[发明专利]一种安全策略的冲突处理方法、架构及统一转换器

说明书

技术领域

本发明涉及通信技术领域，特别涉及一种安全策略的冲突处理方法、架构及统一转换器。

背景技术

基于策略的安全管理是目前大型网络和分布式系统中广泛使用的一种解决方案。随着网络融合的发展，业务多样性、设备复杂性，网络异构性呈指数形式扩张，使得整个网络的安全也越来越复杂。因此繁杂的人工配置已经不能满足网络发展的需求，基于策略的解决方案由于能够提供效率优化、安全统一和操作便利的网络安全管理手段而得到广泛应用。

然而，由于安全策略形式化表示、理论模型和应用环境的复杂性，不可避免地存在策略冲突问题。策略冲突是指两条或多条策略在被执行时出现措施或结论互斥的情况。IETF(Internet Engineering Task Force，互联网工程任务组)在RFC3198(Request For Comments，请求评议)中叙述了策略冲突的概念：两条或多条策略的条件部分同时满足，而动作却不能同时执行，此时执行动作的实体不能确定应该执行哪个动作。

策略冲突主要分为模态冲突(形式冲突)和应用相关冲突(语义冲突)这两大类。模态冲突是指策略描述上的不一致，这种不一致发生在两个或多个带相反符号的策略作用于相同的主体、客体和措施的时候。应用相关冲突，通常是指策略和策略的外部约束之间发生冲突，即策略的内容与外部约束中明确规定不允许出现的情况发生冲突。现有信息安全领域中已有许多理论模型。典型的安全模型有BLP(Bell-La Padula)模型，HRU(Harrison，Ruzzo，Ullman)模型，RBAC(Role-Based Access Control)，TBAC(Task-Based Access Control)模型等。每种模型中的实施体现成不同的安全策略，由于不同模型在策略表示、策略规则方面存在差异，容易造成策略冲突。

安全管理的重要特点是强调全局一致性，任一点的安全漏洞或不一致都可能导致安全体系的崩溃。作为安全管理的灵魂，安全策略自身的一致性尤为重要。因此安全策略冲突检测和消解是实现统一安全管理的首要目标。

针对策略冲突，研究人员提出了大量切实有效的冲突检测与消解方法。例如基于Ponder语言的冲突检测；基于XACML(eXtensible Access ControlMarkup Language，可扩展访问控制标记语言)语言的冲突检测；基于ASL(Authorization Specification Language，授权规范语言)的语言冲突检测和基于形式语言EC(Event Calculus，事件演算)表现策略冲突的方法。

但这些处理机制都是针对某种策略规则或者策略描述语言实现冲突的检测和消解。目前常用的安全策略冲突检测和消解的方法主要有以下三类：(1)静态一致性检验和冲突消解。即在安全策略运行前，通过策略间的一致性分析，检查出策略间的冲突，通过调整其中某(些)策略以避免冲突。该方法在策略固定的情况下经常被采用，很少应用于策略灵活支持的信息系统。(2)基于优先级的一致性检验和冲突消解。即为每个安全策略分配一个优先级，当发生策略冲突时，依据策略优先级来选定选择哪个策略。这种策略冲突协调方式相对简单，但灵活性较差。(3)基于元策略的一致性检验和冲突消解。元策略是关于策略描述的顶层策略，设计元策略的主要目的是描述多个策略间相互关系。与基于策略优先级的冲突解决比较而言，这种冲突协调机制比较复杂，但灵活性和动态性较好。

在不同网络之间进行安全策略的协商时，不同网络的策略规则不同，采用的策略描述语言也可能不一样，而现有的安全策略处理机制大都针对某种策略规则或者策略描述语言实现冲突的检测和消解，并没有提供一个跨网络、具有通用性和扩展性的安全策略冲突和消解方案。

发明内容

本发明要解决的技术问题是提供一种安全策略的冲突处理方法、架构及统一转换器，解决不同网络中的安全策略冲突问题，满足统一安全策略部署的需求。

为了解决上述问题，本发明提供了一种安全策略的冲突处理方法，所述方法包括：

策略层将不同网络的安全策略下发到中间层；

所述中间层将所述不同网络的安全策略进行统一转换并下发到处理层；

所述处理层对转换后的所述不同网络的安全策略进行冲突处理。

进一步地，所述处理层对所述不同网络的安全策略进行冲突处理包括以下之一或任意组合：解析分解、冲突检测、消解。

进一步地，所述转换是指，提取所述不同网络的安全策略包含的条件和执行信息并采用统一的语言进行表示。