信息系統(tǒng)面臨愈發(fā)復(fù)雜的網(wǎng)絡(luò)安全威脅，需要安全管理系統(tǒng)對安全設(shè)備進(jìn)行統(tǒng)一運(yùn)維管理。安全運(yùn)維管理需要實(shí)現(xiàn)高效、跨平臺、安全的數(shù)據(jù)交換。針對安全運(yùn)維管理的需求，設(shè)計(jì)了一套安全設(shè)備管理協(xié)議，從技術(shù)體制、數(shù)據(jù)分類、報(bào)文定義以及傳輸安全等角度對協(xié)議進(jìn)行設(shè)計(jì)，以滿足安全管理系統(tǒng)和安全設(shè)備之間信息交互的實(shí)際需要。

　　隨著信息技術(shù)的不斷進(jìn)步，信息系統(tǒng)面臨的網(wǎng)絡(luò)安全威脅愈發(fā)復(fù)雜。防火墻、入侵檢測、漏洞掃描以及防病毒等網(wǎng)絡(luò)安全設(shè)備協(xié)同配合，共同組成了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的防護(hù)屏障。為了對不同安全設(shè)備進(jìn)行統(tǒng)一管理，安全管理系統(tǒng)應(yīng)運(yùn)而生。安全管理系統(tǒng)為使用者提供了安全設(shè)備數(shù)據(jù)統(tǒng)一采集和呈現(xiàn)平臺，通過不同設(shè)備的統(tǒng)一調(diào)度構(gòu)建有效的防御手段。本文分析安全運(yùn)維管理的需求，探討設(shè)備管理協(xié)議中的關(guān)鍵技術(shù)，提出了數(shù)據(jù)交換格式模型。

　　01 安全管理需求

　　業(yè)界普遍認(rèn)為，網(wǎng)絡(luò)安全由技術(shù)、管理和運(yùn)維3部分組成，且其長期效能主要取決于安全運(yùn)維管理水平[1]。安全運(yùn)維管理的好壞對網(wǎng)絡(luò)安全體系的整體效能具有重要影響。

　　1.1　管理運(yùn)維需求

　　在網(wǎng)絡(luò)安全體系中，不同安全設(shè)備各司其職，協(xié)作實(shí)現(xiàn)安全防護(hù)。安全管理系統(tǒng)通過高效的管理運(yùn)維，起到協(xié)調(diào)調(diào)度的作用。管理運(yùn)維需求主要包括設(shè)備狀態(tài)的統(tǒng)一監(jiān)控、安全風(fēng)險(xiǎn)的及時(shí)呈現(xiàn)、安全威脅的高效處置以及安全策略的迅速調(diào)整。

　　1.2　數(shù)據(jù)交換需求

　　安全運(yùn)維過程中，安全管理系統(tǒng)與安全設(shè)備間存在大量的數(shù)據(jù)交換需求。不同安全設(shè)備形態(tài)各異、技術(shù)體制不一，形成了異構(gòu)的數(shù)據(jù)環(huán)境。安全管理系統(tǒng)對各種安全設(shè)備進(jìn)行統(tǒng)一運(yùn)維管理，必須設(shè)計(jì)跨平臺的通用傳輸協(xié)議，以降低系統(tǒng)間耦合度，實(shí)現(xiàn)安全防護(hù)數(shù)據(jù)的互聯(lián)互通，從而為運(yùn)維人員進(jìn)行決策提供更好的支撐。為了保證管理協(xié)議的平臺的無關(guān)性和可擴(kuò)展性，需要定義通用的安全信息描述機(jī)制和數(shù)據(jù)格式。

　　1.3　安全性需求

　　安全運(yùn)維管理過程中，為了防止外部攻擊者獲取敏感信息，使用的傳輸協(xié)議必須通過加密等手段進(jìn)行安全性保護(hù)。

　　02 關(guān)鍵技術(shù)

　　2.1　XML

　　可擴(kuò)展標(biāo)記語言（eXtensible Markup Language，XML）是一種用于標(biāo)記電子文件使其具有結(jié)構(gòu)性的標(biāo)記語言。它遵循W3C規(guī)范的語法要求，形式與內(nèi)容分離，具有良好的自描述性，同時(shí)易于擴(kuò)展，擁有豐富的第三方開發(fā)庫，非常適合在不同架構(gòu)的系統(tǒng)之間進(jìn)行信息傳輸使用。隨著XML的應(yīng)用越來越廣泛，在眾多應(yīng)用場景下，XML憑借其優(yōu)點(diǎn)已經(jīng)成為事實(shí)上的數(shù)據(jù)交換標(biāo)準(zhǔn)。

　　2.2　Web Service

　　Web Service是一種跨編程語言、跨操作系統(tǒng)平臺的遠(yuǎn)程調(diào)用技術(shù)。Web Service技術(shù)的典型特點(diǎn)是平臺無關(guān)性和開放性。運(yùn)行在不同系統(tǒng)上的異構(gòu)應(yīng)用無須借助專門的第三方軟硬件，就可相互交換數(shù)據(jù)或?qū)崿F(xiàn)集成。不同應(yīng)用之間只要共同遵循了Web Service規(guī)范，無論它們所使用的語言、平臺或內(nèi)部協(xié)議是什么，都可以實(shí)現(xiàn)數(shù)據(jù)的相互交換。

　　2.3　SOAP

　　簡單對象訪問協(xié)議（Simple Object Access Protocol，SOAP）是一種基于XML的輕量數(shù)據(jù)交換協(xié)議規(guī)范，能夠在不同信息系統(tǒng)之間交換結(jié)構(gòu)化數(shù)據(jù)，是Web Service的一種主流實(shí)現(xiàn)形式。

　　SOAP基于HTTP協(xié)議定義了一個(gè)框架，描述消息中的內(nèi)容是什么、是誰發(fā)送的、誰應(yīng)當(dāng)接受并處理它以及如何處理它們。它通過定義SOAP信封（envelop）實(shí)現(xiàn)數(shù)據(jù)格式的標(biāo)準(zhǔn)化，將XML數(shù)據(jù)封裝于信封之中進(jìn)行信息交互，使得異構(gòu)的系統(tǒng)間能夠進(jìn)行互操作。

　　2.4　IDEA

　　國際數(shù)據(jù)加密算法（International Data Encryption Algorithm，IDEA）是一種對稱加密算法，由中國學(xué)者來學(xué)嘉和密碼專家Massey共同設(shè)計(jì)[3]。它的原理為來自不同代數(shù)群的混合運(yùn)算。加密過程由8圈迭代和1次輸出變換組成，密鑰長度為128位，對計(jì)算資源要求不高，能夠在不同平臺上實(shí)現(xiàn)高速加解密。

　　IDEA的工作流程如圖1所示，其加密和解密使用同樣的密鑰K。發(fā)送方將明文P使用密鑰K進(jìn)行加密后得到密文C，然后通過網(wǎng)絡(luò)將密文C傳輸給接收方。接收方使用同樣的密鑰K進(jìn)行逆運(yùn)算，解密后得到明文P，以實(shí)現(xiàn)信息傳遞時(shí)的安全性保護(hù)。

　　圖1　IDEA加解密流程

　　與其他傳統(tǒng)加密算法相比，IDEA在混淆性、擴(kuò)散性、安全性以及加解密效率等方面具有較為明顯的優(yōu)勢，目前已經(jīng)在各種有加密需要的信息交換場景下得到了廣泛應(yīng)用。

　　03 管理協(xié)議設(shè)計(jì)

　　3.1　服務(wù)開設(shè)

　　安全管理系統(tǒng)和安全設(shè)備分別通過發(fā)布Web服務(wù)描述語言（Web Services Description Language，WSDL），對外提供基于SOAP的Web Service。雙方基于該WSDL實(shí)現(xiàn)對方發(fā)布的Web Service的客戶端，通過互相訪問實(shí)現(xiàn)信息的上行/下行傳輸。

　　3.2　數(shù)據(jù)定義

　　信息數(shù)據(jù)報(bào)文作為安全管理信息的載體，是安全管理系統(tǒng)和安全設(shè)備進(jìn)行信息交互的核心。數(shù)據(jù)交換格式是系統(tǒng)間信息交換的編碼規(guī)范，是保證安全防護(hù)體系中各系統(tǒng)實(shí)現(xiàn)互連互通的基礎(chǔ)。

　　為了信息數(shù)據(jù)報(bào)文的通用性和可擴(kuò)展性，在安全管理協(xié)議中，所有數(shù)據(jù)報(bào)文都以XML的格式描述。XML具有高可擴(kuò)展性。使用XML對安全信息進(jìn)行描述既能滿足基礎(chǔ)管理需求，也便于根據(jù)需要進(jìn)行擴(kuò)展，以實(shí)現(xiàn)管理協(xié)議的高效、通用，同時(shí)能滿足靈活、易擴(kuò)展等需求。

　　如表1所示，根據(jù)報(bào)文作用的不同，將安全管理系統(tǒng)與安全設(shè)備之間的數(shù)據(jù)報(bào)文分為以下幾類。

　　表1　數(shù)據(jù)報(bào)文分類

　　針對報(bào)文類型的不同，安全管理系統(tǒng)和安全設(shè)備在進(jìn)行信息傳輸時(shí)調(diào)用不同的接口方法，實(shí)現(xiàn)數(shù)據(jù)的分類處理。通過報(bào)文分類，方便安全設(shè)備的快速適配，同時(shí)便于后續(xù)擴(kuò)展。

　　在設(shè)計(jì)管理協(xié)議時(shí)，需要充分考慮不同安全設(shè)備的相同點(diǎn)與差異性，同時(shí)協(xié)議設(shè)計(jì)需要有可擴(kuò)展性，為后續(xù)新安全設(shè)備的加入留出空間。數(shù)據(jù)報(bào)文分為所有設(shè)備都應(yīng)遵循的通用數(shù)據(jù)格式（如設(shè)備運(yùn)行狀態(tài)視圖）和針對某類設(shè)備的專用數(shù)據(jù)格式（如防火墻的網(wǎng)絡(luò)訪問控制策略）。所有數(shù)據(jù)報(bào)文均以語義化的方式進(jìn)行描述，便于理解，也易于程序進(jìn)行處理。

　　XML Schema定義（XML Schema Definition，XSD）是一種對XML文件的構(gòu)造進(jìn)行定義的規(guī)范，能夠檢查給定的XML文件是否符合XSD的定義。安全管理協(xié)議對所有數(shù)據(jù)報(bào)文定義均通過XSD進(jìn)行格式限制，以實(shí)現(xiàn)信息的規(guī)范化描述，同時(shí)便于接收方驗(yàn)證信息的合法性，防止格式不正確的非法報(bào)文對系統(tǒng)性能造成影響。

　　3.3　交互流程

　　設(shè)備管理協(xié)議的交互流程如圖2所示。通過服務(wù)探測與配置信息發(fā)布，安全管理系統(tǒng)與安全設(shè)備建立管理關(guān)系。

　　圖2　協(xié)議交互流程

　?、侔踩芾硐到y(tǒng)訪問安全設(shè)備對外發(fā)布的Web Service地址，確認(rèn)服務(wù)正常；

　?、诎踩芾硐到y(tǒng)向安全設(shè)備發(fā)送參數(shù)配置報(bào)文，告訴安全設(shè)備與安全管理系統(tǒng)進(jìn)行信息交互時(shí)需要的必要信息；安全設(shè)備收到報(bào)文后，根據(jù)其中內(nèi)容將相關(guān)信息進(jìn)行持久化保存，并向安全管理系統(tǒng)回復(fù)接收成功；

　?、弁瓿刹襟E②后，設(shè)備根據(jù)參數(shù)配置報(bào)文中定義的各類數(shù)據(jù)上報(bào)模式和時(shí)間間隔，定期向安全管理系統(tǒng)上報(bào)數(shù)據(jù)；當(dāng)參數(shù)配置、安全策略有變化時(shí)，安全管理系統(tǒng)主動向安全設(shè)備下發(fā)，安全設(shè)備根據(jù)報(bào)文進(jìn)行解析執(zhí)行。

　　3.4　傳輸加密

　　為了確保管理數(shù)據(jù)在信息交換時(shí)的安全性，安全管理協(xié)議要求通信雙方在發(fā)送數(shù)據(jù)前，通過IDEA算法對數(shù)據(jù)報(bào)文進(jìn)行加密，并使用加密后的密文進(jìn)行信息交互。

　　安全管理系統(tǒng)會為每個(gè)設(shè)備分配唯一的加解密密鑰。即使單個(gè)設(shè)備的密鑰泄露，攻擊者在不知道其他設(shè)備密鑰的情況下，無法對其他設(shè)備的通信報(bào)文進(jìn)行解密。

　　3.5　接口報(bào)文示例

　　安全管理系統(tǒng)和安全設(shè)備分別部署安全管理Web Service通信服務(wù)，通過互相訪問實(shí)現(xiàn)安全設(shè)備視圖、策略、事件、日志上報(bào)和參數(shù)、策略下發(fā)等功能。一個(gè)典型的Web Service接口描述如下：

　　int reportInfo（String devID,String dataType,String xml）

　　該接口由安全管理系統(tǒng)發(fā)布，供安全設(shè)備調(diào)用，主要包含3個(gè)參數(shù)。第1個(gè)參數(shù)為安全設(shè)備的唯一標(biāo)識。安全管理系統(tǒng)通過該參數(shù)區(qū)分來自不同設(shè)備的數(shù)據(jù)，并以此為依據(jù)生成IDEA加解密使用的密鑰。第2個(gè)參數(shù)為加密后的數(shù)據(jù)報(bào)文標(biāo)識，用以區(qū)分上報(bào)數(shù)據(jù)的具體類型，供接收方判斷應(yīng)該通過哪種方法對數(shù)據(jù)進(jìn)行針對性處理。第3個(gè)參數(shù)為加密后的報(bào)文數(shù)據(jù)，包含安全管理業(yè)務(wù)的真正數(shù)據(jù)。接口的返回值為int型數(shù)據(jù)，根據(jù)不同的返回值，可以判斷接口調(diào)用是否成功或具體的錯誤類型。

　　下面是一個(gè)“通信參數(shù)配置”報(bào)文的具體實(shí)現(xiàn)，以此為例說明數(shù)據(jù)格式的結(jié)構(gòu)與含義。

　　報(bào)文以XML格式封裝：第1行表示數(shù)據(jù)報(bào)文由UTF-8編碼方式進(jìn)行編碼；第2行表示本報(bào)文的類型屬于配置報(bào)文，需要接收者按照配置報(bào)文的解析方式進(jìn)行解析；第3行表示本報(bào)文具體類型屬通信參數(shù)配置，主要用于約束安全管理系統(tǒng)與安全設(shè)備間如何進(jìn)行通信；第4行表示安全管理系統(tǒng)的IP地址是192.168.11.250；第5行表示安全管理系統(tǒng)開放的端口是8080；第6行表示安全管理系統(tǒng)給安全設(shè)備分配了一個(gè)唯一的設(shè)備ID，在后續(xù)通信中，安全設(shè)備需要將該設(shè)備ID作為自身的標(biāo)識信息。安全設(shè)備收到該報(bào)文后進(jìn)行解析，即可得知安全管理系統(tǒng)的IP地址、端口與分配給自己的身份標(biāo)識。后續(xù)可利用該身份標(biāo)識與安全管理系統(tǒng)進(jìn)行通信。

　　3.6　效能分析

　　通過以上對報(bào)文各字段的分析可知，管理協(xié)議報(bào)文基于應(yīng)用層，以語義化的方式，通過定義不同字段名與該字段含義來表示不同的內(nèi)容。因此，可以針對不同安全設(shè)備特點(diǎn)定義不同的數(shù)據(jù)格式，實(shí)現(xiàn)安全管理信息的上傳和下發(fā)，不存在系統(tǒng)平臺適配或轉(zhuǎn)換問題。

　　本文設(shè)計(jì)的網(wǎng)絡(luò)安全設(shè)備管理協(xié)議已經(jīng)在某大型安全防護(hù)系統(tǒng)中應(yīng)用，供安全管理系統(tǒng)和安全設(shè)備進(jìn)行信息交互時(shí)使用。該安全防護(hù)系統(tǒng)廣泛部署于國內(nèi)各點(diǎn)位，多年來穩(wěn)定運(yùn)行。經(jīng)過驗(yàn)證，它能夠支撐安全管理系統(tǒng)與安全設(shè)備之間的通信需要，保障運(yùn)維人員對整個(gè)網(wǎng)絡(luò)空間的統(tǒng)一安全管理。

　　04 結(jié)　語

　　安全運(yùn)維管理的核心是安全數(shù)據(jù)的交互。本文從安全運(yùn)維管理的現(xiàn)狀及需求出發(fā)，提出了一種網(wǎng)絡(luò)安全設(shè)備管理協(xié)議，分析涉及的關(guān)鍵技術(shù)，設(shè)計(jì)數(shù)據(jù)交換格式模型，能夠解決安全管理系統(tǒng)和網(wǎng)絡(luò)安全設(shè)備的數(shù)據(jù)交互問題。后續(xù)的工作主要包括進(jìn)行數(shù)據(jù)壓縮優(yōu)化設(shè)計(jì)、提升編碼效率和傳輸性能等。