【技术实现步骤摘要】
本申请涉及网络安全技术，特别涉及基于软件定义边界(sdp)架构的远程办公系统和用于在远程办公系统中提供安全机制的方法。
技术介绍
1、现有基于软件定义边界(sdp)架构的远程办公方案通常采用《零信任系统技术规范》(t/cesa 1165-2021)团体标准，其基于安全和信任状态对访问主体进行安全授权，并持续性地监测整个访问过程的安全。
2、sdp架构由两个逻辑组件构成：sdp主机和sdp控制器。sdp主机(包括发起主机和接受主机)，可以发起或接受连接，这些动作由sdp控制器进行管理，整个过程通过控制平面的安全信道进行交互。数据则通过数据平面中单独的安全信道通信。采用控制平面和数据平面分离的方式，使得整个系统架构灵活且高度可扩展。
技术实现思路
1、本申请的一个目的是提供基于sdp架构的远程办公系统和用于在远程办公系统中提供安全机制的方法，其能够降低业务入口隐藏失效和敲门放大等安全风险。
2、按照本申请的一个方面，提供一种基于软件定义边界(sdp)架构的远程办公系统，包括sdp控制器、sdp网关和sdp客户端，其中，所述sdp客户端在属于同一网络的多个终端的其中一个上运行，所述多个终端经所述sdp网关访问位于所述网络外部的业务系统，
3、其中，以下列方式执行对运行所述sdp客户端的终端的身份验证：
4、所述sdp网关将来自所述sdp客户端的认证报文转发至所述sdp控制器，其中，所述认证报文包含用户账号、密码和与运行所述sdp客户端的终端
5、所述sdp控制器基于所述用户账号、所述密码和所述特征信息确定运行所述sdp客户端的终端的身份验证是否通过；
6、如果身份验证通过，则所述sdp控制器指示所述sdp网关开放业务访问端口，并在用户身份认证通过后，允许运行所述sdp客户端的终端建立与所述业务系统的连接。
7、可选地，在上述远程办公系统中，所述设备id包括终端所包含的一个或多个硬件单元的识别码或序列号。
8、可选地，在上述远程办公系统中，进一步包括网络准入控制器和端点保护平台，当运行所述sdp客户端的终端首次登录所述网络时，以下列方式执行对其的网络准入检查：
9、响应于来自所述sdp客户端的网络准入请求，所述网络准入控制器请求所述端点保护平台执行网络准入检查；
10、所述端点保护平台确定运行所述sdp客户端的终端是否符合预先设定的安全基线；
11、如果符合，则采集运行所述sdp客户端的终端的设备id并将其加入信任列表中。
12、可选地，在上述远程办公系统中，通过使用预设的密钥对运行所述sdp客户端的终端的设备id的哈希值进行加密而得到所述特征信息。
13、进一步可选地，在上述远程办公系统中，按照下列方式确定运行所述sdp客户端的终端的身份验证是否通过：
14、如果基于所述密码的校验成功，则解密所述特征信息以得到运行所述sdp客户端的终端的设备id的哈希值，否则，则终止身份验证过程；
15、对所述sdp控制器保存的运行所述sdp客户端的终端的设备id执行哈希运算；
16、如果解密得到的哈希值与在所述sdp控制器处执行哈希运算得到的哈希值匹配，则确定身份验证通过。
17、可选地，在上述远程办公系统中，以下列方式执行对运行所述sdp客户端的终端的动态认证：
18、如果身份验证通过，则所述sdp控制器向所述sdp网关发送运行所述sdp客户端的终端的ip地址和设备id，所述sdp网关将运行所述sdp客户端的终端的ip地址和设备id写入设备信息数据库并更新iptables的访问规则；
19、如果身份验证未通过，则所述sdp控制器在所述设备信息数据库中查询是否存在与运行所述sdp客户端的终端对应的记录，并且在存在记录时指示所述sdp网关删除该记录。
20、进一步可选地，在上述远程办公系统中，进一步以下列方式执行对运行所述sdp客户端的终端的动态认证：
21、所述sdp控制器响应于来自所述sdp客户端的周期性发送的认证报文，在所述设备信息数据库中查询是否存在与运行所述sdp客户端的终端对应的记录；
22、如果存在，则更新运行所述sdp客户端的终端的保活时间，否则，则向所述sdp网关发送运行所述sdp客户端的终端的ip地址和设备id，所述sdp网关将运行所述sdp客户端的终端的ip地址和设备id写入设备信息数据库并更新iptables的访问规则。
23、或者进一步可选地，在上述远程办公系统中，进一步以下列方式执行对运行所述sdp客户端的终端的动态认证：
24、所述sdp控制器定期检测所述设备信息数据库中是否存在保活时间已经过期的终端的记录；
25、如果存在，则通知所述sdp网关删除保活时间已经过期的终端的记录并更新iptables的访问规则。
26、可选地，在上述远程办公系统中，在运行所述sdp客户端的终端的设备通过身份验证后，按照下列方式执行对该终端的注册：
27、通过与企业即时通信工具和统一认证平台对接的方式，对用户身份进行鉴权；
28、如果鉴权通过，则运行所述sdp客户端的终端与所述sdp控制器和所述端点保护平台建立用于传送终端的设备id、更新的安全策略、环境感知信息的通信通道；
29、所述sdp客户端向所述sdp控制器传送终端的设备id；
30、所述sdp控制器以接收到的设备id更新设备信息数据库并同步更新所述端点保护平台处存储的设备信息。
31、可选地，在上述远程办公系统中，以下列方式执行对运行所述sdp客户端的终端的持续环境感知：
32、所述sdp客户端在通过身份验证后经所述sdp控制器从所述端点保护平台获取环境感知策略；
33、所述sdp客户端基于所述环境感知策略向所述sdp控制器发送运行所述sdp客户端的终端的环境信息；
34、所述端点保护平台基于终端风险评估模型，由所述环境信息确定运行所述sdp客户端的终端的安全评分；
35、所述sdp控制器根据所述安全评分动态调整运行所述sdp客户端的终端的业务访问权限。
36、可选地，在上述远程办公系统中，进一步以下列方式执行对运行所述sdp客户端的终端的持续环境感知：
37、所述sdp客户端在环境发生变化时向所述sdp控制器发送运行所述sdp客户端的终端的更新后的环境信息；
38、所述端点保护平台基于终端风险评估模型，由所述更新后的环境信息确定运行所述sdp客户端的终端的安全评分；
39、所述sdp控制器根据所述安全评分动态调整运行所述sdp客户端的终端的业务访问权限。
40、进一步可选地，在上述远程办公系统中，所述环境信息包括下列中的一种或多种：终端所包含的一个或多个硬件单元本文档来自技高网...
【技术保护点】
1.一种基于软件定义边界(SDP)架构的远程办公系统，包括SDP控制器、SDP网关和SDP客户端，其中，所述SDP客户端在属于同一网络的多个终端的其中一个上运行，所述多个终端经所述SDP网关访问位于所述网络外部的业务系统，
2.如权利要求1所述的远程办公系统，其中，所述设备ID包括终端所包含的一个或多个硬件单元的识别码或序列号。
3.如权利要求1所述的远程办公系统，其中，进一步包括网络准入控制器和端点保护平台，当运行所述SDP客户端的终端首次登录所述网络时，以下列方式执行对其的网络准入检查：
4.如权利要求1所述的远程办公系统，其中，通过使用预设的密钥对运行所述SDP客户端的终端的设备ID的哈希值进行加密而得到所述特征信息。
5.如权利要求4所述的远程办公系统，其中，按照下列方式确定运行所述SDP客户端的终端的身份验证是否通过：
6.如权利要求1所述的远程办公系统，其中，以下列方式执行对运行所述SDP客户端的终端的动态认证：
7.如权利要求6所述的远程办公系统，其中，进一步以下列方式执行对运行所述SDP客户端
8.如权利要求6所述的远程办公系统，其中，进一步以下列方式执行对运行所述SDP客户端的终端的动态认证：
9.如权利要求3所述的远程办公系统，其中，在运行所述SDP客户端的终端的设备通过身份验证后，按照下列方式执行对该终端的注册：
10.如权利要求3所述的远程办公系统，其中，以下列方式执行对运行所述SDP客户端的终端的持续环境感知：
11.如权利要求3所述的远程办公系统，其中，进一步以下列方式执行对运行所述SDP客户端的终端的持续环境感知：
12.如权利要求10或11所述的远程办公系统，其中，所述环境信息包括下列中的一种或多种：终端所包含的一个或多个硬件单元的识别码或序列号、终端上运行的软件信息、登录用户名和安全基线修复状态。
13.一种用于在远程办公系统中提供安全机制的方法，所述远程办公系统基于软件定义边界(SDP)架构并且包括SDP控制器、SDP网关和SDP客户端，其中，所述SDP客户端在属于同一网络的多个终端的其中一个上运行，所述多个终端经所述SDP网关访问位于所述网络外部的业务系统，其特征在于，所述方法以下列方式执行对运行所述SDP客户端的终端的身份验证：
14.如权利要求13所述的方法，其中，所述设备ID包括终端所包含的一个或多个硬件单元的识别码或序列号。
15.如权利要求13所述的方法，其中，所述远程办公系统进一步包括网络准入控制器和端点保护平台，当运行所述SDP客户端的终端首次登录所述网络时，所述方法以下列方式执行对其的网络准入检查：
16.如权利要求13所述的方法，其中，通过使用预设的密钥对运行所述SDP客户端的终端的设备ID的哈希值进行加密而得到所述特征信息。
17.如权利要求16所述的方法，其中，所述方法按照下列方式确定运行所述SDP客户端的终端的身份验证是否通过：
18.如权利要求13所述的方法，其中，所述方法以下列方式执行对运行所述SDP客户端的终端的动态认证：
19.如权利要求18所述的方法，其中，所述方法进一步以下列方式执行对运行所述SDP客户端的终端的动态认证：
20.如权利要求18所述的方法，其中，所述方法进一步以下列方式执行对运行所述SDP客户端的终端的动态认证：
21.如权利要求15所述的方法，其中，在运行所述SDP客户端的终端的设备通过身份验证后，所述方法按照下列方式执行对该终端的注册：
22.如权利要求15所述的方法，其中，所述方法以下列方式执行对运行所述SDP客户端的终端的持续环境感知：
23.如权利要求15所述的方法，其中，所述方法进一步以下列方式执行对运行所述SDP客户端的终端的持续环境感知：
24.如权利要求22或23所述的方法，其中，所述环境信息包括下列中的一种或多种：终端所包含的一个或多个硬件单元的识别码或序列号、终端上运行的软件信息、登录用户名和安全基线修复状态。
...【技术特征摘要】
1.一种基于软件定义边界(sdp)架构的远程办公系统，包括sdp控制器、sdp网关和sdp客户端，其中，所述sdp客户端在属于同一网络的多个终端的其中一个上运行，所述多个终端经所述sdp网关访问位于所述网络外部的业务系统，
2.如权利要求1所述的远程办公系统，其中，所述设备id包括终端所包含的一个或多个硬件单元的识别码或序列号。
3.如权利要求1所述的远程办公系统，其中，进一步包括网络准入控制器和端点保护平台，当运行所述sdp客户端的终端首次登录所述网络时，以下列方式执行对其的网络准入检查：
4.如权利要求1所述的远程办公系统，其中，通过使用预设的密钥对运行所述sdp客户端的终端的设备id的哈希值进行加密而得到所述特征信息。
5.如权利要求4所述的远程办公系统，其中，按照下列方式确定运行所述sdp客户端的终端的身份验证是否通过：
6.如权利要求1所述的远程办公系统，其中，以下列方式执行对运行所述sdp客户端的终端的动态认证：
7.如权利要求6所述的远程办公系统，其中，进一步以下列方式执行对运行所述sdp客户端的终端的动态认证：
8.如权利要求6所述的远程办公系统，其中，进一步以下列方式执行对运行所述sdp客户端的终端的动态认证：
9.如权利要求3所述的远程办公系统，其中，在运行所述sdp客户端的终端的设备通过身份验证后，按照下列方式执行对该终端的注册：
10.如权利要求3所述的远程办公系统，其中，以下列方式执行对运行所述sdp客户端的终端的持续环境感知：
11.如权利要求3所述的远程办公系统，其中，进一步以下列方式执行对运行所述sdp客户端的终端的持续环境感知：
12.如权利要求10或11所述的远程办公系统，其中，所述环境信息包括下列中的一种或多种：终端所包含的一个或多个硬件单元的识别码或序列号、终端上运行的软件信息、登录用户名和安全基线修复状态。
13.一种用于在远程办公系统中提供安全机制的方法，所述远程办公系统基...
【专利技术属性】
技术研发人员：鲍淼，孙峰，廖雯，于佳龙，王子慧，
申请(专利权)人：中国银联股份有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。