TWI826227B

TWI826227B - 網路設備的資訊安全管理系統及管理方法

Info

Publication number: TWI826227B
Application number: TW112100554A
Authority: TW
Inventors: 林昱辰; 高彬; 徐鈺瀅; 許大鈞; 呂建志
Original assignee: 中華電信股份有限公司
Priority date: 2023-01-06
Filing date: 2023-01-06
Publication date: 2023-12-11
Also published as: TW202429867A

Abstract

提供一種網路設備的資訊安全管理系統及管理方法。管理方法包含：由管理伺服器的感測次系統自第一網路設備接收第一資安事件資料；由管理伺服器的跨域管控模組自感測次系統取得第一資安事件資料；由跨域管控模組根據第一資安事件資料判斷第一網路設備的第一設備分數；由跨域管控模組根據第一設備分數判斷是否阻斷第一網路設備；以及響應於判斷阻斷第一網路設備，由跨域管控模組傳送控制指令至第一網路設備以阻斷第一網路設備。

Description

網路設備的資訊安全管理系統及管理方法

本發明是有關於一種資訊安全管理技術，且特別是有關於一種網路設備的資訊安全管理系統及管理方法。

習知的資訊安全管理領域中尚無集中控管的安全阻斷技術。因此，維運人員需要手動對諸如行動終端裝置、交換器、路由器或行動邊緣裝置等網路設備執行阻斷操作，以導致阻斷效率不佳與管理不易之困擾。

有鑑於此，本發明提供一種資訊安全管理系統及管理方法，可即時地阻斷網路設備。

本發明的一種網路設備的資訊安全管理系統，包含管理伺服器。管理伺服器包含儲存媒體以及處理器。儲存媒體儲存多個模組。處理器耦接至儲存媒體。處理器存取和執行多個模組。多個模組包含感測次系統以及跨域管控模組。感測次系統自第一網路設備接收第一資安事件資料。跨域管控模組自感測次系統取得第一資安事件資料。跨域管控模組根據第一資安事件資料判斷第一網路設備的第一設備分數，並且根據第一設備分數判斷是否阻斷第一網路設備。響應於判斷阻斷第一網路設備，跨域管控模組傳送控制指令至第一網路設備以阻斷第一網路設備。

本發明的一種網路設備的資訊安全管理方法。管理方法包含：由管理伺服器的感測次系統自第一網路設備接收第一資安事件資料；由管理伺服器的跨域管控模組自感測次系統取得第一資安事件資料；由跨域管控模組根據第一資安事件資料判斷第一網路設備的第一設備分數；由跨域管控模組根據第一設備分數判斷是否阻斷第一網路設備；以及響應於判斷阻斷第一網路設備，由跨域管控模組傳送控制指令至第一網路設備以阻斷第一網路設備。

基於上述，本發明的資訊安全管理系統可以通過傳送控制指令至第一網路設備以阻斷第一網路設備。具體來說，跨域管控模組可根據第一資安事件資料判斷第一網路設備分數。進一步地，跨域管控模組可根據第一網路設備分數判斷是否阻斷第一網路設備。並且，在需要阻斷第一網路設備時，跨域管控模組可傳送控制指令至第一網路設備以阻斷第一網路設備。如此一來，本發明的資訊安全管理系統不需通過維運人員執行對第一網路設備的阻斷操作，可有效地提升阻斷效率且易於管理。

圖1繪示本發明的一實施例的資訊安全管理系統的示意圖。請參照圖1。資訊安全管理系統100包含管理伺服器110。管理伺服器110包含處理器120、儲存媒體130以及收發器140。

處理器120例如是中央處理單元（central processing unit，CPU），或是其他可程式化之一般用途或特殊用途的微控制單元（micro control unit，MCU）、微處理器（microprocessor）、數位信號處理器（digital signal processor，DSP）、可程式化控制器、特殊應用積體電路（application specific integrated circuit，ASIC）、圖形處理器（graphics processing unit，GPU）、影像訊號處理器（image signal processor，ISP）、影像處理單元（image processing unit，IPU）、算數邏輯單元（arithmetic logic unit，ALU）、複雜可程式邏輯裝置（complex programmable logic device，CPLD）、現場可程式化邏輯閘陣列（field programmable gate array，FPGA）或其他類似元件或上述元件的組合。處理器120耦接至儲存媒體130以及收發器140。

儲存媒體130例如是任何型態的固定式或可移動式的隨機存取記憶體（random access memory，RAM）、唯讀記憶體（read-only memory，ROM）、快閃記憶體（flash memory）、硬碟（hard disk drive，HDD）、固態硬碟（solid state drive，SSD）或類似元件或上述元件的組合，而用於儲存可由處理器120執行的多個模組以及映射表133，以實施本發明的網路設備的資訊安全管理方法。多個模組包含感測次系統131以及跨域管控模組132。

收發器140以無線或有線的方式傳送及接收訊號。收發器140還可以執行例如低噪聲放大、阻抗匹配、混頻、向上或向下頻率轉換、濾波、放大以及類似的操作。管理伺服器110可通過收發器140以與其他裝置（例如：網路設備）進行通訊。

圖2繪示本發明的一實施例的管理伺服器與網路設備的示意圖；圖3繪示本發明的一實施例的資訊安全管理方法的流程圖，其中所述資訊安全管理方法可由圖2所示的資訊安全管理系統100實施。請參照圖2與圖3。在一實施例中，資訊安全管理系統100可進一步包含與管理伺服器110通訊連接的一或多個網路設備200。網路設備200可包含但不限於伺服器、客戶端、桌上型電腦、筆記型電腦、網路型電腦、工作站、個人數位助理（personal digital assistant，PDA）、個人電腦（personal computer，PC）、平板電腦或電話裝置等。網路設備200可至少包含收發器電路、類比數位（A/D）/數位類比（D/A）轉換器、處理電路、任選的記憶體電路，以及一個或多個天線單元，以執行網路設備200的各項功能。在一實施例中，網路設備200通過資料平面210自資料流中取得資安事件資料SEC。另一方面，網路設備200通過控制平面220傳送資安事件資料SEC至感測次系統131。

在步驟S301中，感測次系統131自網路設備200接收資安事件資料SEC。在一實施例中，感測次系統131可自多個網域（Domain）接收多筆資安事件資料SEC，其中每個網域的資安事件資料SEC可來自於該網域中的網路設備200。假設一網域包含多個網路設備200，感測次系統131可自該網域接收分別對應於多個網路設備200的多筆資安事件資料SEC。

在步驟S302中，跨域管控模組132自感測次系統131取得資安事件資料SEC，並根據資安事件資料SEC判斷網路設備200的設備分數。在一實施例中，映射表133包含資安事件資料SEC與設備分數的映射關係。資安事件資料SEC可指示對應的網路設備200的資安等級，例如是受到外部人士的入侵程度。表1為映射表133的範例。當資安事件資料SEC指示網路設備200未被外部人士入侵時，跨域管控模組132根據資安事件資料SEC查詢映射表133以判斷設備分數為0。另外，當資安事件資料SEC指示網路設備200受到外部人士的輕微入侵時，跨域管控模組132根據資安事件資料SEC查詢映射表133以判斷設備分數為2。當資安事件資料SEC指示網路設備200受到外部人士的中度入侵時，跨域管控模組132根據資安事件資料SEC查詢映射表133以判斷設備分數為4。當資安事件資料SEC指示網路設備200受到外部人士的重度入侵時，跨域管控模組132根據資安事件資料SEC查詢映射表133以判斷設備分數為6。換句話說，跨域管控模組132可根據資安事件資料SEC查詢映射表133來判斷設備分數。表1

資安等級	設備分數
無入侵	0
輕微入侵	2
中度入侵	4
重度入侵	6

在一實施例中，跨域管控模組132根據網域的多筆資安事件資料SEC判斷該網域的網域分數，其中網域分數例如是網域中的所有網路設備200的設備分數之總和。表2為網域分數的範例。假設網域中的多個網路設備200包含網路設備#1、#2、#3和#4，並且感測次系統131自該網域取得的多筆資安事件資料SEC包含資安事件資料SEC-1、SEC-2、SEC-2和SEC-4，其中資安事件資料SEC-1對應網路設備#1，資安事件資料SEC-2對應網路設備#2，資安事件資料SEC-3對應網路設備#3，並且資安事件資料SEC-4對應網路設備#4。網路設備#1、#2、#3以及#4皆屬於同一個網域。若資安事件資料SEC-1指示網路設備#1受到外部人士的輕微入侵，跨域管控模組132判斷網路設備#1的設備分數為2。若資安事件資料SEC-2指示網路設備#2未被外部人士入侵，跨域管控模組132判斷網路設備#2的設備分數為0。若資安事件資料SEC-3以及SEC-4分別指示網路設備#3以及#4受到外部人士的中度入侵，跨域管控模組132判斷網路設備#3以及#4的設備分數皆為4。進一步地，跨域管控模組132可將所有設備分數進行加總，以獲得網域分數（即為10）。表2

資安事件資料	設備分數	網域分數
SEC-1	2	10
SEC-2	0
SEC-3	4
SEC-4	4

在步驟S303中，跨域管控模組132根據設備分數判斷是否阻斷網路設備200。若跨域管控模組132判斷需阻斷網路設備200，則進入步驟S304。若跨域管控模組132判斷不需阻斷網路設備200，則重新執行步驟S301。在一實施例中，若設備分數高於設備閾值，跨域管控模組132判斷阻斷網路設備200。若設備分數等於或低於設備閾值，跨域管控模組132判斷不阻斷網路設備200。假設設備閾值為0，若網路設備200被外部人士入侵（意即，設備分數高於設備閾值），跨域管控模組132判斷阻斷網路設備200。

在一實施例中，假設資訊安全管理系統100的多個網路設備200包含第一網路設備和第二網路設備。感測次系統131自第一網路設備接收第一資安事件資料SEC以及自第二網路設備接收第二資安事件資料SEC。第一網路設備屬於第一網域。第二網路設備屬於不同於第一網域的第二網域。跨域管控模組132可執行步驟S302來判斷第一網路設備的第一設備分數以及第二網路設備的第二設備分數。當第一設備分數高於第二設備分數時，跨域管控模組132在判斷是否阻斷第二網路設備之前，先判斷是否阻斷第一網路設備。換句話說，跨域管控模組132可優先為入侵程度較嚴重的網路設備200判斷該網路設備200是否應被阻斷，藉以提升阻斷效率。

在一實施例中，域管控模組132在確定網域分數高於網域閾值後，判斷是否阻斷該網域中的網路設備200。請參照表2的網域分數的範例。假設網域閾值為5，跨域管控模組132可判斷網域分數10高於網域閾值5。據此，跨域管控模組132可進一步判斷是否應該阻斷該網域中的網路設備#1、#2、#3或#4。換句話說，跨域管控模組132可根據該網域被外部人士入侵的程度來判斷是否為該網域內的網路設備200判斷該網路設備200是否應被阻斷。若網域被外部人士入侵的程度較輕微，跨域管控模組132不需為該網域中的網路設備200執行是否阻斷該網路設備200的判斷。若網域被外部人士入侵的程度較嚴重，跨域管控模組132可為該網域中的網路設備200執行是否阻斷該網路設備200的判斷，藉以提升阻斷效率。

在一實施例中，感測次系統131自多個網域接收資安事件資料SEC。假設所述多個網域包含第一網域和第二網域。感測次系統131自第一網域接收多筆第一資安事件資料SEC以及自第二網域接收多筆第二資安事件資料SEC。第一網域中的網路設備200包含第一網路設備。第二網域中的網路設備200包含第二網路設備。跨域管控模組132可執行步驟S302來判斷第一網域的第一網域分數以及第二網域的第二網域分數。當第一網域分數高於第二網域分數時，跨域管控模組132在判斷是否阻斷第二網路設備之前，判斷是否阻斷第一網路設備。換句話說，跨域管控模組132可優先為入侵程度較嚴重的網域中的網路設備200執行是否阻斷該網路設備200的判斷，而後再為入侵程度較輕微的網域中的網路設備200執行是否阻斷該網路設備200的判斷。如此，可提升阻斷效率。

在步驟S304中，在跨域管控模組132判斷阻斷網路設備200後，跨域管控模組132傳送控制指令CON至網路設備200以阻斷網路設備200。在一實施例中，跨域管控模組132可通過收發器140傳送警示訊號至終端設備（未繪示）。跨域管控模組132可利用諸如電子郵件、簡訊或電話等媒介傳送警示訊號至終端裝置。舉例來說，當網路設備200受到外部人士的入侵時，跨域管控模組132除了傳送控制指令CON來阻斷網路設備200之外，又通過收發器140傳送警示訊號至終端設備以通知維運人員或用戶端。如此一來，維運人員可有效管理多個網路設備200並對被阻斷的網路設備200進行即時維護。

在一實施例中，網路設備200包含行動終端裝置。行動終端裝置包含樹莓派（Raspberry Pi）、機器人、個人數位助理（Personal Digital Assistant，PDA）、平板電腦或智慧型手機等，本發明並不限制。跨域管控模組132對網路設備200執行使用者身分模組（Subscriber Identity Module，SIM）阻斷以阻斷網路設備200。

在一實施例中，網路設備200包含交換器（Switch）、路由器（Router）或行動邊緣運算（Mobile Edge Computing，MEC）裝置。跨域管控模組132對網路設備200執行媒體存取控制（Media Access Control，MAC）阻斷以阻斷網路設備200。

在一實施例中，網路設備200包含基地台（Base Station，BS）、細胞（Cell）、開放架構無線電存取網路（Open Radio Access Network，Open RAN）的網元（Network Element）、核心網路（Core Network）網元或核心網路設備。跨域管控模組132對網路設備200執行存取控制清單（Access Control List，ACL）隔離以阻斷網路設備200。

圖4繪示本發明的一實施例的資訊安全管理方法的流程圖，其中所述管理方法可由如圖1或圖2所示的資訊安全管理系統100實施。請參照圖1與圖4。在步驟S401中，由管理伺服器110的感測次系統131自第一網路設備接收第一資安事件資料。在步驟S401中，由管理伺服器110的跨域管控模組132自感測次系統131取得第一資安事件資料。在步驟S403中，由跨域管控模組132根據第一資安事件資料判斷第一網路設備的第一設備分數。在步驟S404中，由跨域管控模組132根據第一設備分數判斷是否阻斷第一網路設備。在步驟S405中，響應於判斷阻斷第一網路設備，由跨域管控模組132傳送控制指令至第一網路設備以阻斷第一網路設備。

綜上所述，本發明具有以下的特點及功效：本發明適用的範圍涵蓋整個5G企業專網，包含行動終端資源、5G網路設備資源、基地台資源、行動邊緣運算資源或5G核網資源等。相對來說，傳統的資安技術並無法保護整個5G企業專網；本發明可針對不同領域的資安事件之威脅度進行評分，並進一步分析評分結果；本發明可基於資安事件的評分兒快速搜尋威脅的來源，以迅速回應資安威脅；針對不同種類的威脅來源，本發明可採用相對應的阻斷技術來阻斷威脅來源，例如，本發明可利用SIM卡阻斷、MAC阻斷或ACL隔離等方式阻斷威脅來源；本發明可用於保護諸如旁路交換器（bypass switch）、行動邊緣運算控制平面（MAC CP）、行動邊緣運算資料平面（MAC DP）、伺服器、應用程式、軟體定義網路（software defined network，SDN）交換器、交換器、路由器或行動邊緣運算雲平台等MEC邊緣雲運算資源的資訊安全，可用於保護諸如基地台、細胞、專線、虛擬化開放架構無線電存取網路、無線電單元（radio unit，RU）、分布單元（distributed unit，DU）、非即時無線電存取網路智慧控制器（Non-RT RAN intelligent controller，Non-RT RIC）或近即時無線電存取網路智慧控制器（Near-RT RIC）等基地台資源的資訊安全，還可用於保護諸如機器人、機器手臂、手機、平板電腦、個人電腦或筆記型電腦等行動終端資源的資訊安全。

100:資訊安全管理系統

110:管理伺服器

120:處理器

130:儲存媒體

131:感測次系統

132:跨域管控模組

133:映射表

200:網路設備

210:資料平面

220:控制平面

CON:控制訊號

SEC:資安事件資料

S301、S302、S303、S304、S401、S402、S403、S404、S405:步驟

圖1繪示本發明的一實施例的資訊安全管理系統的示意圖。圖2繪示本發明的一實施例的管理伺服器與網路設備的示意圖。圖3繪示本發明的一實施例的資訊安全管理方法的流程圖。圖4繪示本發明的一實施例的資訊安全管理方法的流程圖。

S401、S402、S403、S404、S405:步驟

Claims

一種網路設備的資訊安全管理系統，包括：管理伺服器，包括：儲存媒體，儲存多個模組；以及處理器，耦接所述儲存媒體，並且存取和執行所述多個模組，其中所述多個模組包括：感測次系統，自第一網路設備接收第一資安事件資料；以及跨域管控模組，自所述感測次系統取得所述第一資安事件資料，根據所述第一資安事件資料判斷所述第一網路設備的第一設備分數，並且根據所述第一設備分數判斷是否阻斷所述第一網路設備，其中響應於判斷阻斷所述第一網路設備，所述跨域管控模組傳送控制指令至所述第一網路設備以阻斷所述第一網路設備，其中所述儲存媒體更儲存包括所述第一資安事件資料與所述第一設備分數的映射關係的映射表，其中所述跨域管控模組根據所述映射表判斷所述第一設備分數。
如請求項1所述的資訊安全管理系統，其中所述感測次系統自第一網域接收包括所述第一資安事件資料的多筆第一資安事件資料，其中所述第一網域包括所述第一網路設備，其中所述跨域管控模組根據所述多筆第一資安事件資料判斷所述第一網域的第一網域分數，並且根據所述第一網域分數判斷是否阻斷所述第一網路設備，其中所述第一網域分數為對應於所述多筆第一資安事件資料的多個網域設備的設備分數的總和。
如請求項2所述的資訊安全管理系統，其中所述感測次系統自第二網域接收多筆第二資安事件資料，其中所述跨域管控模組根據所述多筆第二資安事件資料判斷所述第二網域的第二網域分數，並且根據所述第二網域分數判斷是否阻斷所述第二網路設備，其中響應於所述第一網域分數高於所述第二網域分數，所述跨域管控模組在判斷是否阻斷所述第二網路設備之前，判斷是否阻斷所述第一網路設備，其中所述第二網路設備分數為對應於所述多筆第二資安事件資料的多個網路設備的設備分數的總和，其中所述對應於所述多筆第二資安事件資料的所述多個網路設備包括所述第二網路設備。
如請求項1所述的資訊安全管理系統，其中所述第一網路設備屬於第一網域，其中所述感測次系統自所述第一網域的第二網路設備取得第二資安事件資料，根據所述第二資安事件資料判斷所述第二網路設備的第二設備分數，並且根據所述第二設備分數判斷是否阻斷所述第二網路設備，其中響應於所述第一設備分數高於所述第二設備分數，所述跨域管控模組在判斷是否阻斷所述第二網路設備之前，判斷是否阻斷所述第一網路設備。
如請求項2所述的資訊安全管理系統，其中響應於所述第一網域分數高於網域閾值，所述跨域管控模組判斷是否阻斷所述第一網域的所述第一網路設備。
如請求項1所述的資訊安全管理系統，其中響應於所述第一設備分數高於設備閾值，所述跨域管控模組判斷是否阻斷所述第一網路設備。
如請求項1所述的資訊安全管理系統，其中響應於判斷阻斷所述第一網路設備，所述跨域管控模組傳送警示訊息至終端裝置。
如請求項1所述的資訊安全管理系統，更包括：所述第一網路設備，通訊連接至所述管理伺服器，其中所述第一網路設備通過資料平面自資料流中取得所述第一資安事件資料，並通過控制平面傳送所述第一資安事件資料至所述感測次系統。
如請求項1所述的資訊安全管理系統，其中所述第一網路設備包括行動終端裝置，其中所述跨域管控模組對所述第一網路設備執行使用者身分模組阻斷以阻斷所述第一網路設備。
如請求項1所述的資訊安全管理系統，其中所述第一網路設備包括交換器、路由器及行動邊緣裝置的至少其中之一，其中所述跨域管控模組對所述第一網路設備執行媒體存取控制阻斷以阻斷所述第一網路設備。
如請求項1所述的資訊安全管理系統，其中所述第一網路設備包括基地台、細胞、開放架構無線電存取網路的網元、核心網路網元以及核心網路設備的至少其中之一，其中所述跨域管控模組對所述第一網路設備執行存取控制清單隔離以阻斷所述第一網路設備。
一種網路設備的資訊安全管理方法，包括：由管理伺服器的感測次系統自第一網路設備接收第一資安事件資料；由所述管理伺服器的跨域管控模組自所述感測次系統取得所述第一資安事件資料；由所述跨域管控模組根據所述第一資安事件資料判斷所述第一網路設備的第一設備分數；由所述跨域管控模組根據所述第一設備分數判斷是否阻斷所述第一網路設備；響應於判斷阻斷所述第一網路設備，由所述跨域管控模組傳送控制指令至所述第一網路設備以阻斷所述第一網路設備；由儲存媒體儲存包括所述第一資安事件資料與所述第一設備分數的映射關係的映射表；以及由所述跨域管控模組根據所述映射表判斷所述第一設備分數。