陳興伯，張云雯，翟曉丹

（1.海軍大連艦艇學(xué)院，大連 116000；2.大連東軟信息學(xué)院，大連 116023）

1 引言

隨著以Internet為代表的信息網(wǎng)絡(luò)技術(shù)的應(yīng)用日益普及，校園網(wǎng)通過與Internet相連，在享受Internet方便快捷的同時，也面臨著遭遇攻擊的風(fēng)險。內(nèi)部網(wǎng)絡(luò)也存在很大的安全隱患，由于內(nèi)部用戶對網(wǎng)絡(luò)的結(jié)構(gòu)和應(yīng)用模式都比較了解，因此來自內(nèi)部的安全威脅更大一些?，F(xiàn)在，黑客攻擊工具在網(wǎng)上泛濫成災(zāi)，而個別學(xué)生的心理特點決定了其利用這些工具進行攻擊的可能性。在安全管理設(shè)備系統(tǒng)的設(shè)計過程中遵循技術(shù)與管理手段并重，網(wǎng)絡(luò)安全防護與主機終端安全防護并重的設(shè)計理念進行系統(tǒng)的規(guī)劃與設(shè)計。針對信息內(nèi)網(wǎng)面臨的主要安全威脅提供相應(yīng)安全解決方案，從而實現(xiàn)信息內(nèi)網(wǎng)終端的全面的安全管理。

2 系統(tǒng)模塊設(shè)計

安全管理設(shè)備系統(tǒng)系統(tǒng)模塊分為控制服務(wù)器、管理控制臺、終端代理三個模塊。系統(tǒng)架構(gòu)控制服務(wù)器是系統(tǒng)的核心，包含系統(tǒng)中心數(shù)據(jù)庫，完成安全策略、部署信息的存放，對所屬終端代理的狀態(tài)管理和控制消息的傳遞等功能。管理控制臺，與控制服務(wù)器之間采用B/S架構(gòu)，它完成用戶登錄認(rèn)證、安全策略、系統(tǒng)運行參數(shù)的配置及部署，查看終端代理報警審計信息以及信息的展示。終端代理，根據(jù)安全策略的配置完成對各種系統(tǒng)操作行為進行審計、監(jiān)控、阻斷的功能，并將審計數(shù)據(jù)可靠地傳送到控制服務(wù)器，還包含了自身安全性的控制。此外，還包含終端用戶協(xié)同管理及服務(wù)功能。

3 功能設(shè)計

根據(jù)需求分析安全管理設(shè)備系統(tǒng)應(yīng)具備的功能模塊主要包括系統(tǒng)補丁安全檢測與升級、違規(guī)接入網(wǎng)絡(luò)監(jiān)控等功能模塊。內(nèi)網(wǎng)終端存在補丁升級不及時將報警，有非法違規(guī)接入的外來主機系統(tǒng)將監(jiān)控并報警。

3.1 補丁升級管理

客戶端程序調(diào)用GetVersionEx函數(shù)獲得終端操作系統(tǒng)中的補丁信息，包括已安裝的SP包情況，已安裝的補丁。然后通過MBSA工具生成XML補丁信息文件，與服務(wù)器微軟補丁庫數(shù)據(jù)進行匹配并分析文件得到未安裝補丁的信息。系統(tǒng)設(shè)計實現(xiàn)操作系統(tǒng)補丁自動分析并下發(fā)功能，只需要設(shè)置適當(dāng)?shù)姆职l(fā)策略，就可實現(xiàn)操作系統(tǒng)的補丁自動掃描與安裝，可以極大的方便內(nèi)網(wǎng)計算機用戶進行補丁安裝。補丁服務(wù)器等待安全管理設(shè)備系統(tǒng)的管理控制臺的策略任務(wù)，任務(wù)信息以xml格式傳送，此格式具有良好的擴展性。服務(wù)器收到任務(wù)數(shù)據(jù)信息后，首先解析xml文件，將xml文件中記錄的任務(wù)信息轉(zhuǎn)到相應(yīng)的任務(wù)處理流程同時進行處理。如果收到的任務(wù)類型為“自動分析并下發(fā)任務(wù)”，則服務(wù)器先根據(jù)任務(wù)中每個主機建立相應(yīng)的子任務(wù)，同時分別進行處理；補丁服務(wù)器向終端代理發(fā)出執(zhí)行補丁掃描的指令，并等待目標(biāo)設(shè)備反饋的補丁掃描結(jié)果。補丁服務(wù)器接受目標(biāo)主機的分析結(jié)果xml文件，解析此xml文件，分析出哪些系統(tǒng)補丁已經(jīng)安裝，哪些系統(tǒng)補丁沒有安裝，并寫入安全管理設(shè)備系統(tǒng)中心數(shù)據(jù)庫。補丁服務(wù)器根據(jù)目標(biāo)終端主機的補丁安裝信息數(shù)據(jù)及任務(wù)制定時下發(fā)的策略，對目標(biāo)終端主機生成下發(fā)任務(wù)；補丁服務(wù)器等待客戶端主機的系統(tǒng)補丁安裝結(jié)果，將終端代理反饋的補丁安裝狀態(tài)、安裝時間等數(shù)據(jù)記錄到子任務(wù)的數(shù)據(jù)庫表中。到此整個補丁分發(fā)并安裝任務(wù)運行結(jié)束。在補丁安裝任務(wù)的執(zhí)行過程中，如果個別客戶端主機不在線，安裝子任務(wù)將無法執(zhí)行。補丁服務(wù)器將采用另外的策略來解決這種情況；如果終端不在線，則針對此客戶端主機的子任務(wù)將被臨時掛起，補丁服務(wù)器周期性檢查被掛起的子任務(wù)，看是否具備了執(zhí)行條件，如果具備了執(zhí)行條件，則重新激活被掛起的子任務(wù)，重新下發(fā)執(zhí)行。流程如圖1所示。

圖1 補丁分發(fā)流程

3.2 非法外聯(lián)管理

在通常情況下，終端代理是通過以太網(wǎng)連接到局域網(wǎng)上的，在網(wǎng)卡上綁定有內(nèi)部IP、掩碼和網(wǎng)關(guān)，TCP/IP協(xié)議根據(jù)這些信息生成網(wǎng)絡(luò)路由表，該路由表將默認(rèn)路由指向網(wǎng)關(guān)，任何數(shù)據(jù)的發(fā)送都使用該路由表選擇出最優(yōu)路徑對外發(fā)送。當(dāng)該終端進行撥號時，終端除了原有的連接到局域網(wǎng)上的以太網(wǎng)外，還會有一個撥號產(chǎn)生的外網(wǎng)連接，在該網(wǎng)絡(luò)接口上會綁定ISP分配的IP、掩碼和網(wǎng)關(guān)，系統(tǒng)將增加路由表，默認(rèn)網(wǎng)關(guān)將被更新為新的IP地址。依據(jù)這個路由信息表的不同，就可以分辨出主機是否外連。設(shè)終端A為一臺內(nèi)網(wǎng)主機，在其沒有外網(wǎng)連接時，其收到外網(wǎng)終端B的ICMP報文時，其終端路由表發(fā)現(xiàn)此報文不是本網(wǎng)IP；于是，先向默認(rèn)網(wǎng)關(guān)C發(fā)送一個ARP報文，獲取網(wǎng)關(guān)的物理地址，然后構(gòu)造一個以B終端為目的IP地開始接受阻斷列表發(fā)送偽造的ARP應(yīng)答包被阻斷終端是否通過驗證，以該默認(rèn)網(wǎng)關(guān)的物理MAC地址為目的物理地址的ICMP響應(yīng)報文。但A撥號外連上網(wǎng)后，A的默認(rèn)網(wǎng)關(guān)發(fā)生改變，當(dāng)A通過ARP報文獲取默認(rèn)的物理地址時，將產(chǎn)生不了ARP回應(yīng)報文，于是，將不能產(chǎn)生一個ICMP回應(yīng)報文。依據(jù)這種網(wǎng)絡(luò)流量的差別，就可以發(fā)現(xiàn)網(wǎng)絡(luò)中的撥號終端。對內(nèi)部網(wǎng)絡(luò)終端非法外連檢測流程如圖2所示。

4 結(jié)束語

安全管理設(shè)備系統(tǒng)設(shè)計，實現(xiàn)了對內(nèi)網(wǎng)終端進行了整體資源和網(wǎng)絡(luò)安全規(guī)劃，對移動存儲設(shè)備非法接入內(nèi)部網(wǎng)絡(luò)進行了控制，實現(xiàn)了靜態(tài)IP同MAC地址的綁定，內(nèi)網(wǎng)終端采用實名制登記和補丁程序的自動分發(fā)，有效解決了網(wǎng)絡(luò)中計算機非法接入、移動存儲泄密和非法外聯(lián)問題。

圖2 非法外聯(lián)檢測