基于Web Service的网络安全设备管理协议*

2021-08-06秦晓娜许光利

通信技术 2021年7期

黄兴，秦晓娜，许光利

（中国电子科技集团公司第三十研究所，四川成都 610041）

0 引言

随着信息技术的不断进步，信息系统面临的网络安全威胁愈发复杂。防火墙、入侵检测、漏洞扫描以及防病毒等网络安全设备协同配合，共同组成了网络安全风险的防护屏障。为了对不同安全设备进行统一管理，安全管理系统应运而生。安全管理系统为使用者提供了安全设备数据统一采集和呈现平台，通过不同设备的统一调度构建有效的防御手段。本文分析安全运维管理的需求，探讨设备管理协议中的关键技术，提出了数据交换格式模型。

1 安全管理需求

业界普遍认为，网络安全由技术、管理和运维3部分组成，且其长期效能主要取决于安全运维管理水平[1]。安全运维管理的好坏对网络安全体系的整体效能具有重要影响。

1.1 管理运维需求

在网络安全体系中，不同安全设备各司其职，协作实现安全防护。安全管理系统通过高效的管理运维，起到协调调度的作用。管理运维需求主要包括设备状态的统一监控、安全风险的及时呈现、安全威胁的高效处置以及安全策略的迅速调整[2]。

1.2 数据交换需求

安全运维过程中，安全管理系统与安全设备间存在大量的数据交换需求。不同安全设备形态各异、技术体制不一，形成了异构的数据环境。安全管理系统对各种安全设备进行统一运维管理，必须设计跨平台的通用传输协议，以降低系统间耦合度，实现安全防护数据的互联互通，从而为运维人员进行决策提供更好的支撑。为了保证管理协议的平台的无关性和可扩展性，需要定义通用的安全信息描述机制和数据格式。

1.3 安全性需求

安全运维管理过程中，为了防止外部攻击者获取敏感信息，使用的传输协议必须通过加密等手段进行安全性保护。

2 关键技术

2.1 XML

可扩展标记语言（eXtensible Markup Language，XML）是一种用于标记电子文件使其具有结构性的标记语言。它遵循W3C规范的语法要求，形式与内容分离，具有良好的自描述性，同时易于扩展，拥有丰富的第三方开发库，非常适合在不同架构的系统之间进行信息传输使用。随着XML的应用越来越广泛，在众多应用场景下，XML凭借其优点已经成为事实上的数据交换标准。

2.2 Web Service

Web Service是一种跨编程语言、跨操作系统平台的远程调用技术。Web Service技术的典型特点是平台无关性和开放性。运行在不同系统上的异构应用无须借助专门的第三方软硬件，就可相互交换数据或实现集成。不同应用之间只要共同遵循了Web Service规范，无论它们所使用的语言、平台或内部协议是什么，都可以实现数据的相互交换。

2.3 SOAP

简单对象访问协议（Simple Object Access Protocol，SOAP）是一种基于XML的轻量数据交换协议规范，能够在不同信息系统之间交换结构化数据，是Web Service的一种主流实现形式。

SOAP基于HTTP协议定义了一个框架，描述消息中的内容是什么、是谁发送的、谁应当接受并处理它以及如何处理它们。它通过定义SOAP信封（Envelop）实现数据格式的标准化，将XML数据封装于信封之中进行信息交互，使得异构的系统间能够进行互操作。

2.4 IDEA

国际数据加密算法（International Data Encryption Algorithm，IDEA）是一种对称加密算法，由中国学者来学嘉和密码专家Massey共同设计[3]。它的原理为来自不同代数群的混合运算。加密过程由8圈迭代和1次输出变换组成，密钥长度为128位，对计算资源要求不高，能够在不同平台上实现高速加解密。

IDEA的工作流程如图1所示，其加密和解密使用同样的密钥K。发送方将明文P使用密钥K进行加密后得到密文C，然后通过网络将密文C传输给接收方。接收方使用同样的密钥K进行逆运算，解密后得到明文P，以实现信息传递时的安全性保护。

与其他传统加密算法相比，IDEA在混淆性、扩散性、安全性以及加解密效率等方面具有较为明显的优势，目前已经在各种有加密需要的信息交换场景下得到了广泛应用。

3 管理协议设计

3.1 服务开设

安全管理系统和安全设备分别通过发布Web服务描述语言（Web Services Description Language，WSDL），对外提供基于SOAP的Web Service。双方基于该WSDL实现对方发布的Web Service的客户端，通过互相访问实现信息的上行/下行传输。

3.2 数据定义

信息数据报文作为安全管理信息的载体，是安全管理系统和安全设备进行信息交互的核心。数据交换格式是系统间信息交换的编码规范，是保证安全防护体系中各系统实现互连互通的基础[4]。

为了信息数据报文的通用性和可扩展性，在安全管理协议中，所有数据报文都以XML的格式描述。XML具有高可扩展性[5]。使用XML对安全信息进行描述既能满足基础管理需求，也便于根据需要进行扩展，以实现管理协议的高效、通用，同时能满足灵活、易扩展等需求。

如表1所示，根据报文作用的不同，将安全管理系统与安全设备之间的数据报文分为以下几类。

表1 数据报文分类

针对报文类型的不同，安全管理系统和安全设备在进行信息传输时调用不同的接口方法，实现数据的分类处理。通过报文分类，方便安全设备的快速适配，同时便于后续扩展。

在设计管理协议时，需要充分考虑不同安全设备的相同点与差异性，同时协议设计需要有可扩展性，为后续新安全设备的加入留出空间。数据报文分为所有设备都应遵循的通用数据格式（如设备运行状态视图）和针对某类设备的专用数据格式（如防火墙的网络访问控制策略）。所有数据报文均以语义化的方式进行描述，便于理解，也易于程序进行处理。

XML Schema定义（XML Schema Definition，XSD）是一种对XML文件的构造进行定义的规范，能够检查给定的XML文件是否符合XSD的定义。安全管理协议对所有数据报文定义均通过XSD进行格式限制，以实现信息的规范化描述，同时便于接收方验证信息的合法性，防止格式不正确的非法报文对系统性能造成影响。

3.3 交互流程

设备管理协议的交互流程如图2所示。通过服务探测与配置信息发布，安全管理系统与安全设备建立管理关系。

步骤（1）安全管理系统访问安全设备对外发布的Web Service地址，确认服务正常；

步骤（2）安全管理系统向安全设备发送参数配置报文，告诉安全设备与安全管理系统进行信息交互时需要的必要信息；安全设备收到报文后，根据其中内容将相关信息进行持久化保存，并向安全管理系统回复接收成功；

步骤（3）完成步骤（2）后，设备根据参数配置报文中定义的各类数据上报模式和时间间隔，定期向安全管理系统上报数据。当参数配置、安全策略有变化时，安全管理系统主动向安全设备下发，安全设备根据报文进行解析执行。

3.4 传输加密

为了确保管理数据在信息交换时的安全性，安全管理协议要求通信双方在发送数据前，通过IDEA算法对数据报文进行加密，并使用加密后的密文进行信息交互。

安全管理系统会为每个设备分配唯一的加解密密钥。即使单个设备的密钥泄露，攻击者在不知道其他设备密钥的情况下，无法对其他设备的通信报文进行解密。

3.5 接口报文示例

安全管理系统和安全设备分别部署安全管理Web Service通信服务，通过互相访问实现安全设备视图、策略、事件、日志上报和参数、策略下发等功能。一个典型的Web Service接口描述如下：

int reportInfo(String devID,String dataType,String xml).

该接口由安全管理系统发布，供安全设备调用，主要包含3个参数[6]。第1个参数为安全设备的唯一标识。安全管理系统通过该参数区分来自不同设备的数据，并以此为依据生成IDEA加解密使用的密钥。第2个参数为加密后的数据报文标识，用以区分上报数据的具体类型，供接收方判断应该通过哪种方法对数据进行针对性处理。第3个参数为加密后的报文数据，包含安全管理业务的真正数据。接口的返回值为int型数据，根据不同的返回值，可以判断接口调用是否成功或具体的错误类型。

下面是一个“通信参数配置”报文的具体实现，以此为例说明数据格式的结构与含义。

报文以XML格式封装：第1行表示数据报文由UTF-8编码方式进行编码；第2行表示本报文的类型属于配置报文，需要接收者按照配置报文的解析方式进行解析；第3行表示本报文具体类型属通信参数配置，主要用于约束安全管理系统与安全设备间如何进行通信；第4行表示安全管理系统的IP地址是192.168.11.250；第5行表示安全管理系统开放的端口是8080；第6行表示安全管理系统给安全设备分配了一个唯一的设备ID，在后续通信中，安全设备需要将该设备ID作为自身的标识信息。安全设备收到该报文后进行解析，即可得知安全管理系统的IP地址、端口与分配给自己的身份标识。后续可利用该身份标识与安全管理系统进行通信。