[發明專利]基于形式化方法的網絡安全策略驗證系統及方法

有效

• 申請號: 201410161013.7
• 申請日: 2014-04-21
• 公開（公告）號: CN103905464B
• 公開（公告）日: 2017-03-01
• 發明（設計）人: 朱輝;李暉;趙興文;任海;蘇膽;張云
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 陜西電子工業專利中心61205
• 代理人: 田文英,王品華

技術領域

本發明屬于信息技術領域，更進一步涉及信息技術技術領域中的一種基于形式化方法的網絡安全策略驗證系統及方法。本發明可用于在不同網絡環境下，驗證終端設備上采用的安全策略的一致性和完整性，并根據網絡管理員的需求對相應的設備進行特定的配置。

背景技術

網絡安全策略是網絡安全管理和網絡正常運行的基礎，是與網絡安全相關的行為規則描述。網絡安全策略在實際應用中通常表現為一系列約束規則集合，為了保證安全策略的有效實施，安全規則集合自身需滿足一致性和完備性的要求。其一致性是指對于同一會話操作，不同的約束規則不會產生對立的結果；完備性是指網絡中所有的主、客體和操作在策略規則集中都有對應的約束條目。

馬建麗、劉欣然發表的論文“信息系統安全功能符合性檢驗關鍵技術研究”（北京郵電大學信息安全2010博士學位論文）中構建了一個多層安全功能符合性檢驗框架，并給出一種確定檢驗要素集合的方法，但是該框架和方法只能在信息系統安全功能符合性檢驗中用于安全策略的符合性、有效性和一致性驗證。程亮、馮登國在“基于模型檢測的安全操作系統驗證方法研究”（中國科學技術大學信息安全2009博士學位論文）中提出了一種基于模型檢測的SELinux策略分析方法，以驗證策略實施與安全需求之間的一致性問題，利用UML類圖和狀態機圖在系統動、靜態建模方面的表達能力，設計了一種新的安全模型UML描述方式。但都存在如下不足之處：

（1）適用設備的單一性。現存安全策略驗證方法中都是只針對某一種設備或者系統，沒有給出一種通用的安全策略驗證系統和方法。

（2）能夠驗證的安全策略的局限性。現存的安全策略驗證方法能夠驗證的安全策略都只能適用于有明確主體、客體、動作的策略，對其他的比如簡單的是否允許遠程登錄、安裝的殺毒軟件病毒庫是否過期等安全策略沒有進行描述和驗證。

（3）對使用者專業性要求高。現存的安全策略驗證方法要求使用者具有相關方面的基礎，需要了解其中的原理和細節才能進行使用。

發明內容

本發明的目的在于針對現有網絡設備管理系統的不足，提出一種基于形式化方法的安全策略驗證系統及方法，以實現對常用設備的安全策略和各種類型的安全策略的驗證，并提供統一的安全配置方法，減少對管理者專業技能的要求。

實現本發明目的的思路是，對于個人計算機或者服務器，按照自定義的主機信息、用戶信息、文件信息、應用程序信息、系統進程信息格式獲取相關信息，對其進行安全性檢測，如果存在網絡上公布的漏洞的特征，按照自定義的漏洞信息格式在本地漏洞庫中進行存儲，并在Internet上搜索相關的補丁進行修復，如果修復成功，將用到的補丁按照自定義的補丁信息格式在本地補丁庫中進行存儲，并添加到日志。對于路由器、交換機和防火墻，按照自定義的路由信息格式、交換機信息格式和防火墻信息格式獲取相關信息。將以上獲取的信息，轉換成自定義的安全策略格式，作為后續進行安全策略驗證的基礎。

本發明的系統，包括策略驗證和發布中心、終端設備、數據庫服務器，其中：

策略驗證和發布中心，包括信息收集模塊、漏洞檢測與修復模塊、策略形式化模塊、策略一致性驗證模塊、策略完備性驗證模塊、策略比較模塊、策略分發模塊。

信息收集模塊，用于按照自定義的文件格式，從終端設備中提取系統信息、應用程序信息、進程信息、路由器信息、交換機信息、防火墻信息，存入數據庫服務器的終端設備信息庫中。

漏洞檢測與修復模塊，用于以從主機或者服務器提取的系統信息、應用程序信息、進程信息為索引，在互聯網上的漏洞信息庫查找與被檢測主機或者服務器有關的漏洞信息，將存在的漏洞信息存入數據庫服務器的本地漏洞庫中，然后以檢測出的漏洞為索引，在互聯網上搜索并下載與該漏洞相關的補丁，存入數據庫服務器的本地補丁庫中，并用這些補丁對該漏洞進行修復，最后在數據庫服務器的系統日志中添加漏洞是否成功修復的記錄。

策略形式化模塊，用于根據從終端設備收集的信息生成自定義的策略格式，供后續進行安全策略的驗證。

策略一致性驗證模塊，用于對安全策略進行沖突檢測，并對檢測出的沖突進行消除。

策略完備性驗證模塊，用于對安全策略進行完備性驗證，找出安全策略存在的缺陷，并對其進行修復。

策略比較模塊，用于將安全策略庫中存儲的安全策略與管理員期望的安全策略進行比較，對存在差異的策略進行重新配置。

策略分發模塊，用于根據終端設備的類型，將安全策略轉換成相應的配置命令，發給終端設備執行，對終端設備的安全策略進行重新配置。