一种网络安全规则自动化部署方法及系统的制作方法

一种网络安全规则自动化部署方法及系统的制作方法
【技术领域】
[0001]本发明涉及网络安全领域，尤其涉及一种网络安全规则自动化部署方法及系统。
【背景技术】
[0002]随着网络在日常生产及生活中的大量应用，网络安全问题日益凸显并对网络用户造成很大的困扰。尤其是在例如工业控制领域这样的特殊应用领域中，随着工业控制自动化进程的深入，工业控制网络与外部互联网或企业办公网络的信息交互日趋频繁，使得工业控制网络不断面临着来自外部互联网的恶意攻击和内部人员的误操作等威胁。因为早期工控设备使用环境相对封闭，所以工业控制系统在开发时往往更重视功能的实现，而缺少对工控网络自身安全的关注，这也导致工业控制系统中存在不可避免的安全缺陷。
[0003]分布式的网络安全保护构架能够满足不同形态和规模的工控网络，同时也能够适应工控网络结构和规模的变化，系统的灵活性可以得到充分的体现。分布式网络安全保护系统在关键位置上设置安全保护设备，从而实现整个工控网络的安全。
[0004]在复杂的网络环境下，常常需要多个安全保护设备。传统的安全解决方案常常需要对每个安全设备分别设置安全规则。由于没有考虑到设备之间的联系，人工部署非常复杂，并容易产生人为引起的错误。当用户需要改变规则时，由于系统的复杂性，很难为每个保护设备及时的更新准确的新规则。

【发明内容】

[0005]为解决上述现有技术中存在的问题，本发明提出了一种网络安全规则自动化部署的方法和系统:
[0006]一种网络安全规则自动化部署方法，包括以下步骤:步骤一，基于通信网络系统的网络拓扑结构，分析网络拓扑结构的连通性，确定各个保护设备的监控和保护区域；步骤二，分析所述通信系统的整体安全规则中每个规则项与所述保护设备之间的匹配关系；步骤三，根据所述整体安全规则项中的源地址和目标地址与通信网络拓扑结构的比较，自动修改规则项，为每个所述的保护设备生成定制化的安全规则；步骤四，将生成的定制化的安全规则自动部署到所述的每个保护设备中。
[0007]进一步地，步骤一中使用图论法对网络拓扑结构的连通性进行分析以及确定所述保护设备的监控和保护区域。
[0008]进一步地，步骤二中的整体安全规则为可以保证整个系统安全工作的安全规则，其由多个规则项组成，每个规则项包括源地址、目标地址、规则内容以及应对措施。
[0009]进一步地，步骤三中的所述定制化安全规则为对保护设备定制的的安全规则。
[0010]进一步地，步骤四中通过设置保护设备配置的方式向所述每个保护设备部署定制化的安全规则。
[0011]本发明还提供一种网络安全规则自动化部署系统，包括中央管理系统、保护设备、用户设备以及通讯网络，所述中央管理系统与每个保护设备连通，所述每个保护设备与用户设备连通。
[0012]进一步地，中央管理系统收集用户整体安全规则以及为每个保护设备生成定制的安全规则,并自动化部署。
[0013]进一步地，保护设备从所述中央管理系统接收定制化安全规则作为配置文件，并按照定制化安全规则的规则项实现用户设备的数据通讯监测和/或保护。
[0014]进一步地，用户设备可以为交换机、工作站、服务器以及可编程逻辑控制器中的一种或几种。
[0015]进一步地，保护设备可以为网关、IDS、IPS中的一种或几种。
[0016]本发明所产生的有益效果在于:
[0017]1.提供了一种为网络中的每个保护设备自动生成定制化的安全规则的通用方法，在部署时自动修改规则的源地址和目标地址以确保生成的定制化安全规则符合用户整体规则并满足用户对整体网络安全的需要，提高了网络通信系统的易用性和可扩展性；
[0018]2.提供了一种网络安全规则自动部署系统，该系统可以使用上述通用的安全规则自动部署方法，针对每个安全设备生成定制化的安全规则并完成自动部署，极大地提高了安全规则的部署效率及准确性。
【附图说明】
[0019]图1为使用本发明的网络安全规则自动部署方法及系统的通信网络拓扑图；
[0020]图2为通信网络中保护设备A所监测和保护区域的网络拓扑图；
[0021]图3为通信网络中保护设备B所监测和保护区域的网络拓扑图；
[0022]图4为通信网络中保护设备C所监测和保护区域的网络拓扑图；
[0023]图5为通信网络中保护设备D所监测和保护区域的网络拓扑图；
[0024]图6为生成定制化安全规则并部署的流程图。
[0025]附图标记:1-8用户设备
【具体实施方式】
[0026]以下以工业控制网络安全规则自动部署方法和系统为例对本发明进行详细阐述，应当注意的是，下列实施例仅用于对本发明进行说明而非作为对本发明的限制。本发明的网络安全规则自动部署方法和系统除了可以应用在工业控制网络中，还可以用于任何其他的分布式网络。
[0027]如图1所示的通信网络拓扑图，中央管理系统与保护设备A-D连通，保护设备A与用户设备3、5连通，其中用户设备3与用户设备I连通，保护设备B与用户设备2、7、8连通，其中用户设备7与用户设备6连通，保护设备C与用户设备4、7连通，保护设备D与用户设备5、7连通。用户设备可以为交换机、工作站、服务器以及可编程逻辑控制器等，保护设备可以为网关、IDS、IPS等。
[0028]按照图3所示的步骤，基于图1的网络拓扑结构，利用智能图论法分析系统的连通性，确定如图2-5所示的保护设备A-D所监测和保护的区域，即保护设备A-D的负责区域。其中，保护设备A的负责区域包括用户设备1、3、5，保护设备B的负责区域包括用户设备2、6、7、8，保护设备C的负责区域包括用户设备4、6、7，保护设备D的负责区域包括用户设备5、6、70
[0029]在确定了安全设备A-D的负责区域之后，由中央管理系统自动分析用户整体安全规则中的各个规则项与安全设备A-D之间的匹配关系。用户的整体安全规则由一系列有序的规则项组成，每个规则项包括源地址、目标地址、规则细节以及处理措施。中央管理系统将安全设备A-D各自负责的区域规则项的源地址以及目标地 址进行比较，确定该规则项是否与某个安全设备相关，即确定该规则项是否与某个安全设备的负责区域有交集，如果无关，则不适用该规则项，可以删除。例如有以下规则项:
[0030]规则项:【8】，【4】，TCP，允许
[0031]该规则项的内容为:从用户设备8到用户设备4的TCP数据包允许通过，由于用户设备8和用户设备4不属于保护设备A的负责区域，则保护设备A可以忽略此规则项。
[0032]在规则项的源地址和目标地址与某个保护设备的负责区域有交集时，该规则项可以与该保护设备相关。此时由中央管理系统依照其相关性自动修改规则项并为保护设备A-D生成定制化的安全规则,例如:
[0033]用户整体安全规则为:
[0034]规则项一:【1】，【4】，TCP，允许；
[0035]规则项二:【1，5】，【4，6，7】，1^卩，阻断；
[0036]即用户的实际要求为:
[0037]a:【1】，【4】，TCP,允许；
[0038]b:【1】，【6】，TCP，阻断;
[0039]c:【1】，【7】，TCP，阻断；
[0040]d:【5】，【4】，TCP，阻断;
[0041]e:【5】，【6】，TCP,阻断；
[0042]f:【5】，【7】，TCP,阻断；
[0043]对于保护设备D，规则项一与其无关，会被忽略，规则项二与其相关会被保留。但是对于【I】，【4】之间的数据包，即使保护设备A和保护设备C允许其通过，保护设备D依据规则项二也会将其阻断。用户需求a将无法实现。因而规则项二对于保护设备D不完全适用，因此对于保护设备D规则项二将改写为:
[0044]【5】，【4，6，7】，TCP,阻断；
[0045]【1】，【6，7】，TCP,阻断；
[0046]整体上所生成的针对保护设备A-D的定制化安全规则为:
[0047]保护设备A:
[0048]【1】，【4】，TCP，允许；
[0049]【I】，【4，6，7】，TCP，阻断;
[0050]保护设备B:
[0051]无规则；
[0052]保护设备C:
[0053]【1】，【4】，TCP，允许；
[0054]【1，5】，【4】，TCP,阻断；
[0055]保护设备D:
[0056]【5】，【4，6，7】，TCP,阻断；
[0057]【1】，【6，7】，TCP,阻断；
[0058]通过中央管理系统将生成的针对安全设备A-D的定制化安全规则以配置文件的形式自动部署到保护设备A-D中，保护设备A-D按照定制化安全规则的规则项对用户设备的数据通讯进行监测和/或保护。
[0059]以上所述实施例仅表达了本发明的实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。
【主权项】
1.一种网络安全规则自动化部署方法，其特征在于，包括以下步骤: 步骤一:基于通信网络系统的网络拓扑结构，分析网络拓扑结构的连通性，确定各个保护设备的监控和保护区域； 步骤二:分析所述通信系统的整体安全规则中每个规则项与所述保护设备之间的匹配关系； 步骤三:根据所述整体安全规则项中的源地址和目标地址与通信网络拓扑结构的比较，自动修改规则项，为每个所述的保护设备生成定制化的安全规则； 步骤四:将生成的定制化安全规则自动部署到所述的每个保护设备中。2.如权利要求1所述的网络安全规则自动化部署方法，其特征在于，所述步骤一中使用图论法对网络拓扑结构的连通性进行分析以及确定所述保护设备的监控和保护区域。3.如权利要求1所述的网络安全规则自动化部署方法，其特征在于，所述步骤二中的整体安全规则为可以保证整个系统安全工作的安全规则，其由多个规则项组成，每个规则项包括源地址、目标地址、规则内容以及应对措施。4.如权利要求1所述的网络安全规则自动化部署方法，其特征在于，所述步骤三中的所述定制化安全规则为对保护设备定制的安全规则。5.如权利要求1所述的网络安全规则自动化部署方法，其特征在于，所述步骤四中通过设置保护设备配置的方式向所述每个保护设备部署定制化的安全规则。6.一种使用权利要求1-5中任意一项所述方法的网络安全规则自动化部署系统，其特征在于，包括中央管理系统、保护设备、用户设备以及通讯网络，所述中央管理系统与每个保护设备连通，所述每个保护设备与用户设备连通。7.如权利要求6所述的网络安全规则自动化部署系统，其特征在于，所述中央管理系统收集用户整体安全规则以及为每个保护设备生成定制的安全规则，并自动化部署。8.如权利要求6所述的网络安全规则自动化部署系统，其特征在于，所述保护设备从所述中央管理系统接收定制化安全规则作为配置文件，并按照定制化安全规则的规则项实现用户设备的数据通讯监测和/或保护。9.如权利要求6所述的网络安全规则自动化部署系统，其特征在于，用户设备为交换机、工作站、服务器以及可编程逻辑控制器中的一种或几种。10.如权利要求6所述的网络安全规则自动化部署系统，其特征在于，保护设备为网关、IDS、IPS中的一种或几种。
【专利摘要】本发明公开了一种网络安全规则自动化部署方法及系统，其基于用户通信系统的网络拓扑结构，利用图论技术，确定保护设备监控和保护的区域，并由此分析通信系统的整体安全规则中每个规则项与保护设备之间的匹配关系，根据所述整体安全规则项中的源地址和目标地址与通信网络拓扑结构的比较,自动修改规则项,为每个保护设备生成定制化的安全规则并利用中央管理系统将定制化的安全规则部署到每个保护设备中。
【IPC分类】H04L29/06
【公开号】CN104883348
【申请号】CN201410508867
【发明人】孙一桉, 徐林
【申请人】宁波匡恩网络科技有限公司
【公开日】2015年9月2日
【申请日】2014年9月28日