CN112769814B - 综合联动协调网络安全设备的方法及系统 - Google Patents

Abstract

本发明提供一种综合联动协调网络安全设备的方法及系统。其中的方法包括：联动协调服务器接收符合统一策略格式的第一安全指令；将第一安全指令分发至各个网络安全设备，以供网络安全设备在接收第一安全指令后执行以下操作：将第一安全指令转换为符合本地安全设备策略格式的第二安全指令；将第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行第二安全指令。本发明能够及时对威胁网络安全的行为做出反应，同时，在提高网络安全性能前提下，大大降低了管理成本。

Description

综合联动协调网络安全设备的方法及系统

技术领域

本发明涉及网络安全技术领域，尤其涉及一种综合联动协调网络安全设备的方法及系统。

背景技术

在互联网中存在多种网络安全威胁，网络安全设备包括多种能够检测、审计、防御网络威胁的硬件或软件，包括防火墙、入侵检测系统、入侵防御系统等，以不同的方法维护网络安全。

网络安全设备一般基于强制访问控制，即根据事先制定的策略处理网络连接。

在网络攻击趋于频繁、复杂的情况下，静态配置的策略需要及时完善，以更有效地防御新型网络安全威胁；网络中存在不同厂家的不同型号的网络安全设备，彼此存在差异，管理成本高。现有的管理方法一般为管理员人工管理和配置，因此存在以下问题：

(1)难以及时完善多个网络安全设备的策略，整个系统的安全性下降；

(2)人工管理多个分散的、彼此存在差异的网络安全设备，管理成本过高；

(3)人工分析和完善策略，实时性不高，不能及时对网络安全威胁做出反应；

(4)人工完善策略往往依赖管理员的经验。

发明内容

本发明提供了一种综合联动协调网络安全设备的方法及系统，用以解决分散的异构网络安全设备人工修改策略效率低，难以管理以及难以协同应对网络威胁的问题，实现及时对威胁网络安全的行为做出反应，在提高网络安全性能前提下，降低管理成本。

本发明提供了一种综合联动协调网络安全设备的方法，该方法包括如下步骤：联动协调服务器接收符合统一策略格式的第一安全指令；将所述第一安全指令分发至各个网络安全设备，以供所述网络安全设备在接收所述第一安全指令后执行以下操作：将所述第一安全指令转换为符合本地安全设备策略格式的第二安全指令；将所述第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行所述第二安全指令。

根据本发明提供的综合联动协调网络安全设备的方法，所述网络安全设备在执行所述第二安全指令后，还包括：将所述第二安全指令增补至所述本地安全策略中。

根据本发明提供的综合联动协调网络安全设备的方法，所述将所述第二安全指令增补至所述本地安全策略中的同时或之后，还包括：所述联动协调服务器将所述第一安全指令同步至的预先存储的策略数据库中。

根据本发明提供的综合联动协调网络安全设备的方法，在所述第二安全指令与所述本地安全策略发生冲突的情况下，所述网络安全设备执行以下步骤：将所述本地安全策略转换成满足统一策略格式的上报策略；将与所述第二安全指令对应的第一安全指令以及所述上报策略，上传至所述联动协调服务器；所述联动协调服务器基于收到的所述第一安全指令与所述上报策略进行冲突消解，生成新策略并发送至所述网络安全设备；所述网络安全设备将所述新策略转换为符合本地安全设备策略格式的指令后，重新部署所述本地安全策略。

根据本发明提供的综合联动协调网络安全设备的方法，所述联动协调服务器基于收到的所述第一安全指令与所述上报策略进行冲突消解，生成新策略并发送至所述网络安全设备后，还包括：将所述新策略保存至所述策略数据库。

根据本发明提供的综合联动协调网络安全设备的方法，所述将所述第一安全指令分发至各个网络安全设备为：依据网络安全设备的拓扑信息和不同网络安全设备的优先信息，将所述第一安全指令分发至各个网络设备。

本发明还提供了一种综合联动协调网络安全设备的系统，该系统包括：指令发布模块、指令协同模块、策略转换模块和指令执行模块。其中，指令发布模块用于接收符合统一策略格式的第一安全指令；指令协同模块，用于将所述第一安全指令分发至各个网络安全设备；策略转换模块，用于将所述第一安全指令转换为符合本地安全设备策略格式的第二安全指令；指令执行模块，用于将所述第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行所述第二安全指令；并且，所述指令发布模块和所述指令协同模块设置于联动协调服务器中；所述策略转换模块和所述指令执行模块设置于网络安全设备中。

本发明提供的综合联动协调网络安全设备的系统中，所述指令执行模块还用于在执行所述第二安全指令后，将所述第二安全指令增补至所述本地安全策略中。

本发明提供的综合联动协调网络安全设备的系统中，所述联动协调服务器还用于在将所述第二安全指令增补至所述本地安全策略中的同时或之后，将所述第一安全指令同步至的预先存储的策略数据库中。

本发明提供的综合联动协调网络安全设备的系统中，所述网络安全设备还包括策略上报模块，该策略上报模块用于在所述第二安全指令与所述本地安全策略发生冲突的情况下，将所述本地安全策略转换成满足统一策略格式的上报策略；并将与所述第二安全指令对应的第一安全指令以及所述上报策略上传至所述联动协调服务器；

所述联动协调服务器还包括策略采集模块和策略分析模块。其中，策略采集模块用于接收来自所述策略上报模块发送的第一安全指令及上报策略；策略分析模块用于将所述第一安全指令与所述上报策略进行冲突消解，生成新策略，并发送至所述网络安全设备；并且，所述网络安全设备还用于将所述新策略转换为符合本地安全设备策略格式的指令后，重新部署所述本地安全策略。

本发明中，联动协调服务器接收符合统一策略格式的第一安全指令；将第一安全指令分发至各个网络安全设备，网络安全设备在接收第一安全指令后，将第一安全指令转换为符合本地安全设备策略格式的第二安全指令；并将第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行第二安全指令。

可以看出，联动协调服务器和分布于各地的网络安全设备配合，解决了分散的异构网络安全设备人工修改策略效率低，难以管理以及难以协同应对网络威胁的问题，因此，能够及时对威胁网络安全的行为做出反应，同时，在提高网络安全性能前提下，大大降低了管理成本。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明提供的综合联动协调网络安全设备的方法的流程示意图之一；

图2是本发明提供的综合联动协调网络安全设备的方法的流程示意图之二；

图3是本发明提供的综合联动协调网络安全设备的方法的流程示意图之三；

图4为本发明提供的综合联动协调网络安全设备的系统部署示意图；

图5为本发明提供的综合联动协调网络安全设备的系统的结构框图；

图6为本发明提供的综合联动协调网络安全设备的系统的工作原理示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合图1-图3描述本发明的综合联动协调网络安全设备的方法。

参照图1，示出了本发明综合联动协调网络安全设备的方法的流程示意图之一，包括如下步骤：

联动协调服务器：

步骤110，接收符合统一策略格式的第一安全指令；

在实施例中，统一策略格式是一种针对异构网络安全设备因为策略格式不同而难以管理的情况设计的一套统一网络安全设备信息交换格式。其中，异构为不同厂家的不同型号网络安全设备存在差异的情况。网络安全设备厂商只需根据格式的规定，设计一套能在自定义策略格式和统一策略格式间相互转换的映射程序，便可以很方便地与其它同样实现统一策略格式转换的安全设备进行信息交换。

步骤120，将第一安全指令分发至各个网络安全设备。其中，在一个实施例中，依据网络安全设备的拓扑信息和不同网络安全设备的优先信息，将第一安全指令分发至各个网络设备。

网络安全设备包括但不限于网络防火墙、安全网关、入侵检测系统和入侵防御系统。

网络安全设备：

步骤130，在接收第一安全指令后，将第一安全指令转换为符合本地安全设备策略格式的第二安全指令；

步骤140，将第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行第二安全指令。

联动协调服务器和分布于各地的网络安全设备配合，解决了分散的异构网络安全设备人工修改策略效率低，难以管理以及难以协同应对网络威胁的问题，因此，在面对网络威胁时，可以统一部署安全指令，使得分布于各地的网络安全设备可以及时对威胁网络安全的行为做出反应，同时，在提高网络安全性能前提下，大大降低了管理成本。

参照图2，示出了本发明综合联动协调网络安全设备的方法的流程示意图之一，包括如下步骤：

联动协调服务器：

步骤110，接收符合统一策略格式的第一安全指令；

步骤120，将第一安全指令分发至各个网络安全设备；

网络安全设备：

步骤130，在接收第一安全指令后，将第一安全指令转换为符合本地安全设备策略格式的第二安全指令；

步骤140，将第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行第二安全指令。

步骤150，将第二安全指令增补至本地安全策略中；

另外，还包括：

步骤160，联动协调服务器,第一安全指令同步至的预先存储的策略数据库中。策略数据库，是能够保存数据的硬件和软件，用于保存系统中所有网络安全设备的策略。

该实施例与上一实施例的区别是，增加网络安全设备本地安全策略的更新的步骤，以及，联动协调服务器中策略数据库中策略的更新的步骤，当面对相同的网络威胁时，联动协调服务器能够迅速部署，网络安全设备也可以在本地迅速做出反应。

参照图3，图3示出了网络安全设备在第二安全指令与本地安全策略发生冲突的情况下，网络安全设备与联动协调服务器所执行的操作的流程示意图：

步骤170，在第二安全指令与本地安全策略发生冲突的情况下，网络安全设备将本地安全策略转换成满足统一策略格式的上报策略；

步骤180，将与第二安全指令对应的第一安全指令以及上报策略，上传至联动协调服务器；

步骤190，联动协调服务器基于收到的第一安全指令与上报策略进行冲突消解，生成新策略并发送至网络安全设备；

步骤200，网络安全设备将新策略转换为符合本地安全设备策略格式的指令后，重新部署本地安全策略；

步骤210，将新策略保存至策略数据库。

在具体实施时，联动协调服务器与系统管理员直接交互、接受统一格式化的安全指令、对指令进行统一调度、分析策略并依据冲突策略生成新策略。

本实施例在第二安全指令与本地安全策略发生冲突的情况下，通过策略上报和策略分析，实现了安全策略的部署，于是，分布于各地的网络安全设备可以及时对威胁网络安全的行为做出反应。

下面结合一个优选实施例，对本发明综合联动协调网络安全设备的方法做进一步的详细说明。

S1、联动协调服务器通过指令发布模块等待接收符合统一策略格式的安全指令，并将接收到的安全指令发送至指令协同模块等待调度；

S2、指令协同模块依据网络安全设备的拓扑信息和网络安全设备优先信息，有序地将指令发送至各网络安全设备；

S3、网络安全设备接收到安全指令后，经策略转换模块，将符合统一策略格式的指令转换成安全设备本地形式；

S4、网络安全设备提取本地安全策略，将其与转换后的安全指令进行冲突检测；

若未发现冲突，则执行步骤S5；

若发现冲突，则执行步骤S6；

S5、网络安全设备调用指令执行模块，将安全指令部署到本地策略中，同时，联动协调服务器将指令同步至策略数据库；

S6、网络安全设备调用策略转换模块，将本地策略转换为满足统一策略格式的形式后，调用策略上报模块，将产生冲突的安全指令和本地安全策略一同上传至联动协调服务器。

S7、联动协调服务器将通过策略采集模块收集到的安全设备上报的产生冲突的指令和策略，送入策略分析模块；

S8、策略分析模块通过算法进行冲突检测后，消解冲突并产生新的策略；

S9、联动协调服务器将新策略保存至策略数据库，并再次调用指令协同模块，将新策略传回至上报的安全设备；

S10、安全设备调用策略转换模块，将新策略转换成本地安全设备策略格式后，调用指令执行模块，部署新策略集合；

S11、返回步骤S1。

本发明还公开了一种综合联动协调网络安全设备的系统，参照图4，展示了系统的部署情况。系统中应部署一个联动协调服务器，同时系统中应包含至少一个网络安全设备；所有网络安全设备与联动协调服务器建立网络连接，与联动协调服务器通信并受其控制。

如图5所示，本发明联动协调的网络安全设备的系统包括联动协调服务器1和若干网络安全设备2，联动协调服务器1包含指令发布模块101、指令协同模块102、策略采集模块103、策略分析模块104，网络安全设备2则包含策略转换模块201、指令执行模块202和策略上报模块203。

联动协调服务器1包括指令发布模块101、指令协同模块102、策略采集模块103和策略分析模块104。

联动协调服务器1用于与系统管理员直接交互、接受统一格式化的安全指令、对指令进行统一调度、分析策略并依据冲突策略生成新策略。

指令发布模块101，用于接收安全指令，并将安全指令发送至指令协同模块；其中，安全指令指出了一种特定网络威胁，以及针对该网络威胁应采取的防御措施；指令发布模块101，可接收来自外部的安全指令或来自策略数据库的策略。

指令协同模块102，用于接收来自指令发布模块的安全指令，结合网络安全设备的拓扑信息和网络安全设备优先信息，将安全指令发送至网络安全设备。

策略采集模块103用于接收网络安全设备上报的策略，并将策略发送至策略分析模块。

策略分析模块104用于接收策略采集模块发送的策略，通过策略分析算法106分析和完善，生成新策略；以及将新策略导入策略数据库，并将新策略发送至指令协同模块；指令协同模块将新策略发送至该网络安全设备。

网络安全设备2依据其策略对网络请求做出响应，包括多种能够检测、审计、分析、防御网络威胁的硬件或软件，接收并执行来自联动协调服务器1的指令；以及在经过策略转换模块后，依据本地现有策略对指令进行冲突检测，并依据检测结果，选择执行或上报操作；网络安全设备具有策略转换模块201、指令执行模块202和策略上报模块203。

策略转换模块203，用于对符合统一策略格式协议的策略或指令、网络安全设备特有的策略格式的策略或指令和用于分析的格式的策略或指令之间进行转换。

指令执行模块202用于将经过策略转换模块转换后的指令，部署到本地策略集合中；

策略上报模块203，用于在冲突检测检测到冲突后，将策略经策略转换模块，转换成符合统一策略格式的形式本地策略集合与安全指令，发送至联动协调服务器的策略分析模块进行分析。

冲突检测204，即检测策略和安全指令是否存在冲突；其中，冲突是指该网络安全设备无法按照安全指令的要求，对指定的网络威胁做出给定的措施；

策略分析模块104采用多种冲突检测算法；其中，冲突检测算法是能够检测策略和安全指令是否存在冲突的一系列方法和步骤。

策略转换模块201包含将策略或指令在统一策略格式、本地安全设备能识别的格式和用于分析的格式之间自由转换共计6个功能。

如图6所示，其示出了整个系统的运行流程。

首先，由指令发布模块101依据网络威胁发布安全指令，并由指令协同模块102依据优先级下发至各网络安全设备。

网络安全设备的收到下发的指令后，通过策略转换模块201将指令转换成本地安全设备能够识别的指令格式，交由指令执行模块202进行处理。

指令执行模块202检测指令和策略是否存在冲突，若无冲突，则策略执行后交由策略上报模块203录入策略数据库。

若检测到冲突，则由策略上报模块203上报至联动协调服务器的策略采集模块103，并经过策略分析模块104处理，得到新生成的无冲突策略。

存在冲突是指网络安全设备无法按照安全指令的要求，对安全指令中指出的特定网络威胁做出应对措施，即安全策略与安全指令存在冲突的情况。无冲突的策略经由策略转换模块转换为统一格式的格式后，由指令发布模块重新发回网络安全设备，最终由指令执行模块202更新所有策略。

策略数据库是按照一定数据结构组织、存储和管理系统中所有网络安全设备策略的仓库。

在具体实施例中，联动协调服务器的策略分析模块104需要较强的运算能力，以支持策略分析模块中的分析算法和服务器的并行操作过程；同时由于策略集规模可能较大，需要大容量内存以缓存策略和分析过程中的各类临时数据。

此外，在联动协调服务器的策略分析模块中，可使用多种冲突检测及策略纠正算法，包括但不限于基于Trie的冲突检测算法、基于位向量的冲突检测算法和基于all-matchFDD的策略纠正算法等。

本实施例采取的技术方案为：指令发布模块向指令协同模块发送统一格式的安全指令。指令协同模块调度指令发送任务。网络安全设备接收指令后，指令转换模块将指令本地化后，指令执行模块进行冲突检测，若无冲突，则执行该指令，并调用指令上报模块更新策略数据库。若有冲突，策略上报模块将本地策略和指令发送至策略采集模块。策略采集模块收集到数据后，由策略分析模块处理，生成新策略。新策略送入策略数据库，并通过网络协同模块发回该网络安全设备。

可以看出，本实施例解决了分散的异构网络安全设备人工修改策略效率低，难以管理以及协同应对网络威胁的问题。因此，本实施例能够及时对威胁网络安全的行为做出反应，同时，在提高网络安全性能前提下，大大降低了管理成本。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (8)

1.一种综合联动协调网络安全设备的方法，其特征在于，该方法包括如下步骤：

联动协调服务器接收符合统一策略格式的第一安全指令；

将所述第一安全指令分发至各个网络安全设备，以供所述网络安全设备在接收所述第一安全指令后执行以下操作：

将所述第一安全指令转换为符合本地安全设备策略格式的第二安全指令；

将所述第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行所述第二安全指令；

在所述第二安全指令与所述本地安全策略发生冲突的情况下，所述网络安全设备执行以下步骤：

将所述本地安全策略转换成满足统一策略格式的上报策略；

将与所述第二安全指令对应的第一安全指令以及所述上报策略，上传至所述联动协调服务器；

所述联动协调服务器基于收到的所述第一安全指令与所述上报策略进行冲突消解，生成新策略并发送至所述网络安全设备；

所述网络安全设备将所述新策略转换为符合本地安全设备策略格式的指令后，重新部署所述本地安全策略。

2.根据权利要求1所述的方法，其特征在于，所述网络安全设备在执行所述第二安全指令后，还包括：

将所述第二安全指令增补至所述本地安全策略中。

3.根据权利要求2所述的方法，其特征在于，所述将所述第二安全指令增补至所述本地安全策略中的同时或之后，还包括：

所述联动协调服务器将所述第一安全指令同步至的预先存储的策略数据库中。

4.根据权利要求1至3中任一项所述的方法，其特征在于，

所述联动协调服务器基于收到的所述第一安全指令与所述上报策略进行冲突消解，生成新策略并发送至所述网络安全设备后，还包括：

将所述新策略保存至所述策略数据库。

5.根据权利要求1所述的方法，其特征在于，所述将所述第一安全指令分发至各个网络安全设备为：

依据网络安全设备的拓扑信息和不同网络安全设备的优先信息，将所述第一安全指令分发至各个网络设备。

6.一种综合联动协调网络安全设备的系统，其特征在于，该系统包括：

指令发布模块，用于接收符合统一策略格式的第一安全指令

指令协同模块，用于将所述第一安全指令分发至各个网络安全设备；

策略转换模块，用于将所述第一安全指令转换为符合本地安全设备策略格式的第二安全指令；

指令执行模块，用于将所述第二安全指令与本地安全策略进行冲突检测；在未发生冲突的情况下，执行所述第二安全指令；

并且，所述指令发布模块和所述指令协同模块设置于联动协调服务器中；所述策略转换模块和所述指令执行模块设置于网络安全设备中；

所述网络安全设备还包括：

策略上报模块，用于在所述第二安全指令与所述本地安全策略发生冲突的情况下，将所述本地安全策略转换成满足统一策略格式的上报策略；并将与所述第二安全指令对应的第一安全指令以及所述上报策略上传至所述联动协调服务器；

所述联动协调服务器还包括：

策略采集模块，用于接收来自所述策略上报模块发送的第一安全指令及上报策略；

策略分析模块，用于将所述第一安全指令与所述上报策略进行冲突消解，生成新策略，并发送至所述网络安全设备；并且，

所述网络安全设备还用于将所述新策略转换为符合本地安全设备策略格式的指令后，重新部署所述本地安全策略。

7.根据权利要求6所述的综合联动协调网络安全设备的系统，其特征在于，

所述指令执行模块还用于在执行所述第二安全指令后，将所述第二安全指令增补至所述本地安全策略中。

8.根据权利要求7所述的综合联动协调网络安全设备的系统，其特征在于，

所述联动协调服务器还用于在将所述第二安全指令增补至所述本地安全策略中的同时或之后，将所述第一安全指令同步至的预先存储的策略数据库中。

Images