CN113328996B - 一种基于目标感知的安全策略智能配置方法 - Google Patents

Abstract

本发明公开了一种基于目标感知的安全策略智能配置方法，通过设计目标实时感知、策略智能生成、策略分析检测、策略智能优化的流程，将策略智能配置与防御目标状态紧密关联，实现安全防护策略的智能配置、快速响应和持续优化，协助安全运维人员快速配置安全防护策略，及时高效的应对各种网络安全威胁。

Description

一种基于目标感知的安全策略智能配置方法

技术领域

本发明属于信息安全领域，尤其涉及一种基于目标感知的安全策略智能配置方法。

背景技术

随着计算机网络技术的快速发展，各类信息网络规模发展的愈加庞大复杂，在信息技术快速演进，网络和信息系统面临的各类安全威胁日趋严重的背景下，企业在信息安全防护方面的意识逐步加强，通过部署主机、网络、应用、数据等多层安全防护手段保护敏感数据和系统的安全，这也使得信息网络的规模和复杂度进一步增加。对于企业的安全管理和运维人员而言，通常需要同时对所辖网络的多个安全区域进行管理和维护，对多种安全防护设备的策略进行配置和检查，针对各种网络突发事件进行策略调整。然而，在大规模网络中安全防护设备的种类及数量重多，不同类设备的策略配置方式各异，同类设备在不同使用场景下的策略配置需求也有所区别和侧重，安全策略配置的正确性对网络连通性、业务可用性等也存在复杂的影响。

随着安全策略控制粒度的日趋细化，对安全管理运维人员的专业能力提出了较高的要求，策略配置工作量大且人工操作难免出现失误，这些疏忽为攻击者留下可乘之机。同时，在人工智能、机器学习等智能化信息技术发展的背景下，网络攻击手段也呈现智能化趋势，攻击者可以根据目标情况实施针对性的攻击手段，也可根据目标特点变换攻击方式，这也促使网络安全防护系统必须借助智能化的手段及时发现问题、快速调整策略和实施准确响应，网络安全策略配置技术的研究也逐步朝自动化和智能化的方向发展，涌现出了基于自学习、基于防御意图等的多种策略自动生成和验证分析方法，但是在安全策略配置与防御目标的适配性和适应性方面还有待进一步提升。

发明内容

本发明的目的在于，为克服现有技术缺陷，提供了一种基于目标感知的安全策略智能配置方法，通过设计目标实时感知、策略智能生成、策略分析检测、策略智能优化的流程，将策略智能配置与防御目标状态紧密关联，实现安全防护策略的智能配置、快速响应和持续优化，协助安全运维人员快速配置安全防护策略，及时高效的应对各种网络安全威胁。

本发明目的通过下述技术方案来实现：

一种基于目标感知的安全策略智能配置方法，所述安全策略智能配置方法至少包括：目标感知步骤，通过主动探测和/或被动监听方式，获取目标网络的节点信息、流量信息、拓扑信息和威胁信息，并分析感知目标网络的状态；策略生成步骤，基于目标感知步骤获得的感知数据，得到目标网络的资产、会话、链路和威胁信息，并通过目标环境学习、处置预案匹配、端到端互通需求和安全防护意图识别完成防护策略生成；分析检测步骤，针对各安全防护设备的策略对象和策略内容，对各安全防护设备的安全防护策略之间存在的冲突、覆盖、交叉、冗余情况进行检测，并进行修正；验证优化步骤，基于实时的采集的目标感知数据，验证安全防护策略是否正确配置和生效，并基于策略配置有效性验证结果，完成各设备的安全防护策略的优化。

根据一个优选的实施方式，所述目标感知步骤中的节点信息包括主机终端、服务器和安全设备的状态和配置信息；且节点信息的获取为，通过主动发包探测结合终端探针获取：在线状态、进程及服务启动情况、硬件和操作系统指纹特征、资源使用情况和安全策略配置信息。

根据一个优选的实施方式，所述目标感知步骤中的流量信息获取为：基于交换机获取的镜像流量或者网络探针采集的流量数据，分析梳理得到节点间的会话关系；所述目标感知步骤中的拓扑信息获取为：基于主动发包扫描结合网络设备联动获取物理连接数据，并分析得到目标网络的物理拓扑；所述目标感知步骤中的威胁信息获取为：通过采集终端和/或设备的告警数据，获取终端节点、设备节点的异常事件、非法终端接入、网络违规访问和业务越权访问信息。

根据一个优选的实施方式，所述策略生成步骤中目标环境自学习的方法包括：通过匹配目标感知阶段获取的网络流量会话关系生成网络访问控制白名单策略；通过匹配终端节点进程运行情况自动生成软件白名单策略，通过匹配节点业务访问情况自动生成业务权限策略。

根据一个优选的实施方式，所述策略生成步骤中处置预案匹配的方法包括，将目标感知阶段发现的事件告警与预案库中的处置规则进行关联分析，并在满足处置规则触发条件时，根据预案库生成相应的应急处置策略。

根据一个优选的实施方式，所述策略生成步骤中端到端互通需求的方法包括：由系统根据目标感知步骤发现的网络拓扑，自动将地址及服务对象互通要求分解为链路上各设备需要配置的访问控制策略，然后逐个下发至链路上的所有设备。

根据一个优选的实施方式，所述策略生成步骤中安全防护意图识别的方法包括：将安全防护需求通过形式化描述方法转换为标准化的安全防护意图描述，然后通过特征识别将安全防护意图转换分解为具体的策略配置命令，最后结合策略知识库生成设备可识别的具体安全策略模板，实现从需求到具体策略的智能化配置。

根据一个优选的实施方式，所述分析检测步骤中进行分析检测的方法不限于为基于多维空间、基于Ponder和角色、基于有向图模型、基于有限状态机和基于PDL逻辑编程进行检测。

根据一个优选的实施方式，所述验证优化步骤中对各设备的安全防护策略的优化的过程包括协助安全运维管理员对空策略、未引用策略、隐藏策略、冗余策略、可合并策略和过期策略进行精简和调整。

前述本发明主方案及其各进一步选择方案可以自由组合以形成多个方案，均为本发明可采用并要求保护的方案；且本发明，(各非冲突选择)选择之间以及和其他选择之间也可以自由组合。本领域技术人员在了解本发明方案后根据现有技术和公知常识可明了有多种组合，均为本发明所要保护的技术方案，在此不做穷举。

本发明的有益效果：本发明的安全策略智能配置方法，以目标环境感知为基础支撑，在策略配置时使用智能化的方法与防御目标状态紧密关联，能够更精准的定位目标环境安全威胁，实现安全防护策略的准确、智能、快速配置并持续优化，协助安全管理运维人员及时高效的应对各种网络安全威胁。

附图说明

图1是本发明基于目标感知的安全策略智能配置方法的体系模型；

图2是本发明基于目标感知的安全策略智能配置方法的实施架构图；

图3是本发明方法中的目标感知方法示意图；

图4是本发明方法中的策略生成方法示意图；

图5是本发明方法中的基于防护意图的策略生成流程。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

需要说明的是，为使本发明实施例的目的、技术方案和优点更加清楚，下面对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。

因此，以下对本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为该发明产品使用时惯常摆放的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

此外，术语“水平”、“竖直”、“悬垂”等术语并不表示要求部件绝对水平或悬垂，而是可以稍微倾斜。如“水平”仅仅是指其方向相对“竖直”而言更加水平，并不是表示该结构一定要完全水平，而是可以稍微倾斜。

在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“设置”、“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

另外，本发明要指出的是，本发明中，如未特别写出具体涉及的结构、连接关系、位置关系、动力来源关系等，则本发明涉及的结构、连接关系、位置关系、动力来源关系等均为本领域技术人员在现有技术的基础上，可以不经过创造性劳动可以得知的。

实施例1：

参考图1至图5所示，本发明公开了一种基于目标感知的安全策略智能配置方法，所述安全策略智能配置方法至少包括：目标感知、策略生成、分析检测、验收优化四个阶段，体系模型如图1所示，四个阶段构成一个动态、闭环的工作模型，体现智能响应、持续优化的特点。

优选地，所述目标感知步骤，通过主动探测和/或被动监听方式，获取目标网络的节点信息、流量信息、拓扑信息和威胁信息，并分析感知目标网络的状态。通过综合分析感知目标网络的准确状态，为安全防护策略生成提供信息支撑。

进一步地，所述目标感知步骤中的节点信息包括主机终端、服务器和安全设备的状态和配置信息。更进一步地，节点信息的获取为，通过主动发包探测结合终端探针获取：在线状态、进程及服务启动情况、硬件和操作系统指纹特征、资源使用情况和安全策略配置信息。

进一步地，所述目标感知步骤中的流量信息获取为：基于交换机获取的镜像流量或者网络探针采集的流量数据，分析梳理得到节点间的会话关系。

进一步地，所述目标感知步骤中的拓扑信息获取为：基于主动发包扫描结合网络设备联动获取物理连接数据，并分析得到目标网络的物理拓扑。

进一步地，所述目标感知步骤中的威胁信息获取为：通过采集终端和/或设备的告警数据，获取终端节点、设备节点的异常事件、非法终端接入、网络违规访问和业务越权访问信息。

优选地，策略生成步骤，基于目标感知步骤获得的感知数据，得到目标网络的资产、会话、链路和威胁信息，并通过目标环境学习、处置预案匹配、端到端互通需求和安全防护意图识别完成防护策略生成。

优选地，所述策略生成步骤中目标环境自学习的方法包括：通过匹配目标感知阶段获取的网络流量会话关系生成网络访问控制白名单策略；通过匹配终端节点进程运行情况自动生成软件白名单策略，通过匹配节点业务访问情况自动生成业务权限策略。从而通过自动学习的策略避免了安全运维人员繁杂的策略编辑过程，策略生成之后需要运维人员排查可能存在的误学习策略条目。

优选地，所述策略生成步骤中处置预案匹配的方法包括，将目标感知阶段发现的事件告警与预案库中的处置规则进行关联分析，并在满足处置规则触发条件时，根据预案库生成相应的应急处置策略。

具体地，满足处置规则触发条件则自动根据预案库生成相应的应急处置策略，如锁屏、断网、关机、重启、限制网络访问等。

优选地，所述策略生成步骤中端到端互通需求的方法包括：由系统根据目标感知步骤发现的网络拓扑，自动将地址及服务对象互通要求分解为链路上各设备需要配置的访问控制策略，然后逐个下发至链路上的所有设备。

即是，配置人员只需关注从链路一端到另一端的地址及服务对象互通要求，由系统根据目标感知阶段发现的网络拓扑，避免策略在多个设备上的重复配置。

优选地，所述策略生成步骤中安全防护意图识别的方法包括：将安全防护需求通过形式化描述方法转换为标准化的安全防护意图描述，然后通过特征识别将安全防护意图转换分解为具体的策略配置命令，最后结合策略知识库生成设备可识别的具体安全策略模板，实现从需求到具体策略的智能化配置。

优选地，分析检测步骤，针对各安全防护设备的策略对象和策略内容，对各安全防护设备的安全防护策略之间存在的冲突、覆盖、交叉、冗余情况进行检测，并进行修正。

进一步地，策略生成阶段产生的安全策略和部分管理人员手动配置的策略可能存在冲突的情况，比如具有相同的地址对象和服务对象，但却同时允许和禁止一个动作。策略分析检测模块使用特定的检测算法对策略进行分析检测，如基于多维空间、基于Ponder和角色、基于有向图模型、基于有限状态机、基于PDL逻辑编程等。

优选地，验证优化步骤，基于实时的采集的目标感知数据，验证安全防护策略是否正确配置和生效，并基于策略配置有效性验证结果，完成各设备的安全防护策略的优化。

在网络结构复杂，安全防护设备较多的情况下，由于策略的经常变更，长时间运行后会形成很多无用的策略，在影响安全防护设备防护效能的同时也存在一定的安全隐患。

同时，通过本方法的目标感知和智能配置生成的策略也需要在实际运行过程中不断验证合理性和优化配置，验证优化过程即是协助安全运维管理员对空策略、未引用策略、隐藏策略、冗余策略、可合并策略和过期策略等进行精简和优化调整。

本发明基于目标感知的安全策略智能配置方法，以目标环境感知为基础支撑，在策略配置时使用智能化的方法与防御目标状态紧密关联，能够更精准的定位目标环境安全威胁，实现安全防护策略的准确、智能、快速配置并持续优化，协助安全管理运维人员及时高效的应对各种网络安全威胁。

实施例2

在实施例1的基础上，参考图2所示，本发明还公开了一种针对安全策略智能配置方法的实施架构。其核心是信息探测、目标感知和智能分析处理，实现快速高效的安全策略配置部署，降低安全管理运维人员的繁杂操作，辅助其进行安全防护决策。

所述实施架构包括探测层、感知层、处理层和呈现层。

所述探测层：通过数据通信接口服务，进行主动和被动的网络和目标探测，包括通过主动扫描探测发现网络节点，通过镜像等流量采集监听网络互通会话关系，通过专用接口采集安全防护设备的策略配置和日志告警信息，以及通过终端节点的代理软件采集其运行状态信息等；

所述感知层：基于探测层获取的基础数据信息，进行关联分析和智能感知，包括通过资产扫描进行节点特征识别，通过网络设备联动和流量监听绘制网络物理和逻辑拓扑，以及通过日志告警进行威胁感知等；

所述处理层：包含图1模型中的策略生成、检测分析和验证优化等功能，策略生成的方式包括策略自学习、策略智能分解、防护意图识别和应急处置预案匹配等；

所述呈现层：包含资产、拓扑、策略信息的呈现，辅助安全管理运维人员进行决策。

前述本发明基本例及其各进一步选择例可以自由组合以形成多个实施例，均为本发明可采用并要求保护的实施例。本发明方案中，各选择例，与其他任何基本例和选择例都可以进行任意组合。本领域技术人员可知有众多组合。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种基于目标感知的安全策略智能配置方法，其特征在于，所述安全策略智能配置方法至少包括：

目标感知步骤，通过主动探测和/或被动监听方式，获取目标网络的节点信息、流量信息、拓扑信息和威胁信息，并分析感知目标网络的状态；

所述目标感知步骤中的节点信息包括主机终端、服务器和安全设备的状态和配置信息；

且节点信息的获取为，通过主动发包探测结合终端探针获取：在线状态、进程及服务启动情况、硬件和操作系统指纹特征、资源使用情况和安全策略配置信息；

所述目标感知步骤中的流量信息获取为：基于交换机获取的镜像流量或者网络探针采集的流量数据，分析梳理得到节点间的会话关系；

所述目标感知步骤中的拓扑信息获取为：基于主动发包扫描结合网络设备联动获取物理连接数据，并分析得到目标网络的物理拓扑；

所述目标感知步骤中的威胁信息获取为：通过采集终端和/或设备的告警数据，获取终端节点、设备节点的异常事件、非法终端接入、网络违规访问和业务越权访问信息；

策略生成步骤，基于目标感知步骤获得的感知数据，得到目标网络的资产、会话、链路和威胁信息，并通过目标环境学习、处置预案匹配、端到端互通需求和安全防护意图识别完成防护策略生成；

所述目标环境自学习的方法包括：通过匹配目标感知阶段获取的网络流量会话关系生成网络访问控制白名单策略；通过匹配终端节点进程运行情况自动生成软件白名单策略，通过匹配节点业务访问情况自动生成业务权限策略；

所述处置预案匹配的方法包括，将目标感知阶段发现的事件告警与预案库中的处置规则进行关联分析，并在满足处置规则触发条件时，根据预案库生成相应的应急处置策略；

所述端到端互通需求的方法包括：由系统根据目标感知步骤发现的网络拓扑，自动将地址及服务对象互通要求分解为链路上各设备需要配置的访问控制策略，然后逐个下发至链路上的所有设备；

所述安全防护意图识别的方法包括：

将安全防护需求通过形式化描述方法转换为标准化的安全防护意图描述，然后通过特征识别将安全防护意图转换分解为具体的策略配置命令，最后结合策略知识库生成设备可识别的具体安全策略模板，实现从需求到具体策略的智能化配置；

分析检测步骤，针对各安全防护设备的策略对象和策略内容，对各安全防护设备的安全防护策略之间存在的冲突、覆盖、交叉、冗余情况进行检测，并进行修正；

验证优化步骤，基于实时的采集的目标感知数据，验证安全防护策略是否正确配置和生效，并基于策略配置有效性验证结果，完成各设备的安全防护策略的优化；

所述安全防护策略的优化的过程包括协助安全运维管理员对空策略、未引用策略、隐藏策略、冗余策略、可合并策略和过期策略进行精简和调整。

Images