專利名稱：信息安全管理多級分布式傳輸控制方法
技術(shù)領(lǐng)域：
本發(fā)明屬網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，具體涉及一種適用于網(wǎng)絡(luò)內(nèi)部管理的信息安全管理多級分布式傳輸控制方法。
背景技術(shù)：
隨著網(wǎng)絡(luò)安全事件的不斷發(fā)生，國內(nèi)外對網(wǎng)絡(luò)安全的研究越來越深，從最初的防止外部攻擊到現(xiàn)在內(nèi)部安全管理，這種網(wǎng)絡(luò)安全的認(rèn)識轉(zhuǎn)變對安全管理技術(shù)也提出了新的要求。經(jīng)權(quán)威部門統(tǒng)計(jì)，目前發(fā)生的電腦安全事件有80％以上來自于內(nèi)部。近幾年國內(nèi)外都在研究如何更有效的對內(nèi)部網(wǎng)絡(luò)進(jìn)行管理和控制，特別是涉密網(wǎng)絡(luò)。并且隨著網(wǎng)絡(luò)的普及，網(wǎng)絡(luò)規(guī)模越來越大，跨域跨地區(qū)的辦公和管理成為發(fā)展趨勢，如何對這種大規(guī)模的網(wǎng)絡(luò)環(huán)境進(jìn)行管理是國內(nèi)外正在研究的新課題，其中多級的傳輸協(xié)議研究還相對較少，目前還沒有相關(guān)的文獻(xiàn)報(bào)導(dǎo)。申請人在多年分布式管理技術(shù)的研究基礎(chǔ)上，利用IP和IPSEC等協(xié)議的部分傳輸原理研制了信息安全管理多級分布式傳輸控制方法。

發(fā)明內(nèi)容
本發(fā)明的目的在于提出一種安全性好、適用于網(wǎng)絡(luò)內(nèi)部管理的信息安全管理多級分布式傳輸控制方法。
本發(fā)明提出的適用于網(wǎng)絡(luò)內(nèi)部管理的信息安全管理多級分布式傳輸控制方法，包括連接握手協(xié)議和控制信息傳輸兩個(gè)部分。
連接握手協(xié)議首先通過TCP協(xié)議進(jìn)行遠(yuǎn)程可靠連接，然后通過密碼身份認(rèn)證，協(xié)商一個(gè)隨機(jī)的密碼和加密算法，其流程見圖1所示。具體步驟如下被管理客戶端或下一級管理中心先向上一級管理中心發(fā)送包含本機(jī)信息身份的認(rèn)證包，此身份認(rèn)證包由系統(tǒng)缺省的加密算法(在握手成功之前，所有的信息加密都使用缺省加密算法)進(jìn)行加密，密碼在系統(tǒng)安裝實(shí)施時(shí)指定客戶端發(fā)送身份認(rèn)證后等待管理中心的握手協(xié)議包，指定后續(xù)的加密算法和動態(tài)的密碼。如果在一定時(shí)間沒有收到此信息表示網(wǎng)絡(luò)切斷或身份認(rèn)證沒通過，重新進(jìn)行連接；管理中心驗(yàn)證收到的身份認(rèn)證的正確性，如果錯(cuò)誤則直接切斷本次連接，否則隨機(jī)在密碼算法庫中選擇一種算法，并產(chǎn)生一個(gè)隨機(jī)密碼，發(fā)送到被管理客戶端，握手成功；后續(xù)的傳輸全部采用此算法和密碼。
控制信息傳輸在信息傳輸中所有通訊包都采用幀方式，來控制信息傳輸。每個(gè)幀格式如圖2所示，這是解密后的格式。該幀格式包括幀頭、幀內(nèi)容、完整性驗(yàn)證碼和幀尾標(biāo)識。其中，幀頭包括幀頭標(biāo)識、版本號、幀長度、傳輸標(biāo)識、擴(kuò)充頭標(biāo)識、擴(kuò)充頭長度和可選擴(kuò)充頭等內(nèi)容。每個(gè)幀由幀頭標(biāo)識開始，以幀尾標(biāo)識結(jié)束，版本號表示當(dāng)前協(xié)議版本，為以后升級擴(kuò)充準(zhǔn)備，幀長度包括幀頭和幀尾，傳輸標(biāo)識指示此幀是往下下發(fā)策略還是往上傳輸信息，擴(kuò)充頭標(biāo)識指示此幀是否有擴(kuò)充頭，擴(kuò)充頭長度以字節(jié)為單位，擴(kuò)充頭下面就是幀的內(nèi)容，完整性驗(yàn)證對除了幀頭和幀尾外所有的數(shù)據(jù)進(jìn)行摘要算法處理。
擴(kuò)充頭內(nèi)容如圖3所示，由擴(kuò)充內(nèi)容標(biāo)識、擴(kuò)充內(nèi)容長度和擴(kuò)充內(nèi)容組成。擴(kuò)充內(nèi)容標(biāo)識指示當(dāng)前擴(kuò)充內(nèi)容的類型。有多種擴(kuò)充內(nèi)容的情況下，后面的擴(kuò)充內(nèi)容直接跟隨接入前一個(gè)擴(kuò)充內(nèi)容之后，總長度應(yīng)與幀頭的擴(kuò)充頭長度相同。
幀內(nèi)容有兩種格式一是控制內(nèi)容，二是信息傳輸內(nèi)容。
控制內(nèi)容格式包括控制內(nèi)容頭和控制內(nèi)容，控制內(nèi)容頭包括頭長度、內(nèi)容長度、來源中心、下發(fā)級數(shù)、目標(biāo)主機(jī)和控制標(biāo)識，如圖4所示。此格式用于管理中心向被管理客戶端或下一級管理中心下發(fā)控制策略之用。來源中心標(biāo)志下發(fā)策略的管理中心標(biāo)識，下發(fā)級數(shù)表示從本中心開始往下有多少級客戶端需用此控制命令，目標(biāo)主機(jī)可以為空或不空，為不空時(shí)表示此命令僅下發(fā)到此客戶端或管理中心。一組控制命令可以由多個(gè)幀來發(fā)送，控制標(biāo)識指示本幀是控制命令的開始、命令體或是命令結(jié)束。
信息傳輸內(nèi)容格式包括信息內(nèi)容頭和信息內(nèi)容，信息內(nèi)容頭包括頭長度、內(nèi)容長度、來源主機(jī)、目標(biāo)中心和信息來源路徑，見圖5所示。信息傳輸內(nèi)容格式用于被管理客戶端或下一級管理中心向上傳輸信息之用。來源主機(jī)表示此信息由哪個(gè)主機(jī)結(jié)點(diǎn)產(chǎn)生，目標(biāo)中心表示信息最絡(luò)發(fā)送到此中心為止，不再往上傳輸。信息來源路徑記錄了此信息從源主機(jī)到到前中心所經(jīng)過的各級中心地址，地址以中心級別從低到高排列，中間以“.”分隔。
本發(fā)明的信息安全管理多級分布式傳輸控制方法，其級數(shù)可以是2級、3級、4級，甚至更多。本發(fā)明可實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)部安全、有效的管理。
本發(fā)明可以應(yīng)用于任何基于多級的或跨域的網(wǎng)絡(luò)管理體系中，特別適用于資產(chǎn)管理、網(wǎng)絡(luò)安全管理、全網(wǎng)監(jiān)控、電子商務(wù)、電子政務(wù)、電子黨務(wù)以及軍隊(duì)管理等系統(tǒng)上的應(yīng)用。
網(wǎng)絡(luò)規(guī)模正在呈幾何級的速度發(fā)展，各種無紙化辦公和電子應(yīng)用在世界范圍內(nèi)部署，對跨地區(qū)的規(guī)模管理提出要求，這種管理只能是通過網(wǎng)絡(luò)來實(shí)現(xiàn)，策略的分發(fā)和信息的傳輸是多級管理的基礎(chǔ)，本發(fā)明方法在各種管理系統(tǒng)中會有大規(guī)模的應(yīng)用。


圖1為連接握手協(xié)議流程框圖。
圖2為通訊包的幀格式圖示。
圖3為幀格式中擴(kuò)充頭內(nèi)容圖示。
圖4為幀內(nèi)容中控制內(nèi)容格式圖示。
圖5為幀內(nèi)容中信息傳輸內(nèi)容格式圖示。
圖6為本發(fā)明應(yīng)用例的系統(tǒng)圖示。
具體實(shí)施例方式
本發(fā)明作為一種信息與策略的分發(fā)管理方法或協(xié)議，具體開發(fā)實(shí)施中可根據(jù)實(shí)際情況對各環(huán)節(jié)進(jìn)行定義。加密算法庫可以自由選擇，傳輸協(xié)議中各字段也可以根據(jù)需要定義其長度。
根據(jù)本發(fā)明方法，發(fā)明人已經(jīng)設(shè)計(jì)了信息安全綜合強(qiáng)審計(jì)系統(tǒng)。綜合強(qiáng)審計(jì)系統(tǒng)是一個(gè)信息安全管理多級分布式的跨域安全管理系統(tǒng)，圖6為系統(tǒng)的多級示意圖。系統(tǒng)內(nèi)置了五種加密算法，缺省算法為3DES，采用32位密鑰長度。所有加密僅對幀內(nèi)容進(jìn)行加密，幀頭、完整性驗(yàn)證碼和幀尾不進(jìn)行加密，完整性驗(yàn)證碼驗(yàn)證幀頭和幀內(nèi)容。
每個(gè)幀由0x7E開始，0x7F結(jié)束，即幀頭和幀尾標(biāo)識，各占用一個(gè)字節(jié)；版本號有兩個(gè)字節(jié)組成，前一字節(jié)為主版本號，后一字節(jié)為副版本號；幀長度由四個(gè)字節(jié)組成，為一個(gè)integer型變量，按主機(jī)字節(jié)順序存放；傳輸標(biāo)識占用一個(gè)字節(jié)，有三種取值0xFF表示為身份認(rèn)證包，0x01表示此幀往下一級發(fā)送，0x10表示此幀往上一級發(fā)送；擴(kuò)充頭標(biāo)識和擴(kuò)充頭長度合用四個(gè)字節(jié)，以主機(jī)字節(jié)順序存放，最高位為0表示無擴(kuò)充頭，否則其余的31位指出整個(gè)擴(kuò)充頭的長度；擴(kuò)充內(nèi)容標(biāo)識現(xiàn)只有一個(gè)取值，為0x01，表示擴(kuò)充內(nèi)容為此幀經(jīng)過的節(jié)點(diǎn)全路徑；控制內(nèi)容和傳輸內(nèi)容的頭長度為一個(gè)字節(jié)，內(nèi)容長度為四個(gè)字節(jié)，以主機(jī)順序存放；控制內(nèi)容幀的下發(fā)級數(shù)有兩個(gè)字節(jié)組成，第一個(gè)字節(jié)表示此幀需下發(fā)的級數(shù)，第二字節(jié)表示已下發(fā)到的級數(shù)，級數(shù)以0開始，制定策略的中心為第0級，由此中心直接管理的下一級中心為第1級，以此類推，每到一個(gè)中心把已下發(fā)級數(shù)加一。如果此級數(shù)和前一字節(jié)的需下發(fā)級數(shù)相同，則不再把此幀再往下一級發(fā)送，否則向所有本級所管理的下一級中心下發(fā)。每個(gè)中心在收到控制幀時(shí)只向所管理的傳感器中與目標(biāo)主機(jī)相匹配的傳感器發(fā)送此控制命令，目標(biāo)主機(jī)如果為0，則表示向所有的傳感器發(fā)送此控制命令，每個(gè)傳感器(即主機(jī))和各級中心由16個(gè)字節(jié)的字串來表示，其唯一性根據(jù)從主機(jī)中提取的軟硬件信息通過一定算法來確定，在多級情況下由經(jīng)過的全路徑來唯一確定；控制標(biāo)識由一個(gè)字節(jié)組成，第一位表示為控制命令的開始，第二位表示控制命令的結(jié)束，第三位表示控制命令體，當(dāng)設(shè)置為開始或結(jié)束標(biāo)志時(shí)此幀也包含一個(gè)控制命令體，開始和結(jié)束位可以同時(shí)設(shè)置，表示此控制命令只有一個(gè)幀；信息內(nèi)容由傳感器直接傳送到管理此傳感器的中心，此中心根據(jù)策略決定是否把此信息往上一級中心傳送，以此類推，最終可以傳送到最高一級管理中心。信息來源路徑標(biāo)識了此信息的轉(zhuǎn)發(fā)過程，各經(jīng)過的中心從低到高排列，中間以“.”分隔。
目前信息安全綜合強(qiáng)審計(jì)系統(tǒng)應(yīng)用最大分級為三級，此用戶的總公司與子公司分處兩地，子公司下又有多個(gè)部門，總公司可以管理和查詢各部門的信息，具體實(shí)施中以總公司為第一級管理中心，子公司為二級管理中心，部門為三級管理中心，從上到下可以分發(fā)策略，總公司可以制定策略從各部門主機(jī)中獲取需要的管理和審計(jì)信息，目前運(yùn)行良好，用戶滿意。
權(quán)利要求
1.一種信息安全管理多級分布式傳輸控制方法，其特征在于首先通過TCP協(xié)議進(jìn)行遠(yuǎn)程可靠連接，然后通過密碼身份認(rèn)證，協(xié)商一個(gè)隨機(jī)的密碼和加密算法，具體步驟如下被管理客戶端或下一級管理中心先向上一級管理中心發(fā)送包含本機(jī)信息身份的認(rèn)證包，此身份認(rèn)證包由系統(tǒng)缺省的加密算法進(jìn)行加密，密碼在系統(tǒng)安裝實(shí)施時(shí)指定客戶端發(fā)送身份認(rèn)證后等待管理中心的握手協(xié)議包，指定后續(xù)的加密算法和動態(tài)的密碼；如果在一定時(shí)間沒有收到此信息表示網(wǎng)絡(luò)切斷或身份認(rèn)證沒通過，重新進(jìn)行連接；管理中心驗(yàn)證收到的身份認(rèn)證的正確性，如果錯(cuò)誤則直接切斷本次連接，否則隨機(jī)在密碼算法庫中選擇一種算法，并產(chǎn)生一個(gè)隨機(jī)密碼，發(fā)送到被管理客戶端，握手成功。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于信息傳輸中，所有通訊包都采用幀方式，該幀格式包括幀頭、幀內(nèi)容、完整性驗(yàn)證碼和幀尾標(biāo)識；其中，幀頭包括幀頭標(biāo)識、版本號、幀長度、傳輸標(biāo)識、擴(kuò)充頭標(biāo)識、擴(kuò)充頭長度和可選擴(kuò)充頭等內(nèi)容；每個(gè)幀由幀頭標(biāo)識開始，以幀尾標(biāo)識結(jié)束，版本號表示當(dāng)前協(xié)議版本，為以后升級擴(kuò)充準(zhǔn)備，幀長度包括幀頭和幀尾，傳輸標(biāo)識指示此幀是往下下發(fā)策略還是往上傳輸信息，擴(kuò)充頭標(biāo)識指示此幀是否有擴(kuò)充頭，擴(kuò)充頭長度以字節(jié)為單位，擴(kuò)充頭下面就是幀的內(nèi)容，完整性驗(yàn)證對除了幀頭和幀尾外所有的數(shù)據(jù)進(jìn)行摘要算法處理。
3.根據(jù)權(quán)利要求2所述的方法，其特征在于所述的擴(kuò)充頭由擴(kuò)充內(nèi)容標(biāo)識、擴(kuò)充內(nèi)容長度和擴(kuò)充內(nèi)容組成；擴(kuò)充內(nèi)容標(biāo)識指示當(dāng)前擴(kuò)充內(nèi)容的類型；有多種擴(kuò)充內(nèi)容的情況下，后面的擴(kuò)充內(nèi)容直接跟隨接入前一個(gè)擴(kuò)充內(nèi)容之后，總長度應(yīng)與幀頭的擴(kuò)充頭長度相同。
4.根據(jù)權(quán)利要求2所述的方法，其特征在于所述的幀內(nèi)容有兩種格式控制內(nèi)容格式和信息內(nèi)容格式。
5.根據(jù)權(quán)利要求4所述的方法，其特征在于所述的控制內(nèi)容格式包括控制內(nèi)容頭和控制內(nèi)容，控制內(nèi)容頭包括頭長度、內(nèi)容長度、來源中心、下發(fā)級數(shù)、目標(biāo)主機(jī)和控制標(biāo)識；來源中心標(biāo)志下發(fā)策略的管理中心標(biāo)識，下發(fā)級數(shù)表示從本中心開始往下有多少級客戶端需用此控制命令，目標(biāo)主機(jī)為空或不空，為不空時(shí)表示此命令僅下發(fā)到此客戶端或管理中心；一組控制命令由多個(gè)幀來發(fā)送，控制標(biāo)識指示本幀是控制命令的開始、命令體或是命令結(jié)束。
6.根據(jù)權(quán)利要求2所述的方法，其特征在于所述的信息傳輸內(nèi)容格式包括信息內(nèi)容頭和信息內(nèi)容，信息內(nèi)容頭包括頭長度、內(nèi)容長度、來源主機(jī)、目標(biāo)中心和信息來源路徑；來源主機(jī)表示此信息由哪個(gè)主機(jī)結(jié)點(diǎn)產(chǎn)生，目標(biāo)中心表示信息最絡(luò)發(fā)送到此中心為止，不再往上傳輸，信息來源路徑記錄了此信息從源主機(jī)到到前中心所經(jīng)過的各級中心地址，地址以中心級別從低到高排列，中間以“.”分隔。
全文摘要
本發(fā)明屬于網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，具體為一種適用于網(wǎng)絡(luò)內(nèi)容管理的信息安全管理多級分布式傳輸控制方法。該方法包括連接握手協(xié)議和控制信息傳輸兩個(gè)部分。首先通過TCP協(xié)議進(jìn)行遠(yuǎn)程可靠連接，然后通過密碼身份認(rèn)證，協(xié)調(diào)一個(gè)隨機(jī)的密碼和加密算法；在信息傳輸中，所有的通訊包均采用幀方式來控制信息傳輸。本發(fā)明可實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)容的安全、有效的管理，可以用于任何基于多級的或跨域的網(wǎng)絡(luò)管理體系中。
文檔編號H04L12/24GK1773991SQ20051011045
公開日2006年5月17日 申請日期2005年11月17日 優(yōu)先權(quán)日2005年11月17日
發(fā)明者陸中威 申請人:上海漢邦京泰數(shù)碼技術(shù)有限公司