專利名稱：一種網絡安全管理構架的制作方法
技術領域：
本發(fā)明涉及信息安全技術，特別涉及一種網絡安全管理構架。
背景技術：
隨著信息技術的發(fā)展，信息安全問題也日益嚴重，所以信息安全和網絡 安全等技術已成為目前研究和發(fā)展的技術熱點。目前業(yè)界基本存在兩類信息
安全技術，關聯(lián)反應系統(tǒng)(CRS， Correlative Reacting System)和安全管理 中心(SOC， Security Operation Centre )。這兩種信息安全4支術的實現(xiàn)原理 簡述如下
一、 CRS主要針對通信網絡的接入層，用于對用戶的接入和訪問進行管 理和控制，通過CRS內多個聯(lián)動節(jié)點和/或多個CRS分系統(tǒng)進行聯(lián)動分析和 操作，對用戶的接入和訪問操作實施安全鑒別和控制，從而在接入層保證網 絡的信息安全。但是，該技術的缺點在于無法對網絡核心管理層進行直接保護。
二、 soc主要是通過網絡管理系統(tǒng)對網絡安全事件及相關信息進行關 聯(lián)分析來得到針對網管系統(tǒng)的安全報告。soc技術還停留半自動的網絡安全
模型上，也就是說其雖然能夠實現(xiàn)網絡安全事件的收集和關聯(lián)分析，并向 網絡管理人員提供相關分析結果，但不能進一步提供具體的網絡安全配置建 議(比如建議系統(tǒng)升級的版本號、設備配置參數(shù)等)，更不能在一定允許 范圍內自動對網絡安全設備的配置進行更新，從而無法實現(xiàn)自動化的網絡安 全管理。因此，SOC的運行還需要大量的工作流程和人為監(jiān)督來配合。
在這種背景下，基于信息安全的核心基礎，通信行業(yè)提出了能夠兼容現(xiàn) 有網絡結構的網絡安全運營與管理平臺的理論，該平臺又被稱為信息安全管
理平臺(ISMP, Information Security Management Platform )。所述信息安全 管理平臺用于對網絡安全事件、網絡安全警報、或安全知識等信息進行關聯(lián) 分析，以實現(xiàn)對網絡各安全資產(Security Asset,或稱Security Product)進
行統(tǒng)一協(xié)調和管理，或為網絡管理系統(tǒng)提供必要的信息安全措施建議。
雖然，目前國內外針對信息安全和網絡信息安全的技術和規(guī)范已有很 多，但這些標準都是針對信息安全進行的總體概述，抽象且晦澀，且沒有提 出具體的實施方案和構架設計，國內外也還沒有針對通信網絡安全運營及信
息安全管理平臺構架的相關專利。當前作為IT產業(yè)核心的電信網絡正在朝 多網融合、終端設備智能化、網絡結構IP化、業(yè)務導向等方向發(fā)展，^_同 時信息安全問題及其造成的影響也在以更快的速度加巨，安全威脅逐漸爿Mv用 戶和終端側向網絡核心蔓延，原來認為安全的網絡核心管理系統(tǒng)正逐漸面臨 著巨大的安全壓力。因此迫切需要一個能夠整合網絡安全資源的安全運營及 管理的網絡安全管理構架，以便電信網絡能夠在該平臺的基礎上利用現(xiàn)有安 全設備提升網絡安全防護和預警能力。

發(fā)明內容
有鑒于此，本發(fā)明的主要目的在于提供一種網絡安全管理構架，能夠實現(xiàn) 動態(tài)的網絡信息安全管理。
為達到上述目的，本發(fā)明的技術方案是這樣實現(xiàn)的 本發(fā)明公開了一種網絡安全管理構架，包括安全風險管理系統(tǒng)，收集安 全事件信息和安全缺陷信息，分析得到安全風險報告；網絡安全管理中心 NSMC，分析來自安全風險管理系統(tǒng)的安全風險報告并進行網元的安全配置。
該構架進一步包括安全策略管理功能SPMF實體，維護和管理安全策略 數(shù)據和安全基線，通過所述網絡安全管理中心集中下發(fā)安全策略數(shù)據給安全風 險管理系統(tǒng)和/或網元；所述安全風險管理系統(tǒng)通過所述網絡安全管理中心從所 述安全策略管理功能實體讀取安全基線，并按安全基線分析得到安全風險^^告。 其中，所述安全策略管理功能實體，包括安全策略管理服務器，集中維護和管理網絡安全基線數(shù)據庫和網元安全策
略數(shù)據庫，通過所述網絡安全管理中心集中下發(fā)安全策略數(shù)據； 網絡安全基線數(shù)據庫，用于提供安全基線； 網元安全策略數(shù)據庫，提供安全策略數(shù)據；
所述安全風險管理系統(tǒng)通過所述網絡安全管理中心從所述安全策略管理 服務器讀取安全基線。
其中，所述安全風險管理系統(tǒng)，包括
安全風險管理功能SRMF實體，通過所述網絡安全管理中心從安全策略功 能實體接收安全基線和安全策略數(shù)據，參考網絡安全管理中心提供的資產信息、 安全知識和安全基線對來自安全事件管理功能實體的安全事件信息和來自安全 缺陷掃描功能實體的安全缺陷信息進行安全風險評估并產生安全風險報告；
安全缺陷掃描功能SVSF實體，按安全風險管理功能實體提供的安全策略 數(shù)據配置自身缺陷掃描功能，掃描網元的網絡安全缺陷得到安全缺陷信息；
安全事件管理功能SEMF實體，按安全風險管理功能實體提供的安全策略 數(shù)據配置自身的事件管理功能，對網元提交的安全事件報告和日志記載的事件 內容進行分析得到安全事件信息。
其中，所述網絡安全管理中心，包括網絡安全管理中心服務器、資產信 息庫和安全知識庫；
所述網絡安全管理中心服務器，集中控制整個網絡安全管理構架，管理和 維護資產信息庫和安全知識庫；接收來自安全策略管理功能實體的安全基線和 安全策略數(shù)據，向安全風險管理功能實體和/或網元下發(fā)安全策略數(shù)據，并向安 全風險管理功能實體提供資產信息、安全知識和安全基線；從安全風險管理功 能實體接收安全風險報告。
其中，所述網絡安全管理中心服務器進一步用于處理所述安全風險報告或 轉發(fā)該安全風險報告至電信管理網絡。
其中，所述網絡安全管理中心進一步包括日志及審計服務器、認證授權 管理AAA服務器、系統(tǒng)日志庫、安全日志庫和用戶信息數(shù)據庫；
所述認證授權管理AAA服務器，按用戶信息數(shù)據庫中的用戶信息，對通 過網絡安全管理中心服務器接入的用戶進行鑒權和管理，并執(zhí)行訪問控制；
所述日志及審計服務器，按網絡安全管理中心提供的來自安全風險管理功 能實體的網絡安全日志和安全審計管理和維護安全日志庫，并在系統(tǒng)日志庫中 管理和維護整個網絡安全管理構架的系統(tǒng)日志。
因此，本發(fā)明所提供的網絡安全管理構架能以安全風險管理為核心，提 供安全策略管理、安全事件管理和安全缺陷掃描的關聯(lián)關系，并為信息安全 管理在通信網絡的實現(xiàn)提供了可擴展的功能。


圖1為本發(fā)明網絡安全管理構架的邏輯結構示意圖。 圖2為基于圖3的邏輯結構的本發(fā)明網絡安全管理構架一較佳實施例組 成結構示意圖。
具體實施例方式
下面結合附圖及具體實施例對本發(fā)明再作進一步詳細的說明。 本發(fā)明4是供了 一種網絡安全管理構架(NSMF ， Network Security Management Framework)來支撐信息安全管理平臺(ISMP， Information Security ManagementPlatform)的實現(xiàn)，該構架以安全風險管理為核心，包含控制、管理、 信息庫三個功能層次。其中，網絡安全管理構架對外的接口包括與安全網元 (SNE， Security Network Element)之間的用于對安全網元進行管理信息配置的 4妾口 ，以及與電信管理網(TMN, Telecommunication Management Network)之 間進行信息交互的接口。該構架可以包括網絡安全管理中心(NSMC， Network Security Management Center )、安全風險管理功能(SRMF ， Security Risk Management Function )實體、安全缺陷掃描功能(SVSF， Security Vulnerability Scan Function)實體以及安全事件管理功能(SEMF, Security Event Management Function)實體。其中，安全風險管理功能實體、安全缺陷掃描功能實體和安全
事件管理功能實體構成安全風險管理系統(tǒng)。該構架還可進一步包括安全策略管
理功能(SPMF， Security Policy Management Function )實體。該構架內部的接口
包括網絡安全管理中心與安全策略管理功能實體之間的接口、網絡安全管理 中心和安全風險管理功能實體之間的接口、安全風險管理功能實體與安全缺陷 掃描功能實體之間的接口、安全風險管理功能實體和安全事件管理功能實體之 間的沖妄口。
圖1為本發(fā)明網絡安全管理構架的邏輯結構示意圖。如圖l所示，該網 絡安全管理構架通過外部的ICTMN和ICSNE接口分別連接電信管理網絡 (TMN)和安全網元(SNE)。該網絡安全管理構架的邏輯結構包括網絡 安全管理中心(NSMC)、安全策略管理功能(SPMF)實體、安全風險管 理功能(SRMF)實體、安全缺陷掃描功能(SVSF)實體和安全事件管理功 能(SEMF)實體。該網絡安全管理中心可通過IcT畫與電信管理網絡連接， 并通過Icsne接口速接安全網元。另外，該網絡安全管理構架內部還有多種 內部接口，其中，網絡安全管理中心通過Icsp接口與安全策略管理功能實體 進行通信，并通過Icsr接口與安全風險管理功能實體進行通信；安全風險管 理功能實體通過Irsv接口與安全缺陷掃描功能實體進行通信，并通過Irse 接口與安全事件管理功能實體進行通信。這里需要特殊說明的是，從整個通 信網絡布局來看，網絡安全管理構架并非介于電信管理網絡和安全網元之間 的系統(tǒng)，而是一個與電信管理網絡并列、起安全管理作用的中間控制系統(tǒng)， 現(xiàn)有網絡的電信管理網絡與安全網元之間有著直接的管理關系，但本發(fā)明并 不涉及電信管理網絡與安全網元之間的管理關系，因此本文對此也不作描 述。以下結合圖1對本發(fā)明構架中的各實體及接口做詳細描述。
1、網絡安全管理中心(NSMC),其為整個構架的管理和控制核心， 主要負責
l)向用戶提供管理界面，負責進行用戶的鑒權和管理操作交互、接收網絡 安全風險報告和網絡安全告警報告，向網絡管理員(或網管中心)轉發(fā)網絡安 全風險報告和網絡安全告警報告等；2) 進行用戶管理、訪問控制、安全審計等；
3) 管理和維護資產信息庫及安全知識庫，可以根據預設策略直接補充或通 過管理員人工完善；
4) 管理NSMF的系統(tǒng)日志以及安全風險管理功能實體上報的網絡安全日
志5
5) 負責網絡安全管理構架的外部訪問(包括對INTERNET、辦公網、網 管網的訪問)以及外部接入系統(tǒng)的集中訪問控制。
這里，NSMC服務器在與網絡安全管理構架之外的實體，如圖l所示的電 信管理網絡和安全網元，通信時，都要通過網關(Gateway )進行，如圖1中ICTOM 才妻口和ICTOM 4妻口上連4妄的網關。。
2、 安全風險管理功能(SRMF)實體，其為本構架的核心功能，從安全事 件管理功能實體和安全缺陷掃描功能實體接收安全事件信息和安全缺陷信息， 主要負責收集安全事件管理功能實體和安全缺陷掃描功能實體篩選出的安全事 件報告、網絡和系統(tǒng)安全漏洞，并參考資產信息和網絡安全組織策略(安全基 線)進行安全風險的評估，最后產生安全風險報告提交給網絡安全管理中心。 該安全風險報告中包括所有可能導致風險的安全事件和安全漏洞的清單，以 及各安全事件和安全漏洞可能產生的安全風險等級。
3、 安全事件管理功能(SEMF)實體，主要是通過采集、過濾、匯聚、關 聯(lián)分析等手段對所提交安全事件報告和日志記載的事件內容進行分析以甄別其 中可能產生安全事故(Security Incident)的安全事件信息，并對安全事件進行 嚴重性排序，使網絡安全管理中心或管理員能夠優(yōu)先呈現(xiàn)和處理嚴重性級別較 高的安全事件，這一過程中包含日志審計的功能。這里，網絡安全管理中心根 據安全事件的類型和審計結果能進行不同的操作，如產生安全事件報告和曰志 記錄等。
NSMF支持結合其他安全信息對各種信息安全事件進行關聯(lián)分析。所述安 全事件管理功能實體包括信息安全事件篩選模塊和信息安全事件關聯(lián)分析模 塊。當信息安全事件篩選模塊將處理后的報告?zhèn)魉徒o信息安全事件關聯(lián)分析模
塊后，信息安全事件關聯(lián)分析模塊便按照既定策略對其進行匯聚、關聯(lián)分沖斤、 嚴重性排序等一 系列分析與處理操作，挖掘出隱藏在各個相關事件中的信息， 并將真正具備威脅的安全事件并報告給上層管理結構，以降低系統(tǒng)全面安全控
制所需耗費的資源，提高工作效率。同時，信息安全事件關聯(lián)分析模塊也^1尋處
理結果通過安全風險評估及管理服務器傳送給網絡安全管理中心中的NSMC服 務器，該處理結果也可能再由NSMC服務器傳輸給電信管理網絡；該信息安全 事件關聯(lián)分析模塊的處理結果也將通過安全風險評估及管理服務器傳送給網絡 安全管理中心中的安全日志庫，以便為NSMC服務器的審計提供基礎信息。
4、 安全缺陷掃描功能(SVSF)實體
NSMF支持對電信網絡的資產進行安全漏洞掃描。在運行中，安全缺陷掃 描服務一般由人工啟動、配置、執(zhí)行，也可以讓系統(tǒng)根據預先配置好的策略模 型自動對電信網絡資產進行定期安全缺陷掃描；網絡安全缺陷(也稱漏洞)掃 描可通過上文所述的私有接口進行。掃描的范圍將根據網絡結構和具體實施情 況而定；掃描結果將通過Irsv接口傳送給安全風險管理功能實體，由該安全風 險管理功能實體結合資產信息庫和安全知識庫中的信息對安全缺陷掃描結果進 行綜合評估，將評估后的安全缺陷報告?zhèn)魉徒o網絡安全管理中心中的NSMC服 務器，并^t送到安全日志庫進行存儲和管理，同時可能會根據安全漏洞的嚴重 程度發(fā)出相應的安全告警通知給NSMC服務器。
5、 安全策略管理功能(SPMF)實體
NSMF支持對整個系統(tǒng)的安全策略的存儲保護、配置管理、訪問控制和集
中下發(fā)等管理功能。在運營中，安全策略管理功能實體通過Icsp接口來傳輸信
息來完成對安全策略的集中管理，主要包括根據組織策略采取一套完整的、特
殊的機制來進行存儲保護、配置管理、訪問控制等管理。安全策略集中下發(fā)在
NSMF內部，其主要面向安全事件管理功能實體、安全風險管理功能實體、安
全缺陷掃描功能實體、以及安全網元等，在NSMF外部可以根據網絡實際配置
狀況進行設定。安全策略集中管理的范圍包括網絡安全基線庫和網元安全策略
庫。網絡安全基線庫是保證系統(tǒng)內(也可以根據實際情況擴充到整個電信網絡
中)設備、系統(tǒng)、服務安全水平的安全策略數(shù)據庫，其保存作為系統(tǒng)安全基準 的安全基線，安全基線可以被用來配置、衡量、檢驗設備、系統(tǒng)、服務的安全 水平。網元安全策略庫是對系統(tǒng)內(也可以根據實際情況擴充到整個電信網絡 中)設備、系統(tǒng)、服務進行有區(qū)別化的、針對化的配置、下發(fā)的安全策略數(shù)據。 6、 IcTNM接口
IcTNM接口是NSMF和電信管理網絡之間的信息交互接口 ， NSMF通過該接 口從電信管理網絡中獲取管理數(shù)據，如資產信息等，也可以通過該接口向電信 管理網絡管理員發(fā)送安全管理信息數(shù)據，如安全狀態(tài)報告、風險評估報告等， 電信管理網絡管理員可以通過該接口啟動或監(jiān)控NSMF提供的安全管理功能， 如安全缺陷掃描等。此外NSMF通過電信管理網絡實現(xiàn)安全網元的管理也需要
通過該接口進行。因此，IcjNM接口需要滿足如下功能要求
1 )傳輸NSMF到電信管理網絡的數(shù)據信息，包括從NSMF產生的安全管 理輸出信息通過該接口傳遞到電信管理網絡，以供電信管理網絡參考使用，這 些信息主要指NSMF產生的安全風險報告和安全風險告警，包括安全缺陷掃 描結果、安全風險評估結果、安全事件關聯(lián)分析結果以及相關的分析數(shù)據信息。
2) 傳輸電信管理網絡到NSMF的數(shù)據信息，包括NSMF可以通過此通道 獲得電信管理網絡收集或存儲的資產信息，包括資產的位置、價值、安全等級 等信息，這些資產信息將在更新時通過該接口不斷同步地在NSMF的資產信息 庫中更新。該接口在實際應用中為可選接口，當NSMF可以獨立獲取資產^"息
時就不需要通過ICTNM向電信管理網絡索取同類信息。
3) 傳輸NSMF到電信管理網絡的管理信息，該管理信息主要是與人機界 面相關的控制信息。如果實際部署時不需要NSMF提供獨立的人機控制臺，而 是使用電信管理網絡已有的控制臺界面，那就需要NSMF向電信管理網絡提 供一 系列的應用程序接口 ( API， Application Program Interface )函數(shù)，以{更網 絡管理員可以通過該接口來控制和使用NSMF提供的安全管理功能，在這一過 程中，控制信息是從電信管理網絡發(fā)向NSMF的。
4) 傳輸電信管理網絡到NSMF的管理信息。從將來的發(fā)展來看，NSMF
始終不可能去控制電信管理網絡，但是實際的部署中可能會出現(xiàn)NSMF通過電 信管理網絡來對網元進行安全管理操作，如策略配置、安全隔離等，因此當 NSMF獨立的控制臺界面被使用時，且NSMF產生的安全決策需要通過電信管 理網絡去執(zhí)行時，則需要通過該接口進行安全管理操作。另外，如果NSMF具 備獨立管理和配置安全網元的能力時，就不需使用該Ictom接口而可使用ICSNE 接口來安全網元進行安全配置。
7、 Icsne接口 (該接口為可選)
NSMF與安全網元之間的接口實際上包括其他一些私有接口 ，當NSMF需
要直接對網元設備進行安全配置時可以通過IcsNE接口進行，也可以通過電4言管
理網絡進行，而NSMF中的安全風險管理功能實體則可以分別通過獨立的安全 缺陷掃描功能實體和安全事件管理功能實體內的私有接口來完成收集安全事件 報告、日志信息，進行安全漏洞掃描等活動，因為私有接口并不會影響NSMF 整體的可用性和互通性，所以本文對此不作討論。下面對NSMF的公開接口 ICSNE 接口的功能加以描述。
1 )從NSMF到安全網元的通信。NSMF需要根據安全缺陷掃描、安全事 件關聯(lián)分析、安全審計等安全管理行為的結果制定出對應的決策甚至執(zhí)行這些 決策，這些決策包括安全網元的策略配置、資產安全隔離等內容，因此，NSMF 可以通過該接口對安全網元進行操作，而安全網元需要提供開放的操作接口 ， 如策略配置接口等，或者在安全網元安裝相關安全代理，以協(xié)助NSMF完成操
作，另外安全策略管理功能實體中的策略集中下發(fā)也可以通過該IcSNE接口實現(xiàn)。
2 )從安全網元到NSMF的通信。從安全網元到NSMF的數(shù)據報告一般 都通過私有接口交互，但考慮到網絡安全聯(lián)動構架的需要，CRS系統(tǒng)通過該 方向的Icsne接口可以與NSMF連接以申請對其他安全網元的聯(lián)動配置，也 可以通過該Icsne接口申請所需的網絡安全狀況信息和資產信息。
8、 Icsp接口
Icsp接口是網絡安全管理中心和安全策略管理功能實體之間的接口，通過
該Icsp接口 NSMF可以對網元安全策略庫和網絡安全基線庫進行更新、維護、 備份、訪問控制等管理活動，也可以提取該網元安全策略庫中的安全策略用于 集中下發(fā)和配置，也可以通過該Icsp接口提取網絡安全基線庫的網絡安全基線 用于安全審計。
9、 Icsr接口
Icsr接口是網絡安全管理中心和安全風險管理功能實體之間的接口，用于 網絡安全管理中心下發(fā)安全風險管理指令至安全風險管理功能實體，并從安全 風險管理功能實體接收安全報告信息，因此該Icsr接口也有需要定義的API供 網絡安全管理中心使用。安全風險管理功能實體與安全策略管理功能實體不同， 后者是一個類似數(shù)據庫管理服務器的實體，而前者則是具備一定管理功能的中 間實體，負責對安全缺陷掃描功能實體和安全時間管理功能實體上報的中間信 息進行處理再上報給網絡安全管理中心，因此該Icsr接口上傳輸?shù)墓芾砻钜?般是發(fā)送給安全風險管理功能實體的，由安全風險管理功能實體根據需要進行 處理或者命令轉發(fā)，而安全風險管理功能實體返回的報告則可能包含各種才各式 的內容，如數(shù)據表、圖形等，所以在實際使用時需要在該Icsr接口上配置能夠 傳輸這些信息內容的協(xié)議。
10、 Irse接口
Irse接口是安全風險管理功能實體和安全事件管理功能實體之間的接口 ， 安全風險管理功能實體通過該Irse接口向安全事件管理功能實體發(fā)送管理信息 以對其進行配置、并向其下發(fā)策略，安全事件管理功能實體向安全風險管理功 能實體返回安全事件關聯(lián)分析的結果，如安全告警報告和安全日志等。該Irse 接口和Irsv接口都是受安全風險管理功能實體直接控制的，對于用戶而言這兩 種接口從網絡安全管理中心的層面都是不可見的，因此這兩個接口可被稱為二 級接口。
11、 Irsv接口
Irsv接口是安全風險管理功能實體和安全缺陷掃描功能實體之間的接口 ， 同lrse接口一樣，該Irsv接口也屬于二級接口，安全風險管理功能實體通過該
Irse接口啟動安全缺陷掃描功能實體，下發(fā)或更新安全缺陷掃描功能實體的掃 描策略，或者對安全缺陷掃描功能實體進行配置，由于安全缺陷掃描功能實體 的缺陷庫一般是自帶的，所以該Irse接口無需考慮該類信息的傳遞，反之安全 缺陷掃描功能實體將通過該Irse接口返回掃描結果給安全風險管理功能實體， 如缺陷列表和相關報告等。
本發(fā)明網絡安全管理構架為開放式的邏輯構架，可以自由地在此基礎上進 行功能擴展，其內部各個功能實體之間的接口都是開放并可以再次開發(fā)的，同 時也是最基本的ISMS實現(xiàn)平臺。安全風險管理是本構架的核心功能，本構架 的另 一個基本功能是實現(xiàn)安全策略集中管理，網絡安全管理中心還可包含4艮多 基本安全功能，如，用戶管理、安全知識管理、資產管理、訪問控制、安全審 計等。
圖2為基于圖1的邏輯結構的本發(fā)明網絡安全管理構架一較佳實施例組成 結構示意圖。本實施例的網絡安全管理構架對應于圖2所示的安全信息域和安 全管理域，其連接電信管理網絡和安全基礎域中的各個安全網元。
安全信息域主要包括各種數(shù)據庫，包括網絡安全基線庫、網元安全策略 庫、系統(tǒng)日志庫、安全日志庫、用戶信息數(shù)據庫、資產信息庫和安全知識庫。 安全管理域包括各種管理服務器，包括安全策略管理服務器、日志及審計服 務器、i人i正4受4又管J里(AAA, Authentication Authorization Administration )月艮務 器、NSMC服務器、安全缺陷掃描服務器、安全事件管理服務器、安全風險評 估及管理服務器。安全基礎域包括各種安全網元(也稱安全資產)，即多種安全 設備和客戶端安全代理軟件，包括病毒檢測設備、入侵檢測設備、主機漏洞 掃描設備、安全代理和防火墻等等。其中，日志及審計服務器、AAA服務器、 NSMC服務器、系統(tǒng)日志庫、安全日志庫、用戶信息數(shù)據庫和資產信息庫和安 全知識庫屬網絡安全管理中心范疇，安全策略管理服務器、網絡安全基線庫和 網元安全策略庫屬安全策略管理功能實體范疇，安全缺陷掃描服務器、安全事 件管理服務器和安全風險評估及管理服務器屬安全風險管理系統(tǒng)，在該安全風 險管理系統(tǒng)中，安全缺陷掃描功能實體實現(xiàn)為安全缺陷掃描服務器，安全事件
管理功能實體實現(xiàn)為安全事件管理服務器、安全風險管理功能實體實現(xiàn)為安全 風險評估及管理服務器。下面逐一對該網絡安全管理構架中的各個組成部分加
以說明。
一、 網絡安全管理中心(NSMC)
1、 NSMC服務器，連接資產信息庫和安全知識庫，用于向用戶提供管理界 面，負責管理操作交互，通過Icsr接口從安全風險評估及管理服務器接收網絡 安全風險報告和網絡安全告警；該NSMC服務器可自行處理該安全風險報告和 安全告警(比如向網絡管理員顯示安全風險報告，并根據網絡管理員輸入的 操作命令執(zhí)行安全措施，或可轉發(fā)安全風險報告和安全告警至電信管理網^^， 由電信管理網絡處理該安全風險報告和安全告警；集中管理和維護資產信息庫 及安全知識庫，可根據預設策略直接補充或通過管理員人工完善資產信息庫及 安全知識庫；可以通過Icsp接口從安全策略管理服務器接收安全策略，負責進
行外部訪問并對外部接入系統(tǒng)的訪問進行集中控制；可從IcTMN接口通過電信 管理網絡對網元進行安全配置或者從IcsNE接口對安全網元進行安全配置。這
里，NSMC服務器在與網絡安全管理構架之外的實體(即上述電信管理網絡和 安全網元)通信時都要通過網關(Gateway)進行，圖2中并未示出。
2、 AAA服務器，連接用戶信息數(shù)據庫和NSMC服務器，用于接收來自 NSMC服務器的用戶信息并對用戶進行鑒權和管理、以及訪問控制。
3、 日志及審計服務器，連接NSMC服務器、安全日志庫和系統(tǒng)日志庫， 用于管理來自NSMC服務器的網絡安全管理構架的系統(tǒng)日志及安全風險管理功 能實體上報的網絡安全日志、安全審計。
二、 安全風險管理系統(tǒng)
1、安全缺陷掃描服務器，用于進行網絡安全缺陷(也稱漏洞)掃描，從安 全網元獲取安全缺陷信息，其可通過私有接口與安全網元進行通信，其安全缺 陷掃描服務可由人工啟動、配置、執(zhí)行，也可以根據預先配置好的策略模型自 動對電信網絡資產(即安全網元)進行定期安全缺陷掃描其掃描的范圍將根據 網絡結構和具體實施情況而定；其網絡安全缺陷掃描可通過與安全網元之間的
私有j妄口進;f于，并通過lrsv接口傳送安全缺陷掃描結果給安全風險評估及管理 服務器。
2、 安全事件管理服務器，主要是通過采集、過濾、匯聚、關聯(lián)分析等手段 對安全網元提交的安全事件報告和日志記載的事件內容進行分析以甄別其中可 能產生安全事故的安全事件信息，并對安全事件進行嚴重性排序，使網絡安全 管理系統(tǒng)或管理員能夠優(yōu)先呈現(xiàn)和處理嚴重性級別較高的安全事件，這一過程 中包含日志審計的功能。這里，安全事件管理服務器可根據安全事件的類型和 審計結果的不同而進行不同的操作，如產生安全事件報告和日志記錄等，并通 過Irsi接口傳送安全事件報告給安全風險評估及管理服務器。
其中，安全事件管理服務器之中可配置有信息安全事件篩選模塊和信息安 全事件關聯(lián)分析模塊，這兩個模塊的功能和工作原理在前面安全事件管理功能 實體的描述中有所述，這里就不再贅述。
3、 安全風險評估及管理服務器，主要負責收集安全事件管理服務器篩選出 的安全事件報告，以及來自安全缺陷掃描服務器的網絡和系統(tǒng)安全缺陷信息； 進行安全風險評估，該安全風險評估需要參考通過Icsr接口從NSMC服務器接 收的資產信息庫的信息和來自網絡安全基線庫的網絡安全組織策略(即安全基 線)；最后產生安全風險報告提交給NSMC服務器，安全風險報告中應該包括 所有可能導致風險的安全事件和安全漏洞的清單，以及可能產生的安全風險等 級。該安全風險評估及管理服務器可通過Icsr接口從NSMC服務器接收資產信 息庫和安全知識庫的信息并結合這些信息對安全缺陷掃描的結果進行綜合評 估，將評估后的安全缺陷報告通過Icsr接口傳送給NSMC服務器，并由NSMC 服務器將安全缺陷報告送到安全日志庫進行存儲和管理，同時該安全風險評估 及管理服務器還可能會根據安全漏洞的嚴重程度發(fā)出相應的安全告警給NSMC 服務器。
三、安全策略管理功能(SPMF)實體
安全策略管理服務器，其通過Icsp接口來傳輸安全策略信息給NSMC服務器 來完成對安全策略的集中管理，主要包括根據組織策略采取一套完整的、特殊
的機制來進行存儲保護、配置管理、訪問控制等管理。其中，該安全策略管理 服務器可支持安全基線和安全策略數(shù)據的集中下發(fā)，其可以從網絡安全基線庫 和網元安全策略庫獲取需要集中下發(fā)的安全基線和安全策略數(shù)據并轉發(fā)給網絡 安全管理中心服務器，由該網絡安全管理中心服務器進行集中的下發(fā)。該安全
策略數(shù)據集中下發(fā)在NSMF內部，其主要面向安全事件管理、安全風險評估及 管理、安全缺陷掃描等系統(tǒng)，在NSMF外部可以根據網絡實際配置狀況設定安 全策略數(shù)據。安全策略數(shù)據被集中管理在安全策略管理服務器連接的網絡安全 基線庫和網元安全策略庫之內。
本發(fā)明為電信網絡提供了可以實現(xiàn)信息安全管理的構架方案，該方案以安 全風險管理為核心，提供了安全策略管理、安全事件管理和安全缺陷掃描的關 聯(lián)關系，為信息安全管理在通信網絡的實現(xiàn)提供了可擴展的功能構架；本發(fā)明 還明確定義接口的功能，使得該構架具備了很強的靈活性和適應性；本發(fā)明方 案使電信管理網具有能夠對安全產品進行統(tǒng)一協(xié)調配置的能力，為操作人員提 供了簡單便捷的操作管理模式。
以上所述僅為本發(fā)明的較佳實施例而已，并非用于限定本發(fā)明的保護范 圍。凡在本發(fā)明的精神和原則之內所作的任何修改、等同替換、改進等，均 包含在本發(fā)明的保護范圍內。
權利要求
1、一種網絡安全管理構架NSMF，包括安全風險管理系統(tǒng)，收集安全事件信息和安全缺陷信息，分析得到安全風險報告；網絡安全管理中心NSMC，分析來自安全風險管理系統(tǒng)的安全風險報告并進行網元的安全配置。
2、 根據權利要求1所述的構架，其特征在于，該構架進一步包括 安全策略管理功能SPMF實體，維護和管理安全策略數(shù)據和安全基線，通過所述網絡安全管理中心集中下發(fā)安全策略數(shù)據給安全風險管理系統(tǒng)和/或網元；所述安全風險管理系統(tǒng)通過所述網絡安全管理中心從所述安全策略管理 功能實體讀取安全基線，并按安全基線分析得到安全風險報告。
3、 根據權利要求2所述的構架，其特征在于，所述安全策略管理功能實 體，包括安全策略管理服務器，集中維護和管理網絡安全基線數(shù)據庫和網元安全策 略數(shù)據庫，通過所述網絡安全管理中心集中下發(fā)安全策略數(shù)據； 網絡安全基線數(shù)據庫，提供安全基線； 網元安全策略數(shù)據庫，提供安全策略數(shù)據；所述安全風險管理系統(tǒng)通過所述網絡安全管理中心從所述安全策略管理 服務器讀取安全基線。
4、 根據權利要求2所述的構架，其特征在于，所述安全風險管理系統(tǒng)，包括安全風險管理功能SRMF實體，通過所述網絡安全管理中心從安全策略功 能實體接收安全基線和安全策略數(shù)據，參考網絡安全管理中心提供的資產信息、 安全知識和安全基線對來自安全事件管理功能實體的安全事件信息和來自安全 缺陷掃描功能實體的安全缺陷信息進行安全風險評估并產生安全風險報告；安全缺陷掃描功能SVSF實體，按安全風險管理功能實體提供的安全策略數(shù)據配置自身缺陷掃描功能，掃描網元的網絡安全缺陷得到安全缺陷信息；安全事件管理功能SEMF實體，按安全風險管理功能實體提供的安全策略 數(shù)據配置自身的事件管理功能，對網元提交的安全事件報告和日志記載的事件內容進行分析得到安全事件信息。
5、 根據權利要求4所述的構架，其特征在于，所述安全事件管理功能實 體，包括信息安全事件篩選模塊，篩選網元提交的安全事件報告和日志記栽的事件 內容得到篩選報告；信息安全事件關聯(lián)分析模塊，對信息安全事件篩選模塊的篩選后的安全事 件報告和日志記載的事件內容進行匯聚、關聯(lián)分析、嚴重性排序，得到具備威脅的安全事件信息。
6、 根據權利要求5所述的構架，其特征在于，所述信息安全事件關聯(lián)分 析模塊通過安全風險管理功能實體提供安全事件信息或直接提供安全事件信息給網絡安全管理中心。
7、根據權利要求4所述的構架，其特征在于，所述網絡安全管理中心，包 括網絡安全管理中心服務器、資產信息庫和安全知識庫；所述網絡安全管理中心服務器，集中控制整個網絡安全管理構架，管理和 維護資產信息庫和安全知識庫；接收來自安全策略管理功能實體的安全基線和 安全策略數(shù)據，向安全風險管理功能實體和/或網元下發(fā)安全策略凄t據，并向安全風險管理功能實體提供資產信息、安全知識和安全基線；從安全風險管理功 能實體接收安全風險報告。
8、 沖艮據權利要求7所述的構架，其特征在于，所述網絡安全管理中心服務TMN。
9、 根據權利要求7所述的構架，其特征在于，所述網絡安全管理中心進一 步包括日志及審計服務器、認證授權管理AAA服務器、系統(tǒng)日志庫、安全曰志庫和用戶信息凌t據庫；所述認證授權管理AAA服務器，按用戶信息數(shù)據庫中的用戶信息，對通 過網絡安全管理中心服務器接入的用戶進行鑒權和管理，并執(zhí)行訪問控制；所述日志及審計服務器，按網絡安全管理中心提供的來自安全風險管理功 能實體的網絡安全日志和安全審計管理和維護安全日志庫，并在系統(tǒng)日志庫中 管理和維護整個網絡安全管理構架的系統(tǒng)日志。
10、 根據權利要求7或8所述的構架，其特征在于，所述網絡安全管理中 心服務器通過電信管理網對網元進行安全配置或直接對網元進行安全配置。
11、 根據權利要求7或8所述的構架，其特征在于，所述安全風險管理功 能實體進一步用于產生安全風險告警并轉發(fā)給網絡安全管理中心服務器；所述網絡安全管理中心服務器進一步用于處理所述安全風險告警或轉發(fā)該 安全風險告警至電信管理網絡。
12、 根據權利要求l、 2、 4或7所述的構架，其特征在于，所述安全風險 報告包括所有可能導致風險的安全事件和安全漏洞的清單，以及各安全事件 和安全漏洞各自對應的安全風險等級。
全文摘要
本發(fā)明公開了一種網絡安全管理構架，包括網絡安全管理中心，集中控制該網絡安全管理構架，分析來自安全風險管理系統(tǒng)的安全風險報告并完成網元的安全配置；安全風險管理系統(tǒng)，收集安全事件信息和安全缺陷信息，分析得到安全風險報告。本發(fā)明能提供一種以安全風險管理為核心的網絡信息安全管理方式。
文檔編號H04L12/24GK101174973SQ20061013763
公開日2008年5月7日 申請日期2006年10月31日 優(yōu)先權日2006年10月31日
發(fā)明者昊 李, 黃海龍 申請人:華為技術有限公司