馬 亮

【摘要】平臺(tái)原型系統(tǒng)提供中間件級(jí)三層架構(gòu)以支持異構(gòu)組件,中間件和組件之間采用專(zhuān)用協(xié)議通信,平臺(tái)核心實(shí)現(xiàn)了策略驅(qū)動(dòng)機(jī)制,并利用第三方策略管理工具進(jìn)行策略語(yǔ)法和語(yǔ)義的檢查。

【關(guān)鍵詞】策略驅(qū)動(dòng);網(wǎng)絡(luò)安全;組件

1 引言

隨著計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用領(lǐng)域不斷擴(kuò)大和復(fù)雜性的日益增長(zhǎng),暴露出的眾多安全問(wèn)題越來(lái)越令人擔(dān)憂(yōu)。電腦病毒、黑客入侵等事件已屢見(jiàn)不鮮。為此,市場(chǎng)上出現(xiàn)了各個(gè)層面的網(wǎng)絡(luò)安全產(chǎn)品,如軟硬件防火墻、漏洞評(píng)估工具、入侵檢測(cè)系統(tǒng)、病毒掃描、和各種系統(tǒng)安全防護(hù)探針等。從抽象角度分析,硬件的網(wǎng)絡(luò)安全產(chǎn)品,軟件的安全應(yīng)用,各種安全事件和安全數(shù)據(jù)的管理工具都可以看成網(wǎng)絡(luò)中的安全防護(hù)設(shè)備,簡(jiǎn)化起見(jiàn)本文將其統(tǒng)稱(chēng)為安全設(shè)備。它們?cè)谝欢ǔ潭壬媳Ｕ狭司W(wǎng)絡(luò)環(huán)境的安全。然而,在絕大多數(shù)場(chǎng)合中這些安全產(chǎn)品是被孤立地使用的,安全產(chǎn)品供應(yīng)商往往只是從某一個(gè)局部去解決網(wǎng)絡(luò)安全的部分問(wèn)題,而很少?gòu)恼w以及安全管理的角度去考慮。事實(shí)上,只有動(dòng)態(tài)地從整體與管理的角度去考慮安全才有可能真正為用戶(hù)提供安全保障,因而有必要設(shè)計(jì)一個(gè)統(tǒng)一的安全策略,協(xié)調(diào)各個(gè)不同層面網(wǎng)絡(luò)安全資源的綜合性安全管理系統(tǒng),以使各個(gè)層面的網(wǎng)絡(luò)安全產(chǎn)品融合成一整體。但是,安全設(shè)備的增多提高了網(wǎng)絡(luò)管理的復(fù)雜性卜,由此網(wǎng)絡(luò)安全管理的概念應(yīng)運(yùn)而生。所謂網(wǎng)絡(luò)安全管理就是管理以上所提到的來(lái)自不同廠商不同作用范圍的網(wǎng)絡(luò)安全硬件、安全應(yīng)用進(jìn)程、網(wǎng)絡(luò)安全數(shù)據(jù)等。[1]

設(shè)計(jì)了一個(gè)基于策略驅(qū)動(dòng)的網(wǎng)絡(luò)安全設(shè)備聯(lián)動(dòng)管理平臺(tái)的原型系統(tǒng)。下面我們將首先分別介紹安全設(shè)備和網(wǎng)絡(luò)安全聯(lián)動(dòng)管理,并在后面的章節(jié)中具體介紹我們?cè)O(shè)計(jì)的網(wǎng)絡(luò)安全管理平臺(tái)。

2 網(wǎng)絡(luò)安全管理平臺(tái)的框架

網(wǎng)絡(luò)安全管理平臺(tái)的設(shè)計(jì)目的是提供一個(gè)可擴(kuò)充的體系框架,在這個(gè)框架下被管理節(jié)點(diǎn)的功能可以根據(jù)管理的需要增加或者刪減,從而達(dá)到管理地靈活性,可擴(kuò)充性,分布式,同時(shí)簡(jiǎn)化和降低管理復(fù)雜度。

基于對(duì)管理平臺(tái)的各種技術(shù)和功能的要求,我們?cè)O(shè)計(jì)了一個(gè)分布式的多節(jié)點(diǎn)系統(tǒng)。系統(tǒng)中存在著以下幾種角色:管理節(jié)點(diǎn),安全組件,核心控制臺(tái),策略引擎和安全通信通道。

管理平臺(tái)希望獲得管理靈活、方便的性能,我們提出了基于策略的管理方式。策略體現(xiàn)網(wǎng)絡(luò)安全管理員的管理意圖,描述當(dāng)前網(wǎng)絡(luò)的安全操作和安全性育昌。

通過(guò)以上設(shè)計(jì),網(wǎng)絡(luò)安全管理平臺(tái)應(yīng)該能夠達(dá)到通過(guò)對(duì)現(xiàn)有網(wǎng)絡(luò)安全設(shè)備簡(jiǎn)單包裝即可嵌入本文設(shè)計(jì)的網(wǎng)絡(luò)安全管理平臺(tái),達(dá)到可集成當(dāng)前存在的網(wǎng)絡(luò)安全資源遵照安全平臺(tái)規(guī)范設(shè)計(jì)的安全組件可以在網(wǎng)絡(luò)內(nèi)部平滑的流動(dòng),從而達(dá)到管理可擴(kuò)展性和動(dòng)態(tài)性符合管理平臺(tái)規(guī)范安全組件的特定功能可以調(diào)用其他組件或者被其他組件調(diào)用,達(dá)到安全能力互補(bǔ)提高系統(tǒng)可存活性的目的。

在安全管理平臺(tái)中,安全管理策略可以理解為網(wǎng)絡(luò)管理員的管理意圖。這里可能有兩類(lèi)情況,其一是經(jīng)一定的觸發(fā)安全事件而執(zhí)行的動(dòng)作以保證大型涉密網(wǎng)絡(luò)安全。觸發(fā)源來(lái)自安全組件的報(bào)警,執(zhí)行動(dòng)作由具備相應(yīng)功能的安全組件或設(shè)備,這一類(lèi)稱(chēng)為系統(tǒng)響應(yīng)策略或聯(lián)動(dòng)策略。另一類(lèi)是為了完成系統(tǒng)交互功能,網(wǎng)絡(luò)管理員設(shè)定的一些網(wǎng)絡(luò)安全管理命令,它通常包括管理動(dòng)作,管理對(duì)象,管理方法等兒個(gè)部分,這一類(lèi)可稱(chēng)為安全管理策略或功能策略。管理策略可以描述為安全管理策略={ START STOP LOAD UNLOAD }+安全管理組件+管理域,即在一個(gè)管理域內(nèi)安裝、卸載、啟動(dòng)或停止一種安全管理組件。例如,在所有Linux服務(wù)器上安裝一個(gè)Anti sniffer軟件,所有Linux服務(wù)器是一個(gè)管理域、Anti sniffer軟件是一個(gè)安全管理組件,安裝或啟動(dòng)就是一個(gè)管理方法。

3 管理平臺(tái)的消息機(jī)制

消息機(jī)制下的系統(tǒng)具有可擴(kuò)充性強(qiáng),分布式甚至對(duì)等處理等優(yōu)點(diǎn)。消息在網(wǎng)絡(luò)中可以被以中間節(jié)點(diǎn)全部轉(zhuǎn)發(fā)、部分轉(zhuǎn)發(fā)、部分處理、全部處理等多種方式使用。如果消息、能夠采用標(biāo)準(zhǔn)的消息格式,則系統(tǒng)中還可能兼容大量的不同實(shí)現(xiàn)方式的中間節(jié)點(diǎn)。在網(wǎng)絡(luò)安全管理中,對(duì)大量來(lái)源的資源的整合、兼容是非常重要的,如論文開(kāi)始所述,正是由于網(wǎng)絡(luò)安全的復(fù)雜性和多樣性才產(chǎn)生所謂的網(wǎng)絡(luò)安全管理的概念。同時(shí),規(guī)范化的消息能夠幫助系統(tǒng)適應(yīng)復(fù)雜的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu),因?yàn)?中間節(jié)點(diǎn)的轉(zhuǎn)發(fā)功能實(shí)際上相當(dāng)于IP網(wǎng)絡(luò)中的路由器的概念,網(wǎng)絡(luò)中大量存在具有轉(zhuǎn)發(fā)能力的管理節(jié)點(diǎn)l相當(dāng)于大規(guī)模網(wǎng)絡(luò)中存在大量的路由器)使消息可以在復(fù)雜拓?fù)涞木W(wǎng)絡(luò)中正確的被發(fā)送到指定的位置。

網(wǎng)絡(luò)安全管理平臺(tái)原型系統(tǒng)的數(shù)據(jù)流是采用消息模式,系統(tǒng)的絕大多數(shù)行為由消息驅(qū)動(dòng)產(chǎn)生。網(wǎng)絡(luò)安全管理平臺(tái)所有傳輸?shù)南⒍际遣捎肵VIL格式。通訊數(shù)據(jù)經(jīng)過(guò)加密和認(rèn)證的安全通道傳輸。

在網(wǎng)管平臺(tái)原型系統(tǒng)中,由于系統(tǒng)數(shù)據(jù)傳輸采用EVIL,格式,所以,XML文件的解析成為系統(tǒng)消息機(jī)制的核心問(wèn)題。實(shí)踐中我們采用C DOM API作為XML Parser的基礎(chǔ)。

平臺(tái)的消息通訊過(guò)程中,Core Manager同Agency以及Agency之間的交互采用平臺(tái)消息的格式。傳送雙方一的節(jié)點(diǎn)主要處理依據(jù)是數(shù)據(jù)頭(