[发明专利]一种安全基线核查方法和设备

说明书

技术领域

本发明涉及通信领域，尤其涉及一种安全基线核查方法和设备。

背景技术

随着运营商网络应用日益丰富，网络技术架构不断演进，各类新的安全问题不断涌现，因此，各类安全检测方法也应运而生。其中，安全基线核查是最广泛采用的途径之一。

目前，安全基线核查是在运营商网络中各设备的配置发生变更的情况下，根据基线核查模板的安全要求与运营商网络、各设备的配置周期性进行手动或自动核查，从而核查出运营商网络、各设备的配置是否符合安全要求，其中，基线核查模板是多个被核查设备的各个配置的安全要求集合。以运维人员手动核查为例，假设运维人员每月15号10-12点核查运营商网络中各设备，若A设备的配置在1月1日半夜1点自动升级(也就是说A设备的配置在1月1号半夜1点发生变更)，但是运维人员并不知道A设备的配置已经升级，运维人员会在14天后(1月15号)的10-12点对运营商网络中各设备核查，从而判断该各个设备(包括A设备)的配置是否符合安全要求。由于变更的配置可能存在不符合安全要求的情况，在被核查之前，有很长一段时间(14天)A设备和整个运营商网络都可能存在安全隐患。同理，周期性的自动核查也存在上述问题。

发明内容

本发明的实施例提供一种安全基线核查方法和设备，当运营商网络中设备配置有变更时，主动实时的核查变更的配置是否符合安全基线的安全要求，从而消除由于核查滞后存在的安全隐患。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，一种安全基线核查方法，包括：

接收被核查设备发送的SNMP消息；

从所述SNMP消息中，获取携带有变更的配置参数的配置变更SNMP消息；所述配置变更SNMP消息是当所述被核查设备的配置发生变更时发送的；

若所述配置变更SNMP消息中携带的变更的配置参数超过存储的基线核查模版的安全要求范围，则确定变更的配置不符合安全要求。

第二方面，一种安全基线核查设备，包括：

配置变更监测模块，用于接收被核查设备发送的SNMP消息；

消息审计过滤模块，用于从所述SNMP消息中，获取携带有变更的配置参数的配置变更SNMP消息；所述配置变更SNMP消息是当所述被核查设备的配置发生变更时发送的；

对比模块，用于若所述配置变更SNMP消息中携带的变更的配置参数超过存储的基线核查模版的安全要求范围，则确定变更的配置不符合安全要求。

本发明实施例提供一种安全基线核查方法和设备，只要配置发生变更，就能够自动实时接收到携带有变更的配置参数的配置参数SNMP消息，再根据配置参数SNMP消息中的配置参数与存储的安全要求范围，判定该配置参数是否符合安全要求，因此，本发明提供的方法能够当运营商网络中设备配置有变更时，主动实时的核查变更的配置是否符合安全基线的安全要求，从而消除由于核查滞后存在的安全隐患。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有的安全基线核查方法的示意图；

图2为本发明实施例提供的一种安全基线核查方法的流程图；

图3为现有的安全基线核查设备和本发明实施例的安全基线核查设备的示例图；

图4为本发明实施例提供的另一种安全基线核查方法的流程图；

图5为本发明实施例提供的一种安全基线核查设备的结构示意图；

图6为本发明实施例提供的另一种安全基线核查设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。