[发明专利]一种关联响应系统中实现策略控制的方法及其系统

说明书

技术领域

本发明涉及移动通信系统，特别涉及一种关联响应系统中实现策略控制的方法及其系统。

背景技术

随着分组数据业务逐渐取代传统电路语音，移动运营商网络趋于IP化。在以TCP/IP协议栈为基础的因特网体系，每个网络节点、每台主机、每个用户是平等的，存在着一点突破、全网瘫痪的危险。

随着应用业务极大丰富，第三方应用服务提供商ASP逐渐增加，业务趋向增值服务和精细化经营。移动用户在获得更多样化的服务的同时，给自身和网络带来的安全风险也大大增加。例如：由于用户身份失窃，企业有可能使自己的内部资源暴露给非授权用户；应用系统可能遭到破坏或被滥用；应用服务质量下降甚至不可用。

随着病毒技术的迅速发展，当病毒大规模爆发时，网络中传输的大量数据流量是由病毒产生的垃圾数据和探测、攻击流量，不仅造成资源浪费，严重影响了运营商的网络效率和安全，也对用户终端和业务产生不利的影响和安全威胁。

对于来自运营商网络内部的安全威胁容易控制，其安全容易保障。相对而言，移动终端却更容易被病毒侵入，而且分布范围更广泛。功能弱小的移动终端因为资源有限导致防护能力较低，因此无法保证客户端都装有杀毒软件或防火墙。即使都安装安全应用软件客户端，由于没有统一控制，用户很可能不能及时进行安全更新，造成系统漏洞或病毒库的过期等安全隐患。

现有的安全攻击分为两类：基于网络层的网络攻击和基于应用层的服务攻击，前者在网络连接建立阶段和应用服务之前进行，后者则在网络连接建立后，在提供应用服务的过程中发起的攻击。往往网络攻击以服务为载体，而攻击的目的是危害网络系统和服务系统。通常，安全威胁分为以下几种：

终端用户：盗用账号，窃取其他隐私信息；滥用用户有偿服务，服务质量下降；

终端系统：破坏系统造成性能下降或不可用；例如用户防范意识差、终端安全配置有限，都可能导致移动终端容易成为病毒攻击的跳板；

移动网络系统：病毒或蠕虫传播造成网络资源浪费和被滥用，攻击特定的网元或传输体系；

应用服务系统：中毒、黑客攻击、定购用户信息的泄漏，应用服务的可用性。

为了保护移动网络，现有技术采用关联响应系统(Correlative ReactingSystem，CRS)阻止来自不安全终端的安全威胁。参阅图1所示，CRS系统包括移动台侧的安全代理(SCA)、网络侧的安全服务器(SCS)、网络侧的访问控制执行装置。访问控制执行装置可以是网络访问控制器(NAC)或/和应用服务控制器(ASC)。

安全代理和安全服务器通过Ic接口进行通信，同时，安全服务器通过Ics接口和公共陆地移动网(PLMN)中的其它网元通信，通过它们之间的通信和交互，关联反应系统提供对移动台的控制功能。

安全代理SCA负责收集移动台的安全相关信息，对其进行处理并与安全服务器进行通信。安全服务器SCS通过安全代理收集到的安全相关信息来评估移动台的安全状况。当安全服务器判断出移动台不安全时，要求安全服务器向网络访问控制器(NAC)和应用服务控制器(ASC)提供策略，以控制移动台。但如何在安全服务器与控制执行装置之间进行交互以可靠的下发策略，实现策略控制成为需要解决的问题。

发明内容

本发明提供一种关联响应系统中实现策略控制的方法及其系统，以保证策略的可靠下发，实现对移动台的安全控制。

本发明技术方案如下：

控制执行装置向安全服务器发送控制策略请求；

所述安全服务器确定与受控对象相关的用户控制策略，并发送给所述控制执行装置；

所述控制执行装置向安全服务器发送策略执行响应，并执行所述用户控制策略；并且

在执行用户控制策略过程中，所述控制装置向所述安全服务器发送针对受控对象的安全控制状态报告；以及

使控制执行装置执行的用户控制策略与所述安全服务器确定的用户控制策略保持同步。

根据上述方法：

所述控制执行装置在接收到受控对象的访问网络请求时向安全服务器发送控制策略请求；或者，所述安全服务器生成新的用户控制策略后主动通知所述控制执行装置，所述控制执行装置接收到该通知后向安全服务器发送控制策略请求。

所述安全服务器在接收控制策略请求后进一步判断是否已获取所述受控对象安全等级的评估结果，若是，则根据所述安全等级确定针对该受控对象的用户控制策略；否则，选择默认的初始用户控制策略。

当控制执行装置无法执行所述用户控制策略时，在向所述安全服务器发送的策略执行响应中指明用户控制。