当前位置:首页 > 商业/管理/HR > 项目/工程管理 > 基于关键资源的主动防御体系的研究
基于关键资源的主动防御体系的研究溪利亚1张志忠2(1.华中科技大学武昌分校计算机与电子系,湖北武汉430064;2.汉口银行信息科技部,湖北武汉430015)[摘要]文章将关键资源和主动防御的思想引入到安全系统的设计中,提出了基于关键资源的主动防御体系实体(即APSKR实体)和APSKR引擎的概念,设计了一个基于关键资源的主动防御体系安全模型,并对安全总控中心进行了详细设计。[关键字]关键资源;主动防御;安全;APSKR[中图分类号]TP393[文献标识码]AResearchofActivePreventionSystembasedonKeyResourcesLiyaXi1ZhizhongZhang2(1.Dept.ofComputer&Electronic,HuazhongUniversityofTechnologyWuchangBranch,Wuhan430064,Hubei;2.Information&TechnologyDivision,HankouBank,Wuhan430015,Hubei)Abstract:Thearticleintroduceskeyresourcesandtheideaofactivepreventintothedesignofsecuritysystem,proposestheconceptsofactivepreventsystementity(APSKREntity)whichbasesonkeyresourcesandAPSKRengine,designsasecuritymodelofactivepreventsystembasedonkeyresourcesandhasadetaileddesignofSecurityCommandCentral.Keywords:keyresources;activeprevent;security;APSKR0.引言随着广大网络用户的日渐成熟和网络安全技术的不断发展,用户越来越意识到网络安全的重要性。为了防范网络攻击,很多用户都已经安装了防病毒、防火墙甚至入侵检测系统,然而,这层层防范却无法阻止入侵者的步伐,网络攻击事件层出不穷。网络用户面临的普遍问题就是,巨大的安全保障投资得不到有效的回报。分析目前广大用户普遍采用的安全防护措施(如:防火墙、入侵检测系统等),我们了解到大多安全防护措施都是在外围进行防范,运用预先设定好的策略对网络安全进行保护,实施的是被动防护,只能对已有的安全攻击进行防御。在网络安全技术不断发展的今天,网络攻击也呈现出新的特征,新出现的、未知的攻击不断侵袭着原本已经不平静的网络,“瞬时攻击(Zero-dayAttack)”这样具有动态攻击特征的攻击,正是我们安全问题的根源。我们把目光直接瞄准寻找潜在的、新的攻击,找出延迟其破坏的方法,在类似“瞬时攻击(Zero-dayAttack)”所引起的潜在威胁和破坏时,占据主动,从而有效地保障系统的安全,主动地对系统资源进行防护[1]。考察目前所有网络攻击,可以发现其攻击的最终目的都是对系统关键资源的获取或破坏[1]。一个有效的安全解决方案应该首先满足对关键资源实现重点保护的需要。而需要提供安全保护的最关键的系统资源实际上就是驻留在主机和服务器上的敏感数据、关键文件、关键设备和关键进程等。鉴于此,我们的主动防御是建立在关键资源的基础之上的。1.基于关键资源的主动防御体系任何一种单一的安全技术都不足以保障一个系统的安全。要在最大程度上保护系统,就需要多种安---------------------------------作者简介:溪利亚(1974-),性别(女),湖北武汉人,讲师,工学硕士,主要研究领域为网络安全,lucy_xz@163.com;张志忠(1974-),男,工学硕士,网络工程师,主要研究领域为网络安全、软件工程。2全成员相互协作,共同作用。我们将被动型安全工具、主动型安全防护措施以及基于关键资源的主机防护等,进行统一的安全规划,构建一个基于关键资源的主动防御体系。体系中,利用主动型安全措施,对入侵企图进行取证,生成安全事件,最终在边界安全网关(防火墙)的作用下,在网络安全域边界阻断攻击源,从而达到对未知攻击方式的成功防范。基于关键资源的主动防御体系是一个完整的安全体系。它主要运用了主机安全技术、身份认证技术、访问控制技术和安全管理技术等。其整体结构如图1所示。安全策略安全策略安全策略安全事件安全事件安全事件安全事件安全总控中心NIDS网络陷阱安全扫描主机防护系统包过滤防火墙1包过滤防火墙n告警设备...安全审计安全事件安全日志安全日志图1基于关键资源的主动防御体系安全总控中心作为所有安全处理单元之间的连接桥梁,在主动防御体系中起到了指挥、协调的作用。安全总控中心左边的安全处理单元,包括入侵检测、网络陷阱、安全扫描和基于关键资源的主机防护系统等,是系统的监控和防护实体,主要用来监视系统网络目前所处安全状态和防范各种未知攻击。位于安全总控中心右边的安全处理单元是系统的执行实体,用来执行网络安全策略,阻断已知的攻击,如:简单的包过滤防火墙或者是向系统安全管理者发送安全警报的告警设备。在一个主动防御体系中,这些安全处理单元并不一定要全部具备,可以根据实际的需要来选择。安全总控中心是整个安全模型的核心,实现集中的安全管理。当它接收到来自安全处理单元(如入侵检测、基于关键资源的主机主动防护等)发送来的安全事件时,就将这些事件与预先定义好的安全策略进行匹配。如果匹配成功,安全总控中心就按照匹配的安全策略启动相应的安全措施。在整个安全模型中,安全审计系统作为一个独立的软件进行设计,它与其它的安全处理单元(如:防火墙、入侵检测系统、漏洞扫描系统等)互相协调、补充,保障网络的整体安全,是安全体系中一个重要部分。安全审计主要涉及各安全处理单元日志的收集,根据安全策略进行基于时间和空间的综合分析,并将得到的结果以安全事件的形式发送给安全总控中心。在基于关键资源的主动防御体系中,有多种网络安全处理单元。这些安全处理单元的配置信息、安全策略以及所管理和维护的安全事件、日志各不相同。为了对这些信息进行统一、标准地管理和维护,我们采用类似简单网络管理协议中管理信息库(MIB:ManagementInfomationBase)的形式对所设计到的信息进行统一、标准化地组织,以实现系统管理的灵活性和可扩展性。同时,为了保障这些安全处理单元之间传递的管理控制信息的安全,我们运用了通信实体之间的身份认证和交换信息的机密性和完整性等安全技术。身份认证方法主要有:基于共享密钥的简单三次握手(如:Chap协议)、基于可信第三方的认证(如:Kerberos协议)和基于公钥体制的认证(如:RSA),这里我们选择基于共享密钥的简单三次握手。3机密性主要是使用共享密钥的对称加密和采用公钥密码体制的非对称加密[2-3]。完整性主要是使用[4]:①基于RSA的数字签名:m+E(m,Private);②加密的MD5:m+MD5(m+k)或m+MD5(m+k)+E(k,Private);③具有RSA数字签名的MD5:m+E(MD5(m),Private)。其中:m表示消息;Private表示私钥;k表示共享密钥;E(m,Private)表示用私钥对消息进行加密;MD5(m+k)表示对消息和共享密钥用MD5算法生成消息摘要码。2.基于关键资源的主动防御体系的实现基于关键资源的主动防御系统主要包括:基于关键资源的主机主动防护HAP(Host’sActivePrevention)、分布在各安全域边界的简单包过滤防火墙、集中的安全总控中心SCC(SecurityCommandCentral)等安全处理和协作单元。2.1APSKR实体本着简单、安全、高效和管理方便的原则,我们抽象各安全处理单元,比照SNMPv3协议,设计了一个基于关键资源的主动防御体系实体(即APSKR:ActivePreventionSystembasedonKeyResources实体),其结构如图2所示。APSKR实体由APSKR引擎和基于其上的应用程序组成。APSKR引擎是安全实体的基础,其中的报文处理子系统负责实现安全实体之间信息交换的一致性;安全子系统负责安全实体间的通信安全;访问控制子系统实现实体间的访问控制。图2APSKR实体我们将FirewallAPSKR实体、HAPAPSKR实体和SCCAPSKR实体进行统一地安全规划和组织,构建了一个基于关键资源的主动防御系统,如图3所示。简单的包过滤防火墙FirewallAPSKR实体FirewallMIB基于关键资源的主机主动防御HAPAPSKR实体HAPMIB安全总控中心安全策略库初始配置库安全日志库安全连接初始配置管理安全事件安全连接初始配置管理安全策略SCCAPSKR实体图3基于关键资源的主动防御系统具体实现在整个系统中,安全总控中心维护安全策略库、配置库和安全日志库,负责与基于关键资源的主机主动防护、简单包过滤防火墙之间的认证、安全连接的建立、初始配置;负责对HAP和包过滤防火墙的管理;负责接收来自HAP的安全事件,根据安全策略库生成安全策略,并将安全策略发送给包过滤防火APSKR实体APSKR引擎报文处理子系统安全子系统访问控制子系统应用程序命令/策略生成器命令/策略响应器安全事件发送器安全事件接收器初始配置其他4墙。安全总控中心集中化的设计,简便、一致、可视、全面的安全事件管理功能,有效地降低了系统操作难度和管理成本,为构建完善的安全管理体系提供了有力的保障。在该系统中,分布在各安全域边界的包过滤防火墙,按照事先初始化设置好的安全策略,对流经的网络数据流进行过滤。HAP则对主机上的关键资源进行防护,实时检测和扫描与安全策略相悖的安全违规行为。当HAP发现一个安全违规行为时,就终止与该行为相关的进程;同时,位于HAP中的安全事件发生器将产生一个包含该行为具体信息的安全事件,并将这个事件发送给SCC。SCC接收到安全事件后,其策略生成器就对安全事件进行匹配。如果匹配成功,SCC就生成相应的安全策略,并将安全策略发送给包过滤防火墙,从而阻断新的、瞬时的攻击;如果匹配不成功,则向安全告警设备发送警报,提示安全管理人员的应急处理,及时保障系统的安全。2.2SCC的实施安全总控中心由以下几部分组成:APSKR引擎、安全事件接收器、安全事件处理、命令/策略生成器和初始配置。系统实时地对网络安全事件的处理如图4所示。基于关键资源的主机主动防御安全总控中心APSKR引擎安全策略生成器安全事件处理安全事件接收器安全策略库APSKR引擎安全事件发送器安全事件生成器安全事件包过滤防火墙APSKR引擎安全策略接收器安全策略执行器安全策略图4网络安全事件的处理安全总控中心对APSKR实体的初始配置和统一管理的处理如图5所示。基于关键资源的主机主动防御安全总控中心APSKR引擎配置/命令生成器配置/命令发送器初始配置库APSKR引擎配置/命令接收器配置/命令执行器配置/命令包过滤防火墙APSKR引擎配置/命令接收器配置/命令执行器配置/命令图5初始配置和统一管理的处理SCC对安全事件的处理流程,如图6所示。在整个处理过程中,SCC的安全事件接收器在事先设定的端口监听来自HAP的安全事件。当接收到一个告警事件时,SCC立即启动一个新的线程来处理这个事件;随后恢复到监听状态,以便接收下一个安全事件。新启动的处理线程,首先从安全事件中提取事件摘要(如:事件发生时间、源地址、目的地址、攻击类型等),将摘要写入安全日志库;接下来,策略生成器按照安全事件摘要中的攻击类型,与所有安全策略库中的同类型策略相匹配,以确定该触发何种安全行为。若发现与之匹配的安全策略,就读取该策略中定义的安全行为。这里的安全行为,对于防火5墙来说,通常是一条包括源地址、目的地址以及端口号的安全规则。安全总控中心就将该安全行为发送给目的防火墙,及时更新防火墙的安全规则,在网络安全域边界阻断网络攻击源。若匹配不成功,就将该安全事件通过远程过程调用(RPC:Rem
本文标题:基于关键资源的主动防御体系的研究
链接地址:https://www.777doc.com/doc-2573563 .html