(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210239891.0 (22)申请日 2022.03.12 (71)申请人 海南电网有限责任公司 地址 570100 海南省海口市海 府路32号 (72)发明人 林密　刘小敏　张焕域　李博　 蔡文斌　陈龙　张宇　张阳　 吴伟明　 (74)专利代理 机构 北京深川专利代理事务所 (普通合伙) 16058 专利代理师 李焕焕 (51)Int.Cl. H04L 9/32(2006.01) H04L 9/40(2022.01) H04Q 11/00(2006.01) (54)发明名称 一种保证光传输网管网络安全的方法 (57)摘要 本发明公开了一种保证光传输网管网络安 全的方法， 包括以下步骤： 步骤一， 部署服务； 步 骤二， 初始化设置； 步骤三， 保障登陆安全性； 步 骤四， 保障操作安全性； 所述步骤一中， 安全服务 包含鉴权微服务和用户管理微服务； 所述步骤一 中， 资源同步模块用于监听单板资源、 网元资源 的变更通知； 资源建模注册模块用于注册新的资 源模型， 被注册的资源模型所对应的资源数据在 网管数据库的资源表中可以进行保存； 采用本方 法可以有效提升光传输网管的安全性， 使其难以 被私搭非法的网管网络取代， 能有效排斥私搭 非 法的网管网络与合法网管共存， 采用本方法后， 删除大量业务等危险操作需多人许可， 能够有效 防止破坏者进行破坏 操作。 权利要求书2页 说明书5页 附图5页 CN 114629655 A 2022.06.14 CN 114629655 A 1.一种保证光传输网管网络安全的方法， 包括以下步骤： 步骤一， 部署服务； 步骤二， 初 始化设置； 步骤三， 保障登陆安全性； 步骤四， 保障操作安全性； 其特 征在于： 其中在上述步骤一中， 安装光传输 网管时， 部署安全服务、 人脸认证服务、 UKey服务、 资 源同步模块和资源建模注 册模块； 其中在上述 步骤二中， 初始化网管设置包括以下步骤： 1)系统管理员使用用户权限管理功能， 将网元物理资源划分给不同角色/用户供调控 使用； 完成划分后， 具备资源调控权限的角色/用户可使用相应资源进行端到端业务的新 建、 删除和修改， 不具备资源调控权限的角色/用户则无法使用相应资源进行端到端业务的 新建、 删除和修改； 2)用户使用网管的网元管理功能， 对光传输网元设置鉴权粒度， 属性取值为网元或端 口， 默认为网元； 3)用户在网管用户管理模块对用户管理的网元/单板 /端口进行划分管理； 4)对指定功能开启用户操作鉴权， 重要功能开启二次生物双因子鉴权； 其中在上述步骤三中， 用户登录 网管前， 由系统管理员指定用户开启人脸识别+UKey双 因子登录认证， 双因子认证根据 认证方式设置、 人脸认证服务和U Key服务运行情况， 从认证 服务中获取最终的认证方式， 双因子认证结果 为两种认证方式结果的并集结果； 其中在上述步骤四中， 用户下发操作时， 首先通过业务模块判断是否需要进行当前操 作的用户鉴权， 若需要， 则业务模块从安全服务 获取用户鉴权模式， 业务模块根据鉴权模式 调用不同的鉴权前端服务， 当前鉴权模式分为用户名/密码、 人脸+U Key两种模式， 网管比对 当前用户信息和已登录账号信息； 若比对结果不一致， 则网管驳回操作指 令； 若比对结果一 致， 则业务模块依据该项操作的类别判断是否需要二次鉴权； 若不需要二次鉴权， 则网管正 常下发操作指 令； 若需二次鉴权， 则业务模块 从安全服务 获取二次鉴权模式， 业务模块根据 二次鉴权模式， 调用不同的二次鉴权前端服务， 当前二次鉴权 分为用户名/密码、 人脸 +UKey 两种模式； 第二用户生物鉴权后， 鉴权服务将鉴权结果返回， 业务模块获取二次鉴权结果， 若鉴权通过， 则网管正常下发操作指令； 若鉴权失败， 则网管 驳回操作指令 。 2.根据权利要求1所述的一种保证光传输网管网络安全的方法， 其特征在于： 所述步骤 一中， 安全服 务包含鉴权微 服务和用户管理微 服务。 3.根据权利要求1所述的一种保证光传输网管网络安全的方法， 其特征在于： 所述步骤 一中， 资源同步模块用于监听单板 资源、 网元资源的变更通知； 资源建模注册模块用于注册 新的资源模型， 被注册的资源模型所对应的资源数据在网管数据库的资源表中可以进 行保 存。 4.根据权利要求3所述的一种保证光传输网管网络安全的方法， 其特征在于： 所述资源 同步模块在网管运行期间的监听包括以下两种： 一是对单板创建/删除/修改通知的监听： 资源同步模块 获取对应网元的鉴权粒度属性， 若鉴权粒度为空或为网元， 则丢弃该通知， 不 做任何处理； 若鉴权粒度为端口， 则三种通知的处理逻辑如下： 创建通知： 将单板数据及单 板下的端口数据同步到 资源库中， 单板/端口数据需按 父子关系体现， 即： 网元 ‑单板‑端口； 删除通知： 在资源库中同步删除对应的单板/端口数据； 修改通知： 光传输设备单板的端口 数量发生变更时， 此时同步更新资源库的端口数据； 二是对网元属性变更通知的监听： 当 网 元鉴权粒度属性发生变更， 需要同步更新资源库中该网元的单板/端口数据； 若鉴权粒度权　利　要　求　书 1/2 页 2 CN 114629655 A 2由”网元”变更为”端口”， 则须将该网元的单板/端口数据同步到资源库； 若 “鉴权粒度 ”由” 端口”变更为”网元”， 则须同步删除资源库中该网元的单板 /端口数据。 5.根据权利要求1所述的一种保证光传输网管网络安全的方法， 其特征在于： 所述步骤 二1)中， 划分的颗粒度支持整机、 板卡和端口， 其中， 板卡包括线路板卡和支路板卡， 端口包 括线路端口和支路端口； 资源划分授权实施步骤为： 新增定义单板/端口资源， 新定义两种 资源模型： 单板board， 端口port， 其中模型定义中的特定字段配置为支持网管的鉴权模块， 资源建模注册模块在启动时， 调用API注册资源模型， 当API判断系统中已存在重复模型定 义时， 不再进行注 册。 6.根据权利要求1所述的一种保证光传输网管网络安全的方法， 其特征在于： 所述步骤 三中， 用户登录网管时， 在人脸认证服务和UKey服务正常工作情况下， 网管可使用人脸识别 +UKey双因子进行登录鉴权； 仅人脸认证服务故 障情况下， 网管可使用UKey+密码进行登录 鉴权； 仅UKey服务故 障情况下， 网管可使用人脸识别+密码进行登录鉴权； 若人脸认证服务 和UKey服务均故障， 网管允许仅使用密码进行登录鉴权， 网管具有实时监测人脸认证服务 和UKey服务因故障而不可用的能力。 7.根据权利要求1所述的一种保证光传输网管网络安全的方法， 其特征在于： 所述步骤 三中， 人脸识别子流 程具体为： 1)用户照片导入认证系统:admin用户首次登录成功后， 通过网管GUI界面对网管登录 认证方式进行选择， 并且为其他用户选择用户照片进行导入， 导入的照片通过用户管理微 服务调用人脸认证服 务获取相应的信息， 并其建立用户和照片的关联关系； 2)用户进行人脸认证： 用户获取登录网管首页时， 鉴权微服务首先判断人脸认证是否 开启， 判断依据为同时满足人脸认证服务部署成功和人脸登录方式开启； 当满足人脸认证 条件后， 浏览器显示人脸认证登录页面； 用户通过摄像头进 行活体检查拍照， 然后通过浏览 器发送照 片到鉴权微服务， 鉴权微服务进 行用户认证； 其中用户认证过程为： 用户管理微服 务在接受到鉴权微服务传来人脸拍照信息后， 调用人脸认证服务进行照 片校验并返回符合 相似度指标的照片， 用户管理微服务根据返回的照片信息找到对应用户， 然后设置登录用 户信息， 此时鉴权微服务完成认证， 并且生 成Token， 认证成功； 如果用户管 理微服务无法照 片信息找到对应用户， 则返回认证失败， 并在界面上 给出失败提 示信息。 8.根据权利要求1所述的一种保证光传输网管网络安全的方法， 其特征在于： 所述步骤 三中， UKey认证子流程具体为： 用户需在登录的计算机或终端的USB口插入UKey； 在浏览器 的网管登录界面的PIN码输入框输入用户PIN码； 利用PIN码访问UKey， 校验PIN错误提示用 户后返回； 校验PIN码正确， 浏览器访问U Key获取随机数、 签名数据及用户数字证书； 浏览器 发送随机数、 签名数据及用户数字证书到安全服务， 将数字证书中的用户名跟安全服务中 的用户列 表进行对比， 用户对比过程中安全服务调用认证服务校验数字签名正确性和有效 性， 当校验通过后认证完成分配To ken。权　利　要　求　书 2/2 页 3 CN 114629655 A 3