專利名稱：基于硬件的與操作系統(tǒng)無關(guān)的服務(wù)器網(wǎng)絡(luò)安全集中管理系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種基于硬件的與操作系統(tǒng)無關(guān)的服務(wù)器網(wǎng)絡(luò)安全集中管理系統(tǒng)，特別是以集成有安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備為核心，屬于計算機信息安全領(lǐng)域。
背景技術(shù)：
隨著國內(nèi)信息化進程的迅猛發(fā)展，電子商務(wù)，電子政務(wù)等信息服務(wù)在政府，企業(yè)，商業(yè)等領(lǐng)域的廣泛應(yīng)用，網(wǎng)絡(luò)已經(jīng)成為政府辦公，商業(yè)貿(mào)易的重要工具之一。而構(gòu)成網(wǎng)絡(luò)重要基礎(chǔ)設(shè)施的服務(wù)器越來越發(fā)揮著舉足輕重的作用，不僅承載著企業(yè)的寶貴數(shù)據(jù)資源，也提供著資源和數(shù)據(jù)的共享服務(wù)。正是由于服務(wù)器在網(wǎng)絡(luò)環(huán)境及網(wǎng)絡(luò)基礎(chǔ)設(shè)施中的顯著作用，它面臨著三方面的惡意網(wǎng)絡(luò)行為，即肆意的攻擊行為，如拒絕服務(wù)攻擊，網(wǎng)絡(luò)病毒等等，這些行為旨在消耗服務(wù)器資源，影響服務(wù)器的正常運行，甚至導致服務(wù)器所在網(wǎng)絡(luò)的癱瘓；惡意的入侵行為，這種行為更是會導致服務(wù)器敏感信息的泄漏，入侵者更是可以為所欲為，肆意破壞服務(wù)器；服務(wù)器軟件本身所具有的安全漏洞，它是由于軟件設(shè)計和開發(fā)不完善而造成的，從而使得各種軟件具有了先天的缺陷和隱患，給惡意攻擊者開啟了攻擊的方便之門。這些攻擊和破壞給政府，企業(yè)造成了不可估量的經(jīng)濟損失。如何保障服務(wù)器的安全可靠運行，國家機密數(shù)據(jù)和信息不被非法竊取或篡改已是關(guān)及國家安全的重大問題。
另一方面，目前服務(wù)器的管理方式主要體現(xiàn)在以下三個方面即基于硬件的管理工具、網(wǎng)絡(luò)操作系統(tǒng)的附加管理功能以及第三方的系統(tǒng)管理軟件。其中，基于硬件的管理工具往往由服務(wù)器生產(chǎn)廠商所提供，它主要是通過服務(wù)器主板上集成的遠程管理芯片實現(xiàn)對服務(wù)器的CPU、硬盤、內(nèi)存、風扇等底層部件的監(jiān)控和管理；網(wǎng)絡(luò)操作系統(tǒng)所附帶的管理功能如Windows Server 2003中的服務(wù)器管理向?qū)?，就是為很多服?wù)器網(wǎng)絡(luò)管理人員所熟知的功能。這兩種管理方式局限性較大，不支持異構(gòu)跨平臺的管理。除此之外，還有一些第三方管理軟件廠商的產(chǎn)品，這些專業(yè)產(chǎn)品具有強大的跨平臺管理能力，可以完成對操作系統(tǒng)、應(yīng)用軟件、硬件平臺等多種系統(tǒng)資源的維護和監(jiān)控，并具備一些智能化管理的特性。
但是在實際的應(yīng)用中，隨著網(wǎng)絡(luò)系統(tǒng)越來越復(fù)雜，網(wǎng)絡(luò)技術(shù)的不斷應(yīng)用對服務(wù)器的可靠性、安全性管理上的要求越來越高，企業(yè)需要服務(wù)器的管理軟件來簡化服務(wù)器系統(tǒng)管理。此外，由于服務(wù)器數(shù)量的增加，地域的擴展，企業(yè)部署并使用了多個服務(wù)器管理平臺對多家服務(wù)器進行管理，而這些管理平臺之間的互操作性、整體擁有成本、管理人員的知識都會帶來管理上的挑戰(zhàn)。
因此，必須采用先進技術(shù)及管理方式解決服務(wù)器網(wǎng)絡(luò)安全集中管理和監(jiān)控的問題，以通過單一的控制臺實現(xiàn)對系統(tǒng)資源全方位的監(jiān)控、管理和控制，同時在不影響服務(wù)器正常運轉(zhuǎn)和降低其性能的情況下，滿足用戶對安全、詳細日志以及報警等功能的多方面需求。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種基于硬件的與操作系統(tǒng)無關(guān)的服務(wù)器網(wǎng)絡(luò)安全集中管理系統(tǒng)。為實現(xiàn)上述目的，本發(fā)明的技術(shù)解決方案是將集成有安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備部署在被監(jiān)管服務(wù)器中并與安全集中管理平臺相連，由安全集中管理平臺統(tǒng)一制訂安全策略并分發(fā)給硬件網(wǎng)絡(luò)設(shè)備，同時收集各硬件網(wǎng)絡(luò)設(shè)備所生成的安全事件和信息，實時監(jiān)控服務(wù)器網(wǎng)絡(luò)的健康程度及安全狀態(tài)，具體步驟如下1)在管理平臺下設(shè)置監(jiān)管服務(wù)器SA、SB和SC，通過監(jiān)管服務(wù)器對外分別提供Web和郵件代理服務(wù)以及入侵檢測功能，通過Web和郵件代理可以訪問外部網(wǎng)站和郵件服務(wù)器；2)部署安裝將集成安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC分別安裝部署到被監(jiān)管服務(wù)器SA、SB和SC中，并加載其驅(qū)動程序，配置相應(yīng)的網(wǎng)絡(luò)參數(shù)。通過網(wǎng)絡(luò)線、交換機將被監(jiān)管服務(wù)器SA、SB和SC與安全集中管理平臺M所在機器相連；3)配置安全集中管理平臺M使之能監(jiān)管服務(wù)器SA、SB和SC；4)策略編制系統(tǒng)管理人員通過安全集中管理平臺M制訂Web、郵件、入侵檢測安全策略。Web安全策略以黑白名單，關(guān)鍵字，擴展名或應(yīng)用型的形式對Web訪問進行過濾，阻斷對不良站點或內(nèi)容的訪問；郵件安全策略根據(jù)發(fā)件人、收件人、抄送、郵件主題和附件類型對郵件進行過濾；入侵檢測安全策略用以實時偵測服務(wù)器網(wǎng)絡(luò)環(huán)境中所發(fā)生的入侵攻擊行為并生成報警信息；5)策略分發(fā)分別將安全集中管理平臺M所制訂的Web、郵件和入侵檢測安全策略分發(fā)給被監(jiān)管服務(wù)器SA、SB和SC的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC中并使這些安全策略生效；6)硬件網(wǎng)絡(luò)設(shè)備以獨立于服務(wù)器及其操作系統(tǒng)的方式工作，不受服務(wù)器及其操作系統(tǒng)的影響，它只接收安全集中管理平臺M所分發(fā)的各種安全策略并根據(jù)安全策略的動作在滿足安全策略的條件下，采取相應(yīng)的策略動作。網(wǎng)絡(luò)報文的實時采集分析以及網(wǎng)絡(luò)訪問和網(wǎng)絡(luò)流量的監(jiān)控都是在硬件網(wǎng)絡(luò)設(shè)備所集成的安全功能芯片中進行，不占用任何被監(jiān)管服務(wù)器的CPU資源，更不會影響甚至降低服務(wù)器的性能；同時，安全集中管理平臺M對硬件網(wǎng)絡(luò)設(shè)備的單一控制，從一定程度上杜絕安全風險的發(fā)生，保障硬件網(wǎng)絡(luò)設(shè)備的安全性和可靠性；7)被監(jiān)管服務(wù)器SA、SB和SC中的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB、和NICC實時監(jiān)控通過硬件網(wǎng)絡(luò)設(shè)備進入被監(jiān)管服務(wù)器的網(wǎng)絡(luò)報文和網(wǎng)絡(luò)訪問，對于滿足安全策略的任何Web訪問，入侵攻擊行為或者郵件發(fā)送或接收，都會觸發(fā)相應(yīng)的安全策略，根據(jù)安全策略所規(guī)定的動作采取對應(yīng)的處理，即阻斷或通過，并記錄日志；8)安全集中管理平臺M實時監(jiān)控Web、郵件和入侵檢測安全策略所產(chǎn)生的安全事件日志。根據(jù)安全事件的級別及數(shù)量，系統(tǒng)管理人員可以通過安全集中管理平臺M適當調(diào)整硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC所加載的Web，入侵檢測和郵件安全策略的內(nèi)容，使這些安全策略更能準確地檢測網(wǎng)絡(luò)報文和網(wǎng)絡(luò)訪問，進而能提高服務(wù)器網(wǎng)絡(luò)環(huán)境的整體安全性；本發(fā)明的基于硬件的與操作系統(tǒng)無關(guān)的服務(wù)器網(wǎng)絡(luò)安全集中管理系統(tǒng)，它包括安全集中管理平臺，被監(jiān)管服務(wù)器和集成有安全功能芯片的以標準全長全高千兆線速網(wǎng)卡形式體現(xiàn)的硬件網(wǎng)絡(luò)設(shè)備。
本發(fā)明的優(yōu)點和積極效果是，硬件網(wǎng)絡(luò)設(shè)備所集成的安全功能芯片，根據(jù)安全集中管理平臺制訂并分發(fā)的安全策略，實時監(jiān)控進入服務(wù)器的網(wǎng)絡(luò)報文及網(wǎng)絡(luò)資源訪問，避免了服務(wù)器遭受外部黑客、病毒的攻擊。本發(fā)明將集成有安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備安裝部署到局域網(wǎng)的所有被監(jiān)管服務(wù)器中，而硬件網(wǎng)絡(luò)設(shè)備以獨立于服務(wù)器及其操作系統(tǒng)的方式運行，支持跨平臺，不受服務(wù)器操作系統(tǒng)的控制，只接收安全集中管理平臺所制訂分發(fā)的安全策略。本發(fā)明在不影響服務(wù)器和降低服務(wù)器性能的條件下，從物理上保障了服務(wù)器安全可靠的運行，增強了服務(wù)器的高可用性和穩(wěn)定性，突破了傳統(tǒng)服務(wù)器單一的管理模式及其局限，有效解決了安全和管理效率之間的矛盾，在低成本、易安裝、性能、穩(wěn)定性、功能等方面都有很大的提高。


圖1是本發(fā)明的安全管理系統(tǒng)結(jié)構(gòu)示意圖。
具體實施例方式
下面結(jié)合附圖和具體實施例對本發(fā)明作進一步的說明。
如圖1所示，本發(fā)明提供一種基于硬件的與操作系統(tǒng)無關(guān)的服務(wù)器網(wǎng)絡(luò)安全集中管理系統(tǒng)，它包括安全集中管理平臺M，被監(jiān)管服務(wù)器SA、SB和SC以及集成有安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC。
本發(fā)明的工作原理是1.被監(jiān)管服務(wù)器SA、SB和SC對外分別提供Web和郵件代理服務(wù)和入侵檢測功能，通過Web和郵件代理可以訪問外部網(wǎng)站和郵件服務(wù)器。
2.部署安裝將集成安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC分別安裝部署到被監(jiān)管服務(wù)器SA、SB和SC中，并加載其驅(qū)動程序，配置相應(yīng)的網(wǎng)絡(luò)參數(shù)。通過網(wǎng)絡(luò)線、交換機將被監(jiān)管服務(wù)器SA、SB和SC與安全集中管理平臺M所在機器相連。
3.配置安全集中管理平臺M使之能監(jiān)管服務(wù)器SA、SB和SC。
4.策略編制系統(tǒng)管理人員通過安全集中管理平臺M制訂Web、郵件和入侵檢測安全策略。Web安全策略以黑白名單，關(guān)鍵字，擴展名或應(yīng)用型的形式對Web訪問進行過濾，阻斷對不良站點或內(nèi)容的訪問；郵件安全策略根據(jù)發(fā)件人、收件人、抄送、郵件主題和附件類型對郵件進行過濾；入侵檢測安全策略用以實時偵測服務(wù)器網(wǎng)絡(luò)環(huán)境中所發(fā)生的入侵攻擊行為并生成報警信息。
5.策略分發(fā)分別將安全集中管理平臺M所制訂的Web、郵件和入侵檢測安全策略分發(fā)給被監(jiān)管服務(wù)器SA、SB和SC的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC中并使這些安全策略生效。
6.硬件網(wǎng)絡(luò)設(shè)備以獨立于服務(wù)器及其操作系統(tǒng)的方式工作，不受服務(wù)器及其操作系統(tǒng)的影響。它只接收安全集中管理平臺M所分發(fā)的各種安全策略并根據(jù)安全策略的動作在滿足安全策略的條件下，采取相應(yīng)的策略動作。網(wǎng)絡(luò)報文的實時采集分析以及網(wǎng)絡(luò)訪問和網(wǎng)絡(luò)流量的監(jiān)控都是在硬件網(wǎng)絡(luò)設(shè)備所集成的安全功能芯片中進行，不占用任何被監(jiān)管服務(wù)器的CPU資源，更不會影響甚至降低服務(wù)器的性能。同時，安全集中管理平臺M對硬件網(wǎng)絡(luò)設(shè)備的單一控制，從一定程度上杜絕了安全風險的發(fā)生，保障了硬件網(wǎng)絡(luò)設(shè)備的安全性和可靠性。
被監(jiān)管服務(wù)器SA、SB和SC中的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB、和NICC實時監(jiān)控通過硬件網(wǎng)絡(luò)設(shè)備進入被監(jiān)管服務(wù)器的網(wǎng)絡(luò)報文和網(wǎng)絡(luò)訪問。對于滿足安全策略的任何Web訪問，入侵攻擊行為或者郵件發(fā)送或接收，都會觸發(fā)相應(yīng)的安全策略，根據(jù)安全策略所規(guī)定的動作采取對應(yīng)的處理，即阻斷或通過，并記錄日志。
7.安全集中管理平臺M實時監(jiān)控Web、郵件和入侵檢測安全策略所產(chǎn)生的安全事件日志。根據(jù)安全事件的級別及數(shù)量，系統(tǒng)管理人員可以通過安全集中管理平臺M適當調(diào)整硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC所加載的Web，入侵檢測和郵件安全策略的內(nèi)容，使這些安全策略更能準確地檢測網(wǎng)絡(luò)報文和網(wǎng)絡(luò)訪問，進而能提高服務(wù)器網(wǎng)絡(luò)環(huán)境的整體安全性。
權(quán)利要求
1.一種基于硬件的與操作系統(tǒng)無關(guān)的服務(wù)器網(wǎng)絡(luò)安全集中管理系統(tǒng)，其特征在于將集成有安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備與安全集中管理平臺相連，由安全集中管理平臺統(tǒng)一制訂安全策略并分發(fā)給硬件網(wǎng)絡(luò)設(shè)備，同時收集各硬件網(wǎng)絡(luò)設(shè)備所生成的安全事件和信息，實時監(jiān)控服務(wù)器網(wǎng)絡(luò)的健康程度及安全狀態(tài)，具體步驟如下1)在管理平臺下設(shè)置監(jiān)管服務(wù)器SA、SB和SC，通過監(jiān)管服務(wù)器對外分別提供Web和郵件代理服務(wù)以及入侵檢測功能，通過Web和郵件代理可以訪問外部網(wǎng)站和郵件服務(wù)器；2)部署安裝將集成安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC分別安裝部署到監(jiān)管服務(wù)器SA、SB和SC中，并加載其驅(qū)動程序，配置相應(yīng)的網(wǎng)絡(luò)參數(shù)。通過網(wǎng)絡(luò)線、交換機將被監(jiān)管服務(wù)器SA、SB和SC與安全集中管理平臺M所在機器相連；3)配置安全集中管理平臺M使之能監(jiān)管服務(wù)器SA、SB和SC；4)策略編制系統(tǒng)管理人員通過安全集中管理平臺M制訂Web、郵件、入侵檢測安全策略。Web安全策略以黑白名單，關(guān)鍵字，擴展名或應(yīng)用型的形式對Web訪問進行過濾，阻斷對不良站點或內(nèi)容的訪問；郵件安全策略根據(jù)發(fā)件人、收件人、抄送、郵件主題和附件類型對郵件進行過濾；入侵檢測安全策略用以實時偵測服務(wù)器網(wǎng)絡(luò)環(huán)境中所發(fā)生的入侵攻擊行為并生成報警信息；5)策略分發(fā)分別將安全集中管理平臺M所制訂的Web、郵件和入侵檢測安全策略分發(fā)給被監(jiān)管服務(wù)器SA、SB和SC的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC中并使這些安全策略生效；6)硬件網(wǎng)絡(luò)設(shè)備以獨立于服務(wù)器及其操作系統(tǒng)的方式工作，不受服務(wù)器及其操作系統(tǒng)的影響，它只接收安全集中管理平臺M所分發(fā)的各種安全策略并根據(jù)安全策略的動作在滿足安全策略的條件下，采取相應(yīng)的策略動作。網(wǎng)絡(luò)報文的實時采集分析以及網(wǎng)絡(luò)訪問和網(wǎng)絡(luò)流量的監(jiān)控都是在硬件網(wǎng)絡(luò)設(shè)備所集成的安全功能芯片中進行，不占用任何被監(jiān)管服務(wù)器的CPU資源，更不會影響甚至降低服務(wù)器的性能；同時，安全集中管理平臺M對硬件網(wǎng)絡(luò)設(shè)備的單一控制，從一定程度上杜絕安全風險的發(fā)生，保障硬件網(wǎng)絡(luò)設(shè)備的安全性和可靠性；7)被監(jiān)管服務(wù)器SA、SB和SC中的硬件網(wǎng)絡(luò)設(shè)備NICA、NICB、和NICC實時監(jiān)控通過硬件網(wǎng)絡(luò)設(shè)備進入被監(jiān)管服務(wù)器的網(wǎng)絡(luò)報文和網(wǎng)絡(luò)訪問，對于滿足安全策略的任何Web訪問，入侵攻擊行為或者郵件發(fā)送或接收，都會觸發(fā)相應(yīng)的安全策略，根據(jù)安全策略所規(guī)定的動作采取對應(yīng)的處理，即阻斷或通過，并記錄日志；8)安全集中管理平臺M實時監(jiān)控Web、郵件和入侵檢測安全策略所產(chǎn)生的安全事件日志。根據(jù)安全事件的級別及數(shù)量，系統(tǒng)管理人員可以通過安全集中管理平臺M適當調(diào)整硬件網(wǎng)絡(luò)設(shè)備NICA、NICB和NICC所加載的Web，入侵檢測和郵件安全策略的內(nèi)容，使這些安全策略更能準確地檢測網(wǎng)絡(luò)報文和網(wǎng)絡(luò)訪問，進而能提高服務(wù)器網(wǎng)絡(luò)環(huán)境的整體安全性；
2.根據(jù)權(quán)利要求1所述的管理系統(tǒng)，其特征在于此系統(tǒng)包括安全集中管理平臺，被監(jiān)管服務(wù)器和集成有安全功能芯片的以標準全長全高千兆線速網(wǎng)卡形式體現(xiàn)的硬件網(wǎng)絡(luò)設(shè)備。
全文摘要
本發(fā)明提供一種基于硬件的與操作系統(tǒng)無關(guān)的服務(wù)器網(wǎng)絡(luò)安全集中管理系統(tǒng)，該系統(tǒng)是以集成有安全功能芯片的硬件網(wǎng)絡(luò)設(shè)備為核心，通過安全集中管理平臺統(tǒng)一制訂安全策略并分發(fā)給硬件網(wǎng)絡(luò)設(shè)備，集中收集各硬件網(wǎng)絡(luò)設(shè)備的安全事件和信息。其特點包括硬件網(wǎng)絡(luò)設(shè)備中安全功能芯片只執(zhí)行安全集中管理平臺所分發(fā)的安全策略，它獨立于服務(wù)器及其操作系統(tǒng)，且不占用服務(wù)器的CPU資源，不會降低服務(wù)器的性能。它增強了服務(wù)器的安全性，可靠性和高可用性，顯著提高了服務(wù)器安全監(jiān)控管理的效率，有效解決了安全和效率之間的矛盾。
文檔編號H04L12/58GK101018119SQ20071001354
公開日2007年8月15日 申請日期2007年2月9日 優(yōu)先權(quán)日2007年2月9日
發(fā)明者李大軍, 李清玉, 宋鳳仙 申請人:浪潮電子信息產(chǎn)業(yè)股份有限公司