对大范围内终端进行安全更新的方法和系统

摘要

本发明公开了一种对大范围内终端进行安全更新的方法，包括：A、SCS确定其控制的每个终端对应的强制安全更新指令执行滞后时间；B、当SCS确定需要实施大范围终端的安全更新时，控制每个终端按照对应的强制安全更新指令执行滞后时间延迟进行安全更新。本发明还公开了一种对大范围内终端进行安全更新的系统，包括：SCS和该SCS控制的终端；所述SCS用于确定其控制的每个终端对应的强制安全更新指令执行滞后时间，以及在确定出需要实施大范围终端的安全更新时，控制每个终端按照对应的强制安全更新指令执行滞后时间延迟进行安全更新；所述终端用于进行安全更新。本发明通过上述方案，减少了实施大范围终端的安全更新时导致的网络拥塞。

说明书

技术领域

本发明涉及网络安全技术领域，尤其是涉及对大范围内终端进行安全更新的方法和系统。

背景技术

为了保证网络安全，从源头上对抗由不安全终端带来的网络安全威胁，关联响应系统(CRS)提供从网络接入控制到应用服务控制的多层安全控制手段。

如图1所示，在ITU-T X.CRS提案中提出的CRS中主要的实体包括：终端侧的安全关联代理(SCA)、网络侧的安全关联服务器(SCS)、网络侧的网络接入控制器(NAC)和应用服务控制器(ASC)。SCA和SCS构成了关联反应系统的核心。

其中，SCA负责收集终端的安全相关信息，对其进行处理生成安全相关信息(SCI)报告，并将该报告上报给SCS。SCS收到SCA发来的SCI报告后，通过SCA收集到的安全相关信息来评估终端的安全状况和安全等级，以及终端的安全状况是否被允许访问网络和申请各种应用服务。SCS根据评估结果，指示NAC或ASC对终端的网络访问和应用访问作适当的控制，SCS也会将对终端的控制情况通知SCA。

当有适合终端的安全更新信息时，如有适合终端进行自身操作系统升级的补丁、组件或者安全相关应用软件，或者这些补丁、组件或软件的更新信息时，SCS会通知SCA协助终端进行相应的升级或者更新。安全更新信息在安全更新服务器，例如图1中所示的安全应用软件服务器(SAS-S)、终端操作系统更新服务器(TOS-VS)上，SCA收到SCS的更新指令后，根据指令中的安全更新服务器信息控制终端到对应的安全更新服务器获取安全更新信息进行安全更新。

在上述方法中，如果同一安全更新信息适合于大范围内的终端，则SCS将向大范围内的每个终端发送安全更新指令，终端在收到安全更新指令后，即向安全更新服务器获取更新信息，往往会由于大量终端同时发起安全更新，造成通往安全更新服务器的网络路径拥塞，甚至由于业务量的突然急剧增加导致安全更新服务器的瘫痪；此外，由于SCS针对每一终端分别发送安全更新指令，也造成了网络流量的突然加大，增加了系统负担，并会导致网络拥塞。

发明内容

有鉴于此，本发明的主要目的在于提供对大范围内终端进行安全更新的方法和系统，能够实现对大范围内终端的安全更新，并减少网络拥塞。

为实现上述目的的第一个方面，本发明提供了一种对大范围内终端进行安全更新的方法，该方法包括：

A、安全关联服务器SCS确定其控制的每个终端对应的强制安全更新指令执行滞后时间；

B、当SCS确定需要实施大范围终端的安全更新时，控制每个终端按照对应的强制安全更新指令执行滞后时间延迟进行安全更新。

较佳地，所述步骤A包括：

所述每个终端上的SCA向SCS发送终端安全相关信息；

所述SCS根据接收的终端安全相关信息确定终端的安全等级，并根据终端的安全等级确定每个终端对应的强制安全更新指令执行滞后时间。

较佳地，所述步骤A中，SCS进一步根据用户定制的安全服务、网络流量或带宽，或以上的任意组合确定每个终端对应的强制安全更新指令执行滞后时间。

较佳地，所述步骤B后进一步包括：

终端完成安全更新后，终端上的SCA即时向SCS发送新的安全相关信息，SCS根据接收的新的安全相关信息重新确定该终端对应的强制安全更新指令执行滞后时间，然后返回执行步骤B。

所述步骤B可以包括：

B11、SCS在确定其控制的每个终端对应的强制安全更新指令执行滞后时间后，将该指令执行滞后时间下发给对应终端上的SCA；

B12、当SCS确定需要实施大范围终端的安全更新时，向所述每个终端上的SCA发送强制安全更新指令；

B13、SCA接收强制安全更新指令，并按照SCS下发的指令执行滞后时间延迟触发终端进行安全更新。

所述步骤B还可以包括：

B21、SCS确定其控制的每个终端对应的强制安全更新指令执行滞后时间后，在自身中为每个终端保存强制安全更新指令执行滞后时间；

B22、当SCS确定需要实施大范围终端强制更新时，按照每个终端对应的所述指令执行滞后时间延迟向对应的该终端上的SCA发送强制更新指令；

B23、接收到强制更新指令的SCA触发终端进行安全更新。

较佳地，所述强制安全更新指令中包括安全更新项目信息，SCA触发所述终端进行安全更新前，根据所述安全更新项目信息判断终端是否已经执行所述更新，如果是则结束该流程；否则，执行所述触发终端进行安全更新的步骤。

较佳地，所述强制安全更新指令中包括SCS的数字签名；

所述SCA接收到强制更新指令后进一步包括：对所述SCS的数字签名进行验证，如果验证通过，则执行所述后续步骤；否则结束该流程，或在向SCS返回指示指令错误的信息后结束该流程。

较佳地，步骤B13中如果终端在执行安全更新前离线，则在再次上线后，所述SCS重新为该终端确定强制安全更新指令执行滞后时间，并将该时间下发给终端上的SCA；所述SCA用新接收的强制安全更新指令执行滞后时间替代原来的强制安全更新指令执行滞后时间，然后返回执行步骤B12。

较佳地，所述步骤B12中，SCS通过广播的方式向所述每个终端上的SCA发送强制安全更新指令。

所述步骤B也可以包括：

B31、SCS在确定其控制的每个终端对应的强制安全更新指令执行滞后时间后，将为每个终端确定的强制安全更新指令执行滞后时间下发给该终端连接的网络访问控制器；

B32、当SCS确定需要实施大范围终端的安全更新时，向所述网络访问控制器发送强制安全更新指令；

B33、接收到强制安全更新指令的网络访问控制器按照每个终端对应的所述指令执行滞后时间，延迟发起对每个终端的安全更新。

较佳地，所述步骤B33中，网络访问控制器发起对该终端的安全更新为：

在接收到来自该终端的访问请求后，将该请求重定向至安全更新服务器。

为实现上述目的的第二个方面，本发明提供了一种对大范围内终端进行安全更新的系统，该系统包括：SCS和该SCS控制的终端；

所述SCS用于确定其控制的每个终端对应的强制安全更新指令执行滞后时间，以及在确定出需要实施大范围终端的安全更新时，控制每个终端根据对应的强制安全更新指令执行滞后时间延迟进行安全更新；

所述终端用于进行安全更新。

所述终端上包括SCA；

所述SCA用于向所述SCS上报终端的安全相关信息；

所述SCS根据SCA上报的所述安全相关信息确定该SCA对应终端的安全等级，并根据安全等级确定对应终端的强制安全更新指令执行滞后时间。

较佳地，SCS进一步将确定的其控制的每个终端对应的强制安全更新指令执行滞后时间下发给对应的SCA，以及根据确定的大范围终端强制更新级别的安全更新信息，向每个SCA发送强制安全更新指令；

所述SCA进一步用于根据接收的强制安全更新指令和强制安全更新指令执行滞后时间延迟触发终端进行安全更新。

较佳地，所述SCS以广播方式向该SCS控制范围内的SCA发送强制安全更新指令。

该系统中进一步可以包括：网络访问控制器；

所述SCS进一步将确定的其控制的每个终端对应的强制安全更新指令执行滞后时间下发给对应的网络访问控制器，以及根据确定的大范围终端强制更新级别的安全更新信息，向所述网络访问控制器发送强制安全更新指令；

所述网络访问控制器用于根据接收的强制安全更新指令，按照每个终端对应的所述指令执行滞后时间，延迟发起对每个终端的安全更新。

较佳地，所述SCS进一步用于在自身中保存所述每个终端对应的强制安全更新指令执行滞后时间；并在确定出需要实施大范围终端的安全更新时，根据每个终端对应的所述指令执行滞后时间延迟对向每个终端发送强制安全更新指令；所述终端根据接收的所述强制安全更新指令进行安全更新。

从上述方案可以看出，本发明中，SCS确定其控制的每个终端对应的强制安全更新指令执行滞后时间，当SCS确定需要实施大范围终端的安全更新时，控制每个终端根据对应的强制安全更新指令执行滞后时间延迟进行安全更新，从而防止了在实施大范围终端的安全更新时，所有终端在同一时刻向安全更新服务器发起更新，减少了网络拥塞；

本发明中还根据终端的安全相关信息确定终端安全等级，并根据终端的安全等级确定强制安全更新指令执行滞后时间，如安全等级低的终端强制安全更新指令执行滞后时间短，从而使得最需要更新的终端能够尽早进行安全更新，更有效地减少了安全漏洞；

进而，本发明中，SCS通过广播方式向受控的SCA发送强制安全更新指令，相对于SCS逐个向受控的SCA发送强制安全更新指令，大大降低了系统的负担。

附图说明

图1为CRS系统组成示意图；

图2为本发明对大范围内终端进行安全更新方法的总体流程图；

图3为本发明对大范围内终端进行安全更新方法具体实施例的流程图；

图4为本发明对大范围内终端进行安全更新的系统组成示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

本发明主要针对特别重要的安全更新，这种安全更新需要在大范围内强制终端执行。本发明的主要思想是，SCS确定其控制的每个终端对应的强制安全更新指令执行滞后时间，当SCS确定需要实施大范围终端的安全更新时，控制每个终端根据对应的强制安全更新指令执行滞后时间延迟进行安全更新。

本发明方法的总体流程如图2所示，具体包括如下步骤：

步骤201、SCS确定其控制的每个终端对应的强制安全更新指令执行滞后时间；

步骤202、当SCS确定需要实施大范围终端的安全更新时，控制每个终端根据对应的强制安全更新指令执行滞后时间延迟进行安全更新。

步骤202的具体实现可以是，SCS在接收到来自终端上SCA的安全相关信息报告后，向SCA返回响应时将确定的该SCA对应的强制安全更新指令执行滞后时间下发给SCA；此后，当SCS确定需要实施大范围终端强制更新时，向该SCS控制的每个SCA发送强制安全更新指令，SCA接收强制安全更新指令，根据接收的强制安全更新指令执行滞后时间，延迟控制所在的终端向对应的安全更新服务器发起安全更新；这种情况下，SCS可以通过广播的方式向所有受该SCS控制的SCA发送强制安全更新指令。

步骤202的具体实现也可以是，SCS通过对网络访问控制器的控制策略下发，在网络访问控制器中设置其控制的每个终端对应的强制安全更新指令执行滞后时间；当SCS确定需要实施大范围终端强制更新时，向所有受该SCS控制的网络访问控制器发送强制安全更新指令；网络访问控制器根据每个终端对应的强制安全更新指令执行滞后时间延迟进行下述处理：如果接收到来自终端的网络访问请求，则将该网络访问请求重导向至安全更新服务器，安全更新服务器将上述需要强制执行的安全更新信息发送给终端进行安全更新。

步骤202的具体实现还可以是，SCS在自身中保存为每个终端上的SCA确定的强制安全更新指令执行滞后时间，当SCS确定需要实施大范围终端强制更新时，根据每个SCA对应的强制安全更新指令执行滞后时间，延迟向该SCA发送强制更新指令；接收到强制更新指令的SCA触发终端向对应的安全更新服务器发起安全更新。

以下通过具体实施例对本发明方法进行详细说明。

本发明的具体实施例的流程如图3所示，具体包括如下步骤：

步骤301、SCA向SCS发送安全相关信息报告。

在ITU-T X.CRS提案中的CRS系统中，终端上的SCA在终端连接到网络时会通过发送SCI报告给SCS，告知终端的安全状态。在后续的过程中，SCA除了会按照SCS下发的安全控制策略要求发送SCI报告外，当终端的安全状态发生变化的时候，SCA都需要发送新的SCI报告给SCS。

步骤302、SCS下发SCA安全控制策略回复SCI报告响应，将预先确定的强制安全更新指令执行滞后时间包括在SCA安全控制策略中下发给SCA，则接收到该安全控制策略后，SCA根据强制安全更新指令执行滞后时间设定强制安全更新指令执行定时器，定时时间为接收的强制安全更新指令执行滞后时间。

本步骤中，SCS可以依据来自SCA的SCI报告分析评估终端的安全等级，然后根据安全等级确定该SCA的强制安全更新指令执行滞后时间；例如，用户的安全等级越低强制安全更新指令执行滞后时间越短。SCS主要根据用户的安全等级确定上述指令执行滞后时间，此外，SCS还可以进一步根据用户定制的安全服务、网络流量或带宽，或以上的任意组合确定该SCA对应的强制安全更新指令执行滞后时间。这里的网络流量和带宽可以包括核心网的网络流量或带宽，以及安全更新服务器所能够承受的网络流量或带宽。另外，强制安全更新指令执行滞后时间可以从0开始，如果该值为0，表明SCA收到强制更新指令后立即执行该指令。

步骤303、SCS确定出有大范围终端强制更新级别的安全更新信息时，向所有受控终端上的SCA广播强制安全更新指令，该指令中包括SCS的数字签名。

本实施例中，在SCS中预先设定安全策略，根据该安全策略SCS可以确定安全更新信息的重要级别。当安全更新服务器上有新的安全更新时，安全更新服务器将安全更新信息发送给SCS，SCS根据安全策略确定安全更新信息的重要级别，如果SCS确定出该安全更新信息的重要级别达到大范围终端强制更新的程度时，SCS将通过广播方式给全网用户，即向所有受控终端上的SCA发送强制安全更新指令。

强制安全更新指令可以通过明文发送，但指令中包括SCS的数字签名，从而使得SCA可以信任所接收的强制安全更新指令的完整性和来源真实性。该强制安全更新指令中具体可以包括安全更新项目信息，如更新类别、更新程序名称和更新服务器信息等。

步骤304、SCA接收到强制更新指令后，对数字签名进行验证，判断发送该指令的SCS是否可以信任，如果是，则执行步骤305；否则丢弃该安全更新指令，或进一步向SCS返回指示指令错误的信息，然后结束该流程。

步骤305、SCA读取指令中的安全更新项目信息，将安全更新项目信息与终端上已安装的安全更新程序进行对比，判断终端是否已经安装该安全更新，如果已安装，则结束本次安全更新流程；否则，执行步骤306。

这里，如果判断出已安装后，虽然结束本次安全更新流程，但SCA根据SCS下发的安全策略，仍然会向SCS上报SCI报告，SCS将再次根据SCI报告生成强制安全更新指令执行滞后时间下发给该SCA，则该SCA根据新的强制安全更新指令执行滞后时间重新设定对应的强制安全更新指令执行定时器的定时时间，并在再次接收到强制安全更新指令后执行上述步骤304及其后步骤。

步骤306、SCA激活所述步骤302中设置的强制安全更新指令执行定时器，并在定时器归零后，SCA触发终端根据安全更新项目信息向安全更新服务器发送更新请求，触发安全更新操作，获取安全更新信息进行安全更新。

本实施例中，SCA也可以在本步骤中根据接收的强制安全更新指令执行滞后时间设定并激活强制安全更新指令执行定时器。

本步骤中，如果终端在定时器归零前，由于离线等原因导致安全更新没有执行，则终端再次上线后，SCA向SCS发送SCI报告，即重新执行步骤301及其后步骤，则在其后的步骤302中，SCA根据新接收的强制安全更新指令执行滞后时间重新设定上述定时器的定时时间。

步骤307、当终端完成安全更新后，SCA确定出终端的安全状况发生了变化，即时返回执行步骤301，向SCS上报新的安全相关信息，此后SCS将再次根据SCI报告生成强制安全更新指令执行滞后时间下发给该SCA，该SCA根据新的强制安全更新指令执行滞后时间重新设定强制安全更新指令定时器的定时时间，并在再次接收到强制安全更新指令后执行上述步骤304及其后步骤。

以上对本发明方法进行了说明，下面再对本发明的系统进行说明。

本发明提供的对大范围内终端进行安全更新的系统如图4所示，主要包括SCS和该SCS控制的终端；其中，SCS用于确定其控制的每个终端对应的强制安全更新指令执行滞后时间，以及在确定出需要实施大范围终端的安全更新时，控制每个终端根据对应的强制安全更新指令执行滞后时间延迟进行安全更新；终端用于进行安全更新。

SCS进一步可以将确定的每个SCA对应的强制安全更新指令执行滞后时间下发给对应的SCA，以及根据确定的大范围终端强制更新级别的安全更新信息，向每个SCA发送强制安全更新指令，这里SCS可以通过广播方式向该SCS控制范围内的SCA发送强制安全更新指令；则SCA进一步根据接收的强制安全更新指令和强制安全更新指令执行滞后时间延迟触发终端进行安全更新。

该系统中进一步包括安全更新服务器，用于向终端提供安全更新信息；终端与所述安全更新服务器交互获取安全更新信息进行安全更新。

本发明系统中，SCS在确定每个SCA的强制安全更新指令执行滞后时间后，可以不将该时间下发给对应的SCA，而是在自身中保存每个SCA对应的强制安全更新指令执行滞后时间；则在确定出有大范围终端强制更新级别的安全更新信息后，SCS并不立即向每个SCA发送强制安全更新指令，而是按照每个SCA对应的强制安全更新指令执行滞后时间，延迟向SCA发送强制安全更新指令。

本发明系统也可以包括SCS、终端和网络访问控制器，SCS用于在确定每个终端的强制安全更新指令执行滞后时间后，将该强制安全更新指令执行滞后时间发送给其连接的网络访问控制器；则网络访问控制器接收来自SCS的发送给终端的强制更新指令，并按照每个终端对应的强制安全更新指令执行滞后时间延迟发起对每个终端的安全更新。这里网络访问控制器发起对每个终端的安全更新为：如果接收到来自该终端的网络访问请求，将该网络访问请求重导向至安全更新服务器，安全更新服务器将上述需要强制执行的安全更新信息发送给终端进行安全更新。

本发明系统中进一步包括安全更新服务器，用于根据来自终端的更新请求将对应的安全更新信息下发给终端；或根据来自网络访问控制器重导向的网络访问请求将对应的安全更新信息下发给发起网络访问请求的终端；终端根据接收的安全更新信息执行更新。

本发明系统中终端、终端上的SCA、网络访问控制器、安全更新服务器和SCS除执行现有技术中所执行的交互外，所执行的操作在上述对本发明方法的说明中均已详细描述，以上仅为简要描述，具体实现过程中参照本发明方法部分的说明即可。

在本发明可以应用在无线通信系统中，则上述终端为无线终端。而安全更新服务器可以设置在外部分组数据网络中，也可以设置在无线核心网内部，还可以除在外部分组数据网络中设置安全更新服务器外，再在核心网内部设置安全更新服务器的镜像服务器。通过核心网内部设置的安全更新服务器，或安全更新服务器的镜像服务器根据来自SCA的更新请求对终端进行安全更新，减少了安全更新对网络资源的占用。

以上是对本发明具体实施例的说明，在具体的实施过程中可对本发明的方法进行适当的改进，以适应具体情况的具体需要。因此可以理解，根据本发明的具体实施方式只是起示范作用，并不用以限制本发明的保护范围。