内网安全防御系统的研究

收稿日期:2006-12-18 作者简介:李欣(1976-),女,天津人,讲师,硕士,主要研究方向:网络安全;　侯松霞(1976-),女,河南郑州人,讲师,硕士,主要研究方向:CSC W 、计算机网络.文章编号:1001-9081(2007)S1-0245-02内网安全防御系统的研究李　欣1,侯松霞2(1.天津机电职业技术学院机电系,天津300131;　2.天津交通职业学院计算机系,天津300110)(jkfed@ )摘　要:针对目前日益严重的内网安全问题,提出了一套有效、完善的内网安全防御解决方案,该方案有机结合了多种安全技术,以内网的关键资源为中心实施有效防御。

不管攻击者采用何种攻击方法,本防御系统总是能够从各角度对内网数据等关键资源起到非常有效的保护作用,可广泛应用于政府、金融、电信等各个行业和领域。

关键词:内网安全防御系统;智能安全网管;内网审计;内网监控中图分类号:TP309.2 文献标识码:A0　引言随着计算机网络技术、I nternet 、I ntranet 和数字通信技术飞速发展,大量的数据和信息机密存储在计算机网络中,对网络安全性要求变得越来越高,需要有效地制定安全策略以保护机密数据信息。

通常的安全策略的一个基本假设是:网络的一边即外部的所有人是不可信任的,另一边即内部的所有人是可信任的。

通常认为黑客、病毒以及各种蠕虫的攻击大都来自外部的侵袭。

但是,根据有关的统计,各种计算机网络、存储数据遭受的攻击和破坏,80%是内部人员所为。

来自内部的数据失窃和破坏,远远高于外部黑客的攻击,包括防火墙在内的一系列的措施在对付网络安全的主要威胁时束手无策。

内部网络上大多数的应用,对于用户来说是至关重要的,甚至是严格保密的。

一旦出现涉密、破坏的事件,将产生严重后果。

这些都使得内网安全问题变得越来越重要和突出。

为防范风险,必须建立可靠的内网安全防御系统,以保证内网安全。

1　内网安全问题分析1)局域网速度快,信息容易快速被窃取,监控时机转瞬即失。

2)局域网接入容易,通常只要选用通用的信息设备[1]即可连入网络。

3)一般局域网接入身份验证措施简单。

4)绝大多数局域网上的信息都未被加密,采用明文传输。

5)内网的用户往往有权直接对数据库、服务器进行操作,有对关键数据进行误操作、有意窃取或者破坏的机会。

6)计算机系统外部设备的使用不当会造成泄密。

7)许多内网用户对口令不重视,采用弱口令,使得内网中黑客的口令破解程序更易奏效。

8)内网多采用基于Client/Server 方式,客户端直接对服务器操作,信息数据在内网上传输非常不安全。

另一方面,内部网络的数据管理本身通常不是很严谨。

核心的机密数据一般只是采用了简单的授权口令保护,产品研发过程中的各种核心技术资料和工作资料就更没有任何的保护措施,至少对整个开发组而言,全部的开发成果和数据都是透明的和共享的,对于防误操作、防失窃和防破坏的保护几乎没有采取任何措施。

这样就使得在内网中非法取得授权和获得资料变得非常的容易。

没有内部网络安全管理的信息系统,使得任何人都可能有意或无意造成安全隐患、导致灾难。

2　内网安全防御系统设计思想传统的防御措施都是强调如何防范来自网络外界的攻击和破坏行为,但对于来自网络内部的攻击却无能为力,内网安全防御系统强调对于涉密信息、重要业务数据、技术专利等敏感信息全面实施安全保护,阻止受保护的敏感信息被非法或违规的外传、破坏和拷贝,同时保证系统和网络的稳定运营。

运用多种技术手段,采用主动的安全管理和安全控制[5]的方式,将内部网络的安全隐患以技术的手段进行有效的控制,全面保护网络、系统、应用和数据。

通过对每一个网络用户行为的监视和记录,将网络的安全隐患可视化,提供实时监控,并形成完整的日志,为审计提供依据,从而大大提高内部专用网络的安全性,真正保障每一个网络用户都在授权的范围内合法地使用网络和数据。

3　内网安全防御系统体系结构内网安全防御系统着重于内网的安全管理、审计和监控,以保证内网的安全运行,以防内网泄密为目标。

它以软件的形式来实现并安装于被保护的主机和服务器上,其体系结构如图1所示。

图1　内网安全防御系统体系结构在图中主要包括智能安全网管模块、内网审计模块、内网第27卷2007年6月计算机应用Computer App licati onsVol .27June 2007监控模块等组件,各模块功能和作用如下:1)智能安全网管模块智能安全网管模块提供强大的内网网络管理和维护功能,是系统管理员理想的安全故障管理平台。

智能安全网管模块功能:自动搜索内网中所有网络设备(包括三层和二层设备);识别网络中所有计算机的I P地址、MAC地址、主机名称等基本设备信息;提供未知(未登记)I P 地址、MAC地址列表,自动发现有未知受控终端接入的交换机端口,方便系统管理员发现非法入侵者[2];动态显示受控终端的当前状态,对各种不正常状态(如I P和MAC地址随意更改、关机、受控终端Ping不通、未知设备接入等)均提供声音报警和屏幕显示报警;可以根据交换机端口连接的工位对计算机进行管理,方便网络管理员迅速定位出现故障的计算机连接的交换机端口。

2)内网审计模块内网审计模块是一种基于信息流的数据采集、分析、识别和资源审计的系统。

通过实时审计网络数据流,根据用户设定的安全控制策略,对受控对象的活动进行审计。

采用基于主机和基于网络相结合的控制机制和技术手段,可以多层次、多手段地实现对网络的控制管理。

通过集中管理、自我防护机制,全面体现了管理层对内网关键资源的全局控制、把握和调度能力,为网络管理人员提供了一种审计、检查当前系统运行状态的有效手段。

对受控终端进行审计是通过规则进行的。

审计规则设置的是对服务器规则控制下的行为的记录和统计。

在服务器设置相应的审计规则后,如果客户端所在的设备有符合规则的行为发生,则在服务器的日志中会有相应记录。

可以根据需要配置受控终端的文件操作、进程、网络访问等事件的规则。

系统根据规则自动记录安全审计日志并存入系统日志信息库,这些信息是事后了解和判断网络安全事故的宝贵资料。

内网审计模块功能:负责采集受控终端的软、硬件配置信息,当受控终端的软件、硬件配置发生变动时能自动向安全管理核心平台发出报警信息;能够对用户在受控终端上进行的文件、网络操作进行审计,控制用户对各种外设的操作,当发生非法操作时,能够及时发出报警信息。

3)内网监控模块对受控终端进行监控是通过监控规则进行的。

负责集中配置监控规则,下发到受控节点。

可以根据需要设置规则,系统根据规则自动阻止非法操作,并且向控制台发出报警信息。

内网监控模块功能:负责对受控终端进行屏幕监视或控制(接管受控终端鼠标);允许或阻断用户对受控终端的各种输出设备进行访问,包括US B可移动存储设备、打印机、DVD/C D-ROM、软盘、磁带机、PC MC I A设备、COM/LPT端口、1394设备、红外设备等;对受控终端进行I P地址和MAC 地址的绑定,防止用户随意更改网络配置;对受控终端上运行的进程进行控制,允许或禁止某些进程的启动;对网络访问进行控制,允许或阻断对某些网络地址的访问;允许或阻断用户通过拨号访问I nternet;允许或阻断用户对打印机进行访问。

4　相关技术4.1　主动防御技术目前主动防御技术[3]有两种。

一种是陷阱技术,它包括蜜罐技术(Honeypot)和蜜网技术(Honeynet)。

蜜罐技术是设置一个包含漏洞的诱骗系统,通过模拟一个或多个易受攻击的主机,给攻击者提供一个容易攻击的目标。

蜜罐的作用是为外界提供虚假的服务,拖延攻击者对真正目标的攻击,让攻击者在蜜罐上浪费时间。

蜜网技术是最为著名的公开蜜罐项目,它是一个专门设计来让人“攻陷”的网络,主要用来分析入侵者的一切信息、使用的工具、策略及目的等。

另一种技术是取证技术[6],它包括静态取证技术和动态取证技术。

静态取证技术是在已经遭受入侵的情况下,运用各种技术手段进行分析取证工作。

现在普遍采用的正是这种静态取证方法,在入侵后对数据进行确认、提取、分析,抽取出有效证据,基于此思想的工具有数据克隆工具、数据分析工具和数据恢复工具。

动态取证技术是计算机取证的发展趋势,它是在受保护的计算机上事先安装上代理,当攻击者入侵时,对系统的操作及文件的修改、删除、复制、传送等行为,系统和代理会产生相应的日志文件加以记录。

本系统将重点放在主动地控制风险而不是被动地响应事件上,提高整个信息安全系统的有效性和可管理性。

以主动的安全管理和安全控制的方式,将内部网络的安全隐患以技术的手段进行有效的控制,全面保护网络、系统、应用和数据。

通过对每一个网络用户行为的监视和记录,将网络的安全隐患可视化,提供实时监控,并形成完整的日志,为审计提供依据,从而大大提高内部专用网络的安全性,真正保障每一个网络用户都在授权的范围内合法地使用网络和数据。

4.2　先进的网络安全理论模型本系统在国际网络安全理论模型P2DR[4](安全策略、防护、检测、响应)基础上,采用系统工程学方法[7],把网络安全整体解决方案实施体系视为一个系统工程,形成特有的网络安全理论模型。

该理论既提供了对内网系统和网络的基本管理,也提供了对内网安全的监控和审计管理。

P2DR模型最早是由I SS公司提出的动态安全模型的代表性模型,它主要包含4个部分:安全策略(Policy)、防护(Pr otecti on)、检测(Detecti on)和响应(Res ponse)[8]。

模型体系框架如图2所示。

图2　P2DR模型体系框架在P2DR模型中,策略是模型的核心,它意味着网络安全需要达到的目标,是针对网络的实际情况,在网络管理的整个过程中具体对各种网络安全措施进行取舍,是在一定条件下对成本和效率的平衡。

防护通常采用传统的静态安全技术及方法来实现,主要有防火墙、加密和认证等方法。

检测是动态响应的依据,通过不断的检测和监控,发现新的威胁和弱点。

响应是在安全系统中解决安全潜在性的最有效的方法,它在安全系统中占有最重要的地位。

(下转第249页)　642 计算机应用2007年//将处理后的六元组写入MAC帧Ret=write_MAC_frame(othernet,mac_fra me1,data_packet_len, pOut_packet);//packet_p rint((u_char3)mac_fra me1,data_packet_len);}//获取MAC帧长度memcpy(&i p_t otal_len,mac_fra me1+16,sizeof(unsigned short));i p_t otal_len=nt ohs(i p_t otal_len);i p_t otal_len=i p_t otal_len+14;//发送MAC包Ret=cap_b.SendDataToNet w ork((char3)mac_fra me1,i p_t otal_ len,"eth1");4　程序运行结果及分析图1　UDP数据包的接收图在内网节点计算机上运行UDP数据包发送程序,仅在符合单向数据传输的包过滤策略时,外网节点计算机上的sniffer p r o才可以抓到内网节点发过来的UDP数据包。