【文章內(nèi)容簡介】 圖23 網(wǎng)絡安全組成的元素 圖24 網(wǎng)絡信息安全模型 （1）傳遞信息（或消息）需要加密操作，這個操作有兩個主要的方法，保證理論不能破壞，計算不可行，有很多經(jīng)典的加密算法可以使用，數(shù)據(jù)到達接收通常使用對稱密鑰加密和公鑰加密來執(zhí)行解密操作。 （2）消息傳輸通道是網(wǎng)絡信息安全的重要因素，考慮傳輸路徑本身的安全問題，還要考慮第三方攻擊，整個通信鏈路數(shù)據(jù)傳輸安全可靠。 （3）實際的加密技術有很多方法，如數(shù)字簽名、報文摘要、數(shù)字認證、證書頒發(fā)等，有些也需要信任第三方參與。 本章小結(jié) 本章主要介紹了本文的基本概念及相關的關鍵技術，如系統(tǒng)信息采集、用戶行為獲取、網(wǎng)絡數(shù)據(jù)采集和系統(tǒng)開發(fā)、使用環(huán)境的介紹、網(wǎng)絡安全模型等。第3章 系統(tǒng)需求及算法分析為防止用戶在內(nèi)部網(wǎng)絡環(huán)境中非法使用計算機系統(tǒng)，根據(jù)有關部門的要求制定嚴格的管理制度，以防止用戶對內(nèi)部網(wǎng)絡環(huán)境的非法使用，根據(jù)有關部門的要求制定嚴格的管理制度，但在執(zhí)行過程中多次發(fā)現(xiàn)非法復制文件和安裝非法軟件行為。因此，我們需要采取適當?shù)募夹g措施，確保管理體系的實施。在研究過程中發(fā)現(xiàn)有很多類似的商業(yè)軟件，但這些商業(yè)軟件的功能比較復雜，而且實際需要的單位是不同的，所以最終確定了一個小內(nèi)部網(wǎng)絡監(jiān)控系統(tǒng)，以滿足需求。具體應用環(huán)境如下，需要監(jiān)控一個小型內(nèi)部辦公網(wǎng)絡的網(wǎng)絡環(huán)境，主機數(shù)量約為50個，使用WINDOWS操作系統(tǒng)，使用交換機進行網(wǎng)絡連接，屬于同一C網(wǎng)網(wǎng)段，網(wǎng)絡和業(yè)務內(nèi)部網(wǎng)絡是物理隔離的，主機可以通過路由器訪問外部網(wǎng)絡，主要用于企業(yè)日常工作的學習環(huán)境，不允許在網(wǎng)絡主機上使用其他相關用途。網(wǎng)絡拓撲如圖31所示。 圖31 系統(tǒng)應用網(wǎng)絡環(huán)境該系統(tǒng)的功能主要是通過訪問控制、實時監(jiān)控和事件審計等技術手段，對被控主機和系統(tǒng)的運行狀態(tài)進行有效的監(jiān)控，并記錄用戶未經(jīng)授權的訪問行為，作為 安全審計憑證。 對于用戶的網(wǎng)絡訪問等活動也可以用來防止網(wǎng)絡連接實現(xiàn)安全管理的方法[42]。系統(tǒng)的控制主機對用戶透明，所以用戶具有系統(tǒng)安全管理員的主要功能，包括用戶身份管理、實時監(jiān)控、軟件對象管理、硬件對象管理、網(wǎng)絡對象管理、文件對象管理。 系統(tǒng)的整體工作如圖32所示。 用戶是網(wǎng)絡安全檢測系統(tǒng)管理領域的所有認證用戶的身份，系統(tǒng)中管理員的身份管理。 用戶身份管理功能包括創(chuàng)建、修改、刪除用于安全檢測系統(tǒng)的服務器管理員，以及創(chuàng)建、修改和刪除主機的主體信息、角色信息和角色管理策略。管理員級別分為一級管理員和二級管理員，一級管理員可以查看和操作任何信息，二級管理員只能查看信息，無法發(fā)送策略信息[43]。 用戶身份管理功能的用例如圖33所示。 實時監(jiān)控實時監(jiān)控，包括桌面快照、進程快照、遠程目錄查看功能，主要是指在線控制機器運行實時監(jiān)控管理領域。 桌面快照，管理員可以實時捕獲用戶的桌面或按照策略定期抓取用戶的桌面存檔。 進程快照是指管理員可以查看實時的用戶系統(tǒng)進程列表。 遠程目錄視圖是管理員可以查看用戶文件信息的目錄信息。 實時監(jiān)控功能如圖34所示。 軟件對象管理軟件對象管理是管理控制區(qū)域網(wǎng)絡中所有受控軟件對象，包括開發(fā)軟件黑名單，軟件操作控制，即軟件黑名單不能在主機上運行。 使用軟件對象管理功能如圖35所示。 硬件對象管理硬件對象管理是對受控局域網(wǎng)中所有受控硬件對象的管理，包括硬件清單的生成，硬件報警的非法更改以及狀態(tài)管理的使用[44]。 硬件對象管理功能，如圖36所示。 網(wǎng)絡對象管理網(wǎng)絡對象是控制區(qū)域網(wǎng)絡中所有受控網(wǎng)絡行為的管理，包括設置網(wǎng)站的黑名單和白名單，以及對控制機的流量進行審計和控制。 網(wǎng)絡對象的管理功能如圖37所示。 文件對象管理文件控制管理是對LAN上所有機器對象文件的管理，包括審核文件的操作，用戶記錄文件系統(tǒng)訪問行為，如打開、修改、復制文件和用戶控制文件操作。 文件對象管理功能如圖38所示。 系統(tǒng)安全需求1．用戶安全 用戶的安全主要包括管理員的安全和用戶的安全。 （1）管理員具有系統(tǒng)的最高權限，所以責任是最大的。 管理者必須具有良好的素質(zhì)和知識素養(yǎng)，熟練掌握網(wǎng)絡安全知識，企業(yè)有較強的忠誠度，掌握專業(yè)的管理技能。 （2）嚴格限制管理員的用戶級操作，應在企業(yè)網(wǎng)絡系統(tǒng)安全計劃中設置和調(diào)整審計信息等初步操作。 （3）用戶安全層必須在授予管理員權限的前提下使用企業(yè)網(wǎng)絡資源，使用其資源，禁止使用系統(tǒng)資源，禁止超出授權的系統(tǒng)運行，禁止披露重要信息和系統(tǒng) 登錄密碼。 2．基礎設施安全 （1）硬件設施的安全，包括物理環(huán)境安全，硬件設備、物理、機械安全。 （2）軟件設備的安全性，包括系統(tǒng)安全、網(wǎng)絡通信安全、軟件應用平臺安全、安全管理軟件安全。3．網(wǎng)絡結(jié)構(gòu)安全 （1）包括局域網(wǎng)和廣域網(wǎng)之間的隔離和控制，如包過濾、子網(wǎng)防火墻阻塞、網(wǎng)絡地址變化等。 （2）局域網(wǎng)內(nèi)的子網(wǎng)安全，包括信息敏感子區(qū)域信息資源子網(wǎng)，敏感信息子網(wǎng)和非敏感信息子網(wǎng)的隔離，子網(wǎng)信息和公共信息網(wǎng)絡隔離的內(nèi)部使用，局域網(wǎng)和互聯(lián)網(wǎng)隔離。 （3）未授權或未經(jīng)授權使用撥號上網(wǎng)方式繞過安全系統(tǒng)。4． 傳輸安全 除了外部公眾提供的信息外，在LAN中傳輸?shù)臄?shù)據(jù)也需要加密。 LAN用戶之間的信息傳輸，也是使用認證措施，特別是機密信息也需要加密和保護。 （1）網(wǎng)絡邊界隔離和訪問控制因為系統(tǒng)比較特殊，是網(wǎng)絡隔離邊界的最重要特征，需要仔細考慮。因此，我們需要使用幀中繼網(wǎng)絡和訪問控制措施。企業(yè)內(nèi)各部門之間必須有網(wǎng)絡接入。我們必須確保合法用戶同時訪問系統(tǒng)，并且未經(jīng)授權的用戶（包括任何企業(yè)和其他企業(yè)的非授權用戶的網(wǎng)絡訪問請求無法訪問系統(tǒng)），系統(tǒng)網(wǎng)絡傳輸平臺單元使用幀中繼網(wǎng)絡，不可控制的因素依然存在（幀中繼網(wǎng)絡終端網(wǎng)絡設備安全等）因此，我們必須強調(diào)網(wǎng)絡安全隔離和控制單元和幀中繼網(wǎng)絡[45]，對于企業(yè)網(wǎng)絡，由于企業(yè)的性質(zhì)和網(wǎng)絡系統(tǒng)的工作水平必須包含有許多重要機密信息。因此，企業(yè)網(wǎng)絡應分為不同的子網(wǎng)，高安全網(wǎng)絡的子網(wǎng)和不可信網(wǎng)絡安全分類，推薦安全隔離和訪問控制網(wǎng)絡安全隔離設備，以確保未經(jīng)授權的用戶訪問授權用戶。（2）企業(yè)傳輸數(shù)據(jù)安全企業(yè)在網(wǎng)絡系統(tǒng)中，由于不同的權限，內(nèi)部信息的性質(zhì)不同，不能讓非法用戶訪問，有必要采取適當?shù)拇胧﹣肀ＷC網(wǎng)絡系統(tǒng)的安全性要求。 特別是企業(yè)網(wǎng)絡系統(tǒng)，由于其性質(zhì)和工作水平，不可避免地包含了大量的私人信息。 因此，內(nèi)部網(wǎng)絡可以分為多個不同的子網(wǎng)，可以根據(jù)具體情況分開，將包含機密信息網(wǎng)絡和不包含機密信息網(wǎng)絡進行區(qū)分。 保密要求特別高的信息需要獨立存儲，而不是連接到共享網(wǎng)絡。 系統(tǒng)性能需求1．性能需求安全檢測系統(tǒng)的性能要求包括：采用獨立數(shù)據(jù)庫的集中數(shù)據(jù)管理，充分利用系統(tǒng)資源，可支持50100臺主機實時監(jiān)控，遠程監(jiān)控功能響應時間少于1秒。 2．高效、功能實用界面簡單，使用人員“一目了然”，短時間內(nèi)可以起到企業(yè)網(wǎng)絡安全管理系統(tǒng)的作用，系統(tǒng)在服務器中提供了友好的圖形用戶界面，要求用戶操作簡單方便 ，操作清楚。 系統(tǒng)還特別設計了用戶信息功能，為了更好的增加用戶和系統(tǒng)管理員之間的通信，對系統(tǒng)功能進行更好的維護、改進和完善，使企業(yè)網(wǎng)絡安全系統(tǒng)逐步完善。3． 可擴展性本文針對企業(yè)網(wǎng)絡安全管理體系的設計，因此，我們必須有很好的處理這個問題的能力。 增加網(wǎng)絡訪問次數(shù)。 這就要求數(shù)據(jù)庫系統(tǒng)的改進和數(shù)據(jù)庫系統(tǒng)的擴展，提出了更高、更新的要求。4．維護性 系統(tǒng)維護是系統(tǒng)正常運行的先決條件。 更新和備份數(shù)據(jù)庫，也是保證系統(tǒng)安全運行的重要保證。5．接口要求 （1）：軟件界面：使用Micrisoft SQL Server數(shù)據(jù)庫企業(yè)版[46]，支持Windows XP微軟系列操作系統(tǒng)；（2） 通訊接口；系統(tǒng)實時監(jiān)控部分使用UDP協(xié)議，數(shù)據(jù)庫連接采用ADO方式。 模式匹配算法在本文中，實施入侵檢測系統(tǒng)，采用模式匹配算法作為網(wǎng)絡入侵檢測系統(tǒng)的檢測引擎核心。 然后，模式匹配算法的性能直接影響了網(wǎng)絡入侵檢測系統(tǒng)的檢測效率。 特別是在高速網(wǎng)絡中，如果模式匹配算法不能及時處理數(shù)據(jù)的實時數(shù)據(jù)包，會導致丟棄一些數(shù)據(jù)包，如果這些數(shù)據(jù)包包含入侵信息網(wǎng)絡，會導致網(wǎng)絡入侵 檢測系統(tǒng)缺失。 因此，模式匹配算法非常重要。 在本文中，我們使用多模式匹配算法。 WM多模式匹配算法由Sun Wu和Udi Manber于1994年提出，該方法工藝簡單、效率高。WM算法首先預處理模式字符串。 預處理階段創(chuàng)建三個表：SHIFT表、HASH表和PREFIX表。 SHIFT表用于在掃描文本字符串時根據(jù)讀取的字符串確定可跳過的字符數(shù)。 HASH表用于存儲多個模式字符塊的HASH值。 PREFIX表用于存儲第一個字符串和第一個字符哈希值。 WM算法的主要過程匹配：每個掃描B字符：。 （1）掃描文本的末B位通過hash function函數(shù)計算其哈希值h。 （2）檢查SHIFT表，如果SHIFT [h] 0，文本指針向右SHIFT [h]位，執(zhí)行（1），SHIFT [3] = 0執(zhí)行（3）。 （3）計算前一個m位的當前位置和前一個m1前綴的哈希值，記錄為text_prefix。 （4）對于每個p（HASH [h] pHASH [h + 1]），看是否PREFIX [p] = text_prefix。 如果它們相等，則讓真實模式字符串按照字符進行匹配。WM算法的總時間復雜度為O(M)+O(BN/m)=O(mp)+O(BN/m)。 WM算法平均時間復雜度O(BN/m)，其中B是塊字符的長度，N是文本的長度，m是模式字符串的最短長度。 O(M）是計算哈希值所需的時間，O（mp）是所有非零移動所需的時間。 本章小結(jié) 本章對網(wǎng)絡安全檢測系統(tǒng)的需求背景進行了簡要介紹，分析了系統(tǒng)的整體功能，對子功能進行了用例描述，最后描述了系統(tǒng)的性能、易用性、接口等非功能性的要求，并對本文采用的模式匹配算法進行了說明。第4章 企業(yè)計算機網(wǎng)絡安全系統(tǒng)的設計 系統(tǒng)整體拓撲結(jié)構(gòu)C / S模式是一種兩層結(jié)構(gòu)的系統(tǒng)：第一層是在客戶端系統(tǒng)中，結(jié)合業(yè)務邏輯，第二層是網(wǎng)絡與數(shù)據(jù)庫服務器。 該模型主要包括客戶應用、服務器管理和中間件三部分。 首先，互動是固有的優(yōu)勢。 在C / S中，客戶端有一套完整的應用程序，錯誤的提示，在線幫助等功能非常強大，可以自由切換子程序。 其次，該模型提供了更安全的訪問模式。 由于C / S配置是點對點結(jié)構(gòu)，因此適用于局域網(wǎng)，因此可以確保安全性。 在實現(xiàn)中，我們使用C / S架構(gòu)的網(wǎng)絡安全檢測系統(tǒng)，其主要原因是考慮小規(guī)模應用，實時要求，系統(tǒng)使用的結(jié)構(gòu)如圖41所示。 圖41 安全監(jiān)測系統(tǒng)網(wǎng)絡拓撲 系統(tǒng)整體拓撲結(jié)構(gòu) 軟件系統(tǒng)由部署在受控機器上的安全檢測代理和部署在安全檢測服務器上的主程序和系統(tǒng)數(shù)據(jù)庫組成。 主要控制方案負責政策管理和管理控制要求。 安全檢測代理讀取并執(zhí)行管理策略響應控制終端程序管理控制請求。 系統(tǒng)數(shù)據(jù)庫用于存儲策略和審計信息[47]。 系統(tǒng)軟件的邏輯結(jié)構(gòu)如圖42所示。管理控制請求求 主控端軟件（安全監(jiān)測服務器） 安全監(jiān)測代理（被控主機）管理控制請求響應 戶籍信息管理系統(tǒng)管理策略讀取管理策略下發(fā)用戶信息審計信息上報 圖42 系統(tǒng)軟件邏輯構(gòu)成系統(tǒng)的整體結(jié)構(gòu)分為六個管理模塊：用戶身份管理模塊、實時監(jiān)控模塊、硬件對象管理模塊、軟件對象管理模塊、網(wǎng)絡對象管理模塊和文件對象管理模塊，如圖43所示。 網(wǎng)絡安全監(jiān)測系統(tǒng)用戶身份管理模塊硬件對象管理模塊軟件對象管理模塊實時監(jiān)控模塊文件對象管理模塊網(wǎng)絡對象管理模塊 　　 圖43 系統(tǒng)整體功能框圖 用戶身份管理功能設計用戶身份主要是完成系統(tǒng)用戶的添加、刪除等功能。 系統(tǒng)使用基于角色的訪問控制模型來實現(xiàn)用戶身份管理，主要操作包括新建角色和刪除角色。 選擇角色時，可以修改角色（修改角色名稱和角色描述）和控制規(guī)則設置。 其中，控制規(guī)則由選定的策略開發(fā)，新策略的作用應寫入數(shù)據(jù)庫和安全檢測代理應用的新策略。 圖44顯示了用戶角色的新建處理流程。 開 始 注冊登錄提示：沒有權限 N是一級管理嗎 Y輸入角色名制定角色策略數(shù)據(jù)庫角色表中插入新角色 N插入是否成功提示：插入失敗 Y 結(jié)束圖44 角色新建邏輯處理流程在創(chuàng)建角色的過程中，首先確定管理員權限。 有權重名檢測。 如果沒有重復的名稱，請在數(shù)據(jù)庫中創(chuàng)建一個新角色，填寫角色名稱和策略選項