KR20110128370A - 트러스티드 네트워크 관리 실현 방법 - Google Patents

트러스티드 네트워크 관리 실현 방법 Download PDF

Info

Publication number
KR20110128370A
KR20110128370A KR1020117027101A KR20117027101A KR20110128370A KR 20110128370 A KR20110128370 A KR 20110128370A KR 1020117027101 A KR1020117027101 A KR 1020117027101A KR 20117027101 A KR20117027101 A KR 20117027101A KR 20110128370 A KR20110128370 A KR 20110128370A
Authority
KR
South Korea
Prior art keywords
trusted
management
host
network
agent
Prior art date
Application number
KR1020117027101A
Other languages
English (en)
Inventor
위에레이 샤오
쥔 챠오
샤오롱 라이
쩡하이 황
Original Assignee
차이나 아이더블유엔콤 씨오., 엘티디
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 차이나 아이더블유엔콤 씨오., 엘티디 filed Critical 차이나 아이더블유엔콤 씨오., 엘티디
Publication of KR20110128370A publication Critical patent/KR20110128370A/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/04—Network management architectures or arrangements
    • H04L41/046—Network management architectures or arrangements comprising network management agents or mobile agents therefor

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

트러스티드 네트워크 관리 실현 방법, 트러스티드 관리 에이전트 (101)는 피관리 호스트 (1)에 상주하고, 트러스티드 관리 시스템 (201)은 관리 호스트 (2)에 상주한다. 트러스티드 관리 에이전트와 트러스티드 관리 시스템은 모두 트러스티드 연산 플랫폼 (3)에 기반 한 것이고, 트러스티드 관리 에이전트와 트러스티드 관리 시스템의 트러스티드 제3자 감정을 거친후 사인한 소프트웨어 모듈이다. 피관리 호스트와 관리 호스트의 트러스티드 플랫폼 모듈은 트러스티드 관리 에이전트와 트러스티드 관리 시스템에 대하여 완전성 측정, 저장 및 리포트를 진행할수 있어, 피관리 호스트와 관리 호스트는 트러스티드 관리 에이전트와 트러스티드 관리 시스템은 신뢰 가능한 것임을 확보할수 있다. 다음 트러스티드 관리 에이전트와 트러스티드 관리 시스템은 네트워크 관리 (5)직능을 집행하여 트러스티드 네트워크 관리를 실현한다.

Description

트러스티드 네트워크 관리 실현 방법{METHOD OF REALIZING TRUSTED NETWORK MANAGEMENT}
본 출원은 2007년9월14일에 중국 특허청에 출원한, 출원 번호 200710018673.X, 발명 명칭 << 트러스티드 네트워크 관리 실현 방법>>, 중국 특허 출원의 우선권을 주장하고, 그 전부 내용은 인용되여 본 출원에 결합된다.
본 발명은 네트워크 보안 기술 분야에 관한것으로, 특히는트러스티드 네트워크 관리 실현 방법에 관한 것이다.
네트워크 관리는 네트워크 자원과 네트워크 설비에 대하여 계획, 설계, 제어하여 네트워크가 양호한 신뢰도와 최고의 효율을 보존하게 한다.
네트워크 관리의 개념은 Internet의 발전에 따라 점차 인입된 것이다. 조기에 Internet네트워크 접속 노드는 비교적 적었고, 구성도 매우 간단하고, 다수의 구성는 편평하여, 네트워크에 관한 고장 검측과 성능 감시 제어 등 관리는 간다하고 용이하였다. 네트워크 기술의 부단한 발전에 따라 네트워크 규모도 부단히 확대되고, 기능 복잡정도도 부단히 증가고, 이종 유형의 네트워크가 점차 융합되여 네트워크 관리가 점점 곤난해 진다.
전통 네트워크 관리 시스템은 보통 집중식 관리 모델을 채용하여, 관리 기능이 워크스테이션의 관리자 몸에 집중되여, 관리자가 SNMP(Simple Network Management Protocol, 간이 망 관리 프로토콜 )를 이용하여 피관리설비의 에이전트와 통신하여, 관리 정보를 획득하고 처리한 다음 관리 조작 지령을 발신하여 피관리설비에 대한 관리를 실시한다. 예를 들면, IETF(The Internet Engineering Task Force, 인터넷 엔지니어링 태스크 포스 )가 1988년에 제안한 SNMP에 기반한 관리자/ 에이전트 모델이다. 이런 집중식 관리 모델에 존재하는 결함은 아래와 같다.
1. 데이타 네트워크 관리에 주로 적용되고, 단지 구성이 간단한 소형 네트워크 혹은 관리 정보에 대한 빈번한 방문이 불필요한 응용에 적합하다.
2. 네트워크 규모의 확대에 따라, 사용자가 부단히 증가 되여 관리 노드가 네트워크 관리의 보틀넥으로 된다.
3. 폴링 수량이 너무 많아 비교적 넓게 분포된 에이전트는 대역폭 소모를 크게 하고, 관리자가 각 에이전트에서 획득한 관리 정보는 원시 데이타이므로 대량의 원시 데이타를 전송한다. 즉 대역폭이 낭비된다. 따라서, 관리자 CPU의 귀중한 자원이 소모되고 네트워크 관리 효율이 낮아진다.
CMIP(Common Management Information Protocol, 공통 관리 정보 프로토콜)에 기반한 네트워크 관리 시스템은 SNMP 프로토콜에 비해 복잡하고 집중식 관리 모델을 채용하여, 주로 전기 통신 네트워크 관리에 적용된다. 목전, 네트워크 관리는 점차 분포화, 지능화 된 분포식 네트워크 관리 방향으로 신속히 발전한다. 분포식 네트워크 관리는 하나의 대규모 네트워크 관리를 여러 개 대등 관리 서브도메인으로 분할하고, 한 개의 도메인은 한 관리자가 책임지고, 관리자 사이에서 상호 통신한다. 다른 도메인의 정보가 수요되면, 관리자는 그것의 대등 시스템과 통신한다. 분포식 네트워크 관리는 네트워크 관리 임무와 감시 제어를 전체 네트워크에 분포하고 단독 제어 센터에 의지 하지 않기에 네트워크 관리의 흐름량을 감소할수 있고, 더 큰 관리 능력과 확장성 등을 제공한다.
분포식 네트워크 관리의 발전 추세는 주로 두 가지 방면에서 구현된다. 그중 하나는, 기존 네트워크 관리 프레임 하에 분포 계산 툴을 채용하여 개방 된, 표준화 된, 확장이 가능한 대형 분포식 네트워크 관리 시스템을 설계 할수 있다. 주요하게 CORBA에 기반한 분포식 네트워크 관리 시스템과 Web에 기반한 분포식 네트워크 관리 시스템이 있고, 특점은 간편하게 실현할수 있는 것이다. 그중 다른 하나는, 새로운 분포식 체재의 네트워크 관리이다. 예를 들면, 모바일 에이전트에 기반한 네트워크 관리 시스템 등이 있다.
그러나, 기존 집중식 네트워크 관리 시스템과 분포식 네트워크 관리 시스템에는 모두 아래의 보안 문제가 존재한다.
1. 에이전트가 상주한 호스트가 에이전트를 어택 하는 가능성이 존재하고, 기존에서 검측에 기반한 방법은 에이전트의 보안을 보증 할수 없다.
2. 에이전트도 상주 호스트를 어택 하는 가능성이 존재한다. 예를 들면, 에이전트가 상주 호스트의 일부 프라이빗 정보를 비법 방문하는것 등이 있다. 목전, 이에 대하여 단지 침입을 검측하는 피동 방어 방식을 채용 할 뿐이다.
3. 네트워크 관리 사용자는 관리자 시스템을 완전 신뢰하기에 잠복한 보안 위험이 존재한다. 만일바이러스, 트로이 등이 관리자 시스템을 제어 하면, 네트워크 관리 사용자의 의지에 따라 작동하지 않아 네트워크에 대한 제어와 관리를 상실하게 된다.
4. 피관리 호스트는 관리자 시스템을 완전 신뢰하기에 여전히 잠복한 보안 위험이 존재한다. 만일, 피관리 호스트가 바이러스, 트로이 등이 관리자 시스템 침입 여부를 검측하지 않으면, 피관리 호스트에 상주한 에이전트가 악의적인악의적인 관리 명령을 접수할 때 피관리 호스트에 대하여 악의적인악의적인 행위를 진행할수 있다.
본 발명은 트러스티드 네트워크 관리 실현 방법을 제공하여, 기존기술 중 에이전트, 에이전트가 상주한 호스트 및 관리자 시스템에 상호 어택이 존재하여 네트워크 관리 보안을 보증 할수 없는 기술문제를 해결할수 있다.
본 발명 기술의 실현 고안은 아래와 같다.
트러스티드 네트워크 관리 실현 방법, 상기 방법은 아래와 같은 실현 과정을 포함한다. 피관리 호스트에 상주한 트러스티드 관리 에이전트를 셋업 및 환경설정하고, 관리 호스트에 상주한 트러스티드 관리 시스템을 셋업 및 환경설정하고,
피관리 호스트는 트러스티드 플랫폼 모듈 TPM을 이용하여 트러스티드 관리 에이전트에 대하여 완전성 측정, 저장 및 리포트를 진행하여, 트러스티드 관리 에이전트가 피관리 호스트에서의 신뢰성을 확인하고, 관리 호스트의 네트워크 관리원은 트러스티드 플랫폼 모듈 TPM을 이용하여 트러스티드 관리 시스템에 대하여 완전성 측정, 저장 및 리포트를 진행하여 트러스티드 관리 시스템이 관리 호스트에서의 신뢰성을 확인하고,
피관리 호스트와 관리 호스트는 각기 트러스티드 네트워크 연결 방법을 채용하여 트러스티드 네트워크에 연결하고,
피관리 호스트가 트러스티드 네트워크에 연결할 때, 피관리 호스트의 트러스티드 관리 에이전트는 상응한 트러스티드 관리 시스템을 폴링하는 정보를 자동 발송하고, 트러스티드 관리 시스템은 트러스티드 관리 에이전트의 폴링 정보를 수신한 후, 상기 트러스티드 관리 에이전트와의 식별 과정을 시동하고, 트러스티드 관리 시스템과 트러스티드 관리 에이전트는 양방향 식별 및 비밀 키 협상을 진행하고, 트러스티드 관리 에이전트와 트러스티드 관리 시스템 사이의 세션 비밀 키를 취득하고,
관리 호스트의 트러스티드 관리 시스템은 트러스티드 관리 에이전트의 폴링 정보를 수신한 후, 관리 호스트를 통지하여 양방향 사용자 식별 및 비밀 키 협상을 진해하게 하고, 관리 호스트와 피관리 호스트는 양방향 사용자 식별 및 비밀 키 협상을 진행한 후, 피관리 호스트와 관리 호스트 사이의 세션 비밀 키를 취득하고,
관리 호스트의 네트워크 관리원은 피관리 호스트의 트러스티드 플랫폼 모듈 TPM을 이용하여 트러스티드 관리 에이전트에 대하여 완전성 측정, 저장 및 리포트를 진행하여, 트러스티드 관리 에이전트가 피관리 호스트에서의 신뢰성을 확인하고, 피관리 호스트는 관리 호스트의 트러스티드 플랫폼 모듈 TPM을 이용하여 트러스티드 관리 시스템에 대하여 완전성 측정, 저장 및 리포트를 진행하여, 트러스티드 관리 시스템이 관리 호스트에서의 신뢰성을 확인하고,
피관리 호스트가 확인을 거쳐 관리 호스트에서 운행하는 트러스티드 관리 시스템 및 피관리 호스트에서 운행하는 트러스티드 관리 에이전트가 모두 신뢰 가능한 것임을 확인하면, 피관리 호스트는 피관리 호스트와 관리 호스트 사이의 네트워크 관리 통신을 허가하고, 관리 호스트의 네트워크 관리원이 확인을 거쳐 관리 호스트에서 운행하는 트러스티드 관리 시스템 및 피관리 호스트에서 운행하는 트러스티드 관리 에이전트가 모두 신뢰 가능한 것임을 확인하면, 관리 호스트의 네트워크 관리원은 네트워크 관리 집행을 시작한다.
상기 트러스티드 관리 에이전트와 트러스티드 관리 시스템은 모두 트러스티드 연산 플랫폼에 기반 한 것이고, 트러스티드 관리 에이전트와 트러스티드 관리 시스템의 트러스티드 제3자 감정을 거친 후 사인한 소프트웨어 모듈이고, 또한 트러스티드 관리 에이전트와 트러스티드 관리 시스템의 표준 완전성 측정 값은 트러스티드 제3자가 사인한 후 조회 가능한 네트워크 데이타 베이스에 저장되는 것이 바람직하다.
상기 트러스티드 관리 에이전트는 피관리 호스트의 시스템의 시동에 따라 자동 운행하는 소프트웨어 모듈인 것이 바람직하다.
상기 트러스티드 네트워크 관리는 피관리 호스트와 관리 호스트가 트러스티드 관리 에이전트와 트러스티드 관리 시스템이 모두 신뢰 가능한 것임을 확인하고 그 신뢰 가능한 조건하에서 집행하는 네트워크 관리를 가리키는것이 바람직하다.
상기 네트워크 관리는 집중식 네트워크 관리, 분포식 네트워크 관리 혹은 분포식 제어 집중식 관리의 네트워크 관리 모드 등 인것이 바람직하다.
상기 분포식 제어 집중식 관리의 네트워크 관리 모드의 실현 과정은
네트워크 관리원이 트러스티드 관리 시스템과 트러스티드 관리 에이전트 사이의 세션 비밀 키를 이용하여 보안 네트워크 관리 책략을 피관리 호스트의 트러스티드 관리 에이전트에 발송하고,
트러스티드 관리 에이전트는 상기 보안 네트워크 관리 책략에 따라 피관리 호스트에서 감시와 제어를 집행하고, 보안 네트워크 관리 책략이 판단 할수 있는 감시 데이타에 대하여, 직접 제어와 관리를 진행하고, 보안 네트워크 관리 책략이 판단 할수 없는 감시 데이타에 대하여, 상기 감시 데이타를 트러스티드 관리 시스템에 발송하고,
트러스티드 관리 시스템이 상기 감시 데이타를 접수한 후, 분석을 진행하고, 분석 결과를 네트워크 관리원에게 발송하여, 네트워크 관리원이 상기 분석 결과에 따라 피관리 호스트에 대하여 제어와 관리를 진행하여 트러스티드 네트워크 관리를 실현하는 것을 포함하는것이 바람직하다.
본 발명의 상기 실시예에서,피관리 호스트는 자체 호스트에서 운행하는 트러스티드 관리 에이전트의 신뢰성에 대한 확인을 거쳐, 트러스티드 관리 에이전트가 피관리 호스트에 대한 어택 행위를 주동 방어할수 있다. 동시에, 피관리 호스트는 관리 호스트의 트러스티드 관리 시스템의 신뢰성에 대한 확인을 거쳐, 관리 호스트의 트러스티드 관리 시스템은 그의 관리 기능을 정상 집행하고 있음을 확보 할수 있다.
이외, 관리 호스트는 피관리 호스트의 트러스티드 관리 에이전트의 신뢰성에 대한 확인을 거쳐, 악의적인 피관리 호스트가 상기 호스트에 상주한 트러스티드 관리 에이전트에 대하여 악의적인 어택을 진행하는 것을 방지 할수 있다. 동시에, 관리 호스트는 자체 호스트의 트러스티드 관리 시스템의 신뢰성에 대한 확인을 거쳐, 자체 호스트에서 운행하는 트러스티드 관리 시스템이 제어 가능함을 확보할수 있고, 따라서 트러스티드 관리 시스템이 정확히 네트워크 관리원의 관리 명령을 집행하고 있음을 보증 할수 있다.
이외, 관리 호스트와 피관리 호스트는 모두 트러스티드 연산 플랫폼에 기반하고, 트러스티드 관리 시스템과 트러스티드 관리 에이전트의 것은 모두 신뢰 가능함을 확인한 조건하에서 네트워크 관리을 진행하여 트러스티드 네트워크 관리를 실현한다.
또한, 트러스티드 관리 에이전트는 각 피관리 호스트에 상주하고, 피관리 호스트에 대하여 제어를 진행한다. 트러스티드 관리 시스템은 한 개의 관리 호스트에 상주하고, 모든 관리 호스트에 대하여 제어와 관리를 진행한다. 따라서 분포식 제어, 집중식 관리의 트러스티드 네트워크 관리를 실현할수 있다.
도 1은 본 발명의 구조 설명도이다.
본 발명의 트러스티드 관리 에이전트는 피관리 호스트에 상주한다. 트러스티드 관리 에이전트와 트러스티드 관리 시스템은 모두 트러스티드 연산 플랫폼에 기반 한 것이고, 트러스티드 관리 에이전트와 트러스티드 관리 시스템의 트러스티드 제3자 감정을 거친 후 사인한 소프트웨어 모듈이다. 또한 양자의 표준 완전성 측정 값은 트러스티드 제3자가 사인한 후 조회 가능한 네트워크 데이타 베이스에 저장된다. 피관리 호스트와 관리 호스트의TPM(Trusted Platform Module, 트러스티드 플랫폼 모듈 )은 트러스티드 관리 에이전트와 트러스티드 관리 시스템에 대하여 완전성 측정, 저장 및 리포트를 진행한다. 그리하여 피관리 호스트와 관리 호스트는 트러스티드 관리 에이전트와 트러스티드 관리 시스템 모두가 신뢰 가능함을 확보할수 있다. 트러스티드 관리 에이전트와 트러스티드 관리 시스템은 네트워크 관리 직능을 집행하여, 트러스티드 네트워크 관리를 실현할수 있다.
도1을 참조하면, 본 발명 실시예의 구체 실현 과정은 아래와 같은것을 포함한다.
(i) 트러스티드 관리 에이전트와 트러스티드 관리 시스템을 셋업 및 환경설정 한다.
피관리 호스트 (1)에 상주한 트러스티드 관리 에이전트 (101)를 셋업 및 환경설정 하고, 관리 호스트 (2)에 상주한 트러스티드 관리 시스템 (201)을 셋업 및 환경설정 한다.
트러스티드 관리 시스템 (201)의 셋업과 환경설정은 네트워크 관리원이 완성한다. 트러스티드 관리 에이전트 (101)의 셋업과 환경설정은 네트워크 관리원이 완성할수도 있고, 네트워크 사용자가 완성할수도 있다. 네트워크 사용자가 트러스티드 관리 에이전트 (101)의 셋업과 환경설정을 완성할 때, 환경설정 파일은 꼭 네트워크 관리원이 분배한것 이고, 따라서 네트워크 사용자는 환경설정 파일의 내용에 대하여 알수 없다. 이외, 트러스티드 관리 에이전트 (101)와 트러스티드 관리 시스템 (201)의 환경설정은 제조업체가 미리 셋업하는 형식으로 완성할수 있다. 트러스티드 관리 에이전트 (101)와 트러스티드 관리 시스템 (201)은 모두 트러스티드 연산 플랫폼에 기반 한 것으로, 트러스티드 제3자가 트러스티드 관리 에이전트와 트러스티드 관리 시스템를 감정한 후 사인한 소프트웨어 모듈이다. 또한 양자의 표준 완전성 측정 값은 트러스티드 제3자가 사인한 후 조회 가능한 네트워크 데이타 베이스에 저장된다.
(ii)트러스티드 관리 에이전트와 트러스티드 관리 시스템이 로컬에서의신뢰성을 확인한다.
피관리 호스트 (1)는 트러스티드 플랫폼 모듈 TPM을 이용하여 트러스티드 관리 에이전트 (101)에 대하여 완전성 측정, 저장 및 리포트를 진행하여, 피관리 호스트 (1)에서 트러스티드 관리 에이전트 (101)의 신뢰성을 확인한다. 따라서, 트러스티드 관리 에이전트 (101)가 피관리 호스트 (1)에 대한 어택 행위를 주동 방어할수 있다.
관리 호스트 (2)의 네트워크 관리원은 트러스티드 플랫폼 모듈을 이용하여 트러스티드 관리 시스템 (201)에 대하여 완전성 측정, 저장 및 리포트를 진행하여, 관리 호스트 (2)에서 트러스티드 관리 시스템 (201)의 신뢰성을 확인한다. 따라서, 관리 호스트 (2)에서 운행하는 트러스티드 관리 시스템 (201)이 제어 가능하도록 확보할수 있다. 즉 트러스티드 관리 시스템 (201)이 정확히 네트워크 관리원의 관리 명령을 집행하도록 확보할수 있다.
(iii) 피관리 호스트와 관리 호스트는 트러스티드 네트워크 연결 방법응 채용하여 트러스티드 네트워크에 연결 된다.
트러스티드 네트워크 연결 방법은 트러스티드 네트워크 연결 구조와 상응 된다. 트러스티드 네트워크 연결 구조가 확정된 후 그와 상응되는 트러스티드 네트워크 연결 방법은 따라서 확정된다.
(iv) 트러스티드 관리 에이전트는 트러스티드 관리 시스템과 양방향 식별 및 비밀 키 협상을 진행한다.
트러스티드 관리 에이전트 (101)는 피관리 호스트 (1)의 시스템의 시동에 따라 자동 운행하는 소프트웨어 모듈이다. 피관리 호스트 (1)가 트러스티드 네트워크에 연결될 때, 피관리 호스트 (1)의 트러스티드 관리 에이전트 (101)는 상응한 트러스티드 관리 시스템 (201)을 폴링하는 정보를 자동 발신한다. 트러스티드 관리 시스템 (201)은 트러스티드 관리 에이전트 (101)의 폴링 정보를 수신한 후, 상기 트러스티드 관리 에이전트 (101)와의 식별 과정을 시동한다. 트러스티드 관리 시스템 (201)과 트러스티드 관리 에이전트 (101)는 제조업체가 미리 셋업한 환경설정 정보 혹은 네트워크 관리원이 셋업할 때 설치한 환경설정 정보 혹은 네트워크 관리원이 분배한 환경설정 파일을 이용하여 양방향 식별 및 비밀 키 협상을 진행하여 트러스티드 관리 에이전트 (101)와 트러스티드 관리 시스템 (201)사이의 세션 비밀 키를 취득한다. 트러스티드 관리 에이전트 (101)와 트러스티드 관리 시스템 (201)사이의 세션 비밀 키는 트러스티드 관리 시스템 (201)와 트러스티드 관리 에이전트 (101)사이의 보안 통신을 보호하는데 사용된다.
(v) 피관리 호스트와 관리 호스트는 양방향 사용자 식별 및 비밀 키 협상을 진행한다.
트러스티드 관리 시스템 (201)이 트러스티드 관리 에이전트 (101)의 폴링 정보를 수신한 후, 관리 호스트 (2)의 트러스티드 관리 시스템 (201)은 관리 호스트 (2)를 통지하여 양방향 사용자 식별 및 비밀 키 협상을 진행하게 한다. 관리 호스트 (2)와 피관리 호스트 (1)가 양방향사용자 식별 및 비밀 키 협상을 진행한 후, 피관리 호스트 (1)와 관리 호스트 (2)사이의 세션 비밀 키를 취득한다. 피관리 호스트 (1)와 관리 호스트 (2)사이의 세션 비밀 키는 트러스티드 관리 에이전트 (101)와 트러스티드 관리 시스템 (201)의 원격 완전성 평가의 데이타 전송을 보호하는데 사용된다.
(vi) 트러스티드 관리 에이전트와 트러스티드 관리 시스템의 원격 신뢰성을 확인한다.
피관리 호스트 (1)의 트러스티드 플랫폼 모듈 TPM에 기반하여, 트러스티드 관리 에이전트 (101)에 대하여 완전성 측정, 저장 및 리포트를 진행하여, 트러스티드 관리 에이전트 (101)가 피관리 호스트 (1)에서의 신뢰성을 확인한다. 먼저, 관리 호스트 (2)는 피관리 호스트 (1)의 트러스티드 관리 에이전트 (101)가 대응하는 플랫폼 환경설정 레지스터 PCR값 및 측정 로그 원격 획득하고, 피관리 호스트 (1)의 트러스티드 플랫폼 모듈 TPM이 트러스티드 관리 에이전트 (101)가 대응하는 플랫폼 환경설정 레지스터 PCR값에 대하여 AIK사인을 진행한다. 다음, 트러스티드 관리 에이전트 (101)가 대응하는 플랫폼 환경설정 레지스터 PCR값과 측정 로그의 유효성을 확인하고, 조회 가능한 네트워크 데이타 베이스 중 트러스티드 관리 에이전트 (101)가 대응하는 표준 완전성 측정 값에 따라 피관리 호스트 (1)의 트러스티드 관리 에이전트 (101)의 신뢰성을 확인한다. 그리하여 악의적인 피관리 호스트 (1)가 상기 호스트에 상주한 트러스티드 관리 에이전트 (101)에 대하여 악의적인 어택 하는 것을 방지 한다.
관리 호스트 (2)의 트러스티드 플랫폼 모듈 TPM에 기반하여 트러스티드 관리 시스템 (201)에 대하여 완전성 측정, 저장 및 리포트를 진행하여, 트러스티드 관리 시스템 (201)이 관리 호스트 (2)에서의 신뢰성을 확인할수 있다. 먼저, 피관리 호스트 (1)는 관리 호스트 (2)의 트러스티드 관리 시스템 (201)이 대응하는 플랫폼 환경설정 레지스터 PCR값 및 측정 로그를 원격 획득하고, 관리 호스트 (2)의 트러스티드 플랫폼 모듈 TPM은 트러스티드 관리 시스템 (201)이 대응하는 플랫폼 환경설정 레지스터 PCR값에 대하여 AIK사인을 진행한다. 다음, 트러스티드 관리 시스템 (201)이 대응하는 플랫폼 환경설정 레지스터 PCR값과 측정 로그의 유효성을 확인하고, 조회 가능한 네트워크 데이타 베이스 중 트러스티드 관리 시스템 (201)의 표준 완전성 측정 값에 따라 관리 호스트 (2)의 트러스티드 관리 시스템 (201)의 신뢰성을 확인한다. 그리하여 관리 호스트 (2)에서 운행하는 트러스티드 관리 시스템 (201)이 제어 가능하도록 확보할수 있고, 트러스티드 관리 시스템 (201)은 네트워크 관리원의 관리 명령을 정상 집행한다.
(vii) 트러스티드 네트워크 관리를 집행한다.
피관리 호스트 (1)가 확인을 거쳐, 관리 호스트 (2)에서 운행하는 트러스티드 관리 시스템 (201) 및 피관리 호스트 (1)에서 운행하는 트러스티드 관리 에이전트 (101)가 모두 신뢰 가능한 것임을 확인하면, 피관리 호스트 (1)는 피관리 호스트 (1)와 관리 호스트 (2)사이의 네트워크 관리 통신을 허가한다.
관리 호스트 (2)의 네트워크 관리원이 확인을 거쳐, 관리 호스트 (2)에서 운행하는 트러스티드 관리 시스템 (201) 및 피관리 호스트 (1)에서 운행하는 트러스티드 관리 에이전트 (101)는 모두 신뢰 가능한 것임을 확인하면, 관리 호스트 (2)의 네트워크 관리원은 네트워크 관리 집행을 시작한다. 그러므로, 이런 상황에서, 트러스티드 관리 에이전트 (101)와 트러스티드 관리 시스템 (201)은 모두 신뢰 가능한 것이고, 이어서 네트워크 관리는 즉 트러스티드 네트워크 관리이다.
설명해야 할 것은, 본 발명의 과정 (ii)와 (iii)은 순차적으로 혹은 병렬하여 진행할수 있고, 순차적으로 진행할 때 순서는 호환할수 있다. 상기한 과정 (iv)와 (v)도 역시 순차적으로 혹은 병렬하여 진행할수 있고, 순차적으로 진행할 때 순서는 호환할수 있다.
본 발명의 네트워크 관리 모드는 집중식 네트워크 관리, 분포식 네트워크 관리 및 분포식 제어 집중식 관리의 네트워크 관리 등을 채용할수 있다.
네트워크 규모가 비교적 클 때 분포식 제어 집중식 관리의 네트워크 관리를 사용할것을 추천하고, 그 구체 실시 과정은 아래와 같다. 네트워크 관리원은 트러스티드 관리 시스템 (201)과 트러스티드 관리 에이전트 (101)사이의 세션 비밀 키를 이용하여 보안 네트워크 관리 책략을 피관리 호스트 (1)의 트러스티드 관리 에이전트 (101)에 발송하고, 트러스티드 관리 에이전트 (101)는 상기 보안 네트워크 관리 책략에 따라 피관리 호스트 (1)에서 감시와 제어 기능을 집행하고, 네트워크 관리 책략이 판단 할수 있는 감시 데이타에 대하여 직접 제어와 관리를 진행한다. 보안 네트워크 관리 책략이 판단 할수 없는 감시 데이타에 대하여 이런 감시 데이타를 트러스티드 관리 시스템 (201)에 발송하고, 트러스티드 관리 시스템 (201)은 이런 감시 데이타를 접수한 후, 먼저 분석을 진행하고, 다음 분석 결과를 네트워크 관리원에게 발송하고, 네트워크 관리원은 분석 결과에 따라 피관리 호스트 (1)에 대하여 제어와 관리를 진행하여, 최종으로 트러스티드 네트워크 관리를 실현한다. 의심스러운 데이타는 감시 결과를 긍정할수 없는 데이타를 가리킨다. 트러스티드 관리 시스템 (201)은 한 관리 호스트 (2)에 상주하여 모든 관리 호스트 (2)에 대하여 제어와 관리를 진행하여, 분포식 제어, 집중식 관리의 트러스티드 네트워크 관리를 실현할수 있다.
본 발명의 분포식 제어는 주로 아래와 같은면에서 구현된다. 매개 호스트는 모두 한 개의 트러스티드 관리 에이전트가 있고, 이는 네트워크 관리원에 따라 트러스티드 관리 시스템이 발송한 보안 네트워크 관리 책략을 거쳐 감시와 제어를 진행하여, 단지 판단 할수 없는 데이타에 대하여 트러스티드 관리 시스템이 제어를 진행하는것이 필요하다.
본 발명의 집중식 관리는 주로 아래와 같은면에서 구현된다. 단지 한 개의 호스트에 트러스티드 관리 시스템을 셋업하고, 이는 보안 네트워크 관리 책략을 제정하고, 다음 각 트러스티드 관리 에이전트에 분배하여 책략을 집행하고, 단지 트러스티드 관리 에이전트가 제어 및 관리 할수 없는 데이타에 대하여 트러스티드 관리 시스템이 제어를 진행하는것이 필요하고, 따라서 집중 관리를 실현한다.
본 발명의 상기 실시예에서, 피관리 호스트는 자체 호스트에서 운행하는 트러스티드 관리 에이전트의 신뢰성에 대한 확인을 거쳐, 트러스티드 관리 에이전트가 피관리 호스트에 대한 어택 행위를 주동 방어할수 있다. 동시에, 피관리 호스트는 관리 호스트의 트러스티드 관리 시스템의 신뢰성에 대한 확인을 거쳐, 관리 호스트의 트러스티드 관리 시스템은 그의 관리 기능을 정상 집행하고 있음을 확보 할수 있고, 따라서 트러스티드 관리 시스템이 피관리 호스트를 어택 하는 것을 방지하는 목적을 달성 할수 있다.
이외, 관리 호스트는 피관리 호스트의 트러스티드 관리 에이전트의 신뢰성에 대한 확인을 거쳐, 악의적인 피관리 호스트가 상기 호스트에 상주한 트러스티드 관리 에이전트에 대하여 악의적인 어택을 진행하는 것을 방지 할수 있다. 동시에, 관리 호스트는 자체 호스트의 트러스티드 관리 시스템의 신뢰성에 대한 확인을 거쳐, 자체 호스트에서 운행하는 트러스티드 관리 시스템이 제어 가능함을 확보할수 있고, 따라서 트러스티드 관리 시스템이 정확히 네트워크 관리원의 관리 명령을 집행하고 있음을 보증 할수 있다.
이외, 관리 호스트와 피관리 호스트는 모두 트러스티드 연산 플랫폼에 기반하고, 트러스티드 관리 시스템과 트러스티드 관리 에이전트의 것은 모두 신뢰 가능함을 확인한 조건하에서 네트워크 관리을 진행하여 트러스티드 네트워크 관리를 실현한다.
또한, 트러스티드 관리 에이전트는 각 피관리 호스트에 상주하고, 피관리 호스트에 대하여 제어를 진행한다. 트러스티드 관리 시스템은 한 개의 관리 호스트에 상주하고, 모든 관리 호스트에 대하여 제어와 관리를 진행한다. 따라서 분포식 제어, 집중식 관리의 트러스티드 네트워크 관리를 실현할수 있다.
이상에서, 본 발명이 제공한 트러스티드 네트워크 관리 실현 방법에 대하여 상세한 설명을 진행했고, 본 명세서에서는 구체적인 개별 실시예를 응용하여 본 발명의 원리와 실시방식에 관하여 설명했고, 이상의 실시예에 관한 설명은 단지 본 발명의 고안을 이해하는데 도움 될 뿐이고, 동시에 기술분야의 당업자들은 본 발명의 종지에 따라 구체 실시 방식과 응용 범위에서 모두 개변할수 있기에, 본 명세서의 내용은 본 발명에 대한 제한으로 간주하지 말아야 한다.
101:트러스티드 관리 에이전트
201:트러스티드 관리 시스템

Claims (1)

  1. 트러스티드 네트워크 관리 실현 방법에 있어서,
    피관리 호스트에 상주한 트러스티드 관리 에이전트를 셋업 및 환경설정하고, 관리 호스트에 상주한 트러스티드 관리 시스템을 셋업 및 환경설정하는 것을 특징으로 하는 트러스티드 네트워크 관리 실현 방법.
KR1020117027101A 2007-09-14 2008-07-21 트러스티드 네트워크 관리 실현 방법 KR20110128370A (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200710018673.X 2007-09-14
CN200710018673A CN100581116C (zh) 2007-09-14 2007-09-14 一种实现可信网络管理的方法

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
KR1020097027317A Division KR101135346B1 (ko) 2007-09-14 2008-07-21 트러스티드 네트워크 관리 실현 방법

Publications (1)

Publication Number Publication Date
KR20110128370A true KR20110128370A (ko) 2011-11-29

Family

ID=39933523

Family Applications (2)

Application Number Title Priority Date Filing Date
KR1020097027317A KR101135346B1 (ko) 2007-09-14 2008-07-21 트러스티드 네트워크 관리 실현 방법
KR1020117027101A KR20110128370A (ko) 2007-09-14 2008-07-21 트러스티드 네트워크 관리 실현 방법

Family Applications Before (1)

Application Number Title Priority Date Filing Date
KR1020097027317A KR101135346B1 (ko) 2007-09-14 2008-07-21 트러스티드 네트워크 관리 실현 방법

Country Status (4)

Country Link
US (1) US8230220B2 (ko)
KR (2) KR101135346B1 (ko)
CN (1) CN100581116C (ko)
WO (1) WO2009033385A1 (ko)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100581170C (zh) 2008-08-21 2010-01-13 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别可信网络连接的可信网络管理方法
CN101345660B (zh) * 2008-08-21 2010-06-09 西安西电捷通无线网络通信有限公司 一种基于tcpa/tcg可信网络连接的可信网络管理方法
US8321926B1 (en) * 2008-12-02 2012-11-27 Lockheed Martin Corporation System and method of protecting a system that includes unprotected computer devices
US8176150B2 (en) * 2009-08-12 2012-05-08 Dell Products L.P. Automated services procurement through multi-stage process
EP2447889A1 (en) * 2010-10-29 2012-05-02 Siemens Aktiengesellschaft Method for modeling a defect management in a manufacturing process and for handling the defect during the production process based on said modeled defect management
CN102662871B (zh) * 2012-03-29 2016-05-11 山东超越数控电子有限公司 一种基于可信密码模块的虚拟磁盘完整性保护系统及方法
CN103458041A (zh) * 2013-09-10 2013-12-18 李传双 一种集中控制分散式运算的云计算方法及系统
CN103559591B (zh) * 2013-11-20 2016-10-26 北京可信华泰信息技术有限公司 基于可信计算的软件管理系统和管理方法
CN104410636A (zh) * 2014-12-01 2015-03-11 浪潮集团有限公司 一种云计算系统中增强bmc/smc安全性的方法
CN105007283B (zh) * 2015-08-12 2018-01-30 四川神琥科技有限公司 一种网络安全防护方法
CN107133520B (zh) * 2016-02-26 2021-05-14 华为技术有限公司 云计算平台的可信度量方法和装置
CN110401640B (zh) * 2019-07-05 2021-10-22 北京可信华泰信息技术有限公司 一种基于可信计算双体系架构的可信连接方法
CN113839969B (zh) * 2021-11-29 2022-03-15 军事科学院系统工程研究院网络信息研究所 一种双向认证的网络管理协议方法和系统

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030131088A1 (en) * 2002-01-10 2003-07-10 Ibm Corporation Method and system for automatic selection of a test system in a network environment
CN1300979C (zh) * 2003-01-28 2007-02-14 华为技术有限公司 全动态分布式网络服务管理系统及其服务方法
US20050091496A1 (en) * 2003-10-23 2005-04-28 Hyser Chris D. Method and system for distributed key management in a secure boot environment
US20050166051A1 (en) * 2004-01-26 2005-07-28 Mark Buer System and method for certification of a secure platform
US20050213768A1 (en) * 2004-03-24 2005-09-29 Durham David M Shared cryptographic key in networks with an embedded agent
US7571474B2 (en) * 2004-12-30 2009-08-04 Intel Corporation System security event notification aggregation and non-repudiation
US7631354B2 (en) * 2004-12-30 2009-12-08 Intel Corporation System security agent authentication and alert distribution
US7827550B2 (en) * 2005-08-17 2010-11-02 Intel Corporation Method and system for measuring a program using a measurement agent
CN100369421C (zh) 2005-08-26 2008-02-13 南京邮电大学 一种面向移动代理网管的安全保护方法
CN100534044C (zh) 2005-09-26 2009-08-26 深圳市深信服电子科技有限公司 一种在网关或网桥上实现用户安全接入外网的方法
CN100452723C (zh) * 2006-05-30 2009-01-14 北京邮电大学 基于移动代理的光子网格网络管理系统及管理方法
CN100426753C (zh) 2006-07-24 2008-10-15 Ut斯达康通讯有限公司 一种基于snmp的网络管理方法

Also Published As

Publication number Publication date
WO2009033385A1 (fr) 2009-03-19
KR20100017951A (ko) 2010-02-16
KR101135346B1 (ko) 2012-04-17
CN100581116C (zh) 2010-01-13
CN101242297A (zh) 2008-08-13
US8230220B2 (en) 2012-07-24
US20100083349A1 (en) 2010-04-01

Similar Documents

Publication Publication Date Title
KR101135346B1 (ko) 트러스티드 네트워크 관리 실현 방법
US8756654B2 (en) Trusted network management method of trusted network connections based on tri-element peer authentication
US9270650B2 (en) System and method for providing secure subnet management agent (SMA) in an infiniband (IB) network
US20110145425A1 (en) Trusted network management method based on tcpa/tcg trusted network connection
US8825889B2 (en) Network traffic rate limiting system and method
US8255977B2 (en) Trusted network connect method based on tri-element peer authentication
US9935848B2 (en) System and method for supporting subnet manager (SM) level robust handling of unkown management key in an infiniband (IB) network
US8191113B2 (en) Trusted network connect system based on tri-element peer authentication
US20140181267A1 (en) Methods and systems to split equipment control between local and remote processing units
CA2571608A1 (en) System and method for consolidating, securing and automating out-of-band access to nodes in a data network
KR20050002628A (ko) 보안 프로토콜의 자동 협상 시스템 및 방법
US20110238996A1 (en) Trusted network connect handshake method based on tri-element peer authentication
CN106027518B (zh) 一种基于准实时状态反馈的可信网络连接方法
Shieh et al. NetQuery: A knowledge plane for reasoning about network properties
CN110417739B (zh) 一种基于区块链技术的安全的网络带内测量方法
US9444845B2 (en) Network security apparatus and method
Teng et al. Firmware over the air for home cybersecurity in the Internet of Things
EP3972190A1 (en) Method and apparatus for negotiating remote attestation mode
US20050132231A1 (en) Administration of computing entities in a network
Jäger et al. A resilient network node for the industrial Internet of Things
KR101382605B1 (ko) 단말기 디버그 시리얼 접속 보안 방법
Lin et al. Research on the vulnerability of software defined network
WO2012155584A1 (zh) 一种网元设备鉴权管理的方法及系统
CN104796295A (zh) 一种snmp低版本向高版本转化的安全网管信息传输方法

Legal Events

Date Code Title Description
A107 Divisional application of patent
WITB Written withdrawal of application