WO2013020409A1 - 安全按需供给方法及系统、业务类型获取方法 - Google Patents

安全按需供给方法及系统、业务类型获取方法 Download PDF

Info

Publication number
WO2013020409A1
WO2013020409A1 PCT/CN2012/076294 CN2012076294W WO2013020409A1 WO 2013020409 A1 WO2013020409 A1 WO 2013020409A1 CN 2012076294 W CN2012076294 W CN 2012076294W WO 2013020409 A1 WO2013020409 A1 WO 2013020409A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
service
user
function module
identifier
Prior art date
Application number
PCT/CN2012/076294
Other languages
English (en)
French (fr)
Inventor
陈剑勇
陈小华
林兆骥
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to EP12821520.9A priority Critical patent/EP2731312B1/en
Priority to US14/235,926 priority patent/US9356967B2/en
Publication of WO2013020409A1 publication Critical patent/WO2013020409A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2408—Traffic characterised by specific attributes, e.g. priority or QoS for supporting different services, e.g. a differentiated services [DiffServ] type of service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security

Definitions

  • the present invention relates to information security technologies, and in particular, to a secure on-demand provisioning method and system, and a service type acquisition method. Background technique
  • Narrow cloud computing refers to the delivery and use of Internet technology (IT) infrastructure, which means that the required resources are obtained through the network in an on-demand and scalable manner.
  • Broadly defined cloud computing refers to the delivery and use of services. mode. This form of service is based on a data center with superior computing power, through which the computing power is provided to run a variety of customized services and make them available to users over the Internet.
  • the main difference between cloud computing services and common network services is the dynamic extension and the widespread use of virtualization technology.
  • Cloud computing has the advantages of ultra-large scale, virtualization, security and reliability. For network operators, because cloud computing uses dynamic resource allocation and expansion technologies, it will greatly reduce operating costs and operation and maintenance costs. In a cloud computing environment, all resources are operational and can be provided as services. This includes applications, software, platforms, processing power, storage, networking, computing resources, and other infrastructure. For users, cloud computing makes it possible to consume services anytime and anywhere. Users can get the IT resources needed to run their business without investing a lot of money. They can rent IT resources according to their own needs, just like water, electricity and gas. , on-demand access and billing.
  • Cloud computing generally has three main service models, Infrastructure as a Service (IAAS, Infrastructure as a Service ), Platform as a Service ( PaaS, Software as a Service) and Software as a Service (SaaS, Software as a Service) 0 and can be divided into private cloud, public cloud and hybrid cloud according to the deployment mode of the service. .
  • IAAS Infrastructure as a Service
  • PaaS Platform as a Service
  • SaaS Software as a Service
  • SaaS Software as a Service
  • Cloud computing is becoming the hotspot of the next provider. It advocates on-demand provisioning, dynamic charging, easy to expand and energy-saving dynamic adjustment technology. Cloud computing will provide services for different service groups and different types of services, and transplant huge computing load to the cloud to truly deliver on-demand services.
  • Cloud computing advocates placing large-scale computing task loads in the cloud, while client terminals can obtain corresponding data through lightweight applications such as web applications.
  • client terminals can obtain corresponding data through lightweight applications such as web applications.
  • Security services are rich in content, including infrastructure security services: encryption, authentication, non-repudiation, integrity protection, etc.; Service security services: online anti-virus, intrusion detection, security warning, content monitoring, etc. Therefore, simple management tools are needed to help users integrate the necessary security configurations to provide users with one-stop security services. In addition to preventing information from being illegally obtained, it is also necessary to guard against a wider range of security threats, such as virus attacks, illegal collection of information by Trojans, and user spoofing, so security solutions will become more complex. However, users need to use various services simply and effectively. Therefore, complex security services and corresponding security configurations need to be solved in the network as much as possible to ensure that users can enjoy various security without security expertise. business.
  • the security level required by the user will be different for different service types.
  • the security level required by different users will also be different.
  • the security risks caused by different application scenarios are also different.
  • the required security algorithm strength will be different. Therefore, it is necessary for the cloud computing security solution to adopt the technology of on-demand provisioning, and adopt corresponding security policies according to different users, different service types and different application scenarios to provide safe, reasonable and reliable protection for specific services and users. Maximize cloud platform resources while meeting user security requirements. At present, the idea of safe on-demand supply is still only in the theoretical stage, and there is no technical solution for reference. Summary of the invention
  • the main purpose of the present invention is to provide a secure on-demand provisioning method and system, and a service type obtaining method in a cloud platform, which can securely protect a service requested by a user according to a user's security requirement.
  • a secure on-demand provisioning method including:
  • the security function module is configured to secure the service data of the user by using the security function module.
  • the determining configuration parameter of the security function module is:
  • the security function module securely protects the service data of the user by:
  • the method for obtaining the service type identifier is:
  • the security level is set by the security requirement of the user for the service information or the value of the asset of the user according to the service information;
  • the application scenario is a location where the user terminal is located and an access network type, and the access network type includes but is not limited to the following types:
  • GSM Global System of Mobile communication
  • CDMA Code Division Multiple Access
  • LTE Long Term Evolution
  • the types of services include, but are not limited to, real-time services and non-real-time services;
  • the security function module includes but is not limited to one or more of the following functions:
  • a service type obtaining method where the security function module obtains a service type identifier set for a service when performing QoS protection on a service, and secures the service and/or the user.
  • the service type identifier obtaining path is:
  • the security protection for the service and/or the user is:
  • a secure on-demand provisioning system includes a security policy parameter collection unit, a security policy unit, and a security execution unit, where:
  • the security policy parameter collection unit is configured to collect the security level parameter set by the user, and/or obtain the service type parameter of the service requested by the user, and/or obtain the application scenario parameter when the user uses the service, and collect the The parameters are sent to the security policy unit;
  • a security policy unit configured to determine a configuration parameter of the security function module according to a security level and/or an application scenario and/or a service type of the user terminal, and send the determined configuration parameter of the security function module to the security execution unit;
  • the security execution unit configures the security function module according to the configuration parameters of the received security function module to protect the user's business data.
  • the security policy unit is further configured to:
  • the system further comprises:
  • the QoS unit is configured to set a service type identifier for the service, and implement personalized QoS priority protection on the service data according to the user identifier and/or the service type;
  • the security execution unit is further configured to obtain the service type identifier from the QoS unit, or the QoS unit is further configured to send the service type identifier to the security execution unit.
  • the security execution unit is further configured to:
  • the security level is set by the security requirement of the user for the service information or the value of the asset of the user according to the service information;
  • the application scenario is a location where the user terminal is located and an access network type, and the access network type includes but is not limited to:
  • GSM Global System for Mobile communications
  • CDMA code division multiple access CDMA network
  • LTE long-term evolution LTE system
  • the types of services include, but are not limited to, real-time services and non-real-time services;
  • the security function module includes but is not limited to one or more of the following functions:
  • the configuration parameters of the security function module for the user requesting the service are determined, and the configuration parameter is configured by using the configuration parameter.
  • a security function module that implements business data for the user safety protection.
  • FIG. 1 is a schematic structural diagram of a system for secure on-demand supply according to an embodiment of the present invention
  • FIG. 2 is another schematic structural diagram of a system for secure on-demand supply according to an embodiment of the present invention
  • Safe on-demand supply schematic
  • FIG. 4 is a schematic diagram of a security function module acquiring a service identifier and a user identifier
  • FIG. 5 is a schematic diagram of a secure on-demand provisioning structure based on Diffserv protocol and encryption according to an embodiment of the present invention
  • FIG. 6 is a flow chart of a secure on-demand supply method according to an embodiment of the present invention. detailed description
  • the basic idea of the present invention is: by extracting a service identifier from a service type, combining the application scenario, setting a security level by the user as an input parameter of the security policy, and deriving the security parameter by the security policy, acting on the security algorithm and the protocol, thereby Provide on-demand security protection for business data.
  • the secure on-demand system of the present invention includes a security policy parameter collection unit 10, a security policy unit 11, and security enforcement.
  • Unit 12 where:
  • the security policy parameter collection unit 10 is configured to collect the security level parameter set by the user, and/or obtain the service type parameter of the service requested by the user, and/or obtain the application scenario parameter when the user uses the service, and collect the The parameters obtained are sent to the security policy unit;
  • the security policy unit 11 is configured to determine a configuration parameter of the security function module according to the security level and/or the application scenario and/or service type in which the user terminal is located, and send the determined configuration parameter of the security function module to the security execution unit;
  • the security execution unit 12 according to the configuration parameters of the received security function module, configures a security algorithm and protocol to secure the user's service data.
  • the security policy unit 11 is further configured to: map the received parameters to the best matching security policy rule by using a preset security policy rule, and obtain configuration parameters of the security function module; or adopt a preset algorithm model. Calculate the configuration parameters of the safety function module according to the input parameters; or merge the configuration parameters of the safety function module obtained by the above two methods to determine the configuration parameters of the final safety function module.
  • FIG. 2 is a schematic diagram showing another composition structure of a system for secure on-demand supply according to an embodiment of the present invention. As shown in FIG. 2, based on the system for safe on-demand supply shown in FIG. 1, the system of the present invention further includes :
  • the QoS unit 13 is configured to set a service type identifier for the service, and implement personalized QoS priority protection on the service data according to the user identifier and/or the service type;
  • the security execution unit 12 is further configured to acquire the service type identifier from the QoS unit, or the QoS unit 13 is further configured to send the service type identifier to the security execution unit.
  • the above security execution unit 12 is also configured to
  • the security level is set by the security requirement of the user for the service information or the value of the asset of the user according to the service information;
  • the application scenario is a location where the user terminal is located and an access network type, and the access network type includes:
  • the service types include real-time services and non-real-time services;
  • the security function module involves, but is not limited to, one or more of the following processes:
  • processing unit involved in the secure on-demand system of the present invention may be implemented by hardware circuitry or by a processor executing the corresponding software.
  • the functions of the above various processing units can be understood in conjunction with the related description of the foregoing identification method.
  • the safe on-demand supply method of the present invention applied to a cloud platform is further clarified below in conjunction with the structure of the aforementioned secure on-demand system.
  • FIG. 3 is a schematic diagram of the security on-demand supply according to the embodiment of the present invention.
  • the application scenario is the scenario information provided by the terminal accessing the cloud computing platform, such as a local area network, a wireless network such as a 3G network, an LTE network, a CDMA network, or a GSM network.
  • the application scenario can be automatically perceived by the system according to the IP address and the location of the access node, without manual configuration.
  • the service type refers to real-time or non-real-time services, and the service type can also be obtained through the system's perception of the service. After the system senses the service type, the user ID is extracted.
  • the user security level requirement means that the user sets a reasonable security level according to the value of the business information asset (ie importance) to be used.
  • the security policy unit is configured to map the collected user security level parameters, service type parameters, and application scenario parameters to the most suitable security policy rules, and obtain secure configuration parameters by the rules.
  • the security policy unit can also use the algorithm model to obtain optimal security configuration parameters through calculation.
  • the security policy unit outputs configuration parameters to the secure execution unit.
  • the security execution unit is mainly composed of security algorithms or security protocols, including security functions such as confidentiality, integrity, authentication, and traffic cleaning. It provides security for business data.
  • the security domains are divided into two categories, namely a service security domain and an infrastructure security domain. Among them, infrastructure security domains include virtualization security and storage security.
  • the security policy further outputs different combinations of security configuration parameters to specific security domains according to the security functions used by different security domains to implement a secure on-demand provisioning mechanism.
  • the security configuration parameters are output through security policy matching or algorithm model calculation. Because data encryption transmission is a very important security feature of the service security domain.
  • the security policy unit needs to include parameters such as encryption algorithm selection and key length selection for the security configuration parameters output by the service security domain.
  • the security configuration parameters output by the security policy need to include security features that are important for virtualization security, such as data isolation and verification of business logic.
  • the security execution unit obtains the service identifier and the user identifier.
  • the service data packet carries the user identity, which is the technology necessary for the service to implement multi-tenant operation on the shared platform.
  • the user identification required by the present invention can be directly obtained from the business data.
  • the present invention fully utilizes the definition and processing function of the QoS unit in the cloud platform to obtain the service identifier.
  • FIG. 4 is a schematic diagram of the security function module acquiring the service identifier and the user identifier.
  • the cloud platform service data packet carries the user identifier, which is a technology necessary for the service to implement multi-tenant operation on the shared platform.
  • the user identification required by the present invention can be directly obtained from the business data.
  • the present invention fully utilizes the definition and processing function of the service identifier of the cloud platform QoS function module to obtain the service identifier.
  • Figure 4 shows two acquisition paths. The first way to obtain is to obtain it directly from the QoS function module of the cloud platform. Since the QoS function module must implement the QoS priority protection for a specific service, the service identifier must be embedded in the service data.
  • the service identifier is also obtained by the security execution unit.
  • the obtaining method is that after the QoS function function module embeds the service identifier into the service data, the security execution unit obtains the service identifier of the data by reading the relevant field of the service data. After obtaining the user ID and the service identifier, the security execution unit can implement the on-demand security protection for the service data.
  • FIG. 5 is a schematic diagram of a secure on-demand provisioning structure based on the Diffserv protocol and encryption according to an embodiment of the present invention. As shown in FIG. 5, the secure on-demand provisioning of the embodiment of the present invention includes the following steps:
  • Step 1 The user performs related parameter configuration, including application scenarios, security levels, and service categories.
  • Step 2 The service category is defined by the service identifier, and the service identifier is implemented by the Diffserv service framework.
  • each QoS feature requires a corresponding mapping field value in the DSCP field in the IP data header.
  • Different field values represent different service granularity zone identifiers, which have different service data transmission priorities. The higher the value of DSCP, the higher the priority of the corresponding service category.
  • Step 3 The security policy database receives various parameter information (application scenario parameters, security level parameters, user identifiers, and service identifiers);
  • Step 4 The security policy library performs policy matching and mapping, or calculates the encryption parameters required by the service data through the algorithm model, and delivers the user identifier, the service identifier, and the encryption parameter to the encryption module.
  • Step 5 The cryptographic module encrypts the service data of the specific user identifier and the service identifier by using an encryption algorithm corresponding to the encryption parameter.
  • the user identification is an important parameter necessary to achieve a secure on-demand supply.
  • the user ID is mainly used to distinguish the service owner. It does not affect the setting of the security configuration parameter as an input variable. Therefore, the input variable that determines the security policy output configuration parameter does not include the user ID.
  • FIG. 6 is a flowchart of a method for secure on-demand provision in a cloud platform according to an embodiment of the present invention, as shown in FIG. 6
  • the security on-demand provisioning method in the cloud platform of the embodiment mainly includes the following steps: Step 601: The cloud platform sets a security level according to the obtained user as a request service, and/or an application scenario where the user terminal is located, and/or Or, the business type, determine the configuration parameters of the security function module.
  • the user Before the security on-demand provisioning method of the present invention is started, the user can perform related parameter configuration, such as security level configuration, and of course, the application scenario and the service type can be directly configured, that is, the cloud platform does not need to obtain service-related information.
  • the application scenario and service type information of the user terminal are obtained by the cloud platform when the application scenario and the service type parameter are not configured.
  • the service type is defined by the service identifier, and the service identifier is implemented by the Diffserv service framework.
  • each QoS feature requires a corresponding mapping field value in the Differentiated Services Code Point (DSCP) field in the IP Data Header. Different field values represent different service granularity identifications, which have different business data transmission priorities. The higher the value of DSCP, the higher the priority of the corresponding service type.
  • DSCP Differentiated Services Code Point
  • the configuration parameters of the security function module are determined as:
  • the configuration parameters of the security function module are calculated by using a preset algorithm
  • the security policy matching is performed to obtain the configuration parameter of the security function module, and the preset algorithm is used to calculate the configuration parameter of the security function module, and the two modes are used.
  • the configuration parameters of the obtained safety function module are combined to determine the configuration parameters of the final safety function module.
  • merging includes taking the average value of the configuration parameters determined by the two methods, or by default, according to the strictest security level principle, taking the configuration parameter with the highest security level, or based on the user demand principle, according to the user demand in two
  • the method for obtaining the service type identifier is:
  • Step 602 Configure the security function module by using the configuration parameter, and implement security protection for the user data of the user.
  • the service data packet carries a user identifier and/or a service identifier.
  • the security level is set by the security requirement of the user for the service information or the value of the asset of the user according to the service information;
  • the application scenario is a location where the user terminal is located and an access network type, and the access network type includes:
  • a local area network a wireless local area network, and a wireless mobile network such as a GSM, CDMA network, or LTE system;
  • the service types include real-time services and non-real-time services
  • the security function module involves, but is not limited to, one or more of the following processes:
  • the user identification is an important parameter necessary to achieve secure on-demand supply.
  • the user ID is mainly used to distinguish the service owner, and does not affect the setting of the security configuration parameter as an input variable. Therefore, the input variable that determines the security policy output configuration parameter does not include the user ID.
  • the invention can provide differentiated business security guarantees according to the security requirements of different users for different services.
  • the cloud platform of the invention satisfies the security requirements of various users and various businesses, and is applicable
  • the user provides personalized security and enhances the user experience.
  • the configuration parameter of the security function module for requesting the service of the user is determined, and the security function is configured by using the configuration parameter.
  • the module implements security protection for the user's business data. Differentiated business security guarantees can be provided according to the security needs of different users for different services.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明公开了一种安全按需供给方法，包括：根据用户为请求业务设置的安全等级，和/或，用户终端所处的应用场景，和/或，业务类型，确定安全功能模块的配置参数，利用所述配置参数配置安全功能模块，实施对所述用户的业务数据的安全保护。本发明还公开了用于对特定用户和/或业务进行安全保护的业务类型获取方法，利用QoS功能模块对业务类型的分类功能，获取数据的业务标识，从而对特定用户和/或业务进行安全保护。本发明同时公开了一种安全按需供给的系统、业务类型获取方法。本发明可根据不同用户对不同业务的安全需求，提供差异化的业务安全保障。本发明的系统满足了各种用户以及各种业务的安全需求，向用户提供了个性化的安全保障，提升了用户体验效果。

Description

安全按需供给方法及系统、 业务类型获取方法 技术领域
本发明涉及信息安全技术， 尤其涉及一种安全按需供给方法及系统、 业务类型获取方法。 背景技术
最近几年云计算迅速发展， 从早期的理论阶段逐渐转化成产品并投放 市场， 技术日益成熟。 无论是互联网厂商和运营商， 还是通信厂商和基础 网络运营商， 都对云计算表现出极大的关注。 狭义的云计算是指互联网技 术（IT, Internet Technology )基础设施的交付和使用模式， 指通过网络以 按需、 易扩展的方式获得所需的资源； 广义的云计算是指服务的交付和使 用模式。 这种服务的形式是基于拥有超强计算能力的数据中心， 通过它提 供的计算能力， 从而运行各种定制的服务， 并通过互联网提供给用户。 云 计算服务与普通的网络服务的主要区别在于， 具有动态扩展特性以及广泛 应用了虚拟化技术。
云计算具有超大规模、 虚拟化、 安全可靠等优点。 对于网络运营商而 言， 由于云计算使用动态资源分配和扩展技术， 将大大降低运营成本和操 作维护成本； 在云计算环境下， 一切资源都是可以运营的， 都可以作为服 务提供的， 资源包括应用程序、 软件、 平台、 处理能力、 存储、 网络、 计 算资源以及其他基础设施等。 对于用户而言， 云计算使得随时、 随地消费 服务成为可能， 用户可以不需要大量投资而获得运营业务所需的 IT资源， 完全可以根据自己的需求来租用 IT资源， 就如水、 电和煤气一样， 按需获 取和计费。
云计算一般有三种主要的服务模式， 基础设施即服务 （ IaaS , Infrastructure as a Service )、 平台 月良务 ( PaaS, Platform as a Service )和软 件即服务（SaaS, Software as a Service )0 而根据服务的部署模式， 又可以 分为私有云、 公有云和混合云。
目前， 云计算正成为下一个提供商的服务热点， 它提倡的是按需供给、 动态收费、 易于扩展和节能的动态调节技术。 云计算将实现针对不同的服 务人群、 不同的业务类型， 提供相应的服务， 将庞大的计算负荷移植到云 端， 真正实现服务按需供给。
在云计算平台上， 数据的安全性是用户最为关心的。 因此， 云计算平 台上的各种安全保护措施显得非常重要。 安全可以归为云计算平台上的一 种资源， 对用户和云平台上业务的安全需求按需供给， 因此安全按需供给 是云计算平台安全解决方案的重要特征， 其必要性主要体现在以下方面：
( 1 )业务日益丰富导致安全需求的多样性
云计算主张将大规模的计算任务负载放在云端运行， 而客户终端可以 通过轻量级的应用 （例如 web应用）来获取相应的数据。 而随着 IT技术的 进步和应用需求的扩展， 以及计算量的不断增加， 建立在云端的业务将会 趋向多样化， 为了使资源能够更加充分地得到利用， 建立按需供给安全机 制将是必要的。
一方面， 不同的业务有不同的安全需求， 采用单一的安全机制无法适 应业务多样化的需求。 另一方面， 同一业务， 在不同场合以及面向不同使 用者， 其业务的安全需求也可能不同。 比如多媒体视频业务， 当用于视频 点播时， 只需要低等级的安全保障服务。 而当用于商业目的视频会议， 若 传输的信息资产价值比较高， 则需要高等级的安全保障服务。 因此， 从业 务需求的角度上分析， 云计算服务需要从技术上提供机制， 让具体的业务 可以选择合适等级和技术的安全保障， 而选择权既可以是终端， 也可以是 云端服务器， 还可以是双方平等协商。 ( 2 ) 只有分级的安全服务， 才能有效地利用资源
对于传统的应用服务而言， 服务的方式是利用公司的 IT基础设施或者 部署在其上的应用对外提供服务。 这就无法充分地利用闲置的资源， 并且 要求这种服务形式的设施要高于服务峰值， 否则会造成业务流失甚至系统 瘫痪。 而传统安全解决方案也要求安全机制需要满足系统内部最高级别业 务的安全。
另一方面， 不同公司的业务需要不同的安全服务。 例如网上支付服务 的安全认证技术就比语音聊天要严格得多； 尽管业务一样， 由于公司策略 重点不一样， 对安全需求也都有不同的部署。 同样的网络存储服务， 有些 服务商侧重数据完整性， 有的侧重数据保密性， 有的侧重传输速度。
当服务商将业务搬到云计算平台上时， 这种安全需求的差异性就限制 了业务的部署。 如果统一应用高级的安全服务（例如全都使用数字签名加 密内容）， 就将严重地制约计算资源的合理使用。 对信息价值不大的业务使 用高级安全意味着浪费大量计算资源。 从这个意义上讲， 有必要根据信息 资产价值的大小， 适当分级处理。 对于高安全需求的通信， 采用较高级别 的保障力度。 对于低安全需求的通信， 采用低级别的安全保障， 从而能够 建立资源有偿使用机制， 有效利用资源。 这也恰好体现了云计算平台的按 需供给服务的优势。
( 3 ) 不同应用场景造成安全风险不同， 所需安全强度不一样。
不同应用场景下使用业务， 所面临的风险也可能有很大不同。 对于低 风险的应用场景， 如在办公场所通过局域网接入云计算平台， 只需要较低 强度的安全算法和协议保护业务数据， 就可以实现较高的安全等级。 然而 相同业务一旦接入场景从办公场所转移到开放网络， 如通过无线 WiFi接入 时， 系统需要调用更强的安全算法和协议才能达到和办公场所相同安全等 级的要求。 ( 4 )针对用户的简单、 高效的安全服务
安全服务内涵丰富， 包括基础设施安全服务： 加密、 认证、 抗抵赖、 完整性保护等； 服务安全服务： 在线杀毒、 入侵检测、 安全预警、 内容监 控等。 因此需要简单的管理手段帮助用户集成必要的安全配置， 为用户提 供一站式的安全服务。 除了防止信息被非法获取外， 还需要防范更广泛的 安全威胁， 如病毒的攻击、 木马程序对信息的非法收集、 用户欺骗等威胁， 因此安全解决方案将越来越复杂。 然而用户需要简单有效地从事用各种业 务， 因此需要把复杂的安全服务以及相应的安全配置， 尽量在网络中解决， 从而确保用户在没有安全专业知识的情况下， 能够享受到安全的各种业务。
由此可见， 对于不同的业务类型， 用户所需要的安全等级会有所不同。 同一业务类型， 不同用户所要求的安全等级也会有所不同。 而不同应用场 景造成的安全风险也不同， 在同一安全等级下， 其所需要的安全算法强度 也会不同。 因此， 云计算安全解决方案有必要采用按需供给的技术， 根据 不同用户、 不同业务类型和不同应用场景， 采取相应的安全策略， 对特定 业务和用户提供安全、 合理、 可靠的保护。 在满足用户安全需求的前提下， 最大限度节约云平台资源。 目前， 安全按需供给的思想还仅停留在理论阶 段， 尚未有可供参考的技术方案。 发明内容
有鉴于此， 本发明的主要目的在于提供一种云平台中安全按需供给方 法及系统、 业务类型获取方法， 能根据用户的安全需求对用户请求的业务 进行安全保护。
为达到上述目的， 本发明的技术方案是这样实现的：
一种安全按需供给方法， 包括：
根据用户为请求业务设置的安全等级， 和 /或， 用户终端所处的应用场 景， 和 /或， 业务类型， 确定安全功能模块的配置参数， 根据所述配置参数 配置安全功能模块， 利用所述安全功能模块对所述用户的业务数据进行安 全保护。
优选地， 所述确定安全功能模块的配置参数为：
利用安全等级和 /或用户终端所处的应用场景和 /或业务类型进行安全 策略匹配而获取所述安全功能模块的配置参数；
或者， 根据安全等级和 /或用户终端所处的应用场景和 /或业务类型， 利 用预设的算法计算出所述安全功能模块的配置参数；
或者， 利用安全等级和 /或用户终端所处的应用场景和 /或业务类型进行 安全策略匹配获取所述安全功能模块的配置参数， 以及利用预设的算法计 算所述安全功能模块的配置参数， 对两种方式得到的所述安全功能模块的 配置参数进行合并， 确定出最终的所述安全功能模块的配置参数。
优选地， 所述利用所述安全功能模块对所述用户的业务数据进行安全 保护为：
获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护。
优选地， 所述业务类型标识获取方式为：
通过携带有业务类型标识的数据包获取所设置的业务类型标识； 或者， 通过服务质量（QoS , Quality of Service )功能模块获取对所述 业务进行 QoS保护时设置的类型标识。
优选地， 所述安全等级由所述用户对所属业务信息的安全要求或所述 用户根据所述业务信息的资产价值而设置；
所述应用场景为所述用户终端所处的位置和接入网类型， 所述接入网 类型包括但不限于以下类型：
局域网、无线局域网，以及全球通信系统（ GSM, Global System of Mobile communication ), 码分多址 ( CDMA, Code Division Multiple Access ) 网、 长期演进（ LTE, Long Term Evolution ) 系统的无线移动网；
所述业务类型包括但不限于实时性业务和非实时性业务；
所述安全功能模块包括但不限于以下一个或多个功能：
机密性、 完整性、 认证、 流量清洗。
一种业务类型获取方法， 安全功能模块获取对业务进行 QoS保护时为 业务设置的业务类型标识， 对该业务和 /或对用户进行安全保护。
优选地， 所述业务类型标识获取途径为：
通过附带有业务类型标识的数据包获取所设置的业务类型标识； 或者， 接收相关 QoS功能模块通知的所述业务类型标识。
优选地， 所述对该业务和 /或对用户进行安全保护为：
获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护。
一种安全按需供给的系统， 包括安全策略参数收集单元、 安全策略单 元和安全执行单元， 其中：
安全策略参数收集单元， 设置为收集用户设定的安全等级参数， 和 /或 获取用户所请求业务的业务类型参数， 和 /或获取用户使用该业务时所处的 应用场景参数， 并将收集到的参数发送给安全策略单元；
安全策略单元， 设置为根据安全等级和 /或用户终端所处的应用场景和 / 或业务类型确定安全功能模块的配置参数， 并将确定的安全功能模块的配 置参数发送到安全执行单元；
安全执行单元， 根据所接收到的安全功能模块的配置参数， 配置安全 功能模块， 对用户的业务数据进行安全保护。
优选地， 所述安全策略单元还设置为，
通过预先设定的安全策略规则， 将所接收到的参数映射到最佳匹配的 安全策略规则， 并获取安全功能模块的配置参数； 或通过预设的算法模型， 根据输入的参数计算出安全功能模块的配置参数； 或对上述两种方式得到 的安全功能模块的配置参数进行合并， 确定出最终的安全功能模块的配置 参数。
优选地， 所系统还包括：
QoS单元， 设置为为业务设置业务类型标识， 根据用户标识和 /或业务 类型对业务数据实施个性化的 QoS优先级保护；
所述安全执行单元还设置为 ,从所述 QoS单元获取所述业务类型标识， 或者， 所述 QoS单元还设置为， 向所述安全执行单元发送所述业务类型标 识。
优选地， 所述安全执行单元还设置为，
获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护； 其中， 所述业务数据包携带有 用户标识和 /或业务标识。
优选地， 所述安全等级由所述用户对所属业务信息的安全要求或所述 用户根据所述业务信息的资产价值而设置；
所述应用场景为所述用户终端所处的位置和接入网类型， 所述接入网 类型包括但不限于：
局域网、 无线局域网， 以及全球通信系统 GSM、 码分多址 CDMA网、 长期演进 LTE系统的无线移动网；
所述业务类型包括但不限于实时性业务、 非实时性业务；
所述安全功能模块包括但不限于以下一个或多个功能：
机密性、 完整性、 认证、 流量清洗。
本发明中， 根据用户设置的安全等级， 和 /或， 用户终端所处的应用场 景， 和 /或， 业务类型， 确定出针对用户请求业务的安全功能模块的配置参 数， 利用所述配置参数配置安全功能模块， 实施对所述用户的业务数据的 安全保护。 这样， 可根据不同用户对不同业务的安全需求， 提供差异化的 业务安全保障。 本发明的云平台满足了各种用户以及各种业务的安全需求， 向用户提供了个性化的安全保障， 提升了用户体验效果。 附图说明
图 1为本发明实施例的安全按需供给的系统的组成结构示意图； 图 2为本发明实施例的安全按需供给的系统的另一种组成结构示意图； 图 3为本发明实施例中的安全按需供给示意图；
图 4为安全功能模块获取业务标识和用户标识的示意图；
图 5为本发明实施例中基于 Diffserv协议和加密的安全按需供给结构示 意图；
图 6为本发明实施例的安全按需供给方法流程图。 具体实施方式
本发明的基本思想为： 通过从业务类型中提取业务标识， 结合应用场 景， 用户对安全等级的设置， 作为安全策略的输入参数， 由安全策略推导 出安全参数， 作用于安全算法和协议， 从而对业务数据进行按需供给安全 保护。
为使本发明的目的、 技术方案和优点更加清楚明白， 以下举实施例并 参照附图， 对本发明进一步详细说明。
图 1为本发明实施例的安全按需供给的系统的组成结构示意图，如图 1 所示， 本发明的安全按需供给的系统， 包括安全策略参数收集单元 10、 安 全策略单元 11和安全执行单元 12, 其中：
安全策略参数收集单元 10, 设置为收集用户设定的安全等级参数， 和 / 或获取用户所请求业务的业务类型参数， 和 /或获取用户使用该业务时所处 的应用场景参数， 并将收集到的参数发送给安全策略单元； 安全策略单元 11 , 设置为根据安全等级和 /或用户终端所处的应用场景 和 /或业务类型确定安全功能模块的配置参数， 并将确定的安全功能模块的 配置参数发送到安全执行单元；
安全执行单元 12, 根据所接收到的安全功能模块的配置参数， 配置安 全算法和协议， 对用户的业务数据进行安全保护。
上述安全策略单元 11还设置为， 通过预先设定的安全策略规则， 将所 接收到的参数映射到最佳匹配的安全策略规则， 并获取安全功能模块的配 置参数； 或通过预设的算法模型， 根据输入的参数计算出安全功能模块的 配置参数； 或对上述两种方式得到的安全功能模块的配置参数进行合并， 确定出最终的安全功能模块的配置参数。
图 2 为本发明实施例的安全按需供给的系统的另一种组成结构示意 图， 如图 2所示， 在图 1所示所安全按需供给的系统的基础上， 本发明的 系统还包括：
QoS单元 13, 设置为为业务设置业务类型标识， 根据用户标识和 /或业 务类型对业务数据实施个性化的 QoS优先级保护；
上述安全执行单元 12还设置为 ,从所述 QoS单元获取所述业务类型标 识， 或者， 上述 QoS单元 13还设置为， 向所述安全执行单元发送所述业务 类型标识。
以下说明图 1或图 2示出的结构中各处理单元的其他功用。
上述安全执行单元 12还设置为，
获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护； 其中， 所述业务数据包利用配 置后的协议生成。
其中， 所述安全等级由所述用户对所属业务信息的安全要求或所述用 户根据所述业务信息的资产价值而设置； 所述应用场景为所述用户终端所处的位置和接入网类型， 所述接入网 类型包括：
局域网、无线局域网， 以及 GSM、 CDMA网、 LTE系统的无线移动网； 所述业务类型包括实时性业务和非实时性业务；
所述安全功能模块涉及但不限于以下处理的一个或多个：
机密性、 完整性、 认证、 流量清洗。
本领域技术人员应当理解， 本发明安全按需供给的系统涉及的处理单 元的功能可以通过硬件电路， 或由处理器执行相应的软件所实现。 上述各 处理单元的功能， 可结合前述标识分配方法的相关描述而理解。
以下结合前述安全按需供给的系统的结构， 进一步阐明本发明应用于 云平台中的安全按需供给方法。
图 3为本发明实施例中的安全按需供给示意图， 如图 3所示， 图中需 要配置的参数有三类， 分别为应用场景、 业务类型和用户安全等级要求。 应用场景即终端接入云计算平台所提供的场景信息， 如局域网， 无线如 3G 网、 LTE网络、 CDMA网络或 GSM网络等。 该应用场景可由系统依据 IP 地址， 接入节点位置自动感知， 无须人工配置。 业务类型指实时性业务还 是非实时性业务， 业务类型也可以通过系统对业务的感知获得。 系统感知 业务类型后， 提取用户标识。 用户安全等级要求指用户根据所要使用的业 务信息资产价值（即重要性）， 设置合理的安全等级。 安全策略单元设置为 将收集到的用户安全等级参数、 业务类型参数和应用场景参数映射到最适 合的安全策略规则， 并由该规则获得安全的配置参数。 安全策略单元也可 以使用算法模型， 通过计算获得最优的安全配置参数。 安全策略单元将配 置参数输出到安全执行单元。 安全执行单元主要是安全算法或者安全协议 组成， 包括机密性、 完整性、 认证、 流量清洗等安全功能。 它为业务数据 提供了安全保障。 本发明中， 安全域分为两类， 分别为服务安全域和基础设施安全域。 其中基础设施安全域包括虚拟化安全和存储安全。 由于同一类安全威胁往 往需要相同的安全功能， 因此将具有同一类安全威胁特征的区域划分为同 一个安全域， 有助于实现安全按需供给的机制。 在该图中， 安全策略进一 步根据不同安全域所使用的安全功能， 输出不同组合的安全配置参数给特 定安全域， 实现安全按需供给的机制。 对于不同用户， 根据用户设定的用 户安全等级和 /或应用场景和 /或业务类型， 经过安全策略匹配或者经过算法 模型计算， 输出安全配置参数。 由于数据加密传输是服务安全域一个非常 重要的安全功能。 安全策略单元针对服务安全域所输出的安全配置参数就 需要包含加密算法选择和密钥长度选择等参数。 而对于虚拟化安全域， 由 于位置处在于云计算运营商所控制的区域， 数据加密的重要性下降。 对于 虚拟化安全， 安全策略所输出的安全配置参数就需要包含数据隔离和业务 逻辑的验证等对虚拟化安全非常重要的安全功能。 本发明中， 安全执行单 元获取业务标识和用户标识。 业务数据包携带有用户标识， 这是业务在共 享平台上实现多租户运营所必须的技术。 本发明所需要的用户标识， 可以 直接从业务数据中获取。 对于业务标识的获取， 本发明充分利用云平台中 的 QoS单元对业务标识的定义和处理功能， 而获取业务标识。
图 4为安全功能模块获取业务标识和用户标识的示意图， 如图 4所示， 云平台业务数据包带有用户标识， 这是业务在共享平台上实现多租户运营 所必须的技术。 本发明所需要的用户标识， 可以直接从业务数据中获取。 对于业务标识的获取， 本发明充分利用云平台 QoS功能模块对业务标识的 定义和处理功能获取业务标识。 图 4示出了两种获取途径。 获取途径一是 直接从云平台的 QoS功能模块中获取。 由于 QoS功能模块在对特定业务实 施 QoS优先级保护前， 必须对业务数据嵌入业务标识。 当 QoS功能模块向 业务数据嵌入业务标识时， 该业务标识也同时被安全执行单元获得。 第二 种获取途径是在 QoS功能功能模块对业务数据嵌入业务标识之后， 安全执 行单元通过读取业务数据相关字段， 获得该数据的业务标识。 安全执行单 元获得用户标识和业务标识后， 即可对该业务数据实施按需供给的安全保 护。
图 5为本发明实施例中基于 Diffserv协议和加密的安全按需供给结构示 意图， 如图 5所示， 本发明实施例的安全按需供给包括以下步驟：
步驟 1 , 用户进行相关的参数配置， 包括应用场景、 安全等级和业务类 别。
步驟 2, 业务类别由业务标识定义， 业务标识由 Diffserv业务框架来实 现。 通过使用 Diffserv业务框架， 每一种 QoS特征要求在 IP数据报头中 DSCP字段中有相应的映射字段值。不同的字段值代表着不同的业务粒度区 分标识， 它们具有不同的业务数据传输优先级。 DSCP的值越高， 它所对应 的业务类别的优先级也就越高。
步驟 3,安全策略库接收各种参数信息（应用场景参数、安全等级参数、 用户标识和业务标识；)。
步驟 4, 安全策略库进行策略匹配和映射， 或则通过算法模型计算， 得 到业务数据所需要的加密参数， 并下发用户标识、 业务标识和加密参数到 加密模块。
步驟 5, 加密模块通过识别，对特定的用户标识和业务标识的业务数据 采用加密参数相对应的加密算法进行加密。
从图 5可以清楚看出， 用户标识是实现安全按需供给所必须的重要参 数。 但用户标识主要用来区别业务拥有者， 并没有作为输入变量影响安全 配置参数的设定， 因此决定安全策略输出配置参数的输入变量中， 并没有 包括用户标识。
图 6为本发明实施例的云平台中安全按需供给方法流程图， 如图 6所 示， 本实施例的云平台中安全按需供给方法主要包括以下步驟： 步驟 601 , 云平台根据获取的用户为请求业务设置的安全等级， 和 /或， 用户终端所处的应用场景， 和 /或， 业务类型， 确定安全功能模块的配置参 数。
本发明安全按需供给方法开始之前， 由用户进行相关的参数配置， 如 进行安全等级配置等， 当然， 也可以直接对应用场景和业务类型进行配置， 即无需由云平台通过获取业务相关信息而确定应用场景和业务类型的相关 参数。 当未配置应用场景和业务类型参数时， 需要由云平台获取用户终端 的应用场景和业务类型信息。 本发明中， 业务类型由业务标识定义， 业务 标识由 Diffserv业务框架来实现。 通过使用 Diffserv业务框架， 每一种 QoS 特征要求在 IP数据报头中的差分服务代码点（ DSCP, Differentiated Services Code Point )字段中有相应的映射字段值。 不同的字段值代表着不同的业务 粒度区分标识， 它们具有不同的业务数据传输优先级。 DSCP的值越高， 其 所对应的业务类型的优先级也就越高。
本发明中， 确定安全功能模块的配置参数为：
利用安全等级和 /或用户终端所处的应用场景和 /或业务类型进行安全 策略匹配而获取安全功能模块的配置参数；
或者， 根据安全等级和 /或用户终端所处的应用场景和 /或业务类型， 利 用预设的算法计算出安全功能模块的配置参数；
或者， 利用安全等级和 /或用户终端所处的应用场景和 /或业务类型进行 安全策略匹配获取安全功能模块的配置参数， 以及利用预设的算法计算安 全功能模块的配置参数， 对两种方式得到的安全功能模块的配置参数进行 合并， 确定出最终的安全功能模块的配置参数。 这里， 所谓合并， 包括取 两种方式确定的配置参数的平均值， 或默认按最严格的安全等级原则， 取 其中安全等级最高的配置参数， 或以用户需求为主原则， 按用户需求在两 本发明中， 所述业务类型标识获取方式为：
通过携带有业务类型标识的数据包获取所设置的业务类型标识； 或者， 通过 QoS功能模块获取对所述业务进行 QoS保护时设置的类型 标识。
步驟 602, 利用所述配置参数配置安全功能模块， 实施对所述用户的业 务数据的安全保护。
获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护。 其中， 所述业务数据包携带有 用户标识和 /或业务标识。
上述安全等级由所述用户对所属业务信息的安全要求或所述用户根据 所述业务信息的资产价值而设置；
所述应用场景为所述用户终端所处的位置和接入网类型， 所述接入网 类型包括：
局域网、 无线局域网， 以及 GSM、 CDMA网、 LTE系统等的无线移动 网；
所述业务类型包括实时性业务和非实时性业务；
所述安全功能模块涉及但不限于以下处理的一个或多个：
机密性、 完整性、 认证、 流量清洗。
本发明中， 虽然用户标识是实现安全按需供给所必须的重要参数。 但 用户标识主要用来区别业务拥有者， 并没有作为输入变量影响安全配置参 数的设定， 因此决定安全策略输出配置参数的输入变量中， 并不包括用户 标识。
本发明可根据不同用户对不同业务的安全需求， 提供差异化的业务安 全保障。 本发明的云平台满足了各种用户以及各种业务的安全需求， 向用 户提供了个性化的安全保障， 提升了用户体验效果。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围。
工业实用性
本发明根据用户设置的安全等级， 和 /或， 用户终端所处的应用场景， 和 /或， 业务类型， 确定出针对用户请求业务的安全功能模块的配置参数， 利用所述配置参数配置安全功能模块， 实施对所述用户的业务数据的安全 保护。 可根据不同用户对不同业务的安全需求， 提供差异化的业务安全保 障。

Claims

权利要求书
1、 一种安全按需供给方法， 其中， 所述方法包括：
根据用户为请求业务设置的安全等级， 和 /或， 用户终端所处的应用场 景， 和 /或， 业务类型， 确定安全功能模块的配置参数， 根据所述配置参数 配置安全功能模块， 利用所述安全功能模块对所述用户的业务数据进行安 全保护。
2、 根据权利要求 1所述的方法， 其中， 所述确定安全功能模块的配置 参数为：
利用安全等级和 /或用户终端所处的应用场景和 /或业务类型进行安全 策略匹配而获取所述安全功能模块的配置参数；
或者， 根据安全等级和 /或用户终端所处的应用场景和 /或业务类型， 利 用预设的算法计算出所述安全功能模块的配置参数；
或者， 利用安全等级和 /或用户终端所处的应用场景和 /或业务类型进行 安全策略匹配获取所述安全功能模块的配置参数， 以及利用预设的算法计 算所述安全功能模块的配置参数， 对两种方式得到的所述安全功能模块的 配置参数进行合并， 确定出最终的所述安全功能模块的配置参数。
3、 根据权利要求 1或 2所述的方法， 其中， 所述利用所述安全功能模 块对所述用户的业务数据进行安全保护为：
获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护。
4、根据权利要求 3所述的方法，其中， 所述业务类型标识获取方式为： 通过携带有业务类型标识的数据包获取所设置的业务类型标识； 或者， 通过服务质量 QoS功能模块获取对所述业务进行 QoS保护时设 置的类型标识。
5、 根据权利要求 1至 4中任一项所述的方法， 其中， 所述安全等级由 所述用户对所属业务信息的安全要求或所述用户根据所述业务信息的资产 价值而设置；
所述应用场景为所述用户终端所处的位置和接入网类型， 所述接入网 类型包括但不限于以下类型：
局域网、 无线局域网， 以及全球通信系统 GSM、 码分多址 CDMA网、 长期演进 LTE系统的无线移动网；
所述业务类型包括但不限于实时性业务和非实时性业务；
所述安全功能模块包括但不限于以下一个或多个功能：
机密性、 完整性、 认证、 流量清洗。
6、 一种业务类型获取方法， 其中， 安全功能模块获取对业务进行 QoS 保护时为业务设置的业务类型标识， 对该业务和 /或对用户进行安全保护。
7、根据权利要求 6所述的方法，其中， 所述业务类型标识获取途径为： 通过附带有业务类型标识的数据包获取所设置的业务类型标识； 或者， 接收相关 QoS功能模块通知的所述业务类型标识。
8、 根据权利要求 6或 7所述的方法， 其中， 所述对该业务和 /或对用户 进行安全保护为：
获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护。
9、 一种安全按需供给的系统， 包括安全策略参数收集单元、 安全策略 单元和安全执行单元， 其中：
安全策略参数收集单元， 设置为收集用户设定的安全等级参数， 和 /或 获取用户所请求业务的业务类型参数， 和 /或获取用户使用该业务时所处的 应用场景参数， 并将收集到的参数发送给安全策略单元；
安全策略单元， 设置为根据安全等级和 /或用户终端所处的应用场景和 / 或业务类型确定安全功能模块的配置参数， 并将确定的安全功能模块的配 安全执行单元， 根据所接收到的安全功能模块的配置参数， 配置安全 功能模块， 对用户的业务数据进行安全保护。
10、 根据权利要求 9所述的系统， 其中， 所述安全策略单元还设置为， 通过预先设定的安全策略规则， 将所接收到的参数映射到最佳匹配的 安全策略规则， 并获取安全功能模块的配置参数； 或通过预设的算法模型， 根据输入的参数计算出安全功能模块的配置参数； 或对上述两种方式得到 的安全功能模块的配置参数进行合并， 确定出最终的安全功能模块的配置 参数。
11、 根据权利要求 9或 10所述的系统， 其中， 所系统还包括：
QoS单元， 设置为为业务设置业务类型标识， 根据用户标识和 /或业务 类型对业务数据实施个性化的 QoS优先级保护；
所述安全执行单元还设置为 ,从所述 QoS单元获取所述业务类型标识， 或者， 所述 QoS单元还设置为， 向所述安全执行单元发送所述业务类型标 识。
12、根据权利要求 11所述的系统， 其中， 所述安全执行单元还设置为， 获取与用户标识和 /或业务标识匹配的业务数据包， 根据所述安全配置 参数对所获取的业务数据包实施安全保护； 其中， 所述业务数据包携带有 用户标识和 /或业务标识。
13、 根据权利要求 9至 12中任一项所述的系统， 其中， 所述安全等级 由所述用户对所属业务信息的安全要求或所述用户根据所述业务信息的资 产价值而设置；
所述应用场景为所述用户终端所处的位置和接入网类型， 所述接入网 类型包括但不限于：
局域网、无线局域网， 以及 GSM、 CDMA网、 LTE系统的无线移动网； 所述业务类型包括但不限于实时性业务、 非实时性业务; 所述安全功能模块包括但不限于以下一个或多个功能： 机密性、 完整性、 认证、 流量清洗。
PCT/CN2012/076294 2011-08-08 2012-05-30 安全按需供给方法及系统、业务类型获取方法 WO2013020409A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP12821520.9A EP2731312B1 (en) 2011-08-08 2012-05-30 Secure on-demand supply method and system and service type acquisition method
US14/235,926 US9356967B2 (en) 2011-08-08 2012-05-30 Secure on-demand supply method and system and traffic type acquisition method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110225650.2 2011-08-08
CN201110225650.2A CN102932382B (zh) 2011-08-08 2011-08-08 安全按需供给方法及系统、业务类型获取方法

Publications (1)

Publication Number Publication Date
WO2013020409A1 true WO2013020409A1 (zh) 2013-02-14

Family

ID=47647084

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/076294 WO2013020409A1 (zh) 2011-08-08 2012-05-30 安全按需供给方法及系统、业务类型获取方法

Country Status (4)

Country Link
US (1) US9356967B2 (zh)
EP (1) EP2731312B1 (zh)
CN (1) CN102932382B (zh)
WO (1) WO2013020409A1 (zh)

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103607426B (zh) * 2013-10-25 2019-04-09 中兴通讯股份有限公司 安全服务订制方法和装置
CN104268484B (zh) * 2014-09-24 2016-08-24 科云(上海)信息技术有限公司 一种基于虚拟隔离机制的云环境下数据防泄漏方法
US9871822B2 (en) 2014-11-28 2018-01-16 International Business Machines Corporation Deployment using a context-based cloud security assurance system
CN106161378A (zh) * 2015-04-13 2016-11-23 中国移动通信集团公司 安全服务装置、方法以及业务处理装置、方法和系统
CN106453203A (zh) * 2015-08-07 2017-02-22 索尼公司 无线通信系统中的装置和方法以及无线通信系统
CN107153565B (zh) * 2016-03-03 2020-06-16 华为技术有限公司 配置资源的方法及其网络设备
WO2017210811A1 (zh) * 2016-06-06 2017-12-14 华为技术有限公司 安全策略的执行方法和设备
US11349881B2 (en) 2016-08-05 2022-05-31 Alcatel Lucent Security-on-demand architecture
EP3513531B1 (en) * 2016-09-18 2021-06-23 Alcatel Lucent Unified security architecture
KR102334214B1 (ko) * 2017-05-15 2021-12-02 삼성전자주식회사 QoS(Quality of Service) 정보를 제어하는 방법 및 장치
US10958659B2 (en) * 2017-08-30 2021-03-23 Red Hat, Inc. Setting application permissions in a cloud computing environment
CN107508821B (zh) * 2017-09-06 2020-08-11 中国科学院计算机网络信息中心 安全等级生成方法、装置及存储介质
WO2019174015A1 (zh) 2018-03-15 2019-09-19 Oppo广东移动通信有限公司 处理数据的方法、接入网设备和核心网设备
CN110399732B (zh) * 2018-04-24 2022-03-18 浙江大学 信息嵌入和数据安全处理方法、装置及设备
CN108809963A (zh) * 2018-05-24 2018-11-13 中国科学院计算机网络信息中心 安全资源共享方法、装置及存储介质
CN109150976A (zh) * 2018-07-23 2019-01-04 中国科学院计算机网络信息中心 提供安全服务的方法、装置及存储介质
CN108683551B (zh) * 2018-08-08 2021-09-14 武汉思普崚技术有限公司 一种管道式流控的方法及装置
KR102083028B1 (ko) * 2019-02-19 2020-02-28 유재선 네트워크 침입탐지 시스템
CN110417778B (zh) * 2019-07-30 2022-02-11 中国工商银行股份有限公司 访问请求的处理方法和装置
CN110381088B (zh) * 2019-08-21 2021-11-12 牡丹江师范学院 一种基于物联网的数据安全保障方法
CN111628980B (zh) * 2020-05-20 2022-08-09 深信服科技股份有限公司 策略调整方法、装置、设备及存储介质
WO2023081797A1 (en) * 2021-11-05 2023-05-11 Interdigital Patent Holdings, Inc. Nr security enhancements
CN114640900A (zh) * 2022-03-14 2022-06-17 珠海格力电器股份有限公司 一种信息联网系统的数据管理方法、装置及存储介质
CN114915457B (zh) * 2022-04-27 2023-08-25 烽台科技（北京）有限公司 报文传输方法、动态加密方法、装置、电子设备及介质
CN115378742B (zh) * 2022-10-25 2023-03-24 北京创新乐知网络技术有限公司 一种基于云计算的数据处理方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101146305A (zh) * 2006-09-13 2008-03-19 中兴通讯股份有限公司 安全策略的配置方法
US20100058049A1 (en) * 2008-08-29 2010-03-04 Gene Fein Secure data communication system
CN101925127A (zh) * 2009-06-09 2010-12-22 中兴通讯股份有限公司 一种中继站对移动终端接入的调度方法和装置
CN102025725A (zh) * 2010-11-22 2011-04-20 中兴通讯股份有限公司 电信业务环境安全系统及其实现方法

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1742422B1 (en) 2001-12-26 2014-01-22 Kabushiki Kaisha Toshiba Wireless communication apparatus
US7567510B2 (en) * 2003-02-13 2009-07-28 Cisco Technology, Inc. Security groups
US7292569B1 (en) * 2003-02-26 2007-11-06 Cisco Technology, Inc. Distributed router forwarding architecture employing global translation indices
KR100608904B1 (ko) * 2003-12-18 2006-08-04 한국전자통신연구원 서비스 품질 보장을 위한 시스템 및 방법
US7627123B2 (en) * 2005-02-07 2009-12-01 Juniper Networks, Inc. Wireless network having multiple security interfaces
JP2007006054A (ja) * 2005-06-23 2007-01-11 Hitachi Ltd パケット中継装置及びパケット中継システム
US7891001B1 (en) * 2005-08-26 2011-02-15 Perimeter Internetworking Corporation Methods and apparatus providing security within a network
US8891550B2 (en) 2006-02-15 2014-11-18 International Business Machines Corporation Platform independent configuration of multiple network services
KR100800881B1 (ko) * 2006-08-11 2008-02-04 삼성전자주식회사 동기식 이더넷 시스템에서 서비스 품질 보장 방법 및 장치
CN101340360B (zh) * 2007-07-04 2011-11-16 华为技术有限公司 一种报文标记的控制方法、装置及系统
US7844728B2 (en) * 2007-07-31 2010-11-30 Alcatel-Lucent Usa Inc. Packet filtering/classification and/or policy control support from both visited and home networks
CN101616457A (zh) * 2009-07-28 2009-12-30 中兴通讯股份有限公司 服务质量的映射方法以及服务质量控制实体
US20120198020A1 (en) * 2011-02-02 2012-08-02 Verizon Patent And Licensing, Inc. Content distribution within a service provider network
US8843127B2 (en) * 2011-06-27 2014-09-23 Nokia Corporation Method and apparatus for providing optimized privacy in cognitive radio information sharing

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101146305A (zh) * 2006-09-13 2008-03-19 中兴通讯股份有限公司 安全策略的配置方法
US20100058049A1 (en) * 2008-08-29 2010-03-04 Gene Fein Secure data communication system
CN101925127A (zh) * 2009-06-09 2010-12-22 中兴通讯股份有限公司 一种中继站对移动终端接入的调度方法和装置
CN102025725A (zh) * 2010-11-22 2011-04-20 中兴通讯股份有限公司 电信业务环境安全系统及其实现方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2731312A4 *

Also Published As

Publication number Publication date
EP2731312A4 (en) 2015-03-18
US9356967B2 (en) 2016-05-31
EP2731312A1 (en) 2014-05-14
EP2731312B1 (en) 2019-07-10
CN102932382A (zh) 2013-02-13
CN102932382B (zh) 2018-03-23
US20140196113A1 (en) 2014-07-10

Similar Documents

Publication Publication Date Title
WO2013020409A1 (zh) 安全按需供给方法及系统、业务类型获取方法
US11329982B2 (en) Managing internet of things devices using blockchain operations
US8650620B2 (en) Methods and apparatus to control privileges of mobile device applications
US9208295B2 (en) Policy-based control layer in a communication fabric
Yan et al. IoT-FBAC: Function-based access control scheme using identity-based encryption in IoT
CN102752269B (zh) 基于云计算的身份认证的方法、系统及云端服务器
CN103596173A (zh) 无线网络认证方法、客户端及服务端无线网络认证装置
US11683346B2 (en) Methods and systems for establishment of VPN security policy by SDN application
WO2010003354A1 (zh) 认证服务器及虚拟专用网的移动通信终端接入控制方法
US20210099873A1 (en) Authenticating client devices in a wireless communication network with client-specific pre-shared keys
US20150156079A1 (en) Methods and Apparatus to Dynamically Provide Network Policies
Krishnan et al. Software-defined security-by-contract for blockchain-enabled MUD-aware industrial IoT edge networks
WO2019177988A1 (en) System and method of providing a controlled interface between devices
Zarca et al. Managing AAA in NFV/SDN-enabled IoT scenarios
Hamoudy et al. Video security in Internet of things: an overview
Zhu et al. Attribute-guard: Attribute-based flow access control framework in software-defined networking
Liu et al. A trusted access method in software-defined network
CN103368967A (zh) 一种ip电话的安全接入方法和设备
Bhise et al. Detection and mitigation of Sybil attack in peer-to-peer network
Bradatsch et al. ZTSFC: A Service Function Chaining-Enabled Zero Trust Architecture
Zhao et al. A trusted and privacy-preserved dispersed computing scheme for the Internet of Mobile Things
Harikrishna et al. Network as a service model in cloud authentication by HMAC algorithm
Barriga A et al. Security over smart home automation systems: A survey
Tu et al. A Blockchain-Enabled Trusted Protocol Based on Whole-Process User Behavior in 6G Network
Li et al. Secure network slicing deployment in edge computing

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12821520

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14235926

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2012821520

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE