安全编排框架制造技术

在示例中，公开了一种计算装置，所述计算装置包括：网络接口；一个或多个逻辑元件，所述逻辑元件提供安全编排服务器引擎，所述安全编排服务器引擎可操作用于：通过网络接口从客户端接收上下文数据；将所述上下文数据提供给安全编排状态机，所述安全编排状态机可操作用于从所述上下文数据中导出策略决策；并且从所述策略编排状态机接收所述策略决策。还公开了：一种或多种其上存储有可执行指令的有形非瞬态计算机可读介质，所述可执行指令用于提供安全编排引擎；以及一种提供安全编排引擎的方法。

Security framework

In the example, discloses a computing device, the computing device includes a network interface; one or more logic elements, the logic element provides security arrangement of the security server engine, layout server engine operable, receiving context data from the client through the network interface will provide the context data; to the security arrangement of state machine, the state machine can be used for security arrangement from the context data derived from the policy decision; and the arrangement of state machine receives the strategy decision strategy. Also disclosed: tangible non transient computer readable medium of one or more of the stored executable instructions, the executable instructions for providing a security arrangement engine; and a method of providing security arrangement of engine.

【技术实现步骤摘要】
【国外来华专利技术】相关申请的交叉引用本申请要求于2014年10月26日提交的题为“SecurityOrchestrationFramework(安全编排框架)”的美国临时申请号62/068,727以及于2015年6月27日提交的题为“SecurityOrchestrationFramework(安全编排框架)”的美国技术申请号14/752,867的优先权，所述申请通过引用结合在此。
本公开总体上涉及计算机安全领域，并且更具体地(但是不排他地)涉及一种用于提供安全编排框架的系统和方法。
技术介绍
传统安全框架提供了如文件和设备等多种资源，并且限定了具有与这些资源相关的某些权限的用户或分组集合。例如，用户“joe”可以属于系统上的分组“用户”，比如类Unix的或基于Windows的系统。Joe可以对其“主”目录进行读和写访问两者，并且作为分组“用户”的一员，还可以对某些系统资源(比如系统驱动程序)进行只读访问。附图说明当与附图一起阅读时，将从以下详细描述中最充分地理解本公开。要强调的是，根据行业中的标准实践，各种特征不一定按比例绘制，并且仅用于说明目的。在清楚地或隐含地示出比例的地方，这仅提供一个示意性示例。在其他实施例中，为了讨论清楚，不同特征的尺寸可以被任意放大或减小。图1是根据本说明书的一个或多个示例的情境感知网络的框图。图2是根据本说明书的一个或多个示例的数据交换层(DXL)的框图。图3是根据本说明书的一个或多个示例的DXL端点的框图。图4是根据本说明书的一个或多个示例的服务器的框图。图5是根据本说明书的一个或多个示例的DXL体系结构的框图。图6是根据本说明书的一个或多个示例的安全企业的框图。图7是根据本说明书的一个或多个示例的安全编排框架的选定方面的框图。
技术实现思路
在示例中，公开了一种计算装置，所述计算装置包括：网络接口；一个或多个逻辑元件，所述逻辑元件提供安全编排服务器引擎，所述安全编排服务器引擎可操作用于：通过网络接口从客户端接收上下文数据；将所述上下文数据提供给安全编排状态机，所述安全编排状态机可操作用于从所述上下文数据中导出策略决策；并且从所述策略编排状态机接收所述策略决策。还公开了：一种或多种其上存储有可执行指令的有形非瞬态计算机可读介质，所述可执行指令用于提供安全编排引擎；以及一种提供安全编排引擎的方法。本公开的实施例以下公开内容提供了用于实施本公开的不同特征的许多不同实施例或示例。以下描述了部件和安排的具体示例以便简化本公开。当然，这些仅是示例并且并不旨在是限制性的。另外，本公开在各种示例中可以重复参考标号和/或字母。这种重复是为了简单和清晰的目的，并且本身并不指定所讨论的各种实施例和/或配置之间的关系。不同实施例可以具有不同优点，并且不一定需要任何实施例的任何特定优点。计算机安全是信息时代的典型问题。随着时间的发展，计算机安全已经成为一方面恶意行为者与另一方面安全人员之间的虚拟军备竞赛。当安全人员开发新的安全技术来击败恶意行为者时，恶意行为者尽他们所能快速地适应以击败新的安全机制。情境感知策略是安全人员的箭筒中一支有力的箭。在情境感知策略中，用户不是简单地被授权访问资源，或相反被拒绝对资源的访问，而是可以基于用户情境的和认证强度为每个资源定义一组高粒度策略。这种系统解决了用户越来越多地通过便携式设备(通常是“自带设备”(BYOD)模型)访问企业服务和资源的世界的现实，其中，允许并甚至可能鼓励用户提供其自己的移动设备。因而，即使企业应用程序和数据良好地保护在数据中心，安全水平在客户端设备上会广泛地变化。客户端设备和用户因此会成为容易攻击的目标，例如通过社交工程、零天利用等。而且，设备通常保持与有特权的服务(比如电子邮件、敏感文档共享、和代码储存库)连接，或将敏感数据下载至这些服务，甚至在用户不主动地执行企业任务时。一旦数据或资源驻留在客户端设备上，攻击者就可以通过破解来获取用户实际上的权限。例如，当已授权用户物理上在受企业控制的办公空间内时，可以期望授予她对特别敏感文档的完全访问。一旦这个用户离开该物理办公空间，仍然可以期望允许她读取和浏览该文档，但不允许她对其进行修改。策略上的这种差别反映了两个不同位置的相对安全特征。认证强度还可以形成一个可以有效地通知关于授予什么权限的情境。例如，如果用户通过周认证机制(比如单因素认证，像用户名和密码)进行认证，与已经向更强的机制(比如，双因素认证)认证过的用户相比，可能期望限制或限定这个用户。此外，即使在多种认证类型中，也可以识别相对强度。例如，一些安全研究者认为指纹是相对弱的生物认证机制。另一方面，可以认为视网膜扫描是强壮得多的生物认证方法，因为它更加难以假冒。因而，相对于通过视网膜扫描来认证的用户，可以期望例如对通过指纹进行认证的用户添加附加限制。情境还可以包括许多其他环境因素。例如，情境可以包括：计算设备附近智能标记或其他RFID设备的存在、用户的物理位置、房间或设施内不只一个个体的存在、用户处于静止还是运动、用户在组织或层次中的位置、组织内其他项的可用性、用户正操作的设备的通用唯一标识符(UUID)、实时医学遥测(比如像脉搏和出汗)、以及可以对用户访问某些资源的的可靠性或权限有影响的任何其他适当环境因素。在一些示例中，启发法还可以在情境感知策略中起作用。例如，用户的日常习惯会提高用户真实的概率。例如，如果用户习惯性地早上在家登录以检查她的邮件，然后离开家去附近的餐厅吃早餐，并在早餐时通过她的膝上计算机对文件进行操作，并且如果她然后习惯性地在约早上9点去工作，这种模式可以被牢记为启发式数据，所述启发式数据在用户遵守这种模式时可以提高置信度或在用户与这种模式不同时降低置信度。如果用户与她的模式不同，在允许她访问某些资源之前会要求附加的认证令牌。如果用户一贯地改变所述模式，从而形成新的习惯，则也可以启发地牢记新的习惯。并且在另一示例中，可以将用户的日历与其他数据情境地相关从而提高或降低置信度。例如，用户计划在10：30在会议室参加会议，并在10：35从会议室内登陆。这可以反映用户真实的相对较高置信度。类似地，如果用户正常地驻扎在洛杉矶，她从西雅图的咖啡馆尝试登陆会相对可疑。然而，如果根据她的日历，用户计划这个周在西雅图进行商务旅行，则从西雅图尝试登陆会相对不太可疑。类似地，从西雅图的分公司尝试登陆与从咖啡馆尝试登陆相比会不那么可疑。许多其他情境的示例、以及具体情境对认证和资源可用性和用途的影响是可能的。本说明书的范围并不旨在受限于任何具体情境、或与该情境相关的任何具体权限方案。情境计算时出现的一个问题是需要不断地定义新的情境，并将附加传感器和资源集成到情境感知策略中。因而，期望定义一种允许管理员无缝地实现和施展情境感知安全策略的框架。伴随着这种框架在适当位置，极大地减轻了管理员的任务，因为可以就策略做什么而非怎样进行这些策略的细节对其进行定义。可以将操作原理总结如下：a.每个安全控件(或传感器)可以配备有情境感知能力、策略决策能力、和策略实施能力。(最后两项是传感器可选的。)在示例中，控件对其自身起作用，从而以这个顺序执行对应的功能。b.这三种功能逻辑上依赖于每个控件，从而允许它们被独立地调用，例如通过应用程序编程接口(API)。本文档来自技高网...

【技术保护点】
一种计算装置，包括：网络接口；一个或多个逻辑元件，包括安全编排服务器引擎，所述安全编排服务器引擎可操作用于：通过所述网络接口从客户端接收上下文数据；将所述上下文数据提供给安全编排状态机，所述安全编排状态机可操作用于从所述上下文数据中导出策略决策；以及从所述策略编排状态机接收所述策略决策。

【技术特征摘要】
【国外来华专利技术】2014.10.26 US 62/068,727;2015.06.27 US 14/752,8671.一种计算装置，包括：网络接口；一个或多个逻辑元件，包括安全编排服务器引擎，所述安全编排服务器引擎可操作用于：通过所述网络接口从客户端接收上下文数据；将所述上下文数据提供给安全编排状态机，所述安全编排状态机可操作用于从所述上下文数据中导出策略决策；以及从所述策略编排状态机接收所述策略决策。2.如权利要求1所述的计算装置，其中，所述安全编排服务器引擎进一步可操作用于实施所述策略决策。3.如权利要求2所述的计算装置，其中，实施所述策略决策包括向所述客户端发送实施消息。4.如权利要求3所述的计算装置，其中，所述实施消息是数据交换层(DXL)消息。5.如权利要求3所述的计算装置，其中，向所述客户端发送所述实施消息包括通过应用程序编程接口(API)发送所述消息，其中，所述API对所述实施在所述客户端上的实现是不可知。6.如权利要求2所述的计算装置，其中，实施所述策略决策包括与第二设备共同地实施所述策略。7.如权利要求1至6中任一项所述的计算装置，其中，从所述上下文数据中导出策略决策包括接收策略目标，所述策略目标包括对所述策略决策的面向结果的声明。8.如权利要求1至6中任一项所述的计算装置，其中，通过所述网络接口从所述客户端接收上下文数据包括通过应用程序编程接口(API)接收所述上下文数据，其中，所述API对所述上下文数据的实现是不可知的。9.如权利要求1至6中任一项所述的计算装置，其中，所述网络接口是数据交换层(DXL)接口。10.如权利要求9所述的装置，其中，接收上下文数据包括接收DXL消息。11.一种或多种其上存储有可执行指令的有形非瞬态计算机可读存储介质，所述指令用于提供安全编排服务器引擎，所述安全编排服务器引擎可操作用于：通过网络接口从客户端接收上下文数据；将所述上下文数据提供给安全编排状态机，所述安全编排状态机可操作用于从所述上下文数据中导出策略决策；以及从所述策略编排状态机接收所述策略决策。12.如权利要求11所述的一种或多种有形非瞬态计算机可读存储介质，其中，所述安全编排服务器...

【专利技术属性】
技术研发人员：N·赫曼，
申请(专利权)人：迈克菲股份有限公司，
类型：发明
国别省市：美国;US