[發明專利]面向可重構服務承載網的安全管控模型建立方法

在審

• 申請號: 201410405711.7
• 申請日: 2014-08-18
• 公開（公告）號: CN104144166A
• 公開（公告）日: 2014-11-12
• 發明（設計）人: 劉文芬;胡學先;魏江宏;郜燕;代致永
• 申請（專利權）人: 中國人民解放軍信息工程大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 張海青

(一)、技術領域：本發明涉及一種安全管控模型建立方法，特別是涉及一種面向可重構服務承載網的安全管控模型建立方法。

(二)、背景技術：互聯網以IP分組交換和資源統計復用為基礎，提供“盡力而為”的網絡服務，并已成為最普遍的通信載體。然而，隨著信息產業的高速發展，這種僵化的網絡體系結構已難以承載日益多樣化的網絡業務。為解決傳統網絡對融合、泛在、質量、安全、擴展、可管可控、移動等的支持能力低下的問題，可重構信息通信基礎網絡體系結構被提出。在該網絡中，依據網絡服務提供能力以及用戶的需求和業務特性，通過構建專用虛擬網絡，即可重構服務承載網，來提供網絡服務，從而使網絡具有高度靈活的服務能力。

可重構服務承載網面向一類業務特殊的業務提供服務，具有動態性和可伸縮性，這在解決了有限的網絡基礎能力與豐富的上層應用之間的矛盾的同時，也帶來了嚴峻的安全問題，首先，在這種開放、動態和不確定的可重構服務承載網環境下，無法保證來源于不同自治域、可能陌生的實體之間協作活動的安全性和高效性，此外，實體行為不可信會導致網絡服務可用性降低和安全風險增長；其次，基于密碼技術的安全機制主要是針對不知道合法用戶秘密信息的外部攻擊者所實施的攻擊，而不能防范擁有秘密信息的內部用戶在被控制或者是配置錯誤的情況下實施的內部攻擊，更無法防范由系統漏洞、病毒木馬帶來的網絡安全風險。

(三)、發明內容：

本發明要解決的技術問題是：提供一種面向可重構服務承載網的安全管控模型建立方法，該方法實時保證了可重構服務承載網上的數據安全、行為可信、風險可控。

本發明的技術方案：

一種面向可重構服務承載網的安全管控模型建立方法，其特征是：

步驟1.定義安全管控模型中的參量：可重構服務承載網、安全元服務、安全元能力、網絡安全設備和信任因子；

步驟2.可重構服務承載網狀態信息采集：采用資源管理器對可重構服務承載網進行實時監控，并獲取網絡當前的狀態信息，對于任意一個可重構服務承載網n，記其在當前時刻t的狀態信息為S_n(t)；

步驟3.可重構服務承載網安全狀態評估：依據狀態信息S_n(t)對該可重構服務承載網n所有節點的可信性、所面臨的風險進行評估，并推導出整個可重構服務承載網的可信性程度和所處的風險狀態；

步驟4.依據步驟3的評估結果和上層管控需求C_n(t)，在策略庫的指導下生成可重構服務承載網n當前時刻在數據安全、行為可信、風險控制三個方面的管控需求；

步驟5.依據步驟4所生成的可重構服務承載網n當前時刻的管控需求，分別生成可重構服務承載網n網絡上節點安全元能力的配置方案、網絡安全設備的配置方案和信任激勵策略，最后得到整個可重構服務承載網n的候選安全管控方案集合；

步驟6.管控方案優化：在滿足管控需求的前提下，選擇出實施成本最低的安全管控方案；

步驟7.資源控制器將所得到的最優管控方案在可重構服務承載網n上進行部署。

步驟1中的參量定義如下：

可重構服務承載網：可重構服務承載網是在可重構通信基礎網的基礎上建立的，用N表示所有的可重構服務承載網的集合，用無向圖G_n＝(V_n，E_n)表示該集合中的任一可重構服務承載網n的網絡拓撲，其中V_n表示可重構服務承載網n的虛擬節點集合，V是整個可重構通信基礎網中的節點集合，E_n表示可重構服務承載網n的鏈路集合；

安全元服務：安全元服務是保證可重構服務承載網上數據安全傳輸所需要的服務，安全元服務含有s種不同的類型，用S＝{1，2，...，s}表示安全元服務的所有類型的集合；

安全元能力：安全元能力是實現安全元服務的密碼算法，不同類型的安全元服務對應不同的安全元能力，不同的安全元能力具有不同的等級，用L＝{0，1，2，...，l}表示安全元能力的所有等級的集合，設i∈S、j∈L，u_i，j表示實現了第i類安全元服務的一種j等級安全元能力，用表τ_i，j示實施該安全元能力u_i，j所帶來的計算耗時；所有安全元能力用下述s×(l+1)的矩陣U表示：