一种基于过程管控的通信网络中可信安全日志管理的系统技术方案

本发明专利技术公开了一种基于过程管控的通信网络中可信安全日志管理的系统，其特征在于，采用日志参考模型，实现了通信网络通信的可信安全日志管理，从侦察阶段到恶意代码的权限提升阶段的瞬间，采用了不依赖于特殊的安全硬件或分布式系统的日志防篡改的方案，它使用两种不同的存储设备：α和β，α是日志服务器，采用HMAC(key，msg)算法，并将它的输出以仅附加的方式写入日志的末尾，存储到日志服务器α中，β是一个外部存储设备，物理上与系统断开，并保存在安全的地方，将来用于验证日志，所述系统，还包括：采集服务器、日志服务器、签名服务器、网络节点、β设备。通过本发明专利技术，能够确保运营商通信网络的安全隐私。营商通信网络的安全隐私。营商通信网络的安全隐私。

【技术实现步骤摘要】
一种基于过程管控的通信网络中可信安全日志管理的系统


[0001]本专利技术涉及网络安全、SOC(Security operation center)、过程管控、加密、前向完整性(forward integrity)、可信日志生成器的
，尤其涉及到一种基于过程管控的通信网络中可信安全日志管理的系统。

技术介绍

[0002]通信隐私被互联网运营商、固定和移动运营商等通信网络运营商视为一项宝贵资产。事实上，侵犯用户隐私的事件可能会造成严重影响，并产生商业和法律后果。此外，通信网络中的安全事件还可能导致服务滥用和服务运营商的经济损失。出于这些原因，通信网络运营商通常会通过技术和程序措施执行安全审计，验证并维持可接受的安全级别，以保护公民的通信安全和隐私。
[0003]通信网络通常采用最先进的技术进行保护，该技术保护通信网络周界，并定义访问控制、身份验证和加密机制。虽然在通信网络中有了安全措施，并且有明确的标准，但仍然存在安全漏洞。必须考虑外部入侵、通信拦截、未经授权访问私人数据和内部人员滥用特权等威胁。现有的漏洞，如对安全措施的高估、与安全措施的不一致以及缺乏可靠和安全的日志记录和审计机制，都会增加安全风险。由于并非总是能够防止安全漏洞，因此需要有足够的检测安全措施。
[0004]系统日志是最重要的检测安全措施的方式。几乎每个系统都维护日志文件，通常在安全审计期间对其进行检查。事实上，在定期安全审计期间，可能会检查日志文件并将其关联起来，以确保拟定的技术措施到位，安全政策和程序得到实施。在非计划安全审计期间，例如作为对安全事件的响应，对日志文件进行分析，以发现事件的原因，如缺乏安全措施、不符合安全程序或系统配置等。因此，研究、设计和实现可信的安全日志管理，以保护通信网络中的通信隐私，显得尤为重要。

技术实现思路

[0005]为了解决上述技术问题，本专利技术提供了一种基于过程管控的通信网络中可信安全日志管理的系统，采用日志参考模型，实现了通信网络通信的可信安全日志管理，从而确保了运营商通信网络的安全隐私。
[0006]一种基于过程管控的通信网络中可信安全日志管理的系统，其特征在于，采用日志参考模型，实现了通信网络通信的可信安全日志管理，从侦察阶段到恶意代码的权限提升阶段的瞬间，采用了不依赖于特殊的安全硬件或分布式系统的日志防篡改的方案，它使用两种不同的存储设备：α和β，α是日志服务器，采用HMAC(key，msg)算法，并将它的输出以仅附加的方式写入日志的末尾，存储到日志服务器α中，β是一个外部存储设备，物理上与系统断开，并保存在安全的地方，将来用于验证日志，所述系统，还包括：采集服务器、日志服务器、签名服务器、网络节点、β设备；
[0007]所述采集服务器，负责从网络节点NN采集日志数据，它承载一个服务执行软件平
台，即服务执行环境SEE，SEE服务于所需的服务逻辑，此逻辑由服务逻辑程序SLP实现，每个不同的服务都维护自己的SLP，许多涉及相同服务或相同SLP的请求可以通过生成相同逻辑的不同实例来并行服务，此外，SEE中还托管了一个访问管理器，负责实现与所需节点的通信接口；
[0008]所述日志服务器，即所述的α设备，它还包含一个服务执行环境SEE，SEE承载相应的业务逻辑，即日志逻辑程序LLP，它实现相应的服务，此外，还托管了一个访问管理器，负责实现与采集服务器的通信接口，日志服务器和采集服务器都拥有服务管理和服务执行的主要逻辑，日志服务器承载用于执行采集服务器调用的命令的特别功能，并通过定义良好的接口进行通信；
[0009]所述签名服务器，这是一个独立的服务器，它是一个托管密钥的隔离服务器，实现了接收来自采集服务器的签名请求的一个接口；
[0010]所述网络节点，用于对运营商网络周界内生成日志事件的任何网络设备进行建模，然后将这些事件存储到日志服务器，换句话说，网络节点是日志生成器，由于模型将日志生成器视为部分受信任的，因此每个网络节点都承载一个专用代理，该代理接收来自采集服务器的命令；
[0011]所述β设备，用于验证日志，而α设备为日志服务器，用于存储日志数据，在α和β上都被初始化为零，生成的密钥流K存储在α和β两个设备中，K
α
密钥流被存储在α中，K
β
密钥流被存储在β中，K
α
header.id表示密钥流的ID，K
α
header.off表示密钥流的当前偏移量，文件ASEAL
log
用来存储日志的身份认证数据和元数据，字段R.Loff表示日志文件L的记录R的偏移量，当开始验证时，连接上β设备，并包括以下步骤：
[0012](1)密钥流的大小和ID均匹配，其烧毁区域在K
α
header.off处结束，否则，验证失败；
[0013](2)密钥流烧毁区域，在K
α
header.off之前和在K
α
header.off之后，均不同于在K
α
和K
β
之间，否则，验证失败；
[0014](3)给定两个连续的ASEAL
log
记录，它们对应的分块是连续的，否则，验证失败；
[0015](4)日志文件L的记录R通过R.Loff来排序文件ASEAL
log
，则由文件ASEAL
log
记录R定义的数据区域是连续的，否则，存在空隙，验证失败；
[0016](5)上述皆为真，验证成功，则审计员将在侦察、交付、安装、权限提升4个阶段生成的日志条目中查找攻击者入侵的证据。
[0017]进一步地，所述日志生成器，它成为可信任的另一个措施是支持日志功能的软件实体使用签名代码，所述的软件实体至少包括安装在采集服务器SC中的SLP和安装在网络节点NN中的SNMP Agent。
[0018]本专利技术的技术效果在于：
[0019]在本专利技术中，提供了一种基于过程管控的通信网络中可信安全日志管理的系统，其特征在于，采用日志参考模型，实现了通信网络通信的可信安全日志管理，从侦察阶段到恶意代码的权限提升阶段的瞬间，采用了不依赖于特殊的安全硬件或分布式系统的日志防篡改的方案，它使用两种不同的存储设备：α和β，α是日志服务器，采用HMAC(key，msg)算法，并将它的输出以仅附加的方式写入日志的末尾，存储到日志服务器α中，β是一个外部存储设备，物理上与系统断开，并保存在安全的地方，将来用于验证日志，所述系统，还包括：采
集服务器、日志服务器、签名服务器、网络节点、β设备。通过本专利技术，能够确保运营商通信网络的安全隐私。
附图说明
[0020]图1是一种基于过程管控的通信网络中可信安全日志管理的系统的过程管控示意图；
[0021]图2是一种基于过程管控的通信网络中可信安全日志管理的系统的日志参考模型的示意图；
[0022]图3是一种基于过程管控的通信网络中可信安全日志管理的系统的日志本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于过程管控的通信网络中可信安全日志管理的系统，其特征在于，采用日志参考模型，实现了通信网络通信的可信安全日志管理，从侦察阶段到恶意代码的权限提升阶段的瞬间，采用了不依赖于特殊的安全硬件或分布式系统的日志防篡改的方案，它使用两种不同的存储设备：α和β，α是日志服务器，采用HMAC(key，msg)算法，并将它的输出以仅附加的方式写入日志的末尾，存储到日志服务器α中，β是一个外部存储设备，物理上与系统断开，并保存在安全的地方，将来用于验证日志，所述系统，还包括：采集服务器、日志服务器、签名服务器、网络节点、β设备；所述采集服务器，负责从网络节点NN采集日志数据，它承载一个服务执行软件平台，即服务执行环境SEE，SEE服务于所需的服务逻辑，此逻辑由服务逻辑程序SLP实现，每个不同的服务都维护自己的SLP，许多涉及相同服务或相同SLP的请求可以通过生成相同逻辑的不同实例来并行服务，此外，SEE中还托管了一个访问管理器，负责实现与所需节点的通信接口；所述日志服务器，即所述的α设备，它还包含一个服务执行环境SEE，SEE承载相应的业务逻辑，即日志逻辑程序LLP，它实现相应的服务，此外，还托管了一个访问管理器，负责实现与采集服务器的通信接口，日志服务器和采集服务器都拥有服务管理和服务执行的主要逻辑，日志服务器承载用于执行采集服务器调用的命令的特别功能，并通过定义良好的接口进行通信；所述签名服务器，这是一个独立的服务器，它是一个托管密钥的隔离服务器，实现了接收来自采集服务器的签名请求的一个接口；所述网络节点，用于对运营商网络周界内生成日志事件的任何网络设备进行建模，然后将这些事件存储到日志服务器，换句话说，网络节点是日志生成器，由于模型将日志生成器视为部分受信任的，因此每个网络节点都承载一个专用代理，该代理接收来自采集服务器的命令；所述β设备，用于验证日志，而α设备为日...

【专利技术属性】
技术研发人员：林薇，
申请(专利权)人：南京联成科技发展股份有限公司，
类型：发明
国别省市：