双接口分别支持静态标记模式与动态标记模式，或者采用统一接口支持混合模式。其中，静态标记模式要求系统对象请求发送数据时需提交其自身的业务安全标记；动态标记模式要求系统对象请求发送数据时需提交其自身的业务安全标记和拟发送数据的业务安全标记。

与现有技术相比，本发明的积极效果为：

在数据进行网络传输时，根据数据的业务安全属性为对应的IP数据包赋予了相应的网络层业务安全标记，以表明数据包内承载信息的业务安全属性，指示其他系统正确理解该网络数据的业务安全性质，从而支持相关安全机制在相关网络节点或环境实施细粒度控制，在网络传输和其他环境中面向数据的业务安全要求实现其全生命周期管控。

附图说明

图1为适应信息对象业务安全属性的网络层标记动态生成流程；

图2为适应信息对象业务安全属性的网络层标记动态生成系统功能架构。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的实施例仅用于说明和解释本发明，并不用于限定本发明。

图1为根据本发明的适应信息对象业务安全属性的网络层标记动态生成流程图，下面将参考图1对本发明的适应信息对象业务安全属性的网络层标记动态生成方法进行详述：

1.业务安全标记配置

业务安全标记M为一个包含多种业务安全属性的多元组，M＝<C，G，F>。其中C为安全级别；G为多个业务安全属性G_i的集合，G＝{g₁,g₂,…g_n}，g_i可以为业务类别、工作组、角色、环境要求等业务安全属性；F为操作控制属性f_j的集合，F＝{f₁,f₂,…f_m}，f_j可以为读写控制、打印控制、刻录控制、拷贝控制等操作类属性。

数据等信息对象(资源)的业务安全标记记为M(r)＝<C_r，G_r，F_r>，系统对象等主体的业务安全标记记为M(s)＝<C_s，G_s>。主体标记M(s)与资源标记M(r)之间的关系有两种：支配关系与不可比。标记M(s)支配标记M(r)，当C_s≥C_r且我们记为M(s)≥M(r)，表示主体可支配客体。如果M(s)与M(r)之间不存在支配关系，则它们之间不可比，主体无权支配客体。如果则主体应根据该标记包含的具体操作控制属性f_j限制对资源进行相应操作。

根据上述定义，为表述方便，可将系统环境中的数据、文件等信息对象的业务安全标记记为M(r)，表明数据的安全级别、业务类别、操作控制等属性；将系统中的用户对象的业务安全标记记为M(u)，表明用户的安全级别、业务类别等业务安全属性；将系统中的应用、服务、进程、模块、端口等系统对象的业务安全标记记为M(o)，表明系统对象的安全等级、业务类别等业务安全属性，根据主体与资源支配关系语义，也可以将该标记其理解为系统对象能够处理的数据的安全等级、业务类别等要求。系统对象的业务安全标记可以通过配置指定，或系统对象创建时，根据当前用户的业务安全标记M(u)指定。

2.系统对象送请求发送网络数据

系统对象提交数据发送请求，此时分为两种情况，情况1(静态标记模式)，这种情况下，系统对象在请求中仅提交其自身业务安全标记M(o)；情况2(动态标记模式)，这种情况下，系统对象在请求中提交其自身业务安全标记M(o)和拟发送数据的业务安全标记M(r)。

3.网络层安全标记动态生成

针对上述情况1(静态标记模式)，直接将系统对象的业务安全标记M(o)转换为网络层业务安全标记M(r’)，M(r’)＝M(o)。

针对上述情况2(动态标记模式)，将拟发送数据的业务安全标记M(r)转换为网络层业务安全标记M(r’)，M(r’)＝M(r)。

4.安全标记封装

根据上述步骤，将生成的网络层业务安全标记M(r’)添加到IP数据包的扩展字段中。

图2为根据本发明的适应信息对象业务安全属性的网络层标记动态生成系统的功能架构，下面将参考图2，对本发明的适应信息对象业务安全属性的网络层标记动态生成系统进行详述：

1.业务安全标记配置模块

所述业务安全标记配置模块，用于设置系统对象的业务安全标记，标明系统对象的业务安全属性；所述业务安全标记包括安全级别和业务属性。

2.支持业务安全标记的协议栈，用于接收系统对象的数据发送请求，并将数据发送请求中的业务安全标记转换生成网络层业务安全标记，并封装到IP数据包内。其包括应用接口、网络层业务安全标记生成、业务安全标记封装、基于业务安全标记的管控等功能。

1)应用接口

协议栈应用接口为应用、服务、进程等系统对象提供数据发送服务。此接口有2种：

方法1(双接口)：分别提供静态模式接口和动态模式接口。系统对象可通过静态模式接口连接装置并提交数据发送请求，请求中的信息包括系统对象本身的业务安全标记M(o)、拟发送的内容、采用的端口、协议、目的地址等；系统对象可通过动态模式接口连接装置并提交发送请求，请求中的信息包括系统对象本身的业务安全标记M(o)、拟发送数据的业务安全标记M(r)、拟发送的内容、采用的端口、协议、目的地址等。

方法2(统一接口)：提供统一的应用接口支持动态模式和静态模式，根据请求中的业务安全标记类型进行模式选择。

2)网络层业务安全标记生成

网络层业务安全标记有以下2种生成方法：

方法1(静态标记模式)：直接将系统对象的业务安全标记M(o)转换为网络层业务安全标记M(r’)。

方法2(动态标记模式)：将拟发送数据的业务安全标记M(r)转换为网络层业务安全标记M(r’)。

3)业务安全标记封装

对拟发送数据进行封装，并将网络层业务安全标记M(r’)附加到每个IP包头的扩展字段上。

4)基于业务安全标记的管控

为进一步提升系统对外发网络数据的管控能力，可以为本发明所述协议栈增加基于业务安全属性的管控功能，为协议栈或其各端口配置业务安全标记M(n)＝<C_n，G_n>，表明协议栈或端口可处理的数据的安全级别、业务类别等要求。在上述方法步骤2中，系统对象连接协议栈请求发送数据时，可首先匹配检查协议栈业务安全标记M(n)与拟发送数据的业务安全标记M(r)，如果M(n)≥M(r)，则协议栈可支配拟发送数据，进入步骤3；如果M(n)与M(r)之间不存在支配关系，则协议栈拒绝发送请求并生成相关日志。若步骤2中系统对象采用静态标记模式发送数据，则与系统对象的业务安全标记M(o)进行匹配检查，若M(n)≥M(o)，进入步骤3，否则拒绝发送请求并生成相关日志。

尽管为说明目的公开了本发明的具体内容、实施算法以及附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。本发明不应局限于本说明书最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (10)

1.一种适应信息对象业务安全属性的网络层标记动态生成方法，其步骤包括：

1)设置系统对象的业务安全标记，标明系统对象的业务安全属性；所述业务安全标记包括安全级别和业务属性；

2)系统对象连接协议栈，请求发送网络数据；

3)协议栈根据请求中的业务安全标记转换生成网络层业务安全标记，并封装到IP数据包内；其中，网络层业务安全标记标明IP数据包内数据的安全级别、业务类别。

2.如权利要求1所述的方法，其特征在于，所述协议栈或其各端口配置有业务安全标记M(n)＝<C_n，G_n>，表明协议栈或端口可处理的数据的安全级别、业务类别；a)步骤2)中，系统对象连接协议栈请求采用动态标记模式发送网络数据时，首先检查协议栈的业务安全标记M(n)与拟发送数据的业务安全标记M(r)是否匹配，如果M(n)≥M(r)，则协议栈可支配拟发送数据，进入步骤3)；如果M(n)与M(r)之间不存在支配关系，则协议栈拒绝发送请求并生成相关日志；b)步骤2)中，系统对象连接协议栈请求采用静态标记模式发送网络数据时，首先检查协议栈的业务安全标记M(n)与系统对象的业务安全标记M(o)是否匹配，若M(n)≥M(o)，进入步骤3)，否则拒绝发送请求并生成相关日志。

3.如权利要求1或2所述的方法，其特征在于，步骤2)中，系统对象连接协议栈，请求发送网络数据，系统对象采用静态标记模式发送数据，即默认拟发送数据的业务安全属性与系统对象的业务安全属性一致，系统对象将数据发送请求发送给协议栈，其中该数据发送请求中包含系统对象自身的业务安全标记。

4.如权利要求3所述的方法，其特征在于，生成网络层业务安全标记的方法为：直接将系统对象的业务安全标记转换为网络层业务安全标记。

5.如权利要求1或2所述的方法，其特征在于，步骤2)中，系统对象连接协议栈，请求发送网络数据，系统对象采用动态标记模式发送数据，即首先获取拟发送数据的业务安全属性，并将其与系统对象自身的业务安全属性一起提交给协议栈；其中，数据的业务安全标记包括数据的安全级别、业务类别、环境要求、操作控制要求。

6.如权利要求5所述的方法，其特征在于，生成网络层业务安全标记的方法为：将拟发送数据的业务安全标记转换为网络层业务安全标记。

7.如权利要求1所述的方法，其特征在于，步骤1)中，通过配置设置系统对象的业务安全标记，或根据系统对象的用户主体的业务安全标记设置系统对象的业务安全标记；所述系统对象为用于发送网络数据的应用、服务或进程。

8.一种适应信息对象业务安全属性的网络层标记动态生成系统，其特征在于，包括业务安全标记配置模块和支持业务安全标记的协议栈；其中，

业务安全标记配置模块，用于设置系统对象的业务安全标记，标明系统对象的业务安全属性；所述业务安全标记包括安全级别和业务属性；

支持业务安全标记的协议栈，用于接收系统对象的数据发送请求，并将数据发送请求中的业务安全标记转换生成网络层业务安全标记，并封装到IP数据包内；其中，网络层业务安全标记标明IP数据包内数据的安全级别、业务类别。

9.一种支持业务安全标记的协议栈，其特征在于，包括一应用接口；所述应用接口，用于支持系统对象提交数据发送请求；包括标记生成及封装功能，即协议栈根据发送请求中的业务安全标记生成网络层业务安全标记，并封装到IP数据包内。

10.如权利要求9所述的协议栈，其特征在于，所述应用接口根据业务需求设计为双接口，分别支持静态标记模式与动态标记模式，或者采用统一接口支持混合模式；其中，静态标记模式要求系统对象请求发送数据时需提交其自身的业务安全标记；动态标记模式要求系统对象请求发送数据时需提交其自身的业务安全标记和拟发送数据的业务安全标记。