[發明專利]一種基于可信網絡連接的動態跨域訪問控制系統及方法

有效

• 申請號: 201510095793.4
• 申請日: 2015-03-04
• 公開（公告）號: CN104618395B
• 公開（公告）日: 2017-08-25
• 發明（設計）人: 郭猛善;馮磊
• 申請（專利權）人: 浪潮集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 濟南信達專利事務所有限公司37100
• 代理人: 張靖

技術領域

本發明涉及可信網絡技術領域，具體涉及一種基于可信網絡連接的動態跨域訪問控制系統及方法。

背景技術

隨著信息化的發展，惡意軟件(Malware，比如病毒、蠕蟲等）的問題異常突出。惡意軟件數量與日俱增，每年都有眾多的計算機被感染，而且這些問題也在逐年增加。面對如此嚴峻的形勢，傳統的防御技術已經難有大的突破了，必須換一個角度來解決問題，不僅需要解決安全的傳輸和數據輸入時的檢查，還要從源頭上，即從每一臺連接到網絡的終端開始，遏制住惡意攻擊。

可信網絡連接（TNC），本質上就是要從終端的完整性開始，建立安全可信的網絡連接。首先，需要在可信接入控制系統中創建終端安全策略。然后只有遵守安全策略的終端才能訪問網絡，可信接入控制服務器將隔離和定位那些不符合安全策略的終端。安全策略可以是：是否安裝殺毒軟件，是否開啟未授信服務，防火墻是否開啟并正確配置，是否運行未授權軟件等，同時安全策略還可以禁止某些行為，如：網絡監聽端口開啟、外設使用等等。

通常網絡環境會按照組織結構進行區域劃分，每一個網絡區域內終端固定在某個網絡區域內，一旦某個終端受到攻擊將影響所在網絡，可信網絡連接解決了終端接入的安全可信，但是對于終端接入后網絡內的訪問沒有進行控制。按照安全等級劃分網絡，在終端成功接入網絡后實時對終端安全狀態進行檢測，根據終端安全狀態動態劃分網絡區域，從而保證網絡整個周期的安全。

發明內容

本發明要解決的技術問題是：目前可信網絡僅僅在終端接入網絡時對終端進行身份認證與完整性度量，無法保證在終端接入網絡后的安全可信，而且沒有對網絡進行細粒度的劃分，終端接入網絡后可隨意訪問網絡內所有資源。針對上述問題，結合國產化，本發明提出了一種基于可信網絡連接的動態跨域訪問控制系統及方法。

本發明所采用的技術方案為：

一種基于可信網絡連接的動態跨域訪問控制系統，所述系統結構包括：可信網絡接入請求者、網絡訪問決策者、網絡訪問控制者，網絡訪問決策者根據網絡接入請求者的狀態動態將請求者移入不同安全可信域中，實現動態跨域訪問控制，其中：

可信網絡接入請求者作為可信網絡連接的發起者，完成平臺身份認證，根據網絡訪問策略收集本地完整性信息并提交到網絡訪問決策者，然后等待網絡訪問決策者的網絡訪問決策，接入網絡后實時進行完整性收集并上報給網絡訪問決策者；可信網絡接入請求者包含身份認證模塊、可信完整性收集模塊；

網絡訪問決策者，等待網絡接入請求者發起的接入請求，對請求者進行平臺身份認證，制定并分發訪問策略，判斷請求者的完整性結果，根據完整性結果將網絡訪問決策結果下發到網絡訪問控制者；網絡訪問決策者包含平臺身份認證模塊、完整性驗證模塊、安全訪問策略模塊；

網絡訪問控制者，預先根據安全可信級別將網絡劃分為不用的安全可信域，接收網絡訪問決策者下發的網絡訪問決策，實現對網絡接入請求者的跨域訪問控制，網絡訪問控制者包含安全可信域管理模塊、網絡訪問決策執行模塊；

其中：

1）身份認證模塊：用于進行網絡接入身份與平臺認證；

2）安全訪問策略模塊：配置終端完整性檢測項目及檢測不通過后的規則；

3）完整性驗證模塊：調用TCM芯片哈希算法對安全訪問策略配置的文件進行完整性度量，并將完整性度量值發送到網絡訪問決策者判斷；

4）安全可信域管理模塊：將網絡根據不同安全等級劃分不同區域；

5）網絡訪問決策執行模塊：根據網絡訪問決策者的結果將終端移入對應的安全區域，限制對終端對其他安全可信域的訪問；

6）TCM：即可信密碼模塊，用來對文件進行完整性度量，內置密碼算法提供散列計算等密碼學服務。

一種基于可信網絡連接的動態跨域訪問控制方法，所述方法結合國產TCM芯片進行平臺身份認證與完整性度量，對網絡按照安全可信等級進行劃分，根據終端身份認證與完整性度量結果動態限制終端對網絡的訪問。

所述可信網絡連接終端初次接入步驟如下：

步驟I1：在網絡訪問決策端配置安全可信策略，包含端口檢測、USB存儲設備、文件完整性等；

步驟I2：按照安全等級對網絡進行安全可信域劃分；

步驟I3：打開終端可信網絡認證軟件，輸入用戶名/密碼進行身份認證；

步驟I4：身份認證通過后從網絡訪問決策端下載安全可信策略，并對策略進行解析；

步驟I5：根據解析的安全可信策略在終端執行安全可信及完整性檢查，將檢查結果上傳到網絡訪問決策端；