设备安全防护方法、装置、电子设备及存储介质与流程

1.本技术涉及信息安全技术领域，具体而言，涉及一种设备安全防护方法、装置、电子设备及存储介质。


背景技术：

2.随着5g技术的高速发展，5g通信所带来的信息安全问题也成为一大隐患。例如，随着5g业务发展，更多的5g设备被下探到外部放置，使得5g设备很容易受到外界设备入侵而造成数据损失。而针对5g设备的安全性监控和安全信息度量，目前暂无完善的解决方案。


技术实现要素：

3.本技术的目的在于，提供一种设备安全防护方法、装置、电子设备及存储介质，以便于针对5g设备进行安全性监测和信息度量，保证设备的访问安全性，防止设备被侵害造成的数据损失。
4.为实现上述目的，本技术实施例采用的技术方案如下：
5.第一方面，本技术实施例提供了一种设备安全防护方法，所述方法包括：
6.接收中心控制器发送的安全策略信息以及所述中心控制器对应的安全标记信息，并将所述中心控制器对应的安全标记信息记录至信任区域中，其中，所述信任区域位于通信设备的寄存器中，所述安全策略信息包括：目标安全等级；
7.根据所述安全策略信息，将通信设备当前的安全等级更改为所述目标安全等级；
8.在所述通信设备重启时，从所述信任区域中读取安全设备列表，并将所述安全设备列表写入所述通信设备的保密闪存中；
9.根据所述安全标记信息确定是否启动安全度量，若是，则根据所述目标安全等级以及从所述保密闪存中读取的安全设备列表，对所述通信设备当前的外部访问设备进行安全度量，并根据度量结果更新所述信任区域中所存储的安全设备列表。
10.可选地，接收中心控制器发送的安全策略信息以及所述中心控制器对应的安全标记信息之前，包括：
11.获取所述中心控制器的地址信息，将所述中心控制器的地址信息写入所述信任区域中；
12.根据所述中心控制器的地址信息与所述中心控制器建立连接。
13.可选地，所述从所述信任区域中读取安全设备列表，并将所述安全设备列表写入所述通信设备的保密闪存中，包括：
14.从所述信任区域中的安全设备列表中读取安全设备的标识；
15.采用预设的加密方式对各安全设备的标识进行加密，生成加密后的安全设备列表，并将加密后的安全设备列表写入所述通信设备的保密闪存中。
16.可选地，所述根据所述安全标记信息确定是否启动安全度量，包括：
17.接收所述中心控制器发送的安全度量启动指示，所述安全度量启动指示包括：待
验证的私钥信息；
18.根据所述信任区域中记录的所述中心控制器对应的安全标记信息以及所述私钥信息，对所述中心控制器进行身份验证；
19.若验证通过，则确定启动安全度量。
20.可选地，所述根据所述信任区域中记录的所述中心控制器对应的安全标记信息以及所述私钥信息，对所述中心控制器进行身份验证，包括：
21.根据所述私钥信息以及预设的公钥信息，生成验证信息；
22.若所述验证信息与所述中心控制器对应的安全标记信息一致，则确定对所述中心控制器的身份验证通过。
23.可选地，所述根据所述目标安全等级以及从所述保密闪存中读取的安全设备列表，对所述通信设备当前的外部访问设备进行安全度量，包括：
24.扫描当前的外部访问设备，根据从所述保密闪存中的安全设备列表中读取的各安全设备的标识、以及扫描到的各外部访问设备的标识，确定与所述安全设备的标识不一致的各外部访问设备为候选的异常外部访问设备；
25.将所述候选的异常外部访问设备的信息发送至所述中心控制器进行异常判定，并根据所述目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态；
26.接收所述中心控制器发送的判定结果，所述判定结果用于指示各候选的异常外部访问设备是否正常；
27.根据所述判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态。
28.可选地，所述根据所述目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态，包括：
29.若所述目标安全等级为高级保密等级，则将当前正在运行的各设备的运行状态更改为暂停状态；
30.若所述目标安全等级为中级保密等级，则保持各设备当前的运行状态，且将各候选的异常外部访问设备的使用状态更改为禁止状态；
31.若所述目标安全等级为低级保密等级，则保持各设备当前的运行状态，且对各候选的异常外部访问设备的使用权限进行修改。
32.可选地，所述根据所述判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态，包括：
33.若所述目标安全等级为高级保密等级，且所述判定结果指示候选的异常外部访问设备为正常设备，则重新启动运行各设备；
34.若所述目标安全等级为中级保密等级，且所述判定结果指示候选的异常外部访问设备为正常设备，则将候选的异常外部访问设备的使用状态更改为允许使用。
35.第二方面，本技术实施例提供了一种设备安全防护系统，包括：通信设备及中心控制器，所述通信设备与所述中心控制器通过交换机通信连接；
36.所述通信设备包括：处理器、寄存器及保密闪存，所述寄存器中包括信任区域，所述信任区域用于存储安全设备列表以及安全标记信息；所述保密闪存用于存储加密后的安
全设备列表；
37.所述通信设备用于执行上述第一方面所述的设备安全防护方法。
38.第三方面，本技术实施例还提供了一种设备安全防护装置，所述装置包括：接收模块、更改模块、读取模块及安全度量模块；
39.所述接收模块，用于接收中心控制器发送的安全策略信息以及所述中心控制器对应的安全标记信息，并将所述中心控制器对应的安全标记信息记录至信任区域中，其中，所述信任区域位于通信设备的寄存器中，所述安全策略信息包括：目标安全等级；
40.所述更改模块，用于根据所述安全策略信息，将通信设备当前的安全等级更改为所述目标安全等级；
41.所述读取模块，用于在所述通信设备重启时，从所述信任区域中读取安全设备列表，并将所述安全设备列表写入所述通信设备的保密闪存中；
42.所述安全度量模块，用于根据所述安全标记信息确定是否启动安全度量，若是，则根据所述目标安全等级以及从所述保密闪存中读取的安全设备列表，对所述通信设备当前的外部访问设备进行安全度量，并根据度量结果更新所述信任区域中所存储的安全设备列表。
43.可选地，所述装置还包括：获取模块、建立模块；
44.所述获取模块，用于获取所述中心控制器的地址信息，将所述中心控制器的地址信息写入所述信任区域中；
45.所述建立模块，用于根据所述中心控制器的地址信息与所述中心控制器建立连接。
46.可选地，所述读取模块，具体用于
47.从所述信任区域中的安全设备列表中读取安全设备的标识；
48.采用预设的加密方式对各安全设备的标识进行加密，生成加密后的安全设备列表，并将加密后的安全设备列表写入所述通信设备的保密闪存中。
49.可选地，所述安全度量模块，具体用于
50.接收所述中心控制器发送的安全度量启动指示，所述安全度量启动指示包括：待验证的私钥信息；
51.根据所述信任区域中记录的所述中心控制器对应的安全标记信息以及所述私钥信息，对所述中心控制器进行身份验证；
52.若验证通过，则确定启动安全度量。
53.可选地，所述安全度量模块，具体用于
54.根据所述私钥信息以及预设的公钥信息，生成验证信息；
55.若所述验证信息与所述中心控制器对应的安全标记信息一致，则确定对所述中心控制器的身份验证通过。
56.可选地，所述安全度量模块，具体用于
57.扫描当前的外部访问设备，根据从所述保密闪存中的安全设备列表中读取的各安全设备的标识、以及扫描到的各外部访问设备的标识，确定与所述安全设备的标识不一致的各外部访问设备为候选的异常外部访问设备；
58.将所述候选的异常外部访问设备的信息发送至所述中心控制器进行异常判定，并
根据所述目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态；
59.接收所述中心控制器发送的判定结果，所述判定结果用于指示各候选的异常外部访问设备是否正常；
60.根据所述判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态。
61.可选地，所述安全度量模块，具体用于
62.若所述目标安全等级为高级保密等级，则将当前正在运行的各设备的运行状态更改为暂停状态；
63.若所述目标安全等级为中级保密等级，则保持各设备当前的运行状态，且将各候选的异常外部访问设备的使用状态更改为禁止状态；
64.若所述目标安全等级为低级保密等级，则保持各设备当前的运行状态，且对各候选的异常外部访问设备的使用权限进行修改。
65.可选地，所述安全度量模块，具体用于
66.若所述目标安全等级为高级保密等级，且所述判定结果指示候选的异常外部访问设备为正常设备，则重新启动运行各设备；
67.若所述目标安全等级为中级保密等级，且所述判定结果指示候选的异常外部访问设备为正常设备，则将候选的异常外部访问设备的使用状态更改为允许使用。
68.第四方面，本技术实施例提供了一种电子设备，包括：处理器、存储介质和总线，存储介质存储有处理器可执行的机器可读指令，当电子设备运行时，处理器与存储介质之间通过总线通信，处理器执行机器可读指令，以实现如第一方面中提供的设备安全防护方法。
69.第五方面，本技术实施例提供了一种计算机可读存储介质，该存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如第一方面提供的设备安全防护方法。
70.本技术的有益效果是：
71.本技术提供一种设备安全防护方法、装置、电子设备及存储介质，该方法通过建立通信设备与中心控制器之间的通信连接，通信设备可根据中心控制器下发的安全策略启动对应的安全度量，以实现在通信设备不同安全级别下执行对应的安全度量。通信设备在执行安全度量过程中，可触发将异常信息上报至中心控制器进行异常判定，并根据中心控制器反馈的异常判定结果，进行白名单信息的更新，从而根据白名单信息进行外设访问的限制，而由于白名单信息是实时更新的，从而可保证外设访问限制的准确性。并且，通信设备还可根据记录的安全标记信息对中心控制器进行授权验证，以保证中心控制器与通信设备之间的通信安全。
附图说明
72.为了更清楚地说明本技术实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本技术的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。
73.图1为本技术实施例提供的一种设备安全防护系统的示意图；
74.图2为本技术实施例提供的设备安全防护方法的流程示意图一；
75.图3为本技术实施例提供的设备安全防护方法的流程示意图二；
76.图4为本技术实施例提供的设备安全防护方法的流程示意图三；
77.图5为本技术实施例提供的设备安全防护方法的流程示意图四；
78.图6为本技术实施例提供的设备安全防护方法的流程示意图五；
79.图7为本技术实施例提供的一种设备安全防护装置的示意图；
80.图8为本技术实施例提供的一种电子设备的结构示意图。
具体实施方式
81.为使本技术实施例的目的、技术方案和优点更加清楚，下面将结合本技术实施例中的附图，对本技术实施例中的技术方案进行清楚、完整地描述，应当理解，本技术中附图仅起到说明和描述的目的，并不用于限定本技术的保护范围。另外，应当理解，示意性的附图并未按实物比例绘制。本技术中使用的流程图示出了根据本技术的一些实施例实现的操作。应该理解，流程图的操作可以不按顺序实现，没有逻辑的上下文关系的步骤可以反转顺序或者同时实施。此外，本领域技术人员在本技术内容的指引下，可以向流程图添加一个或多个其他操作，也可以从流程图中移除一个或多个操作。
82.另外，所描述的实施例仅仅是本技术一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本技术实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本技术的实施例的详细描述并非旨在限制要求保护的本技术的范围，而是仅仅表示本技术的选定实施例。基于本技术的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本技术保护的范围。
83.需要说明的是，本技术实施例中将会用到术语“包括”，用于指出其后所声明的特征的存在，但并不排除增加其它的特征。
84.在无线通信中5g基站通常会放置在独立的一个区域，如野外的机房。随着5g业务的发展，更多的5g网元将会下探到外部放置，如5g核心网均为放置在中心机房，随着专网的建立5g核心网和mec将会放到园区中。而设备放在外部机房则会存在安全隐患，目前暂无完善的方案可以保证5g设备的安全性。
85.基于此，本方案提出一种设备安全防护方法，通过构建设备与中心控制器之间的通信连接，对设备进行安全度量，在设备扫描到异常外设时，将异常外设信息上报给中心控制器，由中心控制器进行异常判定结果，而设备根据中心控制器下发的判定结果进行外设访问权限的修改，从而保证设备的安全访问。
86.图1为本技术实施例提供的一种设备安全防护系统的示意图，如图1所示，该系统可包括：通信设备、中心控制器，通信设备与中心控制器通过交换机通信连接，其中，通信设备可以是5g设备，当为5g设备时，可以为5g基站，也可以为5g终端等，当然，通信设备也可以为4g设备或者其他通信设备，也即本方案可以应用于各种通信设备的安全防护中。
87.可选地，通信设备可以包括：cpu中央处理器、寄存器和保密闪存，其中，寄存器上开辟有信任区域，信任区域用于存储通信设备的白名单信息以及与通信设备进行通信的中心控制器的安全标记信息，通信设备可通过cpu实现本实施的设备安全防护方法步骤。而在通信设备重新启动时，可从信任区域中读取白名单信息并进行加密后存储至保密闪存，从
而在后续执行安全度量时，可以根据保密闪存中存储的白名单信息进行异常外设的扫描，并将扫描到的异常外设的信息上报给中心控制器。
88.通信设备在将异常外设的信息上报给中心控制器的同时，还可根据当前的安全保密等级，执行相应的安全防护，中心控制器可对异常外设的信息进行度量，判断其是否确实为异常设备，并将判断结果下发给通信设备，从而通信设备可根据异常判定结果以及安全保密等级，进行安全防护的变更以及白名单信息的更新。从而在进行通信设备访问时，可根据白名单信息，不允许不在白名单中的外设对通信设备进行访问，有效防止了通信设备被侵入所造成的数据损失。
89.如下通过具体实施例对本方案进行说明：
90.图2为本技术实施例提供的设备安全防护方法的流程示意图一；本方法的执行主体为上述的通信设备，如图2所示，该方法可包括：
91.s201、接收中心控制器发送的安全策略信息以及中心控制器对应的安全标记信息，并将中心控制器对应的安全标记信息记录至信任区域中，其中，信任区域位于通信设备的寄存器中，安全策略信息包括：目标安全等级。
92.可选地，中心控制器可周期性的向通信设备发送安全策略信息，或者中心控制器可基于接收到的安全度量指示信息向通信设备发送安全策略信息。其中，安全策略信息包括：目标安全等级，目标安全等级用于指示通信设备当前按照目标安全等级执行安全度量。安全等级可根据同时设备的安全级别进行设置。
93.同时，中心控制器还可发送自身对应的安全标记信息，安全标记信息可以为安全token，其用于对中心控制器进行授权验证，以验证是否允许中心控制器与通信设备之间执行安全度量。
94.通信设备可将接收到的安全策略信息以及中心控制器对应的安全标记信息记录至信任区域中。
95.设备安全防护系统中可能包括多个中心控制器，而不同的中心控制器可以有对应的唯一的安全标记信息，通信设备的信任区域中可以记录所有中心控制器的安全标记信息，从而在有中心控制器申请建立连接启动安全度量时，对中心控制器的身份进行验证。
96.s202、根据安全策略信息，将通信设备当前的安全等级更改为目标安全等级。
97.可选地，通信设备在接收到安全策略信息后，可根据安全策略信息中所包括的目标安全等级，将通信设备当前的安全等级更改为目标安全等级。
98.本实施例中，可将设备的安全等级分为四种，分别包括：高级保密等级、中级保密等级、低级保密等级以及空保密等级，而空保密等级时，不触发异常外设的上报，也即不执行本方案的防护方法，故而上述的目标安全等级可以指高级保密等级、中级保密等级、低级保密等级中的任一种。
99.而假设通信设备当前的安全等级为低级保密等级，接收到的安全策略中包括的目标安全等级为中级保密等级，那么通信设备可将自身的安全等级由低级保密等级修改为中级保密等级。
100.在一些实施例中，中心控制器向通信设备所发送的安全策略所指示的目标安全等级(也就是说通信设备所要修改至的目标安全等级)可以是根据通信设备所处的位置、通信设备的覆盖区域、通信设备的通信等级等参数进行综合判定的。其中，通信设备所处的位置
例如可以为：中心机房，边缘机房，露天机房；通信设备的覆盖区域例如可以为：普通小区覆盖，涉密区域覆盖等；通信设备的通信等级例如可以为：公网通信，一般专网通信，涉密专网通信等。
101.s203、在通信设备重启时，从信任区域中读取安全设备列表，并将安全设备列表写入通信设备的保密闪存中。
102.通常，修改后的安全级别在通信设备重启之后才可生效，那么，在通信设备重启时，可从信任区域中读取安全设备列表，安全设备列表也即指白名单信息。
103.本实施例中，可将读取的安全设备列表写入通信设备的保密闪存中，也即保密flash中，这样即使在通信设备运行过程中发生故障或者其他问题时，存储在保密闪存中的安全设备列表是绝对安全，不可被篡改的，从而可保障后续安全度量的准确性。
104.s204、根据安全标记信息确定是否启动安全度量，若是，则根据目标安全等级以及从保密闪存中读取的安全设备列表，对通信设备当前的外部访问设备进行安全度量，并根据度量结果更新信任区域中所存储的安全设备列表。
105.在一些实施例中，中心控制器若要与通信设备之间实施安全度量，则需要申请授权验证，在授权验证通过后，则可与通信设备之间启动安全度量。
106.可选地，通信设备可根据信任区域中所记录的中心控制器的安全标记信息对中心控制器的身份进行验证，在验证通过后，则确定启动安全度量。
107.可选地，通信设备可根据更新后的安全等级(也即安全策略中所指示的目标安全等级)进行安全度量，而在进行安全度量时，通信设备可根据从保密闪存中读取的安全设备列表确定异常外设，并将异常外设上报至中心控制器进行异常判定，同时通信设备根据目标安全等级执行对应的安全防护。
108.而通信设备还可根据中心控制器反馈的异常判定结果对信任区域中记录的白名单信息进行更新，以保证外设访问的安全性。
109.综上，本实施例提供的设备安全防护方法，通过建立通信设备与中心控制器之间的通信连接，通信设备可根据中心控制器下发的安全策略启动对应的安全度量，以实现在通信设备不同安全级别下执行对应的安全度量。通信设备在执行安全度量过程中，可触发将异常信息上报至中心控制器进行异常判定，并根据中心控制器反馈的异常判定结果，进行白名单信息的更新，从而根据白名单信息进行外设访问的限制，而由于白名单信息是实时更新的，从而可保证外设访问限制的准确性。并且，通信设备还可根据记录的安全标记信息对中心控制器进行授权验证，以保证中心控制器与通信设备之间的通信安全。
110.图3为本技术实施例提供的设备安全防护方法的流程示意图二；可选地，步骤s201中，接收中心控制器发送的安全策略信息以及中心控制器对应的安全标记信息之前，可以包括：
111.s301、获取中心控制器的地址信息，将中心控制器的地址信息写入信任区域中。
112.在一些实施例中，由于中心控制器要与通信设备建立通信连接，那么，在此之前，通信设备可先获取中心控制器的地址信息，将中心控制器的地址信息写入信任区域中。可选地，可以是通过shell命令进行写入。
113.s302、根据中心控制器的地址信息与中心控制器建立连接。
114.可选地，通信设备可优先建立cpld(complex programmable logic device，复杂
可编程逻辑器件)/bmc(baseboard management controller，基板管理控制器)的链接，并且发送中心控制器的地址信息给cpld/bmc并且与中心控制器之间建立相应的gtp(gprstunnelingprotocol，gprs隧道协议)通道。从而通信设备可基于gtp通道与中心控制器进行通信。
115.图4为本技术实施例提供的设备安全防护方法的流程示意图三；可选地，步骤s203中，从信任区域中读取安全设备列表，并将安全设备列表写入通信设备的保密闪存中，可以包括：
116.s401、从信任区域中的安全设备列表中读取安全设备的标识。
117.本实施例中安全设备列表中存储的可以为各白名单设备的标识，也即指安全设备的标识，这些设备对于通信设备而言是安全的，可以对通信设备进行访问。设备的标识可以为设备的出厂id或者其他可以唯一区分该设备的标识。
118.s402、采用预设的加密方式对各安全设备的标识进行加密，生成加密后的安全设备列表，并将加密后的安全设备列表写入通信设备的保密闪存中。
119.可选地，可采用加密方式对所获取到的各安全设备的标识进行加密，以生成加密后的安全设备的标识，由加密后的安全设备的标识所构成的安全设备列表可以称之为加密后的安全设备列表。从而可将得到的加密后的安全设备列表写入通信设备的保密闪存中。
120.在一些实施例中，对于通信设备为5g基站而言，通信设备的外设设备例如可以包括：外设、库文件、二进制等。
121.其中，外设可以指外置硬盘等存储类设备，usb接口类设备，hdmi(high definition multimedia interface，高清晰度多媒体接口)/vga(video graphics array，视频图形阵列)等显示类设备。库文件可以为libc，glib类的引用库；二进制可以指5g设备需要启用的软件待以及相关的驱动等。
122.图5为本技术实施例提供的设备安全防护方法的流程示意图四；可选地，步骤s204中，根据安全标记信息确定是否启动安全度量，可以包括：
123.s501、接收中心控制器发送的安全度量启动指示，安全度量启动指示包括：待验证的私钥信息。
124.在一些实施例中，中心控制器在申请启动安全度量时，可向通信设备发送安全度量启动指示，而启动指示中可包括待验证的私钥信息。
125.值得说明的是，本实施例中，中心控制器对应的安全标记信息是采用私钥+公钥的方式生成的，而私钥可以为中心控制器自身相关的用户信息，只有中心控制器自身知道，其他设备并不会窃取到该私钥信息。
126.s502、根据信任区域中记录的中心控制器对应的安全标记信息以及私钥信息，对中心控制器进行身份验证。
127.在一种可实现的方式中，可根据私钥信息以及预设的公钥信息，生成验证信息；若验证信息与中心控制器对应的安全标记信息一致，则确定对中心控制器的身份验证通过。
128.在进行身份验证时，通信设备可根据接收到的待验证的私钥信息以及本地记录的生成安全标记信息时的公钥信息，生成验证信息，通过将生成的验证信息与信任区域中记录的安全标记信息进行比对以进行身份验证。
129.s503、若验证通过，则确定启动安全度量。
130.可选地，当生成的验证信息与信任区域中记录的安全标记信息一致时，则可认为对中心控制器的身份验证通过，则可授权启动安全度量。
131.图6为本技术实施例提供的设备安全防护方法的流程示意图五；可选地，步骤s204中，根据目标安全等级以及从保密闪存中读取的安全设备列表，对通信设备当前的外部访问设备进行安全度量，可以包括：
132.s601、扫描当前的外部访问设备，根据从保密闪存中的安全设备列表中读取的各安全设备的标识、以及扫描到的各外部访问设备的标识，确定与安全设备的标识不一致的各外部访问设备为候选的异常外部访问设备。
133.可选地，在启动安全度量后，通信设备可扫描当前的外部访问设备，将扫描到的外部访问设备与从保密闪存中的安全设备列表中读取到的各安全设备的标识进行比对，并将不存在于安全设备列表中的外部访问设备确定为候选的异常外部访问设备。也即不在白名单中的外部访问设备可以作为候选的异常外部访问设备。
134.s602、将候选的异常外部访问设备的信息发送至中心控制器进行异常判定，并根据目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态。
135.通信设备可通过所建立的gtp通道将确定出的候选的异常外部访问设备的信息发送给中心控制器，以等待中心控制器对其进行安全度量。
136.同时，通信设备还可根据目标安全等级更改通信设备中正在运行的各设备的运行状态，或者也可以对候选的异常外部访问设备的使用状态进行更改。
137.其中，不同的安全等级下，通信设备对于正在运行的各设备的运行状态，或者对候选的异常外部访问设备的使用状态的更改方式是不同的。
138.s603、接收中心控制器发送的判定结果，判定结果用于指示各候选的异常外部访问设备是否正常。
139.中心控制器在进行异常判定后，会将判定结果反馈给通信设备，异常判定结果可以指示各候选的异常外部访问设备是否正常。
140.s604、根据判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态。
141.通信设备在收到判定结果后，会根据判定结果再次对正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态进行更新，且根据判定结果还可进一步地对所记录的安全设备列表进行更新，例如：将判定结果为正常的外部访问设备添加至安全设备列表中。
142.可选地，步骤s602中，根据目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态，可以包括：若目标安全等级为高级保密等级，则将当前正在运行的各设备的运行状态更改为暂停状态。
143.当目标安全等级为高级保密等级时，其保密需要较高，此时，在通信设备将候选的异常外部访问设备的信息上报给中心控制器的同时，设备启动进入暂停状态，需要等待中心控制器反馈的判定结果，在判定结果为候选的异常外部访问设备无异常时，重新启动。
144.若目标安全等级为中级保密等级，则保持各设备当前的运行状态，且将各候选的异常外部访问设备的使用状态更改为禁止状态。
145.而当目标安全等级为中级保密等级时，通信设备在将候选的异常外部访问设备的信息上报给中心控制器的同时，可将候选的异常外部访问设备的使用状态设置为禁止使用，也即候选的异常外部访问设备在未被中心控制器判定为正常设备之前，是不能对通信设备进行访问的。而在中级保密等级下，通信设备中当前正在运行的各设备的运行状态保持不变，也即无需暂停。
146.而在接收到中心控制器反馈的判定结果后，若即候选的异常外部访问设备的判定结果为正常，则可将即候选的异常外部访问设备的使用状态由禁止使用更改为允许使用。
147.若目标安全等级为低级保密等级，则保持各设备当前的运行状态，且对各候选的异常外部访问设备的使用权限进行修改。
148.而当目标安全等级为低级保密等级时，通信设备在将候选的异常外部访问设备的信息上报给中心控制器的同时，通信设备中当前正在运行的各设备的运行状态保持不变，也即无需暂停。而通信设备会对候选的异常外部访问设备的使用权限进行限定，而权限限定可以指对候选的异常外部访问设备的部分访问权限进行限定，其相比于将使用状态更改为禁止而言，还是具备一定的访问权限的。而在这种保密等级下，通信设备在接收到中心控制器反馈的判定结果后，不会对候选的异常外部访问设备做任何处理。
149.可选地，步骤s604中，根据判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态，可以包括：
150.若目标安全等级为高级保密等级，且判定结果指示候选的异常外部访问设备为正常设备，则重新启动运行各设备。
151.在高级保密等级下，当对于候选的异常外部访问设备的判定结果为正常时，则可重新启动运行各设备，例如cpu继续启动，且会将进行了异常判定的该外部访问设备放入隔离区域中并对其权限进行限定，例如将权限修改为允许使用，且将该设备写入安全设备列表中。而若判定结果为异常时，则屏蔽该异常的外部访问设备。
152.若目标安全等级为中级保密等级，且判定结果指示候选的异常外部访问设备为正常设备，则将候选的异常外部访问设备的使用状态更改为允许使用。
153.而在中级保密等级下，判定结果为设备正常时，将该设备的使用状态由禁止使用修改为允许使用，并将其写入安全设备列表中。而判定结果为异常设备时，则将该设备进行屏蔽，不允许其对通信设备进行访问。
154.而在低级保密等级下，在接收到判定结果后，若判定结果为正常设备，则不对该设备做任何处理，依然保持其当前的权限。而当判定结果为异常设备时，则对该设备进行屏蔽。
155.可选地，上述通信设备侧所执行的相关的操作结果均需回传至中心控制器进行数据备份。
156.如下通过具体的示例分别对高级保密等级、中级保密等级以及低级保密等级的安全度量方式进行说明：
157.第一：高级保密等级。通信设备启动时扫描到不存在白名单(安全设备列表)中的外设，信任区域触发异常外设上报。将不存在在白名单的外设的信息发送到cpld/bmc，再通过建立的gtp通道发送给中心控制器。此时通信设备启动进入暂停状态，需要等待中心控制器的判定结果。安全中心控制器在判断外设正常时下发解锁命令，通信设备的cpu在收到命
令后继续启动，并将该外设放入到隔离区域并对该外设进行权限限定。否则屏蔽该外设。
158.第二：中级保密等级。通信设备启动时扫描到不存在在白名单中的外设，信任区域触发异常外设上报。将不存在在白名单的外设的信息发送到cpld/bmc，再通过建立的gtp通道发送给中心控制器。此时将该外设设置为禁止使用状态，通信设备的cpu继续进行启动操作。中心控制器在判定结果为正常外设备时下发解锁命令，cpu在收到命令后继续启动，并将该外设放入到隔离区域并对该外设进行权限限定。否则屏蔽该外设。
159.第三：低级保密等级。通信设备启动时扫描到不存在在白名单中的外设，信任区域触发异常外设上报。将不存在在白名单的外设的信息发送到cpld/bmc，再通过建立的gtp通道发送给中心控制器。此时将该外设放入到隔离区域并对该外设进行权限限定，cpu继续进行启动操作。中心控制器在判定结果为正常外设时下发解锁命令，cpu不对此进行操作，否则屏蔽盖外设。
160.可选地，本实施例中在执行安全度量时可以是采用周期性度量方式也可以采用指示型度量方式，其中，指示型度量可以指由应用软件或者中心控制器主动发起的安全度量。周期性度量可以指设置计时器周期性的进行安全度量。
161.其中，不同的安全保密等级可以执行不同的度量周期，可以基于整时的方式也可以基于设备启动后上报的时间点进行周期的度量。
162.在一些实施例中，周期行度量或者指示度量的情况下，当进行安全度量时，还可进一步地判断通信设备cpu和内存的占用情况，若存在cpu和内存大量的被应用进程占用的情况下时则可启动安全度量，因此这种情况下会造成业务的中断或者业务性能的下降。故根据实际的业务负载情况进行判定是否满足度量启动条件，如：将cpu核的使用率和内存的使用率做为判定条件，在负载低于一定的情况下进行安全度量。并且设置安全度量的延迟边界(最大延迟300s)，在达到安全边界的70％时强制进行度量；度量时需要将内存中的文件复制到一个独立的内存区域进行安全度量。硬盘或者flash卡中的原始文件也采用特定区域的内存释放方式进行安全度量。
163.综上，本实施例提供的设备安全防护方法，通过建立通信设备与中心控制器之间的通信连接，通信设备可根据中心控制器下发的安全策略启动对应的安全度量，以实现在通信设备不同安全级别下执行对应的安全度量。通信设备在执行安全度量过程中，可触发将异常信息上报至中心控制器进行异常判定，并根据中心控制器反馈的异常判定结果，进行白名单信息的更新，从而根据白名单信息进行外设访问的限制，而由于白名单信息是实时更新的，从而可保证外设访问限制的准确性。并且，通信设备还可根据记录的安全标记信息对中心控制器进行授权验证，以保证中心控制器与通信设备之间的通信安全。
164.下述对用以执行本技术所提供的设备安全防护方法的装置、设备及存储介质等进行说明，其具体的实现过程以及技术效果参见上述，下述不再赘述。
165.图7为本技术实施例提供的一种设备安全防护装置的示意图，该设备安全防护装置实现的功能对应上述方法执行的步骤。该装置可以理解为上述的通信设备，或通信设备中的处理器，可选地，如图7所示，该装置可包括：接收模块710、更改模块720、读取模块730及安全度量模块740；
166.接收模块710，用于接收中心控制器发送的安全策略信息以及中心控制器对应的安全标记信息，并将中心控制器对应的安全标记信息记录至信任区域中，其中，信任区域位
于通信设备的寄存器中，安全策略信息包括：目标安全等级；
167.更改模块720，用于根据安全策略信息，将通信设备当前的安全等级更改为目标安全等级；
168.读取模块730，用于在通信设备重启时，从信任区域中读取安全设备列表，并将安全设备列表写入通信设备的保密闪存中；
169.安全度量模块740，用于根据安全标记信息确定是否启动安全度量，若是，则根据目标安全等级以及从保密闪存中读取的安全设备列表，对通信设备当前的外部访问设备进行安全度量，并根据度量结果更新信任区域中所存储的安全设备列表。
170.可选地，该装置还包括：获取模块、建立模块；
171.获取模块，用于获取中心控制器的地址信息，将中心控制器的地址信息写入信任区域中；
172.建立模块，用于根据中心控制器的地址信息与中心控制器建立连接。
173.可选地，读取模块730，具体用于
174.从信任区域中的安全设备列表中读取安全设备的标识；
175.采用预设的加密方式对各安全设备的标识进行加密，生成加密后的安全设备列表，并将加密后的安全设备列表写入通信设备的保密闪存中。
176.可选地，安全度量模块740，具体用于
177.接收中心控制器发送的安全度量启动指示，安全度量启动指示包括：待验证的私钥信息；
178.根据信任区域中记录的中心控制器对应的安全标记信息以及私钥信息，对中心控制器进行身份验证；
179.若验证通过，则确定启动安全度量。
180.可选地，安全度量模块740，具体用于
181.根据私钥信息以及预设的公钥信息，生成验证信息；
182.若验证信息与中心控制器对应的安全标记信息一致，则确定对中心控制器的身份验证通过。
183.可选地，安全度量模块740，具体用于
184.扫描当前的外部访问设备，根据从保密闪存中的安全设备列表中读取的各安全设备的标识、以及扫描到的各外部访问设备的标识，确定与安全设备的标识不一致的各外部访问设备为候选的异常外部访问设备；
185.将候选的异常外部访问设备的信息发送至中心控制器进行异常判定，并根据目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态；
186.接收中心控制器发送的判定结果，判定结果用于指示各候选的异常外部访问设备是否正常；
187.根据判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态。
188.可选地，安全度量模块740，具体用于
189.若目标安全等级为高级保密等级，则将当前正在运行的各设备的运行状态更改为
暂停状态；
190.若目标安全等级为中级保密等级，则保持各设备当前的运行状态，且将各候选的异常外部访问设备的使用状态更改为禁止状态；
191.若目标安全等级为低级保密等级，则保持各设备当前的运行状态，且对各候选的异常外部访问设备的使用权限进行修改。
192.可选地，安全度量模块740，具体用于
193.若目标安全等级为高级保密等级，且判定结果指示候选的异常外部访问设备为正常设备，则重新启动运行各设备；
194.若目标安全等级为中级保密等级，且判定结果指示候选的异常外部访问设备为正常设备，则将候选的异常外部访问设备的使用状态更改为允许使用。
195.上述装置用于执行前述实施例提供的方法，其实现原理和技术效果类似，在此不再赘述。
196.以上这些模块可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路(application specific integrated circuit，简称asic)，或，一个或多个微处理器(digital singnal processor，简称dsp)，或，一个或者多个现场可编程门阵列(field programmable gate array，简称fpga)等。再如，当以上某个模块通过处理元件调度程序代码的形式实现时，该处理元件可以是通用处理器，例如中央处理器(central processing unit，简称cpu)或其它可以调用程序代码的处理器。再如，这些模块可以集成在一起，以片上系统(system-on-a-chip，简称soc)的形式实现。
197.上述模块可以经由有线连接或无线连接彼此连接或通信。有线连接可以包括金属线缆、光缆、混合线缆等，或其任意组合。无线连接可以包括通过lan、wan、蓝牙、zigbee、或nfc等形式的连接，或其任意组合。两个或更多个模块可以组合为单个模块，并且任何一个模块可以分成两个或更多个单元。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考方法实施例中的对应过程，本技术中不再赘述。
198.图8为本技术实施例提供的一种电子设备的结构示意图，该电子设备可以为上述的通信设备。
199.该设备可包括：处理器801、存储介质802。
200.存储介质802用于存储程序，处理器801调用存储介质802存储的程序，以执行上述方法实施例。具体实现方式和技术效果类似，这里不再赘述。
201.其中，存储介质802存储有程序代码，当程序代码被处理器801执行时，使得处理器801执行本说明书上述“示例性方法”部分中描述的根据本技术各种示例性实施方式的设备安全防护方法中的各种步骤。
202.处理器801可以是通用处理器，例如中央处理器(cpu)、数字信号处理器(digital signal processor，dsp)、专用集成电路(application specific integrated circuit，asic)、现场可编程门阵列(field programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本技术实施例中公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本技术实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的
硬件及软件模块组合执行完成。
203.存储介质802作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块。存储介质可以包括至少一种类型的存储介质，例如可以包括闪存、硬盘、多媒体卡、卡型存储介质、随机访问存储介质(random access memory，ram)、静态随机访问存储介质(static random access memory，sram)、可编程只读存储介质(programmable read only memory，prom)、只读存储介质(read only memory，rom)、带电可擦除可编程只读存储介质(electrically erasable programmable read-only memory，eeprom)、磁性存储介质、磁盘、光盘等等。存储介质是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本技术实施例中的存储介质802还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。
204.可选地，本技术还提供一种程序产品，例如计算机可读存储介质，包括程序，该程序在被处理器执行时用于执行上述方法实施例。
205.在本技术所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
206.所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
207.另外，在本技术各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
208.上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(英文：processor)执行本技术各个实施例所述方法的部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储介质(英文：read-only memory，简称：rom)、随机存取存储介质(英文：random access memory，简称：ram)、磁碟或者光盘等各种可以存储程序代码的介质。

技术特征：
1.一种设备安全防护方法，其特征在于，所述方法包括：接收中心控制器发送的安全策略信息以及所述中心控制器对应的安全标记信息，并将所述中心控制器对应的安全标记信息记录至信任区域中，其中，所述信任区域位于通信设备的寄存器中，所述安全策略信息包括：目标安全等级；根据所述安全策略信息，将通信设备当前的安全等级更改为所述目标安全等级；在所述通信设备重启时，从所述信任区域中读取安全设备列表，并将所述安全设备列表写入所述通信设备的保密闪存中；根据所述安全标记信息确定是否启动安全度量，若是，则根据所述目标安全等级以及从所述保密闪存中读取的安全设备列表，对所述通信设备当前的外部访问设备进行安全度量，并根据度量结果更新所述信任区域中所存储的安全设备列表。2.根据权利要求1所述的方法，其特征在于，接收中心控制器发送的安全策略信息以及所述中心控制器对应的安全标记信息之前，包括：获取所述中心控制器的地址信息，将所述中心控制器的地址信息写入所述信任区域中；根据所述中心控制器的地址信息与所述中心控制器建立连接。3.根据权利要求1所述的方法，其特征在于，所述从所述信任区域中读取安全设备列表，并将所述安全设备列表写入所述通信设备的保密闪存中，包括：从所述信任区域中的安全设备列表中读取安全设备的标识；采用预设的加密方式对各安全设备的标识进行加密，生成加密后的安全设备列表，并将加密后的安全设备列表写入所述通信设备的保密闪存中。4.根据权利要求1所述的方法，其特征在于，所述根据所述安全标记信息确定是否启动安全度量，包括：接收所述中心控制器发送的安全度量启动指示，所述安全度量启动指示包括：待验证的私钥信息；根据所述信任区域中记录的所述中心控制器对应的安全标记信息以及所述私钥信息，对所述中心控制器进行身份验证；若验证通过，则确定启动安全度量。5.根据权利要求4所述的方法，其特征在于，所述根据所述信任区域中记录的所述中心控制器对应的安全标记信息以及所述私钥信息，对所述中心控制器进行身份验证，包括：根据所述私钥信息以及预设的公钥信息，生成验证信息；若所述验证信息与所述中心控制器对应的安全标记信息一致，则确定对所述中心控制器的身份验证通过。6.根据权利要求1所述的方法，其特征在于，所述根据所述目标安全等级以及从所述保密闪存中读取的安全设备列表，对所述通信设备当前的外部访问设备进行安全度量，包括：扫描当前的外部访问设备，根据从所述保密闪存中的安全设备列表中读取的各安全设备的标识、以及扫描到的各外部访问设备的标识，确定与所述安全设备的标识不一致的各外部访问设备为候选的异常外部访问设备；将所述候选的异常外部访问设备的信息发送至所述中心控制器进行异常判定，并根据所述目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常
外部访问设备的使用状态；接收所述中心控制器发送的判定结果，所述判定结果用于指示各候选的异常外部访问设备是否正常；根据所述判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态。7.根据权利要求6所述的方法，其特征在于，所述根据所述目标安全等级，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态，包括：若所述目标安全等级为高级保密等级，则将当前正在运行的各设备的运行状态更改为暂停状态；若所述目标安全等级为中级保密等级，则保持各设备当前的运行状态，且将各候选的异常外部访问设备的使用状态更改为禁止状态；若所述目标安全等级为低级保密等级，则保持各设备当前的运行状态，且对各候选的异常外部访问设备的使用权限进行修改。8.根据权利要求7所述的方法，其特征在于，所述根据所述判定结果，更改通信设备中当前正在运行的各设备的运行状态和/或候选的异常外部访问设备的使用状态，包括：若所述目标安全等级为高级保密等级，且所述判定结果指示候选的异常外部访问设备为正常设备，则重新启动运行各设备；若所述目标安全等级为中级保密等级，且所述判定结果指示候选的异常外部访问设备为正常设备，则将候选的异常外部访问设备的使用状态更改为允许使用。9.一种设备安全防护系统，其特征在于，包括：通信设备及中心控制器，所述通信设备与所述中心控制器通过交换机通信连接；所述通信设备包括：处理器、寄存器及保密闪存，所述寄存器中包括信任区域，所述信任区域用于存储安全设备列表以及安全标记信息；所述保密闪存用于存储加密后的安全设备列表；所述通信设备用于执行权利要求1-8任一所述的设备安全防护方法。10.一种设备安全防护装置，其特征在于，所述装置包括：接收模块、更新模块、读取模块、度量模块；所述接收模块，用于接收中心控制器发送的安全策略信息以及所述中心控制器对应的安全标记信息，并将所述中心控制器对应的安全标记信息记录至信任区域中，其中，所述信任区域位于通信设备的寄存器中，所述安全策略信息包括：目标安全等级；所述更新模块，用于根据所述安全策略信息，将通信设备当前的安全等级更改为所述目标安全等级；所述读取模块，用于在所述通信设备重启时，从所述信任区域中读取安全设备列表，并将所述安全设备列表写入所述通信设备的保密闪存中；所述度量模块，用于根据所述安全标记信息确定是否启动安全度量，若是，则根据所述目标安全等级以及从所述保密闪存中读取的安全设备列表，对所述通信设备当前的外部访问设备进行安全度量，并根据度量结果更新所述信任区域中所存储的安全设备列表。11.一种电子设备，其特征在于，包括：处理器、存储介质和总线，所述存储介质存储有所述处理器可执行的程序指令，当电子设备运行时，所述处理器与所述存储介质之间通过
总线通信，所述处理器执行所述程序指令，以实现如权利要求1至8任一所述的设备安全防护方法。12.一种计算机可读存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器运行时以实现如权利要求1至8任一所述的设备安全防护方法。

技术总结
本申请提供一种设备安全防护方法、装置、电子设备及存储介质，涉及信息安全技术领域。该方法通过建立通信设备与中心控制器之间的通信连接，通信设备可根据中心控制器下发的安全策略启动对应的安全度量，以实现在通信设备不同安全级别下执行对应的安全度量。通信设备在执行安全度量过程中，可触发将异常信息上报至中心控制器进行异常判定，并根据中心控制器反馈的异常判定结果，进行白名单信息的更新，从而根据白名单信息进行外设访问的限制，而由于白名单信息是实时更新的，从而可保证外设访问限制的准确性。并且，通信设备还可根据记录的安全标记信息对中心控制器进行授权验证，以保证中心控制器与通信设备之间的通信安全。保证中心控制器与通信设备之间的通信安全。保证中心控制器与通信设备之间的通信安全。


技术研发人员：申为科 吴刚
受保护的技术使用者：飞腾信息技术有限公司
技术研发日：2023.07.11
技术公布日：2023/9/9