CN115021964A - 一种基于可信验证的分布式安全监管引擎系统 - Google Patents

一种基于可信验证的分布式安全监管引擎系统 Download PDF

Info

Publication number
CN115021964A
CN115021964A CN202210473942.6A CN202210473942A CN115021964A CN 115021964 A CN115021964 A CN 115021964A CN 202210473942 A CN202210473942 A CN 202210473942A CN 115021964 A CN115021964 A CN 115021964A
Authority
CN
China
Prior art keywords
trusted
security management
management center
control
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210473942.6A
Other languages
English (en)
Inventor
韩勇桥
李文华
马帅
姚尧
邵帆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Xuanji Anchen Computing Technology Co ltd
Original Assignee
Beijing Xuanji Anchen Computing Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Xuanji Anchen Computing Technology Co ltd filed Critical Beijing Xuanji Anchen Computing Technology Co ltd
Priority to CN202210473942.6A priority Critical patent/CN115021964A/zh
Publication of CN115021964A publication Critical patent/CN115021964A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04Q—SELECTING
    • H04Q9/00—Arrangements in telecontrol or telemetry systems for selectively calling a substation from a main station, in which substation desired apparatus is selected for applying a control signal thereto or for obtaining measured values therefrom
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04Q—SELECTING
    • H04Q2209/00—Arrangements in telecontrol or telemetry systems
    • H04Q2209/80—Arrangements in the sub-station, i.e. sensing device
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供了一种基于可信验证的分布式安全监管引擎系统，包括可信安全管理中心以及监管系统；可信安全管理中心包括可信认证模块，安全管理模块，以及可信评估模块；监管系统包括控制传感器，以及用于动态监管控制传感器且根据可信安全管理中心下发策略对控制传感器实施操作的监管引擎。本发明创新性提出控制传感器，以标准接口方式采集相关可信状态数据，根据外部威胁影响经评估后实施传感器协同联动，实现协防协同；在网络环境下，基于可信计算节点可信机制，对程序、进程、文件、网络、资源等控制点为控制+传感，在实现控制功能的基础上增加传感器功能，解决现有系统只用控制功能的弱点，通过传感器，实现对网络中节点可信状态的实时监管。

Description

一种基于可信验证的分布式安全监管引擎系统
技术领域
本发明涉及到信息安全技术领域，尤其涉及到一种基于可信验证的分布式安全监管引擎系统。
背景技术
1983年，美国国防部率先制定了世界上第一个可信计算的准则，即《可信计算机系统评价准则》(Trusted Computer System Evaluation Criteria,TCSEC)，TCSEC率先提出了可信计算机(Trusted Computer)以及可信计算机TCB(Trusted Computing Base)的基本内涵与相关的理论基础。并且，其将TCB理论作为衡量与构建系统安全的重要标准与基础。在此之后,伴随着可信网络解释TNI(Trusted Network Interpretation)以及可信数据库解释TDI(Trusted Database Interpretation)两个概念的相继推出，TCSEC将计算机系统的安全性分为四个等级(A、B、C、D)八个级别，主要是通过保持最小可信组件集合及对数据的访问权限进行控制来实现系统的安全，从而达到系统可信的目的。
2003年起，可信计算组织(TCG)开始研究制定可信计算的工业标准，己经制定了可信PC、可信平台模块(TPM)、可信服务器、可信软件栈(TSS)、可信网络连接(TNC)等一系列的可信计算技术规范，旨在推动从可信部件到计算机、网络的可信计算技术应用与发展。
国内可信计算TPCM技术路线，核心为主动免疫双体系架构，基于密码体制在系统设备硬件层通过植入TPCM可信控制模块作为可信根，内置TCM模块具备可信控制功能，将密码与控制相结合，构建计算与防护并行的可信计算节点，由信任根实现对可信计算平台的主动控制；在设备软件层通过部署可信软件基软件，实现宿主机操作系统和可信软件基的双重系统核心，实现对系统的执行环境及进程行为的主动可信度量。在系统网络层，通过可信连接技术实现对接入网络源、目标平台的可信验证和控制，确保网络连接的可信性，将可信由单点拓展至整个网络。
现有可信系统完成了基于标准的基础安全机制和功能，以及相应的管理。但是存在各安全机制独立运行，而一个外部网络威胁都是会对系统资源实施综合影响，一般都会施加到网络协议、服务、程序、进程、文件等，为加强安全防护能力，有必要对基础安全机制进行协同。
现有系统安全机制注重于实现单点访问控制，粗粒度，日志信息单一，在实施访问控制时未采集相关资源信息，安全机制的控制参数基本内置，难以以标准化方式开放给外部进行感知和管理。
即现有可信技术及产品主要解决计算节点基础系统和应用环境安全防护问题。网络上主要解决可信互联。但面向网络中已知和未知威胁攻击下的系统可信评估尚需要发展。主要存在的问题：
现有的可信报告基于完整性度量日志，欠缺资源使用等感知能力，难以多种机制协同；主动防疫欠缺量化评估指标，难以直观展现防护能力。
发明内容
本发明的目的在于提供一种基于可信验证的分布式安全监管引擎系统，以解决上述背景技术中提出的问题。
本发明是通过以下技术方案实现：
本发明提供了一种基于可信验证的分布式安全监管引擎系统，该基于可信验证的分布式安全监管引擎系统包括可信安全管理中心以及监管系统；其中，
所述可信安全管理中心包括用于对可信计算节点进行可信认证的可信认证模块，基于策略安全管理的安全管理模块，以及用于对可信计算节点进行可信评估的可信评估模块；
所述监管系统包括在任意可信计算节点中运行的控制传感器，以及在任意可信计算节点中运行并用于动态监管所述控制传感器且根据所述可信安全管理中心下发策略对所述控制传感器实施操作的监管引擎。
优选的，所述控制传感器包括但不限于资源控制传感器、文件控制传感器、程序控制传感器、进程控制传感器、网络控制传感器。
优选的，所述控制传感器执行的参数包括但不限于编号、名称、管控对象、管控指令、管控上下文的参数。
优选的，所述监管引擎采集所述控制传感器可信状态信息数据并报告所述可信安全管理中心，且根据所述可信安全管理中心下发策略对所述控制传感器实施包括但不限于阻断、访问权限限制的操作。
优选的，所述可信安全管理中心按照评估模型评估可信计算节点的可信状态，所述评估模型的评估计算公式如下：
Figure BDA0003624386940000031
与现有技术相比，本发明的有益效果是：本发明创新性提出控制传感器，以标准接口方式采集相关可信状态数据，根据外部威胁影响经评估后实施传感器协同联动，实现协防协同。本发明在网络环境下，基于可信计算节点可信机制，对程序、进程、文件、网络、资源等控制点为控制+传感，在实现控制功能的基础上增加传感器功能，解决现有系统只用控制功能的弱点，通过传感器，实现对网络中节点可信状态的实时监管。
附图说明
图1是本发明实施例提供的基于可信验证的分布式安全监管引擎系统的架构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
请参阅图1，图1是本发明实施例提供的基于可信验证的分布式安全监管引擎系统的架构图。
本发明实施例提供了一种基于可信验证的分布式安全监管引擎系统，如图1所示，该基于可信验证的分布式安全监管引擎系统包括可信安全管理中心1以及监管系统2。其中，可信安全管理中心1包括用于对可信计算节点进行可信认证的可信认证模块11，基于策略安全管理的安全管理模块12，以及用于对可信计算节点进行可信评估的可信评估模块13。监管系统2包括在任意可信计算节点中运行的控制传感器21，以及在任意可信计算节点中运行并用于动态监管控制传感器21且根据可信安全管理中心1下发策略对控制传感器21实施操作的监管引擎22。
在本发明实施方案中，可信安全管理中心1可对可信计算节点进行策略管理、配置管理、数据管理、状态管理和可信评估，在可信评估完成后根据受到的攻击状况对计算节点进行策略协同。可信计算节点基于可信安全机制，部署有监管引擎22，监管引擎22运行时常驻计算节点系统内存中，监管引擎22用于采集控制传感器21可信状态信息数据并报告可信安全管理中心1，并且根据可信安全管理中心1下发策略对控制传感器21实施包括但不限于阻断、访问权限限制的操作。
具体来说，可信计算节点基于可信安全机制，部署有监管引擎22，监管引擎22常驻计算节点系统内存中，接受并执行可信安全管理中心1下发的策略。可信计算节点基于可信安全机制，部署控制传感器21，控制传感器21包括但不限于资源控制传感器211、文件控制传感器212、程序控制传感器213、进程控制传感器214、网络控制传感器215。即控制传感器21包括但不限于资源、文件、程序、进程、网络等控制传感器，各控制传感器分别实现对相关资源的授权访问控制。
在本发明实施方案中，可信安全管理中心1可管理网络中分布式的可信计算节点，双方的建立连接时遵循标准的可信身份认证协议，可信安全管理中心1强制对可信计算节点身份进行可信认证。具体的，可信安全管理中心1按照评估模型评估可信计算节点的可信状态，根据其可信状态下发的协同策略，计算节点中的监管引擎22接受协同策略后，对相关的控制传感器21进行阻断操作。评估模型的评估计算公式如下：
Figure BDA0003624386940000051
控制传感器21执行的参数包括但不限于编号、名称、管控对象、管控指令、管控上下文的参数。具体的，控制传感器21执行的参数如下的列表一所示：
Figure BDA0003624386940000061
列表一
在本发明实施方案中，可信安全管理中心1对计算节点进行可信认证、基于策略等的安全管理，并对计算节点进行可信评估。计算节点中包括可信监管引擎即监管引擎22，以及控制传感器21。可信安全管理中心1对其管理网络中的分布式可信计算节点进行安全监管。安全监管具体体现在可信安全管理中心1的可信认证模块11对接入可信计算节点进行可信身份认证。安全管理模块12实时收集可信计算节点可信状态，包括控制传感器21采集的数据，并对状态数据入库存储，以及收集可信计算节点日志数据。可信评估模块13按照评估模型
Figure BDA0003624386940000071
对可信计算节点的实时可信状态进行评估，并生成实时动态感知图表。
评估模型是一种模糊数学评价法，V为可信状态的标准量化指标，取值范围为V(1，5)，在1-5之间取值，对每个计算节点在一个时期建立一个标准V＝{v1，v2，......，vn}，v_j(j＝1，2，......，n)的集合。计算节点中的某个控制传感器权重为Sj，实时状态可信值vj，其实时可信评估值为S jvj。可信计算节点是部署了可信安全免疫系统的计算机系统，可信计算节点接入可信安全管理中心1要实施可信身份认证。
可信计算节点的可信监管引擎即监管引擎22常驻节点系统内存，接受并执行可信安全管理中心1下发的策略，下发的策略包括不限于可信预期值、白名单、程序执行、阻止，资源控制等。可信计算节点部署包括不限于资源、文件、程序、进程、网络等控制传感器，部署威胁发现传感器，各类传感器分别实现对相关资源的授权访问控制。控制传感器21按上述列表一所示，进行分类标识和功能实现。
通过上述描述不难看出，本发明创新性提出控制传感器，以标准接口方式采集相关可信状态数据，根据外部威胁影响经评估后实施传感器协同联动，实现协防协同。本发明在网络环境下，基于可信计算节点可信机制，对程序、进程、文件、网络、资源等控制点为控制+传感，在实现控制功能的基础上增加传感器功能，解决现有系统只用控制功能的弱点，通过传感器，实现对网络中节点可信状态的实时监管。
尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (5)

1.一种基于可信验证的分布式安全监管引擎系统，其特征在于，包括：可信安全管理中心以及监管系统；其中，
所述可信安全管理中心包括用于对可信计算节点进行可信认证的可信认证模块，基于策略安全管理的安全管理模块，以及用于对可信计算节点进行可信评估的可信评估模块；
所述监管系统包括在任意可信计算节点中运行的控制传感器，以及在任意可信计算节点中运行并用于动态监管所述控制传感器且根据所述可信安全管理中心下发策略对所述控制传感器实施操作的监管引擎。
2.根据权利要求1所述的基于可信验证的分布式安全监管引擎系统，其特征在于，所述控制传感器包括但不限于资源控制传感器、文件控制传感器、程序控制传感器、进程控制传感器、网络控制传感器。
3.根据权利要求2所述的基于可信验证的分布式安全监管引擎系统，其特征在于，所述控制传感器执行的参数包括但不限于编号、名称、管控对象、管控指令、管控上下文的参数。
4.根据权利要求3所述的基于可信验证的分布式安全监管引擎系统，其特征在于，所述所述安全管理中心按照模型T＝其特征在于，所述监管引擎采集所述控制传感器可信状态信息数据并报告所述可信安全管理中心，且根据所述可信安全管理中心下发策略对所述控制传感器实施包括但不限于阻断、访问权限限制的操作。
5.根据权利要求4所述的基于可信验证的分布式安全监管引擎系统，其特征在于，所述可信安全管理中心按照评估模型评估可信计算节点的可信状态，所述评估模型的评估计算公式如下：
Figure FDA0003624386930000021
CN202210473942.6A 2022-04-29 2022-04-29 一种基于可信验证的分布式安全监管引擎系统 Pending CN115021964A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210473942.6A CN115021964A (zh) 2022-04-29 2022-04-29 一种基于可信验证的分布式安全监管引擎系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210473942.6A CN115021964A (zh) 2022-04-29 2022-04-29 一种基于可信验证的分布式安全监管引擎系统

Publications (1)

Publication Number Publication Date
CN115021964A true CN115021964A (zh) 2022-09-06

Family

ID=83067652

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210473942.6A Pending CN115021964A (zh) 2022-04-29 2022-04-29 一种基于可信验证的分布式安全监管引擎系统

Country Status (1)

Country Link
CN (1) CN115021964A (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108600275A (zh) * 2018-05-29 2018-09-28 广西电网有限责任公司 基于人工智能的威胁情景感知信息安全主动防御系统
US20180365422A1 (en) * 2017-06-15 2018-12-20 International Business Machines Corporation Service Processor and System with Secure Booting and Monitoring of Service Processor Integrity
CN110401640A (zh) * 2019-07-05 2019-11-01 北京可信华泰信息技术有限公司 一种基于可信计算双体系架构的可信连接方法
CN110768963A (zh) * 2019-09-29 2020-02-07 北京可信华泰信息技术有限公司 一种分布式架构的可信安全管理平台
CN112565279A (zh) * 2020-12-09 2021-03-26 苗改燕 一种基于安全网络用传感器信号处理系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20180365422A1 (en) * 2017-06-15 2018-12-20 International Business Machines Corporation Service Processor and System with Secure Booting and Monitoring of Service Processor Integrity
CN108600275A (zh) * 2018-05-29 2018-09-28 广西电网有限责任公司 基于人工智能的威胁情景感知信息安全主动防御系统
CN110401640A (zh) * 2019-07-05 2019-11-01 北京可信华泰信息技术有限公司 一种基于可信计算双体系架构的可信连接方法
CN110768963A (zh) * 2019-09-29 2020-02-07 北京可信华泰信息技术有限公司 一种分布式架构的可信安全管理平台
CN112565279A (zh) * 2020-12-09 2021-03-26 苗改燕 一种基于安全网络用传感器信号处理系统

Similar Documents

Publication Publication Date Title
CN104509034B (zh) 模式合并以识别恶意行为
KR102542720B1 (ko) 제로 트러스트 보안을 위한 행동 인터넷 기반 지능형 데이터 보안 플랫폼 서비스 제공 시스템
WO2023216641A1 (zh) 一种电力终端安全防护方法及系统
CN109842628A (zh) 一种异常行为检测方法及装置
US20070050777A1 (en) Duration of alerts and scanning of large data stores
CN113434866B (zh) 仪表功能安全和信息安全策略的统一风险量化评估方法
CN103902885A (zh) 面向多安全等级虚拟桌面系统虚拟机安全隔离系统及方法
Zhang et al. Intrusion detection in SCADA systems by traffic periodicity and telemetry analysis
CN115361186B (zh) 一种面向工业互联网平台的零信任网络架构
CN104933358A (zh) 一种计算机免疫系统设计方法与实现
AU2006259409A1 (en) Duration of alerts and scanning of large data stores
CN108183897A (zh) 一种信息物理融合系统安全风险评估方法
Li et al. An approach to model network exploitations using exploitation graphs
Wu et al. Paradise: real-time, generalized, and distributed provenance-based intrusion detection
CN101833503B (zh) 基于模糊技术的可信软件栈测试方法
CN111865899B (zh) 威胁驱动的协同采集方法及装置
CN115021964A (zh) 一种基于可信验证的分布式安全监管引擎系统
Qi et al. FSM-based cyber security status analysis method
Kholidy State compression and quantitative assessment model for assessing security risks in the oil and gas transmission systems
CN112257071B (zh) 一种基于物联网感知层状态与行为的可信度量控制方法
CN111107035B (zh) 基于行为辨识的安全态势感知与防护方法及装置
Zhang et al. An intelligent trusted edge data production method for distributed Internet of things
Zhao et al. Quantitative evaluation model of network security situation based on DS evidence theory
Li et al. Cybersecurity status assessment of cloud manufacturing systems based on semiquantitative information
CN113220417B (zh) 限制Docker容器行为的安全防护方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination