專利名稱：信息安全管理多級分布式傳輸控制方法
技術領域：
本發(fā)明屬網絡安全技術領域，具體涉及一種適用于網絡內部管理的信息安全管理多級分布式傳輸控制方法。
背景技術：
隨著網絡安全事件的不斷發(fā)生，國內外對網絡安全的研究越來越深，從最初的防止外部攻擊到現(xiàn)在內部安全管理，這種網絡安全的認識轉變對安全管理技術也提出了新的要求。經權威部門統(tǒng)計，目前發(fā)生的電腦安全事件有80％以上來自于內部。近幾年國內外都在研究如何更有效的對內部網絡進行管理和控制，特別是涉密網絡。并且隨著網絡的普及，網絡規(guī)模越來越大，跨域跨地區(qū)的辦公和管理成為發(fā)展趨勢，如何對這種大規(guī)模的網絡環(huán)境進行管理是國內外正在研究的新課題，其中多級的傳輸協(xié)議研究還相對較少，目前還沒有相關的文獻報導。申請人在多年分布式管理技術的研究基礎上，利用IP和IPSEC等協(xié)議的部分傳輸原理研制了信息安全管理多級分布式傳輸控制方法。

發(fā)明內容
本發(fā)明的目的在于提出一種安全性好、適用于網絡內部管理的信息安全管理多級分布式傳輸控制方法。
本發(fā)明提出的適用于網絡內部管理的信息安全管理多級分布式傳輸控制方法，包括連接握手協(xié)議和控制信息傳輸兩個部分。
連接握手協(xié)議首先通過TCP協(xié)議進行遠程可靠連接，然后通過密碼身份認證，協(xié)商一個隨機的密碼和加密算法，其流程見圖1所示。具體步驟如下被管理客戶端或下一級管理中心先向上一級管理中心發(fā)送包含本機信息身份的認證包，此身份認證包由系統(tǒng)缺省的加密算法(在握手成功之前，所有的信息加密都使用缺省加密算法)進行加密，密碼在系統(tǒng)安裝實施時指定客戶端發(fā)送身份認證后等待管理中心的握手協(xié)議包，指定后續(xù)的加密算法和動態(tài)的密碼。如果在一定時間沒有收到此信息表示網絡切斷或身份認證沒通過，重新進行連接；管理中心驗證收到的身份認證的正確性，如果錯誤則直接切斷本次連接，否則隨機在密碼算法庫中選擇一種算法，并產生一個隨機密碼，發(fā)送到被管理客戶端，握手成功；后續(xù)的傳輸全部采用此算法和密碼。
控制信息傳輸在信息傳輸中所有通訊包都采用幀方式，來控制信息傳輸。每個幀格式如圖2所示，這是解密后的格式。該幀格式包括幀頭、幀內容、完整性驗證碼和幀尾標識。其中，幀頭包括幀頭標識、版本號、幀長度、傳輸標識、擴充頭標識、擴充頭長度和可選擴充頭等內容。每個幀由幀頭標識開始，以幀尾標識結束，版本號表示當前協(xié)議版本，為以后升級擴充準備，幀長度包括幀頭和幀尾，傳輸標識指示此幀是往下下發(fā)策略還是往上傳輸信息，擴充頭標識指示此幀是否有擴充頭，擴充頭長度以字節(jié)為單位，擴充頭下面就是幀的內容，完整性驗證對除了幀頭和幀尾外所有的數(shù)據進行摘要算法處理。
擴充頭內容如圖3所示，由擴充內容標識、擴充內容長度和擴充內容組成。擴充內容標識指示當前擴充內容的類型。有多種擴充內容的情況下，后面的擴充內容直接跟隨接入前一個擴充內容之后，總長度應與幀頭的擴充頭長度相同。
幀內容有兩種格式一是控制內容，二是信息傳輸內容。
控制內容格式包括控制內容頭和控制內容，控制內容頭包括頭長度、內容長度、來源中心、下發(fā)級數(shù)、目標主機和控制標識，如圖4所示。此格式用于管理中心向被管理客戶端或下一級管理中心下發(fā)控制策略之用。來源中心標志下發(fā)策略的管理中心標識，下發(fā)級數(shù)表示從本中心開始往下有多少級客戶端需用此控制命令，目標主機可以為空或不空，為不空時表示此命令僅下發(fā)到此客戶端或管理中心。一組控制命令可以由多個幀來發(fā)送，控制標識指示本幀是控制命令的開始、命令體或是命令結束。
信息傳輸內容格式包括信息內容頭和信息內容，信息內容頭包括頭長度、內容長度、來源主機、目標中心和信息來源路徑，見圖5所示。信息傳輸內容格式用于被管理客戶端或下一級管理中心向上傳輸信息之用。來源主機表示此信息由哪個主機結點產生，目標中心表示信息最絡發(fā)送到此中心為止，不再往上傳輸。信息來源路徑記錄了此信息從源主機到到前中心所經過的各級中心地址，地址以中心級別從低到高排列，中間以“.”分隔。
本發(fā)明的信息安全管理多級分布式傳輸控制方法，其級數(shù)可以是2級、3級、4級，甚至更多。本發(fā)明可實現(xiàn)網絡內部安全、有效的管理。
本發(fā)明可以應用于任何基于多級的或跨域的網絡管理體系中，特別適用于資產管理、網絡安全管理、全網監(jiān)控、電子商務、電子政務、電子黨務以及軍隊管理等系統(tǒng)上的應用。
網絡規(guī)模正在呈幾何級的速度發(fā)展，各種無紙化辦公和電子應用在世界范圍內部署，對跨地區(qū)的規(guī)模管理提出要求，這種管理只能是通過網絡來實現(xiàn)，策略的分發(fā)和信息的傳輸是多級管理的基礎，本發(fā)明方法在各種管理系統(tǒng)中會有大規(guī)模的應用。


圖1為連接握手協(xié)議流程框圖。
圖2為通訊包的幀格式圖示。
圖3為幀格式中擴充頭內容圖示。
圖4為幀內容中控制內容格式圖示。
圖5為幀內容中信息傳輸內容格式圖示。
圖6為本發(fā)明應用例的系統(tǒng)圖示。
具體實施例方式
本發(fā)明作為一種信息與策略的分發(fā)管理方法或協(xié)議，具體開發(fā)實施中可根據實際情況對各環(huán)節(jié)進行定義。加密算法庫可以自由選擇，傳輸協(xié)議中各字段也可以根據需要定義其長度。
根據本發(fā)明方法，發(fā)明人已經設計了信息安全綜合強審計系統(tǒng)。綜合強審計系統(tǒng)是一個信息安全管理多級分布式的跨域安全管理系統(tǒng)，圖6為系統(tǒng)的多級示意圖。系統(tǒng)內置了五種加密算法，缺省算法為3DES，采用32位密鑰長度。所有加密僅對幀內容進行加密，幀頭、完整性驗證碼和幀尾不進行加密，完整性驗證碼驗證幀頭和幀內容。
每個幀由0x7E開始，0x7F結束，即幀頭和幀尾標識，各占用一個字節(jié)；版本號有兩個字節(jié)組成，前一字節(jié)為主版本號，后一字節(jié)為副版本號；幀長度由四個字節(jié)組成，為一個integer型變量，按主機字節(jié)順序存放；傳輸標識占用一個字節(jié)，有三種取值0xFF表示為身份認證包，0x01表示此幀往下一級發(fā)送，0x10表示此幀往上一級發(fā)送；擴充頭標識和擴充頭長度合用四個字節(jié)，以主機字節(jié)順序存放，最高位為0表示無擴充頭，否則其余的31位指出整個擴充頭的長度；擴充內容標識現(xiàn)只有一個取值，為0x01，表示擴充內容為此幀經過的節(jié)點全路徑；控制內容和傳輸內容的頭長度為一個字節(jié)，內容長度為四個字節(jié)，以主機順序存放；控制內容幀的下發(fā)級數(shù)有兩個字節(jié)組成，第一個字節(jié)表示此幀需下發(fā)的級數(shù)，第二字節(jié)表示已下發(fā)到的級數(shù)，級數(shù)以0開始，制定策略的中心為第0級，由此中心直接管理的下一級中心為第1級，以此類推，每到一個中心把已下發(fā)級數(shù)加一。如果此級數(shù)和前一字節(jié)的需下發(fā)級數(shù)相同，則不再把此幀再往下一級發(fā)送，否則向所有本級所管理的下一級中心下發(fā)。每個中心在收到控制幀時只向所管理的傳感器中與目標主機相匹配的傳感器發(fā)送此控制命令，目標主機如果為0，則表示向所有的傳感器發(fā)送此控制命令，每個傳感器(即主機)和各級中心由16個字節(jié)的字串來表示，其唯一性根據從主機中提取的軟硬件信息通過一定算法來確定，在多級情況下由經過的全路徑來唯一確定；控制標識由一個字節(jié)組成，第一位表示為控制命令的開始，第二位表示控制命令的結束，第三位表示控制命令體，當設置為開始或結束標志時此幀也包含一個控制命令體，開始和結束位可以同時設置，表示此控制命令只有一個幀；信息內容由傳感器直接傳送到管理此傳感器的中心，此中心根據策略決定是否把此信息往上一級中心傳送，以此類推，最終可以傳送到最高一級管理中心。信息來源路徑標識了此信息的轉發(fā)過程，各經過的中心從低到高排列，中間以“.”分隔。
目前信息安全綜合強審計系統(tǒng)應用最大分級為三級，此用戶的總公司與子公司分處兩地，子公司下又有多個部門，總公司可以管理和查詢各部門的信息，具體實施中以總公司為第一級管理中心，子公司為二級管理中心，部門為三級管理中心，從上到下可以分發(fā)策略，總公司可以制定策略從各部門主機中獲取需要的管理和審計信息，目前運行良好，用戶滿意。
權利要求
1.一種信息安全管理多級分布式傳輸控制方法，其特征在于首先通過TCP協(xié)議進行遠程可靠連接，然后通過密碼身份認證，協(xié)商一個隨機的密碼和加密算法，具體步驟如下被管理客戶端或下一級管理中心先向上一級管理中心發(fā)送包含本機信息身份的認證包，此身份認證包由系統(tǒng)缺省的加密算法進行加密，密碼在系統(tǒng)安裝實施時指定客戶端發(fā)送身份認證后等待管理中心的握手協(xié)議包，指定后續(xù)的加密算法和動態(tài)的密碼；如果在一定時間沒有收到此信息表示網絡切斷或身份認證沒通過，重新進行連接；管理中心驗證收到的身份認證的正確性，如果錯誤則直接切斷本次連接，否則隨機在密碼算法庫中選擇一種算法，并產生一個隨機密碼，發(fā)送到被管理客戶端，握手成功。
2.根據權利要求1所述的方法，其特征在于信息傳輸中，所有通訊包都采用幀方式，該幀格式包括幀頭、幀內容、完整性驗證碼和幀尾標識；其中，幀頭包括幀頭標識、版本號、幀長度、傳輸標識、擴充頭標識、擴充頭長度和可選擴充頭等內容；每個幀由幀頭標識開始，以幀尾標識結束，版本號表示當前協(xié)議版本，為以后升級擴充準備，幀長度包括幀頭和幀尾，傳輸標識指示此幀是往下下發(fā)策略還是往上傳輸信息，擴充頭標識指示此幀是否有擴充頭，擴充頭長度以字節(jié)為單位，擴充頭下面就是幀的內容，完整性驗證對除了幀頭和幀尾外所有的數(shù)據進行摘要算法處理。
3.根據權利要求2所述的方法，其特征在于所述的擴充頭由擴充內容標識、擴充內容長度和擴充內容組成；擴充內容標識指示當前擴充內容的類型；有多種擴充內容的情況下，后面的擴充內容直接跟隨接入前一個擴充內容之后，總長度應與幀頭的擴充頭長度相同。
4.根據權利要求2所述的方法，其特征在于所述的幀內容有兩種格式控制內容格式和信息內容格式。
5.根據權利要求4所述的方法，其特征在于所述的控制內容格式包括控制內容頭和控制內容，控制內容頭包括頭長度、內容長度、來源中心、下發(fā)級數(shù)、目標主機和控制標識；來源中心標志下發(fā)策略的管理中心標識，下發(fā)級數(shù)表示從本中心開始往下有多少級客戶端需用此控制命令，目標主機為空或不空，為不空時表示此命令僅下發(fā)到此客戶端或管理中心；一組控制命令由多個幀來發(fā)送，控制標識指示本幀是控制命令的開始、命令體或是命令結束。
6.根據權利要求2所述的方法，其特征在于所述的信息傳輸內容格式包括信息內容頭和信息內容，信息內容頭包括頭長度、內容長度、來源主機、目標中心和信息來源路徑；來源主機表示此信息由哪個主機結點產生，目標中心表示信息最絡發(fā)送到此中心為止，不再往上傳輸，信息來源路徑記錄了此信息從源主機到到前中心所經過的各級中心地址，地址以中心級別從低到高排列，中間以“.”分隔。
全文摘要
本發(fā)明屬于網絡安全技術領域，具體為一種適用于網絡內容管理的信息安全管理多級分布式傳輸控制方法。該方法包括連接握手協(xié)議和控制信息傳輸兩個部分。首先通過TCP協(xié)議進行遠程可靠連接，然后通過密碼身份認證，協(xié)調一個隨機的密碼和加密算法；在信息傳輸中，所有的通訊包均采用幀方式來控制信息傳輸。本發(fā)明可實現(xiàn)網絡內容的安全、有效的管理，可以用于任何基于多級的或跨域的網絡管理體系中。
文檔編號H04L12/24GK1773991SQ20051011045
公開日2006年5月17日 申請日期2005年11月17日 優(yōu)先權日2005年11月17日
發(fā)明者陸中威 申請人:上海漢邦京泰數(shù)碼技術有限公司