[发明专利]评估网络侧安全状态的方法和安全认证系统

说明书

技术领域

本发明涉及一种评估网络侧安全状态的方法，特别是一种网络端点对网络侧安全状态进行评估的方法；本发明又涉及一种接入网络的方法，特别是一种基于双向安全认证的网络侧络的方法；本发明还涉及一种安全认证系统，特别是一种网络端点和网络侧之间能够双向安全认证的系统，属于网络技术领域。

背景技术

随着互联网在全球的快速发展，互联网上的病毒、黑客攻击等层出不穷，给互联网应用层上的安全带来越来越多的威胁。这些威胁的主要原因来自于网际协议(Internet Protocol，以下简称：IP)技术的开放架构和其本身安全保护手段的缺乏。网络端点评估(Network Endpoint Assessment，以下简称：NEA)的目的是保护网络不受那些来自不安全的网络节点的威胁。这些不安全的网络节点包括已经被病毒感染或存在某些安全漏洞的节点。

在NEA体系中，网络管理者通过设置在试图接入网络的网络端点上的代理客户端，收集该网络端点的系统状态信息，并对其进行评估，考察这些网络端点与网络安全策略的符合程度。然后根据对某个网络端点的评估结果来确定是否允许该网络端点接入网络。为了维护网络的安全，只有那些符合网络安全策略要求的网络端点才被允许接入网络。对于不符合网络安全策略要求的网络端点，网络管理者不允许其接入网络，同时还可以将更新安全策略的途径通知该网络端点。

参见图1，基于上述网络端点评估而对其接入到网络侧的一个现有的技术方案如下：首先，在网络端点请求接入到某一网络侧的时候，该网络侧发送查询请求11，设置在网络侧的代理服务器A在该查询请求11中指明：需要设置在网络端点的代理客户端B应当提供哪些安全方面的信息；该代理客户端B通过查询结果消息12将其所在的网络端点的安全信息发送给前述的代理服务器A；代理服务器A对代理客户端B发送过来的安全信息进行评估，并根据评估的结果做出是否允许该网络端点接入网络的处理，并将授权信息和更新途径通过授权/更新消息3发送到代理客户端B。

前述的代理客户端B在具体的技术实现上，可以是安装在网络端点上的NEA处理装置或者代理软件，它能够搜集其所在网络端点的系统状态信息，并传送给网络侧的服务器。它还能够接收网络侧服务器的评估结果。该实体或者软件可以借助网络端点上多个其他功能模块完成其功能。代理服务器A在具体的实现上是由网络管理者部署的设备、装置或者软件。它能够对网络端点代理客户端发出的系统状态信息进行评估，并根据评估结果控制该网络端点对网络侧的访问。该实体或者软件可以借助网络侧的多个其他功能模块完成其自身的功能。

参见图2，基于上述网络端点评估而对其接入到网络的另一个现有的技术方案是：首先，在网络端点请求接入到某一网络侧的时候，由网络侧发送策略信息21，设置在网络侧的代理服务器A通过该策略信息21将评估时所需要的安全策略发送到设置在网络端点的代理客户端B；代理客户端B依据安全策略对网络端点的安全状态进行评估，并将评估结果22发送到代理服务器A；代理服务器A根据评估结果22做出是否允许该网络端点接入到网络侧的处理，并将授权决定和更新途径通过决定/更新消息3发送到代理客户端。这种方式可以避免安全信息在网络侧中传输。

在前述的两类现有技术方案中，安全状态的评估针对的只是试图接入到网络侧中的网络端点。也就是说：只有网络侧对网络端点的安全状态进行评估，并根据评估结果决定是否对其实施访问限制。这样做，可以通过屏蔽带有安全脆弱性的网络端点来达到保护网络侧的目的。尽管，对于网络端点安全状态的评估既可以在网络侧的代理服务器A，也可以在网络端点的代理客户端B，但这两种技术方案都是单向地对网络端点进行安全评估，没有提供网络端点对于网络侧进行安全状态评估的手段。在这种情况下，网络端点只能完全信任它所要接入的网络侧是“安全的”。但是，事实上并非如此。如前所述：由于互联网络的开放架构和其本身安全保护手段的缺乏，网络端点所要接入的网络侧中可能已经存在大量已感染病毒的主机；或者该网络侧本身正在遭受某种恶意软件或某些恶意用户的攻击；或者该网络侧本身的安全基础设施不够健全，例如：只有普通的防火墙而没有入侵监测设备等。因此，如果一个网络端点不能反过来对其准备接入的网络侧进行安全评估，而只是假定要接入的该网络侧是“安全的”，当其接入后，就很可能会令其自身面临来自网络侧的安全威胁。因此，有必要在现有技术的基础上，进一步实现网络端点对其所要接入的网络侧的安全评估，使得网络端点能够根据评估的结果，做出是否接入到该网络侧的处理。

发明内容