安全准入方法及系统.pdf

《安全准入方法及系统.pdf》由会员分享，可在线阅读，更多相关《安全准入方法及系统.pdf（10页珍藏版）》请在专利查询网上搜索。

1、(10)申请公布号 CN 102833107 A (43)申请公布日 2012.12.19 C N 1 0 2 8 3 3 1 0 7 A *CN102833107A* (21)申请号 201210313824.5 (22)申请日 2012.08.29 H04L 12/24(2006.01) H04L 29/06(2006.01) (71)申请人北京神州绿盟信息安全科技股份有 限公司 地址 100089 北京市海淀区北洼路4号益泰 大厦3层 申请人北京神州绿盟科技有限公司 (72)发明人吴昊 (74)专利代理机构北京同立钧成知识产权代理 有限公司 11205 代理人刘芳 (54) 发明名称 安。

2、全准入方法及系统 (57) 摘要 本发明提供了一种安全准入方法及系统，安 全准入装置监控网络中设备的状态，当所述网络 中有设备的状态发生变更时，获取发生变更的设 备的设备信息；安全准入装置根据所述设备信 息，对所述发生变更的设备进行安全核查，获取安 全核查结果；安全准入装置根据所述安全核查结 果及预设风险评估算法对所述发生变更的设备进 行风险评估，获取风险评估结果；安全准入装置 根据所述风险评估结果确定是否准许所述发生变 更的设备接入所述网络。本发明提供的安全准入 方法可以提高新设备接入或者设备状态变更时网 络的安全性。 (51)Int.Cl. 权利要求书2页 说明书6页 附图1页 (19)中。

3、华人民共和国国家知识产权局 (12)发明专利申请 权利要求书 2 页 说明书 6 页 附图 1 页 1/2页 2 1.一种安全准入方法，其特征在于，包括： 安全准入装置监控网络中设备的状态，当所述网络中有设备的状态发生变更时，获取 发生变更的设备的设备信息； 所述安全准入装置根据所述设备信息，对所述发生变更的设备进行安全核查，获取安 全核查结果； 所述安全准入装置根据所述安全核查结果及预设风险评估算法对所述发生变更的设 备进行风险评估，获取风险评估结果； 所述安全准入装置根据所述风险评估结果确定是否准许所述发生变更的设备接入所 述网络。 2.根据权利要求1所述的安全准入方法，其特征在于，所述网。

4、络包括内部网络和外部 网络； 所述安全准入装置根据所述风险评估结果确定是否准许所述发生变更的设备接入所 述网络包括： 所述安全准入装置将所述风险评估结果和预设的至少一个安全等级的准入规则进行 比较，确定所述发生变更的设备可接入的网络类型，所述准入规则包括所述准入规则的安 全等级和准许接入的网络类型； 所述安全准入装置控制所述发生变更的设备接入与所述确定出的可接入的网络类型 对应的网络。 3.根据权利要求2所述的安全准入方法，其特征在于，所述安全准入装置根据所述安 全核查结果及预设风险评估算法对所述发生变更的设备进行风险评估，获取风险评估结果 包括： 所述安全准入装置将所述网络的整体风险系数和所。

5、述安全核查结果作为所述预设风 险评估算法的输入参数，计算所述发生变更的设备在所述网络中的风险系数，确定所述发 生变更的设备的安全等级。 4.根据权利要求3所述的安全准入方法，其特征在于，所述预设的至少一个安全等级 的准入规则包括： A级：允许设备接入，管理和/或访问所述内部网络及所述外部网络； B级：允许设备接入，访问所述内部网络及所述外部网络； C级：允许设备接入，访问所述外部网络； D级：禁止设备接入任何网络。 5.根据权利要求4所述的安全准入方法，其特征在于，在所述发生变更的设备接入所 述网络之后包括： 根据所述网络中各设备在所述网络中的风险系数，以及所述网络中各安全等级对应的 比重，更。

6、新所述网络的整体风险系数； 将更新后的所述网络的整体风险系数及所述网络中各安全等级对应的比重发送给安 全状态评估服务器，以评估当前网络的安全状态。 6.一种安全准入系统，其特征在于，包括安全准入装置，所述安全准入装置包括： 设备状态监控模块，监控网络中设备的状态，当所述网络中有设备的状态发生变更时， 获取发生变更的设备的设备信息； 权 利 要 求 书CN 102833107 A 2/2页 3 安全核查模块，用于根据所述设备信息，对所述发生变更的设备进行安全核查，获取安 全核查结果； 风险评估模块，用于根据所述安全核查结果及预设风险评估算法对所述发生变更的设 备进行风险评估，获取风险评估结果； 。

7、设备准入控制模块，用于根据所述风险评估结果确定是否准许所述发生变更的设备接 入所述网络。 7.根据权利要求6所述的安全准入系统，其特征在于，所述网络包括内部网络和外部 网络； 所述设备准入控制模块包括： 设备风险系数计算单元，用于将所述风险评估结果和预设的至少一个安全等级的准入 规则进行比较，确定所述发生变更的设备可接入的网络类型，所述准入规则包括所述准入 规则的安全等级和准许接入的网络类型； 设备风险系数发送单元，用于控制所述发生变更的设备接入与所述确定出的可接入的 网络类型对应的网络。 8.根据权利要求7所述的安全准入系统，其特征在于，所述风险评估模块具体用于：根 据所述网络的整体风险系数。

8、和所述安全核查结果作为所述预设风险评估算法的输入参数， 计算所述发生变更的设备在所述网络中的风险系数，确定所述发生变更的设备的安全等 级。 9.根据权利要求8所述的安全准入系统，其特征在于， 所述预设的至少一个安全等级的准入规则包括： A级：允许设备接入，管理和/或访问所述内部网络及所述外部网络； B级：允许设备接入，访问所述内部网络及所述外部网络； C级：允许设备接入，访问所述外部网络； D级：禁止设备接入任何网络。 10.根据权利要求9所述的安全准入系统，其特征在于，所述安全准入系统还包括与所 述安全准入装置通信的安全状态评估服务器； 所述安全准入装置还包括：网络风险系数计算模块，用于在所。

9、述发生变更的设备接入 所述网络之后，根据所述网络中各设备在所述网络中的风险系数，以及所述网络中各安全 等级对应的比重，更新所述发生变更的设备接入到所述网络后所述网络的风险系数； 网络风险系数发送模块，用于将更新后的所述网络的整体风险系数及所述网络中各安 全等级对应的比重发送给所述安全状态评估服务器，以评估当前网络的安全状态；其中， 所述安全状态评估服务器，用于接收更新后的所述网络的整体风险系数及所述网络中 各安全等级对应的比重，并根据所述网络的整体风险系数及网络中各安全等级对应的比重 评估当前网络的安全状态。 权 利 要 求 书CN 102833107 A 1/6页 4 安全准入方法及系统 技。

10、术领域 0001 本发明实施例涉及网络安全技术，尤其涉及一种安全准入方法及系统。 背景技术 0002 随着网络技术的发展和全球信息化程度的不断加深，加强信息安全工作迫在眉 睫。尤其在商业网络、军事保密网络和某些特定的网络环境中，对于是否允许某台设备接入 整个网络环境的准入尤为重要。现有技术针对此问题，通常是直接将新设备接入网络或网 络中的设备发生变更，在后续使用中通过打补丁等方式慢慢完善该设备的安全性。 0003 上述方案为当前大部分厂家采用的方案，但使用此方案，在新设备接入或者设备 状态变更时可能为当前网络造成的巨大安全隐患，降低整个网络的安全性。 发明内容 0004 本发明目的在于提供一种。

11、安全准入方法及系统，用以提高新设备接入或者设备状 态变更时网络的安全性。 0005 本发明提供了一种安全准入方法，包括： 0006 安全准入装置监控网络中设备的状态，当所述网络中有设备的状态发生变更时， 获取发生变更的设备的设备信息； 0007 所述安全准入装置根据所述设备信息，对所述发生变更的设备进行安全核查，获 取安全核查结果； 0008 所述安全准入装置根据所述安全核查结果及预设风险评估算法对所述发生变更 的设备进行风险评估，获取风险评估结果； 0009 所述安全准入装置根据所述风险评估结果确定是否准许所述发生变更的设备接 入所述网络。 0010 本发明还提供了一种安全准入系统，包括安全。

12、准入装置，所述安全准入装置包 括： 0011 设备状态监控模块，监控网络中设备的状态，当所述网络中有设备的状态发生变 更时，获取发生变更的设备的设备信息； 0012 安全核查模块，用于根据所述设备信息，对所述发生变更的设备进行安全核查，获 取安全核查结果；风险评估模块，用于根据所述安全核查结果及预设风险评估算法对所述 发生变更的设备进行风险评估，获取风险评估结果； 0013 设备准入控制模块，用于根据所述风险评估结果确定是否准许所述发生变更的设 备接入所述网络。 0014 本发明提供一种安全准入方法及系统，通过安全准入装置对网络中设备的状态进 行监控，当所述网络中有设备的状态发生变更时，获取发。

13、生变更的设备的设备信息，并根据 所述设备信息，对所述发生变更的设备进行安全核查，获取安全核查结果；然后再根据所述 安全核查结果及预设风险评估算法对所述发生变更的设备进行风险评估，获取风险评估结 说 明 书CN 102833107 A 2/6页 5 果；最后根据所述风险评估结果确定是否准许所述发生变更的设备接入所述网络，本发明 提供的安全准入方法可以提高新设备接入或者设备状态变更时网络的安全性。 附图说明 0015 图1为本发明一实施例提供的一种安全准入方法的流程示意图； 0016 图2为本发明又一实施例提供的一种安全准入系统中安全准入装置的结构示意 图。 具体实施方式 0017 图1为本发明实。

14、施例一提供的安全准入方法的流程示意图，如图1所示，本发明实 施例提供了一种安全准入方法，包括： 0018 步骤10：安全准入装置监控网络中设备的状态，当网络中有设备的状态发生变更 时，获取发生变更的设备的设备信息。主要根据网络中设备的信息变动，例如新设备的接 入，已有设备的卸载，已有设备状态更新，定期检查多种形式的变动。具体的设备信息为设 备的一些常规性信息，例如设备的CPU运行处理速度，设备的内存大小等。本实施例的监控 对象是受控网络内部的设备，具体来说就是局域网内部的设备。 0019 步骤20：安全准入装置根据设备信息，对发生变更的设备进行安全核查，获取安 全核查结果。具体的安全核查结果包。

15、括受控网络/终端中的服务、系统、应用、配置等可能 不安全的漏洞或者弱点信息。对于设备的安全核查可以通过各种扫描器进行，例如RSAS （Remote Security Assessment System，远程安全评估系统），BVS（BenchmarkVerification System，安全配置核查系统）等，上述安全核查用扫描器可以提供对单个设备的具体安全信 息的核查。 0020 步骤30：安全准入装置根据安全核查结果及预设风险评估算法对发生变更的设 备进行风险评估，获取风险评估结果。具体的风险评估算法与预设的场景信息有关，预设风 险评估算法可以为安全准入装置将网络的整体风险系数和安全核查结果。

16、作为预设风险评 估算法的输入参数，计算发生变更的设备在网络中的风险系数，确定发生变更的设备的安 全等级。 0021 例如：核算网络中某个设备的风险系数为P(E|U i )=f(X 1 X n ;P(E)。其中，X 1 X n 为BVS/RSAS针对发生变更的设备的各项指标所作出的评估结果；P(E)为整个网络在该设 备加入之前的风险系数，在网络初始化时该系数设置为1，并且整个网络默认为安全网络， 此系数随着网络中设备的添加/移除/变更不断发生变化；U i 为某台具体设备的具体标识， U为危险等级的集合U=A,B,C。 0022 而具体的f函数与预设的场景信息有关，主要由受控网络对数据安全和安全行。

17、为 的具体要求不同来进行设定，例如同一个操作或者漏洞在银行网络是安全的、低危险的，可 以暂缓处理或者不处理，但是在研究所或者军队网络中可能就是危险的，以此类推。所以f 函数需要根据具体的预设场景信息，对具体的操作或者漏洞进行设定，例如SNMP（Simple Network Management Protocol，简单网络管理协议）的traceback，一种路径回溯的漏洞， 该种类型的漏洞在某些场景可忽略不计，认为其属于对网络无影响的漏洞，但是在有的场 景下该漏洞也会引发安全问题。再例如WEB服务器响应访问者的请求并返回WEB服务器的 说 明 书CN 102833107 A 3/6页 6 一些系。

18、统信息，这在绝大多数情况下属于正常响应，但是这种响应也可能为攻击者的入侵 提供一些信息，从而造成安全隐患。所以本实施例主要针对不同的场景信息，具体的网络环 境对于安全性的要求的不同，对f函数进行设计，使其满足当前网络对场景信息的要求。 0023 例如，一种对f函数的可选设计方式为：根据预设的场景信息，并结合当前网络的 整体风险情况，如果在网络整体风险较高，则忽略某些危险系数极低的漏洞如traceback， 场景信息预设时根据当前网络总体风险系数的高低对不同级别的漏洞分情况有侧重点进 行处理，最后汇总统计信息，使用加权平均的方式算出设备的风险系数。对于算法的具体描 述如下： 0024 首先：根据。

19、当前最新的漏洞库信息及安全专家对特定网络的特定漏洞做出安全等 级区分，安全等级使用单个漏洞的先验风险系数表征。对于特定的漏洞在当前网络环境中 的具体安全等级区分举例为：当前网络环境为某个单位的内部网络，内部网络资源受控，但 是其中的某些终端有访问外网的需求，根据漏洞库信息及安全专家对安全等级分为如4个 等级，分别为A级、B级、C级，D级，其中漏洞的危险系数随着级数的增加而增大，D级为当前 网络环境无法接受的漏洞类型；例如当前网络环境中，漏洞traceback的危险系数为B级， 而漏洞WEB服务器响应访问者的请求并返回WEB服务器的危险系数为D级。 0025 具体的，预设的至少一个安全等级的准入。

20、规则包括： 0026 A级：允许设备接入，管理和/或访问内部网络及外部网络； 0027 B级：允许设备接入，访问内部网络及外部网络； 0028 C级：允许设备接入，访问外部网络； 0029 D级：禁止设备接入任何网络。 0030 在上述漏洞类型分类的基础上，第一步：扫描本设备的安全核查结果，统计其中不 被本网络环境所接受的漏洞信息，即单个漏洞的风险系数为D级的漏洞。如果此类漏洞数 目=1，则本设备的风险系数： 0031 其中X i 为不被本网络所接受的某个漏洞，n为此种漏洞的总 数。显然此种情况下此设备不被允许接入到本网络环境中，若无此漏洞，则转入下一步。 0032 第二步：将已有漏洞信息按照。

21、不同的危险类型分为m类，如系统漏洞，软件 漏洞，危险配置等，其中整个网络的危险系数P(E)作为参数参与运算，根据本网络 环境，对个类型的漏洞的设置相应的权值 m ，其中此时本设备的风险系数 其中n为第m类漏洞的总数。 0033 步骤40：安全准入装置根据风险评估结果确定是否准许发生变更的设备接入网 络以及接入的类型。 0034 本实施例提供一种安全准入方法，通过安全准入装置对网络中设备的状态进行监 控，当网络中有设备的状态发生变更时，获取发生变更的设备的设备信息，并根据设备信 息，对发生变更的设备进行安全核查，获取安全核查结果；然后再根据安全核查结果及预设 风险评估算法对发生变更的设备进行风险。

22、评估，获取风险评估结果；最后根据风险评估结 果确定是否准许发生变更的设备接入网络以及接入的类型，本发明提供的安全准入方法可 说 明 书CN 102833107 A 4/6页 7 以提高新设备接入或者设备状态变更时网络的安全性。 0035 对接入网络的设备动态进行安全评估，并以此为依据结合具体网络环境决定是否 允许其接入网络。此方案现有技术中的方案相比，具有适用范围广，实时性强，安全系数高 和可操控性强的优点。 0036 作为上述技术方案的优选，网络包括内部网络和外部网络； 0037 步骤40：安全准入装置根据风险评估结果确定是否准许发生变更的设备接入网 络以及接入的类型包括： 0038 安全准。

23、入装置将风险评估结果和预设的至少一个安全等级的准入规则进行比较， 确定发生变更的设备可接入的网络类型，准入规则包括准入规则的安全等级和准许接入的 网络类型； 0039 安全准入装置控制发生变更的设备接入与确定出的可接入的网络类型对应的网 络。 0040 具体的，风险评估结果P(E|U i )确定之后，根据本网络环境的预设准入规则中的安 全等级A、B、C、D级设备所需要达到的阈值，确定是否准许发生变更的设备接入网络以及接 入的类型。 0041 P(E|U i )=A级的下限阈值时，允许设备接入，管理和/或访问内部网络及外部网 络； 0042 B级的下限阈值时P(E|U i )=A级的下限阈值时，。

24、允许设备接入，访问内部网络及 外部网络； 0043 C级的下限阈值时P(E|U i )=B级的下限阈值时，允许设备接入，访问外部网络； 0044 P(E|U i )=C级的下限阈值时，禁止设备接入任何网络。 0045 例如：风险系数P(E|U i )在0.1-0.3之间对应安全等级A，0.4-0.6之间对应安全 等级B。 0046 作为上述技术方案的优选，在发生变更的设备接入网络之后包括： 0047 根据网络中各设备在网络中的风险系数，以及网络中各安全等级对应的比重，更 新网络的整体风险系数； 0048 将更新后的网络的整体风险系数及网络中各安全等级对应的比重发送安全状态 评估服务器，以评估当。

25、前网络的安全状态。 0049 网络的整体风险系数P(E)在公式如下： 0050 其中参数P(U)是U组在整个网络中所占的比重， 即安全等级对应的比重，例如U=A、B、C、D。 0051 具体的计算设备权重P(U i |E)，计算公式是： 0052 其中，P(E|A)，P(E|B)和 P(E|C)为三个安全分组的预估性风险指标，由系统管理员通过对安全专家的查询，设定三 个安全分组在系统中总体的安全系数。 0053 P(A),P(B),P(C)分别代表三种安全类型的设备在当前网络类型中所占的比重， P(A)+P(B)+P(C)=1。 说 明 书CN 102833107 A 5/6页 8 0054 。

26、计算完毕将计算的结果发送安全状态评估服务器。 0055 图2为本发明又一实施例提供的一种安全准入系统中安全准入装置的结构示意 图，如图2所示，一种安全准入系统，包括安全准入装置，所述安全准入装置包括： 0056 设备状态监控模块100，监控网络中设备的状态，当网络中有设备的状态发生变更 时，获取发生变更的设备的设备信息； 0057 安全核查模块200，用于根据设备信息，对发生变更的设备进行安全核查，获取安 全核查结果； 0058 风险评估模块300，用于根据安全核查结果及预设风险评估算法对发生变更的设 备进行风险评估，获取风险评估结果； 0059 设备准入控制模块400，用于根据风险评估结果确。

27、定是否准许发生变更的设备接 入网络以及接入的类型。 0060 本实施例提供一种安全准入装置，通过设备状态监控模块对网络中设备的状态进 行监控，当网络中有设备的状态发生变更时，获取发生变更的设备的设备信息，安全核查模 块根据设备信息，对发生变更的设备进行安全核查，获取安全核查结果；风险评估模块根据 安全核查结果及预设风险评估算法对发生变更的设备进行风险评估，获取风险评估结果； 设备准入控制模块根据风险评估结果确定是否准许发生变更的设备接入网络以及接入的 类型，本发明提供的安全准入装置可以提高新设备接入或者设备状态变更时网络的安全 性。 0061 本实施例提供的安全准入装置的具体实施过程与上述实施。

28、例中安全准入方法的 过程相同，在此不再赘述。 0062 作为上述技术方案的优选，网络包括内部网络和外部网络； 0063 设备准入控制模块400包括： 0064 设备风险系数计算单元，用于将风险评估结果和预设的至少一个安全等级的准入 规则进行比较，确定发生变更的设备可接入的网络类型，准入规则包括准入规则的安全等 级和准许接入的网络类型； 0065 设备风险系数发送单元，用于控制发生变更的设备接入与确定出的可接入的网络 类型对应的网络。 0066 作为上述技术方案的优选，风险评估模块300具体用于： 0067 根据网络的整体风险系数和安全核查结果作为预设风险评估算法的输入参数，计 算发生变更的设备。

29、在网络中的风险系数，确定发生变更的设备的安全等级。 0068 作为上述技术方案的优选，预设的至少一个安全等级的准入规则包括： 0069 A级：允许设备接入，管理和/或访问内部网络及外部网络； 0070 B级：允许设备接入，访问内部网络及外部网络； 0071 C级：允许设备接入，访问外部网络； 0072 D级：禁止设备接入任何网络。 0073 作为上述技术方案的优选，安全准入系统还包括与所述安全准入装置通信的安全 状态评估服务器； 0074 安全准入装置还包括还包括： 0075 网络风险系数计算模块，用于在发生变更的设备接入网络之后，根据网络中各设 说 明 书CN 102833107 A 6/6。

30、页 9 备在网络中的风险系数，以及网络中各安全等级对应的比重，更新网络的整体风险系数； 0076 网络风险系数发送模块，用于将更新后的网络的整体风险系数及网络中各安全等 级对应的比重发送给安全状态评估服务器，以评估当前网络的安全状态；其中， 0077 安全状态评估服务器，用于接收更新后的网络的整体风险系数及网络中各安全等 级对应的比重，并根据所述网络的整体风险系数及网络中各安全等级对应的比重评估当前 网络的安全状态。 0078 本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通 过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程 序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟 或者光盘等各种可以存储程序代码的介质。 0079 最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制； 尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其 依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征 进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技 术方案的范围。 说 明 书CN 102833107 A 1/1页 10 图1 图2 说 明 书 附 图CN 102833107 A 10 。