nids網絡立體防御系統可行性研究報告(編輯修改稿)

　

【文章內容簡介】 目錄和文件中的不期望的改變 網絡環境中的文件系統包含很多軟件和數據文件，包含重要信息的文件和私有數據文件經常是黑客關注或試圖破壞的目標。目錄和文件中的不期望的改變（包括修改、創建和刪除），特別是那些正常情況下限制訪問的數據，很可能就是一種入侵產生的標志和信號。 (3) 程序執行中的不期望行為 網絡系統上的“程序執行”一般包括操作系統、 網絡服務、用戶啟動的程序和特定目的的應用，每個系統上的執行程序由一到多個進程來實現。每個進程執行在具有不同權限的環境中，這種環境控制著進程可訪問的系統資源、程序和數據文件等。因此，操作執行的方式不同，調用系統資源的方式也就不同。一個進程出現了不期望的行為，可能預示著有黑客正在入侵系統。 (4) 物理形式的入侵信息 這包括兩個方面的內容， 一是未經授權的對網絡硬件的連接 。 二是對物理資源的未授權訪問（非法訪問）。黑客會想方設法的突破網絡周邊的防衛， 如果他們能夠在物理上訪問內部網，就能安裝他們自己的設備和軟件 。因此，黑客就可以知道網上的由用戶加上去的不安全（未授權）設備，然后利用這些設備訪問網絡。 信息及綜合決策系統介紹 信息及綜合決策系統是數據庫及基于數據庫的信息處理系統的結合，是整個系統的信息匯總點，也是綜合信息的處理機構。 3． 1． 2 項目產品的關鍵技術內容 由前面的論述可以看出，任何單一的安全部件都只能實現一定程度的安全，任何單層次的結構所保障的安全也都是極其有限的，只有把他們有機的結合在一起，使他們互為依托，互相補充，才能實現系統的真正安全，基于此，提出了立體防御系統，其結構組 成如圖 7所示。 李蕭蕭的個人主頁 需要文檔請給我留言。 圖 7 立體防御系統結構圖 整個系統由三大部分組成： 外圍防火墻系統由主防火墻和主機防火墻組成，中間為系統的核心，由分布式入侵檢測系統組成，其具體結構及工作原理將在后面的入侵檢測預警模型中 進行 詳細的闡述，內層信息及綜合決策系統由信息數據庫、中央決策控制器及受保護主機上的單機信息庫構成。 由此看出，通過外圍防火墻的攔截，中部分布式入侵檢測系統的實時及非實時的監測，內部信息及綜合決策系統的全局布局決策，使得各種安全部件能夠最大程度地發揮其性能， 從而使整個系統成為一個全方位、多層次的立體防御系統。 結構闡述 防火墻系統 整個系統通過主防火墻與 Inter 相連，利用主防火墻，可對來自外部的大多數攻擊進行防范，在子網內部，有一般用戶和受保護主機，后者多為一些重要的服務器，是重點保護的對象。受保護服務器通過主防火墻與內部子網相連。 主機防火墻的功能主要為： （ 1） 因為主機防火墻是直接面向受保護主機的，因此可對它進行更具體，更有針對性的配置，從而對通過主防火墻的數據包進行再過濾，減少可能發生的攻擊，從這個意義上來說，主防火墻相當于宏觀上 的調控，而主機防火墻相當于微觀上的調控。 （ 2） 防止來自內部的攻擊，根據調查，大部分的攻擊都來自網絡內部，因此主機防火墻的設置是非常有意義的，因此，通過對主機防火墻的設置，可對不同的內部用戶賦李蕭蕭的個人主頁 需要文檔請給我留言。 予不同的訪問權限，從而大大提高系統的安全性。 主防火墻與主機防火墻的另一個重要作用在于可過濾掉大量無用的數據，減少傳遞給入侵檢測系統及信息數據庫的無意義流量，這對減輕整個系統的負荷，防止 DOS（拒絕服務）攻擊有著重要的意義，其中主機防火墻只是邏輯上的結構，它完全可以合并在受保護主機上，從而降低系統的成本。 綜合決策系統 如前面提到的，信息及綜合決策系統由信息數據庫和中央決策控制器及各受保護主機上的單機信息庫組成構成。 信息數據庫是整個系統的日志數據匯總中心，負責將網絡中所有的預警、故障、事務日志進行匯總，并按照統一的格式保存入數據庫。在網絡管理員進行檢查時，負責將所有的數據分類統計，并作出各種報告，以協助管理員對網絡進行更為完善的配置。 中央決策控制器負責對匯總后的信息進行分析，從而能發現單機無法發現的可能入侵（如對多個服務器的并行掃描），當確定有入侵且危害較大時，中央決策及控制器則采取緊急措施，如通過對防火墻的配置來阻斷連接，對未被入侵的主機進行屏蔽，從而防止危害的擴大，同時記錄入侵過程，可同時收集入侵證據，同時還可以根據入侵的危害及范圍通過各種方式向管理員發出不同級別的報警信息；另一方面，管理員可通過它對各防火墻進行配置，對單機信息庫進行更新，從而便于整個系統的維護和管理。 單機信息庫儲存了所對應受保護主機的狀態信息，模式信息，是各分布式 Agent 的決策依據，因為對不同的主機而言，這些信息有著很大的差別，因此設立單機信息庫是非常有必要的。 由上面分析可看出，以上各個部分緊密聯系，相互配合 ，成為一個不可分割的整體。在極大的保證了系統的安全性、可靠性和高性能的同時，兼顧了系統的可用性、易用性，同時由于采用了基于 Agent 的分布式的體系結構可以很容易地添加受保護主機，大大的增強了系統的可擴展性。通過對防火墻的配置和對單機信息庫的更新，對 Agent 功能的增強，使得增加新的功能非常容易，從而保證了整個系統有著很好的可擴充性。 3． 1． 3 項目產品的技術創新點 傳統的集中式入侵檢測技術的基本模型是在網絡的不同網段中放置多個傳感器或探測器用來收集當前網絡狀態信息，然后這些信息被傳送到中央控制臺進 行處理和分析，或者更進一步的情況是，這些傳感器具有某種主動性，能夠接收中央控制臺的某些命令和下載某些識別模板李蕭蕭的個人主頁 需要文檔請給我留言。 等。 這種集中式模型具有幾個明顯的缺陷。首先，面對在大規模、異質網絡基礎上發起的復雜攻擊行為，中央控制臺的業務負荷將會達到不可承受的地步，以致于無法具有足夠能力來處理來自四面八方的消息事件。其次，由于網絡傳輸的時延問題，到達中央控制臺的數據包中的事件消息只是反映了它剛被生成時的環境狀態情況，已經不能反映可能隨著時間已經改變的當前狀態。這樣，在集中式模型的系統中，想要進行較為完全的攻擊模式的匹配就已經非 常困難，更何況還要面對不斷出現的新型攻擊手段。 華夏網絡的分布式的入侵檢測系統將解決這個問題。通過將入侵檢測系統的信息采集和處理功能部分分布到多臺機器上，經本地處理后，將可疑的單機無法處理的數據傳輸給入侵檢測系統的中心決策系統，在中心決策系統對信息進行綜合后作出響應。這樣，大大減少了網絡中傳輸的數據量，使網絡負擔大大減輕，同時極大地增強了系統的魯棒性。 基于這種想法，華夏網絡提出了基于網絡入侵檢測的預警模型。 IDS 預警系統的體系結構和實現方法如圖 8所示： 圖 8 單機上的預警子模塊 整個安全防護體系中，分布于各主機的入侵檢測系統模塊對所負責的主機上的信息數據進行監控和審查，將可疑的信息和數據收集之后，交給下面的數據分析系統進行分析，提取這些受到懷疑的信息的特征，并將這些特征信息加以歸納和總結，然后將產生出的對這些信息的結果提交給系統中的模式庫和模式匹配系統（模式庫存于單機子信息中）；模式匹配系統的任務就是根據數據分析系統送來的經過處理后的信息在模式庫中進行查找匹配；如果模式匹配系統信 息 數 據 庫 模式匹配及行為模式判斷 主機 IDS 處理 行為模 式確定 數據 收集器 模式庫 數據源 數據源 數據源 李蕭蕭的個人主頁 需要文檔請給我留言。 發現信息處理系統送來的信息和庫中某一攻擊模式匹配，一方面，模式匹 配系統會將入侵模式匹配的信息交給規則響應系統，規則響應系統就會根據收到的信息，在自己的規則庫進行查找，根據相應的規則作出響應動作，響應動作一方面根據需要阻止入侵行為；另一方面模式匹配系統還會將入侵模式匹配和報警信息提交給信息數據庫。 以上功能是由各主機上的 Agent來完成的。數個這樣的 Agent 形式的預警子模塊組合起來就形成了基于入侵檢測的全局預警模型，如圖 9所示： 圖 9 基于入侵檢測的全局預警模型 單獨看來，每個 Agent 都是一個獨立的基于主機的入侵檢測系統，而從整體看來，它又是分布式入侵檢 測系統的一個結點，和中央決策及控制器一起完成網絡入侵檢測系統的功能。 同時，應建立一整套具有以下特性的入侵檢測專用描述形式及標準以適應各種入侵檢測信息的定義、傳輸以及處理： （ 1）通用性：對簡單的和復雜的入侵行為都有能力描述。 （ 2）可移植：適用于不同結構的 IDS系統。 （ 3）可擴展：無論不可預料的新型入侵檢測信息還是復雜 IDS 系統，都可以保證描述的準確性。 （ 4）自關聯：能描述簡單入侵和復雜入侵之間的關系。 李蕭蕭的個人主頁 需要文檔請給我留言。 從而使得防火墻、 IDS 及信息數據庫之間能更迅速的更準確地進行數據傳輸，提高整個系統的效率。 3． 1． 4 項目產品的技術來源、合作單位情況；項目產品知識產品產權的歸屬情況 3． 1． 5 項目產品的主要技術性能指標與國內、外同類產品技術指標的比較 3． 2 項目的成熟性和可靠性論述 3． 2． 1 項目的成熟性論述 李蕭蕭的個人主頁 需要文檔請給我留言。 3． 2． 2 項目的可靠性論述 四．項目產品市場調查與競爭能力預測 4． 1 本產品的主要用途，目前主要使用領域的需求量，未來市場預測、項目產品的經濟 壽命期，目前處于壽命期的階段 4． 2 本項目產品國內主要研制單位及重要生產廠家研制、開發情況 4． 3 本項目產品的國內外市場競爭能力 五．項目實施方案 5． 1 項目開發計劃 5． 2 技術方案 5． 3 生產方案 5． 4 營銷方案 5． 5 其他問題的解決方案 六．投資預算與資金籌措 6． 1 投資預算 6． 1． 1 項目投資預算依據 6． 1． 2 項目投資預算 6． 2 新增資金的籌措 6． 3 資金使用計劃 6． 3． 1 資金使用計劃 6． 3． 2 創新基金使用明細 七．經濟、社會效益分析 7． 1 產品總成本分析 (達產期 ) 7． 1． 1 產品方案和生產規模 7． 1． 2 年產品總成本 (達產期 ) 7。 2 產品單位售價與盈利預測 7． 3 經濟效益分析 李蕭蕭的個人主頁 需要文檔請給我留言。 7． 4 項目投資評價 7． 4． 1 凈現值 7． 4． 2 內部收益率 7． 4． 3 投資回收期 7． 4． 4 項目盈虧平衡分析 7． 4． 5 項目敏感性分析 7． 5 社會效益分析 八．項目可行性研究報告編制說明 8． 1 編制單位情況 8． 2 可行性研究報告編制人員 九、項目可行性研究報告的專家論證意見 VoIP 項目可行性調查分析報告 目 錄 1. VoIP 技術簡介 VoIP產生的背景 VoIP迅速發展的背景 VoIP發 展階段 2. 中國 VoIP市場狀況 VoIP在市場中的應用 VoIP通話總量急劇膨脹 中國電信市場的競爭格局 3. 市場可行性分析 市場分析 環境分析 客