CN113742740A - 设备行为监督方法、装置及存储介质 - Google Patents
设备行为监督方法、装置及存储介质 Download PDFInfo
- Publication number
- CN113742740A CN113742740A CN202010477171.9A CN202010477171A CN113742740A CN 113742740 A CN113742740 A CN 113742740A CN 202010477171 A CN202010477171 A CN 202010477171A CN 113742740 A CN113742740 A CN 113742740A
- Authority
- CN
- China
- Prior art keywords
- network
- network security
- hardware
- system software
- network device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 45
- 238000012544 monitoring process Methods 0.000 title claims abstract description 24
- 238000001514 detection method Methods 0.000 claims description 5
- 230000006399 behavior Effects 0.000 abstract description 88
- 238000012795 verification Methods 0.000 description 14
- 230000008569 process Effects 0.000 description 10
- 238000012545 processing Methods 0.000 description 9
- 238000004891 communication Methods 0.000 description 8
- 238000010586 diagram Methods 0.000 description 7
- 230000003287 optical effect Effects 0.000 description 5
- 230000005540 biological transmission Effects 0.000 description 4
- 238000004590 computer program Methods 0.000 description 4
- 230000006870 function Effects 0.000 description 4
- 238000012806 monitoring device Methods 0.000 description 4
- 238000007726 management method Methods 0.000 description 3
- 239000000047 product Substances 0.000 description 3
- 230000000694 effects Effects 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000003068 static effect Effects 0.000 description 2
- 230000001960 triggered effect Effects 0.000 description 2
- 244000035744 Hura crepitans Species 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 239000006227 byproduct Substances 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 239000000835 fiber Substances 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000037361 pathway Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/602—Providing cryptographic facilities or services
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/604—Tools and structures for managing or administering access control systems
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Bioethics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computing Systems (AREA)
- Automation & Control Theory (AREA)
- Debugging And Monitoring (AREA)
Abstract
本申请公开了一种设备行为监督方法、装置及存储介质，属于网络安全技术领域。在本申请中，网络设备中可以包括一个运行于可信执行环境中的网络安全芯，该网络安全芯包括多个与网络设备的安全相关的网络安全要素。如果网络设备的系统软件或硬件中存在非预期行为程序，则在该软件或硬件中的非预期行为程序运行时，将会访问网络安全芯中的网络安全要素，这样，网络安全芯通过对系统软件或硬件访问相应的网络安全要素时所执行的相关联的行为进行监督，即可以及时发现可能会存在的非预期行为，实现了对网络设备的系统软件或硬件上可能存在的非预期行为的监督，提升了用户对于网络设备的信任。
Description
技术领域
本申请涉及计算机技术领域，特别涉及一种设备行为监督方法、装置及存储介质。
背景技术
在网络安全领域中，在一些情况下，第三方应用软件可能会被未授权用户利用来在网络设备中获得高级用户访问权限，从而获取用户数据、安装其他软件甚至劫持设备，而这将导致用户对第三方应用软件的不信任。当前，为了提升用户对第三方应用软件的信任，同时也为了保证网络设备的安全，可以通过沙箱技术对网络设备中的第三方应用软件的行为进行监督，以捕捉其中的非预期的行为。
然而沙箱技术通常仅能对第三方应用软件的行为进行监督，而对网络设备出厂时由网络设备的软硬件制造商提供的系统软件或硬件的行为无法进行监督。这样，从另一个角度来说，网络设备的软硬件制造商也就无法向用户证明网络设备的系统软件或硬件是不存在非预期行为、可以被信赖的。
发明内容
本申请提供了一种设备行为监督方法、装置及存储介质，可以用于监督网络设备中的系统软件或硬件的行为，以提高用户对网络设备的信任。所述技术方案如下：
第一方面，提供了一种设备行为监督方法，应用于网络安全芯中，所述网络安全芯运行于网络设备的可信执行环境中，所述方法包括：检测所述网络设备上的系统软件或硬件对所述网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，所述多个网络安全要素为与所述网络设备的安全相关的安全要素；对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督。
在本申请实施例中，网络设备中可以包括一个运行于可信执行环境中的网络安全芯，该网络安全芯包括多个与网络设备的安全相关的网络安全要素。网络安全芯可以检测网络设备上的软件或硬件对网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，并对软件或硬件执行的与所访问的网络安全要素相关联的行为进行监督。由于网络安全芯是运行于可信执行环境中的，且与网络设备的安全相关联的网络安全要素均置于该网络安全芯中，因此，如果网络设备的软件或硬件中存在影响网络设备安全的程序，则在该程序运行时，将会访问网络安全芯中的网络安全要素，这样，网络安全芯通过对软件或硬件访问相应的网络安全要素时所执行的相关联的行为进行监督，即可以及时发现可能会存在的非预期的行为，实现了对网络设备的系统软件或硬件上可能存在的非预期行为的监督，提升了用户对于网络设备的信任。
可选地，所述多个网络安全要素包括所述网络设备的指定收发接口、所述网络设备的账户管理权限服务接口、所述网络设备的数据加解密服务接口中的至少两种。
可选地，所述多个网络安全要素还可以包括开放平台加载要素，所谓开放平台加载要素是指用于对用户的定制软件进行加载的要素。通过该开放平台加载要素可以实现对用户定制软件的行为的监督。
可选地，所述检测所述网络设备上的系统软件或硬件对所述网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作的实现过程可以为：检测所述网络设备上的系统软件或硬件对所述指定收发接口、所述账户管理权限服务接口和所述数据加解密服务接口的访问操作。
也即，本申请实施例中可以通过检测网络设备的系统软件或硬件对指定收发接口账户管理权限服务接口和数据加解密服务接口的访问操作来对系统软件或硬件的行为进行监督。
可选地，所述当所述目标网络安全元素为所述指定收发接口时，所述对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督的实现过程可以为：对所述网络设备中的系统软件或硬件调用所述指定收发接口收发的报文的报文信息进行监督。
也即，通过检测网络设备的系统软件或硬件对指定收发接口的访问，可以实现对系统软件或硬件收发报文的行为的监督，从而保证报文收发的安全性。
可选地，当所述目标网络安全要素为所述网络设备的数据加解密服务接口时，所述对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督的实现过程可以为：通过随机数生成器生成秘钥或者获取存储的秘钥；通过所述秘钥对所述网络设备的系统软件或硬件所要发送的数据进行加密，或者，通过所述秘钥对所述网络设备的系统软件或硬件所要接收的数据进行解密。
在本申请实施例中，通过检测网络设备的系统软件或硬件对数据加解密服务接口的访问，可以实现对系统软件或硬件收发的数据的加解密管理，这样，可以避免系统软件通过伪随机数等来对收发数据进行加解密处理，保证了加解密处理的安全性。
可选地，当所述目标网络安全要素为所述网络设备的账户管理权限服务接口时，所述对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督的实现过程可以为：接收所述网络设备的系统软件或硬件发送的账户信息；根据存储的参考账户信息，对所述账户信息进行验证。
在本申请实施例中，通过检测网络设备的系统软件或硬件对账户管理权限服务接口的访问，可以实现对系统软件的账户和管理权限的管理，避免系统软件获得非预期的管理权限从而执行非预期行为，保证了网络设备的安全。
第二方面，提供了一种设备行为监督装置，所述设备行为监督装置具有实现上述第一方面中设备行为监督方法行为的功能。所述设备行为监督装置包括至少一个模块，该至少一个模块用于实现上述第一方面所提供的设备行为监督方法。
第三方面，提供了一种网络设备，所述网络设备的结构中包括处理器和存储器，所述处理器可以包括网络安全芯，所述网络安全芯运行于可信执行环境中，所述存储器用于存储支持所述网络安全芯执行上述第一方面所提供的设备行为监督方法的程序，以及存储用于实现上述第一方面所提供的设备行为监督方法所涉及的数据。所述网络安全芯被配置为用于执行所述存储器中存储的程序。所述存储设备的操作装置还可以包括通信总线，该通信总线用于该处理器与存储器之间建立连接。
第四方面，提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述第一方面所述的设备行为监督方法。
第五方面，提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第一方面所述的设备行为监督方法。
上述第二方面、第三方面、第四方面和第五方面所获得的技术效果与第一方面中对应的技术手段获得的技术效果近似，在这里不再赘述。
本申请提供的技术方案带来的有益效果至少包括：
在本申请实施例中，网络设备中可以包括一个运行于可信执行环境中的网络安全芯，该网络安全芯包括多个与网络设备的安全相关的网络安全要素。网络安全芯可以检测网络设备上的软件或硬件对网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，并对软件或硬件执行的与所访问的网络安全要素相关联的行为进行监督。由于网络安全芯是运行于可信执行环境中的，且与网络设备的安全相关联的网络安全要素均置于该网络安全芯中，因此，如果网络设备的软件或硬件中存在影响网络设备安全的程序，则在该程序运行时，将会访问网络安全芯中的网络安全要素，这样，网络安全芯通过对软件或硬件访问相应的网络安全要素时所执行的相关联的行为进行监督，即可以及时发现可能会存在的非预期的行为，实现了对网络设备的系统软件或硬件上可能存在的非预期行为的监督，提升了用户对于网络设备的信任。
附图说明
图1是本申请实施例提供的一种网络设备的结构示意图；
图2是本申请实施例提供的一种设备行为监督方法流程图；
图3是本申请实施例提供的一种网络安全芯对网络设备的报文收发进行监督的示意图；
图4是本申请实施例提供的一种网络安全芯对网络设备的数据加解密进行监督的示意图；
图5是本申请实施例提供的一种设备行为监督装置的示意图。
具体实施方式
为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。
在对本申请实施例进行详细的解释说明之前，先对本申请实施例涉及的应用场景予以介绍。
在网络安全领域中，非预期行为程序是指授权和未授权用户能够绕过正常安全措施并在计算机系统、网络或应用程序上获得高级用户访问权限的任何程序。一旦通过非预期行为程序进入，网络犯罪分子就可以通过该程序来窃取数据，安装其他软件甚至劫持设备。
其中，非预期行为程序大多数情况下会由第三方应用软件引入，然而，在某些情况下，用户可能也会担心非预期行为程序并非由第三方应用软件引入，而是由设备的系统软件或硬件制造商所提供的产品引入。
当前，对于由第三方应用软件引入的非预期行为程序的担忧，可以基于对设备的软件或硬件制造商的产品的信任，在其提供的系统软件以及硬件上设置检测程序来进行检测，以保证第三方应用软件的安全。然而，对于由设备的系统软件或硬件制造商提供的产品所引入的非预期行为程序的担忧，该通过什么样的方法来对其进行检测以向用户证明其安全呢？本申请实施例提供的设备行为监督方法即可以用于此种场景中，用于对设备的系统软件或硬件制造商提供的产品的行为进行监督，以向用户证明网络设备的系统软件或硬件的安全，提升用户对网络设备的信任。
接下来对本申请实施例涉及的实施环境进行介绍。
本申请实施例提供了一种设备行为监督方法，该方法可以应用于网络设备中。该网络设备可以为诸如智能手机、平板电脑等用户设备，也可以为边缘计算设备，例如路由器、交换机等设备。图1是本申请实施例提供的一种网络设备100的结构示意图，如图1所示，该网络设备100可以包括处理器101，通信总线102，存储器103以及至少一个通信接口104。
处理器101可以是一个通用中央处理器(Central Processing Unit，CPU)，特定应用集成电路(application-specific integrated circuit，ASIC)，图形处理器(graphicsprocessing unit，GPU)或其任意组合。处理器101可以包括一个或多个芯片，在本申请实施例中，在一种可能的实现方式中，该一个或多个芯片中可以包括一个网络安全芯，该网络安全芯运行于该网络设备的可信执行环境(trusted execution environment，TEE)中。
通信总线102可包括在计算设备100各个部件(例如，处理器101、存储器103、通信接口104)之间传送信息的通路。
存储器103可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其它类型的静态存储设备，随机存取存储器(random access memory，RAM))或者可存储信息和指令的其它类型的动态存储设备，也可以是电可擦可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、只读光盘(CompactDisc Read-Only Memory，CD-ROM)或其它光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其它磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其它介质，但不限于此。存储器103可以是独立存在，通过通信总线102与处理器101相连接。存储器103也可以和处理器101集成在一起。存储器103可以存储计算机指令。当存储器103中存储的计算机指令被处理器101中的网络安全芯执行时，可以实现本申请的设备行为监督方法。可选地，在另一种可能的实现方式中，处理器101中可以不包括一个专门的网络安全芯，在这种情况下，当存储103中存储的计算机指令被处理器101执行时，可以实现本申请的设备行为监督方法，也即，在本申请实施例中，网络安全芯可以是一个软件模块。另外，存储器103中还可以存储有处理器在执行上述方法的过程中所需的数据以及所产生的中间数据和/或结果数据。
通信接口104，使用任何收发器一类的装置，用于与其它设备或通信网络通信，如以太网，无线接入网(RAN)，无线局域网(Wireless Local Area Networks，WLAN)等。
在具体实现中，作为一种实施例，处理器101可以包括一个或多个CPU。
在具体实现中，作为一种实施例，计算机设备可以包括多个处理器。这些处理器中的每一个可以是一个单核(single-CPU)处理器，也可以是一个多核(multi-CPU)处理器。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。
接下来对本申请实施例提供的设备行为监督方法进行介绍。
图2是本申请实施例提供的一种设备行为监督方法的流程图。该方法可以由前述的网络设备中的网络安全芯执行，且由前述介绍可知，网络安全芯可以是一个硬件装置，也可以是一个软件模块，且网络安全芯运行于网络设备的可信执行环境中。参见图2，该方法包括以下步骤：
步骤201：检测网络设备上的系统软件或硬件对网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，该多个网络安全要素为与网络设备的安全相关的安全要素。
在本申请实施例中，网络安全芯运行于网络设备的可信执行环境中。示例性地，网络安全芯可以运行于内核态或者是超级监督者(hypervisor)层。这样，对于用户来说，可以保证该网络安全芯是可信任的。
需要说明的是，网络安全芯的验证信息可以由用户掌握，这样，在网络设备启动时，可以先加载网络安全芯。其中，在加载网络安全芯时，可以由用户通过验证信息来进行验证，验证通过之后，加载网络安全芯，使其运行于内核态或超级监督者层。在网络安全芯加载完毕之后，可以在网络安全芯的基础上加载系统软件或硬件，从而使得运行于可信执行环境中的网络安全芯可以对在其基础上加载的系统软件或硬件进行监督。
在本申请实施例中，与网络设备的安全相关的安全要素是指可以被非预期行为程序利用以执行一些非预期行为的一些要素，本申请实施例可以将这些安全要素置于网络安全芯中，由网络安全芯进行统一监督。所谓非预期行为可以是指不在用户所预期的该程序的行为范围之内的且影响网络设备的安全的一些行为。例如，假设对于某个程序，用户预期的该程序的行为为播放音视频，而该程序还会自行执行获取用户其他数据的行为，而获取用户数据的行为即不在用户所预期的该程序的行为范围之内，且该获取用户数据的行为将会影响到用户的隐私安全，因此，此时，该获取用户数据的行为即为非预期行为。
示例性地，与网络设备的安全相关的多个网络安全要素可以包括网络设备的指定收发接口、网络设备的账户管理权限服务接口、网络设备的数据加解密服务接口中的至少两种。相应地，检测网络设备上的软件或硬件对网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作可以是指检测网络设备上的系统软件或硬件对指定收发接口、账户管理权限服务接口和数据加解密接口中的任一接口的访问操作。
其中，网络设备的指定收发接口可以包括软件收发接口和硬件收发接口。由于系统软件在进行报文收发时通常需要调用socket接口来实现，因此，该软件收发接口可以包括socket接口。基于此，网络安全芯可以实时检测是否存在系统软件对socket接口的调用操作，以此来实现对系统软件的报文收发的监督。
另外，硬件收发接口可以是指该网络设备的报文的出端口和入端口。需要说明的是，报文在从网络设备发出时，可能会经过该网络设备内的多个硬件。这些硬件中可能会存在某些硬件对报文进行诸如修改等非预期操作。基于此，网络安全芯可以对报文的边缘出端口，也即该网络设备在发送报文时最后用于发出该报文的端口进行监督。同理，当网络设备通过边缘入端口接收到一个报文时，该报文可能同样会经过该网络设备的多个硬件，在这种情况下，则可以对该报文经过的最后一个硬件的入端口进行监督。基于上述描述，网络安全芯可以检测是否存在对上述报文的出端口和入端口的访问操作，以此来实现对硬件的报文收发的监督。
网络设备的账户管理权限服务接口是指提供管理该网络设备的用户账号、用户权限的服务的接口。也即，当系统软件或者是其他应用软件通过某个用户账号获取某种用户权限时，即可以调用网络安全芯中的该服务接口，这样，网络安全芯即可以对用户账号和权限进行验证，以决定是否允许相应地软件进行后续操作。基于此，网络安全芯可以检测系统软件对该账户管理权限服务接口的调用操作，以此来实现对系统软件的权限的监督。
网络设备的数据加解密服务接口是指提供数据加密和解密服务的接口。也即，当系统软件在进行数据报文收发需要进行数据加解密服务时，即可以调用该接口，相应地，网络安全芯可以通过检测系统软件对该接口的调用操作来提供数据加解密服务，以实现对数据加解密的监督。
可选地，网络安全要素还可以包括开放平台加载要素。在一些可能的实现方式中，所谓开放平台加载要素可以是指网络安全芯中包括多个公共服务调用接口。当网络设备的系统软件或者是第三方软件无法满足用户的需求时，用户可以自行定制符合自身需求的定制软件。在这种情况下，网络安全芯可以提供用于实现定制软件的公共服务调用接口。当定制软件加载时，需要调用公共服务调用接口，这样，网络安全芯即可以通过检测对这多个公共服务调用接口的调用操作来实现对定制软件的监督。
在另一些可能的实现方式中，开放平台加载要素可以是指网络安全芯包括用于向用户提供定制软件加载服务的虚拟机或容器。在这种情况下，网络安全芯可以通过检测对虚拟机或容器的访问操作来实现对该定制软件的监督。
步骤202：对网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督。
当网络安全芯检测到网络设备上的系统软件或硬件对网络安全芯中任一网络安全要素的访问操作时，可以对该系统软件或硬件所执行的与所访问的目标网络安全要素相关联的行为进行监督。
需要说明的是，当该系统软件或硬件所访问的目标网络安全要素不同时，网络安全芯所监督的内容也不同。接下来将分别介绍网络设备的系统软件或硬件访问不同网络安全要素时，网络安全芯进行监督的实现方式。
(一)目标网络安全要素为指定收发接口。
其中，如步骤201中所述，指定收发接口可以包括软件收发接口和硬件收发接口。基于此，在一种可能的情况中，当检测到系统软件对软件收发接口的调用操作时，网络安全芯可以获取调用该软件收发接口收发的报文的报文信息。其中，该报文信息可以包括报文的五元组信息、协议号或应用层的敏感信息中的至少一种。网络安全芯可以通过对获取到的报文信息进行验证，来检测该报文是否为非法报文。
例如，对于待发送的报文，网络安全芯可以检测该报文的目的IP地址是否存在于存储的IP地址列表中，其中IP地址列表包括多个合法的目的IP地址。如果该报文的目的IP地址存在于该IP地址列表中，则可以确定该报文为合法报文，否则，可以确定该报文为非法报文，从而禁止该报文的发送。
在另一种可能的情况中，当检测到对硬件收发接口的访问操作时，网络安全芯可以获取通过该硬件收发接口收发的报文的验证信息，进而通过对获取到的验证信息进行验证，来检测该报文是否为非法报文。
需要说明的是，网络安全芯中可以存储有硬件中断程序。当网络设备的硬件通过端口收发报文时，会触发硬件中断，此时，将会调用网络安全芯中的硬件中断程序来处理该硬件中断，在这种情况下，网络安全芯即可以检测到对硬件收发接口的访问操作。之后，网络安全芯在通过硬件中断程序来处理该硬件中断时，可以对报文进行分析和处理，以获取报文中携带的验证信息。之后，网络安全芯可以对该验证信息进行验证，以检测该报文是否为非法报文。
其中，对于接收到的报文，该验证信息可以是该网络设备中在第一个接收到该报文的硬件端口处根据该报文的内容生成的验证信息，对于待发送的报文，该验证信息可以是生成该报文时根据该报文的内容生成的验证信息。这样，网络安全芯通过对该验证信息进行验证，即可以确定报文在途径网络设备的各个硬件时是否被篡改。如果通过验证后发现该报文被篡改，则网络安全芯可以禁止对该报文的后续操作。例如，对于待发送报文，可以禁止后续通过出端口发送该报文的操作，对于接收到的报文，则可以禁止对该报文的进一步处理。
图3是本申请实施例示出的一种网络安全芯对网络设备的报文收发进行监督的示意图。如图3所示，网络安全芯中包括socket接口和硬件输入输出I/O接口，系统软件在进行报文发送时，可以调用网络安全芯中的socket接口，网络安全芯在检测到socket接口的调用操作时，对报文信息进行验证，如果验证通过，可以通过硬件I/O接口发送该报文。由于网络安全芯还监督有I/O接口，因此，在检测到对I/O接口的访问操作时，网络安全芯可以对报文的验证信息进行验证，进而决定是否通过该I/O接口来发送该报文。
(二)目标网络安全要素为数据加解密服务接口
当网络设备进行数据收发时，可能需要进行数据的加解密，基于此，当检测到对数据加解密服务接口的调用操作时，可以获取收发数据，进而对收发数据进行加解密处理。其中，对于待发送的数据，网络安全芯可以对其进行加密处理，对于接收到的数据，网络安全芯可以进行解密处理。
示例性地，在一种可能实现方式中，网络安全芯可以通过随机数生成器生成秘钥，之后，通过生成的秘钥对网络设备的系统软件或硬件所要发送的数据进行加密，或者，通过秘钥对网络设备的系统软件或硬件所要接收的数据进行解密。
需要说明的是，在本申请实施例中，网络安全芯可以通过随机数生成器，采用安全协议互联网安全协议(internet protocol security，IPsec)，安全外壳协议(secureshell，SSH)，安全套接字协议(secure sockets layer，SSL)和安全传输层协议(transportlayer security，TLS)中的任一种协议生成秘钥。
网络安全芯通过随机数生成器采用上述协议来生成秘钥对网络设备的收发报文进行加解密处理，可以避免系统软件生成伪随机数来对收发报文进行加解密处理，保证了加解密处理的安全性。
可选地，在另一种可能的实现方式中，采用秘密共享算法，将私钥置于网络安全芯中。这样，在检测到对数据加解密服务接口的调用操作时，可以获取存储的秘钥，进而通过该存储的秘钥对网络设备的软件或硬件所要发送的数据进行加密，或者，通过秘钥对网络设备的软件或硬件所要接收的数据进行解密。
另外，在一些可能的情况中，由于通常收发报文均需要进行加解密处理，因此，当网络安全芯检测到系统软件调用socket接口进行报文收发时，即可以触发对收发报文的加解密处理。也就是说，在本申请实施例中，网络安全芯对收发数据的加解密管理也可以是通过对socket接口的监督来实现的，换句话说，上述的数据加解密服务接口也可以是socket接口。当然，数据加解密服务接口也可以是socket接口之外的另一个接口，本申请实施例对此不作限定。
图4是本申请实施例示出的一种网络安全芯对网络设备的数据加解密进行监督的示意图。如图4所示，网络安全芯中包括socket接口，当系统软件在进行报文收发时，可以调用网络安全芯中的socket接口。网络安全芯在检测到socket接口的调用操作时，通过随机数生成器生成私钥或者是获取存储的私钥，之后，对报文进行加解密处理，进而实现对收发数据的加解密管理。
(三)目标网络安全要素为账户管理权限服务接口
在本申请实施例中，可以将网络设备的用户的用户账号、用户密码以及用户账号对应的管理权限作为参考账户信息存储于网络安全芯中。在此基础上，当检测到该网络设备的软件或硬件对账户管理权限服务接口的调用操作时，网络安全芯可以接收该软件或硬件发送的账户信息，并根据存储的参考账户信息，对该账户信息进行验证。
示例性地，当系统软件登录某个用户账号时，可以调用网络安全芯的账户管理权限服务接口。网络安全芯在检测到对该账户管理权限服务接口的调用操作之后，可以获取系统软件发送的用户账号和用户密码，并根据存储的参考账户信息包括的用户账号和用户密码对该系统软件登录时的用户账号和用户密码进行验证，如果验证通过，则允许该系统软件登录该用户账号，并通过该用户账号对应的管理权限执行后续操作。当然，如果验证未通过，则网络安全芯则可以禁止该系统软件的后续操作。
可选地，在一些可能的情况中，系统软件在登录某个用户账号之后，在运行的过程中可能需要使用到某种管理权限，此时，系统软件也可以调用该账户管理权限服务接口以请求管理权限。网络安全芯在检测到对该账户管理权限服务接口的调用操作之后，可以验证系统软件请求的管理权限是否为该系统软件登录的用户账号所具有的管理权限。如果系统软件请求的管理权限为该系统软件登录的用户账号所具有的管理权限，则允许该系统软件的请求，后续，该系统软件则可以使用该管理权限。如果系统软件请求的管理权限不为该系统软件登录的用户账号所具有的管理权限，则拒绝该系统软件的请求，后续，该系统软件则无法使用该管理权限。
(四)目标网络安全要素为开放平台加载要素
由前述介绍可知，开放平台加载要素可以是指网络安全芯中包括多个公共服务调用接口。在这种情况下，当加载用户的定制软件时，可以调用该多个公共服务调用接口中的一个或多个接口。网络安全芯在检测到定制软件对该一个或多个接口的调用操作时，可以对该定制软件执行的操作进行监督。
可选地，当开放平台加载要素是指网络安全芯包括用于向用户提供定制软件加载服务的虚拟机或容器时，在加载定制软件时，可以访问网络安全芯的虚拟机或容器，通过该虚拟机或容器来加载该定制软件。在这种情况下，网络安全芯可以对虚拟机或容器加载的定制软件进行扫描，以检测该定制软件中是否存在非预期行为程序，除此之外，网络安全芯还可以对该定制软件执行的操作进行监督。
需要说明的是，上述是本申请实施例示例性的给出的针对网络安全要素的一些监督方法，在一些可能的场景中，根据监督需求的不同，网络安全芯针对每种网络安全要素所进行监督的内容也不同，本申请实施例对此不做具体限定。另外，上述是本申请实施例给出的一些可能的网络安全要素的示例，在一些可能的场景中，与网络设备的安全相关的网络安全要素还可以包括其他，也即，但凡会被非预期行为程序利用进行非预期操作的一些网络安全要素，均可以被置于网络安全芯中，并且，网络安全芯可以根据实际监督需要，对其进行相应的监督，本申请实施例对此也不作限定。
在本申请实施例中，网络设备中可以包括一个运行于可信执行环境中的网络安全芯，该网络安全芯包括多个与网络设备的安全相关的网络安全要素。网络安全芯可以检测网络设备上的系统软件或硬件对网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，并对系统软件或硬件执行的与所访问的网络安全要素相关联的行为进行监督。由于网络安全芯是运行于可信执行环境中的，且与网络设备的安全相关联的网络安全要素均置于该网络安全芯中，因此，如果网络设备的系统软件或硬件中存在非预期行为程序，则在该软件或硬件中的非预期行为程序运行时，将会访问网络安全芯中的网络安全要素，这样，网络安全芯通过对系统软件或硬件访问相应的网络安全要素时所执行的相关联的行为进行监督，即可以及时发现可能会存在的非预期行为，实现了对网络设备的系统软件或硬件上可能存在的非预期行为的监督，提升了用户对于网络设备的信任。
参见图5，本申请实施例提供了一种设备行为监督装置500，应用于网络安全芯中，该网络安全芯运行于网络设备的可信执行环境中，该装置包括：
检测模块501，用于执行前述实施例中的步骤201；
监督模块502，用于执行前述实施例中的步骤202。
可选地，多个网络安全要素包括网络设备的指定收发接口、网络设备的账户管理权限服务接口、网络设备的数据加解密服务接口中的至少两种。
可选地，检测模块501主要用于：
检测网络设备上的系统软件或硬件对指定收发接口、账户管理权限服务接口和数据加解密服务接口的访问操作。
可选地，当目标网络安全元素为指定收发接口时，监督模块502主要用于：
对网络设备中的系统软件或硬件调用指定收发接口收发的报文的报文信息进行监督。
可选地，当目标网络安全要素为网络设备的数据加解密服务接口时，监督模块502主要用于：
通过随机数生成器生成秘钥或者获取存储的秘钥；
通过秘钥对网络设备的系统软件或硬件所要发送的数据进行加密，或者，通过秘钥对网络设备的系统软件或硬件所要接收的数据进行解密。
可选地，当目标网络安全要素为网络设备的账户管理权限服务接口时，监督模块502主要用于：
接收网络设备的系统软件或硬件发送的账户信息；
根据存储的参考账户信息，对账户信息进行验证。
综上所述，在本申请实施例中，网络设备中可以包括一个运行于可信执行环境中的网络安全芯，该网络安全芯包括多个与网络设备的安全相关的网络安全要素。网络安全芯可以检测网络设备上的系统软件或硬件对网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，并对系统软件或硬件执行的与所访问的网络安全要素相关联的行为进行监督。由于网络安全芯是运行于可信执行环境中的，且与网络设备的安全相关联的网络安全要素均置于该网络安全芯中，因此，如果网络设备的系统软件或硬件中存在非预期行为程序，则在该软件或硬件中的非预期行为程序运行时，将会访问网络安全芯中的网络安全要素，这样，网络安全芯通过对系统软件或硬件访问相应的网络安全要素时所执行的相关联的行为进行监督，即可以及时发现可能会存在的非预期行为，实现了对网络设备的系统软件或硬件上可能存在的非预期行为的监督，提升了用户对于网络设备的信任。
需要说明的是：上述实施例提供的设备行为监督装置在进行设备行为监督时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的设备行为监督装置与设备行为监督方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意结合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如：同轴电缆、光纤、数据用户线(Digital Subscriber Line，DSL))或无线(例如：红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如：软盘、硬盘、磁带)、光介质(例如：数字通用光盘(Digital Versatile Disc，DVD))、或者半导体介质(例如：固态硬盘(Solid State Disk，SSD))等。
本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。
以上所述为本申请提供的实施例，并不用以限制本申请，凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。
Claims (13)
1.一种设备行为监督方法，其特征在于，应用于网络安全芯中，所述网络安全芯运行于网络设备的可信执行环境中，所述方法包括：
检测所述网络设备上的系统软件或硬件对所述网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，所述多个网络安全要素为与所述网络设备的安全相关的安全要素；
对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督。
2.根据权利要求1所述的方法，其特征在于，所述多个网络安全要素包括所述网络设备的指定收发接口、所述网络设备的账户管理权限服务接口、所述网络设备的数据加解密服务接口中的至少两种。
3.根据权利要求2所述的方法，其特征在于，所述检测所述网络设备上的系统软件或硬件对所述网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，包括：
检测所述网络设备上的系统软件或硬件对所述指定收发接口、所述账户管理权限服务接口和所述数据加解密服务接口的访问操作。
4.根据权利要求3所述的方法，其特征在于，所述当所述目标网络安全元素为所述指定收发接口时，所述对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督，包括：
对所述网络设备中的系统软件或硬件调用所述指定收发接口收发的报文的报文信息进行监督。
5.根据权利要求3所述的方法，其特征在于，当所述目标网络安全要素为所述网络设备的数据加解密服务接口时，所述对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督，包括：
通过随机数生成器生成秘钥或者获取存储的秘钥；
通过所述秘钥对所述网络设备的系统软件或硬件所要发送的数据进行加密，或者，通过所述秘钥对所述网络设备的系统软件或硬件所要接收的数据进行解密。
6.根据权利要求3所述的方法，其特征在于，当所述目标网络安全要素为所述网络设备的账户管理权限服务接口时，所述对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督，包括：
接收所述网络设备的系统软件或硬件发送的账户信息；
根据存储的参考账户信息，对所述账户信息进行验证。
7.一种设备行为监督装置，其特征在于，应用于网络安全芯中，所述网络安全芯运行于网络设备的可信执行环境中，所述装置包括：
检测模块，用于检测所述网络设备上的系统软件或硬件对所述网络安全芯中的多个网络安全要素中的任一网络安全要素的访问操作，所述多个网络安全要素为与所述网络设备的安全相关的安全要素；
监督模块，用于对所述网络设备上的系统软件或硬件执行的与所访问的目标网络安全要素相关联的行为进行监督。
8.根据权利要求7所述的装置，其特征在于，所述多个网络安全要素包括所述网络设备的指定收发接口、所述网络设备的账户管理权限服务接口、所述网络设备的数据加解密服务接口中的至少两种。
9.根据权利要求8所述的装置，其特征在于，所述检测模块主要用于：
检测所述网络设备上的系统软件或硬件对所述指定收发接口、所述账户管理权限服务接口和所述数据加解密服务接口的访问操作。
10.根据权利要求9所述的装置，其特征在于，所述当所述目标网络安全元素为所述指定收发接口时，所述监督模块主要用于：
对所述网络设备中的系统软件或硬件调用所述指定收发接口收发的报文的报文信息进行监督。
11.根据权利要求9所述的装置，其特征在于，当所述目标网络安全要素为所述网络设备的数据加解密服务接口时，所述监督模块主要用于：
通过随机数生成器生成秘钥或者获取存储的秘钥；
通过所述秘钥对所述网络设备的系统软件或硬件所要发送的数据进行加密，或者，通过所述秘钥对所述网络设备的系统软件或硬件所要接收的数据进行解密。
12.根据权利要求9所述的装置，其特征在于，当所述目标网络安全要素为所述网络设备的账户管理权限服务接口时，所述监督模块主要用于：
接收所述网络设备的系统软件或硬件发送的账户信息；
根据存储的参考账户信息，对所述账户信息进行验证。
13.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有指令，当所述指令在计算机上运行时，使得计算机执行权利要求1-6任一所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010477171.9A CN113742740A (zh) | 2020-05-29 | 2020-05-29 | 设备行为监督方法、装置及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010477171.9A CN113742740A (zh) | 2020-05-29 | 2020-05-29 | 设备行为监督方法、装置及存储介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN113742740A true CN113742740A (zh) | 2021-12-03 |
Family
ID=78724771
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010477171.9A Pending CN113742740A (zh) | 2020-05-29 | 2020-05-29 | 设备行为监督方法、装置及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113742740A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116599772A (zh) * | 2023-07-14 | 2023-08-15 | 腾讯科技（深圳）有限公司 | 一种数据处理方法及相关设备 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1567808A (zh) * | 2003-06-18 | 2005-01-19 | 联想(北京)有限公司 | 一种网络安全装置及其实现方法 |
| CN101018119A (zh) * | 2007-02-09 | 2007-08-15 | 浪潮电子信息产业股份有限公司 | 基于硬件的与操作系统无关的服务器网络安全集中管理系统 |
| CN105978917A (zh) * | 2016-07-19 | 2016-09-28 | 恒宝股份有限公司 | 一种用于可信应用安全认证的系统和方法 |
| CN109787943A (zh) * | 2017-11-14 | 2019-05-21 | 华为技术有限公司 | 一种抵御拒绝服务攻击的方法及设备 |
| CN109905378A (zh) * | 2019-02-01 | 2019-06-18 | 湖北大学 | 一种网络信息安全监护方法、系统及计算机存储介质 |
-
2020
- 2020-05-29 CN CN202010477171.9A patent/CN113742740A/zh active Pending
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1567808A (zh) * | 2003-06-18 | 2005-01-19 | 联想(北京)有限公司 | 一种网络安全装置及其实现方法 |
| CN101018119A (zh) * | 2007-02-09 | 2007-08-15 | 浪潮电子信息产业股份有限公司 | 基于硬件的与操作系统无关的服务器网络安全集中管理系统 |
| CN105978917A (zh) * | 2016-07-19 | 2016-09-28 | 恒宝股份有限公司 | 一种用于可信应用安全认证的系统和方法 |
| CN109787943A (zh) * | 2017-11-14 | 2019-05-21 | 华为技术有限公司 | 一种抵御拒绝服务攻击的方法及设备 |
| CN109905378A (zh) * | 2019-02-01 | 2019-06-18 | 湖北大学 | 一种网络信息安全监护方法、系统及计算机存储介质 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116599772A (zh) * | 2023-07-14 | 2023-08-15 | 腾讯科技（深圳）有限公司 | 一种数据处理方法及相关设备 |
| CN116599772B (zh) * | 2023-07-14 | 2024-04-09 | 腾讯科技（深圳）有限公司 | 一种数据处理方法及相关设备 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11637696B2 (en) | End-to-end communication security | |
| US11075955B2 (en) | Methods and systems for use in authorizing access to a networked resource | |
| US8909930B2 (en) | External reference monitor | |
| US9294478B2 (en) | Hardware-based device authentication | |
| US10650139B2 (en) | Securing temporal digital communications via authentication and validation for wireless user and access devices with securitized containers | |
| CN105260663A (zh) | 一种基于TrustZone技术的安全存储服务系统及方法 | |
| CN103843303A (zh) | 虚拟机的管理控制方法及装置、系统 | |
| CN114553540B (zh) | 基于零信任的物联网系统、数据访问方法、装置及介质 | |
| CN114884647A (zh) | 网络访问管理方法及相关设备 | |
| CN113742740A (zh) | 设备行为监督方法、装置及存储介质 | |
| CN112312392B (zh) | 适用于移动设备的数据获取方法、系统和存储介质 | |
| CN114978544A (zh) | 一种访问认证方法、装置、系统、电子设备及介质 | |
| AT&T | ||
| Patel et al. | Security hazards attacks and its prevention techniques in cloud computing: A detail review | |
| CN113438242A (zh) | 服务鉴权方法、装置与存储介质 | |
| Shen et al. | A trusted computing technology enabled mobile agent system | |
| KR102534012B1 (ko) | 컨텐츠 제공자의 보안등급을 인증하는 시스템 및 그 방법 | |
| CN113271598B (zh) | 一种面向电力5g网络的边缘安全防护架构 | |
| Riaz et al. | Access control for fog/cloud enabled iots | |
| US20230351028A1 (en) | Secure element enforcing a security policy for device peripherals | |
| Li et al. | Establishing a trusted architecture on pervasive terminals for securing context processing | |
| Malaj | Review of cybersecurity hardware devices | |
| KR101292760B1 (ko) | 이-디알엠 보안 관리 시스템 및 그 보안 방법 | |
| Milenkovic et al. | Chapter 5: Security and Management | |
| Liguori et al. | Mitigating cyber-security risks using MILS |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |