终端安全状态的监控和更新方法及系统的制作方法

专利名称：终端安全状态的监控和更新方法及系统的制作方法
技术领域：
本发明涉及通信技术，尤其涉及一种终端安全状态的监控和更新方法和系统。
背景技术：
在现有的可信网络连接(TNC, Trusted Network Connect)架构中，对终端 安全状态信息的评估是由与终端处在同一安全域中的TNC服务器执行的。所述 终端的安全状态信息是指反映终端安全状态的一些信息，比如，终端所在的操 作系统版本，补丁信息，防火墙版本、杀毒软件版本，浏览器的版本等相关的 信息。TNC架构也能够提供来自其他安全设备的元数据(metadata)用以关联与 TNC客户端相关的由状态运行环境信息(stateful runtime )。所述元数据表明网 络中当前安装状态的一些信息，为安全相关决策增加了其他的数据来源。元数 据共享同样只被用于单个安全域下用以支持姿态信息的共享，即TNC数据和元 数据的发布者和订阅者都属于同 一组织。
当终端跨不同安全域访问其他安全域中的服务时，依赖断言安全域(RSD， Relying Security Domain)中的月良务器可以向断言安全域(ASD, Asserting Security Domain)中的服务器请求终端相应的安全状态信息进行安全评估，从而可以进 行接入控制。
当终端跨不同安全域进行访问时，新的安全域不仅需要对终端进行接入控 制，而且也需要对终端的安全状态进行实时监控。例如，当终端想访问一个由 第三方业务提供者所提供的一个服务时，提供该业务的服务器不仅需要对此终 端进行安全状态评估进行接入控制，同时还需要掌握终端在整个服务过程中的 安全状态信息变化情况，以便能够及时做出调整。
发明人在本发明的创造过程中发现，在目前的联合可信网络连接(FTNC, Federated Trusted Network Connect)中，只涉及到终端^争域时如何在不同域之间 交互终端的安全状态信息以及安全评估结果，对于跨域时如何进行元数据交互，以及终端跨域接入之后，ASD或者RSD如何对终端的安全状态进行实时监控还 没有相应的解决方案。

发明内容
本发明实施例提供一种终端安全状态的监控和更新方法和系统，通过在不
同的域之间进行元数据交互，对终端的安全状态进行实时监控和更新。 本发明实施例提供了 一种终端安全状态的监控和更新方法，包括 终端安全状态信息请求方从终端安全状态信息^提供方获得与终端安全状态
信息相关的元数据；所述终端安全状态信息的请求方在安全状态信息请求域；
终端安全状态信息提供方在安全状态信息提供域；
终端安全状态信息请求方根据所迷终端安全状态信息相关的元数据，对终
端的安全状态进行实时监控和更新。
本发明实施例还提供了一种终端安全状态的监控和更新系统，包括 终端安全状态信息请求方和终端安全状态信息的提供方； 所述终端安全状态信息的请求方，用于从所述终端安全状态信息提供方获
得与终端安全状态信息相关的元数据；所述终端安全状态信息的请求方在安全
状态信息请求域；终端安全状态信息提供方在安全状态信息提供域；
终端安全状态信息请求方根据所述终端安全状态信息相关的元数据，对终
端的安全状态进行实时监控和更新。
实施本发明实施例提供的终端安全状态的监控和更新方法和系统，具有如
下有益效果
本发明实施例利用接口，通过在不用域之间进行元数据的交互，根据所述 元数据，实现对终端安全状态的实时监控和及时更新。


为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述 中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付 出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例4C供的终端安全状态的监控和更新方法第一实施例的流程示意图2是本发明实施例提供的终端安全状态的监控和更新方法第二实施例的 流程示意图3是本发明实施例提供的终端安全状态的监控和更新方法第三实施例的 流程示意图4是本发明实施例提供的终端安全状态的监控和更新方法第四实施例的 流程示意图5是本发明实施例提供的终端安全状态的监控和更新方法第五实施例的 流程示意图6是本发明实施例提供的终端安全状态的监控和更新方法第六实施例的 流程示意图7是本发明实施例提供的终端安全状态的监控和更新方法第七实施例的 流程示意图8是本发明实施例提供的终端安全状态的监控和更新系统第一实施例的 结构示意图9是本发明实施例提供的终端安全状态的监控和更新系统第二实施例的 结构示意图10是本发明实施例4是供的终端安全状态的监控和更新系统第三实施例的 结构示意图11是本发明实施例提供的终端安全状态的监控和更新系统第三实施例的 结构示意图。
具体实施例方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清 楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是 全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造 性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例提供了一种终端安全状态的监控和更新方法和系统，通过在 不同的域之间进行元数据交互，实现对终端的安全状态进行实时监控和及时更 新。需要说明的是，本发明实施例所描述的终端安全状态信息，是指可以反映终端安全状态的一些信息，比如终端所在的操作系统版本、补丁信息、防火墙
版本、杀毒软件的版本以及浏览器的版本等相关信息；
本发明实施例所描述的元数据，是表明终端当前所在网络中设备、用户、 流量的状态信息，所述状态信息包括注册的地址绑定、认证状态、终端的策略 合规状态、终端行为、以及授权状态等信息。
参见图1,为本发明实施例提供的终端安全状态的监控和更新方法第一实施 例的流程示意本实施例提供的方法包括
步骤100,终端安全状态信息请求方从终端安全状态信息提供方获得与终端 安全状态信息相关的元数据；所述终端安全状态信息的请求方在安全状态信息 请求域；终端安全状态信息提供方在安全状态信息提供域；
步骤101,终端安全状态信息请求方根据所述终端安全状态信息相关的元数 据，对终端的安全状态进行实时监控和更新。
需要说明的是，所述终端安全状态信息请求方通过连接所述安全状态信息 提供域中的可信网络连接服务器的联合可信网络连接接口 (IF-FTNC, Interface for Federated Trusted Network Connection )，从终端安全状态信息提供方获得与终 端安全状态信息相关的元凝:据。
实施终端安全状态的监控和更新方法第 一 实施例，在不同的域之间进行元 数据交互，可以实现对终端的安全状态进行实时监控和更新。
参见图2,是本发明实施例提供的终端安全状态的监控和更新方法第二实施 例的流程示意本发明实施例中，所述终端跨域之前所在的域作为安全状态信息提供域， 终端跨域之后所在的域作为安全状态信息请求域，所述终端安全状态信息请求 方为第三方业务提供者或者安全状态信息请求域中的应用服务器，所述终端安 全状态信息提供方为安全状态信息提供域中的元数据访问点。
本实施例提供的终端安全状态的监控和更新方法包括
步骤200,第三方业务提供者或者安全状态信息请求域中的应用服务器通过 联合可信网络连接接口向安全状态信息提供域中的可信网络连接服务器发送元 数据请求消息；
步骤201,安全状态信息提供域中的可信网络连接服务器收到所述元数据请求消息后，转发给所述安全状态信息提供域中的元数据访问点；
步骤202,所述安全状态信息提供域中的元数据访问点接收到所述元数据请
求消息后，向所述安全状态信息提供求域中的可信网络连接服务器发送与终端
安全状态信息相关的元数据； ^
步骤203,所述安全状态信息提供域中的可信网络连接服务器通过联合可信
网络连接接口向第三方业务提供者或者安全状态信息请求域中的应用服务器返
回所述元数据；
步骤204,所述第三方业务提供者或者安全状态信息请求域中的应用服务器 根据所述元数据，对终端的安全状态进行实时监控和更新。
实施终端安全状态的监控和更新方法第二实施例，通过联合可信网络连接 接口，在第三方业务提供者与安全状态信息提供域，或者安全状态信息请求域 和与安全状态信息提供域之间进行元数据交互，可以实现第三方业务提供者或 者安全状态信息请求域中的应用服务器对终端的安全状态进行实时监控和更 新。
参见图3，是本发明实施例提供的终端安全状态的监控和更新方法第二实施 例的流程示意首先说明的是，本实施中，终端跨域之前所在的域为断言安全域(ASD)， 所谓ASD，作为终端的归属域，有权断言终端是否安全，可以提供安全状态信 息或者终端的安全状态评估结果或者安全凭证以及metadata等；终端^争域之后 所在的域为断言依赖安全域(RSD),所谓RSD,作为终端的拜访域，它本身不 知道终端是否安全，需要依赖于ASD提供的安全状态信息或者终端的安全状态 评估结果或者安全凭证以及metadata,才可以明确所述终端是否安全。
当终端访问一个第三方业务提供者或者RSD中的某一应用服务器提供的服 务时，对于第三方业务提供者或者应用服务器来说，不仅需要对终端在接入的 时候通过安全评估进行接入控制，而且还需要在终端接入之后实时完成对终端 安全状态的掌握，以便能够在终端的安全状态发生变化后，及时采取相应的措 施。
本实施例中，将所述终端跨域之前所在的域，即ASD作为安全状态信息提 供域，终端跨域之后所在的域，即RSD作为安全状态信息请求域，所述终端安 全状态信息请求方则为第三方业务4是供者或者为RSD中的应用服务器，所述终端安全状态信息提供方为ASD中的元凄t据访问点(MAP, Metadata Access Point);
需要说明的是，终端在本发明实施例中为支持TNC功能的TNC客户端，以 下以TNC客户端进行说明，MAP在实施例中是以MAP服务器实现的，以下将以 MAP服务器进行说明；
具体方法流程如下所示
步骤300， TNC客户端向第三方业务提供者或者RSD中的应用服务器发起针 对某种业务的请求；
步骤301,第三方业务提供者或者RSD中的应用服务器确定合适的安全状态 或安全评估结果(assertion)的提供者，这里的assertion可能只是TNC客户端的
以是包含以上终端的所有信息的assertion;第三方业务提供者或者RSD中的应用 服务器确定合适的assertion的过程也即对ASD的发现过程。需要说明的是，对于 ASD的发现可以是TNC客户端和第三方业务提供者或者RSD中的应用服务器相 互协商的结果，也可以由TNC客户端直接告知第三方业务提供者或者RSD中的 应用服务器；
步骤302，第三方业务提供者或者RSD中的应用服务器向ASD中的TNC服 务器发送请求消息，请求TNC客户端的asserion;
步骤303, TNC服务器与ASD中的MAP服务器进行信息交互获取该TNC客 户端的metadata;如图3所示，ASD中的TNC服务器向所述MAP服务器发送 IF-MAP询问消息，获取该终端的metadata;
步骤304, ASD中TNC服务器向RSD中的第三方业务提供者或者RSD中的应 用服务器返回响应消息，给该TNC客户端提供对应的assertion;
步骤305，根据ASD中的TNC服务器提供的TNC客户端的assertion，第三方 业务提供者或者RSD中的应用服务器向TNC客户端返回响应消息，允许接入 TNC客户端的业务请求。当然，如果TNC客户端的assertion不能满足该业务提供 者对安全状态的要求，则第三方业务提供者或者RSD中的应用服务器可以对 TNC客户端的业务请求作出拒绝接入的响应；
步骤306， TNC客户端将业务接入第三方业务提供者或者RSD中的应用服务 器，享用第三方业务提供者或者RSD中的应用服务器提供的业务服务；步骤307,对于第三方业务提供者或者RSD中的应用服务器来说，不仅需要 掌握TNC客户端在接入时候的安全状态，而且还需要进一步掌握TNC客户端在 享用它提供的业务服务过程中的实时安全状态，以免在TNC客户端的安全状态 发生变化后，给自己的服务带来威胁。因此该第三方业务提供者或者RSD中的
求(metadata subscribe)消息；
步骤308, ASD中的TNC服务器收到所述metadata subscribe消息之后，发给 ASD中的MAP服务器；
步骤309,当TNC客户端所在ASD中的MAP服务器收到关于该TNC客户端的 安全状态变化情况时，发送元数据结果(metadata result)消息给该ASD中的TNC 服务器；
步骤310,所述ASD中的TNC服务器将元数据结果(metadataresult)消息通 过IF - FTNC及时将TNC客户端安全状态变化的结果告知所述第三方业务提供 者或者RSD中的应用服务器。
这时所述第三方业务提供者或者RSD中的应用服务器根据所述metadata result消息就可以对终端进行相应的操作，进一步实现对终端安全状态的实时控 制和更新。
参见图4,为本发明实施例提供的终端安全状态的监控和更新方法第四实施 例的流程示意本发明实施例中，所述终端跨域之前所在的域作为安全状态信息请求域， 终端跨域之后所在的域作为安全状态信息提供域，所述终端安全状态信息请求 方为安全状态信息请求域中的可信网络连接服务器，所述终端安全状态信息提 供方为安全状态信息提供域中的元数据访问点；
本实施例提供的方法，包括
步骤400，在终端安全状态变化或异常情况时，向所述安全状态信息提供域 中的元数据访问点发布终端安全状态变化或异常情况信息；需要说明的是，在 终端安全状态变化时，或网络中与该终端异常情况时，是由所述安全状态信息 提供域中的传感器(Sensors) /入侵检测系统(IDS, Inbreak Detect System) /入 侵防护系统(IPS, Inbreak Protect System)向安全状态信息提供域中的元数据访 问点发布终端安全状态变化或异常情况信息；步骤401 ，所述安全状态信息提供域中的元数据访问点将所述终端安全状态 变化或异常情况信息发布给安全状态信息提供域中的可信网络连接服务器；
步骤402，所述安全状态信息提供域中的可信网络连接服务器通过联合可信 网络连接接口将与终端安全状态信息相关的元数据发送给安全状态信息请求域 中的可信网络连接服务器；
步骤403,所述安全状态信息请求域中的可信网络连接服务器将所述元数据 发送给所述安全状态信息请求域中的元数据访问点；
步骤404，所述安全状态信息请求域中的元数据访问点汇总并分析元数据以 后，将分析结果告知给安全状态信息请求域中的可信网络连接服务器；
步骤405,所述安全状态信息请求域中的可信网络连接服务器根据所述元数 据分析结果对所述终端进行实时监控和更新。
实施终端安全状态的监控和更新方法第四实施例，利用联合可信网络连接 接口在安全状态信息请求域和安全状态信息提供域之间进行元数据交互，实现 安全状态信息请求域中的可信网络连接服务器对终端的安全状态进行实时监控 和更新。
参见图5,为本发明实施例提供的终端安全状态的监控和更新方法第五实施 例的流程示意首先说明的是，本实施中，终端跨域之前所在的域为断言安全域(ASD), 所谓ASD,作为终端的归属域，有权断言终端是否安全，可以提供安全状态信 息或者终端的安全状态评估结果或者安全凭证以及metadata等；终端跨域之后 所在的域为断言依赖安全域(RSD),所谓RSD,作为终端的拜访域，它本身不 知道终端是否安全，需要依赖于ASD提供的安全状态信息或者终端的安全状态 评估结果或者安全凭证以及metadata,才可以明确所述终端是否安全。
当终端跨域接入到RSD之后，虽然终端当前并不在ASD，但是对于ASD来 说，需要实时知道该终端的安全状态情况，实现对终端进行实时监控。同时及 时对终端的安全状态(如，软件版本、系统补丁等)进行实时更新升级。这种 情况下，需要RSD内的Sensors /IDS/IPS等将与该终端相关的元数据传输给ASD 中的MAP服务器。经ASD中的MAP服务器分析处理所述元数据后将产生的 metadata result发送给ASD中的TNC服务器，从而允许ASD中的TNC服务器对终 端安全状态等信息进行及时更新升级。本实施例中，所述终端跨域之前所在的域ASD作为安全状态信息请求域， 终端跨域之后所在的域RSD作为安全状态信息提供域，所述终端安全状态信息 请求方为ASD中的TNC服务器，所述终端安全状态信息提供方为RSD中的MAP;
需要说明的是，终端在本发明实施例中为支持TNC功能的TNC客户端，以 下以TNC客户端进行说明，MAP在实施例中是以MAP服务器实现的，以下将以 MAP服务器进行说明；
具体方法流程如下所示
步骤500至步骤506跟实施例三中的步骤300至步骤306基本相同，只是负责 对TNC客户端进行接入评估的是RSD中的TNC服务器，在此不再赘述。
步骤507， TNC客户端接入RSD，当该RSD内的Sensor/IDS/IPS发现TNC客户 端的某些状态发生变化，或者发现TNC客户端有异常情况时，就会向该RSD中 的MAP服务器发送元数据发布(metadatapublisher)消息，发布TNC客户端的状 态发生变化或者该TNC客户端有异常情况的信息；
步骤508, RSD中的MAP服务器收到所述信息之后，就会发布给该RSD中的 TNC服务器；
步骤509, RSD内的TNC服务器利用IF-FTNC接口 ，通过元数据发布(metadata publisher)消息将与该TNC客户端安全状态信息相关的metadata发布给TNC客户 端所在ASD中的TNC服务器；
步骤510， ASD中的TNC服务器也将所述信息通过元数据发布(metadata publisher)消息发布给ASD中的MAP服务器；
步骤511, ASD中的MAP服务器在收集、汇总并分析所述metadata之后，就 会将最终的结果告知ASD中的TNC服务器；
步骤512, ASD中的TNC服务器根据metadata的分析汇总结果，对所述TNC 客户端进行实时监控和更新升级。
参见图6，为本发明实施例提供的终端安全状态的监控和更新方法第六实施 例的流程示意本发明实施例中，所述终端跨域之前所在的域作为安全状态信息提供域， 终端跨域之后所在的域作为安全状态信息请求域，所述终端安全状态信息请求 方为安全状态信息请求域中的可信网络连接服务器，所述终端安全状态信息提 供方为安全状态信息提供域中的元数据访问点，本实施例提供的方法，包括步骤600，所述安全状态信息请求域中的可信网络连接服务器通过联合可信 网络连接接口向安全状态信息提供域中的可信网络连接服务器发送元数据请求
消息；
步骤601，所述安全状态信息提供域中的可信网络连接服务器将所述元数据 请求消息发送给安全状态信息提供域中的元数据访问点；
步骤602,所述安全状态信息提供域中的元数据访问点接收所述元数据请求 消息，在终端的安全信息需要更新时，将终端的安全信息需要更新的消息告知 所述安全状态信息提供域中的可信网络连接服务器；
步骤603，所述安全状态信息提供域中的可信网络连接服务器通过联合可信 网络连接接口向安全状态信息请求域中的可信网络连接服务器发送元数据，告 知所述终端的安全信息需要更新；
步骤604,所述安全状态信息请求域中的可信网络连接服务器向所述安全状 态信息请求域中的元数据访问点发送所述元数据，告知所述元数据访问点，终 端的安全信息需要更新；
步骤605，所述安全状态信息请求域中的元数据访问点根据所述元数据，对 终端进行实时监控和更新。
实施终端安全状态的监控和更新方法第六实施例，通过联合可信网络连接 接口在安全状态信息请求域和安全状态信息提供域之间进行元数据交互，可以
终端安全状态信息请求域中的元数据访问点对终端的安全状态进行实时监控和 更新。
参见图7,为本发明实施例提供的终端安全状态的监控和更新方法第七实施 例的流程示意图。
首先说明的是，本实施中，终端跨域之前所在的域为断言安全域(ASD)， 所谓ASD,作为终端的归属域，有权断言终端是否安全，可以提供安全状态信 息或者终端的安全状态评估结果或者安全凭证以及metadata等；终端跨域之后 所在的域为断言依赖安全域(RSD),所谓RSD,作为终端的拜访域，它本身不 知道终端是否安全，需要依赖于ASD提供的安全状态信息或者终端的安全状态 评估结果或者安全凭证以及metadata,才可以明确所述终端是否安全。
当终端从ASD跨域接入到另 一个安全域RSD中时， 一旦终端的ASD发现终 端的某一或某些安全状态需要进行更新或者升级之时，ASD必须及时告知终端当前所在的RSD，以^^实现对终端安全状态信息的实时更新。
本发明实施例中，所述终端跨域之前所在的域，即ASD作为安全状态信息 提供域，终端跨域之后所在的域，即RSD作为安全状态信息请求域，所述终端 安全状态信息请求方为RSD中的TNC服务器，所述终端安全状态信息提供方为 ASD中的MAP;
需要说明的是，终端在本发明实施例中为支持TNC功能的TNC客户端，以 下以TNC客户端进行说明，MAP在实施例中是以MAP服务器实现的，以下将以 MAP服务器进行说明；
具体方法流程如下所示
步骤700至步骤706与实施例三中的步骤300至步骤306基本相同，在此不再赘述。
为了能够对TNC客户端的安全状态信息进行升级 更新，RSD中的TNC服务 器需要接收ASD中MAP服务器发布的元数据。
首先，步骤707， RSD中的TNC服务器通过IF-FTNC向ASD中的TNC服务器 发送元凄史才居i貪求(metadata subscribe)消息；
metadata subscribe消息。
步骤709,当ASD发现TNC客户端的某安全信息需要进行升级更新时，ASD
消息，告知终端的某安全信息需要进行升级更新；
步骤710,所述ASD中的TNC服务器则通过IF - FTNC向RSD中的TNC服务器 发送所述metadata result消息，告知终端的某安全信息需要进行升级更新；
步骤711, RSD中的TNC服务器向该RSD中的MAP服务器发送metadata
publish消息，向MAP服务器发布TNC客户端的某安全信息需要进行升级更新信 台
所述RSD中的MAP服务器接收到所述metadata publish消息后，就能够对 TNC客户端的某安全信息进行升级更新。
图8是本发明实施例提供的终端安全状态的监控和更新系统第一实施例的 结构示意终端安全状态信息请求方200和终端安全状态信息的提供方100;所述终端安全状态信息的请求方200,用于从所述终端安全状态信息提供方 100获得与终端安全状态信息相关的元数据；所述终端安全状态信息的请求方 200为第三方业务提供者4，或者在安全状态信息请求域中；终端安全状态信息 提供方IOO在安全状态信息提供域中；
终端安全状态信息请求方200根据所述终端安全状态信息相关的元数据， 对终端的安全状态进行实时监控和更新。
所述安全状态信息提供域中还包括可信网络连接服务器；
终端安全状态信息请求方200通过安全状态信息提供域中的可信网络连接 服务器，从终端安全状态信息提供方100获得与终端安全状态信息相关的元数 据；
所述安全状态信息提供域中的可信网络连接服务器还连接有联合可信网络 连接接口 3;
终端安全状态信息请求方200通过连接所述安全状态信息提供域中的可信 网络连接服务器的联合可信网络连接接口 3，从终端安全状态信息提供方100获 得与终端安全状态信息相关的元数据。
实施本发明实施例提供的系统，通过在不同域之间进行元数据交互，能够 实现对终端的安全状态实时控制和对终端的安全信息进行及时更新。
图9是本发明实施例提供的终端安全状态的监控和更新系统第二实施例的 结构示意在本实施例中，所述终端跨域之前所在的域，即断言安全域(ASD) 1作为 安全状态信息提供域，终端跨域之后所在的域，即依赖断言安全域(RSD) 2作 为安全状态信息请求域，所述终端安全状态信息请求方为第三方业务提供者4 或者RSD2中的应用服务器20,所述终端安全状态信息提供方为ASD1中的MAP (本实施中以MAP服务器11实现)；所述ASD1中还包括TNC服务器10;
所述第三方业务提供者4或者RSD2中的应用服务器20，用于通过联合可
信网络连接接口 (IF-FTNC) 3向ASD1中的TNC服务器IO发送元数据请求消 自
所述ASD1中的TNC服务器10，用于在收到所述元数据定制消息后，将元 数据请求消息转发给所述ASD1中的MAP服务器11;
所述MAP服务器11，用于接收所述元数据请求消息后，将与终端安全状态信息相应的元数据发送给所述ASD1中的TNC服务器10;
所述ASD1中的TNC服务器10,用于通过IF-FTNC 3向第三方业务提供者 4或者RSD2中的应用服务器20返回所述元数据，将终端的安全状态信息告知 所述第三方业务提供者4或者RSD2中的应用服务器20;
第三方业务提供者4或者RSD2中的应用服务器20则根据所述TNC服务 器IO返回的与终端安全状态信息相应的元数据，对终端的安全状态进行实时监 控和更新。
实施终端安全状态的监控和更新系统第二实施例，通过IF-FTNC在第三方 业务提供者与ASD,或者RSD与ASD之间进行元数据交互，可以实现第三方 业务提供者或者RSD中的应用服务器对终端的安全状态进行实时监控和更新。
图10是本发明实施例提供的终端安全状态的监控和更新系统第三实施例的 结构示意在本实施例中，所述终端跨域之前所在的域，即断言安全域(ASD) 1作为 安全状态信息请求域，终端跨域之后所在的域，即依赖断言安全域(RSD) 2作 为安全状态信息提供域，所述终端安全状态信息请求方为ASDl中的TNC服务 器10，所述终端安全状态信息提供方为RSD2中的MAP (本实施例中以MAP 服务器22实现)；RSD2中还包括TNC服务器21和传感器/入侵检测系统/入侵 防护系统(Sersor/IDS/IPS ) 23;
所述RSD2的Sersor/IDS/IPS23，用于在终端安全状态变化时，或终端异常 情况时，向RSD2中的MAP服务器22发布终端安全状态变化或异常情况信息；
所述RSD2的MAP服务器22，用于将所述终端安全状态变化或异常情况信 息发布给RSD2中的TNC服务器21;
所述RSD2中的TNC服务器21 ，用于通过联合可信网络连接接口 ( IF-FTNC ) 3将与终端安全状态信息相关的元数据发布给ASDl中的TNC服务器10;
所述ASD1中的TNC服务器IO，用于根据所述元数据，对终端进行实时监 控和更新。
实施终端安全状态的监控和更新系统第三实施例，通过IF-FTNC接口在 RSD和ASD之间进行元数据交互，可以使得ASD中的TNC服务器对终端的安 全状态进行实时监控和更新。
图11是本发明实施例提供的终端安全状态的监控和更新系统第四实施例的结构示意本实施例中，所述终端if争域之前所在的域，即断言安全域(ASD) 1作为安 全状态信息提供域，终端跨域之后所在的域，即依赖断言安全域(RSD) 2作为 安全状态信息请求域，所述终端安全状态信息请求方为RSD2中的TNC服务器 21,所述终端安全状态信息提供方为ASD1中的MAP (本实施例中以MAP服 务器11实现)，所述RSD2中还包括MAP (本实施中以MAP服务器22实现)， 所述ASD1中还包括TNC服务器10:
所述RSD2中的TNC服务器21,用于通过联合可信网络连接接口 ( IF-FTNC ) 3向ASD1中的TNC服务器10发送元数据请求消息；
所述ASD1中的TNC服务器IO将所述元数据请求消息发送给ASDl中的 MAP服务器11;
所述ASD1中的MAP服务器11，用于接收所述元数据请求消息，在终端的 安全信息需要更新时，将终端的安全信息需要更新告知所述ASD1中的TNC服 务器10;
所述ASDl中的TNC服务器10,用于通过IF-FTNC3向RSD2中的TNC 服务器21发送元数据，告知所述终端的安全信息需要更新；
所述RSD2中的TNC服务器21 ，用于向所述RSD2中的MAP服务器22 发送所述元数据，告知所述MAP服务器22，终端的安全信息需要更新；
所述RSD2中的MAP服务器22则根据所述元数据，对终端进行实时监控 和更新。
实施终端安全状态的监控和更新系统第四实施例，通过IF-FTNC接口在 ASD和RSD之间进行元数据交互，可以使RSD中的MAP服务器对终端的安全 状态进行实时监控和更新。
需要说明的是，只要是用于执行本发明实施例提供的终端安全状态的监控 和更新方法的装置或设备，或者是组成本发明实施例提供的终端安全状态的监 控和更新系统的装置或设备，都应当属于本发明的保护范围。
实施本发明实施例提供的终端安全状态的监控和更新方法和系统，通过在 不同域之间进行元数据交互，可以实现对终端的安全状态进行实时监控和更新。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明 可借助软件加必需的硬件平台的方式来实现，当然也可以全部通过硬件来实施。基于这样的理解，本发明的技术方案对背景技术做出贡献的全部或者部分可以 以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如
ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个 人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某 些部分所述的方法。
以上所揭露的仅为本发明 一种较佳实施例而已，当然不能以此来限定本发 明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的 范围。
权利要求
1、一种终端安全状态的监控和更新方法，其特征在于，包括终端安全状态信息请求方从终端安全状态信息提供方获得与终端安全状态信息相关的元数据；所述终端安全状态信息的请求方为第三方业务提供者，或者在安全状态信息请求域中；终端安全状态信息提供方在安全状态信息提供域中；终端安全状态信息请求方根据所述终端安全状态信息相关的元数据，对终端的安全状态进行实时监控和更新。
2、 如权利要求1所述的终端安全状态的监控和更新方法，其特征在于，所 述终端安全状态信息请求方通过安全状态信息提供域中的可信网络连接服务 器，从终端安全状态信息提供方获得与终端安全状态信息相关的元数据。
3、 如权利要求2所述的终端安全状态的监控和更新方法，其特征在于，所 述终端安全状态信息请求方通过连接所述安全状态信息提供域中的可信网络连 接服务器的联合可信网络连接接口 ，从终端安全状态信息提供方获得与终端安 全状态信息相关的元数据。
4、 如权利要求3所述的终端安全状态的监控和更新方法，其特征在于，所 述终端跨域之前所在的域作为安全状态信息提供域，终端跨域之后所在的域作 为安全状态信息请求域，所述终端安全状态信息请求方为第三方业务提供者或 者为安全状态信息请求域中的应用服务器，所述终端安全状态信息提供方为安 全状态信息提供域中的元数据访问点，所述方法包括第三方业务提供者或者安全状态信息请求域中的应用服务器通过联合可信 网络连接接口向安全状态信息提供域中的可信网络连接服务器发送元数据请求 消息；安全状态信息提供域中的可信网络连接服务器收到所述元数据请求消息 后，转发给所述安全状态信息提供域中的元数据访问点；所述安全状态信息提供域中的元数据访问点接收到所述元数据请求消息后，向所述安全状态信息提供求域中的可信网络连接服务器发送与终端安全状态信息相关的元数据；所述安全状态信息提供域中的可信网络连接服务器通过联合可信网络连接 接口向所述第三方业务提供者或者安全状态信息请求域中的应用服务器返回所 述元数据；所述第三方业务提供者或者安全状态信息请求域中的应用服务器根据所述 元数据，对终端的安全状态进行实时监控和更新。
5、 如权利要求3所述的终端安全状态的监控和更新方法，其特征在于，所 述终端跨域之前所在的域作为安全状态信息请求域，终端跨域之后所在的域作 为安全状态信息提供域，所述终端安全状态信息请求方为安全状态信息请求域 中的可信网络连接服务器，所述终端安全状态信息提供方为安全状态信息提供 域中的元数据访问点，所述方法包括在终端安全状态变化或异常情况时，向所述安全状态信息提供域中的元数 据访问点发布终端安全状态变化或异常情况信息；所述安全状态信息提供域中的元数据访问点将所述终端安全状态变化或异 常情况信息发布给安全状态信息4是供域中的可信网络连接服务器；所述安全状态信息提供域中的可信网络连接服务器通过联合可信网络连接 接口将与终端安全状态信息相关的元数据发送给安全状态信息请求域中的可信网络连接服务器；所述安全状态信息请求域中的可信网络连接服务器根据所述元数据，对终 端进行实时监控和更新。
6、 如权利要求5所述的终端安全状态的监控和更新方法，其特征在于，所 述在终端安全状态变化或异常情况时，向所述安全状态信息提供域中的元数据 访问点发布终端安全状态变化或异常情况信息，具体包括在终端安全状态变化或有异常情况时，所述安全状态信息提供域中的传感 器/入侵检测系统/入侵防护系统向安全状态信息提供域中的元数据访问点发布 终端安全状态变化或异常情况信息。
7、 如权利要求5所述的终端安全状态的监控和更新方法，其特征在于，所述安全状态信息请求域中的可信网络连接服务器根据所述元数据，对终端进行实时监控和更新，包括所述安全状态信息请求域中的可信网络连接服务器将所述元数据发送给所 述安全状态信息请求域中的元凄t据访问点；所述安全状态信息请求域中的元数据访问点汇总并分析元数据以后，将分 析结果告知给安全状态信息请求域中的可信网络连接^^务器；所述安全状态信息请求域中的可信网络连接服务器根据所述元数据分析结 果对所述终端进行实时监控和更新。
8、 如权利要求3所述的终端安全状态的监控和更新方法，其特征在于，所 述终端跨域之前所在的域作为安全状态信息提供域，终端跨域之后所在的域作 为安全状态信息请求域，所述终端安全状态信息请求方为安全状态信息请求域 中的可信网络连接服务器，所述终端安全状态信息提供方为安全状态信息提供 域中的元数据访问点，所述方法包括所述安全状态信息请求域中的可信网络连接服务器通过联合可信网络连接 接口向安全状态信息提供域中的可信网络连接服务器发送元数据请求消息；所述安全状态信息提供域中的可信网络连接服务器将所述元数据请求消息 发送给安全状态信息提供域中的元数据访问点；所述安全状态信息提供域中的元数据访问点接收所述元数据请求消息，在 终端的安全信息需要更新时，将终端的安全信息需要更新的消息告知所述安全 状态信息提供域中的可信网络连接服务器；所述安全状态信息提供域中的可信网络连接服务器通过联合可信网络连接 接口向安全状态信息请求域中的可信网络连接服务器发送元数据，告知所述终 端的安全信息需要更新；所述安全状态信息请求域中的可信网络连接服务器向所述安全状态信息请 求域中的元数据访问点发送所述元数据，告知所述元数据访问点，终端的安全 信息需要更新； 所述安全状态信息请求域中的元数据访问点根据所述元数据，对终端进行 实时监控和更新。
9、 一种终端安全状态的监控和更新系统，其特征在于，包括 终端安全状态信息请求方和终端安全状态信息的提供方； 所述终端安全状态信息的请求方，用于从所述终端安全状态信息提供方获得与终端安全状态信息相关的元数据；所述终端安全状态信息的请求方为第三 方业务提供者，或者在安全状态信息请求域中；终端安全状态信息提供方在安 全状态信息提供域中；终端安全状态信息请求方纟艮据所述终端安全状态信息相关的元数据，对终 端的安全状态进行实时监控和更新。
10、 如权利要求9所述的终端安全状态的监控和更新系统，其特征在于， 所述安全状态信息提供域中还包括可信网络连接服务器；终端安全状态信息请求方通过安全状态信息提供域中的可信网络连接服务 器，从终端安全状态信息提供方获得与终端安全状态信息相关的元数据。
11、 如权利要求IO所述的终端安全状态的监控和更新系统，其特征在于， 所述安全状态信息提供域中的可信网络连接服务器还连接有联合可信网络连接 接口；终端安全状态信息请求方通过连接所述安全状态信息提供域中的可信网络 连接服务器的联合可信网络连接接口 ，从终端安全状态信息提供方获得与终端 安全状态信息相关的元数据。
12、 如权利要求11所述的终端安全状态的监控和更新系统，其特征在于， 所述终端跨域之前所在的域作为安全状态信息提供域，终端跨域之后所在的域 作为安全状态信息请求域，所述终端安全状态信息请求方为第三方业务提供者 或者安全状态信息请求域中的应用服务器，所述终端安全状态信息提供方为安 全状态信息提供域中的元数据访问点；所述安全状态信息提供域中还包括可信 网络连接月良务器；第三方业务提供者或者安全状态信息请求域中的应用服务器，用于通过联 合可信网络连接接口向安全状态信息提供域中的可信网络连接服务器发送元数据请求消息；安全状态信息提供域中的可信网络连接服务器，用于在收到所述元数据请求消息后，转发给所述安全状态信息提供域中的元数据访问点；所述安全状态信息提供域中的元数据访问点，用于接收到所述元数据请求消息后，向所述安全状态信息提供求域中的可信网络连接服务器发送与终端安全状态信息相关的元数据；所述安全状态信息提供域中的可信网络连接服务器，用于通过联合可信网络连接接口向第三方业务提供者或者安全状态信息请求域中的应用服务器返回所述元数据；所述第三方业务提供者或者安全状态信息请求域中的应用服务器则根据所 述元数据，对终端的安全状态进行实时监控和更新。
13、 如权利要求11所述的终端安全状态的监控和更新系统，其特征在于， 所述终端跨域之前所在的域作为安全状态信息请求域，终端跨域之后所在的域 作为安全状态信息提供域，所述终端安全状态信息请求方为安全状态信息请求 域中的可信网络连接服务器，所述终端安全状态信息提供方为安全状态信息提 供域中的元数据访问点；安全状态信息提供域中还包括可信网络连接服务器和 传感器/入侵检测系统/入侵防护系统；安全状态信息提供域中的传感器/入侵检测系统/入侵防护系统，用于在终端 安全状态变化或异常情况时，向所述安全状态信息提供域中的元数据访问点发 布终端安全状态变化或异常情况信息；所述安全状态信息提供域中的元数据访问点，用于将所述终端安全状态变 化或异常情况信息发布给安全状态信息提供域中的可信网络连接服务器；所述安全状态信息提供域中的可信网络连接服务器，用于通过联合可信网 络连接接口将与终端安全状态信息相关的元数据发送给安全状态信息请求域中 的可信网络连接服务器；所述安全状态信息请求域中的可信网络连接服务器，用于根据所述元数据， 对终端进行实时监控和更新。
14、 如权利要求13所述的终端安全状态的监控和更新系统，其特征在于，所述安全状态信息请求域中还包括元数据访问点；所述安全状态信息请求域中的元数据访问点，用于接收来自所述安全状态 信息请求域中的可信网络连接服务器发送的元数据，将所述元数据进行汇总并 分析元数据以后，将分析结果告知给安全状态信息请求域中的可信网络连接服 务器。
15、如权利要求11所述的终端安全状态的监控和更新系统，其特征在于， 所述终端跨域之前所在的域作为安全状态信息提供域，终端跨域之后所在的域 作为安全状态信息请求域，所述终端安全状态信息请求方为安全状态信息请求 域中的可信网络连接服务器，所述终端安全状态信息提供方为安全状态信息提 供域中的元数据访问点，所述安全状态信息请求域中还包括元数据访问点，所 述安全状态信息4是供域中还包括可信网络连接服务器；所述安全状态信息请求域中的可信网络连接服务器，用于通过联合可信网络连接接口向安全状态信息提供域中的可信网络连接服务器发送元数据请求消 自 所述安全状态信息提供域中的可信网络连接服务器，用于将所述元数据请求消息发送给安全状态信息提供域中的元数据访问点；所述安全状态信息提供域中的元数据访问点，用于接收所述元数据请求消 息，在终端的安全信息需要更新时，将终端的安全信息需要更新的消息告知所 述安全状态信息提供域中的可信网络连接服务器；所述安全状态信息提供域中的可信网络连接服务器，还用于通过联合可信 网络连接接口向安全状态信息请求域中的可信网络连接服务器发送元数据，告 知所述终端的安全信息需要更新；所述安全状态信息请求域中的可信网络连接服务器，还用于向所述安全状 态信息请求域中的元数据访问点发送所述元数据，告知所述元数据访问点，终 端的安全信息需要更新；所述安全状态信息请求域中的元数据访问点还用于根据所述元数据，对终 端进行实时监控和更新。
全文摘要
本发明实施例公开了一种终端安全状态的监控和更新方法和系统，所述方法包括终端安全状态信息请求方从终端安全状态信息提供方获得与终端安全状态信息相关的元数据；所述终端安全状态信息的请求方为第三方业务提供者，或者在安全状态信息请求域中；终端安全状态信息提供方在安全状态信息提供域中；终端安全状态信息请求方根据所述终端安全状态信息相关的元数据，对终端的安全状态进行实时监控和更新。采用本发明实施例，可在不同的域之间进行元数据交互，实现对终端安全状态的实时监控和更新。
文档编号H04L12/26GK101616034SQ20081002900
公开日2009年12月30日 申请日期2008年6月25日 优先权日2008年6月25日
发明者任兰芳, 冰 刘, 瀚 尹, 科 贾 申请人:华为技术有限公司