CN111049851B - 一种跨域传输业务多级多维联动管控系统 - Google Patents

Abstract

本发明公开了一种跨域传输业务多级多维联动管控系统，属于业务实施管控技术领域。本发明通过采用分级分域的管控架构，实现了统一管理下的多点受控跨域交换。其中，跨域策略管理服务根据不同类型业务的跨域传输需求，动态编排业务跨域传输路径，实现跨域业务的多维协同管控。跨域策略管理服务还可根据跨域安全服务、跨域寻址服务、跨域隔离交换服务等分系统上报的信息生成跨域综合态势。当发现安全事件时，跨域策略管理服务生成相应的处理规则并下发给跨域安全服务、跨域寻址服务、跨域隔离交换服务等分系统，调整其功能服务路径，实现针对跨域安全风险的多维联动响应。

Description

一种跨域传输业务多级多维联动管控系统

技术领域

本发明涉及多安全等级专网以及业务实施管控技术领域，特别是指一种跨域传输业务多级多维联动管控系统。

背景技术

面向多安全等级专网环境中信息跨域交换共享的需求，自“十五”以来，已研制了多款专用跨域设备，同时也有多种商用跨域设备提供跨域交换能力，在网络层面已基本形成了较为完备的单点跨域交换能力，具备跨网交换认证与权限控制、路由隔离、数据与媒体业务的受控交换等能力，双向/单向交换能力达到Gbps级别，并在一定程度上可以抵御常见网络攻击。

当前，在多安全等级专网环境网络跨域互联业务管控方面，仍然存在统一协同管控能力不足的问题，容易造成跨域策略的短板效应，引发跨域安全风险。

发明内容

有鉴于此，本发明提出了一种跨域传输业务多级多维联动管控系统，其从安全防护、业务管控、跨域寻址、隔离交换等多个维度实现跨域传输业务的管控，并实现不同维度之间管控策略的协同，解决了单一管控措施失效造成跨域安全风险问题。

为了实现上述目的，本发明所采用的技术方案为：

一种跨域传输业务多级多维联动管控系统，应用于多安全等级的专网环境，包括分级部署的多个跨域交换区，每一跨域交换区内均设有控制器；每个跨域交换区的跨域资源划分为安全资源、寻址资源、隔离交换资源和策略资源，所述跨域传输业务多级多维联动管控系统划分为跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统和跨域策略管理分系统，每一分系统均包括运行于各跨域交换区相应控制器上的相应服务；

所述跨域策略管理分系统的服务包括运行于一级跨域交换区中的一级管理控制服务以及运行于其他跨域交换区中的相应层级的管理控制服务；其中，一级管理控制服务负责完成全网跨域交换管理控制的策略制定、服务审批、全网跨域服务态势呈现的功能；其他层级的管理控制服务负责完成其所在层级跨域交换区内的跨域传输控制策略制定、跨域交换资源分配、跨域交换服务审批、本地跨域服务态势呈现的功能；下级管理控制服务与上级管理控制服务通过控制器的管理控制协议互联，下级管理控制服务接受上级管理控制服务的管理，并向上级管理控制服务上报本跨域交换区的跨域服务态势；

业务跨域传输时，跨域策略管理分系统根据业务跨域传输需求，动态编排生成业务的跨域传输路径，将该传输路径所需的安全防护、跨域寻址、隔离交换资源需求下发给跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器；跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器根据跨域策略管理分系统下发的策略，动态编排生成相应的功能服务路径；跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器下发流表给各自分系统的交换机，实现跨域业务的流量牵引，为跨域业务流量提供各类服务；

在提供跨域服务的过程中，跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统将各自分系统的态势、事件信息上报给本跨域交换区的跨域策略管理分系统，跨域策略管理分系统综合各分系统上报的信息，实现本跨域交换区跨域态势的综合呈现；

当跨域安全服务分系统发现跨域流量中的安全风险时，将安全事件信息上报给跨域策略管理分系统，跨域策略管理分系统根据安全事件信息，生成相应的处理规则，并将生成的处理规则下发给跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统，调整其功能服务路径，实现针对跨域安全风险的多维联动响应。

本发明与现有技术相比，所取得的有益效果为：

1、本发明可实现跨域互联网络系统中分布式部署的多个跨域交换区的统一管理和策略一致化，从而解决跨域交换区的策略冲突、短板效应、故障迁移等问题。

2、本发明可基于统一的技术体制，实现对跨域交换区内安全防护、跨域寻址、隔离交换、管理策略等多种类型跨域资源的管理，从而解决不同类型跨域资源的协同调度问题。

3、本发明可实现业务跨域传输通道的动态编排，按需提供跨域资源，从而解决跨域设施固定部署、跨域交换手段固化问题。

4、本发明可实现针对跨域安全事件的协同联动响应，从跨域权限管理、安全防护手段、跨域寻址资源、跨域隔离交换服务等多个维度对安全事件进行响应处理，防止因单一措施失效造成跨域安全风险。

附图说明

图1是本发明实施例中跨域传输业务多级多维联动管控系统的结构示意图。

图2是本发明实施例中跨域传输业务多维协同管控的原理示意图。

图3是本发明实施例中跨域策略管理服务分系统的结构示意图。

图4是本发明实施例中业务跨域传输通道动态编排的原理示意图。

具体实施方式

下面结合附图和具体实施方式对本发明做进一步的说明。

一种跨域传输业务多级多维联动管控系统，应用于多安全等级的专网环境，包括分级部署的多个跨域交换区，每一跨域交换区内均设有控制器；每个跨域交换区的跨域资源划分为安全资源、寻址资源、隔离交换资源和策略资源，所述跨域传输业务多级多维联动管控系统划分为跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统和跨域策略管理分系统，每一分系统均包括运行于各跨域交换区相应控制器上的相应服务；

所述跨域策略管理分系统的服务包括运行于一级跨域交换区中的一级管理控制服务以及运行于其他跨域交换区中的相应层级的管理控制服务；其中，一级管理控制服务负责完成全网跨域交换管理控制的策略制定、服务审批、全网跨域服务态势呈现的功能；其他层级的管理控制服务负责完成其所在层级跨域交换区内的跨域传输控制策略制定、跨域交换资源分配、跨域交换服务审批、本地跨域服务态势呈现的功能；下级管理控制服务与上级管理控制服务通过控制器的管理控制协议互联，下级管理控制服务接受上级管理控制服务的管理，并向上级管理控制服务上报本跨域交换区的跨域服务态势；

业务跨域传输时，跨域策略管理分系统根据业务跨域传输需求，动态编排生成业务的跨域传输路径，将该传输路径所需的安全防护、跨域寻址、隔离交换资源需求下发给跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器；跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器根据跨域策略管理分系统下发的策略，动态编排生成相应的功能服务路径；跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器下发流表给各自分系统的交换机，实现跨域业务的流量牵引，为跨域业务流量提供各类服务；

在提供跨域服务的过程中，跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统将各自分系统的态势、事件信息上报给本跨域交换区的跨域策略管理分系统，跨域策略管理分系统综合各分系统上报的信息，实现本跨域交换区跨域态势的综合呈现；

当跨域安全服务分系统发现跨域流量中的安全风险时，将安全事件信息上报给跨域策略管理分系统，跨域策略管理分系统根据安全事件信息，生成相应的处理规则，并将生成的处理规则下发给跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统，调整其功能服务路径，实现针对跨域安全风险的多维联动响应。

该方法具有如下要点：

（1）针对分级部署的跨域互联网络系统，采用分级分域的管控架构，将跨域互联网络系统中不同的跨域交换区划分为不同的区域，每个跨域交换区由所属的域控制器控制，各个域控制器又由其所属的上一级跨域交换区的域间控制器统一管控。

（2）每个跨域交换区的跨域资源划分为安全资源、寻址资源、隔离交换资源和策略资源等四种类型，跨域交换区的网络系统相应地划分跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统和跨域策略管理分系统等四个分系统。四个分系统内部均采用服务功能链的技术路线和基于SDN的网络架构，通过分系统的控制器实现对各分系统的管理控制；同时四个分系统的控制器之间相互联动，实现不同维度跨域资源的协同。

（3）跨域策略管理分系统是实现跨域互联网络多级多维联动管控的核心。通过采用分层管理控制系统结构，实现跨域管理控制策略的全局统一和自动配置。通过动态编排业务跨域传输路径，生成该跨域传输路径所需的安全防护、跨域寻址、隔离交换等资源需求，驱动其它三个分系统控制器动态编排生成相应功能服务路径，并下发流表进行流量牵引，实现跨域业务的多维协同管控。

该方法可适应多安全等级专网按照层级进行划分和组织的架构特点，在布式架构的跨域互联网络系统中，具有提供跨域业务管控的分级管理和策略一致性能力，可实现跨域传输业务多级协同的联动管控。本方法基于统一的技术体制，从安全防护、业务管控、跨域寻址、隔离交换等多个维度实现了跨域传输业务的管控，并实现了不同维度之间管控策略的协同，解决了单一管控措施失效造成跨域安全风险问题。此外，本方法通过跨域传输业务的多级多维联动管控，还可解决多安全等级专网环境中跨域业务多点传输中传输策略的统一性、层次性问题。

下面为一个更具体的例子：

一种多安全等级专网环境中跨域互联网络系统的跨域业务多级多维联动管控系统，其组成结构如图1所示。针对分级部署的跨域互联网络系统，采用分级分域的管控架构，系统中部署多个分布式的、不同等级的跨域交换区，将同级别的不同跨域交换区划分为不同的区域，每个跨域交换区由其部署的跨域策略管理服务实施控制。相同级别不同跨域交换区的跨域策略管理服务接受其所属上级跨域交换区的跨域策略管理服务统一管控，全部跨域交换区的跨域策略管理服务接受跨域互联网络系统最高级跨域交换区（一级跨域交换区）的跨域策略管理服务统一管控。每个跨域交换区内均部署跨域业务传输所需的跨域安全服务、跨域寻址服务和跨域隔离交换服务，并接受本跨域交换区内跨域策略管理服务的统一管控。

在一个跨域交换区内，跨域策略管理服务、跨域安全服务、跨域寻址服务和跨域隔离交换服务等四个分系统通过各分系统控制器之间的互通协同，从策略控制、安全防护、寻址支持、隔离交换等四个不同的维度对跨域传输业务进行管控，如图2所示。

跨域策略管理服务是实现跨域互联网络多维协同管控的核心。跨域策略管理服务分系统采用服务功能链的设计思想，实现跨域管控资源全要素虚拟化设计，如图3所示。跨域策略管理服务分系统包括服务层、控制层和资源层等三层，其中，控制层执行来自服务层的管控服务策略，并控制资源层根据管控服务链策略执行数据包或流的转发处理。

跨域安全服务分系统、跨域寻址服务分系统和跨域隔离交换服务分系统采用与跨域策略管理服务分系统一致的设计思想和系统架构，从而可以通过分系统控制器之间的通信实现分系统之间的协同。

跨域策略管理服务根据业务跨域传输需求，动态编排生成业务的跨域传输路径，将该传输路径所需的安全防护、寻址、隔离交换等资源需求下发给跨域安全服务、跨域寻址服务和跨域隔离交换服务，跨域安全服务、跨域寻址服务和跨域隔离交换服务根据下发策略，动态编排生成相应的功能服务路径，下发流表进行跨域业务的流量牵引，为跨域业务提供各类服务，如图4所示。

在提供跨域服务的过程中，跨域安全服务、跨域寻址服务和跨域隔离交换服务将各自生成、采集的分系统态势、事件信息上报给跨域策略管理服务。跨域策略管理服务综合各分系统上报的信息，实现本跨域交换区跨域态势的综合呈现。

当跨域安全服务发现跨域流量中的安全风险时，跨域安全服务将安全事件信息上报给跨域策略管理服务，跨域策略管理服务根据安全事件信息，生成相应的处理规则，如更改已有安全功能的安全策略、添加新的安全服务、停止相应的寻址和隔离交换服务等，下发给跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统，调整其功能服务路径，实现针对跨域安全风险的多维联动响应。

总之，本发明针对分级部署的跨域互联网络系统，通过采用分级分域的管控架构，实现了统一管理下的多点受控跨域交换。通过采用统一的技术架构，实现跨域交换区内策略管理、安全、寻址、隔离交换等不同类型跨域资源的统一管理和协同联动。跨域策略管理服务根据不同类型业务的跨域传输需求，动态编排业务跨域传输路径，生成该跨域传输路径所需的安全防护、跨域寻址、隔离交换等资源需求，驱动跨域安全服务、跨域寻址服务、跨域隔离交换服务等三个分系统动态编排生成相应功能服务路径，并下发流表进行流量牵引，实现跨域业务的多维协同管控。跨域策略管理服务根据跨域安全服务、跨域寻址服务、跨域隔离交换服务等分系统上报的信息生成跨域综合态势。当发现安全事件时，跨域策略管理服务生成相应的处理规则并下发给跨域安全服务、跨域寻址服务、跨域隔离交换服务等分系统，调整其功能服务路径，实现针对跨域安全风险的多维联动响应。

本发明实现了多安全等级专网环境中跨域互联网络系统的跨域业务多级多维联动管控系统，使得分布式的部署的跨域互联网络系统能够实现分级管理、策略一致的业务管控，能够从安全防护、业务管控、跨域寻址、隔离交换等多个维度实现跨域传输业务的管控，并能够进行不同维度之间管控策略的协同，解决多安全等级专网环境下跨域业务多点传输中传输策略的统一性、层次性问题和单一管控措施失效造成跨域安全风险问题。

Claims (1)

1.一种跨域传输业务多级多维联动管控系统，其特征在于，应用于多安全等级的专网环境，包括分级部署的多个跨域交换区，每一跨域交换区内均设有控制器；每个跨域交换区的跨域资源划分为安全资源、寻址资源、隔离交换资源和策略资源，所述跨域传输业务多级多维联动管控系统划分为跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统和跨域策略管理分系统，每一分系统均包括运行于各跨域交换区相应控制器上的相应服务；

所述跨域策略管理分系统的服务包括运行于一级跨域交换区中的一级管理控制服务以及运行于其他跨域交换区中的相应层级的管理控制服务；其中，一级管理控制服务负责完成全网跨域交换管理控制的策略制定、服务审批、全网跨域服务态势呈现的功能；其他层级的管理控制服务负责完成其所在层级跨域交换区内的跨域传输控制策略制定、跨域交换资源分配、跨域交换服务审批、本地跨域服务态势呈现的功能；下级管理控制服务与上级管理控制服务通过控制器的管理控制协议互联，下级管理控制服务接受上级管理控制服务的管理，并向上级管理控制服务上报本跨域交换区的跨域服务态势；

业务跨域传输时，跨域策略管理分系统根据业务跨域传输需求，动态编排生成业务的跨域传输路径，将该传输路径所需的安全防护、跨域寻址、隔离交换资源需求下发给跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器；跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器根据跨域策略管理分系统下发的策略，动态编排生成相应的功能服务路径；跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统的控制器下发流表给各自分系统的交换机，实现跨域业务的流量牵引，为跨域业务流量提供各类服务；

在提供跨域服务的过程中，跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统将各自分系统的态势、事件信息上报给本跨域交换区的跨域策略管理分系统，跨域策略管理分系统综合各分系统上报的信息，实现本跨域交换区跨域态势的综合呈现；

当跨域安全服务分系统发现跨域流量中的安全风险时，将安全事件信息上报给跨域策略管理分系统，跨域策略管理分系统根据安全事件信息，生成相应的处理规则，并将生成的处理规则下发给跨域安全服务分系统、跨域寻址服务分系统、跨域隔离交换分系统，调整其功能服务路径，实现针对跨域安全风险的多维联动响应。

Images