一种电信网络的资产安全管理方法、系统及网元设备

摘要

本发明公开了一种电信网络的资产安全管理方法，应用于包括至少一个网元设备的电信网络；该方法包括：由网元设备负责对其相邻网元设备中包含的各资产进行资产安全状态跟踪，并按安全状态进行资产安全管理。本发明还公开了一种与上述方法相应的系统和网元设备，能够实现基于设备个体的对其周边资产进行安全管理的技术。

权利要求

1.一种电信网络的资产安全管理方法，其特征在于，应用于包括多个网元设备的电信网络，该方法包括：所述网元设备对其各自的相邻网元设备中包含的各资产进行安全状态跟踪，建立由黑名单和白名单构成的黑白名单，在该白名单中记录状态为信任的相邻网元设备的资产的信息，在该黑名单中记录状态为不信任的相邻网元设备包含的资产的信息，并按所记录的安全状态对各资产进行安全管理，其中，所述按所记录的安全状态对各资产进行安全管理，包括：

当收到相邻网元设备包含的资产的访问请求或信息时，查询该黑白名单，若该相邻网元设备的资产的信息记录在白名单中，则该相邻网元设备的资产的状态为信任，处理该访问请求或接收该信息；若该相邻网元设备的资产的信息记录在黑名单中，则该相邻网元设备的资产的状态为不信任，拒绝处理该访问请求或拒绝接收该信息。

2.根据权利要求1所述的方法，其特征在于，该方法进一步包括：对各相邻网元设备中包含的资产进行资产登记。

3.根据权利要求2所述的方法，其特征在于，所述对各相邻网元设备中包含的资产进行资产登记，包括：划分网元设备包含的资产的类型，确定每一类型对应的资产并记录。

4.根据权利要求3所述的方法，其特征在于，所划分的资产的类型包括：物理系统、或主机操作系统、或应用软件、或数据库，或这四者的任意组合。

5.根据权利要求1所述的方法，其特征在于，所述建立由黑名单和白名单构成的黑白名单包括：创建黑名单和白名单，在白名单中加入该用于进行安全管理的网元设备的所有相邻网元设备中的所有资产的信息，设定该黑名单的初始内容为空；

所述在该白名单中记录状态为信任的相邻网元设备的资产的信息，在该黑名单中记录状态为不信任的相邻网元设备的资产的信息，包括：当白名单中记录的一个资产的状态由信任转为不信任时，将该资产的信息记录在黑名单中并从白名单中自动删除该资产的信息；当黑名单中有一个资产的状态由不信任转为信任时，将该资产的信息记录在白名单中并从黑名单中自动删除该资产的信息。

6.根据权利要求1所述的方法，其特征在于，所述建立由黑名单和白名单构成的黑白名单包括：创建黑名单和白名单，设定该白名单和黑名单的初始内容均为空；

所述在该白名单中记录状态为信任的相邻网元设备的资产的信息，在该黑名单中记录状态为不信任的相邻网元设备的资产的信息，包括：确定初始的各相邻网元设备的资产状态，将状态为不信任的资产信息记录在黑名单中，将状态为信任的资产信息记录在白名单中；

当黑名单中有一个资产的状态由不信任转为信任时，将该资产的信息记录在白名单中并从黑名单中自动删除该资产的信息；当白名单中记录的一个资产的状态由信任转为不信任时，将该资产的信息记录在黑名单中并从白名单中自动删除该资产的信息。

7.根据权利要求5或6所述的方法，其特征在于，该方法进一步包括：根据预先设定的策略确定状态由信任转为不信任的资产。

8.根据权利要求7所述的方法，其特征在于，所述预先设定的策略为：

当一个资产出现故障以至不能正常运转时，该资产的状态由信任转为不信任；和/或，当收到一个资产直接或间接发送的用于指示自身受到无法自动恢复或隔离安全侵害的安全告警时，该资产的状态由信任转为不信任；和/或当收到网管控制系统发出的针对至少一个资产的安全隔离告警时，该至少一个资产的状态由信任转为不信任。

9.根据权利要求5或6所述的方法，其特征在于，该方法进一步包括：根据预先设定的策略确定状态由不信任转为信任的资产。

10.根据权利要求9所述的方法，其特征在于，所述预先设定的策略为：

当收到网管控制系统发出的至少一个资产恢复安全状态的通知时，该至少一个资产的状态由不信任转为信任。

11.根据权利要求5或6所述的方法，其特征在于，该方法进一步包括：用户在黑名单和/或白名单中添加、修改或删除资产的信息。

12.根据权利要求11所述的方法，其特征在于，当用户在黑名单和白名单中的任一者中添加或修改一个资产的信息时，若另一者中存在与当前添加的或当前修改后的资产信息相同的资产信息，则自动删除另一者中该相同的资产信息。

13.根据权利要求11所述的方法，其特征在于，当用户在黑名单和白名单中的任一者中添加或修改一个资产的信息时，自动核对黑名单和白名单中是否出现相同的资产的信息，并在出现相同的资产的信息时发出告警。

14.根据权利要求1-6任一项所述的方法，其特征在于，所述资产的信息格式为：资产类型与资产名称的组合，或设备编号与资产名称的组合、或物理地址与资产名称的组合。

15.根据权利要求1-6任一项所述的方法，其特征在于，该方法进一步包括：为至少一个相邻网元设备的资产设置冗余系统，并在用于进行安全管理的网元设备中记录资产与其冗余系统之间的对应关系以及冗余系统的状态；

当该用于进行安全管理的网元设备收到来自于相邻网元设备的资产的访问请求或信息时，若该相邻网元设备的资产的状态为不信任，进一步包括：若该资产有冗余系统、且该冗余系统的状态为信任，则启动与该冗余系统之间的连接。

16.一种电信网络的资产安全管理系统，其特征在于，包括：第一设备及其相邻的至少一个第二设备，每一第二设备包含至少一个资产；所述第一设备中设置有由黑名单和白名单构成的黑白名单；

所述第一设备用于对各第二设备包含的各资产进行安全状态跟踪，采用该黑白名单来记录第二设备中包含的各个资产的状态，用于将状态为不信任的资产的信息记录在黑名单中，将状态为信任的资产的信息记录在白名单中；当收到来自其中一个第二设备中资产的访问请求或信息时，该第一设备用于查询该资产的信息记录，若该资产的信息记录在白名单中，则确定该资产的状态为信任，处理该访问请求或接收该信息；若该资产的信息记录在黑名单中，则确定该资产的状态为不信任，拒绝处理该访问请求或拒绝接收该信息。

17.根据权利要求16所述的系统，其特征在于，该系统进一步包括：第二设备资产的冗余系统；

所述第一设备进一步用于记录各第二设备的资产的冗余系统、以及冗余系统的状态；当该第一设备收到来自于第二设备的资产的访问请求或信息时，若该第二设备的资产的状态为不信任，进一步用于判断冗余系统的状态：若该资产有冗余系统、且该冗余系统的状态为信任，则启动该第一设备与该冗余系统之间的连接。

18.一种网元设备，其特征在于，该设备的相邻设备包含至少一个资产；该设备包括：安全管理单元；

所述安全管理单元包括：

状态检测模块，用于检测相邻网元设备中各资产的状态并输出至信息记录模块；

信息记录模块，其中设置由黑名单和白名单构成的黑白名单，用于接收来自状态检测模块的资产的状态并将状态为信任的资产的信息记录在白名单中，将状态为不信任的资产的信息记录在黑名单中；

安全隔离模块，用于接收来自相邻网元设备的资产的访问请求或信息，通过查询信息记录模块中的黑白名单确定该资产的状态：若该资产的信息记录在白名单中，则该资产的状态为信任，处理该访问请求或接收该信息；若该资产的信息记录在黑名单中，则该资产的状态为不信任，拒绝处理该访问请求或拒绝接收该信息。

19.根据权利要求18所述的设备，其特征在于，该安全管理单元进一步包括：冗余系统启动模块；

所述状态检测模块进一步用于检测相邻网元设备的资产的冗余系统的状态并输出至信息记录模块；

所述信息记录模块进一步用于记录相邻网元设备的资产对应的冗余系统、以及该冗余系统的状态；

所述安全隔离模块进一步用于当一个资产的状态为不信任时查询该信息记录模块并确定该资产的冗余系统的状态，并在该冗余系统的状态为信任时输出该冗余系统的信息给冗余系统启动模块；

所述冗余系统启动模块用于接收来自安全隔离模块的冗余系统的信息，并启动该网元设备与该冗余系统之间的连接。

说明书

技术领域

本发明涉及网络安全领域，特别涉及一种电信网络的资产(Asset，或称Product)安全管理方法、系统及网元设备。

背景技术

目前，电信网络中在进行资产安全管理时，主要针对的是物理资产，如：网元设备、系统主机、服务器、安全设备(如硬件防火墙、IDS)等，并通过网管系统进行集中管理，而管理方法也基本以状态监控、主机加固(如在主机安装防火墙和反病毒软件)等几种机制为主。虽然现有的网络安全管理方法能够预防一些安全风险，并且在出现安全事件后能够通知系统采取一定的措施，但延时较长，容易使危害在更大范围内扩散。例如：若某网元设备被高级病毒攻击且该网元设备主机的反病毒软件已经无法有效工作，这时该网元设备既使及时的上报了情况，等到网管人员进行处理时很可能已经造成了病毒扩散，或者由于解决时间的延误而导致系统运转不良等问题。此外，随着电信网络中安全问题的日益复杂化，如：设备的功能融合、硬件功能软件化等，与安全相关的网络资产已经不再局限于物理资产，还包括越来越多的信息资产的内容，如：软件、数据库等。以下对现存的几种网络安全管理方法加以简述。
目前普遍采用一种网络系统集中安全控制方法，在这种方法下，网管系统接收网元设备发送的运行状态报告和安全报告并进行判断，然后根据判断结果发出告警或交付工单系统，由工作人员去进行处理或者自动封闭相关的通信端口，在事故处理完毕后再由网管人员恢复系统。这种技术方案实际上是一种中央控制式的管理方法，由于网元设备的数量众多，形式各异，而且考虑到实际的组网和网络维护工作流程，因此网管系统很难在第一时间且在最小范围内自动隔离受侵害资产。
另外，现有电信网络管理系统还可以通过向设备发出带不信任资产标识的隔离通知，接收到通知的设备根据通知内容采取封闭物理端口等手段进行安全隔离。这种方法在虚拟专网(VPN)中比较常见，可以较为迅速的实现对不信任资产的安全隔离，在完成隔离动作后设备会继续调度其他的任务。但是，该技术针对一些特殊的安全攻击方式是存在缺陷的，下面结合图1对此方法存在的问题加以进一步说明。
图1为现有网络安全管理方法的处理示意图。图1所示的系统中包含：设备A、B、C、D，以及网管中心，其中，A为中间设备分别连接设备B、D和A，C为数据源。如图1所示，攻击者可以采用如下步骤实现对某设备的攻击：
①外部攻击者攻击有读取设备C数据的权限的设备B，使设备B成为不信任设备；
②设备B向网管系统发出告警，或者网管系统通过其它方式得知设备B受到攻击；
③网管中心向与设备B相连的中间设备A发出安全隔离告警；
④中间设备A根据安全策略封闭设备B的通信端口；
⑤攻击者继续攻击与中间设备相连的设备D，以达到通过设备D转发信息的目的；
⑥攻击者通过设备D伪造设备B的身份向中间设备A发送对数据源C的读取请求，并请求将读取到的数据转发给设备D；
⑦由于设备A只是封闭了设备B的通信端口，其应用层依然承认B的身份有效，所以在接收到读取请求后将会成功认证B的身份并读取数据源C的数据内容，然后转发给设备D，此时攻击者获得数据信息，达到攻击目的。
因此，现有网络安全技术不能够有效阻止电信网络中由于某一设备受到攻击而带来的所有风险。

发明内容

有鉴于此，本发明的主要目的在于提供一种电信网络的资产安全管理方法、系统，能够实现基于网元设备的资产安全管理。
本发明的另一主要目的在于提供一种网元设备，该网元设备能对其周边资产进行安全管理。
为达到上述目的，本发明的技术方案是这样实现的：
本发明公开了一种电信网络的资产安全管理方法，应用于包括：多个网元设备的电信网络；该方法包括：所述网元设备对其各自的相邻网元设备中包含的各资产进行安全状态跟踪，建立由黑名单和白名单构成的黑白名单，在该白名单中记录状态为信任的相邻网元设备的资产的信息，在该黑名单中记录状态为不信任的相邻网元设备包含的资产的信息，并按所记录的安全状态对各资产进行安全管理，其中，
所述按所记录的安全状态对各资产进行安全管理，包括：
当收到相邻网元设备包含的资产的访问请求或信息时，查询该黑白名单，若该相邻网元设备的资产的信息记录在白名单中，则该相邻网元设备的资产的状态为信任，处理该访问请求或接收该信息；若该相邻网元设备的资产的信息记录在黑名单中，则该相邻网元设备的资产的状态为不信任，拒绝处理该访问请求或拒绝接收该信息。
上述方案可进一步包括：为至少一个相邻网元设备的资产设置冗余系统，并在用于进行安全管理的网元设备中记录资产与其冗余系统之间的对应关系以及冗余系统的状态；当该用于进行安全管理的网元设备收到来自于相邻网元设备的资产的访问请求或信息时，若该相邻网元设备的资产的状态为不信任，进一步包括：若该资产有冗余系统、且该冗余系统的状态为信任，则启动与该冗余系统之间的连接。
本发明还公开了一种电信网络的资产安全管理系统，包括：第一设备及其相邻的至少一个第二设备，每一第二设备包含至少一个资产；所述第一设备中进一步设置由黑名单和白名单构成的黑白名单；所述第一设备用于对各第二设备包含的各资产进行安全状态跟踪，采用该黑白名单来记录第二设备中包含的各个资产的状态，用于将状态为不信任的资产的信息记录在黑名单中，将状态为信任的资产的信息记录在白名单中；当收到来自其中一个第二设备中资产的访问请求或信息时，该第一设备用于通过查询该资产的信息记录：若该资产的信息记录在白名单中，则确定该资产的状态为信任，处理该访问请求或接收该信息；若该资产的信息记录在黑名单中，则确定该资产的状态为不信任，拒绝处理该访问请求或拒绝接收该信息。
上述方案中，该系统进一步包括：第二设备资产的冗余系统；所述第一设备进一步用于记录各第二设备的资产的冗余系统、以及冗余系统的状态；当该第一设备收到来自于第二设备的资产的访问请求或信息时，若该第二设备的资产的状态为不信任，进一步用于判断冗余系统的状态：若该资产有冗余系统、且该冗余系统的状态为信任，则启动该第一设备与该冗余系统之间的连接。
本发明又公开了一种网元设备，该设备的相邻设备包含至少一个资产；该设备包括：安全管理单元；其中，所述安全管理单元包括：状态检测模块，用于检测相邻网元设备中各资产的状态并输出至信息记录模块；信息记录模块，用于其中设置由黑名单和白名单构成的黑白名单，用于接收来自状态检测模块的资产的状态并将状态为信任的资产的信息记录在白名单中，将状态为不信任的资产的信息记录在黑名单中；安全隔离模块，用于接收来自相邻网元设备的资产的访问请求或信息，通过查询信息记录模块中的黑白名单确定该资产的状态：若该资产的信息记录在白名单中，则该资产的状态为信任，处理该访问请求或接收该信息；若该资产的信息记录在黑名单中，则该资产的状态为不信任，拒绝处理该访问请求或拒绝。
上述方案中，该安全管理单元进一步包括：冗余系统启动模块；
所述状态检测模块进一步用于检测相邻网元设备的资产的冗余系统的状态并输出至信息记录模块；
所述信息记录模块进一步用于记录相邻网元设备的资产对应的冗余系统、以及该冗余系统的状态；
所述安全隔离模块进一步用于当一个资产的状态为不信任时查询该信息记录模块并确定该资产的冗余系统的状态，并在该冗余系统的状态为信任时输出该冗余系统的信息给冗余系统启动模块；
所述冗余系统启动模块用于接收来自安全隔离模块的冗余系统的信息，并启动该网元设备与该冗余系统之间的连接。
因此，本发明所提供的资产安全管理方案可以为电信网络资产的安全管理提供一种新的方法以实现一种基于设备个体的自我安全防护能力和安全管理功能，能够及时对不信任资产采取安全隔离措施，以在受侵害资产(或者说是不信任资产)的周边建立起临时安全屏障，并能够防止利用受侵害资产进行的安全攻击。

附图说明

图1为现有网络安全管理方法的处理示意图。
图2为本发明方法一较佳实施例的处理流程示意图。
图3为本发明安全管理模型的部分安全隔离示意图。
图4为本发明安全管理模型的全部安全隔离示意图。
图5A和5B为基于本发明的一网络实例进行安全隔离的示意图。
图6为基于本发明的另一网络实例进行安全隔离的示意图。
图7为基于本发明的冗余资产启动连接图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。
本发明实现了一种基于网元设备个体的分布式资产安全管理技术，由网元设备对其相邻网元设备中的各资产进行安全状态跟踪，并按安全状态对各资产进行安全管理。其中，一个网元设备对其相邻网元设备的资产所做的安全管理处理，主要包括：在该网元设备中记录相邻网元设备上各个资产的状态；当收到来自相邻网元设备的访问请求或信息时，确定该访问请求对应的资产状态；若所确定的资产状态为信任资产，则正常处理该访问请求或接收该信息；若所确定的资产状态为不信任资产，则拒绝处理该访问请求或拒绝接收该信息。
其中，可利用安全管理中的黑白名单机制来实现上述处理。对于本领域技术人员而言，黑白名单是预先在系统中设定一组对象名单，名单根据信任对象和不信任对象被分为白名单和黑名单两个部分，在实际使用时系统将根据名单中对象的信任程度来决策是否批准该对象的访问申请或接收来自该对象的信息，黑白名单机制常用于安全认证和防火墙的信息过滤。本发明可采用黑白名单来记录各个资产的状态，可将资产分为两个部分：可信任资产(应属于白名单)和不信任资产(应属于黑名单)，所谓不信任资产指受到安全侵害的资产，而且该资产有可能成为新的侵害源继续向周边资产进行侵害，或者该资产本身具有的安全功能失效，使周边资产失去安全防护能力，所谓信任资产与不信任资产相对应，指保持原有安全状态的资产；若黑白名单中记录的安全状态为可信任，则可处理该资产的访问请求或接收来自该资产的信息；若黑白名单中记录的安全状态为不信任，则要拒绝处理该资产的访问请求或拒绝接收来自该资产的信息，即：建立针对不信任资产的安全隔离。
图2为本发明方法一较佳实施例处理流程示意图。如图2所示，针对一个网元设备的处理步骤包括：
步骤201：在该网元设备中建立资产的黑白名单，并默认所有资产均为信任资产。
其中，黑白名单的创建应该分两种情况考虑：
一、使用黑白名单进行电信网络资产安全隔离的安全机制属于设备自身的安全功能。在这种情况下由设备制造商创建原始的黑白名单，此时白名单中的初始内容可以是该设备制造商已知的与本设备相连的设备，也可以默认为空，黑名单则由于考虑到电信网络正常运行的需要而可设定初始内容为空。
在设备运行的过程中，当白名单中记录的一个资产状态由信任转为不信任时，将该资产的信息记录在黑名单中并从白名单中自动删除该资产的信息；当黑名单中有一个资产的状态由不信任转为信任时，将该资产的信息记录在白名单中并从黑名单中自动删除该资产的信息。
二、使用黑白名单进行电信网络资产安全隔离的安全机制不是设备本身自带的安全功能，而是通过后续的专用安全软件安装来实现的。在这种情况下，考虑到软件的适用性和兼容性，黑白名单的初始内容通常都默认为空。
首先，设备初始运行时，可通过自动扫描或手动方式确定初始的各相邻网元设备的资产的状态，然后将状态为不信任的资产的信息记录在黑名单中，将状态为信任的资产的信息记录在白名单中；然后，在设备运行过程中，当黑名单中有一个资产的状态由不信任转为信任时，将该资产的信息记录在白名单中并从黑名单中自动删除该资产的信息；当白名单中记录的一个资产的状态由信任转为不信任时，将该资产的信息记录在黑名单中并从白名单中自动删除该资产的信息。
上述黑白名单在创建之后一直存在于网元设备之中，其中的黑名单和白名单，即信任资产和不信任资产清单可随网络安全状态的变化而自动更新。其中，黑白名单中的资产信息根据电信网络的特点可以采用但不限于如下表达方式的一种以便于识别和确认：1)资产类型+资产名称；2)设备编号+资产名称；3)物理地址+资产名称。
黑白名单在启用后可允许用户手动添加和修改清单内容，并可采用如下等方式自动保证黑白名单内容的正确性：
1)白名单和黑名单内容自动联动的方式
当用户修改白名单和黑名单这两者之一时，另一名单应该做出对应的动作，例如：当用户向黑名单添加一个白名单中原有的资产时，白名单将自动删除其内该资产的信息。
2)黑白名单自动核对的方式
自动核对黑名单和白名单中是否出现相同的资产，并在出现相同的资产时发出告警。比如：用户向黑名单添加一个白名单当前正记录的一个资产时，此时核对黑名单和白名单出现相同资产，则可向用户发出操作错误的告警。
步骤202：当有相邻资产的状态由信任变为不信任时，该网元设备将该资产设置为不信任资产。即：当白名单中记录的某资产状态变为不信任时，在黑名单中添加该资产的信息，并从白名单中删除该资产的信息。
黑名单在系统运行时可以根据一定策略自动添加不信任资产，同时在黑名单中添加的资产应从白名单中自动删除；反之，当黑名单原有的不信任资产恢复信任后也应该能够根据一定策略在白名单中自动恢复该资产的信息。
其中，黑名单中自动添加不信任资产所遵循的策略包含但不限于以下几种条件：
1)当某资产出现故障以至不能正常运转时，该资产为不信任资产，并将该资产的信息添加至黑名单；
2)当直接或间接接收到目标资产发送的关于其自身受到无法自动恢复或隔离安全侵害的安全告警时，该目标资产为不信任资产，并将该目标资产的信息添加至黑名单；
3)当某资产接收到网管控制系统发出的关于目标资产的安全隔离告警时，该目标资产为不信任资产，并将该目标资产的信息添加至黑名单；
另外，白名单中自动恢复转为信任资产的原不信任资产时所遵循的策略可以包含但不限于如下条件：当接收到系统发出的经过确认的目标资产恢复安全状态通知时，该目标资产变为信任资产，并在白名单中恢复该目标资产的信息；此种情况下应只解除对目标资产的安全隔离状态。
步骤203：当收到来自相邻资产的访问请求或信息时，该网元设备按该访问请求或信息中的资产信息查询黑白名单。若该资产被设置为信任资产，即属于白名单，则继续处理该访问请求或接收该信息；若该资产被设置为不信任资产，即属于黑名单，则拒绝处理该资产的访问请求或拒绝接收来自该资产的信息。
现有的网络安全技术主要针对的是设备整体，在该设备发生安全问题时，对整个设备进行安全隔离。而本发明是针对资产的安全管理技术，在设备中的某一资产发生安全问题时，对该资产进行安全隔离，而并非对整个设备进行安全隔离。另外，本发明还可进一步包括：由网元设备对其相邻网元设备进行资产登记，以确定相邻网元设备中包含的各个资产，而各个资产的确定可基于对资产的分类来进行，首先设定设备可能包含的资产类型，然后确定各个资产类型下的具体资产。如：事先设定设备包含的资产类型包括数据库和主机操作系统等，然后确定设备中包含的各个具体的数据库、具体的主机操作系统。这里，本发明中网元设备内划分的各个资产通常为可区分资产，所谓可区分资产指的是：相互独立的资产，当划分了网元设备的各个可区分资产后，对其中一个资产所进行的安全隔离并不妨碍另一资产的运行和操作。目前，可以暂且把电信网络中涉及安全问题的所有资产分为以下四类：
1)物理系统：其可能会产生由宕机、故障等导致的安全问题，如：硬件防火墙设备；
2)主机操作系统：主要指基于设备主机的操作系统，如：WINDOS等，可能会被系统型恶意代码感染或驻留，也可能由于系统漏洞而导致安全问题；
3)应用软件：主要指基于各种主机操作系统的应用软件程序，可能会被应用型恶意代码感染或驻留，也可能由于被非法篡改或软件漏洞而导致安全问题；
4)数据库：主要指各种用于提供各类数据信息的软件或硬件单元，如：数据库等，其可能由于受到安全侵害或者由于自身缺陷而导致无法正常提供数据(其中包括不能提供数据和提供错误数据等情况)，从而可能导致安全问题。
上述四类电信网络资产在实际的使用中都有可能由于各种原因变成不信任状态，但是这些资产物理位置上有可能是集中在一台设备上的，而且安全侵害也都是通过设备与设备之间的物理通道进行的，因此在分析侵害源即不信任资产时可以按照上述四类资产进行，但在实施安全隔离时只需要以设备整体为单位进行考虑，而无须在同一设备上也分类采取隔离措施。
下面结合图3和图4对本发明安全隔离模型的部分隔离和全部隔离两种情况加以说明。
图3为本发明安全管理模型的部分安全隔离示意图。图3中，系统设备A与系统设备B直接相连。在系统设备B中建立了针对自身相邻设备中资产的黑白名单。系统设备A中包括四类资产：数据源、应用软件、主机系统和物理设备。图3中设定：数据源的标号为①，应用软件的标号为②，主机系统的标号为③，物理设备的标号为④。当前，系统设备A处于部分不信任状态，即其中的部分资产为不信任资产。如图3所示，数据源、应用软件和主机系统为不信任资产；则此时系统设备B中，黑名单内记录数据源、应用软件和主机系统的标号①、②和③，白名单内记录物理设备的标号④。此时，系统设备B建立针对系统设备A的数据源、应用软件和主机系统这三个资产的安全隔离，但并不断开与系统设备A之间的物理通道，而是在应用层分析访问请求和信息的来源，拒绝处理来自系统设备A的数据源、应用软件和主机系统这三个资产的访问请求并拒绝接收来自这三个资产的信息，同时能够处理来自系统设备A的物理设备这一资产的访问请求并能够接收来自该资产的信息。
图4为本发明安全管理模型的全部安全隔离示意图。图4中，系统设备A与系统设备B直接相连。在系统设备B中建立了针对自身相邻设备中资产的黑白名单。系统设备A中包括四类资产：数据源、应用软件、主机系统和物理设备。图4中设定：数据源的标号为①，应用软件的标号为②，主机系统的标号为③，物理设备的标号为④。当前，系统设备A处于完全不信任状态，即其中的资产全部为不信任资产。如图4所示，系统设备B中，黑名单内记录数据源、应用软件、主机系统和物理设备的标号①、②、③和④，而白名单内针对系统设备A的记录为空。此时，系统设备B可以断开与系统设备A之间的物理通道，从而拒绝处理来自系统设备A的数据源、应用软件、主机系统和物理设备这四个资产的访问请求并拒绝接收来自这四个资产的信息。
以上以单个网元设备为例对本发明针对资产的安全隔离模型加以了详细说明。下面结合网络结构宏观的对网络基于本发明所实施的安全隔离状况加以说明。
图5A和5B为基于本发明的一网络实例进行安全隔离的示意图。图5A为该网络实例的初始状态，所有设备都为信任状态。该网络实例包括：设备A、B、C、D、E和F。其中，设备A与设备B相连，设备A还连接设备C和D，设备B还连接设备E和F。因此，设备A的相邻设备包括：设备B、C和D，设备B的相邻设备包括：设备A、E和F。各个设备均使用黑名单来记录自身的相邻设备中的不信任资产。图5B为图5A所示的网络中设备A和E中存在不信任资产时，整个网络的安全隔离情况。如图5B所示，在设备C和D的黑名单中分别记录了设备A的不信任资产信息，在设备B的黑名单中记录了设备A和E的不信任资产信息。这样，设备C和D均将针对设备A的不信任资产建立安全隔离，设备B将针对设备A和E的不信任资产建立安全隔离。
图6为基于本发明的另一网络实例进行安全隔离的示意图。图6所示的网络为一种集中控制结构，设备A作为中心节点集中连接了设备B、C、D、E和F。当设备B和E中存在不信任资产时，设备A的黑名单中将记录设备E和B的不信任资产信息，并建立针对设备B和E的不信任资产的安全隔离。
此外，考虑到系统的可靠性和可用性，冗余资产的管理也可以纳入基于黑白名单的安全管理功能中，这样在发生安全侵害时，就可以实现由相邻的信任设备发起的目标资产冗余系统的切换，以便最快的恢复系统的正常运作甚至可以保证系统的无间断正常运作，这种情况下被切换的不信任资产的冗余系统需要事先列入白名单。这里，冗余系统指一种备份系统。图7为基于本发明的冗余资产启动连接图。图7中包括：设备A、A’、B和C。其中，设备A’为设备A的冗余系统，设备A和A’均分别连接设备B和C。当设备A包含不信任资产时，设备B和C的黑名单中均将记录设备A的不信任资产信息；此时，设备B和C的白名单中也记录了设备A’的资产信息，若设备A’作为设备A的冗余系统，则黑白名单中还将标识设备A’为设备A的冗余系统。这样，当设备A被纳入黑名单时，设备B和/或设备C可以确定设备A的冗余系统为设备A’，并断开自身与设备A的连接，而启动与设备A’之间的连接，从而实现从目标资产(设备A)到冗余资产(设备A’)的切换，以保证系统的可靠性和连续性。
实际上目前很多设备能够在故障时自动切换冗余系统，但大多属于硬性故障，如设备断电、宕机等，对于由于安全侵害造成的破坏一般都不会切换到冗余系统，这使得系统的可靠性大打折扣，而上面描述的基于黑白名单的安全管理功能中对冗余系统的管理和使用方法就能够弥补这一缺陷。
基于上述本发明方法，本发明还公开了一种电信网络的资产安全管理系统，包括：相连的第一设备和第二设备，该第二设备包含至少一个资产；该第一设备可以对第二设备中包含的各资产进行安全状态跟踪，并按安全状态对各资产进行安全管理。其中，第一设备用于记录第二设备中包含的各个资产的状态，当收到来自第二设备中资产的访问请求或信息时，用于判断该资产的状态：若该资产的状态为信任，则处理该访问请求或接收该信息；若该资产的状态为不信任，则拒绝处理该访问请求或拒绝接收该信息。
其中，该第一设备中可进一步设置有由黑名单和白名单构成的黑白名单，从而可采用该黑白名单来记录第二设备中包含的各个资产的状态，用于将状态为不信任的资产的信息记录在黑名单中，将状态为信任的资产的信息记录在白名单中；当收到来自第二设备中资产的访问请求或信息时，该第一设备可通过查询该资产的信息记录在黑名单还是白名单中确定该资产的状态为不信任还是信任。
该系统还可进一步包括：第二设备的资产的冗余系统，该冗余系统可以视为是资产的冗余备份资产。此时，第一设备可进一步用于记录各第二设备中各资产的冗余系统、以及冗余系统的状态；当该第一设备收到来自于第二设备的资产的访问请求或信息时，若该第二设备的资产的状态为不信任，进一步用于判断冗余系统的状态：若该资产有冗余系统、且该冗余系统的状态为信任，则启动该第一设备与该冗余系统之间的连接，从而该冗余系统可代替状态为不信任的资产与第一设备继续进行通信，以保证网络的可靠性。
此外，本发明还公开了一种网元设备，该设备与包含至少一个资产的第二设备相连。该网元设备包含安全管理单元，用于对第二设备的各资产进行安全状态跟踪并按安全状态对各资产进行安全管理。该安全管理单元还可包括：状态检测模块、信息记录模块和安全隔离模块。
状态检测模块用于检测第二设备中各资产的状态并输出至信息记录模块。信息记录模块用于接收来自状态检测模块的资产的状态并记录。安全隔离模块用于接收来自第二设备的资产的访问请求或信息，查询信息记录模块并确定该资产的状态；若该资产的状态为信任，则处理该访问请求或接收该信息；若该资产的状态为不信任，则拒绝处理该访问请求或拒绝接收该信息。
在上述信息记录模块中，可以设置由黑名单和白名单构成的黑白名单。该信息记录模块可用于将状态为信任的资产的信息记录在白名单中，而将状态为不信任的资产的信息记录在黑名单中。这样，当安全隔离模块当接收来自第二设备的资产的访问请求或信息时，可通过查询该资产的信息在黑名单中还是白名单中来确定该资产的状态为不信任还是信任。
该安全管理单元还可进一步包括：冗余系统启动模块，目的是要在某一资产状态为不信任时启动该资产的冗余系统。此时，状态检测模块要进一步用于检测第二设备的资产的冗余系统的状态，并输出冗余系统的状态至信息记录模块；信息记录模块要进一步用于记录第二设备的资产对应的冗余系统、以及该冗余系统的状态；安全隔离模块则进一步用于当一个资产的状态为不信任时查询该信息记录模块并确定该资产的冗余系统的状态，并在该冗余系统的状态为信任时输出该冗余系统的信息给冗余系统启动模块。所述冗余系统启动模块用于接收来自安全隔离模块的冗余系统的信息，并启动该网元设备与该冗余系统之间的连接。
本发明方案可以为电信网络资产的安全管理提供一种新的方法以实现一种基于设备个体的自我安全防护能力和安全管理功能，通过实时更新的黑白名单能够及时对不信任资产采取限制访问和软隔离措施，以在合理的资源消耗下达到在受侵害资产(或者说是不信任资产)的周边建立临时安全屏障以到达防止危害扩散的目的，同时能够防止利用受侵害资产进行的中间人攻击，并且通过自动触发冗余备份资产(即前述的冗余系统)还能够实现及时的系统切换以保证系统运转的正常。
以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。