信息系統(tǒng)面臨愈發(fā)復(fù)雜的網(wǎng)絡(luò)安全威脅，需要安全管理系統(tǒng)對(duì)安全設(shè)備進(jìn)行統(tǒng)一運(yùn)維管理。安全運(yùn)維管理需要實(shí)現(xiàn)高效,、跨平臺(tái)、安全的數(shù)據(jù)交換,。針對(duì)安全運(yùn)維管理的需求，設(shè)計(jì)了一套安全設(shè)備管理協(xié)議,，從技術(shù)體制,、數(shù)據(jù)分類、報(bào)文定義以及傳輸安全等角度對(duì)協(xié)議進(jìn)行設(shè)計(jì),，以滿足安全管理系統(tǒng)和安全設(shè)備之間信息交互的實(shí)際需要,。

　　隨著信息技術(shù)的不斷進(jìn)步，信息系統(tǒng)面臨的網(wǎng)絡(luò)安全威脅愈發(fā)復(fù)雜,。防火墻,、入侵檢測、漏洞掃描以及防病毒等網(wǎng)絡(luò)安全設(shè)備協(xié)同配合,，共同組成了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的防護(hù)屏障,。為了對(duì)不同安全設(shè)備進(jìn)行統(tǒng)一管理，安全管理系統(tǒng)應(yīng)運(yùn)而生,。安全管理系統(tǒng)為使用者提供了安全設(shè)備數(shù)據(jù)統(tǒng)一采集和呈現(xiàn)平臺(tái),，通過不同設(shè)備的統(tǒng)一調(diào)度構(gòu)建有效的防御手段,。本文分析安全運(yùn)維管理的需求,，探討設(shè)備管理協(xié)議中的關(guān)鍵技術(shù)，提出了數(shù)據(jù)交換格式模型,。

　　01 安全管理需求

　　業(yè)界普遍認(rèn)為,，網(wǎng)絡(luò)安全由技術(shù)、管理和運(yùn)維3部分組成，且其長期效能主要取決于安全運(yùn)維管理水平[1],。安全運(yùn)維管理的好壞對(duì)網(wǎng)絡(luò)安全體系的整體效能具有重要影響,。

　　1.1　管理運(yùn)維需求

　　在網(wǎng)絡(luò)安全體系中，不同安全設(shè)備各司其職,，協(xié)作實(shí)現(xiàn)安全防護(hù),。安全管理系統(tǒng)通過高效的管理運(yùn)維，起到協(xié)調(diào)調(diào)度的作用,。管理運(yùn)維需求主要包括設(shè)備狀態(tài)的統(tǒng)一監(jiān)控,、安全風(fēng)險(xiǎn)的及時(shí)呈現(xiàn)、安全威脅的高效處置以及安全策略的迅速調(diào)整,。

　　1.2　數(shù)據(jù)交換需求

　　安全運(yùn)維過程中,，安全管理系統(tǒng)與安全設(shè)備間存在大量的數(shù)據(jù)交換需求。不同安全設(shè)備形態(tài)各異,、技術(shù)體制不一,，形成了異構(gòu)的數(shù)據(jù)環(huán)境。安全管理系統(tǒng)對(duì)各種安全設(shè)備進(jìn)行統(tǒng)一運(yùn)維管理,，必須設(shè)計(jì)跨平臺(tái)的通用傳輸協(xié)議,，以降低系統(tǒng)間耦合度，實(shí)現(xiàn)安全防護(hù)數(shù)據(jù)的互聯(lián)互通,，從而為運(yùn)維人員進(jìn)行決策提供更好的支撐,。為了保證管理協(xié)議的平臺(tái)的無關(guān)性和可擴(kuò)展性，需要定義通用的安全信息描述機(jī)制和數(shù)據(jù)格式,。

　　1.3　安全性需求

　　安全運(yùn)維管理過程中,，為了防止外部攻擊者獲取敏感信息，使用的傳輸協(xié)議必須通過加密等手段進(jìn)行安全性保護(hù),。

　　02 關(guān)鍵技術(shù)

　　2.1　XML

　　可擴(kuò)展標(biāo)記語言（eXtensible Markup Language,，XML）是一種用于標(biāo)記電子文件使其具有結(jié)構(gòu)性的標(biāo)記語言。它遵循W3C規(guī)范的語法要求,，形式與內(nèi)容分離,，具有良好的自描述性，同時(shí)易于擴(kuò)展,，擁有豐富的第三方開發(fā)庫,，非常適合在不同架構(gòu)的系統(tǒng)之間進(jìn)行信息傳輸使用。隨著XML的應(yīng)用越來越廣泛,，在眾多應(yīng)用場景下,，XML憑借其優(yōu)點(diǎn)已經(jīng)成為事實(shí)上的數(shù)據(jù)交換標(biāo)準(zhǔn)。

　　2.2　Web Service

　　Web Service是一種跨編程語言,、跨操作系統(tǒng)平臺(tái)的遠(yuǎn)程調(diào)用技術(shù),。Web Service技術(shù)的典型特點(diǎn)是平臺(tái)無關(guān)性和開放性。運(yùn)行在不同系統(tǒng)上的異構(gòu)應(yīng)用無須借助專門的第三方軟硬件，就可相互交換數(shù)據(jù)或?qū)崿F(xiàn)集成,。不同應(yīng)用之間只要共同遵循了Web Service規(guī)范,，無論它們所使用的語言、平臺(tái)或內(nèi)部協(xié)議是什么,，都可以實(shí)現(xiàn)數(shù)據(jù)的相互交換,。

　　2.3　SOAP

　　簡單對(duì)象訪問協(xié)議（Simple Object Access Protocol，SOAP）是一種基于XML的輕量數(shù)據(jù)交換協(xié)議規(guī)范,，能夠在不同信息系統(tǒng)之間交換結(jié)構(gòu)化數(shù)據(jù),，是Web Service的一種主流實(shí)現(xiàn)形式。

　　SOAP基于HTTP協(xié)議定義了一個(gè)框架,，描述消息中的內(nèi)容是什么,、是誰發(fā)送的、誰應(yīng)當(dāng)接受并處理它以及如何處理它們,。它通過定義SOAP信封（envelop）實(shí)現(xiàn)數(shù)據(jù)格式的標(biāo)準(zhǔn)化,，將XML數(shù)據(jù)封裝于信封之中進(jìn)行信息交互，使得異構(gòu)的系統(tǒng)間能夠進(jìn)行互操作,。

　　2.4　IDEA

　　國際數(shù)據(jù)加密算法（International Data Encryption Algorithm,，IDEA）是一種對(duì)稱加密算法，由中國學(xué)者來學(xué)嘉和密碼專家Massey共同設(shè)計(jì)[3],。它的原理為來自不同代數(shù)群的混合運(yùn)算,。加密過程由8圈迭代和1次輸出變換組成，密鑰長度為128位,，對(duì)計(jì)算資源要求不高,，能夠在不同平臺(tái)上實(shí)現(xiàn)高速加解密。

　　IDEA的工作流程如圖1所示,，其加密和解密使用同樣的密鑰K,。發(fā)送方將明文P使用密鑰K進(jìn)行加密后得到密文C，然后通過網(wǎng)絡(luò)將密文C傳輸給接收方,。接收方使用同樣的密鑰K進(jìn)行逆運(yùn)算,，解密后得到明文P，以實(shí)現(xiàn)信息傳遞時(shí)的安全性保護(hù),。

　　圖1　IDEA加解密流程

　　與其他傳統(tǒng)加密算法相比,，IDEA在混淆性、擴(kuò)散性,、安全性以及加解密效率等方面具有較為明顯的優(yōu)勢,，目前已經(jīng)在各種有加密需要的信息交換場景下得到了廣泛應(yīng)用。

　　03 管理協(xié)議設(shè)計(jì)

　　3.1　服務(wù)開設(shè)

　　安全管理系統(tǒng)和安全設(shè)備分別通過發(fā)布Web服務(wù)描述語言（Web Services Description Language,，WSDL）,，對(duì)外提供基于SOAP的Web Service。雙方基于該WSDL實(shí)現(xiàn)對(duì)方發(fā)布的Web Service的客戶端,，通過互相訪問實(shí)現(xiàn)信息的上行/下行傳輸,。

　　3.2　數(shù)據(jù)定義

　　信息數(shù)據(jù)報(bào)文作為安全管理信息的載體，是安全管理系統(tǒng)和安全設(shè)備進(jìn)行信息交互的核心,。數(shù)據(jù)交換格式是系統(tǒng)間信息交換的編碼規(guī)范,，是保證安全防護(hù)體系中各系統(tǒng)實(shí)現(xiàn)互連互通的基礎(chǔ)。

　　為了信息數(shù)據(jù)報(bào)文的通用性和可擴(kuò)展性,，在安全管理協(xié)議中,，所有數(shù)據(jù)報(bào)文都以XML的格式描述。XML具有高可擴(kuò)展性,。使用XML對(duì)安全信息進(jìn)行描述既能滿足基礎(chǔ)管理需求,，也便于根據(jù)需要進(jìn)行擴(kuò)展，以實(shí)現(xiàn)管理協(xié)議的高效,、通用,，同時(shí)能滿足靈活、易擴(kuò)展等需求,。

　　如表1所示,，根據(jù)報(bào)文作用的不同，將安全管理系統(tǒng)與安全設(shè)備之間的數(shù)據(jù)報(bào)文分為以下幾類,。

　　表1　數(shù)據(jù)報(bào)文分類

　　針對(duì)報(bào)文類型的不同,，安全管理系統(tǒng)和安全設(shè)備在進(jìn)行信息傳輸時(shí)調(diào)用不同的接口方法，實(shí)現(xiàn)數(shù)據(jù)的分類處理,。通過報(bào)文分類,，方便安全設(shè)備的快速適配，同時(shí)便于后續(xù)擴(kuò)展,。

　　在設(shè)計(jì)管理協(xié)議時(shí),，需要充分考慮不同安全設(shè)備的相同點(diǎn)與差異性，同時(shí)協(xié)議設(shè)計(jì)需要有可擴(kuò)展性,，為后續(xù)新安全設(shè)備的加入留出空間,。數(shù)據(jù)報(bào)文分為所有設(shè)備都應(yīng)遵循的通用數(shù)據(jù)格式（如設(shè)備運(yùn)行狀態(tài)視圖）和針對(duì)某類設(shè)備的專用數(shù)據(jù)格式（如防火墻的網(wǎng)絡(luò)訪問控制策略）。所有數(shù)據(jù)報(bào)文均以語義化的方式進(jìn)行描述,，便于理解,，也易于程序進(jìn)行處理。

　　XML Schema定義（XML Schema Definition,，XSD）是一種對(duì)XML文件的構(gòu)造進(jìn)行定義的規(guī)范,，能夠檢查給定的XML文件是否符合XSD的定義。安全管理協(xié)議對(duì)所有數(shù)據(jù)報(bào)文定義均通過XSD進(jìn)行格式限制,，以實(shí)現(xiàn)信息的規(guī)范化描述,，同時(shí)便于接收方驗(yàn)證信息的合法性,，防止格式不正確的非法報(bào)文對(duì)系統(tǒng)性能造成影響。

　　3.3　交互流程

　　設(shè)備管理協(xié)議的交互流程如圖2所示,。通過服務(wù)探測與配置信息發(fā)布,，安全管理系統(tǒng)與安全設(shè)備建立管理關(guān)系。

　　圖2　協(xié)議交互流程

　?、侔踩芾硐到y(tǒng)訪問安全設(shè)備對(duì)外發(fā)布的Web Service地址,，確認(rèn)服務(wù)正常；

　?、诎踩芾硐到y(tǒng)向安全設(shè)備發(fā)送參數(shù)配置報(bào)文,，告訴安全設(shè)備與安全管理系統(tǒng)進(jìn)行信息交互時(shí)需要的必要信息；安全設(shè)備收到報(bào)文后,，根據(jù)其中內(nèi)容將相關(guān)信息進(jìn)行持久化保存,，并向安全管理系統(tǒng)回復(fù)接收成功；

　?、弁瓿刹襟E②后,，設(shè)備根據(jù)參數(shù)配置報(bào)文中定義的各類數(shù)據(jù)上報(bào)模式和時(shí)間間隔，定期向安全管理系統(tǒng)上報(bào)數(shù)據(jù),；當(dāng)參數(shù)配置,、安全策略有變化時(shí)，安全管理系統(tǒng)主動(dòng)向安全設(shè)備下發(fā),，安全設(shè)備根據(jù)報(bào)文進(jìn)行解析執(zhí)行,。

　　3.4　傳輸加密

　　為了確保管理數(shù)據(jù)在信息交換時(shí)的安全性，安全管理協(xié)議要求通信雙方在發(fā)送數(shù)據(jù)前,，通過IDEA算法對(duì)數(shù)據(jù)報(bào)文進(jìn)行加密,，并使用加密后的密文進(jìn)行信息交互。

　　安全管理系統(tǒng)會(huì)為每個(gè)設(shè)備分配唯一的加解密密鑰,。即使單個(gè)設(shè)備的密鑰泄露,，攻擊者在不知道其他設(shè)備密鑰的情況下，無法對(duì)其他設(shè)備的通信報(bào)文進(jìn)行解密,。

　　3.5　接口報(bào)文示例

　　安全管理系統(tǒng)和安全設(shè)備分別部署安全管理Web Service通信服務(wù),，通過互相訪問實(shí)現(xiàn)安全設(shè)備視圖、策略,、事件,、日志上報(bào)和參數(shù)、策略下發(fā)等功能,。一個(gè)典型的Web Service接口描述如下：

　　int reportInfo（String devID,String dataType,String xml）

　　該接口由安全管理系統(tǒng)發(fā)布,，供安全設(shè)備調(diào)用，主要包含3個(gè)參數(shù),。第1個(gè)參數(shù)為安全設(shè)備的唯一標(biāo)識(shí),。安全管理系統(tǒng)通過該參數(shù)區(qū)分來自不同設(shè)備的數(shù)據(jù),，并以此為依據(jù)生成IDEA加解密使用的密鑰。第2個(gè)參數(shù)為加密后的數(shù)據(jù)報(bào)文標(biāo)識(shí),，用以區(qū)分上報(bào)數(shù)據(jù)的具體類型,，供接收方判斷應(yīng)該通過哪種方法對(duì)數(shù)據(jù)進(jìn)行針對(duì)性處理。第3個(gè)參數(shù)為加密后的報(bào)文數(shù)據(jù),，包含安全管理業(yè)務(wù)的真正數(shù)據(jù),。接口的返回值為int型數(shù)據(jù),，根據(jù)不同的返回值,，可以判斷接口調(diào)用是否成功或具體的錯(cuò)誤類型。

　　下面是一個(gè)“通信參數(shù)配置”報(bào)文的具體實(shí)現(xiàn),，以此為例說明數(shù)據(jù)格式的結(jié)構(gòu)與含義,。

　　報(bào)文以XML格式封裝：第1行表示數(shù)據(jù)報(bào)文由UTF-8編碼方式進(jìn)行編碼；第2行表示本報(bào)文的類型屬于配置報(bào)文,，需要接收者按照配置報(bào)文的解析方式進(jìn)行解析,；第3行表示本報(bào)文具體類型屬通信參數(shù)配置，主要用于約束安全管理系統(tǒng)與安全設(shè)備間如何進(jìn)行通信,；第4行表示安全管理系統(tǒng)的IP地址是192.168.11.250,；第5行表示安全管理系統(tǒng)開放的端口是8080；第6行表示安全管理系統(tǒng)給安全設(shè)備分配了一個(gè)唯一的設(shè)備ID,，在后續(xù)通信中,，安全設(shè)備需要將該設(shè)備ID作為自身的標(biāo)識(shí)信息。安全設(shè)備收到該報(bào)文后進(jìn)行解析,，即可得知安全管理系統(tǒng)的IP地址,、端口與分配給自己的身份標(biāo)識(shí)。后續(xù)可利用該身份標(biāo)識(shí)與安全管理系統(tǒng)進(jìn)行通信,。

　　3.6　效能分析

　　通過以上對(duì)報(bào)文各字段的分析可知,，管理協(xié)議報(bào)文基于應(yīng)用層，以語義化的方式,，通過定義不同字段名與該字段含義來表示不同的內(nèi)容,。因此，可以針對(duì)不同安全設(shè)備特點(diǎn)定義不同的數(shù)據(jù)格式,，實(shí)現(xiàn)安全管理信息的上傳和下發(fā),，不存在系統(tǒng)平臺(tái)適配或轉(zhuǎn)換問題。

　　本文設(shè)計(jì)的網(wǎng)絡(luò)安全設(shè)備管理協(xié)議已經(jīng)在某大型安全防護(hù)系統(tǒng)中應(yīng)用,，供安全管理系統(tǒng)和安全設(shè)備進(jìn)行信息交互時(shí)使用,。該安全防護(hù)系統(tǒng)廣泛部署于國內(nèi)各點(diǎn)位，多年來穩(wěn)定運(yùn)行,。經(jīng)過驗(yàn)證,，它能夠支撐安全管理系統(tǒng)與安全設(shè)備之間的通信需要,，保障運(yùn)維人員對(duì)整個(gè)網(wǎng)絡(luò)空間的統(tǒng)一安全管理。

　　04 結(jié)　語

　　安全運(yùn)維管理的核心是安全數(shù)據(jù)的交互,。本文從安全運(yùn)維管理的現(xiàn)狀及需求出發(fā),，提出了一種網(wǎng)絡(luò)安全設(shè)備管理協(xié)議，分析涉及的關(guān)鍵技術(shù),，設(shè)計(jì)數(shù)據(jù)交換格式模型,，能夠解決安全管理系統(tǒng)和網(wǎng)絡(luò)安全設(shè)備的數(shù)據(jù)交互問題。后續(xù)的工作主要包括進(jìn)行數(shù)據(jù)壓縮優(yōu)化設(shè)計(jì),、提升編碼效率和傳輸性能等,。