專利名稱：網(wǎng)絡設備配置的優(yōu)化方法及系統(tǒng)的制作方法
技術領域：
本發(fā)明涉及計算機信息安全技術，尤其涉及一種網(wǎng)絡設備配置的優(yōu)化方法及系統(tǒng)。
背景技術：
主機、設備等網(wǎng)絡設備的配置不當一直以來都是造成信息安全問題的主要原因。這些配置存在于主機、設備及應用軟件中，從供應商的角度來說，產(chǎn)品會具有較全面的功能，并且某些功能通過默認配置已經(jīng)啟用；但從最終用戶的角度來說，他們不可能同時使用所有的功能。由于專業(yè)領域的不同，最終用戶不能明確某些默認配置可能帶來何種安全隱患，用戶也不能確保此功能與其業(yè)務的關系，不能確定是否要關閉此功能。從另一方面來 講，產(chǎn)品在用戶處使用時，會由于管理與技術上的問題修改了某些配置，這些配置可能會對業(yè)務造成影響。現(xiàn)有技術中，主機、設備及應用軟件的配置管理方法是由供應商提供的，是面向通用領域的，只從通用的角度描述相關的安全影響。只有用戶中的安全專家才能完全確認配置與業(yè)務需求、業(yè)務安全的影響關系。在某些采購與集成項目中，用戶已經(jīng)設立了安全專家與供應商共同訂制配置，這些配置只適用于個別案例，是由用戶與供應商的安全意識決定的。因此，如何對網(wǎng)絡設備進行明確的配置調(diào)整，以避免由于配置不當帶來的安全問題，成為現(xiàn)階段急需解決的技術問題。

發(fā)明內(nèi)容
本發(fā)明的目的在于，提供一種網(wǎng)絡設備配置的優(yōu)化方法及系統(tǒng)，有利于管理者對網(wǎng)絡設備進行明確的配置調(diào)整，避免由于配置不當帶來安全問題。為實現(xiàn)上述目的，根據(jù)本發(fā)明的一個方面，提供一種網(wǎng)絡設備配置的優(yōu)化方法，包括查詢網(wǎng)絡設備的配置項說明；確定所述網(wǎng)絡設備的業(yè)務需求并分析配置項和業(yè)務需求的依賴關系；提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)；根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。其中，配置項說明包括配置項含義、所適應的網(wǎng)絡設備類型、配置項的檢測方法以及不同配置狀態(tài)對應的安全問題。具體地，提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)的操作包括根據(jù)所述網(wǎng)絡設備類型，得到與所述網(wǎng)絡設備相匹配的配置項子集；匯集配置項子集中各配置項的檢測方法，生成檢測腳本集；
通過遠程或本地登錄所述網(wǎng)絡設備，運行檢測腳本集，得到輸出結(jié)果；根據(jù)所述輸出結(jié)果得到各配置項的實際配置狀態(tài)。具體地，根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對所述網(wǎng)絡設備的配置項進行優(yōu)化配置的操作包括根據(jù)所述配置項說明，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否安全；根據(jù)所述配置項和業(yè)務需求的依賴關系，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否為業(yè)務需求所必要的； 根據(jù)上述分析結(jié)果對所述網(wǎng)絡設備的實際配置狀態(tài)進行優(yōu)化配置。優(yōu)選地，根據(jù)分析結(jié)果對所述網(wǎng)絡設備的配置項進行優(yōu)化配置的操作包括根據(jù)所述安全性分析模塊和必要性分析模塊的分析結(jié)果對所述網(wǎng)絡設備的實際配置狀態(tài)進行標記；生成對所述配置項的處理操作指令。為實現(xiàn)上述目的，根據(jù)本發(fā)明的另一個方面，提供一種網(wǎng)絡設備配置的優(yōu)化系統(tǒng)，包括查詢裝置，用于查詢網(wǎng)絡設備的配置項說明；需求分析裝置，用于確定所述網(wǎng)絡設備的業(yè)務需求并分析配置項和業(yè)務需求的依賴關系；提取裝置，用于提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)；優(yōu)化配置裝置，用于根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。其中，提取裝置包括配置項子集獲取模塊，用于根據(jù)所述網(wǎng)絡設備類型，得到與所述網(wǎng)絡設備相匹配的配置項子集；腳本集生成模塊，用于匯集配置項子集中各配置項的檢測方法，生成檢測腳本集；檢測模塊，用于通過遠程或本地登錄所述網(wǎng)絡設備，運行檢測腳本集，得到輸出結(jié)果；配置狀態(tài)獲取模塊，用于根據(jù)所述輸出結(jié)果得到各配置項的實際配置狀態(tài)。其中，優(yōu)化配置裝置包括安全性分析模塊，用于根據(jù)所述配置項說明，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否安全；必要性分析模塊，用于根據(jù)所述配置項和業(yè)務需求的依賴關系，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否為業(yè)務需求所必要的；配置模塊，用于根據(jù)上述分析結(jié)果對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。配置模塊包括標記子模塊，用于根據(jù)所述安全性分析模塊和必要性分析模塊的分析結(jié)果對所述網(wǎng)絡設備的實際配置狀態(tài)進行標記；指令生成子模塊，用于生成對所述配置項的處理操作指令。配置優(yōu)化裝置還包括狀態(tài)記錄模塊，用于記錄所述安全性分析模塊和必要性分析模塊對網(wǎng)絡設備的實際配置狀態(tài)的分析結(jié)果。本發(fā)明的網(wǎng)絡設備配置的優(yōu)化方法及系統(tǒng)，通過結(jié)合業(yè)務需求、配置項說明和實際配置狀態(tài)，對網(wǎng)絡設備配置的安全性和必要性做出分析及評價，有利于管理者對網(wǎng)絡設備進行明確的配置調(diào)整，避免由于配置不當帶來安全問題。


圖I是本發(fā)明網(wǎng)絡設備配置的優(yōu)化方法實施例的流程圖；圖2是本發(fā)明提取網(wǎng)絡設備的配置項的實際配置狀態(tài)的具體流程圖；圖3是本發(fā)明對網(wǎng)絡設備 的配置項進行優(yōu)化配置的具體流程圖；圖4是本發(fā)明網(wǎng)絡設備配置的優(yōu)化系統(tǒng)實施例的結(jié)構(gòu)圖；圖5是本發(fā)明提取裝置的結(jié)構(gòu)圖；圖6是本發(fā)明優(yōu)化配置裝置的結(jié)構(gòu)圖。
具體實施例方式以下結(jié)合附圖對本發(fā)明進行詳細說明。方法實施例如圖I所示，本發(fā)明網(wǎng)絡設備配置的優(yōu)化方法包括以下步驟步驟S102，查詢網(wǎng)絡設備的配置項說明。網(wǎng)絡設備供應商應提供網(wǎng)絡設備及其軟件配置的一個配置知識庫，知識庫中對各個配置項進行了說明，包括配置項含義、所適應的網(wǎng)絡設備類型、配置項的檢測方法以及不同配置狀態(tài)對應的安全問題。其中，對安全問題的判斷分成3種情況安全的(設備配置中與安全性無關的配置)、不安全的(設備配置中帶有安全漏洞的配置)和需限制使用的(無安全漏洞，但配置不當會導致業(yè)務數(shù)據(jù)受損，如可以遠程改寫數(shù)據(jù)的配置)。例如Linux操作系統(tǒng)的配置安全包括服務、進程、端口、用戶和配置文件等內(nèi)容。每一項內(nèi)容比如FTP網(wǎng)絡服務都有其功能性目的(提供文件傳輸)，以及安全性問題(因軟件版本導致的溢出攻擊問題、因支持匿名導致機密流失、因訪問量大導致主機性能下出降等)。將這些信息集中在一起，組成了此類設備的“配置知識庫”。步驟S104，網(wǎng)絡設備如何配置取決于它們承擔的業(yè)務功能，也就是業(yè)務需求決定配置，所以該步驟應當明確網(wǎng)絡設備的業(yè)務需求。并使用數(shù)據(jù)化的方式進行描述，例如下表I所示。表I :業(yè)務需求和配置的數(shù)據(jù)化描述
業(yè)務需求相關設備配置項配置內(nèi)容
TCP80 端口(HTTP)
__TCP443 端口(HTTPS)
網(wǎng)站W(wǎng)WW服務進程Apache服務進程
器#1WJt互聯(lián)網(wǎng)訪問用戶
__數(shù)據(jù)庫客戶端用戶_
提供企業(yè)門戶網(wǎng)~訪問控制互聯(lián)網(wǎng)目錄可讀
站功能 _ 自啟動服務—apache
端口TCP3306 端口(MYSQL) _
網(wǎng)站數(shù)據(jù)庫#1進程mysqld
用戶數(shù)據(jù)庫進程專用帳戶
自啟動服務mysqld
表中的業(yè)務需求為提供企業(yè)門戶網(wǎng)站功能；相關網(wǎng)絡設備為網(wǎng)站W(wǎng)WW服務器和數(shù)據(jù)庫設備；需要分別配置上述兩設備的端口、用戶和進程等配置項(即配置內(nèi)容)；表中描述了配置與業(yè)務需求的依賴關系，即什么樣的業(yè)務需要什么樣的配置。步驟S106，提取網(wǎng)絡設備的配置項的實際配置狀態(tài)，其中，配置狀態(tài)表示該配置項是否被配置以及被配置的實際值。步驟S108，根據(jù)所述業(yè)務需求、配置項說明和所述配置項的實際配置狀態(tài)，對網(wǎng)絡設備的配置項進行優(yōu)化配置。如圖2所示，上述步驟S106提取網(wǎng)絡設備的配置項的實際配置狀態(tài)的具體流程包括步驟S202，根據(jù)網(wǎng)絡設備類型，得到與所述網(wǎng)絡設備相匹配的配置項子集，該配置項子集為排除網(wǎng)絡設備中不適用的配置項后所剩的配置項，如Cisco某型號的設備，以及Juniper某型號的設備，因為產(chǎn)品架構(gòu)的不同，它們的配置項是分開的，都是對應的配置項的“子集”；步驟S204，匯集各配置項的檢測方法，生成檢測腳本集，比如通過cat/etc/passwd可以獲得Linux系統(tǒng)所有用戶列表,通過netstat_an可以獲得Linux系統(tǒng)所有端口列表；步驟S206，通過遠程或本地登錄所述網(wǎng)絡設備，運行檢測腳本，得到輸出結(jié)果；如在Linux操作系統(tǒng)的配置過程中，首先使用系統(tǒng)的用戶身份登錄至操作系統(tǒng)(一般為SSH方式，TCP端口 22);然后在操作系統(tǒng)執(zhí)行包括步驟S204所述的cat/etc/passwd或netstat-an命令的腳本；步驟S208，從輸出結(jié)果的情況得到各配置項的配置狀態(tài)，比如netstat-an的輸出為當前處于監(jiān)聽和連接的端口，可以分析出Linux系統(tǒng)正在哪些端口提供服務。其中，上述步驟S108具體包括根據(jù)所述配置項說明，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否安全；根據(jù)所述配置項和業(yè)務需求的依賴關系，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否為業(yè)務需求所必要的；根據(jù)上述分析結(jié)果對網(wǎng)絡設備的配置項進行優(yōu)化配置。如圖3所示，上述步驟S108的具體流程包括步驟S301，根據(jù)配置項說明，分析所述實際配置狀態(tài)；步驟S302，判斷實際配置狀態(tài)是否安全；步驟S303，若配置說明中未涉及安全問題，將該實際配置狀態(tài)標記為“安全”，否則執(zhí)行步驟S304 ；步驟S304，將該實際配置狀態(tài)標記為“不安全”；步驟S305，根據(jù)步驟S104獲取配置項與業(yè)務需求的依賴關系；步驟S306，根據(jù)依賴關系判斷所述配置的必要性；、
步驟S307，若配置項為業(yè)務需求所必要，則將該配置項的實際配置狀態(tài)標記為“需要”，否則執(zhí)行步驟S308;步驟S308，該實際配置狀態(tài)標記為“不需要”；步驟S309，分別記錄所述實際配置狀態(tài)的安全性和必要性；
步驟S310，判斷是否所有配置項都檢查完成，若未完成繼續(xù)分析下一個配置項；步驟S311，若所有配置項都檢查完成，輸出此次配置分析的結(jié)果列表，標記每個實際配置狀態(tài)的安全性和必要性；根據(jù)所述實際配置狀態(tài)的安全性和必要性生成對配置項的處理操作指令，給出建議操作列表，生成幾個不同處理級別的清單。對于不安全不必要的建議進行關閉操作；對于必要不安全的建議進行限制操作；對于不必要但安全的建議根據(jù)情況進行關閉；對于必要并且安全的不作特別處理。同樣以Linux操作系統(tǒng)配置為例，將該Linux系統(tǒng)的實際配置列表與需求決定的合法配置進行對比，可以發(fā)現(xiàn)以下三種情況I.需求要求之外的配置(多余或錯誤)；2.符合需求的配置(合理并配置正確)； 3.存在明顯安全問題的配置。例如此主機的需求不包括提供FTP服務，但在采集到的端口中有TCP-21，或在服務列表中有ftpd，則這些配置將被判定為不需要。或者已知某版本的Linux內(nèi)核存在安全問題，而uname-an的結(jié)果顯示此主機內(nèi)核這個版本，同樣判定為不安全。本實施例中，網(wǎng)絡設備包括作為終端或服務器的計算機和路由器等。本實施例的網(wǎng)絡設備配置的優(yōu)化方法，通過結(jié)合業(yè)務需求、配置項說明和實際配置狀態(tài)，對網(wǎng)絡設備配置的安全性和必要性作出分析及評價，有利于管理者對網(wǎng)絡設備進行明確的配置調(diào)整，避免由于配置不當帶來安全問題。系統(tǒng)實施例如圖4所示，本發(fā)明網(wǎng)絡設備配置的優(yōu)化系統(tǒng)實施例包括查詢裝置41，用于查詢網(wǎng)絡設備的配置項說明；需求分析裝置42，用于確定所述網(wǎng)絡設備的業(yè)務需求并分析配置項和業(yè)務需求的依賴關系；提取裝置43，用于提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)；優(yōu)化配置裝置44，用于根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對網(wǎng)絡設備的配置項進行優(yōu)化配置。如圖5所示，系統(tǒng)中提取裝置43包括配置項子集獲取模塊431，用于根據(jù)所述網(wǎng)絡設備類型，得到與所述網(wǎng)絡設備相匹配的配置項子集；腳本集生成模塊432，用于匯集配置項子集中各配置項的檢測方法，生成檢測腳本集;檢測模塊433，用于通過遠程或本地登錄所述網(wǎng)絡設備，運行檢測腳本集，得到輸出結(jié)果；配置狀態(tài)獲取模塊434，用于根據(jù)所述輸出結(jié)果得到各配置項的實際配置狀態(tài)。如圖6所示，系統(tǒng)中優(yōu)化配置裝置44包括安全性分析模塊441，用于根據(jù)所述配置項說明，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否安全；必要性分析模塊442，用于根據(jù)所述配置項和業(yè)務需求的依賴關系，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否為業(yè)務需求所必要的；
配置模塊443，用于根據(jù)上述分析結(jié)果對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。具體地，配置模塊443包括標記子模塊4432，用于根據(jù)上述分析結(jié)果對所述網(wǎng)絡設備的實際配置狀態(tài)進行標記；若配置說明中未涉及安全問題，用于將該配置狀態(tài)標記為“安全”，否則，標記為“不安全”；若配置狀態(tài)為業(yè)務需求所必要，用于將該配置項的配置狀態(tài)標記為“需要”，否則標記為“不需要”；指令生成子模塊4434，用于生成對所述配置項的處理操作指令。另外，配置優(yōu)化裝置還包括狀態(tài)記錄模塊444，用于記錄所述安全性分析模塊和必要性分析模塊對網(wǎng)絡設備的實際配置狀態(tài)的分析結(jié)果。。狀態(tài)分析裝置還包括配置項檢查完成判斷模塊，用于判斷是否所有配置項都檢查完成，若未完成繼續(xù)分析下一個配置項。本實施例的網(wǎng)絡設備配置的優(yōu)化方法，通過結(jié)合業(yè)務需求、配置項說明和實際配 置狀態(tài)，對網(wǎng)絡設備配置的安全性和必要性作出分析及評價，有利于管理者對網(wǎng)絡設備進行明確的配置調(diào)整，避免由于配置不當帶來安全問題。應說明的是以上實施例僅用以說明本發(fā)明而非限制，本發(fā)明也并不僅限于上述舉例，一切不脫離本發(fā)明的精神和范圍的技術方案及其改進，其均應涵蓋在本發(fā)明的權(quán)利要求范圍中。
權(quán)利要求
1.一種網(wǎng)絡設備配置的優(yōu)化方法，其特征在于，包括 查詢網(wǎng)絡設備的配置項說明； 確定所述網(wǎng)絡設備的業(yè)務需求并分析配置項和業(yè)務需求的依賴關系； 提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)； 根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。
2.根據(jù)權(quán)利要求I所述的網(wǎng)絡設備配置的優(yōu)化方法，其特征在于，所述配置項說明包括 配置項含義、所適應的網(wǎng)絡設備類型、配置項的檢測方法以及不同配置狀態(tài)對應的安全問題。
3.根據(jù)權(quán)利要求I所述的網(wǎng)絡設備配置的優(yōu)化方法，其特征在于，提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)的操作包括 根據(jù)所述網(wǎng)絡設備類型，得到與所述網(wǎng)絡設備相匹配的配置項子集； 匯集配置項子集中各配置項的檢測方法，生成檢測腳本集； 通過遠程或本地登錄所述網(wǎng)絡設備，運行檢測腳本集，得到輸出結(jié)果； 根據(jù)所述輸出結(jié)果得到各配置項的實際配置狀態(tài)。
4.根據(jù)權(quán)利要求I所述的網(wǎng)絡設備配置的優(yōu)化方法，其特征在于，根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對所述網(wǎng)絡設備的配置項進行優(yōu)化配置的操作包括 根據(jù)所述配置項說明，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否安全； 根據(jù)所述配置項和業(yè)務需求的依賴關系，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否為業(yè)務需求所必要的； 根據(jù)上述分析結(jié)果對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。
5.根據(jù)權(quán)利要求4中所述的網(wǎng)絡設備配置的優(yōu)化方法，其特征在于，所述根據(jù)分析結(jié)果對所述網(wǎng)絡設備的配置項進行優(yōu)化配置的操作包括 根據(jù)所述安全性分析模塊和必要性分析模塊的分析結(jié)果對所述網(wǎng)絡設備的實際配置狀態(tài)進行標記； 生成對所述配置項的處理操作指令。
6.一種網(wǎng)絡設備配置的優(yōu)化系統(tǒng)，其特征在于，包括 查詢裝置，用于查詢網(wǎng)絡設備的配置項說明； 需求分析裝置，用于確定所述網(wǎng)絡設備的業(yè)務需求并分析配置項和業(yè)務需求的依賴關系; 提取裝置，用于提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)； 優(yōu)化配置裝置，用于根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。
7.根據(jù)權(quán)利要求6所述的網(wǎng)絡設備配置的優(yōu)化系統(tǒng)，其特征在于，所述提取裝置包括 配置項子集獲取模塊，用于根據(jù)所述網(wǎng)絡設備類型，得到與所述網(wǎng)絡設備相匹配的配置項子集； 腳本集生成模塊，用于匯集配置項子集中各配置項的檢測方法，生成檢測腳本集；檢測模塊，用于通過遠程或本地登錄所述網(wǎng)絡設備，運行檢測腳本集，得到輸出結(jié)果； 配置狀態(tài)獲取模塊，用于根據(jù)所述輸出結(jié)果得到各配置項的實際配置狀態(tài)。
8.根據(jù)權(quán)利要求6所述的網(wǎng)絡設備配置的優(yōu)化系統(tǒng)，其特征在于，所述優(yōu)化配置裝置包括 安全性分析模塊，用于根據(jù)所述配置項說明，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否安全； 必要性分析模塊，用于根據(jù)所述配置項和業(yè)務需求的依賴關系，分析所述網(wǎng)絡設備的實際配置狀態(tài)是否為業(yè)務需求所必要的； 配置模塊，用于根據(jù)上述分析結(jié)果對所述網(wǎng)絡設備的配置項進行優(yōu)化配置。
9.根據(jù)權(quán)利要求8所述的網(wǎng)絡設備配置的優(yōu)化系統(tǒng)，其特征在于，所述配置模塊包括 標記子模塊，用于根據(jù)所述安全性分析模塊和必要性分析模塊的分析結(jié)果對所述網(wǎng)絡設備的實際配置狀態(tài)進行標記； 指令生成子模塊，用于生成對所述配置項的處理操作指令。
10.根據(jù)權(quán)利要求8所述的網(wǎng)絡設備配置的優(yōu)化系統(tǒng)，其特征在于，所述配置優(yōu)化裝置還包括 狀態(tài)記錄模塊，用于記錄所述安全性分析模塊和必要性分析模塊對網(wǎng)絡設備的實際配置狀態(tài)的分析結(jié)果。
全文摘要
本發(fā)明公開了一種網(wǎng)絡設備配置的優(yōu)化方法及系統(tǒng)。其中該方法包括查詢網(wǎng)絡設備的配置項說明；確定所述網(wǎng)絡設備的業(yè)務需求并分析配置項和業(yè)務需求的依賴關系；提取所述網(wǎng)絡設備配置項的實際配置狀態(tài)；根據(jù)所述配置項說明、配置項和業(yè)務需求的依賴關系及配置項的實際配置狀態(tài)，對所述網(wǎng)絡設備的實際配置狀態(tài)進行優(yōu)化配置。本發(fā)明的網(wǎng)絡設備配置的優(yōu)化方法及系統(tǒng)，通過結(jié)合業(yè)務需求、配置項說明和實際配置狀態(tài)，對網(wǎng)絡設備配置的安全性作出分析及評價，有利于管理者對網(wǎng)絡設備進行明確的配置調(diào)整，避免由于配置不當帶來安全問題。
文檔編號H04L12/24GK102769534SQ201110115848
公開日2012年11月7日 申請日期2011年5月5日 優(yōu)先權(quán)日2011年5月5日
發(fā)明者周智, 徐海東, 曹一生, 蘇砫, 陳敏時, 魏來 申請人:中國移動通信集團公司, 北京神州泰岳軟件股份有限公司