专利名称：一种关联响应系统中更新安全相关信息的方法
技术领域：
本发明属于通信领域，尤其涉及关联响应系统中，安全相关信息的更新方法。
背景技术：
关联响应系统(Correlative Reacting System，CRS)是一种通过控制不安全终端，即不符合网络指定的安全策略，例如有安全漏洞或感染病毒的终端的接入，避免移动网络遭受不安全终端的安全威胁的系统。CRS通过移动终端和网络侧的安全联动，对移动终端的网络接入进行控制，同时对其应用服务的接入进行限制，从而提供网络和移动终端用户对病毒、蠕虫、网络攻击等的安全免疫力。
图1示出了关联响应系统的结构，包括移动终端(Mobile Terminal，MT)侧的安全关联代理(Security Correlative Agent，SCA)、安全关联服务器(SecurityCorrelative Server，SCS)以及与移动终端、SCS连接的网络接入控制器(NetworkAccess Controller，NAC)和应用服务控制器(Application Service Controller，ASC)。在具体实现上，NAC和ASC可以是两个独立的系统，或者是一个系统中两个独立的功能单元。一个SCS可以连接多个NAC/ASC，一个NAC/ASC可以对多个移动终端的网络接入/应用服务进行控制。
安全应用软件(Security Application Software，SAS)和SCA都是移动终端操作系统(Terminal Operating System，TOS)的应用软件，SCA和SAS以及移动终端操作系统之间通过定义的接口进行信息的双向传递。
SCS是CRS系统的控制单元和分析处理单元，负责接收、分析、存储SCA上报的安全信息，进行关联分析，向NAC、ASC或者SCA发送CRS控制指令。SCS数据库(SCS Database，SDB)存储安全相关信息(Security CorrelativeInformation，SCI)、CRS安全策略(CRS Security Policy，CSP)等移动终端信息和用户控制策略。
NAC是实现网络接入控制的设备。SCS通过与NAC的联动，利用流量控制、限制访问、服务质量(Quality of Service，QoS)重配置等技术手段，实现对用户接入网络的数据总流量的限制，以防止不安全终端对网络资源的不合理占用，阻止恶意病毒在网络中传播。对于来自外部应用服务提供商(ApplicationService Provider，ASP)的不安全服务提供者的接入，CRS也能够通过与NAC的联动，提供基于网络层的流量屏蔽。
ASC是实现应用服务控制的设备。SCS通过与ASC的联动，利用对用户限制或禁止使用特定应用服务等技术手段，从而保护移动网络免受不安全服务带来的安全风险。对于来自外部ASP的不安全服务提供者的接入，CRS也能够通过与ASC的联动，提供基于应用层的服务屏蔽。
有关关联响应系统的更多内容参见ITU-T SG17 X.CRS，“CorrelativeReacting System in mobile data communication system”，本发明在此引用，不再赘述。
在CRS系统中，SCA利用与移动终端的操作系统和SAS的接口收集移动终端的SCI，并负责SCI的整理、上报以及与SCS、NAC和ASC之间的通信。SCI是移动终端操作系统及其安全应用软件的安全状态等信息，移动终端的SCI由SCA收集上报给SCS。目前，对于移动终端SCI的收集、整理、上报、分析以及根据SCI对移动终端的接入进行控制更新等尚缺乏具体的实现方案。
发明内容
本发明的目的在于提供一种关联响应系统中更新安全相关信息的方法，旨在解决移动终端SCI的收集、整理、上报、分析以及根据SCI对移动终端的接入进行控制更新的问题。
本发明是这样实现的，一种关联响应系统中更新安全相关信息的方法，所述关联响应系统包括位于移动终端的安全关联代理，对移动终端进行控制的网络接入控制器或应用服务控制器，以及对移动终端、网络接入控制器和应用服务控制器进行控制的安全关联服务器，所述方法包括下述步骤A.安全关联代理收集移动终端的安全相关信息，上报给安全关联服务器；B.安全关联服务器分析安全关联代理上报的安全相关信息，向安全关联代理返回安全相关信息响应。
所述步骤A进一步包括下述步骤A1.安全关联代理通过移动终端的软件接口收集移动终端的安全相关信息；A2.安全关联代理整理所述安全相关信息，选择向安全关联服务器上报的信息内容；A3.安全关联代理通过与安全关联服务器之间的安全信息传送通道向安全关联服务器发送安全相关信息报告，携带所述选择向安全关联服务器上报的信息内容。
所述选择向安全关联服务器上报的信息内容为安全关联代理收集的移动终端的安全相关信息的全部信息或者部分信息。
所述安全相关信息报告由安全关联代理定期向安全关联服务器上报、由移动终端的安全事件触发安全关联代理向安全关联服务器上报，或者由安全关联服务器主动查询。
所述安全相关信息报告进一步包含有安全相关信息报告消息序列号、安全关联代理标识、用户标识或者安全关联服务器标识。
所述步骤B进一步包括下述步骤B1.安全关联服务器对安全关联代理上报的安全相关信息进行有效性检查；B2.安全关联服务器对所述安全相关信息进行关联分析；B3.安全关联服务器根据所述关联分析的结果更新本地保存的移动终端的安全相关信息；
B4.安全关联服务器根据所述关联分析的结果通过与安全关联代理之间的安全信息传送通道向安全关联代理返回安全相关信息响应，携带安全关联服务器向安全关联代理反馈的安全控制信息。
所述关联分析为单用户信息关联分析和多用户相似信息的关联分析。
在所述步骤B4之前，所述步骤B进一步包括下述步骤F1.安全关联服务器根据所述关联分析的结果判断是否更新移动终端的安全控制策略，是则执行步骤F2，否则执行步骤B4；F2.安全关联服务器通过与网络接入控制器或者应用服务控制器之间的安全信息传送通道向网络接入控制器或者应用服务控制器发送安全控制策略更新请求，携带安全关联代理标识、用户标识以及更新后的安全控制策略信息；F3.网络接入控制器或者应用服务控制器通过所述安全信息传送通道向安全关联服务器返回安全控制策略更新响应，通知安全关联服务器移动终端的安全控制策略更新结果。
所述安全关联服务器向安全关联代理反馈的安全控制信息中包含有移动终端的安全控制策略更新信息。
所述方法进一步包括下述步骤C.安全关联代理保存移动终端最新的安全相关信息、安全相关信息报告内容、安全相关信息报告策略以及安全关联服务器返回的安全相关信息响应。
所述方法进一步包括下述步骤D.安全关联代理根据收集的移动终端的安全相关信息和安全关联服务器返回的安全相关信息响应生成移动终端安全状况评估报告或安全提示信息。
所述方法进一步包括下述步骤E.安全关联代理根据安全关联服务器返回的安全相关信息响应更新移动终端的安全应用软件或者操作系统。
通过本发明，可以实现SCA对移动终端SCI的自动收集、整理、上报，以及SCS根据SCA上报的SCI更新移动终端的接入控制和服务控制，不需用户参与，方便用户使用，有助于关联响应系统的推广。
图1是关联响应系统的结构图；图2是本发明提供的SCI更新的实现流程图。
具体实施例方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
在本发明中，SCA收集整理移动终端的SCI，并上报给SCS。SCS获取移动终端的SCI后，与移动终端用户的接入控制策略、服务控制策略等信息进行关联分析，评估移动终端的安全情况，更新移动终端的接入控制策略和服务控制策略。同时，SCA根据移动终端的安全相关信息和SCS对SCI的关联分析结果，为用户生成终端安全状况评估报告。
移动终端的SCI主要用于SCS确定移动终端的安全状况，SCS将移动终端的SCI存储在SDB中。移动终端的SCI主要包括以下信息(1)移动终端操作系统的漏洞、补丁信息；(2)移动终端操作系统安全日志、告警信息；(3)移动终端的安全软件安装信息，例如是否安装了反病毒软件或者防火墙软件等；(4)移动终端安全软件的版本、数据库日期、病毒扫描策略、更新病毒库后是否进行过全面扫描以及病毒发现情况等信息；(5)移动终端的用户身份信息，用于SCS对用户进行区分；(6)SCA向SCS上报安全相关信息报告(SCI Report)的策略，例如SCA定期向SCS发送安全相关信息报告、SCS主动查询安全报告或者移动终端的事件触发上报安全报告等，例如终端反病毒软件发现病毒、终端防火墙检测到对终端的网络攻击等。
本发明假定SCA和SCS之间以及SCS和NAC/ASC之间已经建立了安全的信息传送通道，即本发明中的SCI更新过程发生在安全信息传送通道建立过程之后，SCI报告、响应信息和安全控制策略更新请求、响应信息在安全的信息传送通道中加密传输，以保证信息的一致性、完整性和不可抵赖性。
图2示出了本发明提供的SCI更新的实现流程1、SCA通过与移动终端的TOS以及SAS等软件的接口实时收集移动终端安全相关信息，例如移动终端操作系统的漏洞/补丁信息、移动终端操作系统安全日志和告警信息、移动终端安全软件的版本和数据库日期、移动终端用户身份或者SCA向SCS发送的SCI Report的策略等信息。
2、SCA对收集到的移动终端安全相关信息进行初步整理和过滤，并按照SCS规定的安全报告策略，选择相应的发送内容和合适的发送时机上报给SCS。SCA保存移动终端最新的SCI、最近几次SCI Report中发送的信息内容、安全报告策略或者从SCS接收到的安全相关信息响应(SCI Response)等信息。
作为本发明的一个实施例，SCA可以每次将收集到的移动终端的全部SCI上报给SCS；作为本发明的一个优选实施例，SCA不需要每次都把收集到的全部安全相关信息发送给SCS，而是按照SCS制定的安全报告策略进行发送。安全报告策略由SCS制定并下发给SCA，例如SCA可以只发送两次SCI Report之间的发生变化的信息。作为本发明的一个实施例，SCA在用户通过认证连接到数据网络后，第一次发送的SCI Report中需要包含全部的SCI信息，以后的SCI Report按照安全报告策略只需发送SCI的更新信息或者仅发送对上一次SCS返回的SCI Response的执行结果的反馈信息。
3、当到达安全报告策略规定的发送时机时，SCA选择相应的内容通过安全信息传送通道向SCS发送SCI Report。SCI Report的内容除了移动终端的相关SCI外，还可以包含消息序列号、SCA ID或SCS ID等信息。SCA ID、消息序列号和SCS ID用于唯一标识一条SCI Report消息，SCS利用这些信息可以识别是否是重复的信息、两次接收到的SCI Report中是否有SCI信息丢失，以及SCS是否是合法的接收端等。
4、SCS收到SCI Report后，对其中的SCI进行有效性检查，确认其是否正确、有效，并按照安全策略进行关联分析。例如SCS可以将SCI Report中的相关信息与本地SDB中存储的信息进行比对，例如SCA ID、消息序列号、SCSID等是否正确有效，SCS ID是否准确等。
关联分析包括单用户各类信息的关联分析和多用户相似信息的关联分析，分别分析一个移动终端和一个网内多个移动终端的安全情况，从而分析网络整体安全状态。安全策略由系统预先定义并存储在SCS的SDB中。
5、SCS根据移动终端的SCI和关联分析结果与SCS存储在SDB中的SCI信息进行比对，对SDB进行更新，以保持SDB中存储移动终端最新的SCI。
6、SCS根据关联分析结果，确定是否对移动终端的网络接入控制策略或应用服务控制策略进行更新。如果不需要更新，就直接转到步骤9。
7、如果需要更新移动终端的网络接入控制或应用服务控制策略，则SCS通过安全信息传送通道向NAC或ASC发送安全控制策略更新请求，携带被控制的移动终端的SCA ID、用户ID以及更新后的安全控制策略信息等信息。安全控制策略更新请求通过SCS和NAC/ASC之间的安全信息传送通道中加密传输，该安全信息传送通道可以利用现有的安全机制，例如传输层安全协议(Transport Layer Security，TLS)、通用开放策略服务协议(Common Open PolicyService Protocol，COPS)等，也可以是CRS自建的安全机制。
8、NAC或ASC通过安全信息传送通道向SCS返回安全控制策略更新响应，反馈移动终端的安全控制策略的更新结果情况。
9、SCS根据关联分析结果和安全控制策略的更新情况，选择向SCA反馈的SCI Response的内容。
作为本发明的一个实施例，SCS也可以不在每次收到SCA上报的SCIReport后都向SCA发送SCI Response，例如SCA定期向SCS上报SCI Report，且SCS进行关联分析后认为不需要进行安全控制策略更新和软件更新，此时SCS可选择发送一个SCI Response来响应SCA上报的几个SCI Report。
10、SCS通过安全信息传送通道向SCA发送SCI Response，携带SCS对SCA反馈的安全控制信息，例如移动终端操作系统需要安装的补丁及其下载地址、移动终端安全软件的升级地址、SCS对SCA的安全策略要求(包含SCA向SCS上报SCI Report的安全报告策略)或者移动终端的安全控制策略更新信息等。
对于终端操作系统、SCA以及安全应用软件等软件的升级更新，SCS针对升级更新的不同安全级别可以定义各种策略，例如立即安装更新，安装更新前取消或者限制网络访问或者服务访问权限，立即安装更新，安装期间开放网络访问或者服务访问权限，在某一个特定时间点或者时间段之前安装更新，否则逾期将取消或者限制网络访问或者服务访问权限等。
作为本发明的一个实施例，SCA可以依据收集的移动终端的SCI和SCS向SCA返回的SCI Response消息的内容生成移动终端安全状况评估报告，供移动终端用户查询，并可在SCI更新过程中，向用户提供相应的安全提示信息，例如在安装SCA过程中，给用户提示许可协议信息，当用户的网络访问或者服务访问被限制、取消或者重新开通时，向用户提示相关信息等。
作为本发明的一个实施例，在上述过程结束后，移动终端可以按照SCIResponse消息中的内容或者指示，发起SCA软件或者其他安全应用软件、移动终端操作系统的更新，例如SCA从SCS的SCI Response中，获取需要更新的软件内容，以及更新内容的地址，从而进行相应的软件更新。软件更新完成后，则可能还需要再重复一次或者多次上述SCI更新流程，以便SCS更新移动终端的接入控制、服务控制或者确认软件更新的效果，此时SCA向SCS上报的SCIReport中所包含的内容可以仅仅是SCA和SCS之间关于软件更新效果的确认信息。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。
权利要求
1.一种关联响应系统中更新安全相关信息的方法，所述关联响应系统包括位于移动终端的安全关联代理，对移动终端进行控制的网络接入控制器或应用服务控制器，以及对移动终端、网络接入控制器和应用服务控制器进行控制的安全关联服务器，其特征在于，所述方法包括下述步骤A.安全关联代理收集移动终端的安全相关信息，上报给安全关联服务器；B.安全关联服务器分析安全关联代理上报的安全相关信息，向安全关联代理返回安全相关信息响应。
2.如权利要求1所述的方法，其特征在于，所述步骤A进一步包括下述步骤A1.安全关联代理通过移动终端的软件接口收集移动终端的安全相关信息；A2.安全关联代理整理所述安全相关信息，选择向安全关联服务器上报的信息内容；A3.安全关联代理通过与安全关联服务器之间的安全信息传送通道向安全关联服务器发送安全相关信息报告，携带所述选择向安全关联服务器上报的信息内容。
3.如权利要求2所述的方法，其特征在于，所述选择向安全关联服务器上报的信息内容为安全关联代理收集的移动终端的安全相关信息的全部信息或者部分信息。
4.如权利要求2所述的方法，其特征在于，所述安全相关信息报告由安全关联代理定期向安全关联服务器上报、由移动终端的安全事件触发安全关联代理向安全关联服务器上报，或者由安全关联服务器主动查询。
5.如权利要求2所述的方法，其特征在于，所述安全相关信息报告进一步包含有安全相关信息报告消息序列号、安全关联代理标识或者安全关联服务器标识。
6.如权利要求1所述的方法，其特征在于，所述步骤B进一步包括下述步骤B1.安全关联服务器对安全关联代理上报的安全相关信息进行有效性检查；B2.安全关联服务器对所述安全相关信息进行关联分析；B3.安全关联服务器根据所述关联分析的结果更新本地保存的移动终端的安全相关信息；B4.安全关联服务器根据所述关联分析的结果通过与安全关联代理之间的安全信息传送通道向安全关联代理返回安全相关信息响应，携带安全关联服务器向安全关联代理反馈的安全控制信息。
7.如权利要求6所述的方法，其特征在于，所述关联分析为单用户信息关联分析和多用户相似信息的关联分析。
8.如权利要求6所述的方法，其特征在于，在所述步骤B4之前，所述步骤B进一步包括下述步骤F1.安全关联服务器根据所述关联分析的结果判断是否更新移动终端的安全控制策略，是则执行步骤F2，否则执行步骤B4；F2.安全关联服务器通过与网络接入控制器或者应用服务控制器之间的安全信息传送通道向网络接入控制器或者应用服务控制器发送安全控制策略更新请求，携带安全关联代理标识、用户标识以及更新后的安全控制策略信息；F3.网络接入控制器或者应用服务控制器通过所述安全信息传送通道向安全关联服务器返回安全控制策略更新响应，通知安全关联服务器移动终端的安全控制策略更新结果。
9.如权利要求7所述的方法，其特征在于，所述安全关联服务器向安全关联代理反馈的安全控制信息中包含有移动终端的安全控制策略更新信息。
10.如权利要求1所述的方法，其特征在于，所述方法进一步包括下述步骤C.安全关联代理保存移动终端最新的安全相关信息、安全相关信息报告内容、安全相关信息报告策略以及安全关联服务器返回的安全相关信息响应。
11.如权利要求1所述的方法，其特征在于，所述方法进一步包括下述步骤D.安全关联代理根据收集的移动终端的安全相关信息和安全关联服务器返回的安全相关信息响应生成移动终端安全状况评估报告或安全提示信息。
12.如权利要求1所述的方法，其特征在于，所述方法进一步包括下述步骤E.安全关联代理根据安全关联服务器返回的安全相关信息响应更新移动终端的安全应用软件或者操作系统。
全文摘要
本发明适用于通信领域，提供了一种关联响应系统中更新安全相关信息的方法，所述关联响应系统包括位于移动终端的安全关联代理，对移动终端进行控制的网络接入控制器或应用服务控制器，以及对移动终端、网络接入控制器和应用服务控制器进行控制的安全关联服务器，所述方法包括下述步骤A.安全关联代理收集移动终端的安全相关信息，上报给安全关联服务器；B.安全关联服务器分析安全关联代理上报的安全相关信息，向安全关联代理返回安全相关信息响应。通过本发明，可以实现SCA对移动终端SCI的自动收集、整理、上报，以及SCS根据SCA上报的SCI更新移动终端的接入控制和服务控制，不需用户参与，方便用户使用，有助于关联响应系统的推广。
文档编号H04L9/00GK1874219SQ200610034929
公开日2006年12月6日 申请日期2006年4月6日 优先权日2006年4月6日
发明者姬长锋, 位继伟, 刘淑玲 申请人:华为技术有限公司