企業計算機網絡安全系統設計與實現(編輯修改稿)

　

【文章內容簡介】 圖23 網絡安全組成的元素 圖24 網絡信息安全模型 （1）傳遞信息（或消息）需要加密操作，這個操作有兩個主要的方法，保證理論不能破壞，計算不可行，有很多經典的加密算法可以使用，數據到達接收通常使用對稱密鑰加密和公鑰加密來執行解密操作。 （2）消息傳輸通道是網絡信息安全的重要因素，考慮傳輸路徑本身的安全問題，還要考慮第三方攻擊，整個通信鏈路數據傳輸安全可靠。 （3）實際的加密技術有很多方法，如數字簽名、報文摘要、數字認證、證書頒發等，有些也需要信任第三方參與。 本章小結 本章主要介紹了本文的基本概念及相關的關鍵技術，如系統信息采集、用戶行為獲取、網絡數據采集和系統開發、使用環境的介紹、網絡安全模型等。第3章 系統需求及算法分析為防止用戶在內部網絡環境中非法使用計算機系統，根據有關部門的要求制定嚴格的管理制度，以防止用戶對內部網絡環境的非法使用，根據有關部門的要求制定嚴格的管理制度，但在執行過程中多次發現非法復制文件和安裝非法軟件行為。因此，我們需要采取適當的技術措施，確保管理體系的實施。在研究過程中發現有很多類似的商業軟件，但這些商業軟件的功能比較復雜，而且實際需要的單位是不同的，所以最終確定了一個小內部網絡監控系統，以滿足需求。具體應用環境如下，需要監控一個小型內部辦公網絡的網絡環境，主機數量約為50個，使用WINDOWS操作系統，使用交換機進行網絡連接，屬于同一C網網段，網絡和業務內部網絡是物理隔離的，主機可以通過路由器訪問外部網絡，主要用于企業日常工作的學習環境，不允許在網絡主機上使用其他相關用途。網絡拓撲如圖31所示。 圖31 系統應用網絡環境該系統的功能主要是通過訪問控制、實時監控和事件審計等技術手段，對被控主機和系統的運行狀態進行有效的監控，并記錄用戶未經授權的訪問行為，作為 安全審計憑證。 對于用戶的網絡訪問等活動也可以用來防止網絡連接實現安全管理的方法[42]。系統的控制主機對用戶透明，所以用戶具有系統安全管理員的主要功能，包括用戶身份管理、實時監控、軟件對象管理、硬件對象管理、網絡對象管理、文件對象管理。 系統的整體工作如圖32所示。 用戶是網絡安全檢測系統管理領域的所有認證用戶的身份，系統中管理員的身份管理。 用戶身份管理功能包括創建、修改、刪除用于安全檢測系統的服務器管理員，以及創建、修改和刪除主機的主體信息、角色信息和角色管理策略。管理員級別分為一級管理員和二級管理員，一級管理員可以查看和操作任何信息，二級管理員只能查看信息，無法發送策略信息[43]。 用戶身份管理功能的用例如圖33所示。 實時監控實時監控，包括桌面快照、進程快照、遠程目錄查看功能，主要是指在線控制機器運行實時監控管理領域。 桌面快照，管理員可以實時捕獲用戶的桌面或按照策略定期抓取用戶的桌面存檔。 進程快照是指管理員可以查看實時的用戶系統進程列表。 遠程目錄視圖是管理員可以查看用戶文件信息的目錄信息。 實時監控功能如圖34所示。 軟件對象管理軟件對象管理是管理控制區域網絡中所有受控軟件對象，包括開發軟件黑名單，軟件操作控制，即軟件黑名單不能在主機上運行。 使用軟件對象管理功能如圖35所示。 硬件對象管理硬件對象管理是對受控局域網中所有受控硬件對象的管理，包括硬件清單的生成，硬件報警的非法更改以及狀態管理的使用[44]。 硬件對象管理功能，如圖36所示。 網絡對象管理網絡對象是控制區域網絡中所有受控網絡行為的管理，包括設置網站的黑名單和白名單，以及對控制機的流量進行審計和控制。 網絡對象的管理功能如圖37所示。 文件對象管理文件控制管理是對LAN上所有機器對象文件的管理，包括審核文件的操作，用戶記錄文件系統訪問行為，如打開、修改、復制文件和用戶控制文件操作。 文件對象管理功能如圖38所示。 系統安全需求1．用戶安全 用戶的安全主要包括管理員的安全和用戶的安全。 （1）管理員具有系統的最高權限，所以責任是最大的。 管理者必須具有良好的素質和知識素養，熟練掌握網絡安全知識，企業有較強的忠誠度，掌握專業的管理技能。 （2）嚴格限制管理員的用戶級操作，應在企業網絡系統安全計劃中設置和調整審計信息等初步操作。 （3）用戶安全層必須在授予管理員權限的前提下使用企業網絡資源，使用其資源，禁止使用系統資源，禁止超出授權的系統運行，禁止披露重要信息和系統 登錄密碼。 2．基礎設施安全 （1）硬件設施的安全，包括物理環境安全，硬件設備、物理、機械安全。 （2）軟件設備的安全性，包括系統安全、網絡通信安全、軟件應用平臺安全、安全管理軟件安全。3．網絡結構安全 （1）包括局域網和廣域網之間的隔離和控制，如包過濾、子網防火墻阻塞、網絡地址變化等。 （2）局域網內的子網安全，包括信息敏感子區域信息資源子網，敏感信息子網和非敏感信息子網的隔離，子網信息和公共信息網絡隔離的內部使用，局域網和互聯網隔離。 （3）未授權或未經授權使用撥號上網方式繞過安全系統。4． 傳輸安全 除了外部公眾提供的信息外，在LAN中傳輸的數據也需要加密。 LAN用戶之間的信息傳輸，也是使用認證措施，特別是機密信息也需要加密和保護。 （1）網絡邊界隔離和訪問控制因為系統比較特殊，是網絡隔離邊界的最重要特征，需要仔細考慮。因此，我們需要使用幀中繼網絡和訪問控制措施。企業內各部門之間必須有網絡接入。我們必須確保合法用戶同時訪問系統，并且未經授權的用戶（包括任何企業和其他企業的非授權用戶的網絡訪問請求無法訪問系統），系統網絡傳輸平臺單元使用幀中繼網絡，不可控制的因素依然存在（幀中繼網絡終端網絡設備安全等）因此，我們必須強調網絡安全隔離和控制單元和幀中繼網絡[45]，對于企業網絡，由于企業的性質和網絡系統的工作水平必須包含有許多重要機密信息。因此，企業網絡應分為不同的子網，高安全網絡的子網和不可信網絡安全分類，推薦安全隔離和訪問控制網絡安全隔離設備，以確保未經授權的用戶訪問授權用戶。（2）企業傳輸數據安全企業在網絡系統中，由于不同的權限，內部信息的性質不同，不能讓非法用戶訪問，有必要采取適當的措施來保證網絡系統的安全性要求。 特別是企業網絡系統，由于其性質和工作水平，不可避免地包含了大量的私人信息。 因此，內部網絡可以分為多個不同的子網，可以根據具體情況分開，將包含機密信息網絡和不包含機密信息網絡進行區分。 保密要求特別高的信息需要獨立存儲，而不是連接到共享網絡。 系統性能需求1．性能需求安全檢測系統的性能要求包括：采用獨立數據庫的集中數據管理，充分利用系統資源，可支持50100臺主機實時監控，遠程監控功能響應時間少于1秒。 2．高效、功能實用界面簡單，使用人員“一目了然”，短時間內可以起到企業網絡安全管理系統的作用，系統在服務器中提供了友好的圖形用戶界面，要求用戶操作簡單方便 ，操作清楚。 系統還特別設計了用戶信息功能，為了更好的增加用戶和系統管理員之間的通信，對系統功能進行更好的維護、改進和完善，使企業網絡安全系統逐步完善。3． 可擴展性本文針對企業網絡安全管理體系的設計，因此，我們必須有很好的處理這個問題的能力。 增加網絡訪問次數。 這就要求數據庫系統的改進和數據庫系統的擴展，提出了更高、更新的要求。4．維護性 系統維護是系統正常運行的先決條件。 更新和備份數據庫，也是保證系統安全運行的重要保證。5．接口要求 （1）：軟件界面：使用Micrisoft SQL Server數據庫企業版[46]，支持Windows XP微軟系列操作系統；（2） 通訊接口；系統實時監控部分使用UDP協議，數據庫連接采用ADO方式。 模式匹配算法在本文中，實施入侵檢測系統，采用模式匹配算法作為網絡入侵檢測系統的檢測引擎核心。 然后，模式匹配算法的性能直接影響了網絡入侵檢測系統的檢測效率。 特別是在高速網絡中，如果模式匹配算法不能及時處理數據的實時數據包，會導致丟棄一些數據包，如果這些數據包包含入侵信息網絡，會導致網絡入侵 檢測系統缺失。 因此，模式匹配算法非常重要。 在本文中，我們使用多模式匹配算法。 WM多模式匹配算法由Sun Wu和Udi Manber于1994年提出，該方法工藝簡單、效率高。WM算法首先預處理模式字符串。 預處理階段創建三個表：SHIFT表、HASH表和PREFIX表。 SHIFT表用于在掃描文本字符串時根據讀取的字符串確定可跳過的字符數。 HASH表用于存儲多個模式字符塊的HASH值。 PREFIX表用于存儲第一個字符串和第一個字符哈希值。 WM算法的主要過程匹配：每個掃描B字符：。 （1）掃描文本的末B位通過hash function函數計算其哈希值h。 （2）檢查SHIFT表，如果SHIFT [h] 0，文本指針向右SHIFT [h]位，執行（1），SHIFT [3] = 0執行（3）。 （3）計算前一個m位的當前位置和前一個m1前綴的哈希值，記錄為text_prefix。 （4）對于每個p（HASH [h] pHASH [h + 1]），看是否PREFIX [p] = text_prefix。 如果它們相等，則讓真實模式字符串按照字符進行匹配。WM算法的總時間復雜度為O(M)+O(BN/m)=O(mp)+O(BN/m)。 WM算法平均時間復雜度O(BN/m)，其中B是塊字符的長度，N是文本的長度，m是模式字符串的最短長度。 O(M）是計算哈希值所需的時間，O（mp）是所有非零移動所需的時間。 本章小結 本章對網絡安全檢測系統的需求背景進行了簡要介紹，分析了系統的整體功能，對子功能進行了用例描述，最后描述了系統的性能、易用性、接口等非功能性的要求，并對本文采用的模式匹配算法進行了說明。第4章 企業計算機網絡安全系統的設計 系統整體拓撲結構C / S模式是一種兩層結構的系統：第一層是在客戶端系統中，結合業務邏輯，第二層是網絡與數據庫服務器。 該模型主要包括客戶應用、服務器管理和中間件三部分。 首先，互動是固有的優勢。 在C / S中，客戶端有一套完整的應用程序，錯誤的提示，在線幫助等功能非常強大，可以自由切換子程序。 其次，該模型提供了更安全的訪問模式。 由于C / S配置是點對點結構，因此適用于局域網，因此可以確保安全性。 在實現中，我們使用C / S架構的網絡安全檢測系統，其主要原因是考慮小規模應用，實時要求，系統使用的結構如圖41所示。 圖41 安全監測系統網絡拓撲 系統整體拓撲結構 軟件系統由部署在受控機器上的安全檢測代理和部署在安全檢測服務器上的主程序和系統數據庫組成。 主要控制方案負責政策管理和管理控制要求。 安全檢測代理讀取并執行管理策略響應控制終端程序管理控制請求。 系統數據庫用于存儲策略和審計信息[47]。 系統軟件的邏輯結構如圖42所示。管理控制請求求 主控端軟件（安全監測服務器） 安全監測代理（被控主機）管理控制請求響應 戶籍信息管理系統管理策略讀取管理策略下發用戶信息審計信息上報 圖42 系統軟件邏輯構成系統的整體結構分為六個管理模塊：用戶身份管理模塊、實時監控模塊、硬件對象管理模塊、軟件對象管理模塊、網絡對象管理模塊和文件對象管理模塊，如圖43所示。 網絡安全監測系統用戶身份管理模塊硬件對象管理模塊軟件對象管理模塊實時監控模塊文件對象管理模塊網絡對象管理模塊 　　 圖43 系統整體功能框圖 用戶身份管理功能設計用戶身份主要是完成系統用戶的添加、刪除等功能。 系統使用基于角色的訪問控制模型來實現用戶身份管理，主要操作包括新建角色和刪除角色。 選擇角色時，可以修改角色（修改角色名稱和角色描述）和控制規則設置。 其中，控制規則由選定的策略開發，新策略的作用應寫入數據庫和安全檢測代理應用的新策略。 圖44顯示了用戶角色的新建處理流程。 開 始 注冊登錄提示：沒有權限 N是一級管理嗎 Y輸入角色名制定角色策略數據庫角色表中插入新角色 N插入是否成功提示：插入失敗 Y 結束圖44 角色新建邏輯處理流程在創建角色的過程中，首先確定管理員權限。 有權重名檢測。 如果沒有重復的名稱，請在數據庫中創建一個新角色，填寫角色名稱和策略選項