一種網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)的制作方法
【專利摘要】本實(shí)用新型公開了一種網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)，其包括中央管理系統(tǒng)、漏洞特征庫(kù)、保護(hù)設(shè)備、用戶設(shè)備以及通訊網(wǎng)絡(luò)，所述中央管理系統(tǒng)與漏洞特征庫(kù)連通，同時(shí)還與每個(gè)保護(hù)設(shè)備連通，所述每個(gè)保護(hù)設(shè)備與用戶設(shè)備連通?；谟脩敉ㄐ畔到y(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，由中央管理系統(tǒng)確定保護(hù)設(shè)備監(jiān)控和保護(hù)的區(qū)域并將網(wǎng)絡(luò)系統(tǒng)中每一個(gè)用戶設(shè)備的詳細(xì)信息與漏洞特征庫(kù)進(jìn)行比較,生成用戶設(shè)備和漏洞特征的映射表。根據(jù)映射表,確定每個(gè)用戶設(shè)備所需要的安全特征,然后參照保護(hù)設(shè)備監(jiān)測(cè)和/或保護(hù)的區(qū)域，為保護(hù)設(shè)備生成定制化的安全特征列表并由中央管理系統(tǒng)將定制化的安全特征通過(guò)通訊網(wǎng)絡(luò)自動(dòng)部署到每個(gè)保護(hù)設(shè)備上。
【專利說(shuō)明】一種網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)

【技術(shù)領(lǐng)域】
[0001] 本實(shí)用新型涉及網(wǎng)絡(luò)安全領(lǐng)域，尤其涉及一種網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)。

【背景技術(shù)】
[0002] 隨著網(wǎng)絡(luò)與信息技術(shù)的發(fā)展，網(wǎng)絡(luò)正逐步改變?nèi)祟惖纳詈凸ぷ鞣绞?，并?duì)社會(huì) 的各行各業(yè)產(chǎn)生了巨大深遠(yuǎn)的影響。如何在新舊技術(shù)交疊應(yīng)用的變革過(guò)程中更有效地保證 網(wǎng)絡(luò)的信息安全，已成為各方關(guān)注的重點(diǎn)。
[0003] 在網(wǎng)絡(luò)安全的監(jiān)測(cè)和防御中，安全特征是對(duì)設(shè)備安全漏洞的補(bǔ)償性應(yīng)對(duì)措施。對(duì) 于很多用戶網(wǎng)絡(luò)設(shè)備，由于其敏感性和軟硬件的局限性，例如不允許修改設(shè)備的軟件系統(tǒng)， 軟件版本過(guò)低，硬件設(shè)備過(guò)時(shí)，用戶往往不能直接在設(shè)備上部署相應(yīng)的補(bǔ)丁。為了保護(hù)網(wǎng)絡(luò) 安全，在復(fù)雜的用戶環(huán)境下，常常需要為用戶網(wǎng)絡(luò)配置多個(gè)安全保護(hù)設(shè)備。在保護(hù)設(shè)備上部 署實(shí)施安全特征是一種保證網(wǎng)絡(luò)安全的重要手段。針對(duì)不同漏洞的攻擊手段，網(wǎng)絡(luò)保護(hù)設(shè) 備通過(guò)使用安全特征，對(duì)攻擊數(shù)據(jù)包進(jìn)行匹配，以達(dá)到發(fā)現(xiàn)和阻止攻擊的目的。特別是在工 控網(wǎng)絡(luò)安全領(lǐng)域，雖然越來(lái)越多的工控網(wǎng)絡(luò)安全漏洞被發(fā)現(xiàn)和公布，但工控系統(tǒng)自身的設(shè) 計(jì)缺陷導(dǎo)致仍有很多潛在且未被發(fā)現(xiàn)的漏洞，加上惡意攻擊者的攻擊手段和技術(shù)不斷更新 和變化，工控網(wǎng)絡(luò)嚴(yán)峻的安全狀況一直在不斷加劇。
[0004] 傳統(tǒng)的安全解決方案常常需要對(duì)每個(gè)保護(hù)設(shè)備分別設(shè)置安全特征。由于漏洞特征 庫(kù)的內(nèi)容龐大加之沒(méi)有考慮到設(shè)備、安全特征之間的聯(lián)系，人工部署非常復(fù)雜，并易于產(chǎn)生 人為引起的錯(cuò)誤。當(dāng)發(fā)布了用戶設(shè)備新漏洞的特征或已知漏洞新特征時(shí)，由于系統(tǒng)的復(fù)雜 性，很難為每個(gè)保護(hù)設(shè)備及時(shí)地準(zhǔn)確地更新安全特征。 實(shí)用新型內(nèi)容
[0005] 為了解決現(xiàn)有技術(shù)中存在的問(wèn)題，本實(shí)用新型提出了一種網(wǎng)絡(luò)安全特征自動(dòng)化部 署系統(tǒng)，目的是為了解決大型用戶網(wǎng)絡(luò)中，針對(duì)用戶設(shè)備安全漏洞攻擊而需要采取的安全 特征部署問(wèn)題提供解決方案。
[0006] 為達(dá)到上述目的，本實(shí)用新型采取以下的技術(shù)方案：
[0007] -種網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)，包括中央管理系統(tǒng)、漏洞特征庫(kù)、保護(hù)設(shè)備、 用戶設(shè)備以及通訊網(wǎng)絡(luò)，所述中央管理系統(tǒng)與漏洞特征庫(kù)連通，同時(shí)還與每個(gè)保護(hù)設(shè)備連 通，所述每個(gè)保護(hù)設(shè)備與用戶設(shè)備連通。
[0008] 進(jìn)一步地，中央管理系統(tǒng)收集用戶設(shè)備信息、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)信息以及查詢漏洞特 征庫(kù)的信息，并進(jìn)行定制化網(wǎng)絡(luò)安全特征的自動(dòng)化部署。
[0009] 進(jìn)一步地，保護(hù)設(shè)備從中央管理系統(tǒng)接收定制化的安全特征作為配置文件，并依 據(jù)所述配置文件針對(duì)用戶設(shè)備漏洞的攻擊數(shù)據(jù)包進(jìn)行報(bào)警和/或阻斷。
[0010] 進(jìn)一步地，用戶設(shè)備包括交換機(jī)、工作站、服務(wù)器、可編程邏輯控制器中的一種或 幾種。
[0011] 進(jìn)一步地，保護(hù)設(shè)備包括網(wǎng)關(guān)、IDS、IPS中的一種或幾種。
[0012] 本實(shí)用新型所產(chǎn)生的有益效果為：
[0013] 提供了自動(dòng)部署定制化的網(wǎng)絡(luò)安全特征的系統(tǒng)，解決了現(xiàn)有技術(shù)中存在的漏洞特 征庫(kù)內(nèi)容龐大，人工部署過(guò)于復(fù)雜并容易發(fā)生人為引起的錯(cuò)誤的問(wèn)題。針對(duì)安全特征與用 戶設(shè)備之間的關(guān)系以及用戶網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，自動(dòng)把相關(guān)的定制化安全特征部署到相應(yīng)的 保護(hù)設(shè)備上，實(shí)時(shí)、高效的保證了網(wǎng)絡(luò)安全入侵監(jiān)測(cè)和防御的效果。

【專利附圖】

【附圖說(shuō)明】
[0014] 圖1為使用本實(shí)用新型的網(wǎng)絡(luò)安全特征自動(dòng)部署系統(tǒng)的通信網(wǎng)絡(luò)拓?fù)鋱D；
[0015] 圖2為通信網(wǎng)路中保護(hù)設(shè)備A所監(jiān)測(cè)和保護(hù)區(qū)域的網(wǎng)絡(luò)拓?fù)鋱D；
[0016] 圖3為通信網(wǎng)路中保護(hù)設(shè)備B所監(jiān)測(cè)和保護(hù)區(qū)域的網(wǎng)絡(luò)拓?fù)鋱D；
[0017] 圖4為通信網(wǎng)路中保護(hù)設(shè)備C所監(jiān)測(cè)和保護(hù)區(qū)域的網(wǎng)絡(luò)拓?fù)鋱D；
[0018] 圖5為通信網(wǎng)路中保護(hù)設(shè)備D所監(jiān)測(cè)和保護(hù)區(qū)域的網(wǎng)絡(luò)拓?fù)鋱D；
[0019] 圖6為生成定制化安全特征并部署的流程圖。
[0020] 附圖標(biāo)記：1-8用戶設(shè)備

【具體實(shí)施方式】
[0021] 以下以工業(yè)控制網(wǎng)絡(luò)安全特征自動(dòng)部署系統(tǒng)為例對(duì)本實(shí)用新型進(jìn)行詳細(xì)闡述，應(yīng) 當(dāng)注意的是，下列實(shí)施例僅用于對(duì)本實(shí)用新型進(jìn)行說(shuō)明而非作為對(duì)本實(shí)用新型的限制。本 實(shí)用新型的網(wǎng)絡(luò)安全特征自動(dòng)部署方法和系統(tǒng)除了可以應(yīng)用在工業(yè)控制網(wǎng)絡(luò)中，還可以用 于任何其他的分布式網(wǎng)絡(luò)。
[0022] 如圖1所示的通信網(wǎng)絡(luò)拓?fù)鋱D，中央管理系統(tǒng)與漏洞特征庫(kù)連通，同時(shí)與保護(hù)設(shè) 備A-D連通，保護(hù)設(shè)備A與用戶設(shè)備3、5連通，其中用戶設(shè)備3與用戶設(shè)備1連通，保護(hù)設(shè) 備B與用戶設(shè)備2、7、8連通，其中用戶設(shè)備7與用戶設(shè)備6連通，保護(hù)設(shè)備C與用戶設(shè)備4、 7連通，保護(hù)設(shè)備D與用戶設(shè)備5、7連通。用戶設(shè)備可以為交換機(jī)、工作站、服務(wù)器以及可編 程邏輯控制器等，保護(hù)設(shè)備可以為網(wǎng)關(guān)、IDS、IPS等。
[0023] 按照?qǐng)D6所示的步驟，基于圖1的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，利用智能圖論法分析系統(tǒng)的連通 性，確定如圖2-5所示的保護(hù)設(shè)備A-D所監(jiān)測(cè)和保護(hù)的區(qū)域，即保護(hù)設(shè)備A-D的負(fù)責(zé)區(qū)域。 其中，保護(hù)設(shè)備A的負(fù)責(zé)區(qū)域包括用戶設(shè)備1、3、5,保護(hù)設(shè)備B的負(fù)責(zé)區(qū)域包括用戶設(shè)備2、 6、7、8,保護(hù)設(shè)備C的負(fù)責(zé)區(qū)域包括用戶設(shè)備4、6、7,保護(hù)設(shè)備D的負(fù)責(zé)區(qū)域包括用戶設(shè)備 5、6、7。
[0024] 在確定了保護(hù)設(shè)備A-D所負(fù)責(zé)的區(qū)域后，由中央管理系統(tǒng)將由用戶輸入或自動(dòng)發(fā) 現(xiàn)取得的每個(gè)用戶設(shè)備的詳細(xì)信息與漏洞特征庫(kù)進(jìn)行比較，生成如表1所示的用戶設(shè)備和 漏洞特征的映射表。所述的詳細(xì)信息包括但不限于用戶設(shè)備的類型、出廠日期、軟件版本 等，所述的漏洞特征庫(kù)包括但不限于漏洞名稱、漏洞介紹、攻擊手段、漏洞適用設(shè)備以及應(yīng) 對(duì)措施等。
[0025] 表1用戶設(shè)備及漏洞特征映射表
[0026]

【權(quán)利要求】
1. 一種網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)，其特征在于，包括中央管理系統(tǒng)、漏洞特征庫(kù)、 保護(hù)設(shè)備、用戶設(shè)備以及通訊網(wǎng)絡(luò)，所述中央管理系統(tǒng)與漏洞特征庫(kù)連通，同時(shí)還與每個(gè)保 護(hù)設(shè)備連通，所述每個(gè)保護(hù)設(shè)備與在其監(jiān)控和保護(hù)區(qū)域內(nèi)的用戶設(shè)備連通。
2. 如權(quán)利要求1所述的網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)，其特征在于，所述中央管理系 統(tǒng)收集用戶設(shè)備信息、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)信息以及查詢漏洞特征庫(kù)的信息，并進(jìn)行定制化網(wǎng)絡(luò) 安全特征的自動(dòng)化部署。
3. 如權(quán)利要求1所述的網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)，其特征在于，所述保護(hù)設(shè)備從 中央管理系統(tǒng)接收定制化的安全特征作為配置文件，并依據(jù)所述配置文件對(duì)用戶設(shè)備漏洞 的攻擊數(shù)據(jù)包進(jìn)行報(bào)警和/或阻斷。
4. 如權(quán)利要求1所述的網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)，其特征在于，所述用戶設(shè)備包 括交換機(jī)、工作站、服務(wù)器、可編程邏輯控制器中的一種或幾種。
5. 如權(quán)利要求1所述的網(wǎng)絡(luò)安全特征自動(dòng)化部署系統(tǒng)，其特征在于，所述保護(hù)設(shè)備包 括網(wǎng)關(guān)、IDS、IPS中的一種或幾種。
【文檔編號(hào)】H04L29/06GK204103951SQ201420564748
【公開日】2015年1月14日 申請(qǐng)日期:2014年9月28日 優(yōu)先權(quán)日:2014年9月28日
【發(fā)明者】孫一桉, 徐林 申請(qǐng)人:寧波匡恩網(wǎng)絡(luò)科技有限公司