WO2010127578A1 - 对电信设备安全状态验证的方法、设备和系统 - Google Patents

对电信设备安全状态验证的方法、设备和系统 Download PDF

Info

Publication number
WO2010127578A1
WO2010127578A1 PCT/CN2010/071499 CN2010071499W WO2010127578A1 WO 2010127578 A1 WO2010127578 A1 WO 2010127578A1 CN 2010071499 W CN2010071499 W CN 2010071499W WO 2010127578 A1 WO2010127578 A1 WO 2010127578A1
Authority
WO
WIPO (PCT)
Prior art keywords
component
security
information
attribute information
network side
Prior art date
Application number
PCT/CN2010/071499
Other languages
English (en)
French (fr)
Inventor
任兰芳
位继伟
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2010127578A1 publication Critical patent/WO2010127578A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Definitions

  • the present invention relates to the field of communications, and in particular, to a method for verifying a security status of a telecommunication device, a method, device and system for access control. Background technique
  • the security of the core network needs to be ensured, so that the user can be provided. Safe and reliable service. Therefore, it is not only necessary to perform effective security control on the telecommunication equipment located in the core network, but also the telecommunication equipment corresponding to each of the foregoing access modes to access the core network (for convenience of explanation, the telecommunication equipment is called Incoming equipment) for effective access control.
  • eNBs eNodeBs, base stations
  • LTE Long Term Evolution
  • UMTS Universal Mobile Telecommunications System
  • Home NodeB Femto Cellular Base Station
  • HeNB Home e NodeB, Femto Cellular Base Station
  • WLAN Wireless Local Area Network
  • AP Access Point, wireless access point
  • these access devices access the operator's core network through an open and insecure bearer network (such as an IP network), because these physically insecure access devices themselves There are various security threats. Once these insecure access devices are connected to the network, they will seriously affect the security of the entire network.
  • Embodiments of the present invention provide a method, device, and system for verifying a security status of a telecommunication device to verify the security status of the telecommunication device and to perform effective access control on the telecommunication device accessing the core network.
  • a method for verifying a security status of a telecommunications device comprising: receiving security status information from a telecommunications device, the security status information comprising: an identifier identifying at least one component of the telecommunications device and At least one attribute information of the component;
  • the received security status information is verified by security, and the verification result is obtained.
  • the access device is any telecommunication device located outside the secure network, and the method includes:
  • the security status information includes: an identifier of at least one component constituting the access device and at least one attribute information of the component;
  • a telecommunications device comprising:
  • a collecting unit configured to collect security state information of the telecommunication device according to a component constituting the telecommunication device, the security state information including an identifier of at least one component constituting the telecommunication device and at least one of the components Attribute information
  • a sending unit configured to send the security status information collected by the collecting unit to the network side device, so that the network side device performs security verification on the security status information.
  • a network side device in another aspect, includes:
  • a receiving unit configured to receive security state information sent by the access device, where the security state information includes at least one component identifier constituting the access device and at least one attribute information corresponding to the component;
  • a verification unit configured to verify, according to the security policy, the security status information received by the receiving unit, to obtain a verification result
  • a control unit configured to perform access control on the access device according to at least the verification result of the verification unit.
  • a security verification device comprising:
  • a receiving unit configured to receive security state information from the telecommunication device, where the security state information includes: an identifier that constitutes at least one component of the telecommunication device and at least one attribute information of the component; and a verification unit, configured to use the security policy And performing security verification on the received security status information, and obtaining a verification result.
  • a network system includes: an access device and a network side device, where
  • the access device is configured to collect security state information of the access device, and send the information to the network side device, where the security state information includes an identifier of the collected at least one component and at least one of the components Attribute information
  • the network side device is configured to receive the security state information sent by the access device, verify the security state information according to the security policy, and obtain a verification result; and according to the verification result, the access device Perform access control.
  • a network system comprising: a telecommunication device and a security status verification device, wherein
  • the telecommunication device is configured to collect security status information of the telecommunication device, and send the security status information to the security status verification device, where the security status information includes an identifier of the collected at least one component and at least one attribute information of the component ;
  • the security status verification device is configured to receive security status information sent by the telecommunication device, where the security status information includes an identifier of the collected at least one component and at least one attribute information of the component; according to a security policy, The received security status information is verified to obtain a verification result.
  • the network side device is verified by reporting the security state information including the attribute information of the at least one component and the component constituting the telecommunication device to the network device.
  • the security status information of the telecommunication device gives the verification result, and achieves the purpose of security verification; and can perform corresponding control according to the verification result, thereby implementing access control on the telecommunication device to access the core network, and ensuring the core network.
  • Safety and reliability DRAWINGS
  • FIG. 1 is a schematic flow chart of a method for verifying a security status of a telecommunication device according to Embodiment 1 of the present invention
  • FIG. 2 is a schematic flowchart of a method for access control according to Embodiment 1 of the present invention
  • Embodiment 3 is a schematic diagram of an application scenario provided by Embodiment 2 of the present invention.
  • FIG. 4 is a schematic flowchart of a method for access control according to Embodiment 2 of the present invention.
  • FIG. 5 is a schematic diagram of interaction of a method for access control according to Embodiment 2 of the present invention.
  • FIG. 6 is a schematic diagram of an application scenario provided by Embodiment 3 of the present invention.
  • FIG. 7 is a schematic flowchart of a method for access control according to Embodiment 3 of the present invention.
  • FIG. 8 is a schematic diagram of interaction of a method for access control according to Embodiment 3 of the present invention.
  • Embodiment 9 is a schematic diagram of an application scenario provided by Embodiment 4 of the present invention.
  • FIG. 10 is a schematic flowchart of a method for access control according to Embodiment 4 of the present invention.
  • FIG. 11 is a schematic diagram of interaction of a method for access control according to Embodiment 4 of the present invention.
  • Figure 12 is a schematic diagram of a telecommunication device according to Embodiment 5 of the present invention.
  • FIG. 13 is a schematic diagram of a network side device according to Embodiment 6 of the present invention.
  • FIG. 14 is a schematic diagram of a security state positive device provided by Embodiment 7 of the present invention.
  • Figure 15 is a schematic diagram of a network system according to Embodiment 8 of the present invention.
  • Figure 16 is a schematic diagram of a network system according to Embodiment 9 of the present invention. detailed description
  • the embodiment of the present invention divides the telecommunication device into different components according to different functions implemented by the functional modules in the telecommunication device (ie, one component that is divided corresponds to a certain functional module of the telecommunication device).
  • the security of the different components that make up the device ultimately determines the security state of the telecommunication device itself. Therefore, the security of the telecommunication device is achieved by separately verifying the different components of the telecommunication device that perform the specific function.
  • Authenticating the status, and implementing an access device that needs to access the core network (in this embodiment, for convenience of description, any telecommunication device located outside the core network to access the core network is defined as an access device.
  • the defined access device includes, but is not limited to, a base station, a terminal, and a router, and performs access control on the access device based on the security status verification result.
  • the components can be further classified according to the functions of the telecommunication devices: public class components and custom class components, wherein
  • the so-called public class component refers to the basic functional components that are commonly owned by all telecommunication devices, such as: a clock component (for providing the working system clock of the telecommunication device), and a data component (for completing various telecommunication devices) Configuration data storage) and so on.
  • custom class component refers to a component other than the public class component owned by the telecommunication device, which can be understood as a personalized component of a certain type of telecommunication device, for example, a radio frequency component divided for the base station. and many more.
  • each component When component division is performed for a telecommunication device, each component also has its own attribute information, such as key configuration information, software and hardware module information, product information, security-related data information, IP address information, and the like. In general, each component has the attribute information. In particular, for the custom class component, the attribute information may include other corresponding attribute information, which is not limited in this embodiment.
  • the operator of the telecommunication device cannot be incompatible with the core network because the security status of a certain component of the access device does not meet.
  • the security policy rejects the access device from accessing the network, which not only seriously affects the experience of the carrier user, but also does not conform to the characteristics of the telecommunication network. Therefore, for a telecommunication network, it is necessary to flexibly adopt access control of the device according to the security status of different components of the telecommunication device or the security policy of different attributes of different components.
  • the embodiment of the present invention defines security state information of the telecommunication device for the telecommunication device, where the security state information includes: components of the device and attribute information of the component, see
  • An embodiment of the present invention provides a method for verifying a security status of a telecommunication device, the method comprising:
  • C1 receiving security status information from the telecommunication device, the security status information comprising: an identifier of at least one component constituting the telecommunication device and at least one attribute information of the component;
  • the identification of a component herein should be understood as information for describing the component, which may be the name of the component, the type of the component, or the digital identification of the component, including but not limited to.
  • the security policy of the M-home is used to perform security verification on the received security status information, and the verification result is obtained.
  • the verification results here can be stored or maintained for other entities to query.
  • the security policy here may be preset in the execution body of the method, or may be dynamically obtained from the policy server, including but not limited to.
  • the step of performing security verification on the received security status information according to the security policy in step C2, and obtaining the verification result includes:
  • the verification result is a pass
  • the verification result is not passed, or , the verification result of some components is passed.
  • the device sends an error message; if the component identifiers match, determining whether the attribute information of the component matches the attribute information stored on the network side for at least one component, and if the attribute information matches, the verification result is a pass; if the attribute information does not match, the verification is performed. The result is not passed, or the result of some components is passed.
  • the attribute information of the component is matched with the attribute information stored on the network side. If the attribute information matches, the result of the certificate is passed; if the attribute information does not match, the result of the certificate is not passed, or the verification of the component is performed.
  • the result is passed, and the specifics may include: Determining, by the at least one component, whether the attribute corresponding to the at least one attribute information of the component has a corresponding reference attribute on the network side; if not, sending a security status information request to the telecommunication device, the security status information requesting for the telecommunication The device depends on the new attribute of the component, or sends an error message to the telecommunication device; if it exists, it determines whether the attribute information of the component matches the corresponding reference attribute value stored on the network side; if the attribute information matches, the verification result is passed If the attribute information does not match, the verification result is not passed, or the verification result of some components is passed.
  • the component includes one or more of the public class components, and/or one or more of the custom class components, as in the previous, the public class component and the custom class component are differently divided by the functional characteristics of the #home telecommunications device, among them,
  • the public class component includes at least a clock system component, an underlying software component, an operating system component, a data center component, a maintenance interface conversion module component, an operation management 0M module component, a transport protocol component, a transmission control module component, a signaling module component, and a transmission system component. One or more of them;
  • the custom class component includes at least one or more of a baseband system component, a radio frequency system component, a flow control transport protocol SCTP protocol state component, a switching system component, a forwarding system component, a service interface module component, each service module component, and a network module component.
  • the attribute information of the component includes key configuration information, software and hardware module information, product information, security related data information, IP address information of the telecommunication device, location information or port number information, configuration success information, security status verification result information, and repair suggestion information. And one or more of the error message.
  • the method execution entity of the embodiment of the present invention may be a security gateway SeG1 access gateway AG, an authorization and accounting server AAAserver, a home location register HLR, a home subscriber server HSS, an operation management and maintenance server 0AM server.
  • AHR mobility management entity MME, access node manager APM.
  • the telecommunication device involved in the method provided by the embodiment of the present invention may be any telecommunication device located in a secure network (such as a core network), or may be any telecommunication device located outside the secure network to access the secure network. (including but not limited to base stations, terminals, etc.), if specifically for a telecommunications device located in the secure network, the security status information is carried in the data domain of the flow control transport protocol SCTP message.
  • a secure network such as a core network
  • SCTP flow control transport protocol
  • the method of the embodiment of the present invention further includes: sending a security message to the telecommunication device according to the security policy.
  • a security information request requesting, to the telecommunication device, a component identifier to be verified by the network side device and/or attribute information of the component, that is, the security state information request is used to indicate a security state returned by the telecommunication device
  • the information carries the component identifiers and/or attribute information of the components that the network side device desires to obtain.
  • the network side device verifies the telecommunication device by reporting the security state information including the at least one component constituting the telecommunication device and the attribute information of the component to the network side device.
  • the safety status information gives the verification result and achieves the purpose of safety verification.
  • an embodiment of the present invention provides an access control method, where the access device is defined as any telecommunication device located outside the security network, and the access device is to access the security network, and the method is as follows:
  • S1 receiving security state information from the access device, where the security state information includes: an identifier of at least one component constituting the telecommunication device and at least one attribute information of the component;
  • the identification of a component herein should be understood as information for uniquely describing or identifying the component, and may be the name of the component, the type of the component, or the digital identification of the component, including but not limited to.
  • the M-home security policy performs security verification on the received security status information and obtains the verification result; the verification result here can be stored or maintained for other entities to query.
  • the security policy here may be preset in the execution body of the method, or may be dynamically obtained from the policy server, including but not limited to.
  • S3 Perform access control on the access device according to at least the result of the authentication.
  • the step of performing security verification on the received security status information according to the security policy according to the foregoing step S2, and obtaining the verification result includes:
  • the verification result is a pass
  • the verification result is not passed, or , the verification result of some components is passed.
  • the at least one component determines whether the received at least one component identifier matches the reference component identifier stored on the network side; if the component identifier does not match, sending a security status information request to the access device, the security state information request carrying the component identifier to be verified, or The access device sends an error message. If the component identifiers match, the at least one component determines whether the attribute information of the component matches the attribute information stored on the network side. If the attribute information matches, the verification result is a pass; if the attribute information does not match, The verification result is not passed, or the result of the verification of some components is passed.
  • determining whether the attribute information of the component matches the attribute information stored by the network side if the attribute information matches, the result of the certificate is passed; if the attribute information does not match, the result of the certificate is not passed, or the verification of the component is performed.
  • the result is passed, and the specifics may include:
  • the component includes one or more of the common class components, and/or one or more of the custom class components.
  • the public class component and the custom class component are differently divided according to the functional characteristics of the telecommunication device, wherein ,
  • the public class component includes at least a clock system component, an underlying software component, an operating system component, a data center component, a maintenance interface conversion module component, an operation management 0M module component, a transport protocol component, a transmission control module component, a signaling module component, and a transmission system component. One or more of them;
  • the custom class component includes at least one or more of a baseband system component, a radio frequency system component, a flow control transport protocol SCTP protocol state component, a switching system component, a forwarding system component, a service interface module component, each service module component, and a network module component.
  • the attribute information of the component includes key configuration information, software and hardware module information, product information, security related data information, IP address information of the telecommunication device, location information or port number information, configuration success information, security status verification result information, and repair suggestion information. And one or more of the error message.
  • the step of performing access control on the access device according to the verification result involved in step S3, include:
  • access control is performed on the access device.
  • the method includes: if all the verification results are passed, the access device is allowed to access the security network completely, and all services corresponding to the access device are enjoyed; or
  • the verification result is that the one or more attribute information of the public class component of the access device does not match the reference attribute value corresponding to the network side, and the attribute corresponding to the one or more attribute information has a security threat to the security network. If the coefficient is lower than the reference value of the security threat coefficient, the access device is allowed to access the secure network, but the access device has the right to access the service; or
  • the verification result is that the attribute information of the public class component of the access device does not match the reference attribute value corresponding to the network side, and the attribute corresponding to the attribute of the attribute information has a higher security risk coefficient than the security threat coefficient of the security network.
  • the reference value allows the access device to establish a connection with the secure network, but limits the access rights of the access device to the service;
  • the access control step is performed on the access device according to the verification result and the access policy, including:
  • the verification result is that the verification of the attribute information of the common component of the access device fails the verification (that is, the attribute information of the common component of the access device does not match the reference attribute value corresponding to the network side), the access device is rejected. Into the secure network.
  • the security status information is carried in the data domain of the flow control transport protocol SCTP message.
  • the method further includes:
  • a security status information request to the access device, where the security status information request is used to request, from the access device, a component identifier to be verified by the network side device and/or attribute information of the component, that is, the security status information request
  • the security status information returned by the access device is carried in the component identifier and/or attribute information of the component that the network side device desires to acquire.
  • the method execution entity of the embodiment of the present invention may be a security gateway SeGW, an access gateway AG,
  • Authorization and accounting server AAA server home location register HLR, home subscriber server HSS, operation management and maintenance server 0AM server, access node home registrar AHR, mobility management entity ⁇ E, access node manager APM.
  • the security status information including the attribute information of at least one component and component constituting the telecommunication device is reported to the network side device.
  • the network side device verifies the security status information of the telecommunication device to give a verification result, and performs corresponding access control according to the verification result.
  • the security network takes the core network as an example to implement the connection to the core network.
  • the access control of the access device entering the core network ensures the security and reliability of the core network.
  • FIG. 3 is a schematic diagram of an application scenario of the method according to Embodiment 2 of the present invention.
  • the telecommunication device in the embodiment of the present invention uses an HNB as an example to describe the HNB.
  • the HNB usually provides a service for accessing the core network for a single user terminal UE.
  • the UE can connect to the core network through the IP network by using the HNB.
  • the method provided by the embodiment of the present invention is as follows:
  • the HNB is powered on, and the HNB collects its own security status information during the power-on startup.
  • the security status information includes: components of the HNB and attribute information of each component.
  • the telecommunication equipment divides the components according to the functions of the modules, and each component has its own attribute information.
  • Table 1 a schematic diagram of components and attribute information provided by an embodiment of the present invention is shown.
  • Baseband System MUST MUST MUST MUST SHOULD SHOULD MAY MUST
  • Maintenance Interface Conversion Module MUST MUST MUST MUST SHOULD SHOULD MAY MUST Block NOT NOT NOT
  • 0M module MUST MUST MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
  • Transport Protocol Components MUST MUST MUST MUST MUST SHOULD SHOW MAY MUST
  • Transmission Control Module MUST MUST MUST MUST SHOULD SHOULD MAY MUST Signaling Module MUST MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
  • common components include: clock system, underlying software, operating system, data center (for storing various configuration data), maintenance interface conversion module (for converting external commands into internal messages), OM (Operation Management) (for functions such as device configuration, alarm management, software upgrade and loading, and device status management), transport protocol components, and transport control modules (for the completion of transport protocol components) Distribution, configuration and maintenance of transport layer related parameters and management of resources), signaling module (for processing of radio resource management algorithms, parameter configuration management process), and transmission system;
  • Personalized components include: baseband system, radio frequency system, SCTP (Stream Cont ro 1 Transrai ss ion protocol) protocol status, switching system, forwarding system, service interface module, service modules, network module, etc. ;
  • SCTP Stream Cont ro 1 Transrai ss ion protocol
  • the attribute information of each component includes: key configuration information, software and hardware module information, product information, security related data, IP address, location information or port number, whether the configuration is successful, and the security status check Certificate results, repair suggestions, error prompts, etc., as shown in Table 1, in general, each component will have these attribute information.
  • a relationship table between a component type and a component identifier may be separately maintained on the network side device or the access device. See Table 2, which is a schematic table provided by an embodiment of the present invention.
  • the component identifier is used to uniquely describe or uniquely identify a component, as shown in Table 1, the component identifier is specifically implemented by numbers, and when implemented by numbers, some of the numbers may also be The bit identifies whether the component belongs to a public class component or a custom class component, for example, Use the highest bit "1" to indicate that the component belongs to the public class component, and use the highest bit "2" to indicate that the component belongs to the custom class component; optionally, the component can also be identified as a public class by a preset indicator. Components are still part of a custom class. Alternatively, the component identification may also be implemented directly by the name of the component or the type of the component. Specifically, the relationship between the access device HNB and the network side device AG maintains a relationship mapping table, including: component type: component identifier; attribute type: attribute identifier.
  • the action of collecting its own security status information may be performed by a certain logical function module of the HNB (for example, it may be a TrE, or may be another functional module such as an IMC (Integrity Measurement Col lec tor) integrity measurement controller. And is responsible for collecting security state information of the HNB device according to a startup timing of each component in the device, the security state information including at least one component constituting the HNB and at least one attribute information of the component.
  • a certain logical function module of the HNB for example, it may be a TrE, or may be another functional module such as an IMC (Integrity Measurement Col lec tor) integrity measurement controller.
  • IMC Intelligent Measurement Col lec tor
  • the foregoing step 101 may further perform a power-on startup process for the HNB. Accordingly, after the HNB completes the startup, the step 102 initiates an access request to the network-side AG, and establishes a link with the AG. After the link is established, the HNB collects its own security status information.
  • the invention is not limited thereto.
  • the AG security policy After the link between the HNB and the AG is successfully established, the AG security policy sends a security status information request to the HNB.
  • the preset security policy here can also adopt other implementations, such as the AG dynamically obtaining the corresponding security policy from the policy server.
  • the preset security policy is used to determine the content that the telecommunication device needs to report its own security status information.
  • the preset security policy may be:
  • the HNB device is required to report certain (or some) attribute information of all its components; or,
  • the HNB device is required to report all attribute information of one (or some) of its components; or,
  • the HNB After receiving the security status information request, the HNB obtains the security status information that the AG wants to obtain from the security status information collected by the HNB.
  • the HNB returns the obtained security state security information to the AG through the SCTP transmission message.
  • the access device is transmitted through the SCTP protocol when accessing the core network.
  • This embodiment uses the SCTP protocol between the HNB and the AG to implement the HNB returning security status information to the AG as an example. It can be known by those skilled in the art that, based on the SCTP protocol, the establishment of an SCTP connection requires two interaction processes between two endpoints. The first message interaction is used to initialize the relevant parameters of the SCTP connection, and the second message interaction is used to perform data transmission between the two ends of the SCTP.
  • the embodiment of the present invention returns the security state security information to the AG through the SCTP transmission message, the following two methods may be used:
  • the second message may be used to transmit the data characteristics, and the second message is used to carry the security status information of the telecommunication device HNB that the AG desires to acquire. .
  • the SCTP data packet carries the security status information of the HNB of the telecommunication device that the AG wants to obtain, and the telecommunication device and the core network can be implemented.
  • the transmission of security status information is performed between.
  • the SCTP message when used to carry the security state information of the HNB of the telecommunication device that the AG wants to obtain, the data block da ta chunk field of the SCTP message may be extended, that is, the port is used to implement the security state.
  • the purpose of the information This embodiment does not limit this.
  • other transmission protocols such as TCP, UDP, and the like, may be used to implement the transmission of the security state information of the telecommunication device. This embodiment does not limit this.
  • the AG side After receiving the security status information sent by the HNB, the AG side performs a security face certificate on the security status information, and obtains a positive result.
  • the details are as follows:
  • the AG receives security status information, where the security status information includes a component and attribute information of the component;
  • each attribute information of each component reported by the HNB is specifically: reporting the HNB
  • Each attribute information of each component is compared with a corresponding reference attribute value. For example, it is compared whether the attribute information of each component reported by the HNB and the preset reference attribute value are consistent (or matched).
  • the preset reference value may be saved by the AG itself, or may be obtained by the AG from other devices in the core network, which is not limited in this embodiment.
  • the preset reference value may be a preset reference range value, and correspondingly, the step of determining, according to the preset reference value, each attribute information corresponding to each component reported by the HNB, specifically It is: According to the preset reference range, the attribute information of each component reported by the HNB is judged. For example, it is determined whether each attribute information corresponding to each component reported by the HNB is within the reference range value.
  • the preset reference range may be saved by the AG itself, or may be obtained by the AG from other devices in the core network, which is not limited in this embodiment.
  • the AG sends another security status information request message to the HNB, requesting to obtain attribute information of other types of components or requesting other components.
  • the attribute information the HNB responds to the another security status information request message by the SCTP message, and the AG continues to verify the other security status information until the security status information is not further acquired from the HNB.
  • the AG sends another security status information request message to the HNB.
  • the AG requests the HNB device to report all the attribute information of a certain component, and the AG finds that one of the attribute information of the component (or some) is inconsistent with the preset reference value, so as to ensure the security of the HNB.
  • the AG requests the HNB device to send the inconsistent attribute information of the component by sending another security status information request message.
  • the HNB responds to the other security through the SCTP message. Status information request message. This embodiment does not limit this.
  • the step 1064 is an optional step, that is, if the verification result is that the component attribute information reported by the HNB is all consistent with the standard reference value of the network side, the verification process is completed, and the step 1064 is not required; otherwise, according to the verification.
  • the device is requested to perform finer-grained security status information. If the attribute information of other types of components is requested or other attribute information of a component is requested, the AG re-verifies the fine-grained security status information until the security status information is not obtained further from the HNB. process.
  • the AG performs access control on the HNB according to the verification result and the preset access policy.
  • the details are as follows:
  • the preset access policy here may also adopt other implementations, for example, the AG dynamically obtains the corresponding access policy from the policy server.
  • the AG may also notify the HNB of the verification result, which is not limited in this embodiment.
  • the foregoing preset access policies are mainly used to take different access decisions for different verification results, that is, different device security state information verification results correspond to different access modes.
  • the specific access policy can be:
  • the verification result is that one (or some) of the attribute information of the public class component of the access device is inconsistent with the preset reference value
  • the verification result is that the security policy is not satisfied; but the attribute corresponding to the attribute information is on the network.
  • the security threat coefficient is low.
  • the security threat coefficient of the attribute corresponding to the attribute information is lower than the security threat coefficient reference value, that is, although the attribute information is inconsistent with the preset reference value. If the security policy is not met, but the security policy does not affect the network if the security policy does not affect the network (such as some unimportant attribute information fails to pass the authentication), the access device is allowed to access.
  • the core network but needs to limit its enjoyment for certain services.
  • the HNB may be notified to repair the attribute information.
  • the attribute information of the common component of the access device does not match the preset reference value (that is, the attribute information does not satisfy the security policy), but the attribute corresponding to the attribute information may have a certain impact on the network.
  • the attribute information of the device software and hardware module information in the common component is not verified, and the component of the device software and hardware module information belongs to a class of attributes with high risk coefficient to the core network, in one implementation, the attribute information If the security attribute of the corresponding attribute is higher than the security threat coefficient reference value, the core network only allows the access device to establish a connection with the core network, but only some emergency call services (such as 110, 120) And other special services);
  • the telecommunication device HNB provided by the embodiment of the present invention, when the attribute information of the common component of the HNB does not match the preset reference value, for example, the attribute information of the transmission control component is inconsistent with the corresponding preset reference value.
  • the AG can directly reject the HNB device to access the network, and the HNB device needs to be repaired. After the HNB device repairs, it continues to access the core network through the front.
  • the decision to make such an access decision for the HNB device fully considers the flexibility and reliability of the application. The reason is as follows: Since the HNB is deployed in the home of an individual user, denying access to the operator only affects a certain user. The use of, will not cause access to large-scale users, compared to the security of the core network is still desirable. However, this method is less implementable for eNBs responsible for large-scale user access to core network tasks.
  • the access policy in the foregoing step 107 may be preset in the AG, or may be obtained by the AG from the policy server, where the policy server is used to store the access policy. This embodiment does not limit this.
  • FIG. 5 is a schematic diagram of interaction of a method according to an embodiment of the present invention. As shown in FIG. 5, the method includes:
  • the HNB requests to access the network, and establishes a link with the AG;
  • the AG requests the security status information of the HNB according to the security policy, for example, requests all attribute information of the customized component of the HNB;
  • the HNB reports all attribute information of the customized component component requested by the AG;
  • the AG verifies the security status information reported by the HNB, and the verification process includes: comparing the attribute information corresponding to the component reported by the HNB with the standard reference value corresponding to the AG at the network side, and giving the verification result; According to the verification result, step 6 or 6' is selected. Specifically, if the verification result is that the component attribute information reported by the HNB is consistent with the standard reference value of the network side, step 6 is performed; if the verification result is a certain attribute information of the component and The standard reference value is inconsistent or the number of components on the HNB does not match the number of components on the network side AG. For example, if the number of components reported by the HNB is less than the number of components required by the network side AG, go to step 6 '.
  • the network side can request more fine-grained security status information of the device. Such as requesting attribute information of other types of components or relying on other attribute information of a component.
  • the method for access control after the partitioning of the components of the telecommunication device, reports the security state information including the attribute information of the component and the component to the network side device on the core network side.
  • the network side device verifies the security status information of the telecommunication device to give a verification result, and According to the verification result, the corresponding access control is implemented, thereby implementing access control on the access device to access the core network, and ensuring the security and reliability of the core network.
  • the foregoing embodiment 2 is an example in which the access device is an HNB, and the security policy information corresponding to the security policy is obtained from the HNB by using the network side as the security policy.
  • the access device is a common eNB.
  • the network side is described by taking the ⁇ E as an example, and the embodiment of the present invention is described by taking the eNB's own security state information as an example.
  • FIG. 6 is a schematic diagram of an application scenario of the method according to Embodiment 3 of the present invention.
  • the eNB is used as an example for the eNB to provide access to a user terminal UE with a large amount.
  • each UE can use the eNB to connect to the core network through the IP network.
  • the embodiment of the present invention provides a method for access control. Referring to FIG. 7, the content of the method provided by the embodiment of the present invention is as follows:
  • the eNB is powered on, and the eNB collects its own security status information during the power-on startup, where the security status information includes: components of the eNB and attribute information of each component.
  • 202 After the eNB completes the startup, initiate an access request to the ME, and establish a link with the MME.
  • the steps 201-202 are similar to the steps 100-101 of the foregoing Embodiment 1, and are not described again.
  • 203 After the link is established between the eNB and the MN, the eNB sends the security status information collected by the eNB to the MME.
  • the specific implementation of the step 203 may be: when the link between the eNB and the ⁇ E is established, the eNB actively reports all or a part of the components of the device to the network side according to the priority of the component security level. Partial attribute information;
  • the priority of the component security level may be that the priority of the public class component is higher than the priority of the custom class component; for example, the priority of each component may be further developed for the public class component, for example: a public class component
  • the order of priority is as follows: operating system, underlying software, data center, transmission control module, clock system, transport protocol component, and transmission system.
  • the MME After receiving the security status information sent by the eNB, the MME performs security verification on the security status information, and obtains a positive result.
  • the step 204 is similar to the step 106 of the embodiment 1, and details are not described herein again.
  • the difference between this embodiment and the embodiment 2 is that since the eNB is a small base station of the operator's core network, a large number of users access the core network through it. Therefore, once the device is denied access to the network, many users will be disconnected from the network. Therefore, for practical applications, the implementation of the method provided by the embodiment of the present invention is fully considered.
  • an access policy on the network side rarely denies access to the access device. Generally, if the verification result does not comply with the security policy, the access device eNB is usually provided with a connection, but the access device is limited to provide certain services and the like. Alternatively, the eNB may be prompted to perform repair, and if the eNB repairs successfully, the eNB is provided with the service in the core network through the MME of the network side.
  • the network side can periodically perform security state information verification on the eNB device, for example, by setting a timer to trigger the reporting of the security state information to the eNB device, that is, after the eNB is triggered, the active device is activated.
  • the MME reports its own security status information, where the eNB updates its own security status information in time according to its own operation.
  • FIG. 8 is a schematic diagram of information interaction according to an embodiment of the present invention. As shown in FIG. 8, the method includes:
  • the eNB collects its own security status information.
  • the eNB requests access to the network and establishes a link with the MME;
  • the eNB is triggered by a timer, and reports the security status information of the eNB by using the transmission protocol.
  • the MME verifies the security status information reported by the eNB, and the verification process includes: performing attribute information corresponding to the component reported by the eNB and the MME corresponding to the network side. The standard reference value is compared, and a positive result is given. According to the verification result, step 5 or 5' is selected. Specifically, if the verification result is that the component attribute information reported by the HNB is consistent with the standard reference value of the network side, the execution is performed. Step 5; If the verification result is that the attribute information of the key component that the MME wants to acquire is missing (such as the data center component of the eNB and its corresponding attribute information), then step 5 ' is performed.
  • the MME may request the eNB to perform finer-grained security state information. For example, clear the attribute information of the key component.
  • the MME passes the verification result to the eNB, and performs access control according to the access policy and the verification result; 6.
  • the eNB periodically triggers the security status verification process (this step is an optional step).
  • the method for access control after the partitioning of the components of the telecommunication device, reports the security state information including the attribute information of the component and the component to the network side device on the core network side.
  • the network side device verifies the security status information of the telecommunication device to give a verification result, and performs corresponding access control according to the verification result, thereby implementing access control on the access device to access the core network, and ensuring the core.
  • Network security and reliability are descriptions for access devices in a telecommunication device, and specifically describe how access control is performed for such access devices to ensure security and reliability of the core network;
  • the security of the telecommunication equipment inside the core network also affects the security and reliability of the core network.
  • the following Embodiment 4 describes how to perform security status verification on the telecommunication equipment (referred to as telecommunication equipment) located inside the core network. , as detailed below:
  • Example 4 describes how to perform security status verification on the telecommunication equipment (referred to as telecommunication equipment) located inside the core network. , as detailed below: Example
  • An embodiment of the present invention provides a method for verifying a security state of a telecommunication device.
  • FIG. 9 a schematic diagram of an application scenario provided by an embodiment of the present invention is provided.
  • the core network needs to be in the core network.
  • this embodiment is described by taking a security state of a database server in a core network as an example.
  • FIG. 10 it is a flowchart of a method provided by an embodiment of the present invention. , the content is as follows:
  • the network management server sends a security status information request to the database according to its own security control policy.
  • the security status information request carries the component identifier of the telecommunications device and the attribute information of the corresponding component that the network side device desires to acquire.
  • the database server After receiving the security status information request, the database server collects its own security status information, and returns the security status information that the network management server wants to obtain to the network management server.
  • the security status information includes at least one attribute information of at least one component and at least one component.
  • the network management server receives the security status information returned by the database server, and verifies the security status information, and obtains the verification result.
  • the network management server performs the verification according to the security policy when performing the face certificate on the security status information in this step, thereby obtaining the verification result.
  • the security policy may be preset in the network management service.
  • the network management server can also dynamically obtain the security policy from the policy server. This embodiment does not limit this.
  • the network management server outputs the verification result.
  • the verification result may be used as an operation basis, such as the output of the ⁇ table, the maintenance of the network management, the fault prevention, or the interaction with the important information of other entities on the network.
  • the verification result is used for other entities to query the security status verification result of the device.
  • the core network can store/maintain the security status verification result of the device to a certain location (the location can be a separate database or an existing network element) for other entities to query when needed.
  • the device on the core network can perform security control on the database server according to the verification result and the security policy.
  • the database server can be controlled according to the verification result and the access policy.
  • the security policy or the access policy may be located in the network management server, or may be obtained from the network management server to the policy server, that is, the policy server is used to provide a security policy or an access policy.
  • FIG. 11 is a schematic diagram of information interaction provided by an embodiment of the present invention, as shown in FIG. :
  • the database server collects its own security status information
  • the security status information of the database server and the network management server interacting with the database server (where the interaction process may be a request by the network management server to the database server, a response of the database server, or a manner in which the database server actively reports to the network management server);
  • the network management server verifies the security status information (wherein the face certificate process can compare and match the attribute information of different components collected by the database server with the corresponding standard reference value stored by the server side);
  • the network management server outputs the result
  • the verification process is triggered periodically (this step is an optional step, and the trigger may be initiated by the database server or by the network management server).
  • the method provided by the embodiment of the present invention based on the component division of the telecommunication device, reports the security state information including the attribute information of the component and the component to the network side device on the core network side, and the network side device face certificate
  • the security status information of the telecommunication device gives the result of the face certificate, realizes the purpose of the security verification of the telecommunication device, and further can be used as the report output and the network management according to the verification result. Operational basis for maintenance, failure prevention, or interaction with important information of other entities on the network; and the use of verification results to perform security control and access control.
  • the verification of the security state information of the telecommunication device by the network side device may be performed before the identity authentication, or may be combined with the identity authentication. The process is performed. Alternatively, the security state information verification may be performed after the identity authentication is legal. The embodiment of the present invention does not limit this, and the security state verification process may be performed as long as the connection between the telecommunication device and the network side device is established.
  • the embodiment of the present invention uses only the eNB, the HNB, and the database server as the example of the face party.
  • the verified party includes but is not limited to: other types of access devices or network border devices of the telecommunication device.
  • Including access devices H (e) NB in the wireless network, APs, fixed networks, access devices in the converged network, and border gateways, distributed small base stations, etc., may also be border routers, switches, and interfaces in the IP network. Access control of access devices such as gateways or network edge devices. It can also be a terminal device such as a mobile phone, a mobile terminal, or a fixed access terminal. It can also be other core network important or large telecom equipment in the core network.
  • the embodiment of the present invention only uses the AG, the MME, and the network side network management server as the authentication party as an example.
  • the verification party includes but is not limited to: is a SeGW (security gateway), an AG (access gateway), AAAserver (AAA server), HLR (Home Location Register), HSS (Home Subscr iber Server, Home Subscriber Server), 0AM (Operation, Administration and Maintenance) server, AHR (Access Point home) Regi s ter, access node home registrar), MME (mobi management management entity), APM (AP manager, access node manager) and other devices.
  • the function of collecting the security status information of the telecommunication device may be implemented by a logical or physical entity independent of the telecommunication device, such as a collection agent agent, a proxy collection server, or the like;
  • the collection function is implemented by an entity that extends the functionality of the existing telecommunication device.
  • the entity as the authenticator may be an independent functional entity, or may be implemented by extending functions of other entities on the network side. That is, the network side device may be an entity such as an access network gateway, an AAA server, an AHR (HLR), an MME, or a network management device APM.
  • the network side device may be an entity such as an access network gateway, an AAA server, an AHR (HLR), an MME, or a network management device APM.
  • the method provided by the embodiment of the present invention is applicable not only to the access control of the mobile network, but also to the access control when the telecommunication device accesses any other network, and is also applicable to the network.
  • Internal security controls including but not limited to security management, report generation, device security assessment, and other entities to query the device for security status verification results, etc.
  • the method provided by the embodiment of the invention is applicable to a mobile network, a fixed network, a fixed mobile convergence network, and an IP network.
  • the wireless access methods include but are not: GSM (Global System for Mobile Communications), WCDMA (Wideband-Code Division Multiple Access), TD-SCDMA (Time Division - Synchronized) Code Division Multiple Access, CDMA (Code-Division Multiple Access), WIMAX (Worldwide Interoperability for Microwave Access), WLAN (Wireless Local Area Network) , WLAN), LTE (Long Term Evolution, Long Term Evolution), etc.
  • GSM Global System for Mobile Communications
  • WCDMA Wideband-Code Division Multiple Access
  • TD-SCDMA Time Division - Synchronized Code Division Multiple Access
  • CDMA Code-Division Multiple Access
  • WIMAX Worldwide Interoperability for Microwave Access
  • WLAN Wireless Local Area Network
  • LTE Long Term Evolution, Long Term Evolution
  • the embodiment of the present invention provides a telecommunication device.
  • the telecommunication device includes:
  • the collecting unit 401 is configured to collect security state information of the telecommunication device according to the component constituting the telecommunication device, where the security state information includes at least one component identifier constituting the telecommunication device and at least one attribute information of the component;
  • the identification of a component herein should be understood as information for uniquely describing or identifying the component, and may be the name of the component, the type of the component, or the digital identification of the component, including but not limited to.
  • the component is obtained according to the function, wherein, further, according to the functional characteristics of the telecommunication device, the common class component and the custom class component are obtained, and correspondingly, the component collected by the collecting unit includes a public component.
  • the class components, and/or one or more of the custom class components where
  • the public class component includes at least a clock system component, an underlying software component, an operating system component, a data center component, a maintenance interface conversion module component, an 0M module component, a transport protocol component, a transport control module component, a signaling module component, and a transport system component;
  • the customized class component includes at least a baseband system component, a radio frequency system component, an SCTP protocol state component, a switching system component, a forwarding system component, a service interface module component, each service module component, and a network interface module component;
  • the attribute information of the component includes key configuration information, software and hardware module information, product information, security related data information, IP address information of the telecommunication device, location information or port number information, configuration success information, security status verification result information, and repair suggestion information. And one or more of the error message.
  • the sending unit 402 is configured to send the security status information collected by the collecting unit 401 to the network side device, so that the network side device performs security on the security status information.
  • the network side device can perform security verification on the security status information by using the security policy, and obtain the verification result.
  • the network device can also perform the connection according to the verification result and the access policy.
  • the HNB device If all the verification results are consistent with the preset security policy, for example: if the attribute information of each component of the public class of the HNB device matches the corresponding preset reference value, and the value of each attribute information of each component of the customized class Matching with the corresponding preset reference attribute value, that is, the verification result is passed, the HNB device is allowed to access the core network completely, and all services corresponding to the HNB device are enjoyed;
  • the verification result is that the security policy is not satisfied; but the attribute corresponding to the attribute information is for the network.
  • the security threat coefficient is low, that is, although the attribute information does not match the preset reference attribute value and does not satisfy the security policy, if the attribute information does not satisfy the security policy and does not have a great impact on the network (such as a certain If the unimportant attribute information is not verified, the access device is allowed to access the core network, but it needs to be restricted to some services.
  • the attribute information of the common component of the access device does not match the preset reference attribute value, but the attribute corresponding to the attribute information has a certain impact on the network (such as device software and hardware module information in the common component)
  • the attribute information is not verified, and the component of the device software and hardware module information belongs to a class of attributes with higher risk factors for the core network.
  • the core network only allows the access device to establish a connection with the core network, but can only enjoy certain Emergency call services (such as special services such as 110 and 120);
  • the telecommunication device adopted by the embodiment of the present invention further includes:
  • a receiving unit configured to receive a security status information request sent by the network side device, where the security status information request is used to request, from the telecommunication device, a component identifier of the network side device to be verified and/or attribute information of the component, that is, the security may be adopted.
  • the information request carries the component identifier of the telecommunication device that the network side device wishes to acquire and/or the attribute information of the component is implemented;
  • the sending unit 402 is specifically configured to send, according to the security status information request received by the receiving unit, the security status information collected by the collecting unit 401 to the network side device, where the security status information includes the component identifier of the network side device to be authenticated and/or the component. Attribute information.
  • the sending unit 402 is specifically configured to send an SCTP message to the network side device by using the SCTP connection established by the telecommunication device and the network side device, where the SCTP message carries the security status information.
  • the collecting unit 401 of the telecommunication device provided by the embodiment of the present invention is specifically configured to periodically collect security state information of the telecommunication device according to components constituting the telecommunication device.
  • the specific application of the telecommunication device provided by the embodiment of the present invention may be any telecommunication device located outside the security network (such as the core network), including the access device H (e) NB, AP, and fixed network in the wireless network. Access devices in the converged network, border gateways, distributed small base stations, etc., may also be border routers, switches, and access gateways or network edge devices in the IP network; or mobile phones, mobile terminals And terminal devices such as fixed access terminals.
  • the telecommunication device provided by the embodiment of the present invention when specifically applied, it may also be any core network important or large-scale telecommunication device located in the core network.
  • the network side device when the network side device is specifically applied, it may be an AG, an MME, and a network side network management server, a SeGW, an AG, an AAA server, an HLR, an HSS, an OAM server, an AHR, an MME, an APM, and the like.
  • the telecommunication device after the division of the components of the telecommunication device, reports the security state information including the attribute information of the component and the component to the network side device on the security network side, and is verified by the network side device.
  • the security status information of the telecommunication device gives the verification result, realizes the security verification of the telecommunication device, and further realizes the result of the security verification according to the security verification, and performs corresponding control on the telecommunication device, thereby realizing the opposite location.
  • the security control or access control of the telecommunication equipment in the security network ensures the security and reliability of the security network, and realizes the access control of the telecommunication equipment located outside the security network, ensuring the security and reliability of the security network. Sex. Example 6
  • the embodiment of the present invention provides a network side device, where the network side device is located in a security network (such as a core network).
  • a security network such as a core network
  • the network side device includes:
  • the receiving unit 501 is configured to receive security state information sent by the access device, and the security state information
  • the at least one component identifier constituting the telecommunication device and at least one attribute information of the component are included; the identifier of the component herein should be understood as information for uniquely describing or identifying the component, and may be the name of the component or the component.
  • the type can also be a digital identifier of the component, including but not limited to.
  • the verification unit 502 is configured to verify the security status information received by the receiving unit 501 according to the security policy, and obtain a verification result;
  • the control unit 503 is configured to control the access device according to at least the verification result of the verification unit 502.
  • the authenticating unit 502 when the received at least one component identifier matches the reference component identifier stored by the network side, and the attribute information of the corresponding component matches the reference attribute information stored by the network side, the verification The result is a pass; when the received at least one component identifier matches the reference component identifier stored on the network side, and the attribute information of the corresponding component does not match the reference attribute information stored by the network side, the verification result is If not, or, the face certificate result of some components is passed;
  • the verification unit 502 is specifically configured to determine whether the received at least one component identifier matches the reference component identifier stored by the network side; if the component identifier does not match, send a security state information request to the access device, where the security state information request Carrying the component identifier to be verified, or sending an error message to the access device; if the component identifier matches, determining, for the at least one component, whether the attribute information of the component matches the corresponding reference attribute information stored by the network side, If the attribute information matches, the verification result is passed; if the attribute information does not match, the verification result is not passed, or the verification result of some components is passed.
  • the verification unit 502 is specifically configured to determine whether the received at least one component identifier matches the reference component identifier stored by the network side; if the component identifier does not match, send a security state information request to the access device, where the security state information request Carrying the component identifier of the network side device for the face certificate; or, sending an error message to the access device; if the component identifiers match, determining, for the at least one component, whether at least one attribute of the component has a corresponding reference attribute on the network side; If not, sending a security status information request to the access device, the security status information requesting to request new attribute information from the access device, or sending an error message to the access device; if present, determining the component Whether the attribute information matches the corresponding reference attribute value stored on the network side; if the attribute information matches, the face certificate result is passed; if the attribute information does not match, the verification result is not passed, or the verification result of some components is If it is passed. (It should be understood that the reference attribute information stored on the
  • the access device may be any telecommunication device located outside the security network (such as the core network), including the access device H (e) NB in the wireless network, the AP, the fixed network, and the access device in the converged network.
  • border gateways, distributed small base stations, etc. may also be border routers, switches in the IP network, and access devices or network edge devices such as access gateways; and may also be terminals such as mobile phones, mobile terminals, and fixed access terminals. device.
  • the control unit 503 is specifically configured to perform access control on the access device according to the verification result and the access policy.
  • the access policy may be pre-configured in the network side device, and may be obtained by the network side device from another device (such as a policy server), which is not limited in this embodiment.
  • the control unit 503 is specifically configured to allow the access device to fully access the secure network and enjoy all the services corresponding to the access device when all the verification results are passed; or
  • the verification result is that the one or more attribute information of the public class component of the access device does not match the reference attribute value corresponding to the network side, and the attribute corresponding to the one or more attribute information is secure to the security network. If the threat coefficient is lower than the reference value of the security threat coefficient, the access device is allowed to access the secure network, but the access device has the right to access the service; or
  • the verification result is that any attribute information of the public class component of the access device does not match the corresponding reference attribute value, and the attribute corresponding to the attribute information of the attribute information is higher than the security threat coefficient of the security network.
  • the value allows the access device to establish a connection with the secure network, but limits the access rights of the access device.
  • control unit 503 is specifically configured to deny the access device from accessing the secure network when the attribute information of the public component is not verified.
  • the storage unit is configured to store the verification result obtained by the verification unit 502. This verification result can also be used for other users or other entities to query and other operations.
  • the network side device further includes:
  • a sending unit configured to send, according to the security policy, a security status information request to the access device, where the security status information request is used to request, from the access device, a component identifier to be verified by the network side device and attribute information of the component, that is, the security
  • the status information request is used to indicate that the security status information returned by the access device carries the component identifier that the network side device wishes to acquire and the attribute information of the component.
  • the network side device of the embodiment of the present invention based on the division of the components of the telecommunication device, reports the security state information including the attribute information of the component and the component to the network side device in the security network, and the network side device Verification of the security status information of the telecommunication device gives a verification result, and according to the verification result, performs corresponding access control, realizes access control to the telecommunication device located outside the security network, and ensures the security and reliability of the security network.
  • the embodiment of the present invention provides a security verification device.
  • the device includes:
  • the receiving unit 601 is configured to receive security state information from the telecommunication device, where the security state information includes: an identifier of at least one component constituting the telecommunication device and at least one attribute information of the component;
  • the identification of a component herein should be understood as information for uniquely describing or identifying the component, and may be the name of the component, the type of the component, or the digital identification of the component, including but not limited to.
  • the face certificate unit 602 is configured to perform security verification on the received security state information according to the security policy, and obtain a verification result.
  • the security policy may be located in the security verification device, and may be obtained from other security devices, such as a policy server, which is not limited in this embodiment.
  • the verification unit 602 is specifically configured to: when the received at least one component identifier matches the reference component identifier stored by the network side, and the attribute information of the corresponding component matches the reference attribute information stored by the network side, The verification result is a pass; when the received at least one component identifier matches the reference component identifier stored on the network side, and the attribute information of the corresponding component does not match the reference attribute information stored on the network side, the verification The result is not passed, or the verification result of some components is passed;
  • the verification unit 602 is specifically configured to determine whether the received at least one component identifier matches the reference component identifier stored by the network side; if the component identifier does not match, send a security state information request to the telecommunication device, where the security state information request is carried Or the component identifier to be verified; or, sending an error message to the telecommunication device; if the component identifier matches, determining, for the at least one component, whether at least one attribute of the component has a corresponding attribute on the network side; if not, to the telecommunication The device sends a security status information request, the security status information being responsive to a new attribute request for requesting the component from the telecommunications device Or, send error information to the telecommunication device; if yes, determine whether the attribute information of the component matches the corresponding reference attribute value stored on the network side; if the attribute information matches, the verification result is passed; if the attribute information does not match , the verification result is not passed, or the verification result of some components is passed.
  • the device further includes:
  • a sending unit configured to send, according to the security policy, a security status information request to the telecommunication device, where the security status information request is used to negotiate with the telecommunication device for the component identifier and/or component attribute information that the security status verification device is to verify, that is, the The security status information request is used to indicate that the security status information returned by the telecommunication device carries attribute information of the component identifier and/or component that the network side device desires to acquire.
  • the embodiment of the present invention further includes:
  • the storage unit is configured to store the verification result obtained by the verification unit 602. This verification result can also be used for other users or other entities to query and other operations.
  • the device provided by the embodiment of the present invention may be specifically an AG, an MME, and a network side network management server, a SeGW, an AG, an AAA server, an HLR, an HSS, an OAM server, an AHR, an MME, an APM, and the like.
  • the device provided by the embodiment of the present invention may be an independent functional entity, and may be implemented by extending the functions of other entities on the network side. This embodiment does not limit this.
  • the HNB that is located in the security network (taking the core network as an example) is to be connected to the core network
  • the device provided by the embodiment of the present invention is specifically an AG, and correspondingly, the AG performs security state verification on the HNB, and
  • the AG can also control the access core network of the HNB according to the positive result and the access policy obtained by 3, thereby ensuring the security and reliability of the core network.
  • any device in the core network is used as the device to be verified.
  • the device provided by the embodiment of the present invention is specifically an AAA server.
  • the AAA server performs security state verification on the device to be verified, and the AAA server can be # The verification result and the security policy obtained by the verification verify the security of the core network of the device, or the AAserver can perform the access control of the core network according to the verification result and the access policy obtained by the verification.
  • the security and reliability of the core network can be guaranteed;
  • the security state verification device of the embodiment of the present invention based on the division of components of the telecommunication device, verifies the device from the security state by verifying the security state information of the attribute information of the component and the component on the device. Verify the security status information of the telecommunication device to ensure the security and reliability of the security network.
  • the embodiment of the present invention provides a network system.
  • the network system includes: an access device 701 and a network side device 702 (which may be located in a secure network). among them,
  • the access device 701 is configured to collect security state information of the access device, and send the security state information to the network side device, where the security state information includes an identifier of the collected at least one component and at least one attribute information of the component. ;
  • the component is obtained according to the function, and further, according to the functional characteristics of the access device, the common class component and the custom class component are obtained, and correspondingly, the component collected by the collecting unit Include one or more of the public class components, and/or one or more of the custom class components, where
  • the public class component includes at least a clock system component, an underlying software component, an operating system component, a data center component, a maintenance interface conversion module component, an 0M module component, a transport protocol component, a transport control module component, a signaling module component, and a transport system component;
  • the customized class component includes at least a baseband system component, a radio frequency system component, an SCTP protocol state component, a switching system component, a forwarding system component, a service interface module component, each service module component, and a network interface module component;
  • the attribute information of the component includes key configuration information, software and hardware module information, product information, security related data information, IP address information of the telecommunication device, location information or port number information, configuration success information, security status verification result information, and repair suggestion information. And one or more of the error message.
  • the network side device 702 is configured to receive security state information sent by the access device 701.
  • the security state information is verified according to the security policy to obtain a verification result; and the access device 701 performs access control according to at least the verification result.
  • the network side device 702 is specifically configured to receive the security state information sent by the access device 701, verify the received security state information according to the security policy, and obtain a verification result; and access the device according to the verification result and the access policy. 701 performs access control.
  • the network side device may be implemented when the access device is authenticated, where the received at least one component identifier is compared with the reference component identifier stored on the network side.
  • the verification result is a pass;
  • the received at least one component identifier matches the reference component identifier stored on the network side, and If the attribute information of the corresponding component does not match the reference attribute information stored on the network side, the verification result is not passed, or the verification result of the part component is passed;
  • the foregoing access policy may be obtained by the network side device 702, or may be obtained by the network side device 702 to another device (such as a policy server), where the network side device 702 is connected according to the verification result.
  • the process of performing access control on the access device 701 includes: 1. If all the verification results are consistent with the preset security policy, for example, if the access device (for example, the HNB device is used as an example), the components of the public class are The attribute information and the corresponding preset reference value are matched, and the value of each attribute information of each component of the customized class is matched with the corresponding preset reference value, that is, the verification result is passed, and the HNB device is allowed to fully access the core network.
  • the access device for example, the HNB device is used as an example
  • the components of the public class are The attribute information and the corresponding preset reference value are matched, and the value of each attribute information of each component of the customized class is matched with the corresponding preset reference value, that is, the verification result is passed, and
  • the verification result is that the security policy is not satisfied; but the attribute corresponding to the attribute information is secure to the network.
  • the threat coefficient is low, that is, although the attribute information does not match the preset reference value and does not satisfy the security policy, if the attribute information does not satisfy the security policy and does not have a great impact on the network (such as some). If the important attribute information is not verified, the access device is allowed to access the core network, but it needs to be restricted to some services.
  • the network side device 702 is further configured to send a security status information request to the access device 701.
  • the security status information request carries the component identifier of the access device 701 and the attribute information of the corresponding component that the network side device 702 wants to obtain, and is used to indicate that the security status information returned by the access device 701 carries the component identifier that the network side device 702 wishes to acquire. And attribute information for the component.
  • the telecommunication device 701 and the network side device 702 use the SCTP message to carry the security status information through the SCTP connection established by the telecommunication device 701 and the network side device 702.
  • the type of the telecommunication device 701 includes: a home base station, or an evolved base station eNB, or a router, or a switch, or a gateway, or a terminal;
  • the types of network side devices 702 include: security gateway SeGW, access gateway AG, authentication, authorization and accounting server AAAserver, home location register HLR, home subscriber server HSS, operation management and maintenance server 0AM server, access node attribution Registrar AHR, Mobility Management Entity MME, Access Node Manager APM.
  • the network system provided by the embodiment of the present invention, based on the division of the components of the telecommunication device, reports the security state information including the attribute information of the component and the component to the network side device on the security network side, and the network side
  • the device verifies the security status information of the telecommunication device to give a verification result, and performs corresponding control according to the verification result, thereby implementing security control on the telecommunication device located in the security network, and ensuring the security and reliability of the security network.
  • the access control of the telecommunication equipment located outside the secure network is realized, and the security and reliability of the secure network are ensured.
  • the embodiment of the present invention provides a network system.
  • the network system includes: a telecommunication device 801 and a security state device 802, where the telecommunication device 801 is configured to Collecting security status information of the telecommunication device, and transmitting the security status information to the security status verification device 802, where the security status information includes an identifier of the collected at least one component and at least one attribute information of the component;
  • the security status verification device 802 is configured to receive security status information sent by the telecommunication device 801, where the security status information includes an identifier of the collected at least one component and at least one attribute information of the component, and the received security status according to the security policy. The information is verified and the verification result is obtained.
  • the security policy may be located in the security verification device, and may be obtained by the security authentication device, such as a policy server.
  • the security verification device verifies the received security status information according to the security policy, including: When the received at least one component identifier matches the reference component identifier stored on the network side, and the attribute information of the corresponding component matches the reference attribute information stored by the network side, the verification result is passed; If the received at least one component identifier matches the reference component identifier stored on the network side, and the attribute information of the corresponding component does not match the reference attribute information stored by the network side, the verification result is not passed, or part of the component The verification result is passed;
  • the security status verification device determines whether the received at least one component identifier matches the reference component identifier stored on the network side; if the component identifier does not match, sends a security status information request to the access device, and the security status information request carries the component to be verified. Identifying, or sending an error message to the access device; if the component identifiers match, determining, for the at least one component, whether the attribute information of the component matches the reference attribute information stored by the network side, and if the attribute information matches, the verification result is a pass; If the attribute information does not match, the verification result is not passed, or the verification result of some components is passed.
  • the attribute information of the component is matched with the attribute information stored on the network side, if the attribute information matches, the verification result is a pass; if the attribute information does not match, the verification result is not passed, or the face certificate result of the component is Passed, specifically including:
  • the device requests a new attribute of the component, or sends an error message to the telecommunication device; if yes, it determines whether the attribute information of the component matches the corresponding reference attribute value stored on the network side; if the attribute information matches, the verification result is If the attribute information does not match, the result of the test is not passed, or the verification result of some components is passed.
  • the device provided by the embodiment of the present invention may be specifically an AG, a ⁇ E, and a network side network management server, a SeGW, an AG, an AAA server, an HLR, an HSS, an OAM server, an AHR, an E, an APM, and the like.
  • the device provided in this embodiment of the present invention may be implemented as an independent functional entity, or may be implemented by extending the functions of other entities on the network side.
  • the HNB located in the security network (taking the core network as an example) is to be connected to the core network
  • the security state verification device provided by the embodiment of the present invention is specifically an AG, and correspondingly, the AG performs security state verification on the HNB.
  • the AG can also control the access core network of the HNB according to the verification result and the access policy obtained by the verification, thereby ensuring the security and reliability of the core network.
  • any important device located in the core network is used as the device to be verified.
  • the device is specifically configured as an AAA server.
  • the AAA server performs security status verification on the device to be verified, and the AAA server can perform security control on the core network according to the verification result and the security policy obtained by the verification.
  • the AAserver can perform access control on the core network of the device to be verified according to the verification result and the access policy that is being obtained, thereby ensuring the security and reliability of the core network;
  • the network system provided by the embodiment of the present invention, after the partitioning of the components of the telecommunication device, reports the security state information including the attribute information of the component and the component to the security state verification device, and the security state face certificate
  • the device verifies the security status information of the telecommunication device, and ensures the security and reliability of the security network.
  • receiving in the embodiment of the present invention may be understood as actively acquiring information from other modules or receiving information sent by other modules.
  • modules in the apparatus of the embodiments may be described in the apparatus of the embodiments as described in the embodiments, and the corresponding changes may be made in one or more apparatuses different from the embodiment.
  • the modules of the above embodiments may be combined into one module, or may be further split into a plurality of sub-modules.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).
  • ROM read-only memory
  • RAM random access memory

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

对电信设备安全状态验证的方法、 设备和系统 本申请要求于 2009 年 05 月 04 曰提交中国专利局、 申请号为 200910139347.3、 发明名称为 "对电信设备安全状态验证的方法、 设备和系统" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及通信领域， 特别涉及对电信设备的安全状态验证的方法、 接入 控制的方法、 设备和系统。 背景技术
随着通信技术的发展， 用户接入核心网的方式多种多样（如通过无线接入 网接入等）， 无论是哪种接入方式， 都需要保证核心网的安全， 从而能够为用户 提供安全、 可靠的服务。 因此， 不但需要对位于核心网内的电信设备进行有效 的安全控制， 还需要对上述各接入方式所对应的接入该核心网的电信设备（为 了便于说明， 将该类电信设备称为接入设备）进行有效的接入控制。
然而， 随着移动通信正成为最重要的网络接入方式， 移动通信 IP化的进程 造成整个网络面临的威胁逐渐增多； 网络结构扁平化的发展， 使得原本处于运 营商控制下的接入设备逐渐向用户端渗透。 甚至在有些通信系统中的接入设备 已经处于运营商可控网络的范围之外， 例如， LTE (Long Term Evolution, 长 期演进） 网络中的 eNB ( eNodeB , 基站）， 或者 UMTS ( Universal Mobile Telecommunications System, 通用移动通讯系统） 中的醒（Home NodeB,毫微 微蜂窝式基站）， LTE 系统中的 HeNB(Home e NodeB，毫微微蜂窝式基站）， 或者 WLAN (Wireless Local Area Network，无线局域网）中的 AP (Access Point，无 线接入点）等等， 这些接入设备通过开放的不安全的承载网络（如 IP 网络）接 入运营商的核心网， 由于这些物理上不安全的接入设备本身就会面临各种各样 的安全威胁， 这些不安全的接入设备一旦接入网络， 就会严重影响核心网的整 网安全。
目前业界迫切需要一种对上述物理不安全的接入设备进行接入控制的方 案。 发明内容
本发明实施例提供对电信设备的安全状态验证的方法、 设备和系统， 以对 电信设备的安全状态进行验证， 以及对接入核心网的电信设备进行有效的接入 控制。
所述技术方案如下：
一方面， 提供了一种对电信设备的安全状态验证的方法， 所述方法包括： 接收来自电信设备的安全状态信息， 所述安全状态信息包括： 构成所述电 信设备的至少一个组件的标识以及该组件的至少一种属性信息；
根据安全策略， 对所述接收的安全状态信息进行安全验证， 得到验证结果。 再一方面， 提供了一种接入控制的方法， 接入设备为位于安全网络之外的 任一电信设备， 所述方法包括：
接收来自所述接入设备的安全状态信息， 所述安全状态信息包括： 构成所 述接入设备的至少一个组件的标识以及该组件的至少一种属性信息；
根据安全策略， 对所述接收的安全状态信息进行安全猃证， 得到验证结果； 至少根据所述验证结果， 对所述接入设备进行接入控制。
再一方面， 提供了一种电信设备， 所述电信设备包括：
收集单元， 用于才 据构成所述电信设备的组件， 收集所述电信设备的安全 状态信息， 所述安全状态信息包括构成所述电信设备的至少一个组件的标识以 及所述组件的至少一种属性信息；
发送单元， 用于向网络侧设备发送所述收集单元收集的所述安全状态信息， 以使得所述网络侧设备对所述安全状态信息进行安全验证。
再一方面， 提供了一种网络侧设备， 所述网络侧设备包括：
接收单元， 用于接收来自接入设备发送的安全状态信息， 所述安全状态信 息包括构成所述接入设备的至少一个组件标识和所述组件对应的至少一种属性 信息；
验证单元， 用于根据安全策略， 对所述接收单元接收的安全状态信息进行 验证， 得到验证结果；
控制单元， 用于至少根据所述验证单元的验证结果， 对所述接入设备进行 接入控制。 再一方面， 提供了一种安全验证设备， 所述设备包括：
接收单元， 用于接收来自电信设备的安全状态信息， 所述安全状态信息包 括： 构成所述电信设备的至少一个组件的标识以及该组件的至少一种属性信息； 验证单元， 用于根据安全策略， 对所述接收的安全状态信息进行安全验证， 得到验证结果。
再一方面， 提供了一种网络系统， 所述系统包括： 接入设备和网络侧设备， 其中，
所述接入设备， 用于收集所述接入设备的安全状态信息， 并向所述网络侧 设备发送， 所述安全状态信息包含所述收集的至少一个组件的标识以及所述组 件的至少一种属性信息；
所述网络侧设备， 用于接收所述接入设备发送的安全状态信息； 根据安全 策略， 对所述安全状态信息进行验证得到验证结果； 并至少根据所述验证结果， 对所述接入设备进行接入控制。
再一方面， 提供了一种网络系统， 所述系统包括： 电信设备和安全状态验 证设备， 其中，
所述电信设备， 用于收集所述电信设备的安全状态信息， 并向所述安全状 态验证设备发送， 所述安全状态信息包含收集的至少一个组件的标识以及所述 组件的至少一种属性信息；
所述安全状态验证设备， 用于接收所述电信设备发送的安全状态信息， 所 述安全状态信息包含所述收集的至少一个组件的标识以及所述组件的至少一种 属性信息； 根据安全策略， 对所述接收的安全状态信息进行验证， 得到验证结 果。
本发明实施例提供的技术方案的有益效果是：
本发明实施例提供的方案中， 基于对电信设备的组件按照功能模块划分后， 通过向网络侧设备上报包括构成电信设备的至少一个组件和组件的属性信息的 安全状态信息， 由网络侧设备验证该电信设备的安全状态信息给出验证结果， 达到安全验证的目的； 并能够根据验证结果， 执行相应的控制， 从而实现了对 欲接入核心网络的电信设备的接入控制， 保证了核心网的安全性和可靠性。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实施 例或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述 中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付 出创造性劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例 1提供的对电信设备的安全状态验证的方法流程示意 图；
图 2是本发明实施例 1提供的接入控制的方法流程示意图；
图 3是本发明实施例 2提供的应用场景示意图；
图 4是本发明实施例 2提供的接入控制的方法流程示意图；
图 5是本发明实施例 2提供的接入控制的方法交互示意图；
图 6是本发明实施例 3提供的应用场景示意图；
图 7是本发明实施例 3提供的接入控制的方法流程示意图；
图 8是本发明实施例 3提供的接入控制的方法交互示意图；
图 9是本发明实施例 4提供的应用场景示意图；
图 10是本发明实施例 4提供的接入控制的方法流程示意图；
图 11是本发明实施例 4提供的接入控制的方法交互示意图；
图 12是本发明实施例 5提供的电信设备的示意图；
图 13是本发明实施例 6提供的网络侧设备的示意图；
图 14是本发明实施例 7提供的安全状态^正设备的示意图；
图 15是本发明实施例 8提供的网络系统的示意图；
图 16是本发明实施例 9提供的网络系统的示意图。 具体实施方式
为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本发明 实施方式作进一步地详细描述。 实施例 1
本领域技术人员可知对于电信设备来说 , 简单的属性信息的检查无法反映 出设备的安全状态， 对于电信设备而言更重要的其相关配置、 相关参数以及相 应的软硬件是否被篡改， 这些信息的篡改， 可能会严重影响到运营商核心网的 安全状态， 甚至会造成核心网其他用户被窃听与攻击， 严重违反了网络接入控 制的要求。 有鉴于此， 本发明实施例根据电信设备中各功能模块所实现的功能 不同， 将电信设备划分为不同的组件（即所划分的一个组件对应于电信设备某 一功能模块）。 相应地， 构成这一设备的不同组件本身的安全性最终决定了这一 电信设备自身的安全状态， 因此， 通过对完成特定功能的电信设备的不同组件 进行分别验证， 实现对该电信设备的安全状态的验证， 并可实现对于需要接入 核心网的接入设备（其中， 本实施例为了便于说明， 将位于核心网之外的任一 欲接入该核心网的电信设备定义为接入设备，该定义出的接入设备包括但不限 于基站、 终端、 路由器）， 基于安全状态验证结果从而对该接入设备作出接入控 制。
由于电信设备类型多种多样， 在对电信设备进行组件划分时， 根据电信设 备的功能不同， 将各组件可以进一步地进行归类划分： 公共类组件和定制类组 件， 其中，
所谓公共类组件是指对于所有电信设备而言， 所共同拥有的基础性功能组 件， 例如： 时钟组件（用于提供该电信设备的工作系统时钟）、 数据组件（用于 完成该电信设备各种配置数据的存储）等等。
所谓定制类组件是指对于电信设备而言， 其各自所拥有的除公共类组件之 外的组件， 可以理解为某类电信设备的个性化组件， 例如， 对于基站而言所划 分出的射频组件等等。
当对于某一电信设备进行了组件划分后， 各组件也会相应具有其各自的属 性信息， 例如， 关键配置信息、 软硬件模块信息、 产品信息、 安全相关数据信 息、 IP地址信息等等。 一般情况下， 各组件都会具有这些属性信息， 特别是针 对定制类组件而言， 其属性信息可能还包括其他相应的属性信息， 本实施例对 此不做限制。
特别需要注意的是， 由于电信网络自身的特点， 在对接入设备进行接入控 制时， 对于电信设备的运营商来说， 不能因为该接入设备的某一组件的安全状 态不符合核心网的安全策略， 就拒绝该接入设备接入网络， 这样不仅会严重影 响运营商用户的体验， 而且也不符合电信网络的特点。 因此， 对于电信网络来 说， 需要根据电信设备的不同组件的安全状态或者不同组件不同属性的安全策 略满足情况， 来灵活采取对设备的接入控制。 基于上述电信设备的组件的划分以及各组件属性的描述， 本发明实施例针 对电信设备定义了该电信设备的安全状态信息， 该安全状态信息包括： 设备的 组件以及该组件的属性信息， 参见图 1,本发明实施例提供了一种对电信设备的 安全状态验证的方法， 该方法包括：
C1 :接收来自电信设备的安全状态信息， 该安全状态信息包括： 构成电信设 备的至少一个组件的标识以及该组件的至少一种属性信息；
这里的组件的标识， 应当理解为用于描述该组件的信息， 可以是组件的名 称、 也可以是组件的类型， 也可以是组件的数字标识， 包括但不限于此。
C2:才 M居安全策略， 对接收的安全状态信息进行安全验证， 得到验证结果。 这里的验证结果可以存储或维护起来， 供其他实体查询。 以及， 这里的安 全策略可以是预设在该方法执行主体中的， 也可以是从策略服务器那里动态获 得的， 包括但不限于此。
其中， 步骤 C2所涉及的根据安全策略， 对接收的安全状态信息进行安全验 证， 得到验证结果的步骤， 包括：
当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息匹配时， 则所述验证 结果为通过；
当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息不匹配时， 则所述验 证结果为不通过， 或， 部分组件的验证结果为通过。
或者，
判断接收到的至少一个组件标识是否与网络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向电信设备发送安全状态信息请求， 安全状态信息请 求携带欲验证的组件标识， 或， 向电信设备发送错误信息； 如果组件标识匹配， 则针对至少一个组件， 判断组件的属性信息是否与网络侧存储的属性信息匹配， 如果属性信息匹配， 则验证结果为通过； 如果属性信息不匹配， 则验证结果为 不通过， 或， 部分组件的睑证结果为通过。
其中， 判断组件的属性信息是否与网络侧存储的属性信息匹配， 如果属性 信息匹配， 则^ r证结果为通过； 如果属性信息不匹配， 则儉证结果为不通过， 或， 部分组件的验证结果为通过， 具体又可以包括： 针对至少一个组件， 判断该组件的至少一种属性信息对应的属性在网络侧 是否存在对应的参考属性； 如果不存在， 则向电信设备发送安全状态信息请求， 该安全状态信息请求用于向电信设备倚求该组件的新的属性， 或， 向电信设备 发送错误信息； 如果存在， 则判断组件的属性信息与网络侧存储的对应参考属 性值是否匹配； 如果属性信息匹配， 则验证结果为通过； 如果属性信息不匹配， 则验证结果为不通过， 或， 部分组件的验证结果为通过。
其中， 组件包括公共类组件中的一个或多个， 和 /或定制类组件中的一个或 多个， 如前， 公共类组件和定制类组件为 #居电信设备的功能特性不同划分得 到的， 其中，
公共类组件至少包括时钟系统组件、 底层软件组件、 操作系统组件、 数据 中心组件、 维护接口转换模块组件、 运行管理 0M模块组件、 传输协议组件、 传 输控制模块组件、 信令模块组件、 传输系统组件中的一个或多个；
定制类组件至少包括基带系统组件、 射频系统组件、 流控制传输协议 SCTP 协议状态组件、 交换系统组件、 转发系统组件、 业务接口模块组件、 各业务模 块组件、 网^ 口模块组件中的一个或多个；
相应地，
组件的属性信息包括关键配置信息、 软硬件模块信息、 产品信息、 安全相 关数据信息、 电信设备的 IP地址信息、 位置信息或端口号信息、 配置是否成功 信息、 安全状态验证结果信息、 修复建议信息以及出错提示信息中的一个或多 个。
本发明实施例的方法执行主体可以是安全网关 SeGl 接入网关 AG、 授权和记账服务器 AAAserver、 归属地位置寄存器 HLR、 归属用户服务器 HSS、 操作管理和维护服务器 0AM server. 接入节点归属地注册器 AHR、 移动性管理 实体 MME、 接入节点管理器 APM。
本发明实施例提供的方法中所涉及的电信设备可以为位于安全网络（如核 心网）之内的任一电信设备， 也可以为位于安全网络之外欲接入该安全网络的 任一电信设备（包括但不限于基站、 终端等）， 如果具体为位于安全网络之夕卜的 电信设备时 ,则上述安全状态信息承载在流控制传输协议 SCTP消息的数据域中。
进一步地， 在上述步骤 C1所涉及的接收来自电信设备的安全状态信息的步 骤之前， 本发明实施例的方法还包括： 根据安全策略， 向电信设备发送安全状 态信息请求， 该安全状态信息请求用于向电信设备情求该网络侧设备欲验证的 组件标识和 /或该组件的属性信息， 即， 该安全状态信息请求用于指示电信设备 返回的安全状态信息中携带网络侧设备所希望获取的组件标识和 /或组件的属 性信息。
综上， 基于对电信设备按照功能模块划分为不同组件后， 通过向网络侧设 备上报包括构成电信设备的至少一个组件和该组件的属性信息的安全状态信 息， 由网络侧设备验证该电信设备的安全状态信息给出验证结果， 达到安全验 证的目的。
另参见图 2 , 本发明实施例提供了一种接入控制方法， 其中， 定义接入设备 为位于安全网络之外的任一电信设备， 该接入设备欲接入该安全网络， 则该方 法如下：
S1:接收来自接入设备的安全状态信息， 该安全状态信息包括： 构成电信设 备的至少一个组件的标识以及该组件的至少一种属性信息；
这里的组件的标识， 应当理解为用于唯一描述或标识该组件的信息， 可以 是组件的名称、 也可以是组件的类型， 也可以是组件的数字标识， 包括但不限 于此。
S2:才 M居安全策略， 对接收的安全状态信息进行安全验证， 得到验证结果； 这里的验证结果可以存储或维护起来， 供其他实体查询。 以及， 这里的安 全策略可以是预设在该方法执行主体中的， 也可以是从策略服务器那里动态获 得的， 包括但不限于此。
S3:至少根据猃证结果， 对接入设备进行接入控制。
其中， 上述步骤 S2所涉及的根据安全策略， 对接收的安全状态信息进行安 全验证， 得到验证结果的步骤， 包括：
当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息匹配时， 则所述验证 结果为通过；
当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息不匹配时， 则所述验 证结果为不通过， 或， 部分组件的验证结果为通过。
或者， 判断接收到的至少一个组件标识是否与网络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向接入设备发送安全状态信息请求， 安全状态信息请 求携带欲验证的组件标识， 或， 向接入设备发送错误信息； 如果组件标识匹配， 则针对至少一个组件， 判断组件的属性信息是否与网络侧存储的属性信息匹配， 如果属性信息匹配， 则验证结果为通过； 如果属性信息不匹配， 则验证结果为 不通过， 或， 部分组件的睑证结果为通过。
其中， 判断组件的属性信息是否与网络侧存储的属性信息匹配， 如果属性 信息匹配， 则^证结果为通过； 如果属性信息不匹配， 则^"证结果为不通过， 或， 部分组件的验证结果为通过， 具体又可以包括：
针对至少一个组件， 判断该组件的至少一种属性信息对应的属性在网络侧 是否存在对应的参考属性； 如果不存在， 则向接入设备发送安全状态信息请求， 该安全状态信息请求用于向接入设备莆求该组件的新的属性， 或， 向接入设备 发送错误信息； 如果存在， 则判断所述组件的属性信息与网络侧存储的对应参 考属性值是否匹配， 如果属性信息匹配， 则验证结果为通过； 如果属性信息不 匹配， 则骀 S正结果为不通过， 或， 部分组件的验证结果为通过。
其中， 组件包括公共类组件中的一个或多个， 和 /或定制类组件中的一个或 多个， 如前， 公共类组件和定制类组件为 居电信设备的功能特性不同划分得 到的， 其中，
公共类组件至少包括时钟系统组件、 底层软件组件、 操作系统组件、 数据 中心组件、 维护接口转换模块组件、 运行管理 0M模块组件、 传输协议组件、 传 输控制模块组件、 信令模块组件、 传输系统组件中的一个或多个；
定制类组件至少包括基带系统组件、 射频系统组件、 流控制传输协议 SCTP 协议状态组件、 交换系统组件、 转发系统组件、 业务接口模块组件、 各业务模 块组件、 网 ^口模块组件中的一个或多个；
相应地，
组件的属性信息包括关键配置信息、 软硬件模块信息、 产品信息、 安全相 关数据信息、 电信设备的 IP地址信息、 位置信息或端口号信息、 配置是否成功 信息、 安全状态验证结果信息、 修复建议信息以及出错提示信息中的一个或多 个。
其中， 步骤 S 3所涉及的根据验证结果， 对接入设备进行接入控制的步骤， 包括：
根据该验证结果和接入策略， 对接入设备进行接入控制。 具体包括： 如果所有验证结果为通过， 则允许接入设备完全接入安全网络， 享有接入 设备所对应的所有服务； 或者，
如果所述验证结果为接入设备的公共类组件的一个或多个属性信息和网络 侧对应的参考属性值不匹配， 且所述一个或多个的属性信息对应的属性对安全 网络的安全威胁系数低于安全威胁系数参考值， 则允许接入设备接入安全网络， 但对接入设备享有服务的权限进行限制； 或者，
如果所述验证结果为接入设备的公共类组件的任一属性信息和网络侧对应 的参考属性值不匹配， 且该任一属性信息对应的属性对安全网络的安全危险系 数高于安全威胁系数参考值， 则允许接入设备与安全网络建立连接， 但对接入 设备享有服务的权限进行限制；
特别是， 当接入设备为家庭基站 HNB 时， 根据验证结果和接入策略， 对接 入设备进行接入控制的步骤， 包括：
如果验证结果为接入设备的公共组件的属性信息的验证都未通过验证 (即 该接入设备的公共组件的属性信息和网络侧对应的参考属性值都不匹配 ), 则拒 绝接入设备接入安全网络。
其中， 安全状态信息承载在流控制传输协议 SCTP消息的数据域中。
在上述步骤 S 2所涉及的接收来自接入设备的安全状态信息的步骤之前， 方 法还包括：
根据安全策略， 向接入设备发送安全状态信息请求， 该安全状态信息请求 用于向接入设备请求网络侧设备欲验证的组件标识和 /或该组件的属性信息， 即 该安全状态信息请求用于指示接入设备返回的安全状态信息中携带网络侧设备 所希望获取的组件标识和 /或该组件的属性信息。
本发明实施例的方法执行主体可以是安全网关 SeGW、 接入网关 AG、
授权和记账服务器 AAA server , 归属地位置寄存器 HLR、 归属用户服务器 HSS、 操作管理和维护服务器 0AM server , 接入节点归属地注册器 AHR、 移动性管理 实体匪 E、 接入节点管理器 APM。
综上所述， 基于对电信设备按照功能模块划分为不同组件后， 通过向网络 侧设备上报包括构成电信设备的至少一个组件和组件的属性信息的安全状态信 息， 由网络侧设备验证该电信设备的安全状态信息给出验证结果， 根据验证结 果， 执行相应的接入控制， 例如， 安全网络以核心网为例， 实现了对位于核心 网外的欲接入该核心网的接入设备的接入控制， 保证了核心网的安全性和可靠 性。 实施例 2
本发明实施例提供了一种接入控制方法， 参见图 3， 为本发明实施例 2提供 的该方法的应用场景示意图， 其中， 本发明实施例中电信设备以 HNB 为例进行 说明， 该 HNB为家用基站， 通常该 HNB为单独的用户终端 UE提供接入核心网的 服务， UE可以利用该 HNB通过 IP网络连接到核心网，参见图 4 , 本发明实施例 提供的方法， 内容如下：
101 : HNB加电启动， 在该加电启动过程中 HNB收集自身的安全状态信息， 该安全状态信息包括： 该 HNB的各组件以及各组件的属性信息。
如前所述， 电信设备会按照各模块的功能不同， 相应地划分出各组件， 且 各组件具有各自的属性信息。 参见表 1 , 为本发明实施例提供的组件和属性信息 示意表。
表 1
组件类型 （Type )
属性 Attr ibutes
关键 软 硬 产品 安全 IP 配置是 评估结 修复 出错 配置 件 模 相关 地址 否成功 果 建议 提示 信息 块 信 数据 或端
息 口号
基带系统 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
射频系统 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
时钟系统 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
底层软件 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
操作系统 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
数据中心 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT
维护接口转换模 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST 块 NOT NOT
0M模块 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT
传输协议组件 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
传输控制模块 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST 信令模块 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT
传输系统 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
SCTP协议状态 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST
NOT NOT
交换系统 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST 转发系统 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST 业务接口模块 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST 网络接口模块 MUST MUST MUST MUST MUST SHOULD SHOULD MAY MUST 其中， 如表 1所示， MUST (必须存在）表示该 MUST对应位置的属性信息为 必须的存在的； MUST NOT (不需要存在）表示该 MUSTNOT对应位置属性信息为不 需要； SHOULD (应该存在）表示该 SHOULD对应的位置的属性信息为应该存在； MAY (可能存在）表示该 MAY对应的位置的属性信息为可能存在。
再如表 1 所示， 公共组件包括： 时钟系统、 底层软件、 操作系统、 数据中 心（用于完成各种配置数据的存储）、 维护接口转换模块（用于将外部命令转换 成内部消息）、 OM ( Operat ion Management , 运行管理）（用于完成设备的配置、 告警管理、 软件升级和加载， 以及设备状态的管理等功能）、 传输协议组件、 传 输控制模块（用于完成传输协议组件的适配， 传输层相关参数的配置和维护以 及资源的管理）、 信令模块（用于对无线资源管理的算法、 参数配置管理流程的 处理） 以及传输系统等；
个性化组件包括：基带系统、射频系统、 SCTP( Stream Cont ro 1 Transrai s s ion Protocol , 流控制传输协议）协议状态、 交换系统、 转发系统、 业务接口模块、 各业务模块、 网^^口模块等；
其中， 各组件的属性信息包括： 关键配置信息、 软硬件模块信息、 产品信 息、 安全相关数据、 IP地址、 位置信息或端口号、 配置是否成功、 安全状态验 证结果、 修复建议以及出错提示等， 如表 1 所示， 一般情况下每个组件会具有 这些属性信息。
其中， 为了便于管理， 在一种实现下， 可以在网络侧设备或接入设备分别 维护一张组件类型与组件标识的关系表， 参见表 2， 为本发明实施例提供的一种 示意表。
表 2
Figure imgf000015_0001
其中， 如表 2所示， 组件标识用于唯一描述或唯一标识某一组件的信息， 如表 1 所示， 该组件标识具体通过数字实现， 其中通过数字实现时， 还可以通 过数字的某些位标识出该组件是属于公共类组件还是属于定制类组件， 例如， 使用最高位 " 1" 指示出该组件隶属公共类组件， 使用最高位 "2" 指示出该组 件隶属于定制类组件； 可选地， 还可以通过预设的指示位标识该组件是属于公 共类组件还是属于定制类组件。 另外可选地， 该组件标识， 也可以直接通过组 件的名称或组件的类型实现。 具体可以是， 在接入设备 HNB和网络侧设备 AG处 分别维护一个关系映射表， 包括： 组件类型： 组件标识； 属性类型： 属性标识。
其中，收集自身的安全状态信息的动作可以由 HNB的某一逻辑功能模块（例 如， 可以是 TrE， 也可以是其他的功能模块， 如 IMC ( Integr i ty Measurement Col lec tor , 完整性测量控制器）等） 负责根据设备中各组件的启动时序收集该 HNB设备的安全状态信息，该安全状态信息包括构成该 HNB的至少一个组件以及 该组件的至少一种属性信息。
102: HNB完成启动后， 向网络侧 AG发起接入倚求， 并建立与 AG之间的链 路。
其中， 可选地， 上述步骤 101还可以为 HNB正常执行加电启动过程； 相应 地， 步骤 102为 HNB完成启动后， 向网络侧 AG发起接入请求， 并建立与 AG之 间的链路， 当建立该链路后， HNB收集自身的安全状态信息。 本发明对此不做限 制。
103: 当 HNB和 AG之间的链路建立成功后， AG ^居预设的安全策略向 HNB 发送安全状态信息请求。
这里的预设的安全策略也可以采用其他实现， 如 AG从策略服务器动态获得 相应的安全策略。
其中， 预设的安全策略用于确定需要电信设备上报其自身的安全状态信息 的内容， 例如， 该预设的安全策略可以为：
1、 要求 HNB设备上报其所有组件的某一（或某一些）属性信息； 或，
2、 要求 HNB设备上报其所有组件的每个组件的所有属性信息； 或，
3、 要求 HNB设备上报其某一（或某一些）组件的所有属性信息； 或，
4、 要求 HNB设备上报其所有的公共类组件的属性信息； 或，
5、 要求 HNB设备上报其部分的公共类组件的属性信息； 或，
6、 要求 HNB设备上报其所有的定制类组件的属性信息； 或，
7、 要求 HNB设备上报其部分的定制类组件的属性信息； 等等。 本实施例对 上述预设的安全策略具体的制定的方式和方法不做限制。 104 : HNB接收安全状态信息请求后， 从自身收集的安全状态信息中， 获得 AG希望获取的安全状态信息。
105： HNB通过 SCTP传输消息向 AG返回获得的安全状态安全信息。
其中， 接入设备在接入核心网时， 是通过 SCTP协议实现的传输控制， 本实 施例以 HNB和 AG之间的 SCTP协议实现 HNB向 AG返回安全状态安全信息为例进 行说明。 本领域技术人员可以获知， 基于该 SCTP协议， SCTP连接的建立需要两 端点双方进行两次交互过程。第一次消息交互用于初始化 SCTP连接的相关参数， 第二次消息交互用于进行 SCTP两端点之间数据的传输。 其中， 本发明实施例在 通过 SCTP传输消息向 AG返回安全状态安全信息实现时， 可以采用以下两种方 式：
方式一、 利用移动网中的 SCTP传输协议连接建立过程中， 上述第二次消息 交互时可以传输数据的特性， 利用第二次消息来承载包含 AG所希望获取的该电 信设备 HNB的安全状态信息。
方式二、 当两端点之间成功建立的 SCTP连接后， 在 SCTP连接通道中， 用 SCTP的数据包搭载携带 AG所希望获取的该电信设备 HNB的安全状态信息，进而 可以实现电信设备与核心网之间进行安全状态信息的传输。
无论是上述那种方式， 在利用 SCTP消息携带 AG所希望获取的该电信设备 HNB的安全状态信息时， 可以通过扩展 SCTP消息的数据块 da ta chunk字段来实 现， 即利用该字段实现携带安全状态信息的目的。 本实施例对此不做限制。 为例进行说明， 而实际应用时， 可以采用其他的传输协议， 如 TCP、 UDP等传输 协议来实现电信设备的安全状态信息的传输， 本实施例对此不做限制。
106 : 网络侧 AG接收 HNB发送的安全状态信息后， 对该安全状态信息进行 安全臉证， 得出^正结果。 具体内容如下：
1061 : AG接收安全状态信息， 该安全状态信息包含组件和该组件的属性信 息；
1062 : 根据预设的参考值， 对 HNB上报的各组件的各属性信息进行判断； 其中， 根据预设的参考值， 对 HNB上报的各组件的各属性信息进行判断具 体为： 将 HNB上报的各组件的各属性信息和对应的参考属性值进行比较。 例如， 比较 HNB上报的各组件的各属性信息和预设的参考属性值是否一致（或匹配）。 其中， 该预设的参考值， 可以为 AG 自身保存的， 也可以为 AG从核心网的其他 设备处获取的， 本实施例对此不做限制。
可选地， 上述预设的参考值， 还可以为预设的参考范围值， 则相应地， 上 述根据预设的参考值， 对 HNB上报的各组件对应的各属性信息进行判断的步骤， 具体为： 根据预设的参考范围， 对 HNB上报的各组件的各属性信息进行判断。 例如， 判断 HNB上报的各组件对应的各属性信息是否在参考范围值之内。 其中， 该预设的参考范围， 可以为 AG 自身保存的， 也可以为 AG从核心网的其他设备 处获取的， 本实施例对此不做限制。
1063: 根据判断结果， 给出验证结果；
1064; 根据验证结果， 判断是否还需要向 HNB进一步获取安全状态信息， 如果是， 则 AG向 HNB发送另一安全状态信息请求消息， 用于请求获取其他类型 组件的属性信息或请求某组件的其他属性信息， HNB通过 SCTP消息响应该另一 安全状态信息请求消息， AG继续对该另一安全状态信息进行验证， 直到不需要 向 HNB进一步获取安全状态信息为止。 即， 如果验证结果为 HNB上报的组件的 某属性信息与预设的参考属性值不一致； 或， HNB上报的组件类型与 AG所要求 的组件类型不匹配时（如 HNB上报的组件类型个数少于网络侧 AG所要求的组件 类型个数）时， 则 AG向 HNB发送另一安全状态信息请求消息。 假设在步骤 103 中 AG要求 HNB设备上报其某一组件的所有属性信息， AG发现该组件的所有属性 信息中某一个（或某一些）与预设的参考值不一致， 则为了保证对 HNB 的安全 性的准确验证，则在该步骤 1063之后， AG通过发送另一安全状态信息请求消息， 要求 HNB设备上 4艮该组件的该不一致的属性信息， 同理， HNB通过 SCTP消息响 应该另一安全状态信息请求消息。 本实施例对此不做限制
其中， 该步骤 1064为可选步骤， 即， 如果验证结果为 HNB上报的组件属性 信息全部与网络侧的标准参考值一致， 则完成了该验证过程， 不需要执行该步 骤 1064; 否则， 根据验证结果， 执行请求设备更细粒度的安全状态信息。 如请 求其他类型组件的属性信息或者请求某组件其他的属性信息等， 则相应地， AG 重新验证细粒度的安全状态信息， 直到不需要向 HNB进一步获取安全状态信息 为止，才算完成了整个验证过程。
107: AG根据验证结果和预设的接入策略， 对 HNB进行接入控制。 具体内容 如下： 这里的预设的接入策略也可以采用其他实现， 如 AG从策略服务器动态获得 相应的接入策略。
可选地， 该步骤 107中， AG还可以向 HNB通告验证结果， 本实施例对此不 做限制。
其中， 上述预设的接入策略主要用于针对不同的验证结果， 而采取不同的 接入决策， 即不同的设备安全状态信息验证结果对应了不同的接入方式。 其中， 具体的接入策略， 可以为：
1、 如果所有验证结果都符合预设的安全策略， 例如： 若该 HNB设备的公共 类的各组件的各属性信息和对应的预设的参考值一致、 定制类各组件的各属性 信息的值和对应的预设的参考值一致， 即验证结果为通过， 则允许该 HNB设备 完全接入核心网， 享有该 HNB设备对应的所有服务；
2、 如果验证结果为接入设备的公共类组件中的某一（或某一些）属性信息 和预设的参考值不一致， 即验证结果为不满足安全策略； 但上述属性信息对应 的属性对网络的安全威胁系数较低， 在一种实现下即所述属性信息对应的属性 对所述安全网络的安全威胁系数低于安全威胁系数参考值 , 即虽然该属性信息 和预设的参考值不一致， 不满足安全策略， 但是该类属性信息所导致的不满足 安全策略不会对网络造成很大影响时（如某些不重要的属性信息没有通过验证 的情况）， 则允许该接入设备接入核心网， 但需要限制其对某些服务享用。 可选 地， 为了确保提高本发明实施例提供的方式的使用的灵活性， 还可以通告 HNB 针对该属性信息进行修复；
3、 如果验证结果为接入设备的公共组件的某一属性信息和预设的参考值不 匹配（即该属性信息不满足安全策略）， 但该属性信息对应的属性会对网络造成 一定影响时（如公共组件中的设备软硬件模块信息的属性信息没有通过验证， 而设备软硬件模块信息这一组件属于对核心网危险系数较高的一类属性， 在一 种实现下即所述属性信息对应的属性对所述安全网络的安全威胁系数高于安全 威胁系数参考值）， 则核心网只允许该接入设备与核心网建立连接， 但只能享受 某些紧急呼叫服务（如 110、 120等特殊业务）；
4、 针对本发明实施例提供的电信设备 HNB而言， 当该 HNB的公共组件的属 性信息和预设的参考值不匹配， 如， 传输控制组件的属性信息跟对应的预设参 考值不一致， 则 AG可以直接拒绝该 HNB设备接入网络， 需要该 HNB设备进行修 复， 当 HNB设备进行修复之后继续经过 正后接入核心网。 针对该 HNB设备制 定这样的接入决策充分考虑到了应用的灵活性和可靠性，原因如下： 由于该 HNB 是部署在个人用户家中的， 拒绝其接入对于运营商来说， 只影响某一用户的使 用， 不会造成大规模用户的接入设备， 相比核心网的安全还是可取的。 但是， 对于负责大规模用户接入核心网任务的 eNB而言， 该方式的可实施性较差。
其中， 上述本步骤 107所涉及的接入策略， 该接入策略可以是预设在 AG中 的， 也可以是 AG从策略服务器那里获得的， 该策略服务器用于存储接入策略。 本实施例对此不做限制。
通过上述步骤 101-步骤 107 , 本发明实施例提供了一种对电信设备进行控 制的方法， 相应地， 参见图 5 , 为本发明实施例提供的方法交互示意图， 如图 5 所示， 包括：
Sl、 HNB收集自身的安全状态信息；
S 2、 HNB请求接入网络， 并建立和 AG的链路；
53、 AG根据安全策略请求 HNB的安全状态信息， 例如， 请求 HNB的定制类 组件的所有属性信息；
54、 HNB上报 AG所请求的定制类组件的所有属性信息；
S 5-6" 、 AG验证 HNB上报的安全状态信息， 验证的过程包括： 将 HNB上报 的组件对应的属性信息与网络侧 AG处对应的标准参考值进行比较， 并给出验证 结果； 才艮据验证结果， 选择执行步骤 6或 6 ' , 具体的， 如果验证结果为 HNB上 报的组件属性信息全部与网络侧的标准参考值一致， 则执行步骤 6; 如果验证结 果为组件的某属性信息与标准参考值不一致或者 HNB上艮的组件个数与网络侧 AG处的组件个数不匹配， 例如： HNB上报的组件个数少于网络侧 AG要求的组件 个数， 则执行步骤 6 ' 。
S 6， 、 网络侧可以请求设备更细粒度的安全状态信息。 如请求其他类型 组件的属性信息或者倚求某组件其他的属性信息等。
S 6" 、 AG重新验证细粒度的安全状态信息。
S 7、 AG或 HNB可以重新触发对设备安全状态验证流程（该步骤为可选步骤）。 综上所述， 本发明实施例提供的接入控制的方法， 基于对电信设备的组件 的划分后， 通过向核心网侧的网络侧设备上报包括组件和组件的属性信息的安 全状态信息， 由网络侧设备验证该电信设备的安全状态信息给出验证结果， 并 才艮据验证结果， 执行相应的接入控制， 从而实现了对欲接入核心网络的接入设 备的接入控制， 保证了核心网的安全性和可靠性。 上述实施例 2以接入设备为 HNB, 且以网络侧 AG #居安全策略， 向 HNB请 求获取安全策略对应的安全状态信息为例进行的说明； 实施例 3 , 以接入设备为 常见的 eNB为例进行说明， 则相应地， 网络侧以匪 E为例进行说明， 且本发明 实施例以 eNB主动上 4艮自身的安全状态信息为例进行说明， 详见下述实施例： 实施例 3
参见图 6 , 为本发明实施例 3提供的该方法的应用场景示意图， 其中， 本发 明实施例中电信设备以 eNB为例进行说明， 该 eNB为规 ：量较大的用户终端 UE提供接入核心网的服务， 各 UE可以利用该 eNB通过 IP 网络连接到核心网， 本发明实施例提供了一种接入控制的方法， 参见图 7,本发明实施例提供的方法 内容: ^下：
201: eNB加电启动， 在该加电启动过程中 eNB收集自身的安全状态信息， 该 安全状态信息包括： 该 eNB的各组件以及各组件的属性信息。
202: eNB完成启动后， 向 ME发起接入请求， 并建立与 MME之间的链路。 其中， 该步骤 201-202与上述实施例 1的步骤 100-101类似， 不再爹述。 203:当 eNB和丽 E之间当链路建立起来后， eNB向 MME发送自身收集的安全 状态信息。
其中， 该步骤 203具体实现时， 可以为： 当 eNB和匪 E之间当链路建立起 来后， eNB主动向网络侧根据组件安全等级的优先级， 上报设备的全部组件或者 部分组件的全部或者部分属性信息； 其中，
具体的， 组件安全等级的优先级可以是， 公共类组件的优先级高于定制类 组件的优先级； 再如针对公共类组件还可以进一步的制定出各组件的优先级， 例如： 公共类组件的优先级的高低顺序依次如下： 操作系统、 底层软件、 数据 中心、 传输控制模块、 时钟系统、 传输协议组件以及传输系统等。
204: MME接收 eNB发送的安全状态信息后，对该安全状态信息进行安全验证， 得出^ ^正结果。
其中， 该步骤 204和实施例 1的步骤 106类似， 不再赘述。 205 : 匪 E根据验证结果和预设的接入策略， 对 eNB进行接入控制。
需要特别注意的是， 本实施例与实施例 2的区别在于， 由于 eNB是运营商 核心网的小型基站， 通过它会有较大规模数量的用户接入核心网。 因此， 一旦 拒绝该设备接入网络， 将会造成许多用户的断网服务。 因此， 出于实际应用的 考虑， 充分考虑到本发明实施例提供的方法的可实施性， 对于 eNB来说， 网络 侧的接入策略几乎很少会拒绝该接入设备接入。 一般地， 如果验证结果不符合 安全策略， 通常为接入设备 eNB提供连接， 但会限制为该接入设备提供一定的 服务等。 如可选地， 还可以提示该 eNB进行修复， 等该 eNB修复成功， 通过网 络侧 MME的^ 正后， 再为该 eNB提供核心网内其应有的服务。
其中， 为了确保 eNB设备的安全性， 网络侧可以定期对 eNB设备进行安全 状态信息验证， 例如， 通过设定定时器的方式实现对 eNB设备上报安全状态信 息的触发， 即 eNB被触发后， 主动向 MME上报自身的安全状态信息， 其中， eNB 会根据自身的运行及时对自身的安全状态信息进行更新。
通过上述步骤步骤 201 -步骤 205 ,本发明实施例提供了一种接入控制的方 法， 相应地， 参见图 8， 为本发明实施例提供的信息交互示意图， 如图 8所示， 包括：
1、 eNB收集自身的安全状态信息；
2、 eNB请求接入网络， 并建立和 MME的链路；
3、 eNB受到定时器触发， 利用传输协议上报自身的安全状态信息； 4、 MME验证 eNB上报的安全状态信息， 验证的过程包括： 将 eNB上报的组 件对应的属性信息与网络侧 MME处对应的标准参考值进行比较， 并给出 3 正结 果； 根据验证结果， 选择执行步骤 5或 5 ' ， 具体的， 如果验证结果为 HNB上报 的组件属性信息全部与网络侧的标准参考值一致， 则执行步骤 5 ; 如果验证结果 为缺少 MME希望获取的关键组件的属性信息（如缺少 eNB的数据中心组件和其 相应的属性信息）， 则执行步骤 5 ' 。
5， 、 MME可以请求 eNB更细粒度的安全状态信息。 如清求该关键组件的属 性信息等。
5 " 、 eNB返回 MME所请求的安全状态信息后， MME验证细粒度的安全状态 信息。
5、 MME向 eNB通过验证结果， 并根据接入策略和验证结果进行接入控制； 6、 eNB定期触发安全状态验证流程 (该步骤为可选步骤）。
综上所述， 本发明实施例提供的接入控制的方法， 基于对电信设备的组件 的划分后， 通过向核心网侧的网络侧设备上报包括组件和组件的属性信息的安 全状态信息， 由网络侧设备验证该电信设备的安全状态信息给出验证结果， 并 才 据验证结果， 执行相应的接入控制， 从而实现了对欲接入核心网络的接入设 备的接入控制， 保证了核心网的安全性和可靠性。 上述实施例 2和 3是针对电信设备中的接入设备进行的说明， 具体说明了 针对该类接入设备如何进行接入控制， 以确保核心网的安全和可靠； 如前所述， 在网络中， 核心网内部的电信设备的安全性也会影响到核心网的安全性和可靠 性， 下面实施例 4将针对对位于核心网内部的电信设备（简称电信设备）如何 进行安全状态验证进行说明， 详见如下： 实施例 4
本发明实施例提供了一种对电信设备安全状态验证的方法， 参见图 9 ,本发 明实施例提供的应用场景示意图， 由于为了确保核心网的安全和可靠， 核心网 还需要对核心网中某大型或者重要电信设备进行安全状态验证， 达到安全控制 的目的， 本实施例以对核心网中的数据库服务器进行安全状态为例进行说明， 参见图 10, 为本发明实施例提供的方法的流程图， 内容如下：
301: 网管服务器根据自身的安全控制策略， 向数据库发送安全状态信息请 求；
其中， 该所述安全状态信息请求中携带所述网络侧设备希望获取的所述电 信设备的组件标识和对应该组件的属性信息。
302： 数据库服务器接收安全状态信息请求后， 收集自身的安全状态信息， 向网管服务器返回网管服务器希望获取的安全状态信息。 其中， 该安全状态信 息包含至少一个组件和至少一个组件的至少一种属性信息。
303: 网管服务器接收数据库服务器返回的安全状态信息， 对该安全状态信 息进行验证， 得到验证结果。
其中， 该步骤中网管服务器在对安全状态信息进行臉证时， 可以根据安全 策略执行验证， 从而得出验证结果。 其中， 该安全策略可以是预设在网管服务 器中的， 也可以是网管服务器从策略服务器那里动态获得的， 该策略服务器用 于存储安全策略。 本实施例对此不做限制。
304： 网管服务器输出验证结果。
其中， 上述验证结果可以作为> ^表输出、 网管维护、 故障预防或者与网络 其他实体重要信息的交互等操作依据， 例如， 该验证结果用于供其他实体查询 该设备的安全状态验证结果， 具体的， 核心网可以将设备的安全状态验证结果 存储 /维护到某个位置（该位置可以是一个单独的数据库， 也可以是某个现有网 元上）在需要时供其他实体查询。
其中， 核心网络侧的设备（如网管服务器等）可以根据验证结果和安全策 略， 对该数据库服务器进行安全控制； 或者， 还可以根据验证结果和访问策略， 对该数据库服务器进行访问控制。 本实施例对此不做限制， 其中， 上述安全策 略或访问策略， 可以位于网管服务器中， 还可以为网管服务器向策略服务器获 取得到， 即该策略服务器用于提供安全策略或访问策略。
通过上述步骤 301-304 ,本发明实施例提供了一种对电信设备进行安全状态 验证的方法， 相应地， 参见图 11 , 为本发明实施例提供的信息交互示意图， 如 图 11所示， 包括：
51、 数据库服务器收集自身的安全状态信息；
52、 数据库服务器和网管服务器交互数据库服务器的安全状态信息（其中， 该交互过程可以是网管服务器向数据库服务器请求， 数据库服务器响应的方式， 也可以为数据库服务器主动向网管服务器上报的方式）；
53、 网管服务器对安全状态信息进行验证（其中， 该臉证过程可以为将数 据库服务器收集到的不同组件的属性信息与服务器侧存储的对应的标准参考值 进行匹配比较）；
54、 网管服务器输出 结果；
S5、 定期触发验证流程（该步骤为可选步骤， 且触发可以为由数据库服务 器发起， 也可以由网管服务器器发起）。
综上所述， 本发明实施例提供的方法， 基于对电信设备进行组件划分后， 通过向核心网侧的网络侧设备上报包括组件和组件的属性信息的安全状态信 息， 由网络侧设备臉证该电信设备的安全状态信息给出臉证结果， 实现了对电 信设备安全验证的目的， 并进而可以根据利用验证结果， 作为报表输出、 网管 维护、 故障预防或者与网络其他实体重要信息的交互等操作依据； 以及利用验 证结果执行安全控制以及访问控制。
综上所述， 上述本发明实施例中交互双方如果存在身份认证过程， 则上述 所涉及网络侧设备对电信设备安全状态信息的验证可以是在身份认证之前进 行， 也可以是结合身份认证的具体过程进行， 或者， 还可以是在身份认证合法 之后再进行安全状态信息验证， 本发明实施例对此不做限制， 只要电信设备与 网络侧设备之间建立连接即可进行安全状态验证过程。
综上所述， 本发明实施例仅以 eNB、 HNB和数据库服务器作为被臉证方为例 进行的说明， 被验证方包括但不限于： 其他类型的电信设备的接入设备或网络 边界设备， 包括无线网络中的接入设备 H (e) NB、 AP、 固定网络、 融合网络中的 接入设备以及边界网关、 分布式小基站等， 也可以是 IP网中的边界路由器、 交 换机， 以及接入网关等接入设备或网络边缘设备的接入控制。 同时也可以是手 机、 移动终端以及固定接入终端等终端设备。 还可以是核心网中其他的核心网 重要或者大型电信设备。
相应地， 本发明实施例仅以 AG、 MME和网络侧网管良务器作为猃证方为例 进行的说明， 验证方包括但不限于： 是 SeGW (安全网关）， AG (接入网关）、 AAAserver ( AAA服务器）、 HLR(归属位置寄存器）、 HSS ( Home Subscr iber Server, 归属用户服务器)、 0AM ( Operat ion, Admini s trat ion, Maintenance ，操作、 管理和维护） server , AHR ( Access Point home regi s ter,接入节点归属地注 册器）， MME ( mobi l i ty management ent i ty,移动性管理实体）、 APM ( AP manager, 接入节点管理器）等设备。
其中， 在实现收集电信设备（充当验证方） 的安全状态信息时， 可以是通 过与该电信设备相互独立的逻辑或者物理实体， 如收集代理 Agent、代理收集服 务器等实现收集的功能； 也可以是通过对现有电信设备的功能扩展后的实体实 现收集的功能。
其中， 上述作为验证方的实体， 可以是独立的功能实体， 也可以通过对网 络侧其他实体功能的扩展而实现。 也即， 网络侧设备可以是接入网网关、 AAA服 务器、 AHR ( HLR )、 MME或者网管设备 APM等实体。
综上， 本发明实施例提供的方法， 不仅适用于移动网络的接入控制， 而且 适用于这些电信设备接入其他任何网络时的接入控制， 还适用于可以进行网络 内安全控制 （包括但不限于的安全管理、 报表生成、 设备安全评估以及供其他 实体查询设备的安全状态验证结果等操作）。 本发明实施例提供的方法， 适用于 移动网络、 固定网络和固定移动融合网络以及 IP网络。 无线接入方式包括但不 P艮于： GSM (Global System for Mobile Communications, 全球移动通信系统）、， WCDMA (Wideband-Code Division Multiple Access, 宽带码分多址）、 TD-SCDMA (Time Division - Synchronized Code Division Multiple Access , 时分同 步码分多址接入）、 CDMA (Code-Division Multiple Access ,码分多址）、 WIMAX (Worldwide Interoperability for Microwave Access , 全球微波互联接入)、 WLAN ( Wireless Local Area Network,无线局域网)、 LTE ( Long Term Evolut ion, 长期演进 ）等。 实施例 5
与上述方法实施例相应， 本发明实施例提供了一种电信设备， 参见图 12, 该电信设备包括：
收集单元 401， 用于 据构成电信设备的组件， 收集电信设备的安全状态信 息， 安全状态信息包括构成电信设备的至少一个组件标识以及组件的至少一种 属性信息；
这里的组件的标识， 应当理解为用于唯一描述或标识该组件的信息， 可以 是组件的名称、 也可以是组件的类型， 也可以是组件的数字标识， 包括但不限 于此。
其中， 对应电信设备而言按照其功能划分得到组件， 其中， 进一步地， 根 据电信设备的功能特性不同划分可以得到公共类组件和定制类组件的， 相应地， 上述收集单元所收集的组件包括公共类组件中的一个或多个， 和 /或定制类组件 中的一个或多个， 其中，
公共类组件至少包括时钟系统组件、 底层软件组件、 操作系统组件、 数据 中心组件、 维护接口转换模块组件、 0M模块组件、 传输协议组件、 传输控制模 块组件、 信令模块组件、 传输系统组件；
定制类组件至少包括基带系统组件、 射频系统组件、 SCTP协议状态组件、 交换系统组件、 转发系统组件、 业务接口模块组件、 各业务模块组件、 网络接 口模块组件； 相应地，
组件的属性信息包括关键配置信息、 软硬件模块信息、 产品信息、 安全相 关数据信息、 电信设备的 IP地址信息、 位置信息或端口号信息、 配置是否成功 信息、 安全状态验证结果信息、 修复建议信息以及出错提示信息中的一个或多 个。
发送单元 402， 用于向网络侧设备发送收集单元 401收集的安全状态信息， 以使得网络侧设备对安全状态信息进行安全^正。
例如， 当网络侧设备接收到安全状态信息后， 可以 居安全策略对该安全 状态信息进行安全验证， 得到验证结果， 可选的， 还可以再根据验证结果和接 入策略， 对电信设备进行接入控制， 示例如下：
1、 如果所有验证结果都符合预设的安全策略， 例如： 若该 HNB设备的公共 类的各组件的各属性信息和对应的预设的参考值匹配、 定制类各组件的各属性 信息的值和对应的预设的参考属性值匹配， 即验证结果为通过， 则允许该 HNB 设备完全接入核心网， 享有该 HNB设备对应的所有服务；
2、 如果接入设备的公共类组件中的某一种（或某一些）属性信息和预设的 参考值不匹配， 即验证结果为不满足安全策略； 但上述属性信息对应的属性对 网络的安全威胁系数较低， 即虽然该属性信息和预设的参考属性值不匹配， 不 满足安全策略， 但是该类属性信息所导致的不满足安全策略不会对网络造成很 大影响时（如某些不重要的属性信息没有通过验证的情况）， 则允许该接入设备 接入核心网， 但需要限制其对某些服务享用。
3、 如果接入设备的公共组件的某一属性信息和预设的参考属性值不匹配， 但该属性信息对应的属性会对网络造成一定影响时（如公共组件中的设备软硬 件模块信息的属性信息没有通过验证 , 而设备软硬件模块信息这一组件属于对 核心网危险系数较高的一类属性）， 则核心网只允许该接入设备与核心网建立连 接， 但只能享受某些紧急呼叫服务（如 110、 120等特殊业务）；
进一步地， 本发明实施例通过的电信设备还包括：
接收单元， 用于接收来自网络侧设备发送的安全状态信息请求， 该安全状 态信息请求用于向电信设备请求网络侧设备欲验证的组件标识和 /或该组件的 属性信息， 即可以通过该安全信息请求中携带网络侧设备希望获取的电信设备 的组件标识和 /或该组件的属性信息实现； 发送单元 402， 具体用于根据接收单元接收的安全状态信息请求， 向网络侧 设备发送收集单元 401 收集的安全状态信息， 该安全状态信息包括网络侧设备 欲儉证的组件标识和 /或该组件的属性信息。
其中， 当电信设备位于安全网络之外时，
发送单元 402具体用于通过电信设备与网络侧设备建立的 SCTP连接， 向网 络侧设备发送 SCTP消息， 该 SCTP消息携带安全状态信息。
其中， 本发明实施例提供的电信设备的收集单元 401， 具体用于根据构成电 信设备的组件， 定期收集电信设备的安全状态信息。
其中， 本发明实施例提供的电信设备具体应用时， 可以是位于安全网络（如 核心网）之外的任一电信设备， 包括无线网络中的接入设备 H (e) NB、 AP、 固定 网络、 融合网络中的接入设备以及边界网关、 分布式小基站等， 也可以是 IP网 中的边界路由器、 交换机， 以及接入网关等接入设备或网络边缘设备； 也可以 是手机、 移动终端以及固定接入终端等终端设备。 另外， 本发明实施例提供的 电信设备具体应用时， 还可以是位于核心网中的任一的核心网重要或者大型电 信设备。
相应地， 上述网络侧设备具体应用时， 可以是 AG、 MME和网络侧网管服务 器、 SeGW, AG、 AAAserver、 HLR、 HSS、 OAMserver , AHR , MME, APM等设备。
综上所述， 本发明实施例的电信设备， 基于对电信设备的组件的划分后， 通过向安全网络侧的网络侧设备上报包括组件和组件的属性信息的安全状态信 息， 由网络侧设备验证该电信设备的安全状态信息给出驗证结果， 实现了对该 电信设备的安全验证， 并进而实现了根据安全验证得到的猃证结果， 对该电信 设备执行相应的控制， 从而实现了对位于安全网络中的电信设备的安全控制或 访问控制， 保证了安全网络的安全性和可靠性， 以及实现了对位于安全网络之 外的电信设备的接入控制， 保证了安全网络的安全性和可靠性。 实施例 6
与上述方法实施例和电信设备实施例相应， 本发明实施例提供了一种网络 侧设备， 该网络侧设备位于安全网络（如核心网） 中， 参见图 13， 该网络侧设 备包括：
接收单元 501 , 用于接收来自接入设备发送的安全状态信息， 安全状态信息 包括构成电信设备的至少一个组件标识和该组件的至少一种属性信息； 这里的组件的标识， 应当理解为用于唯一描述或标识该组件的信息， 可以 是组件的名称、 也可以是组件的类型， 也可以是组件的数字标识， 包括但不限 于此。
验证单元 502， 用于根据安全策略，对接收单元 501接收的安全状态信息进 行验证， 得到验证结果；
控制单元 503， 用于至少根据验证单元 502的验证结果，对接入设备进行控 制。
其中， 该 正单元 502具体当所述接收到的所述至少一个组件标识与网络 侧存储的参考组件标识匹配， 且对应组件的属性信息与网络侧存储的参考属性 信息匹配时， 则所述验证结果为通过； 当所述接收到的所述至少一个组件标识 与网络侧存储的参考组件标识匹配， 且对应组件的属性信息与网络侧存储的参 考属性信息不匹配时， 则所述验证结果为不通过， 或， 部分组件的臉证结果为 通过；
或者， 该验证单元 502具体用于判断接收到的至少一个组件标识是否与网 络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向接入设备发送安全 状态信息请求， 该安全状态信息请求携带欲验证的组件标识， 或， 向接入设备 发送错误信息； 如果组件标识匹配， 则针对所述至少一个组件， 判断该组件的 属性信息是否与网络侧存储的、 对应的参考属性信息匹配， 如果属性信息匹配， 则验证结果为通过； 如果属性信息不匹配， 则验证结果为不通过， 或， 部分组 件的验证结果为通过。
其中， 上述验证单元 502具体用于判断接收到的至少一个组件标识是否与 网络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向接入设备发送安 全状态信息请求， 该安全状态信息请求携带网络侧设备欲臉证的组件标识； 或， 向接入设备发送错误信息； 如果组件标识匹配， 则针对至少一个组件， 判断该 组件的至少一种属性在网络侧是否存在对应的参考属性； 如果不存在， 则向接 入设备发送安全状态信息请求， 该安全状态信息请求用于向接入设备请求新的 属性信息， 或， 向接入设备发送错误信息； 如果存在， 则判断所组件的属性信 息与网络侧存储的对应参考属性值是否匹配； 如果属性信息匹配， 则臉证结果 为通过； 如果属性信息不匹配， 则验证结果为不通过， 或， 部分组件的验证结 果为通过。 （应当理解的是， 网络侧存储的参考属性信息包括参考属性本身， 以 及该参考属性值。 )
其中， 该接入设备可以是位于安全网络（如核心网）之外的任一电信设备， 包括无线网络中的接入设备 H (e) NB、 AP、 固定网络、 融合网络中的接入设备以 及边界网关、 分布式小基站等， 也可以是 IP网中的边界路由器、 交换机， 以及 接入网关等接入设备或网络边缘设备； 同时也可以是手机、 移动终端以及固定 接入终端等终端设备。
其中， 控制单元 503 , 具体用于根据验证结果和接入策略， 对接入设备进行 接入控制。 该接入策略可以为预先设置在该网络侧设备中， 还可以为该网络侧 设备从其他设备（如策略服务器）获取得到， 本实施例对此不做限制。 具体如 下： 该控制单元 503， 具体用于当所有验证结果为通过， 则允许接入设备完全接 入安全网络， 享有接入设备所对应的所有服务； 或者，
当所述验证结果为接入设备的公共类组件的一种或多种属性信息和网络侧 对应的参考属性值不匹配， 且所述一个或多个的属性信息对应的属性对安全网 络的安全威胁系数低于安全威胁系数参考值， 则允许接入设备接入安全网络， 但对接入设备享有服务的权限进行限制； 或者，
当所述验证结果为接入设备的公共类组件的任一属性信息和其对应的参考 属性值不匹配， 且该任一属性信息对应的属性对安全网络的安全危险系数高于 安全威胁系数参考值， 则允许接入设备与安全网络建立连接， 但对接入设备享 有服务的权限进行限制。
特别地， 若接入设备为家庭基站 HNB, 则控制单元 503， 具体用于当公共组 件的属性信息 正都未通过验证， 则拒绝接入设备接入安全网络。
本发明实施例提供的网络侧设备进一步包括：
存储单元， 用于存储验证单元 502得到的驗证结果。 该验证结果还可以用 于供其他的用户或其他实体查询等操作。
进一步地， 该网络侧设备还包括：
发送单元， 用于根据安全策略， 向接入设备发送安全状态信息请求， 该安 全状态信息请求用于向接入设备请求该网络侧设备欲验证的组件标识和该组件 的属性信息， 即该安全状态信息请求用于指示接入设备返回的安全状态信息中 携带网络侧设备希望获取的组件标识和该组件的属性信息。 综上所述， 本发明实施例网络侧设备， 基于对电信设备的组件的划分后， 通过向安全网络中的网络侧设备上报包括组件和组件的属性信息的安全状态信 息， 由该网络侧设备验证该电信设备的安全状态信息给出验证结果， 并根据验 证结果， 执行相应的接入控制， 实现了对位于安全网络之外的电信设备的接入 控制， 保证了安全网络的安全性和可靠性。 实施例 7
与上述方法实施例和设备实施例相应 , 本发明实施例提供了一种安全验证 设备， 参见图 14，所述设备包括：
接收单元 601，用于接收来自电信设备的安全状态信息，安全状态信息包括： 构成电信设备的至少一个组件的标识以及该组件的至少一种属性信息；
这里的组件的标识， 应当理解为用于唯一描述或标识该组件的信息， 可以 是组件的名称、 也可以是组件的类型， 也可以是组件的数字标识， 包括但不限 于此。
脸证单元 602， 用于根据安全策略， 对接收的安全状态信息进行安全验证， 得到验证结果。
其中， 该安全策略可以位于该安全验证设备中， 还可以为该安全验证设备 向其他设备（如策略服务器） 获取得到， 本实施例对此不做限制。
其中， 验证单元 602 , 具体用于当所述接收到的所述至少一个组件标识与网 络侧存储的参考组件标识匹配， 且对应组件的属性信息与网络侧存储的参考属 性信息匹配时， 则所述验证结果为通过； 当所述接收到的所述至少一个组件标 识与网络侧存储的参考组件标识匹配， 且对应组件的属性信息与网络侧存储的 参考属性信息不匹配时， 则所述验证结果为不通过， 或， 部分组件的验证结果 为通过；
或者， 该验证单元 602具体用于判断接收到的至少一个组件标识是否与网 络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向电信设备发送安全 状态信息请求， 该安全状态信息请求携带欲验证的组件标识； 或， 向电信设备 发送错误信息； 如果组件标识匹配， 则针对至少一个组件， 判断该组件的至少 一种属性在网络侧是否存在对应的属性； 如果不存在， 则向电信设备发送安全 状态信息请求， 该安全状态信息倚求用于向电信设备请求该组件的新的属性信 息， 或， 向电信设备发送错误信息； 如果存在， 则判断所述组件的属性信息与 网络侧存储的对应参考属性值是否匹配； 如果属性信息匹配， 则验证结果为通 过； 如果属性信息不匹配， 则验证结果为不通过， 或， 部分组件的验证结果为 通过。
进一步地， 设备还包括：
发送单元， 用于根据安全策略， 向电信设备发送安全状态信息请求， 该安 全状态信息请求用于向电信设备倚求该安全状态验证设备欲验证的组件标识和 /或组件的属性信息， 即该安全状态信息请求用于指示电信设备返回的安全状态 信息中携带网络侧设备所希望获取的组件标识和 /或组件的属性信息。
进一步地， 本发明实施例提供的进一步包括：
存储单元， 用于存储验证单元 602得到的验证结果。 该验证结果还可以用 于供其他的用户或其他实体查询等操作。
其中， 在具体实现时， 本发明实施例提供的设备具体可以为 AG、 MME和网 络侧网管服务器、 SeGW, AG、 AAAserver , HLR、 HSS、 OAMserver , AHR , MME , APM等设备。 本发明实施例提供的设备可以是独立的功能实体， 也可以通过对网 络侧其他实体功能的扩展而实现，本实施例对此不做限制。
例如， 位于安全网络（以核心网为例）之夕卜的 HNB欲接入核心网中， 则本 发明实施例提供的设备具体为 AG , 相应地， 该 AG对 HNB进行安全状态验证， 并 且， AG还可以根据 3 正得到的 正结果和接入策略， 对该 HNB进行接入核心网 的控制， 从而还可以保证核心网的安全性和可靠性。
再如， 位于核心网中的任一重要设备作为待验证的设备， 本发明实施例提 供的设备具体为 AAAserver ,相应地， 该 AAAserver对上述待验证的设备进行安 全状态验证， 并且， AAAserver可以 #居验证得到的验证结果和安全策略， 对该 待马 正设备进行核心网的安全控制， 或者， AAserver可以根据验证得到的验证 结果和访问策略， 对该待验证设备进行核心网的访问控制从而还可以保证核心 网的安全性和可靠性；
综上所述， 本发明实施例安全状态验证设备， 基于对电信设备的组件的划 分后， 通过向该安全状态验证设备上 包括组件和组件的属性信息的安全状态 信息， 由该安全状态验证设备验证该电信设备的安全状态信息， 保证了安全网 络的安全性和可靠性。 实施例 8
与上述方法实施例和设备实施例相应， 本发明实施例提供了一种网络系统， 参见图 15 , 该网络系统包括： 接入设备 701和网络侧设备 702 (可以是位于安 全网络中的）， 其中，
接入设备 701， 用于收集所述接入设备的安全状态信息， 并向所述网络侧设 备发送， 所述安全状态信息包含收集的至少一个组件的标识以及所述组件的至 少一种属性信息；
其中， 对于接入设备而言， 按照其功能划分得到组件， 其中， 进一步地， 根据接入设备的功能特性不同划分可以得到公共类组件和定制类组件， 相应地， 上述收集单元所收集的组件包括公共类组件中的一个或多个， 和 /或定制类组件 中的一个或多个， 其中，
公共类组件至少包括时钟系统组件、 底层软件组件、 操作系统组件、 数据 中心组件、 维护接口转换模块组件、 0M模块组件、 传输协议组件、 传输控制模 块组件、 信令模块组件、 传输系统组件；
定制类组件至少包括基带系统组件、 射频系统组件、 SCTP协议状态组件、 交换系统组件、 转发系统组件、 业务接口模块组件、 各业务模块组件、 网络接 口模块组件；
相应地，
组件的属性信息包括关键配置信息、 软硬件模块信息、 产品信息、 安全相 关数据信息、 电信设备的 IP地址信息、 位置信息或端口号信息、 配置是否成功 信息、 安全状态验证结果信息、 修复建议信息以及出错提示信息中的一个或多 个。
网络侧设备 702 , 用于接收来自接入设备 701发送的安全状态信息；根据安 全策略， 对安全状态信息进行验证得到验证结果； 并至少根据验证结果， 对接 入设备 701进行接入控制。
其中， 网络侧设备 702具体用于接收来自接入设备 701发送的安全状态信 息， 根据安全策略， 对接收的安全状态信息进行验证得到验证结果； 并根据验 证结果和接入策略 , 对接入设备 701进行接入控制。
其中， 网络侧设备在对接入设备进行验证时， 可以通过以下方式实现， 当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息匹配时， 则所述验证 结果为通过； 当所述接收到的所述至少一个组件标识与网络侧存储的参考组件 标识匹配， 且对应组件的属性信息与网络侧存储的参考属性信息不匹配时， 则 所述验证结果为不通过， 或， 部分组件的验证结果为通过；
或者，
判断接收到的至少一个组件标识是否与网络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向接入设备发送安全状态信息请求， 安全状态信息请 求携带欲臉证的组件标识， 或， 向接入设备发送错误信息； 如果组件标识匹配， 则针对至少一个组件， 判断组件的属性信息是否与网络侧存储的参考属性信息 匹配， 如果属性信息匹配， 则验证结果为通过； 如果属性信息不匹配， 则验证 结果为不通过， 或， 部分组件的验证结果为通过。
其中， 上述接入策略可以为在网络侧设备 702 中自身保存的， 也可以是该 网络侧设备 702 向其他设备（如策略服务器）获取得到的， 其中， 该网络侧设 备 702根据验证结果和接入策略， 对接入设备 701进行接入控制的过程包括： 1、 如果所有验证结果都符合预设的安全策略， 例如： 若接入设备（以 HNB 设备为例） 的公共类的各组件的各属性信息和对应的预设的参考值匹配、 定制 类各组件的各属性信息的值和对应的预设的参考值匹配， 即验证结果为通过， 则允许该 HNB设备完全接入核心网， 享有该 HNB设备对应的所有服务；
2、 如果接入设备的公共类组件中的某一（或某一些）属性信息和预设的参 考值不匹配， 即验证结果为不满足安全策略； 但上述属性信息对应的属性对网 络的安全威胁系数较低， 即虽然该属性信息和预设的参考值不匹配， 不满足安 全策略， 但是该类属性信息所导致的不满足安全策略不会对网络造成很大影响 时（如某些不重要的属性信息没有通过验证的情况）， 则允许该接入设备接入核 心网， 但需要限制其对某些服务享用。
3、 如果接入设备的公共组件的某一属性信息和预设的参考属性值不匹配 时， 但该属性信息对应的属性会对网络造成一定影响时（如公共组件中的设备 软硬件模块信息的属性信息没有通过验证， 而设备软硬件模块信息这一组件属 于对核心网危险系数较高的一类属性）， 则核心网只允许该接入设备与核心网建 立连接， 但只能享受某些紧急呼叫服务（如 110、 120等特殊业务）；
进一步地， 网络侧设备 702还用于向接入设备 701发送安全状态信息请求， 该安全状态信息请求携带网络侧设备 702希望获取的接入设备 701的组件标识 和对应组件的属性信息， 用于指示接入设备 701返回的安全状态信息中携带网 絡侧设备 702希望获取的组件标识和该组件的属性信息。
其中，电信设备 701和网络侧设备 702通过电信设备 701与网络侧设备 702 建立的 SCTP连接， 利用 SCTP消息携带安全状态信息。
其中， 电信设备 701的类型包括： 家庭基站、 或演进基站 eNB、 或路由器、 或交换机、 或网关、 或终端；
网络侧设备 702的类型包括： 安全网关 SeGW、 接入网关 AG、 验证、 授权和 记账服务器 AAAserver、 归属地位置寄存器 HLR、 归属用户服务器 HSS、 操作管 理和维护服务器 0AM server、接入节点归属地注册器 AHR、移动性管理实体 MME、 接入节点管理器 APM。
综上所述， 本发明实施例提供的网络系统， 基于对电信设备的组件的划分 后， 通过向安全网络侧的网络侧设备上报包括组件和组件的属性信息的安全状 态信息， 由该网络侧设备验证该电信设备的安全状态信息给出验证结果， 并根 据验证结果， 执行相应的控制， 从而实现了对位于安全网络中的电信设备的安 全控制， 保证了安全网络的安全性和可靠性， 以及实现了对位于安全网络之外 的电信设备的接入控制， 保证了安全网络的安全性和可靠性。 实施例 9
与上述方法实施例和设备实施例相应， 本发明实施例提供了一种网络系统， 参见图 16， 该网络系统包括： 电信设备 801和安全状态^正设备 802 , 其中， 电信设备 801， 用于收集所述电信设备的安全状态信息， 并向所述安全状态 验证设备 802发送， 所述安全状态信息包含收集的至少一个组件的标识以及所 述组件的至少一种属性信息；
安全状态验证设备 802 , 用于接收来自电信设备 801发送的安全状态信息， 该安全状态信息包含收集的至少一个组件的标识以及该组件的至少一种属性信 息， 根据安全策略， 对接收的安全状态信息进行验证， 得到验证结果。
其中， 该安全策略可以位于该安全验证设备中， 还可以为该安全验证设备 向其他设备（如策略服务器）获取得到， 本实施例对此不做限制。 该安全驗证 设备根据安全策略， 对接收的安全状态信息进行验证的过程包括： 当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息匹配时， 则所述验证 结果为通过； 当所述接收到的所述至少一个组件标识与网络侧存储的参考组件 标识匹配， 且对应组件的属性信息与网络侧存储的参考属性信息不匹配时， 则 所述验证结果为不通过， 或， 部分组件的验证结果为通过；
或者，
该安全状态验证设备判断接收到的至少一个组件标识是否与网络侧存储的 参考组件标识匹配； 如果组件标识不匹配， 则向接入设备发送安全状态信息请 求， 安全状态信息请求携带欲验证的组件标识， 或， 向接入设备发送错误信息； 如果组件标识匹配， 则针对至少一个组件， 判断组件的属性信息是否与网络侧 存储的参考属性信息匹配， 如果属性信息匹配， 则验证结果为通过； 如果属性 信息不匹配， 则验证结果为不通过， 或， 部分组件的验证结果为通过。 其中， 判断组件的属性信息是否与网络侧存储的属性信息匹配， 如果属性信息匹配， 则验证结果为通过； 如果属性信息不匹配， 则验证结果为不通过， 或， 部分组 件的脸证结果为通过， 具体包括：
针对至少一个组件， 判断该组件的至少一种属性信息对应的属性在网络侧 是否存在对应的参考属性； 如果不存在， 则向电信设备发送安全状态信息请求， 该安全状态信息请求用于向电信设备请求该组件的新的属性， 或， 向电信设备 发送错误信息； 如果存在， 则判断所述组件的属性信息与网络侧存储的对应参 考属性值是否匹配； 如果属性信息匹配， 则验证结果为通过； 如果属性信息不 匹配， 则俭证结果为不通过， 或， 部分组件的验证结果为通过。
本发明实施例提供的设备具体可以为 AG、 匪 E和网络侧网管服务器、 SeGW, AG、 AAAserver、 HLR、 HSS、 OAMserver, AHR, 匪E、 APM等设备。 本发明实施例 提供的设备可以是独立的功能实体， 也可以通过对网络侧其他实体功能的扩展 而实现，本实施例对比不做限制。
例如， 位于安全网络（以核心网为例）之夕卜的 HNB欲接入核心网中， 则本 发明实施例提供的安全状态验证设备具体为 AG,相应地， 该 AG对 HNB进行安全 状态验证， 并且， AG还可以根据验证得到的验证结果和接入策略， 对该 HNB进 行接入核心网的控制， 从而还可以保证核心网的安全性和可靠性。
再如， 位于核心网中的任一重要设备作为待验证的设备， 本发明实施例提 供的设备具体为 AAAserver ,相应地， 该 AAAserver对上述待验证的设备进行安 全状态验证， 并且， AAAserver还可以根据验证得到的验证结果和安全策略， 对 该待猃证设备进行核心网的安全控制， 或者， AAserver可以根据 正得到的验 证结果和访问策略， 对该待验证设备进行核心网的访问控制从而还可以保证核 心网的安全性和可靠性；
综上所述， 本发明实施例提供的网络系统， 基于对电信设备的组件的划分 后， 通过向该安全状态验证设备上报包括组件和组件的属性信息的安全状态信 息， 由该安全状态脸证设备验证该电信设备的安全状态信息， 保证了安全网络 的安全性和可靠性。
本发明实施例中的 "接收" 一词可以理解为主动从其他模块获取也可以是 接收其他模块发送来的信息。
本领域技术人员可以理解附图只是一个优选实施例的示意图， 附图中的模 块或流程并不一定是实施本发明所必须的。
本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述分 布于实施例的装置中， 也可以进行相应变化位于不同于本实施例的一个或多个 装置中。 上述实施例的模块可以合并为一个模块， 也可以进一步拆分成多个子 模块。
上述本发明实施例序号仅仅为了描迷， 不代表实施例的优劣。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程， 是可以通过计算机程序来指令相关的硬件来完成， 所述的程序可存储于一计算 机可读取存储介质中， 该程序在执行时， 可包括如上述各方法的实施例的流程。 其中， 所述的存储介质可为磁碟、 光盘、 只读存储记忆体（Read-Only Memory, ROM )或随机存储记忆体（Random Acces s Memory , RAM ) 等。 以上所述仅为本 发明的较佳实施例， 并不用以限制本发明， 凡在本发明的精神和原则之内， 所 作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1、 一种对电信设备的安全状态验证的方法， 其特征在于， 所述方法包括： 接收来自电信设备的安全状态信息， 所述安全状态信息包括： 构成所述电 信设备的至少一个组件的标识以及该组件的至少一种属性信息；
根据安全策略， 对所述接收的安全状态信息进行安全验证， 得到验证结果。
2、 如权利要求 1所述的方法， 其特征在于， 所述根据安全策略， 对所述接 收的安全状态信息进行安全验证， 得到验证结果的步骤， 包括：
当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息匹配时， 则所述验证 结果为通过；
当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的参考属性信息不匹配时， 则所述验 证结果为不通过， 或， 部分组件的验证结果为通过。
3、 如权利要求 1所述的方法， 其特征在于， 所述根据安全策略， 对所述接 收的安全状态信息进行安全验证， 得到验证结果的步骤， 包括：
判断所述接收到的所述至少一个组件标识是否与网络侧存储的参考组件标 K匹配；
如果组件标识不匹配， 则向所述电信设备发送安全状态信息请求， 所述安 全状态信息请求携带欲验证的组件标识， 或， 向所述电信设备发送错误信息； 如果组件标识匹配， 则针对所述至少一个组件， 判断所述组件的属性信息 是否与网络侧存储的、 对应的参考属性信息匹配， 如果属性信息匹配， 则所述 验证结果为通过； 如果属性信息不匹配， 则所述验证结果为不通过， 或， 部分 组件的臉证结果为通过。
4、 如权利要求 1或 2或 3所述方法， 其特征在于， 所述组件包括公共类组 件中的一个或多个， 和 /或定制类组件中的一个或多个， 所述公共类组件和定制 类组件为根据电信设备的功能特性不同划分得到的， 其中， 所述公共类组件至少包括时钟系统组件、 底层软件组件、 操作系统组件、 数据中心组件、维护接口转换模块组件、运行管理 0M模块组件、传输协议组件、 传输控制模块组件、 信令模块组件、 传输系统组件；
所述定制类组件至少包括基带系统组件、 射频系统组件、 流控制传输协议 SCTP协议状态组件、 交换系统组件、 转发系统组件、 业务接口模块组件、 各业 务模块组件、 网络接口模块组件；
相应地，
所述组件的属性信息包括关键配置信息、 软硬件模块信息、 产品信息、 安 全相关数据信息、 所述电信设备的 IP地址信息、 位置信息或端口号信息、 配置 是否成功信息、 安全状态验证结果信息、 修复建议信息以及出错提示信息中的 一个或多个。
5、 如权利要求 1所述的方法， 其特征在于， 所述接收来自电信设备的安全 状态信息的步骤之前， 所述方法还包括：
根据安全策略， 向所述电信设备发送安全状态信息请求， 所述安全状态信 息请求用于向所述电信设备倚求所述网络侧设备欲验证的组件标识和 /或所述 组件的属性信息。
6、 一种接入控制的方法， 其特征在于， 接入设备为位于安全网络之外的任 一电信设备， 所述方法包括：
接收来自所述接入设备的安全状态信息， 所述安全状态信息包括： 构成所 述接入设备的至少一个组件的标识以及该组件的至少一种属性信息；
根据安全策略， 对所述接收的安全状态信息进行安全验证， 得到验证结果； 至少根据所述验证结果， 对所述接入设备进行接入控制。
7、 如权利要求 6所述的方法， 其特征在于， 所述根据安全策略， 对所述接 收的安全状态信息进行安全验证， 得到验证结果的步骤， 包括：
当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的、 对应的参考属性信息匹配时， 则 所述验证结果为通过； 当所述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹 配， 且对应组件的属性信息与网络侧存储的、 对应的参考属性信息不匹配时， 则所述验证结果为不通过， 或， 部分组件的验证结果为通过。
8、 如权利要求 6所述的方法， 其特征在于， 所述根据安全策略， 对所述接 收的安全状态信息进行安全验证， 得到验证结果的步骤， 包括：
判断所述接收到的所述至少一个组件标识是否与网络侧存储的参考组件标 匹配；
如果组件标识不匹配， 则向所述接入设备发送安全状态信息请求， 所述安 全状态信息请求携带欲验证的组件标识， 或， 向所述接入设备发送错误信息； 如果组件标识匹配， 则针对所述至少一个组件， 判断所述组件的属性信息 是否与网络侧存储的、 对应的参考属性信息匹配，
如果属性信息匹配， 则所述验证结果为通过；
如果属性信息不匹配， 则所述险证结果为不通过， 或， 部分组件的除证结 果为通过。
9、 如权利要求 6或 7或 8所述方法， 其特征在于， 所述组件包括公共类组 件中的一个或多个， 和 /或定制类组件中的一个或多个， 所述公共类组件和定制 类组件为才艮据电信设备的功能特性不同划分得到的， 其中，
所述公共类组件至少包括时钟系统组件、 底层软件组件、 操作系统组件、 数据中心组件、 维护接口转换模块组件、 0M模块组件、 传输协议组件、 传输控 制模块组件、 信令模块组件、 传输系统组件；
所述定制类组件至少包括基带系统组件、 射频系统组件、 SCTP协议状态组 件、 交换系统组件、 转发系统组件、 业务接口模块组件、 各业务模块组件、 网 络接口模块组件；
相应地，
所述组件的属性信息包括关键配置信息、 软硬件模块信息、 产品信息、 安 全相关数据信息、 所述电信设备的 IP地址信息、 位置信息或端口号信息、 配置 是否成功信息、 安全状态验证结果信息、 修复建议信息以及出错提示信息中的 一个或多个。
10、 如权利要求 9所述的方法， 其特征在于， 所述至少根据所述验证结果， 对所述接入设备进行接入控制的步骤， 包括：
才艮据所述验证结果和接入策略， 对所述接入设备进行接入控制。
11、 如权利要求 10所述的方法， 其特征在于， 所述根据验证结果和接入策 略， 对所述接入设备进行接入控制的步骤， 包括：
如果所有验证结果为通过， 则允许所述接入设备完全接入所述安全网络， 享有所述接入设备所对应的所有服务； 或者，
如果所述验证结果为所述接入设备的公共类组件的一种或多种属性信息和 网络侧对应的参考属性信息不匹配， 且所述一个或多个的属性信息对应的属性 对所述安全网络的安全威胁系数低于安全威胁系数参考值， 则允许所述接入设 备接入所述安全网络， 但对所述接入设备享有服务的权限进行限制； 或者， 如果所述猃证结果为所述接入设备的公共类组件的任一属性信息和网络侧 对应的参考属性信息不匹配， 且该任一属性信息对应的属性对所述安全网络的 安全危险系数高于安全威胁系数参考值， 则允许所述接入设备与所述安全网络 建立连接， 但对所述接入设备享有服务的权限进行限制。
12、 如权利要求 6 所述的方法， 其特征在于， 所述安全状态信息承载在流 控制传输协议 SCTP消息的数据域中。
13、 如权利要求 6 所述的方法， 其特征在于， 所述接收来自所述接入设备 的安全状态信息的步骤之前， 所述方法还包括：
根据安全策略， 向所述接入设备发送安全状态信息请求， 所述安全状态信 息请求用于向所述接入设备请求所述网络侧设备欲验证的组件标识和 /或所述 组件的属性信息。
14、 一种电信设备， 其特征在于， 所述电信设备包括：
收集单元， 用于 #>据构成所述电信设备的组件， 收集所述电信设备的安全 状态信息， 所述安全状态信息包括构成所述电信设备的至少一个组件的标识以 及所述组件的至少一种属性信息； 发送单元， 用于向网络侧设备发送所述收集单元收集的所述安全状态信息， 以使得所述网络侧设备对所述安全状态信息进行安全验证。
15、 如权利要求 14所述的设备， 其特征在于， 所述电信设备还包括： 接收单元， 用于接收来自网络侧设备发送的安全状态信息请求， 所述安全 状态信息请求用于向所述电信设备情求所述网络侧设备欲验证的组件标识和 / 或所述组件的属性信息；
所述发送单元具体用于根据所述接收单元接收的安全状态信息请求， 向所 述网络侧设备发送所述收集单元收集的所述安全状态信息， 所述安全状态信息 包括所述网络侧设备欲验证的组件标识和 /或所述组件的属性信息。
16、 如权利要求 14或 15所述的设备， 其特征在于， 当所述电信设备位于 安全网络之外时，
所述发送单元具体用于通过所述电信设备与网络侧设备建立的 SCTP连接， 向所述网络侧设备发送 SCTP消息， 所述 SCTP消息携带所述安全状态信息。
17、 一种网络侧设备， 其特征在于， 所述网络侧设备包括：
接收单元， 用于接收来自接入设备发送的安全状态信息， 所述安全状态信 息包括构成所述接入设备的至少一个组件标识和所述组件对应的至少一种属性 信息；
验证单元， 用于根据安全策略， 对所述接收单元接收的安全状态信息进行 验证， 得到验证结果；
控制单元， 用于至少根据所述验证单元的验证结果， 对所述接入设备进行 接入控制。
18、 如权利要求 17所述的设备， 其特征在于， 所述验证单元具体用于当所 述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹配， 且对应 组件的属性信息与网络侧存储的、 对应的参考属性信息匹配时， 则所述验证结 果为通过； 或者， 当所述接收到的所述至少一个组件标识与网络侧存储的参考 组件标识匹配， 且对应组件的属性信息与网络侧存储的、 对应的参考属性信息 不匹配时， 则所述验证结果为不通过， 或， 部分组件的睑证结果为通过； 或者，
所述验证单元具体用于判断所述接收到的所述至少一个组件标识是否与网 络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向所述接入设备发送 安全状态信息请求， 所述安全状态信息请求携带欲验证的组件标识， 或， 向所 述接入设备发送错误信息； 如果组件标识匹配， 则针对所述至少一个组件， 判 断所述组件的属性信息是否与网络侧存储的、 对应的参考属性信息匹配， 如果 属性信息匹配， 则所述验证结果为通过； 如果属性信息不匹配， 则所述脸证结 果为不通过， 或， 部分组件的验证结果为通过。
19、 如权利要求 17所述的设备， 其特征在于，
所述控制单元具体用于根据所述验证结果和接入策略， 对所述电信设备进 行接入控制。
20、 如权利要求 19所述的设备， 其特征在于，
所述控制单元具体用于当所有睑证结果为通过， 则允许所述电信设备完全 接入所述安全网络， 享有所述电信设备所对应的所有服务； 或者，
当所述验证结果为所述电信设备的公共类组件的一种或多种属性信息和网 络侧对应的参考属性信息不匹配， 且所述一个或多个的属性信息对应的属性对 所述安全网络的安全威胁系数低于安全威胁系数参考值， 则允许所述电信设备 接入所述安全网络， 但对所述电信设备享有服务的权限进行限制； 或者，
当所述验证结果为所述电信设备的公共类组件的任一属性信息和网络侧对 应的参考属性信息不匹配， 且该任一属性信息对应的属性对所述安全网络的安 全危险系数高于安全威胁系数参考值， 则允许所述电信设备与所述安全网络建 立连接， 但对所述电信设备享有服务的权限进行限制。
21、 如权利要求 17所述的设备， 其特征在于， 所述网络侧设备还包括： 发送单元， 用于根据安全策略， 向所述电信设备发送安全状态信息请求， 所述安全状态信息请求用于向所述电信设备请求所述网络侧设备欲验证的组件 标识和 /或所述组件的属性信息。
22、 一种安全验证设备， 其特征在于， 所述设备包括：
接收单元， 用于接收来自电信设备的安全状态信息， 所述安全状态信息包 括： 构成所述电信设备的至少一个组件的标识以及该组件的至少一种属性信息； 验证单元， 用于根据安全策略， 对所述接收的安全状态信息进行安全验证， 得到验证结果。
23、 如权利要求 22所述的设备， 其特征在于， 所述验证单元具体用于当所 述接收到的所述至少一个组件标识与网络侧存储的参考组件标识匹配， 且对应 组件的属性信息与网络侧存储的、 对应的参考属性信息匹配时， 则所述验证结 果为通过； 或者， 当所述接收到的所述至少一个组件标识与网络侧存储的参考 组件标识匹配， 且对应组件的属性信息与网络侧存储的、 对应的参考属性信息 不匹配时， 则所述验证结果为不通过， 或， 部分组件的睑证结果为通过；
或者，
所述验证单元具体用于判断所述接收到的所述至少一个组件标识是否与网 络侧存储的参考组件标识匹配； 如果组件标识不匹配， 则向所述接入设备发送 安全状态信息请求， 所述安全状态信息请求携带欲验证的组件标识， 或， 向所 述接入设备发送错误信息； 如果组件标识匹配， 则针对所述至少一个组件， 判 断所述组件的属性信息是否与网络侧存储的、 对应的参考属性信息匹配， 如果 属性信息匹配， 则所述验证结果为通过； 如果属性信息不匹配， 则所述验证结 果为不通过， 或， 部分组件的驗证结果为通过。
24、 如权利要求 22或 23所述的设备， 其特征在于， 所述设备还包括： 存储单元， 用于存储所述验证单元得到的验证结果。
25、 如权利要求 22所述的设备， 其特征在于， 所述设备还包括：
发送单元， 用于根据安全策略， 向所述电信设备发送安全状态信息请求， 所述安全状态信息请求用于向所述电信设备请求所述网络侧设备欲验证的组件 标识和 /或所述组件的属性信息。
26、 一种网络系统， 其特征在于， 所述系统包括： 接入设备和网络侧设备， 其中，
所述接入设备， 用于收集所述接入设备的安全状态信息， 并向所述网络侧 设备发送， 所述安全状态信息包含所述收集的至少一个组件的标识以及所述组 件的至少一种属性信息；
所述网络侧设备， 用于接收所述接入设备发送的安全状态信息； 根据安全 策略， 对所述安全状态信息进行验证得到验证结果； 并至少根据所述验证结果， 对所述接入设备进行接入控制。
27、 如权利要求 26所述的系统， 其特征在于， 所述网络侧设备具体用于接 收来自所述接入设备发送的安全状态信息， 根据安全策略， 对所述接收的安全 状态信息进行验证得到验证结果； 并根据所述验证结果和接入策略， 对所述接 入设备进行接入控制。
28、 如权利要求 26或 27所述的系统， 其特征在于， 所述接入设备和所述 网络侧设备通过所述接入设备与网络侧设备建立的 SCTP连接， 利用 SCTP消息 携带所述安全状态信息。
29、 如权利要求 26所述的系统， 其特征在于， 所述接入设备的类型包括： 家庭基站、 或演进基站 eNB、 或路由器、 或交换机、 或网关、 或终端；
网络侧设备的类型包括： 安全网关 SeGW、 接入网关 AG、 授权和记账 服务器 AAAserver、 归属地位置寄存器 HLR、 归属用户服务器 HSS、 操作管理和 维护服务器 0AM server、 接入节点归属地注册器 AHR、 移动性管理实体 MME、 接 入节点管理器 APM。
30、 一种网络系统， 其特征在于， 所述系统包括： 电信设备和安全状态验 证设备， 其中，
所述电信设备， 用于收集所述电信设备的安全状态信息， 并向所述安全状 态验证设备发送， 所述安全状态信息包含收集的至少一个组件的标识以及所述 组件的至少一种属性信息； 所述安全状态验证设备， 用于接收所述电信设备发送的安全状态信息， 所 述安全状态信息包含所述收集的至少一个组件的标识以及所述组件的至少一种 属性信息； 根据安全策略， 对所述接收的安全状态信息进行猃证， 得到验证结 果。
PCT/CN2010/071499 2009-05-04 2010-04-01 对电信设备安全状态验证的方法、设备和系统 WO2010127578A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910139347.3 2009-05-04
CN2009101393473A CN101883123A (zh) 2009-05-04 2009-05-04 对电信设备安全状态验证的方法、设备和系统

Publications (1)

Publication Number Publication Date
WO2010127578A1 true WO2010127578A1 (zh) 2010-11-11

Family

ID=43049961

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/071499 WO2010127578A1 (zh) 2009-05-04 2010-04-01 对电信设备安全状态验证的方法、设备和系统

Country Status (2)

Country Link
CN (1) CN101883123A (zh)
WO (1) WO2010127578A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112399414A (zh) * 2020-11-13 2021-02-23 Oppo广东移动通信有限公司 网络连接方法、装置、电子设备及存储介质
US20210185538A1 (en) * 2018-09-15 2021-06-17 Huawei Technologies Co., Ltd. Security protection method, device, and system

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102480380B (zh) * 2010-11-26 2016-01-20 中兴通讯股份有限公司 一种实现以太网设备建立oam连接的方法及系统
CN102426639B (zh) * 2011-09-26 2015-04-08 宇龙计算机通信科技(深圳)有限公司 信息安全监测方法和装置
CN103312682B (zh) * 2012-03-16 2016-12-14 中兴通讯股份有限公司 网关安全接入的方法及系统
CN103457786A (zh) * 2012-06-05 2013-12-18 中国移动通信集团公司 一种传感器接入检测方法、装置和系统
CN102868703B (zh) * 2012-09-29 2015-08-12 山东中创软件工程股份有限公司 一种安全控制系统与方法
CN109560954B (zh) * 2017-09-27 2022-06-10 阿里巴巴集团控股有限公司 设备配置方法及装置
CN113590213B (zh) * 2021-06-24 2023-04-25 深圳开源互联网安全技术有限公司 组件维护方法、电子设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1744494A (zh) * 2005-09-30 2006-03-08 广东省电信有限公司研究院 验证接入主机安全性的访问认证系统和方法
CN1885788A (zh) * 2005-06-22 2006-12-27 杭州华为三康技术有限公司 网络安全防护方法及系统
CN1997026A (zh) * 2006-12-29 2007-07-11 北京工业大学 一种基于802.1x协议的扩展安全认证方法
US20080222692A1 (en) * 2007-03-09 2008-09-11 Sony Ericsson Mobile Communications Ab Device-initiated security policy
CN101557590A (zh) * 2008-04-07 2009-10-14 华为技术有限公司 一种移动终端接入网络的安全验证方法、系统和装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1885788A (zh) * 2005-06-22 2006-12-27 杭州华为三康技术有限公司 网络安全防护方法及系统
CN1744494A (zh) * 2005-09-30 2006-03-08 广东省电信有限公司研究院 验证接入主机安全性的访问认证系统和方法
CN1997026A (zh) * 2006-12-29 2007-07-11 北京工业大学 一种基于802.1x协议的扩展安全认证方法
US20080222692A1 (en) * 2007-03-09 2008-09-11 Sony Ericsson Mobile Communications Ab Device-initiated security policy
CN101557590A (zh) * 2008-04-07 2009-10-14 华为技术有限公司 一种移动终端接入网络的安全验证方法、系统和装置

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210185538A1 (en) * 2018-09-15 2021-06-17 Huawei Technologies Co., Ltd. Security protection method, device, and system
US11647391B2 (en) * 2018-09-15 2023-05-09 Huawei Technologies Co., Ltd. Security protection method, device, and system
CN112399414A (zh) * 2020-11-13 2021-02-23 Oppo广东移动通信有限公司 网络连接方法、装置、电子设备及存储介质
CN112399414B (zh) * 2020-11-13 2023-04-14 Oppo广东移动通信有限公司 网络连接方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
CN101883123A (zh) 2010-11-10

Similar Documents

Publication Publication Date Title
US11533401B2 (en) Charging policy information for a packet data unit session in a wireless network
US11659097B2 (en) Charging policy information for a packet data unit session of a wireless device
US11979798B2 (en) Session establishment to join a group communication
US11856470B2 (en) Registration request indicating failure of network
US11909907B2 (en) Charging policy information for a home session management function
US11700549B2 (en) Policy control for multiple accesses
US11553342B2 (en) Methods, systems, and computer readable media for mitigating 5G roaming security attacks using security edge protection proxy (SEPP)
WO2010127578A1 (zh) 对电信设备安全状态验证的方法、设备和系统
US11895717B2 (en) Charging aggregation control for network slices
CN110583034B (zh) 在移动通信网络中接入与提供网络切片的方法、系统和装置
CN107835204B (zh) 配置文件策略规则的安全控制
US8611859B2 (en) System and method for providing secure network access in fixed mobile converged telecommunications networks
WO2010095020A1 (en) Non-validated emergency calls for all-ip 3gpp ims networks
US11871223B2 (en) Authentication method and apparatus and device
US20220279471A1 (en) Wireless communication method for registration procedure
WO2021195816A1 (zh) 一种通信方法、装置及系统
WO2012174884A1 (zh) 接入控制方法、装置、接口及安全网关
US20240196206A1 (en) Methods and Devices in Communication Network
WO2010124608A1 (zh) 紧急业务的实现方法及家用基站
WO2021185347A1 (zh) 接入控制方法及通信设备
WO2022242774A1 (en) Methods and devices in communication network
WO2021253859A1 (zh) 切片认证方法及系统
KR20230156685A (ko) 무선 네트워크에서의 코어 네트워크 디바이스 재할당을 위한 방법, 디바이스 및 시스템
CN117997541A (zh) 通信方法和通信装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10771981

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10771981

Country of ref document: EP

Kind code of ref document: A1