專利名稱：可信網(wǎng)絡(luò)核心設(shè)備的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)網(wǎng)絡(luò)、網(wǎng)絡(luò)通信、網(wǎng)絡(luò)通信規(guī)范、計(jì)算機(jī)程序，尤其涉及一套實(shí)現(xiàn)可信性接入過(guò)程和可信性監(jiān)控的網(wǎng)絡(luò)核心設(shè)備。
背景技術(shù)：
在當(dāng)今的信息時(shí)代，計(jì)算機(jī)網(wǎng)絡(luò)的應(yīng)用無(wú)所不在，因而網(wǎng)絡(luò)的安全性也就成為網(wǎng)絡(luò)應(yīng)用最關(guān)鍵的課題之一。然而，基于TCP/IP架構(gòu)的網(wǎng)絡(luò)是一個(gè)開(kāi)放和自由的網(wǎng)絡(luò)，各種網(wǎng)絡(luò)攻擊和信息竊取行為的層出不窮，導(dǎo)致人們對(duì)網(wǎng)絡(luò)的不信任。為了解決人們對(duì)網(wǎng)絡(luò)的依賴性日益增加與安全服務(wù)能力有限之間的矛盾，研究人員提出了可信網(wǎng)絡(luò)，在實(shí)現(xiàn)在保障信息私密性、完整性和可用性的同時(shí)，保障網(wǎng)絡(luò)系統(tǒng)的安全性、可生存性和可控性。
可信網(wǎng)絡(luò)是在容錯(cuò)計(jì)算和可信計(jì)算的基礎(chǔ)上發(fā)展起來(lái)的。目前國(guó)際上可信計(jì)算技術(shù)的權(quán)威機(jī)構(gòu)是可信計(jì)算組織(Trusted Computing Group，TCG)，該組織從一開(kāi)始就致力于可信賴終端及相關(guān)技術(shù)標(biāo)準(zhǔn)的制定，但是隨著網(wǎng)絡(luò)的發(fā)展，可信終端面臨著各種網(wǎng)絡(luò)攻擊行為的強(qiáng)有力挑戰(zhàn)，針對(duì)這個(gè)問(wèn)題TCG專門制定了一個(gè)基于可信計(jì)算技術(shù)的網(wǎng)絡(luò)連接規(guī)范(Trusted Network Connect，TNC)。
TNC包括了開(kāi)放的終端完整性架構(gòu)和一套確保安全互操作的規(guī)范。TNC的目標(biāo)就是保護(hù)終端和網(wǎng)絡(luò)，但是目前，其重點(diǎn)放在接入的控制上，初衷是通過(guò)對(duì)用戶接入時(shí)的認(rèn)證和安全性檢驗(yàn)將攻擊隔離在網(wǎng)絡(luò)之外，這雖然極大地減少了被動(dòng)攻擊(受害用戶在不知情的情況下被黑客利用對(duì)網(wǎng)絡(luò)進(jìn)行破壞)的發(fā)生，但仍然無(wú)法避免主動(dòng)攻擊(即黑客主動(dòng)發(fā)起的攻擊，既然他要進(jìn)行破壞必然會(huì)想辦法通過(guò)接入時(shí)的認(rèn)證)的發(fā)生，因?yàn)榫W(wǎng)絡(luò)目前面臨的巨大問(wèn)題就是復(fù)雜的攻擊形式，如病毒、蠕蟲(chóng)、后門、惡意攻擊等，且傳播速度快。這些攻擊形式僅依靠人力是無(wú)法戰(zhàn)勝的，亟需新型的網(wǎng)絡(luò)防御框架和技術(shù)出現(xiàn)。
本發(fā)明提供的一套實(shí)現(xiàn)可信網(wǎng)絡(luò)的核心設(shè)備，不僅能夠?qū)尚沤K端接入網(wǎng)絡(luò)進(jìn)行控制，還能夠?qū)K端接入網(wǎng)絡(luò)后的行為和網(wǎng)絡(luò)狀態(tài)進(jìn)行監(jiān)控和管理，完成對(duì)移動(dòng)用戶進(jìn)行遠(yuǎn)程校驗(yàn)，攻擊溯源、抑制和恢復(fù)，同時(shí)為兼容不同廠商的可信計(jì)算平臺(tái)、接入控制設(shè)備、認(rèn)證設(shè)備和網(wǎng)絡(luò)安全設(shè)備提供了基礎(chǔ)。該設(shè)備以事件管理為主線，輔以有效的管理、監(jiān)視與響應(yīng)功能，為用戶構(gòu)建動(dòng)態(tài)的可信網(wǎng)絡(luò)管理體系。

發(fā)明內(nèi)容
本發(fā)明提供了一套實(shí)現(xiàn)可信網(wǎng)絡(luò)的核心設(shè)備。該套核心設(shè)備包括包括可信接入控制器(TAC)、可信信息處理器(TIP)和網(wǎng)絡(luò)行為監(jiān)控器(NBM)。通過(guò)該套核心設(shè)備以及它們之間的通信規(guī)范能夠?qū)崿F(xiàn)在不改變現(xiàn)有網(wǎng)絡(luò)的體系結(jié)構(gòu)和傳輸協(xié)議的前提下，對(duì)用戶接入進(jìn)行控制及接入后的行為進(jìn)行監(jiān)控和管理。本發(fā)明按照附圖1所示的體系結(jié)構(gòu)進(jìn)行部署，可信接入控制器按照附圖2的所示工作流程進(jìn)行工作，可信信息處理器按照附圖3所示的工作流程進(jìn)行工作，網(wǎng)絡(luò)行為監(jiān)控器按照附圖4所示的工作流程進(jìn)行工作。


圖1核心設(shè)備體系結(jié)構(gòu)。
圖2可信接入控制器工作流程圖。
圖3可信信息處理器工作流程圖。
圖4網(wǎng)絡(luò)行為監(jiān)控器工作流程圖。
具體實(shí)施例方式
硬件組成●兩套完整的主機(jī)系統(tǒng)，包括處理器、存儲(chǔ)器、網(wǎng)絡(luò)適配器●網(wǎng)絡(luò)處理器(NP)●高速數(shù)據(jù)采集卡軟件組成●操作系統(tǒng)●網(wǎng)絡(luò)行為監(jiān)控器中網(wǎng)絡(luò)異常校驗(yàn)?zāi)K●網(wǎng)絡(luò)行為監(jiān)控器中NBM服務(wù)器模塊●可信信息處理器中完整性測(cè)量校驗(yàn)?zāi)K●可信信息處理器中TIP服務(wù)器模塊●可信接入控制器中數(shù)據(jù)轉(zhuǎn)發(fā)、映射以及策略執(zhí)行模塊●NBM客戶端模塊●運(yùn)行狀態(tài)信息收集模塊在具備上述硬件設(shè)備后，網(wǎng)絡(luò)處理器作為可信性接入控制器的硬件基礎(chǔ)，加載如下模塊數(shù)據(jù)轉(zhuǎn)發(fā)、映射以及策略執(zhí)行模塊，其工作流程如圖2所示。
一臺(tái)主機(jī)系統(tǒng)作可信信息處理器的硬件基礎(chǔ)，操作系統(tǒng)加載如下模塊完整性測(cè)量校驗(yàn)?zāi)K、TIP服務(wù)器模塊，其工作流程如圖3所示。
另一臺(tái)主機(jī)系統(tǒng)可以作為網(wǎng)絡(luò)行為監(jiān)控器的硬件基礎(chǔ)，操作系統(tǒng)加載如下模塊網(wǎng)絡(luò)異常校驗(yàn)?zāi)K、NBM服務(wù)器模塊，其工作流程如圖4所示。
附圖1所示的是該套實(shí)現(xiàn)可信網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備體系結(jié)構(gòu)和功能分布，其中，可信接入控制器、可信信息處理器、網(wǎng)絡(luò)行為監(jiān)控器是實(shí)現(xiàn)可信網(wǎng)絡(luò)的三種設(shè)備，這三種設(shè)備被連接在一個(gè)自治域中，用來(lái)實(shí)現(xiàn)本域內(nèi)可信網(wǎng)絡(luò)連接；“自治域”有多個(gè)工作域組成；“工作域A”和“工作域B”是本域內(nèi)眾多工作域的示意，每個(gè)工作域的端系統(tǒng)都直接或間接接到可信接入控制器上；“Internet”是泛指廣域網(wǎng)。
附圖2所示的是可信接入控制器工作流程，其中，“通信數(shù)據(jù)流“是指用戶對(duì)本域外主機(jī)通信的數(shù)據(jù)流，對(duì)于這個(gè)數(shù)據(jù)流，可信接入控制器需要經(jīng)過(guò)判斷才能確定是否讓數(shù)據(jù)流通過(guò)；“決策消息”是來(lái)自于可信信息處理器或是網(wǎng)絡(luò)行為監(jiān)控器，是可信接入控制器能夠執(zhí)行的決策結(jié)果；“接入控制消息”是用戶要求接入可信網(wǎng)絡(luò)的請(qǐng)求消息；“消息接收”是一個(gè)處理過(guò)程，負(fù)責(zé)接收通信數(shù)據(jù)流、決策消息、接入控制消息，再調(diào)用不同的處理過(guò)程來(lái)處理不同的消息；“提取相關(guān)信息”是一個(gè)處理過(guò)程，對(duì)通信數(shù)據(jù)流中的數(shù)據(jù)包的包頭相關(guān)信息進(jìn)行提?。弧跋嚓P(guān)數(shù)據(jù)”是提取相關(guān)信息處理過(guò)程的處理結(jié)果；“訪問(wèn)策略表”是一個(gè)處理過(guò)程，根據(jù)相關(guān)數(shù)據(jù)從策略表中找到適合相關(guān)數(shù)據(jù)的策略；“相關(guān)數(shù)據(jù)和策略”作為對(duì)外通信判斷的輸入；“對(duì)外通信判斷”是一個(gè)處理過(guò)程，根據(jù)相關(guān)數(shù)據(jù)和策略來(lái)判斷是否允許該用戶對(duì)外通信；“拒絕通信”和“允許通信”是對(duì)外通信判斷的兩種結(jié)果；“丟棄數(shù)據(jù)包”和“轉(zhuǎn)發(fā)數(shù)據(jù)報(bào)”是分別用于把數(shù)據(jù)包丟棄、清理空間和把數(shù)據(jù)包轉(zhuǎn)發(fā)出去；“轉(zhuǎn)發(fā)”是對(duì)用戶的接入控制請(qǐng)求消息轉(zhuǎn)發(fā)給可信信息處理器；“決策結(jié)果分析”對(duì)決策消息進(jìn)行處理，生成決策結(jié)果；“允許接入”和“拒絕接入”是兩個(gè)決策結(jié)果；“構(gòu)造新策略”是根據(jù)決策結(jié)果，分別構(gòu)造新的策略；“新策略”是構(gòu)造新策略處理過(guò)程生成的新策略；“加入策略表”是把新生成的策略加入策略表。
附圖3所示的是可信信息處理器的工作流程，其中，“其它TIP消息”指的是來(lái)自其它可信信息處理器的安全消息；“接入請(qǐng)求”是來(lái)自用戶的，要求接入可信網(wǎng)絡(luò)的請(qǐng)求，這個(gè)請(qǐng)求是由可信接入控制器轉(zhuǎn)發(fā)過(guò)來(lái)的；“消息接收”是負(fù)責(zé)接收以上兩種消息，在調(diào)用不同的處理過(guò)程來(lái)處理不同的消息；“信息處理”是處理來(lái)自其它可信信息處理器的安全消息；“處理結(jié)果”信息處理過(guò)程的輸出，作為決策過(guò)程的輸入；“端主機(jī)完整性信息獲取”是用于獲取要求接入網(wǎng)絡(luò)的端主機(jī)的完整性信息；“端主機(jī)完整性信息”是從端主機(jī)獲取的數(shù)據(jù)；“可信性接入評(píng)估”是用于評(píng)估端主機(jī)的可信性；“評(píng)估結(jié)果”是可信性接入評(píng)估過(guò)程的輸出，作為決策的輸入；“決策”是對(duì)評(píng)估結(jié)果和處理結(jié)果進(jìn)行決策；“形成決策結(jié)果”是對(duì)決策的結(jié)果形成可信接入控制器能夠執(zhí)行的形式，即決策結(jié)果；“決策結(jié)果”是形成決策結(jié)果過(guò)程的輸出；“決策結(jié)果發(fā)送TAC”是將決策結(jié)果發(fā)送給可信接入控制器。
附圖4所示的是網(wǎng)絡(luò)行為監(jiān)控器工作流程，其中，“流量數(shù)據(jù)采集”是用于采集網(wǎng)絡(luò)行為監(jiān)控器所能監(jiān)控的域內(nèi)的網(wǎng)絡(luò)流量數(shù)據(jù)；“流量數(shù)據(jù)”是流量數(shù)據(jù)采集的結(jié)果；“數(shù)據(jù)分析”對(duì)流量采集的數(shù)據(jù)進(jìn)行分析；“分析結(jié)果”主要是異常的結(jié)果數(shù)據(jù)，用于安全問(wèn)題的發(fā)現(xiàn)；“安全問(wèn)題發(fā)現(xiàn)”是對(duì)數(shù)據(jù)分析結(jié)果進(jìn)行處理，以便發(fā)現(xiàn)安全問(wèn)題，“否”是指沒(méi)有發(fā)現(xiàn)安全問(wèn)題，可以繼續(xù)進(jìn)行數(shù)據(jù)采集，“是”是指發(fā)現(xiàn)了安全問(wèn)題，要對(duì)這個(gè)安全問(wèn)題進(jìn)行處理；“終端網(wǎng)絡(luò)狀況信息獲取”是用于獲取被發(fā)現(xiàn)有安全問(wèn)題的端主機(jī)的網(wǎng)絡(luò)狀況；“分析數(shù)據(jù)”是指安全問(wèn)題發(fā)現(xiàn)的結(jié)果數(shù)據(jù)和終端網(wǎng)絡(luò)狀況數(shù)據(jù)，作為對(duì)比分析的輸入；“對(duì)比分析”對(duì)分析數(shù)據(jù)進(jìn)行對(duì)比處理；”分析結(jié)果”是對(duì)比分析的處理結(jié)果；“安全問(wèn)題確定”根據(jù)分析結(jié)果確定是否有安全問(wèn)題，“否”是指沒(méi)有安全問(wèn)題，可以繼續(xù)進(jìn)行數(shù)據(jù)采集，“是”是指有安全問(wèn)題，進(jìn)行安全問(wèn)題處理；“向其它NBM發(fā)送消息”是如果發(fā)現(xiàn)安全問(wèn)題，向相鄰網(wǎng)絡(luò)行為監(jiān)控器發(fā)送安全消息；“形成決策結(jié)果”根據(jù)前面的處理結(jié)果形成決策結(jié)果；“決策結(jié)果”是一個(gè)決策，可以由可信接入控制器執(zhí)行；“向TAC發(fā)送決策結(jié)果”是向可信接入控制器發(fā)送一個(gè)決策；“NBM消息”是來(lái)自其它網(wǎng)絡(luò)行為監(jiān)控器的安全消息；“接收其它NBM消息”是接受來(lái)自其它網(wǎng)絡(luò)行為監(jiān)控器的安全消息，調(diào)用相應(yīng)功能處理它；“消息內(nèi)容”是指來(lái)自其它網(wǎng)絡(luò)行為監(jiān)控器的安全消息的具體內(nèi)容，作為消息分析處理過(guò)程的輸入；“消息分析”對(duì)安全消息進(jìn)行分析生成分析結(jié)果；“分析結(jié)果”是指是否有安全問(wèn)題的結(jié)論；“本地安全問(wèn)題”是調(diào)用不同的過(guò)程來(lái)處理是否有安全問(wèn)題，“是”是指有安全問(wèn)題，則轉(zhuǎn)向終端網(wǎng)絡(luò)狀況信息獲取處理過(guò)程，“否”是指沒(méi)有安全問(wèn)題，則轉(zhuǎn)向其它NBM發(fā)送消息和形成決策結(jié)果等處理過(guò)程。
該套可信網(wǎng)絡(luò)核心設(shè)備能夠?qū)崿F(xiàn)可信網(wǎng)絡(luò)，它們之間相互協(xié)作完成兩個(gè)主要的工作1.可信性接入過(guò)程，完整工作流程如下a)可信終端在每次啟動(dòng)時(shí)，TIP客戶端向TIP服務(wù)器發(fā)送連接請(qǐng)求，
這個(gè)請(qǐng)求通過(guò)TAC專發(fā)給TIP服務(wù)器；b)TIP服務(wù)器將這個(gè)請(qǐng)求信息轉(zhuǎn)交給完整信測(cè)量校驗(yàn)器；c)完整性測(cè)量校驗(yàn)器處理后向TIP服務(wù)器發(fā)送消息，要求可信終端提供自己的完整性測(cè)量信息，TIP服務(wù)器通過(guò)TAC向可信終端轉(zhuǎn)發(fā)這個(gè)消息；d)TIP客戶端接受這個(gè)消息，將這個(gè)消息轉(zhuǎn)交給完整性測(cè)量信息收集器；e)完整性測(cè)量信息收集器收集可信終端的完整性測(cè)量信息，交給TIP客戶端，由TIP客戶端通過(guò)TAC向完整信測(cè)量校驗(yàn)器轉(zhuǎn)發(fā)這些信息；f)完整信測(cè)量校驗(yàn)器處理完可信終端的完整性測(cè)量信息，經(jīng)由TIP服務(wù)器向TAC發(fā)送決策結(jié)果；g)TAC接受這個(gè)決策結(jié)果，形成策略，加入自己的策略庫(kù)；h)移動(dòng)可信終端在其它的域內(nèi)要接入網(wǎng)絡(luò)，可以通過(guò)域內(nèi)的TIP服務(wù)器與家鄉(xiāng)TIP服務(wù)器通信來(lái)完成可信性接入。
2.可信性安全監(jiān)控和管理，完整工作流程如下a)網(wǎng)絡(luò)行為監(jiān)控器通過(guò)高速數(shù)據(jù)采集卡采集網(wǎng)絡(luò)流量數(shù)據(jù)，由網(wǎng)絡(luò)異常校驗(yàn)器來(lái)分析本域內(nèi)主機(jī)當(dāng)前的網(wǎng)絡(luò)安全狀態(tài)；b)如果發(fā)現(xiàn)本域內(nèi)的終端被攻擊，網(wǎng)絡(luò)異常校驗(yàn)器就會(huì)通過(guò)NBM服務(wù)器向相鄰的NBM發(fā)送攻擊源的信息；同時(shí)向TAC發(fā)送決策消息，阻斷一切來(lái)自該攻擊源的數(shù)據(jù)包；c)如果發(fā)現(xiàn)本域內(nèi)有終端對(duì)外的攻擊，首先會(huì)向TAC發(fā)送決策結(jié)果，阻斷TAC的一切對(duì)外通信；網(wǎng)絡(luò)異常校驗(yàn)器經(jīng)由NBM服務(wù)器向可信終端發(fā)送消息，要求提供終端的運(yùn)行狀態(tài)信息，這個(gè)消息由TAC轉(zhuǎn)發(fā)；終端上的NBM客戶端接收這個(gè)消息，將這個(gè)消息轉(zhuǎn)給運(yùn)行狀態(tài)信息收集器；運(yùn)行狀態(tài)信息收集器收集到當(dāng)前終端的運(yùn)行狀態(tài)信息，NBM客戶端將這些信息發(fā)送給NBM服務(wù)器；NBM服務(wù)器將這些消息交給網(wǎng)絡(luò)異常校驗(yàn)器；網(wǎng)絡(luò)異常校驗(yàn)器進(jìn)行對(duì)比分析來(lái)決定是否本域內(nèi)的這個(gè)終端發(fā)起的攻擊，形成決策結(jié)果，并將這個(gè)決策結(jié)果發(fā)送給TAC去執(zhí)行；d)如果NBM接收到相鄰NBM報(bào)告的攻擊源信息，首先檢查該攻擊源消息在最近一段時(shí)間內(nèi)是否已經(jīng)接到，如果已經(jīng)接到，就不進(jìn)行內(nèi)處理，否則就檢查該攻擊源是否在本域內(nèi)；如果在本域內(nèi)，則按步驟3)進(jìn)行處理；如果不在本域內(nèi)，則先形成決策結(jié)果，阻斷一切來(lái)自攻擊源的數(shù)據(jù)，由TAC來(lái)執(zhí)行該決策，同時(shí)向其它相鄰的NBM發(fā)送這個(gè)關(guān)于攻擊源的消息。
權(quán)利要求
1一套實(shí)現(xiàn)可信網(wǎng)絡(luò)的核心設(shè)備，用于實(shí)現(xiàn)用戶的可信性接入以及接入之后對(duì)用戶行為進(jìn)行監(jiān)控，該套核心設(shè)備包括可信接入控制器(TAC)、可信信息處理器(TIP)和網(wǎng)絡(luò)行為監(jiān)控器(NBM)?？尚沤尤肟刂破髋c其它可信接入控制器相連，與本域內(nèi)的可信信息處理器和網(wǎng)絡(luò)行為控制器相通信；可信信息處理器與其它可信信息處理器以及本域內(nèi)的可信接入控制器通信；網(wǎng)絡(luò)行為監(jiān)控器與其它網(wǎng)絡(luò)行為監(jiān)控器以及本域內(nèi)的可信接入控制器通信。
2根據(jù)權(quán)利要求1所述可信網(wǎng)絡(luò)的核心設(shè)備，其特征在于可信接入控制器是決策結(jié)果的執(zhí)行部件，最終由它來(lái)執(zhí)行主機(jī)是否能接入網(wǎng)絡(luò)和對(duì)外通信的決定。除此之外，可信接入控制器還進(jìn)行正常的數(shù)據(jù)流傳輸。
3根據(jù)權(quán)利要求1所述可信網(wǎng)絡(luò)的核心設(shè)備，其特征在于可信信息處理器全面支持TNC連接規(guī)范，與可信接入控制器一起完成可信性接入過(guò)程；與其它可信接入控制器進(jìn)行通信，支持移動(dòng)網(wǎng)絡(luò)設(shè)備移動(dòng)過(guò)程中可信性接入。
4根據(jù)權(quán)利要求1所述可信網(wǎng)絡(luò)的核心設(shè)備，其特征在于網(wǎng)絡(luò)行為監(jiān)控器結(jié)合流量數(shù)據(jù)分析結(jié)果和當(dāng)前網(wǎng)絡(luò)狀況，判斷當(dāng)前網(wǎng)絡(luò)或本域內(nèi)主機(jī)是否有異常情況，如果有異常情況，生成異常情況結(jié)果；與有異常情況的主機(jī)通信要求收集主機(jī)網(wǎng)絡(luò)流量數(shù)據(jù)信息，再與之前得到的異常情況進(jìn)行比較得出決策結(jié)果；把決策結(jié)果發(fā)送給可信接入控制器。
全文摘要
本發(fā)明提供了一套實(shí)現(xiàn)可信網(wǎng)絡(luò)的核心設(shè)備。該套核心設(shè)備包括可信接入控制器(Trusted Access Control，TAC)、可信信息處理器(Trusted Information Processor，TIP)和網(wǎng)絡(luò)行為監(jiān)控器(Network Behavior Monitor，NBM)。該套核心設(shè)備，能夠?qū)崿F(xiàn)在不改變現(xiàn)有網(wǎng)絡(luò)的體系結(jié)構(gòu)和傳輸協(xié)議的前提下，對(duì)用戶接入進(jìn)行控制及接入后的行為進(jìn)行監(jiān)控。同時(shí)，該套設(shè)備還可以對(duì)移動(dòng)用戶進(jìn)行遠(yuǎn)程校驗(yàn)，設(shè)備之間相互協(xié)作來(lái)完成攻擊溯源、抑制和恢復(fù)，并為上述功能提供標(biāo)準(zhǔn)接口，從而為兼容不同廠商的可信計(jì)算平臺(tái)、接入控制設(shè)備、認(rèn)證設(shè)備和網(wǎng)絡(luò)安全設(shè)備提供了基礎(chǔ)。
文檔編號(hào)H04L29/06GK1960286SQ20061013768
公開(kāi)日2007年5月9日 申請(qǐng)日期2006年11月6日 優(yōu)先權(quán)日2006年11月6日
發(fā)明者劉衍珩 申請(qǐng)人:吉林大學(xué)