一种网间互联安全控制策略规则映射方法技术

本发明专利技术公开了一种网间互联安全控制策略规则映射方法，属于网络安全领域。首先在对象映射数据库中完成子网名称到子网网段的映射后进行策略编辑，编辑好后生成安全控制策略；词法分析模块读取安全控制策略，发送到语法分析模块识别关键词，生成对应的短语执行读取操作，填入对应的节点，生成对应的具体AST；语义分析模块将子网名称映射成网段值，替换具体AST中子网名称节点的内容，生成带有语义的AST；安全规则范式匹配模块将带有语义的AST转化为XML形式的安全规则；安全规则生成器将XML形式的安全规则转化为可执行的规则代码或命令，完成映射。本发明专利技术解决了业务工作人员对规则难配置、难维护、难管控和难理解的问题，实现了简单有效的管理方式。

A Rule Mapping Method for Interconnection Security Control Strategy

The invention discloses a rule mapping method for security control strategy of inter-network interconnection, which belongs to the field of network security. Firstly, after mapping the subnet name to the subnet segment in the object mapping database, the strategy is edited and the security control strategy is generated; the lexical analysis module reads the security control strategy, sends it to the grammar analysis module to identify keywords, generates the corresponding phrases to perform the reading operation, fills in the corresponding nodes, and generates the corresponding specific AST; the semantic analysis module generates the subnet. Names are mapped to segment values, replacing the content of specific AST subnet name nodes to generate AST with semantics; security rule paradigm matching module transforms AST with semantics into security rules in XML form; security rule generator transforms security rules in XML form into executable rules code or commands to complete the mapping. The invention solves the problems of difficult configuration, maintenance, control and comprehension of rules for business staff, and realizes a simple and effective management mode.

【技术实现步骤摘要】
一种网间互联安全控制策略规则映射方法
本专利技术属于网络安全领域，具体是一种网间互联安全控制策略规则映射方法。
技术介绍
现有天地一体化网络军民共用，但是网络安全域差异化大，导致网间互联安全控制难度大。通过网间互联安全控制策略达到细粒度安全保护和防御是一种有效的手段。而网间互联安全控制策略是基于人的认知、风险评估和脆弱性分析而设计的，并没有联系到具体的设备、设备形态、软件以及数据等能够操作的层面，为了落实网间互联安全控制策略具体到可以操作的规则，需要提出有效智能的、自动从网间互联安全控制策略到控制规则的映射方法。各类网络服务与控制策略日益复杂化，与其相对应的策略与规则也层出不穷。如何完成策略与规则的映射及管理是网络安全业务的一个关键任务。规则引擎系统便是完成业务逻辑与规则快速变换的理想方案，它将业务逻辑的表达与执行相分离，业务逻辑以业务规则的形式表示，业务流程以业务规则的执行来完成，使业务逻辑的改变不会相应引起系统本身的修改，从而满足业务快速调整的实际需求。业务规则是各种决策被有效执行的系统保障。但是目前对业务规则的管理还存在一些亟待改进和优化之处，如业务规则与系统功能硬绑定，业务规则多而杂，业务规则描述自由、不统一。这种管理方式会导致一系列的问题，如难配置、难维护、难扩展、难定制、难复用、难管控和难理解等。
技术实现思路
本专利技术针对网间互联的实际需求，并考虑上述难点和痛点，提出了一种网间互联安全控制策略规则映射方法；应用于天地一体化网络信息安全保障体系，能够支撑网间互联细粒度安全控制，具有实现从安全控制策略到安全规则的自动映射。具体步骤如下：步骤一、构建映射处理体系架构，从上到下依次分布表现层、映射匹配层和规则生成层；表现层包括策略编辑模块和状态反馈两个模块。策略编辑模块是指：首先，自定义一套符合巴科斯范式的安全控制策略语法，业务员编辑符合该语法的安全控制策略。状态反馈对无法完成映射的安全控制策略进行错误提示。映射匹配层对表现层的安全控制策略进行语义分析及映射，并将安全控制策略转化为XML形式的安全规则；具体包括：词法分析模块，语法分析模块，对象映射数据库，语义分析模块及安全规则范式匹配模块。词法分析模块对安全控制策略以字符流的形式进行扫描，根据构词规则识别单词和符号，生成单词序列；语法分析模块是指：首先，根据自定义的安全控制策略语法生成自定义的抽象语法树AST的结构；然后，语法分析模块识别由词法分析模块给出的单词符号序列是否符合自定义的安全控制策略语法，若是则将自定义的AST结构生成一个具体的AST，否则执行异常上报；对象映射数据库中存储子网名称与子网网段的映射关系，完成子网名称向网段的映射后，进行语义分析。语义分析模块是对结构正确的具体AST进行上下文有关性质与约束的审查，从而生成带有语义的AST。安全规则范式匹配模块将带有语义的AST转化为XML形式的安全规则；规则生成层包含一个安全规则生成器，将XML形式的安全规则转化为一条或多条可执行的规则代码或命令。步骤二、在映射匹配层的对象映射数据库中完成子网名称到子网网段的映射；步骤三、业务工作人员在表现层的策略编辑模块的界面进行策略编辑，编辑好后生成待部署的安全控制策略；步骤四、词法分析模块以字符流的形式读取待部署的安全控制策略，将字符序列转换为单词序列，发送到语法分析模块；步骤五、语法分析模块识别单词序列中的关键词，依据自定义的安全控制策略语法将符合该语法的关键词生成对应的短语；同时依据自定义的AST结构对短语执行读取操作，将读取到的内容填入自定义的AST结构中对应的节点，从而生成对应的具体AST；步骤六、语义分析模块根据对象映射数据库中建立的映射将子网名称映射成网段值，替换具体AST中子网名称节点的内容，然后审查各节点内容是否符合规范性，如果是，则生成最终的带有语义的AST，执行步骤七，否则，向状态反馈模块发送异常信息，执行步骤八；步骤七、安全规则范式匹配模块通过读取最终带有语义的AST节点的内容，将最终带有语义的AST转化为XML形式的安全规则，若匹配成功则执行步骤九，若失败则发送反馈消息给状态反馈模块，执行步骤八；步骤八、状态反馈模块对收到的反馈消息进行处理，提示业务工作人员，返回步骤三对待部署的安全控制策略重新编辑；步骤九、规则生成层的安全规则生成器根据具体应用场景需要提供的规则服务，将XML形式的安全规则转化为一条或多条可执行的规则代码或命令，若成功则完成待部署的安全控制策略到规则的映射，否则发送反馈消息给反馈模块，执行步骤八。本专利技术的优点在于：1)、一种网间互联安全控制策略规则映射方法，把网间互联安全控制策略具体落实到可以操作的规则，使业务工作人员只需在UI界面完成策略编辑而不需要考虑底层的策略执行过程，解决了业务工作人员对规则难配置、难维护、难管控和难理解等问题，实现了一种简单有效的管理方式。2)、一种网间互联安全控制策略规则映射方法，采用分层次的体系架构，将业务逻辑和业务执行过程分离，业务规则多而杂但不会影响到业务执行过程，实现了对业务规则的扩展和复用。附图说明图1为本专利技术一种网间互联安全控制策略规则映射方法流程图；图2为本专利技术安全控制策略规则映射结构；图3为本专利技术映射匹配层结构图；图4为本专利技术抽象语法树结构示意图；图5为本专利技术实施用例对应的语法树的构建过程示意图；图6为本专利技术实施用例对应生成的语法树示意图。具体实施方式下面将结合附图对本专利技术作进一步的详细说明。本专利技术一种网间互联安全控制策略规则映射方法，所讨论的安全控制策略可看作一种应用于安全领域的业务规则，而安全规则是安全控制策略对应的目标规则。通过巴科斯范式对安全控制策略进行定义，词法分析、语法分析、语义分析及安全规则范式匹配完成安全控制策略向XML形式安全规则的转换，最后借助安全规则生成器生成与目标服务匹配的可执行安全规则的命令或代码。本专利技术采用分层的体系架构设计，将映射处理过程分为三层：表现层、映射匹配层和规则生成层。表现层在最上面，规则生成层在最下面，三层组成一个整体，适用于网间互联安全控制；表现层采用巴科斯范式对安全控制策略进行描述，安全控制策略是种类语言，是格式化的，有一定语法；映射匹配层对表现层的安全控制策略进行词法、语法及语义分析，借助于对象映射关系数据库对单词序列进行映射，并执行与安全规则范式匹配，生成初级安全规则，初级安全规则是用XML描述的；规则生成层依据初级安全规则生成可执行的安全规则命令或代码；安全规则命令可以是安全网关中的五元组；安全规则命令的生存可以依据目标规则的形式而变化。各层完成独立的任务，逐层转化，最后完成安全规则的映射生成工作。这种分层的方式在复用与扩展方面优势尤其突出。如对于安全控制策略不变而目标规则服务改变的情况，依据本专利技术所提方法构建的映射程序，其表现层与映射匹配层不需改动，只修改规则生成层即可。如图1所示，具体步骤如下：步骤一、构建映射处理体系架构，从上到下依次分布表现层、映射匹配层和规则生成层；如图2所示，业务工作人员可能深刻了解安全控制策略的表示方式与含义，但可能并不知道如何将安全控制策略转化为形式化程度较高的安全规则。为此，本专利技术面向业务人员提供了友好的表现层模块，业务人员只需在表现层保证安全控制策略的正确书写，而复杂的本文档来自技高网...

【技术保护点】
1.一种网间互联安全控制策略规则映射方法，其特征在于，具体步骤如下：步骤一、构建映射处理体系架构，从上到下依次分布表现层、映射匹配层和规则生成层；表现层包括策略编辑模块和状态反馈两个模块；映射匹配层对表现层的安全控制策略进行语义分析及映射，并将安全控制策略转化为XML形式的安全规则；具体包括：词法分析模块，语法分析模块，对象映射数据库，语义分析模块及安全规则范式匹配模块；规则生成层包含一个安全规则生成器，将XML形式的安全规则转化为一条或多条可执行的规则代码或命令；步骤二、在映射匹配层的对象映射数据库中完成子网名称到子网网段的映射；步骤三、业务工作人员在表现层的策略编辑模块的界面进行策略编辑，编辑好后生成待部署的安全控制策略；步骤四、词法分析模块以字符流的形式读取待部署的安全控制策略，将字符序列转换为单词序列，发送到语法分析模块；步骤五、语法分析模块识别单词序列中的关键词，依据自定义的安全控制策略语法将符合该语法的关键词生成对应的短语；同时依据自定义的AST结构对短语执行读取操作，将读取到的内容填入自定义的AST结构中对应的节点，从而生成对应的具体AST；步骤六、语义分析模块根据对象映射数据库中建立的映射将子网名称映射成网段值，替换具体AST中子网名称节点的内容，然后审查各节点内容是否符合规范性，如果是，则生成最终的带有语义的AST，执行步骤七，否则，向状态反馈模块发送异常信息，执行步骤八；步骤七、安全规则范式匹配模块通过读取最终带有语义的AST节点的内容，将最终带有语义的AST转化为XML形式的安全规则，若匹配成功则执行步骤九，若失败则发送反馈消息给状态反馈模块，执行步骤八；步骤八、状态反馈模块对收到的反馈消息进行处理，提示业务工作人员，返回步骤三对待部署的安全控制策略重新编辑；步骤九、规则生成层的安全规则生成器根据具体应用场景需要提供的规则服务，将XML形式的安全规则转化为一条或多条可执行的规则代码或命令，若成功则完成待部署的安全控制策略到规则的映射，否则发送反馈消息给反馈模块，执行步骤八。...

【技术特征摘要】
1.一种网间互联安全控制策略规则映射方法，其特征在于，具体步骤如下：步骤一、构建映射处理体系架构，从上到下依次分布表现层、映射匹配层和规则生成层；表现层包括策略编辑模块和状态反馈两个模块；映射匹配层对表现层的安全控制策略进行语义分析及映射，并将安全控制策略转化为XML形式的安全规则；具体包括：词法分析模块，语法分析模块，对象映射数据库，语义分析模块及安全规则范式匹配模块；规则生成层包含一个安全规则生成器，将XML形式的安全规则转化为一条或多条可执行的规则代码或命令；步骤二、在映射匹配层的对象映射数据库中完成子网名称到子网网段的映射；步骤三、业务工作人员在表现层的策略编辑模块的界面进行策略编辑，编辑好后生成待部署的安全控制策略；步骤四、词法分析模块以字符流的形式读取待部署的安全控制策略，将字符序列转换为单词序列，发送到语法分析模块；步骤五、语法分析模块识别单词序列中的关键词，依据自定义的安全控制策略语法将符合该语法的关键词生成对应的短语；同时依据自定义的AST结构对短语执行读取操作，将读取到的内容填入自定义的AST结构中对应的节点，从而生成对应的具体AST；步骤六、语义分析模块根据对象映射数据库中建立的映射将子网名称映射成网段值，替换具体AST中子网名称节点的内容，然后审查各节点内容是否符合规范性，如果是，则生成最终的带有语义的AST，执行步骤七，否则，向状态反馈模块发送异常信息，执行步骤八；步骤七、安全规则范式匹配模块通过读取最终带有语义的AST节点的内容，将最终带有语义的AST转化为XML形式的安全规则，若匹配成功则执行步骤九，若失败则发送反馈消息给状态反馈模块，执行步骤八；步骤八、状态反馈模块对收到的反馈消息进行处理，提示业务工作人员，返回步骤三对待部署的安全控制策略重新编辑；步骤九、规则生成层的安全规则生成器根据具体应用场景需要提供的规则服务，将XML形式的安全规则转化为一条或多条可执行的规则代码或命令，若成功则完成待部署的安全控制策略到规则的映射，否则发送反馈消息给反馈模块，执行步骤八。2.如权利要求1所述的一种网间互联安全控制策略规则映射方法，其特征在于，所述的表现层中，策略编辑模块是指：首先，自定义一套符合巴科斯范式的安全控制策略语法，业务员编辑符合该语法的安全控制策略；状态反馈对无法完成映射的安全控制策略进行错误提示。3.如权利要求1所述的一种网间互联安全控制策略规则映射方法，其特征在于，所述的映射匹配层中，词法分析模块对安全控制策略以字符流的形式进行扫描，根据构词规则识别单词和符号，生成单词序列；语法分析模块是指：首先，根据自定义的安全控制策略语法生成自定义的抽象语法树AST的结构...

【专利技术属性】
技术研发人员：陆月明，陈小雨，罗雪婷，
申请(专利权)人：北京邮电大学，
类型：发明
国别省市：北京,11