專利名稱：一種分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，用于實(shí)現(xiàn)具有緊耦合結(jié)構(gòu)的安全管理平臺(tái)，屬于信息安全技術(shù)領(lǐng)域。
背景技術(shù)：
我國(guó)電子政務(wù)、電子商務(wù)和軍隊(duì)信息化建設(shè)如火似荼。各部門對(duì)信息安全防護(hù)的要求越來(lái)越高。原有的單一的、樸素的信息安全防護(hù)理念，如依靠某一種信息安全機(jī)制包打天下，或通過(guò)幾種信息安全產(chǎn)品的各自為戰(zhàn)或簡(jiǎn)單堆砌來(lái)應(yīng)對(duì)復(fù)雜的、動(dòng)態(tài)的、多維的網(wǎng)絡(luò)安全威脅，早已不適應(yīng)信息安全日益增長(zhǎng)的客觀要求。但在事實(shí)上這種現(xiàn)象卻十分嚴(yán)重。用戶在部署網(wǎng)絡(luò)系統(tǒng)安全防護(hù)體系時(shí)往往一味對(duì)安全產(chǎn)品進(jìn)行堆砌。由于不同產(chǎn)品之間存在防護(hù)盲區(qū)，無(wú)法有機(jī)管理和協(xié)同，極大的增大了管理成本和管理負(fù)擔(dān)，同時(shí)還給網(wǎng)絡(luò)系統(tǒng)引入了新的安全隱患。
如果能夠在一個(gè)統(tǒng)一的管理平臺(tái)上實(shí)現(xiàn)對(duì)不同安全產(chǎn)品和設(shè)備的統(tǒng)一管理和部署，在一個(gè)整體的控制和調(diào)度框架下有機(jī)協(xié)同不同產(chǎn)品進(jìn)行共同防護(hù)，將會(huì)在極大的降低安全管理成本的同時(shí)大大提高安全防護(hù)機(jī)制的強(qiáng)度。這也正是市場(chǎng)和應(yīng)用對(duì)網(wǎng)絡(luò)安全綜合管理平臺(tái)的迫切需求。
但是，網(wǎng)絡(luò)安全綜合管理平臺(tái)需要有機(jī)集成和控制分布式環(huán)境中應(yīng)用的各安全子系統(tǒng)的功能而非僅僅簡(jiǎn)單的堆砌，必須有一個(gè)統(tǒng)一、有效的技術(shù)系統(tǒng)框架和底層通信機(jī)制，同時(shí)必須保證平臺(tái)內(nèi)部控制、通信的高度安全性，防止監(jiān)控平臺(tái)的部署為網(wǎng)絡(luò)引入新的安全隱患。這就必須從系統(tǒng)架構(gòu)和產(chǎn)品引擎的層次對(duì)不同安全產(chǎn)品和系統(tǒng)進(jìn)行耦合、協(xié)同和管理，我們稱這類在產(chǎn)品架構(gòu)和系統(tǒng)引擎級(jí)進(jìn)行深度耦合的管理平臺(tái)為緊耦合結(jié)構(gòu)安全管理平臺(tái)。為實(shí)現(xiàn)上述的緊耦合結(jié)構(gòu)安全管理平臺(tái)，仍然存在一系列技術(shù)問題需要解決。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種在分布式環(huán)境中統(tǒng)一安全管理和監(jiān)控系統(tǒng)的安全協(xié)議，該協(xié)議可以用于實(shí)現(xiàn)具有緊耦合結(jié)構(gòu)的安全管理平臺(tái)。
為實(shí)現(xiàn)上述目的，本發(fā)明采用下述的技術(shù)方案一種分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，應(yīng)用于具有監(jiān)控中心和多數(shù)個(gè)監(jiān)控子系統(tǒng)的分布式網(wǎng)絡(luò)中，監(jiān)控中心控制各監(jiān)控子系統(tǒng)的協(xié)調(diào)，監(jiān)控中心和監(jiān)控子系統(tǒng)都包括調(diào)度器、消息處理子系統(tǒng)、安全子系統(tǒng)、監(jiān)控信息更新/獲取子系統(tǒng)、上層應(yīng)用和傳輸映射組件，其特征在于1)發(fā)送消息時(shí)，應(yīng)用將要發(fā)送的消息類型、消息載荷和目標(biāo)系統(tǒng)的編碼DstSysID傳遞給調(diào)度器，調(diào)度器請(qǐng)求消息處理子系統(tǒng)準(zhǔn)備一條消息，消息處理器準(zhǔn)備好消息的除加密、鑒別參數(shù)外的頭部字段以及原始的載荷body字段部分，并調(diào)用安全子系統(tǒng)，安全子系統(tǒng)根據(jù)消息處理器傳來(lái)的消息相關(guān)字段對(duì)消息進(jìn)行加密和鑒別處理，將加密和鑒別參數(shù)返給消息處理子系統(tǒng)，消息處理子系統(tǒng)準(zhǔn)備好消息發(fā)送給調(diào)度器，調(diào)度器將準(zhǔn)備好的發(fā)送消息映射到傳輸映射組件進(jìn)行發(fā)送；2)當(dāng)接收消息時(shí)，傳輸映射組件將接收到的消息和地址信息傳遞給調(diào)度器，調(diào)度器調(diào)用消息處理器對(duì)消息進(jìn)行分析，恢復(fù)出不同的字段，消息處理器調(diào)用安全處理子系統(tǒng)對(duì)鑒別信息進(jìn)行驗(yàn)證，對(duì)加密的信息進(jìn)行解密操作，消息處理器將恢復(fù)后的消息返回給調(diào)度器，調(diào)度器傳遞給需要接收該消息的應(yīng)用。
該安全處理子系統(tǒng)根據(jù)消息處理器傳來(lái)的消息頭部的標(biāo)識(shí)Flags字段中的加密標(biāo)識(shí)privateFlag和授權(quán)標(biāo)識(shí)authFlag標(biāo)識(shí)位的設(shè)置情況對(duì)消息進(jìn)行加密和鑒別處理。
該安全處理子系統(tǒng)進(jìn)一步填充授權(quán)參數(shù)AuthParam和加密參數(shù)PrivateParam字段，然后將準(zhǔn)備好的消息返回給消息處理子系統(tǒng)。
該消息類型包括至少三字段，第一字段對(duì)監(jiān)控中心與不同子系統(tǒng)間的數(shù)據(jù)傳輸類型進(jìn)行編碼，第二字段對(duì)監(jiān)控中心向子系統(tǒng)發(fā)出的控制消息進(jìn)行編碼，第三字段用于表示系統(tǒng)間的確認(rèn)消息。
監(jiān)控中心對(duì)不同的子系統(tǒng)進(jìn)行統(tǒng)一編碼，在運(yùn)行期間維護(hù)子系統(tǒng)的編碼表，由傳輸映射組件完成系統(tǒng)編碼到實(shí)際通訊地址的映射。
該監(jiān)控中心維護(hù)一張運(yùn)行時(shí)各監(jiān)控子系統(tǒng)信息鏈表，該各監(jiān)控子系統(tǒng)信息鏈表保存了每個(gè)子系統(tǒng)的系統(tǒng)編碼、網(wǎng)絡(luò)地址、監(jiān)聽端口、系統(tǒng)類型。
該監(jiān)控中心監(jiān)聽子系統(tǒng)的連接請(qǐng)求，將發(fā)出連接請(qǐng)求的子系統(tǒng)加入鏈表。
該監(jiān)控中心接收到子系統(tǒng)的注冊(cè)消息，為該子系統(tǒng)產(chǎn)生唯一的系統(tǒng)編碼，并用確認(rèn)消息將該系統(tǒng)編碼發(fā)回該子系統(tǒng)。
該監(jiān)控子系統(tǒng)收到確認(rèn)消息后，判斷是否是注冊(cè)確認(rèn)消息，如果是，則用全局變量記錄系統(tǒng)編碼的值，在后續(xù)通信中使用該系統(tǒng)編碼；判斷不是注冊(cè)確認(rèn)消息，則解析該消息并進(jìn)行處理。
該監(jiān)控中心響應(yīng)應(yīng)用層的控制命令，判斷是否是文件傳輸命令，如果是，則與特定的監(jiān)控子系統(tǒng)建立一個(gè)新的連接并向監(jiān)控子系統(tǒng)發(fā)出連接請(qǐng)求和文件請(qǐng)求；如果不是文件傳輸命令，則在監(jiān)控子系統(tǒng)注冊(cè)時(shí)已經(jīng)建立的連接上向監(jiān)控子系統(tǒng)發(fā)送相應(yīng)的消息。
本發(fā)明所提供的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議可以提供足夠的安全性服務(wù)，確保內(nèi)部控制指令和監(jiān)控?cái)?shù)據(jù)的傳輸安全，保證平臺(tái)的整體安全，避免引入安全隱患，同時(shí)還可以保證通信信息傳輸?shù)目煽啃浴?br>

下面結(jié)合附圖和具體實(shí)施方式
對(duì)本發(fā)明作進(jìn)一步的說(shuō)明。
圖1為本發(fā)明所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議的邏輯結(jié)構(gòu)框圖。
圖2為本發(fā)明所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議的內(nèi)部服務(wù)示意圖。
圖3為使用本分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議的網(wǎng)絡(luò)安全綜合管理平臺(tái)的運(yùn)行流程示意圖。
具體實(shí)施例方式
參考圖1，本發(fā)明公開了一種用于分布式環(huán)境中網(wǎng)絡(luò)安全綜合管理平臺(tái)的的安全協(xié)議。
網(wǎng)絡(luò)安全綜合管理平臺(tái)需要有機(jī)集成和控制分布式環(huán)境中應(yīng)用的各安全子系統(tǒng)。網(wǎng)絡(luò)安全綜合管理平臺(tái)包括監(jiān)控中心和多數(shù)個(gè)監(jiān)控子系統(tǒng)。監(jiān)控中心通過(guò)底層通信機(jī)制與多數(shù)個(gè)監(jiān)控子系統(tǒng)聯(lián)系，由監(jiān)控中心協(xié)調(diào)對(duì)各監(jiān)控子系統(tǒng)的控制。監(jiān)控中心和監(jiān)控子系統(tǒng)都包括調(diào)度器、消息處理子系統(tǒng)、安全子系統(tǒng)、監(jiān)控信息更新/獲取子系統(tǒng)、上層應(yīng)用和傳輸映射等主要組件。不同組件間通過(guò)服務(wù)原語(yǔ)提供的通信服務(wù)支持，共同完成平臺(tái)的整體通信任務(wù)。
下面提供的是消息格式舉例。

消息包括頭標(biāo)和載荷(Message Body)兩部分，其中消息頭標(biāo)包括協(xié)議版本號(hào)(Version)、消息序號(hào)(ID)、消息類型(Type)、標(biāo)識(shí)(Flags)、確認(rèn)消息序號(hào)(AckID)、載荷長(zhǎng)度(BodyLength)、源系統(tǒng)編碼(SrcSysID)、目標(biāo)系統(tǒng)編碼(DstSysID)、授權(quán)標(biāo)識(shí)(authenFlag)和加密標(biāo)識(shí)(privateFlag)。本實(shí)施例中，標(biāo)識(shí)(Flags)為8字節(jié)長(zhǎng)字段，其中高5位保留未用，低3位從高到低依次是需確認(rèn)位(needAck)、授權(quán)標(biāo)識(shí)(authenFlag)、加密標(biāo)識(shí)(privateFlag)。需確認(rèn)位(needAck)置1表示該消息需要確認(rèn)，如果沒有收到確認(rèn)需要重傳；authenFlag置1表示消息需要鑒別，12字節(jié)的鑒別碼放在AuthParam字段中；privateFlag置1表示消息體需要加密，此時(shí)8字節(jié)的salt值需要放到PrivateParam字段中。系統(tǒng)規(guī)定不允許出現(xiàn)authenFlag＝0同時(shí)privateFlag＝1的情況。Salt值是現(xiàn)有DES算法中CRYPT()函數(shù)的一個(gè)位字串，能影響加密的暗碼，進(jìn)一步排除預(yù)計(jì)算攻擊的可能性。
傳遞消息的類型(Type)，直接決定了message body中的數(shù)據(jù)格式和消息的語(yǔ)義。為保證可擴(kuò)展性，將消息類型編碼定為32位，高16位保留未用。低16位分為4個(gè)字段，每4位一個(gè)字段，分別代表不同的消息類型含義。為便于描述，四個(gè)字段從低位到高位依次稱為第一字段、第二字段、第三字段和第四字段。

第一字段對(duì)監(jiān)控中心與不同子系統(tǒng)間的數(shù)據(jù)傳輸類型進(jìn)行編碼，第二字段對(duì)監(jiān)控中心向子系統(tǒng)發(fā)出的控制消息如啟動(dòng)、停止系統(tǒng)指令等進(jìn)行編碼，第三字段對(duì)注冊(cè)消息、心跳消息等系統(tǒng)功能輔助性消息進(jìn)行編碼，第四字段用于表示系統(tǒng)間的確認(rèn)消息。
對(duì)于第一字段，由于不同的子系統(tǒng)與監(jiān)控中心需要傳輸?shù)陌踩珨?shù)據(jù)和信息差別較大，需要對(duì)每個(gè)不同的子系統(tǒng)進(jìn)行具體的編碼，此時(shí)一個(gè)編碼只針對(duì)該特定的子系統(tǒng)與監(jiān)控中心通信時(shí)有意義，對(duì)于其它子系統(tǒng)可能代表不同的含義。本實(shí)施例只對(duì)共性的消息編碼進(jìn)行示例性定義。

1000請(qǐng)求消息接收端傳送一個(gè)文件至消息發(fā)送端，此時(shí)在messagebody中應(yīng)該指明請(qǐng)求的文件完整路徑。

√1001文件開始傳輸√1010文件傳輸過(guò)程中√1011文件傳輸結(jié)束注如果文件在一條消息中就能夠傳輸完畢，那么直接編碼為1011。第二字段標(biāo)識(shí)監(jiān)控中心向子系統(tǒng)發(fā)出的控制消息

1000啟動(dòng)監(jiān)控子系統(tǒng)

1001關(guān)閉監(jiān)控子系統(tǒng)

1010定時(shí)監(jiān)控子系統(tǒng)定時(shí)控制消息中需要將定時(shí)的時(shí)間通知子系統(tǒng)，其message body的格式如下


1011重啟監(jiān)控子系統(tǒng)

1101密鑰更新消息控制臺(tái)通過(guò)該消息對(duì)子系統(tǒng)的密鑰進(jìn)行更新，新的密鑰通過(guò)舊密鑰進(jìn)行加密后存放在該消息的messagebody部分中發(fā)送。格式如下

子系統(tǒng)在接收到該消息并成功更新密鑰后，應(yīng)發(fā)送一條確認(rèn)消息對(duì)密鑰更新消息進(jìn)行確認(rèn)。
第三字段對(duì)系統(tǒng)功能性消息進(jìn)行編碼，主要的消息種類如下

0001Report消息當(dāng)消息處理中出現(xiàn)問題時(shí)，通過(guò)Report消息通知相應(yīng)消息的發(fā)送端，并指明問題的原因，供發(fā)送端處理。其消息格式如下

16位的Type編碼指明Report消息的類型，指示出現(xiàn)Report的大致原因，Description字段詳細(xì)指出出現(xiàn)問題的原因，供日志使用。目前Type的編碼有如下類型


0010注冊(cè)消息子系統(tǒng)啟動(dòng)后主動(dòng)向監(jiān)控中心發(fā)起TCP連接，建立連接后，通過(guò)注冊(cè)消息向監(jiān)控中心注冊(cè)自己的系統(tǒng)類型、服務(wù)地址和端口號(hào)。其格式如下

監(jiān)控中心接收到消息后，為子系統(tǒng)產(chǎn)生編碼，并通過(guò)確認(rèn)消息通知該子系統(tǒng)。
系統(tǒng)類型是一個(gè)8bit的編碼，監(jiān)控中心通過(guò)該編碼識(shí)別各子系統(tǒng)的類型并對(duì)不同類型的系統(tǒng)進(jìn)行相應(yīng)的管理。目前系統(tǒng)平臺(tái)中支持的系統(tǒng)類型編碼如下


8bit的系統(tǒng)類型編碼使得平臺(tái)可以支持的系統(tǒng)類型有256種，保證平臺(tái)的可擴(kuò)展性。

0011心跳消息為保障平臺(tái)的健壯性，各子系統(tǒng)通過(guò)定期向控制臺(tái)發(fā)送心跳消息來(lái)告知平臺(tái)自己的狀態(tài)，如果控制臺(tái)一段時(shí)間內(nèi)沒有接收到子系統(tǒng)的心跳消息，它應(yīng)主動(dòng)發(fā)送0100存活查詢消息，如果子系統(tǒng)不能應(yīng)答，表示子系統(tǒng)出現(xiàn)故障，這樣控制臺(tái)可以及時(shí)發(fā)現(xiàn)子系統(tǒng)的故障并采取措施。
心跳消息的消息格式與子系統(tǒng)的注冊(cè)消息相同，當(dāng)控制臺(tái)接收到子系統(tǒng)的心跳消息時(shí)，它更新其維護(hù)的子系統(tǒng)編碼、服務(wù)地址映射表，并更新該表的“最近更新時(shí)間”字段。

0100存活查詢消息如果控制臺(tái)一段時(shí)間內(nèi)沒有接收到子系統(tǒng)的心跳消息，它通過(guò)該類型消息對(duì)子系統(tǒng)的存活狀態(tài)進(jìn)行查詢，子系統(tǒng)如果接收到應(yīng)該發(fā)送心跳消息進(jìn)行應(yīng)答，如果子系統(tǒng)不能應(yīng)答，表示子系統(tǒng)出現(xiàn)故障。
該消息的messagebody部分為空。
第四字段表示系統(tǒng)間的確認(rèn)消息

1000監(jiān)控中心向監(jiān)控子系統(tǒng)發(fā)送確認(rèn)信息。

0100監(jiān)控子系統(tǒng)向監(jiān)控中心發(fā)送確認(rèn)信息。

0010子系統(tǒng)間的確認(rèn)消息。
在確認(rèn)消息中，消息的AckID字段指出所確認(rèn)的消息號(hào)；一般情況下該消息的bodylength為0，只有一種情況例外監(jiān)控中心接收到子系統(tǒng)的注冊(cè)消息后在對(duì)其確認(rèn)的消息中包含一個(gè)16位的子系統(tǒng)編碼。
由于監(jiān)控中心需要同時(shí)管理控制多個(gè)子系統(tǒng)，為了便于消息在不同系統(tǒng)之間路由，對(duì)不同的系統(tǒng)進(jìn)行統(tǒng)一編碼，使得在消息中可以利用系統(tǒng)編碼進(jìn)行方便的消息路由。系統(tǒng)在運(yùn)行期間維護(hù)系統(tǒng)的編碼表，由傳輸映射部分完成系統(tǒng)編碼到實(shí)際通訊地址(IP地址、端口號(hào))的映射。
系統(tǒng)編碼為一個(gè)16位的數(shù)字，監(jiān)控中心固定編碼為0x0001，其它的子系統(tǒng)按照其向監(jiān)控中心注冊(cè)的順序依次遞增編碼。監(jiān)控中心接收到子系統(tǒng)的注冊(cè)消息后為子系統(tǒng)產(chǎn)生編碼并向子系統(tǒng)發(fā)送一個(gè)確認(rèn)消息，通知其此次運(yùn)行期間的編碼，監(jiān)控子系統(tǒng)保存此編碼并用于后期的通訊。消息中的SrcSysID和DstSysID分別表示消息的發(fā)送源系統(tǒng)和目標(biāo)系統(tǒng)的編碼。
以下將結(jié)合圖2和消息格式舉例，具體說(shuō)明本發(fā)明所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議如何以原語(yǔ)和參數(shù)完成平臺(tái)的通信。
在監(jiān)控中心或監(jiān)控子系統(tǒng)，應(yīng)用需要向其它系統(tǒng)發(fā)送一條消息以完成某項(xiàng)任務(wù)時(shí)，利用發(fā)送消息(SendMsg)原語(yǔ)將要發(fā)送的消息類型、消息載荷和目標(biāo)系統(tǒng)的編碼(DstSysID)傳遞給調(diào)度器。調(diào)度器利用準(zhǔn)備消息(PrepareMsg)原語(yǔ)請(qǐng)求消息處理子系統(tǒng)準(zhǔn)備一條消息，此時(shí)消息處理器準(zhǔn)備好消息的除加密、鑒別參數(shù)外的頭部字段以及原始的載荷(body)字段部分，并利用產(chǎn)生鑒別信息(GenerateSecInfo)原語(yǔ)調(diào)用安全子系統(tǒng)內(nèi)處理消息的安全部分信息。安全處理子系統(tǒng)根據(jù)消息處理器傳來(lái)的消息頭部的標(biāo)識(shí)(Flags)字段中的加密標(biāo)識(shí)(privateFlag)和授權(quán)標(biāo)識(shí)(authFlag)標(biāo)識(shí)位的設(shè)置情況對(duì)消息進(jìn)行加密和鑒別處理，并填充授權(quán)參數(shù)(AuthParam)和加密參數(shù)(PrivateParam)字段，然后將準(zhǔn)備好的消息返回給消息處理子系統(tǒng)，此后調(diào)度器的準(zhǔn)備消息(PrepareMsg)原語(yǔ)從消息處理器返回，并將準(zhǔn)備好的發(fā)送消息映射到傳輸映射組件進(jìn)行發(fā)送。
當(dāng)接收消息時(shí)，傳輸服務(wù)將接收到的消息和地址信息，傳遞給調(diào)度器，調(diào)度器利用分析(AnalyzeElements)原語(yǔ)調(diào)用消息處理器對(duì)消息進(jìn)行分析，恢復(fù)出不同的字段。消息處理器通過(guò)驗(yàn)證鑒別信息(ParseSecInfo)原語(yǔ)調(diào)用安全處理子系統(tǒng)對(duì)鑒別信息進(jìn)行驗(yàn)證，對(duì)加密的信息進(jìn)行解密操作，同時(shí)根據(jù)訪問控制規(guī)則決定該消息的請(qǐng)求是否被允許。如果鑒別信息不正確，說(shuō)明消息已經(jīng)被更改，此時(shí)應(yīng)丟棄該消息并產(chǎn)生一個(gè)報(bào)告(Report)消息說(shuō)明該情況。如果消息的請(qǐng)求不能被允許，應(yīng)丟棄該消息并產(chǎn)生一個(gè)報(bào)告(Report)消息說(shuō)明該情況。調(diào)度器將完全恢復(fù)后的消息通過(guò)處理消息(ProcessMsg)原語(yǔ)傳遞給接收該消息的應(yīng)用進(jìn)行處理。
參考圖3，網(wǎng)絡(luò)安全綜合管理平臺(tái)運(yùn)行過(guò)程如下監(jiān)控中心首先啟動(dòng)，并監(jiān)聽8668端口，監(jiān)控子系統(tǒng)運(yùn)行時(shí)自動(dòng)連接監(jiān)控中心并發(fā)送連接請(qǐng)求和注冊(cè)消息進(jìn)行注冊(cè)。為便于與監(jiān)控中心的交互，子系統(tǒng)也創(chuàng)建一個(gè)監(jiān)聽套接字，監(jiān)聽8669端口。
監(jiān)控中心收到子系統(tǒng)的連接請(qǐng)求，產(chǎn)生新的CIDStarClientSocket并把CIDStarClientSocket加入到套接字(socket)鏈表中。
為了能夠同時(shí)同多個(gè)子系統(tǒng)進(jìn)行通信控制，監(jiān)控中心系統(tǒng)運(yùn)行中需要維護(hù)一張運(yùn)行時(shí)各監(jiān)控子系統(tǒng)信息鏈表，該表中保存不同子系統(tǒng)在監(jiān)控中心系統(tǒng)運(yùn)行期間的一些重要狀態(tài)信息。該表的結(jié)構(gòu)如下 在鏈表中，保存了每個(gè)子系統(tǒng)的系統(tǒng)編碼(SysID)、網(wǎng)絡(luò)地址(IPAdress)、監(jiān)聽端口(ListenPort)、系統(tǒng)類型(SysType)、授權(quán)碼(AuthKey)、私鑰(PrivateKey)、更新時(shí)間(UpdateTime)等信息。對(duì)于監(jiān)控中心的通信用套接字(socket)實(shí)現(xiàn)方式，從CScoket類派生CIDStarListenSocket和CIDStarClientSocket類，并分別重新定義其OnAccept和OnReceive函數(shù)，分別映射到CmainFrame類的OnAccept和OnReceive函數(shù)。這里的Csocket、CIDStarListenSocket、CIDStarClientSocket和CmainFrame都是VC開發(fā)庫(kù)中的功能類，OnAccept和OnReceive是這些類的內(nèi)建事件。作為現(xiàn)有技術(shù)，在此就不贅述了。
監(jiān)控中心系統(tǒng)應(yīng)定時(shí)檢查該鏈表中的結(jié)點(diǎn)，如果最新更新時(shí)間(UpdateTime)超過(guò)設(shè)定值，如600秒，則應(yīng)該對(duì)相應(yīng)的監(jiān)控子系統(tǒng)發(fā)送存活探查消息進(jìn)行狀態(tài)查詢，以及時(shí)發(fā)現(xiàn)出現(xiàn)故障的子系統(tǒng)。
在與監(jiān)控子系統(tǒng)建立連接時(shí)，監(jiān)控系統(tǒng)在產(chǎn)生新的CIDStarClientSocket之后，還響應(yīng)ClientSocket的OnReceive事件，為該監(jiān)控子系統(tǒng)產(chǎn)生唯一的系統(tǒng)編碼(SysID)、建立運(yùn)行時(shí)信息鏈表，并更新系統(tǒng)監(jiān)控視圖。監(jiān)控中心在返回子系統(tǒng)的確認(rèn)消息中通知給監(jiān)控子系統(tǒng)這個(gè)系統(tǒng)編碼(SysID)。監(jiān)控子系統(tǒng)接收到系統(tǒng)編碼(SysID)后，經(jīng)判斷是注冊(cè)消息，將用全局變量記錄SysID的值，用于后續(xù)通信。如果監(jiān)控中心收到來(lái)自應(yīng)用層的控制命令，則先判斷是否為文件傳輸請(qǐng)求，如果不是，則直接向子系統(tǒng)發(fā)出該控制命令。子系統(tǒng)接收到控制命令后，判斷出不是注冊(cè)消息，則進(jìn)行相應(yīng)的解析和處理。如果監(jiān)控中心的應(yīng)用上層發(fā)來(lái)的是文件傳輸命令，則監(jiān)控中心先向子系統(tǒng)發(fā)出建立連接請(qǐng)求，并發(fā)出文件傳輸請(qǐng)求。這時(shí)，監(jiān)控子系統(tǒng)通過(guò)不斷地監(jiān)聽8669端口，獲知監(jiān)控中心發(fā)來(lái)的連接請(qǐng)求和文件傳輸請(qǐng)求，則接收請(qǐng)求，并向監(jiān)控中心發(fā)出發(fā)送消息(SendMsg)原語(yǔ)的消息。監(jiān)控中心應(yīng)用層發(fā)送消息已接收(RecvMsg)原語(yǔ)，并結(jié)束流程。
為了保證通信的安全，在本發(fā)明所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議中引入鑒別和加密的機(jī)制，監(jiān)控中心和各子系統(tǒng)同時(shí)維護(hù)兩個(gè)密鑰加密密鑰和鑒別密鑰。利用HMAC消息鑒別碼機(jī)制進(jìn)行用戶鑒別，利用MD5作為底層散列函數(shù)使用一個(gè)128位鑒別密鑰作為HMAC算法的輸入，并截取128位輸出中的96位作為消息鑒別碼，該鑒別碼放在傳輸消息的AthenParam字段中。
本發(fā)明所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議使用DES算法的CBC模式進(jìn)行加密，以一個(gè)16字節(jié)的密鑰作為輸入，該密鑰的前8個(gè)字節(jié)用作DES密鑰(忽略掉每個(gè)字節(jié)的最低位)，后8個(gè)字節(jié)用作pre-IV，每次加密時(shí)隨機(jī)產(chǎn)生一個(gè)8字節(jié)的salt值，將salt值與pre-IV按位進(jìn)行異或操作產(chǎn)生IV，以確保每次加密時(shí)使用不同的IV。Salt值放在消息的PrivateParam中，以使得接收實(shí)體能夠計(jì)算出正確的IV。密鑰的計(jì)算和更新都是利用RFC2274中定義的算法將用戶的口令映射成16字節(jié)的密鑰，以避免在系統(tǒng)的固定存儲(chǔ)介質(zhì)中儲(chǔ)存密鑰，造成風(fēng)險(xiǎn)。
對(duì)于本技術(shù)領(lǐng)域的一般技術(shù)人員來(lái)說(shuō)，在不背離本發(fā)明所述方法的精神和權(quán)利要求范圍的情況下對(duì)它進(jìn)行的各種顯而易見的改變都在發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1.一種分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，應(yīng)用于具有監(jiān)控中心和多數(shù)個(gè)監(jiān)控子系統(tǒng)的分布式網(wǎng)絡(luò)中，監(jiān)控中心控制各監(jiān)控子系統(tǒng)的協(xié)調(diào)，監(jiān)控中心和監(jiān)控子系統(tǒng)都包括調(diào)度器、消息處理子系統(tǒng)、安全子系統(tǒng)、監(jiān)控信息更新/獲取子系統(tǒng)、上層應(yīng)用和傳輸映射組件，其特征在于1)發(fā)送消息時(shí)，應(yīng)用將要發(fā)送的消息類型、消息載荷和目標(biāo)系統(tǒng)的編碼傳遞給調(diào)度器，調(diào)度器請(qǐng)求消息處理子系統(tǒng)準(zhǔn)備一條消息，消息處理器準(zhǔn)備好消息的除加密、鑒別參數(shù)外的頭部字段以及原始的載荷body字段部分，并調(diào)用安全子系統(tǒng)，安全子系統(tǒng)根據(jù)消息處理器傳來(lái)的消息相關(guān)字段對(duì)消息進(jìn)行加密和鑒別處理，將加密和鑒別參數(shù)返給消息處理子系統(tǒng)，消息處理子系統(tǒng)準(zhǔn)備好消息發(fā)送給調(diào)度器，所述調(diào)度器將準(zhǔn)備好的發(fā)送消息映射到傳輸映射組件進(jìn)行發(fā)送；2)當(dāng)接收消息時(shí)，傳輸映射組件將接收到的消息和地址信息傳遞給調(diào)度器，調(diào)度器調(diào)用消息處理器對(duì)消息進(jìn)行分析，恢復(fù)出不同的字段，消息處理器調(diào)用安全處理子系統(tǒng)對(duì)鑒別信息進(jìn)行驗(yàn)證，對(duì)加密的信息進(jìn)行解密操作，消息處理器將恢復(fù)后的消息返回給調(diào)度器，調(diào)度器傳遞給需要接收該消息的應(yīng)用。
2.如權(quán)利要求1所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該安全處理子系統(tǒng)根據(jù)消息處理器傳來(lái)的消息頭部的標(biāo)識(shí)字段中的加密標(biāo)識(shí)和授權(quán)標(biāo)識(shí)標(biāo)識(shí)位的設(shè)置情況對(duì)消息進(jìn)行加密和鑒別處理。
3.如權(quán)利要求2所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該安全處理子系統(tǒng)進(jìn)一步填充授權(quán)參數(shù)和加密參數(shù)字段，然后將準(zhǔn)備好的消息返回給消息處理子系統(tǒng)。
4.如權(quán)利要求1所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該消息類型包括至少三字段，第一字段對(duì)監(jiān)控中心與不同子系統(tǒng)間的數(shù)據(jù)傳輸類型進(jìn)行編碼，第二字段對(duì)監(jiān)控中心向子系統(tǒng)發(fā)出的控制消息進(jìn)行編碼，第三字段用于表示系統(tǒng)間的確認(rèn)消息。
5.如權(quán)利要求1所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于監(jiān)控中心對(duì)不同的子系統(tǒng)進(jìn)行統(tǒng)一編碼，在運(yùn)行期間維護(hù)子系統(tǒng)的編碼表，由傳輸映射組件完成系統(tǒng)編碼到實(shí)際通訊地址的映射。
6.如權(quán)利要求1所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該監(jiān)控中心維護(hù)一張運(yùn)行時(shí)各監(jiān)控子系統(tǒng)信息鏈表，該各監(jiān)控子系統(tǒng)信息鏈表保存了每個(gè)子系統(tǒng)的系統(tǒng)編碼、網(wǎng)絡(luò)地址、監(jiān)聽端口、系統(tǒng)類型。
7.如權(quán)利要求6所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該監(jiān)控中心監(jiān)聽子系統(tǒng)的連接請(qǐng)求，將發(fā)出連接請(qǐng)求的子系統(tǒng)加入鏈表。
8.如權(quán)利要求7所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該監(jiān)控中心接收到子系統(tǒng)的注冊(cè)消息，為該子系統(tǒng)產(chǎn)生唯一的系統(tǒng)編碼，并用確認(rèn)消息將該系統(tǒng)編碼發(fā)回該子系統(tǒng)。
9.如權(quán)利要求8所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該監(jiān)控子系統(tǒng)收到確認(rèn)消息后，判斷是否是注冊(cè)確認(rèn)消息，如果是，則用全局變量記錄系統(tǒng)編碼的值，在后續(xù)通信中使用該系統(tǒng)編碼；判斷不是注冊(cè)確認(rèn)消息，則解析該消息并進(jìn)行處理。
10.如權(quán)利要求8所述的分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議，其特征在于該監(jiān)控中心響應(yīng)應(yīng)用層的控制命令，判斷是否是文件傳輸命令，如果是，則與特定的監(jiān)控子系統(tǒng)建立一個(gè)新的連接并向監(jiān)控子系統(tǒng)發(fā)出連接請(qǐng)求和文件請(qǐng)求；如果不是文件傳輸命令，則在監(jiān)控子系統(tǒng)注冊(cè)時(shí)已經(jīng)建立的連接上向監(jiān)控子系統(tǒng)發(fā)送相應(yīng)的消息。
全文摘要
本發(fā)明公開了一種分布式網(wǎng)絡(luò)安全監(jiān)管協(xié)議。該協(xié)議在發(fā)送消息時(shí)，將要發(fā)送的有關(guān)信息傳遞給調(diào)度器，消息處理器準(zhǔn)備好消息的頭部字段以及原始的載荷字段部分，并調(diào)用安全子系統(tǒng)，安全子系統(tǒng)對(duì)消息進(jìn)行加密和鑒別處理，將加密和鑒別參數(shù)返給消息處理子系統(tǒng)，消息處理子系統(tǒng)準(zhǔn)備好消息發(fā)送給調(diào)度器，調(diào)度器將準(zhǔn)備好的發(fā)送消息映射到傳輸映射組件進(jìn)行發(fā)送；當(dāng)接收消息時(shí)，傳輸映射組件將接收到的消息和地址信息傳遞給調(diào)度器，調(diào)度器調(diào)用消息處理器對(duì)消息進(jìn)行分析，恢復(fù)出不同的字段，消息處理器調(diào)用安全處理子系統(tǒng)對(duì)鑒別信息進(jìn)行驗(yàn)證，對(duì)加密的信息進(jìn)行解密操作，消息處理器將恢復(fù)后的消息返回給調(diào)度器，調(diào)度器傳遞給需要接收該消息的應(yīng)用。
文檔編號(hào)H04L29/06GK1694451SQ20041010295
公開日2005年11月9日 申請(qǐng)日期2004年12月30日 優(yōu)先權(quán)日2004年10月29日
發(fā)明者懷進(jìn)鵬, 劉利軍, 張文燚, 劉旭東, 劉慶云, 楊超峰, 張玉東 申請(qǐng)人:北京航空航天大學(xué)