(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210213528.1 (22)申请日 2022.03.04 (71)申请人 南京联成科技发展股份有限公司 地址 210000 江苏省南京市江北新区南京 软件园团结路9 9号孵鹰大厦A座14F (72)发明人 林薇　 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/32(2006.01) H04L 41/0213(2022.01) (54)发明名称 一种基于过程管控的通信网络中可信安全 日志管理的系统 (57)摘要 本发明公开了一种基于过程管控的通信网 络中可信安全日志管理的系统， 其特征在于， 采 用日志参考模 型， 实现了通信网络通信的可信安 全日志管 理， 从侦察阶段到恶意代码的权限提升 阶段的瞬间， 采用了不依赖于特殊的安全硬件或 分布式系统的日志防篡改 的方案， 它使用两种不 同的存储设备： α和β， α是日志服务器， 采用 HMAC(key， msg)算法， 并将它的输出以仅附加的 方式写入日志的末尾， 存储到日志服务器α中， β是一个外部存储设备， 物理上与系统断开， 并 保存在安全的地方， 将来用于验证日志， 所述系 统， 还包括： 采集服务器、 日志服务器、 签名服务 器、 网络节点、 β设备。 通过本发明， 能够确保运 营商通信网络的安全隐私。 权利要求书2页 说明书8页 附图3页 CN 114567502 A 2022.05.31 CN 114567502 A 1.一种基于过程管控的通信网络中可信安全日志管理的系统， 其特征在于， 采用日志 参考模型， 实现了通信网络通信的可信安全日志管理， 从侦察阶段到恶意代码的权限提升 阶段的瞬间， 采用了不依赖于特殊的安全硬件或分布式系统的日志防篡改的方案， 它使用 两种不同的存储设备： α和β， α 是日志服务器， 采用HMAC(key， msg)算法， 并将它的输出以仅 附加的方式写入日志的末 尾， 存储到日志 服务器α 中， β 是一个外部存储设备， 物理上与系统 断开， 并保存在安全的地方， 将来用于验证日志， 所述系统， 还包括： 采集服务器、 日志服务 器、 签名服 务器、 网络节点、 β 设备； 所述采集服务器， 负责从网络节点NN采集日志数据， 它承载一个服务执行软件平台， 即 服务执行环境SEE， SEE服务于所需的服务逻辑， 此逻辑由服务逻辑程序SLP实现， 每个不同 的服务都维护自己的SLP， 许多 涉及相同服务 或相同SLP的请求可以通过生成相同逻辑的不 同实例来并行服务， 此外， SEE中还托管了一个访问管理器， 负责实现与所需节点的通信接 口； 所述日志服务器， 即所述的α设备， 它还包含一个服务执行环境SEE， SEE承载相应的业 务逻辑， 即日志逻辑程序LLP， 它实现相应的服务， 此外， 还托管了一个访问管理器， 负责实 现与采集服务器的通信接口， 日志 服务器和采集服务器都拥有服务管理和服务执行的主要 逻辑， 日志服务器承载用于执行采集服务器调用的命令的特别功 能， 并通过定义良好的接 口进行通信； 所述签名服务器， 这是一个独立的服务器， 它是一个托管密钥的隔离服务器， 实现了接 收来自采集 服务器的签名请求的一个接口； 所述网络节点， 用于对运营商网络周界内生成日志事件的任何网络设备进行建模， 然 后将这些事件存储到日志服务器， 换句话说， 网络节点是日志 生成器， 由于模型将日志 生成 器视为部分受信任的， 因此每个网络节点都承载一个专用代理， 该代理接 收来自采集服务 器的命令； 所述β 设备， 用于验证日志， 而α设备为日志服务器， 用于存储日志数据， 在α和β 上都被 初始化为零， 生成的密钥流K存储在α和β 两个设备中， Kα密钥流被存储在α 中， Kβ密钥流被存 储在β中， Kαheader.id表示密钥流的ID， Kαheader.off表示密钥流的当前偏移量， 文件 ASEALlog用来存储日志的身份认证数据和元数据， 字段R.Loff表示日志文件L的记录R 的偏 移量， 当开始验证时， 连接上β 设备， 并包括以下步骤： (1)密钥流的大小和ID均匹配， 其烧毁区域在Kαheader.of f处结束， 否则， 验证失败； (2)密钥流烧毁区域， 在Kαheader.off之前和在Kαheader.off之后， 均不同于在Kα和Kβ之 间， 否则， 验证失败； (3)给定两个连续的ASEALlog记录， 它们对应的分块是 连续的， 否则， 验证失败； (4)日志文件L的记录R通过R.Loff来排序文件ASEALlog， 则由文件ASEALlog记录R定义的 数据区域是 连续的， 否则， 存在空隙， 验证失败； (5)上述皆为真， 验证成功， 则审计员将在侦察、 交付、 安装、 权限提升4个阶段生成的日 志条目中查找攻击者入侵的证据。 2.如权利要求1所述的一种基于过程管控的通信网络中可信安全日志管理的系统， 其 特征在于， 所述日志生成器， 它成为可信任的另一个措施是支持日志功能的软件实体使用 签名代码， 所述的软件实体至少 包括安装在采集服务器SC中的SLP和安装在网络节点NN中权　利　要　求　书 1/2 页 2 CN 114567502 A 2的SNMP Agent。权　利　要　求　书 2/2 页 3 CN 114567502 A 3