企業(yè)網(wǎng)用戶(hù)終端安全管理系統(tǒng)的研究

呂濱 關(guān)雙城 劉曉紅

黑龍江工程學(xué)院 黑龍江 150050

0 引言

企業(yè)網(wǎng)建設(shè)之初較多側(cè)重網(wǎng)絡(luò)邊界安全，遵循常規(guī)的安全理念部署防火墻、防毒墻、IPS、IDS、VPN等邊界設(shè)備實(shí)現(xiàn)網(wǎng)絡(luò)信息安全防護(hù)。但是實(shí)際情況是網(wǎng)絡(luò)的大部分安全風(fēng)險(xiǎn)均來(lái)自于內(nèi)部。近兩年的安全防御調(diào)查表明，政府、企業(yè)、以及金融證券等單位中超過(guò)80%的管理和安全問(wèn)題來(lái)自客戶(hù)端，客戶(hù)端安全管理涉及內(nèi)網(wǎng)的每個(gè)用戶(hù)，由于其分散性、獨(dú)立性、缺乏技術(shù)保障和有效管理的特點(diǎn)，已成為信息安全體系的薄弱環(huán)節(jié)。因此，網(wǎng)絡(luò)安全呈現(xiàn)出了新的發(fā)展趨勢(shì)，對(duì)于各政府企業(yè)網(wǎng)絡(luò)來(lái)說(shuō)，安全戰(zhàn)場(chǎng)已經(jīng)逐步由核心與主干的防護(hù)，轉(zhuǎn)向網(wǎng)絡(luò)邊緣的每一個(gè)客戶(hù)端。為此，建立集中的安全管理平臺(tái)并提供高效可靠客戶(hù)端管理工具是非常重要的。

1 企業(yè)內(nèi)網(wǎng)絡(luò)安全現(xiàn)狀分析

1.1 企業(yè)網(wǎng)絡(luò)安全形勢(shì)分析

在知識(shí)型經(jīng)濟(jì)之下，企業(yè)信息資產(chǎn)顯得特別重要，能否有效保護(hù)專(zhuān)有技術(shù)等內(nèi)部信息，更是求存成功的關(guān)鍵，業(yè)務(wù)保障的基礎(chǔ)。進(jìn)入信息年代，機(jī)密商業(yè)資料一經(jīng)泄露，不論是有意還是無(wú)意，始終會(huì)對(duì)企業(yè)的資產(chǎn)構(gòu)成損失。因此企業(yè)需要嚴(yán)格監(jiān)管員工使用電腦，防范因知識(shí)產(chǎn)權(quán)和機(jī)密商業(yè)資料通過(guò)電腦被泄漏而造成的重大損失。對(duì)于一個(gè)企業(yè)而言，需要保護(hù)的機(jī)密文件舉不勝舉，技術(shù)圖紙、市場(chǎng)方案、會(huì)議紀(jì)要、投標(biāo)書(shū)、財(cái)務(wù)報(bào)表、客戶(hù)資料、價(jià)格體系目錄等等。在企業(yè)大部分信息數(shù)據(jù)以電子文檔保存的今天，如何才能既保證這些信息數(shù)據(jù)的全面共享，又能提高工作效率，保證其安全，防止泄密，是企業(yè)管理人員迫切希望解決的問(wèn)題。

1.2 企業(yè)內(nèi)部網(wǎng)絡(luò)信息安全隱患

來(lái)自企業(yè)網(wǎng)絡(luò)內(nèi)部的安全威脅是普遍存在的。從SQL蠕蟲(chóng)、“沖擊波”、“震蕩波”、“熊貓燒香”等破壞性病毒的連續(xù)性爆發(fā)，到非法入侵、文件泄密、口令泄露、服務(wù)器系統(tǒng)癱瘓等諸多終端安全事件在各地網(wǎng)絡(luò)頻繁中發(fā)生，讓所有政府機(jī)關(guān)和企業(yè)單位的網(wǎng)絡(luò)管理人員頭痛不已?？偨Y(jié)起來(lái)，企業(yè)單位的內(nèi)部網(wǎng)絡(luò)管理大致面臨著以下一些常見(jiàn)問(wèn)題：

(1) 用戶(hù)計(jì)算機(jī)的安全設(shè)置不規(guī)范，缺乏基本的安全防護(hù)；

(2) 沒(méi)有及時(shí)安裝安全補(bǔ)丁和防病毒軟件，用戶(hù)系統(tǒng)缺乏常規(guī)的安全維護(hù)；

(3) 用戶(hù)隨意安裝未經(jīng)安全認(rèn)證的應(yīng)用軟件，或從外部網(wǎng)絡(luò)下載含有缺陷或木馬后門(mén)的程序，產(chǎn)生安全漏洞；

(4) 任意使用移動(dòng)存儲(chǔ)工具、光驅(qū)、軟驅(qū)、或是打印設(shè)備等，非法復(fù)制，拷貝資料無(wú)法發(fā)現(xiàn)，事后也無(wú)法追查；

(5) 計(jì)算機(jī)硬件設(shè)備(如內(nèi)存，硬盤(pán))被更換或盜走，軟件隨意變更。

1.3 企業(yè)的內(nèi)部安全需求

來(lái)自網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)終端的安全威脅是眾多安全管理人員所普遍面臨的棘手問(wèn)題。大量分散的網(wǎng)絡(luò)客戶(hù)端有效管理必須借助高效的管理工具才能實(shí)現(xiàn)。這類(lèi)工具要具備以下基本功能：

(1) 基于統(tǒng)一的管理平臺(tái)；

(2) 自動(dòng)分發(fā)和執(zhí)行統(tǒng)一的安全策略；

(3) 自動(dòng)發(fā)現(xiàn)終端設(shè)備的系統(tǒng)漏洞并自動(dòng)分發(fā)補(bǔ)??；

(4) 快速有效的安全事件響應(yīng)，及時(shí)阻斷入侵和異常網(wǎng)絡(luò)連接；

(5) 監(jiān)控和管理用戶(hù)的網(wǎng)上行為，限制某些網(wǎng)絡(luò)操作；

(6) 全面的日志審計(jì)功能。

2 客戶(hù)端安全管理解決方案

2.1 策略管理的基本概念

由IETF(Internet Engineering Task Force)提出的策略管理思想是先進(jìn)的網(wǎng)絡(luò)管理技術(shù)，其設(shè)計(jì)目標(biāo)就是使網(wǎng)絡(luò)管理過(guò)程的集成化和自動(dòng)化。在標(biāo)準(zhǔn)的策略框架內(nèi)，無(wú)需考慮網(wǎng)絡(luò)設(shè)備數(shù)量、廠商型號(hào)和安裝位置，而網(wǎng)絡(luò)優(yōu)化、配置更新、調(diào)整服務(wù)等操作也可以輕而易舉地完成，極大地簡(jiǎn)化了大型復(fù)雜網(wǎng)絡(luò)的管理維護(hù)工作。

當(dāng)前，該領(lǐng)域的研究還處于起步階段，主要研究集中在策略語(yǔ)言描述、策略信息模型建立；安全策略規(guī)范、傳輸協(xié)議以及安全事件識(shí)別與聯(lián)動(dòng)響應(yīng)；策略管理系統(tǒng)設(shè)計(jì)和軟硬件接口等方面。多數(shù)研究還處于探索和試驗(yàn)階段，限于網(wǎng)絡(luò)設(shè)備類(lèi)型的復(fù)雜情況和各廠家產(chǎn)品對(duì)標(biāo)準(zhǔn)協(xié)議的支持不同，尤其在客戶(hù)端管理上，難于實(shí)現(xiàn)統(tǒng)一的策略管理系統(tǒng)，因此還沒(méi)有較為實(shí)用的解決方案。

2.2 策略管理的關(guān)鍵技術(shù)

策略管理系統(tǒng)由策略管理工具(PMT)、策略庫(kù)(PDB)、策略服務(wù)器(PDP)和策略執(zhí)行點(diǎn)(PEP) 四部分組成。涉及主要技術(shù)包括策略定義和描述、策略管理工具開(kāi)發(fā)、策略決策與分發(fā)、策略事件響應(yīng)與聯(lián)動(dòng)、策略執(zhí)行與信息反饋等。本文重點(diǎn)討論用于客戶(hù)端管理的策略執(zhí)行點(diǎn)設(shè)計(jì)的幾個(gè)關(guān)鍵技術(shù)。

在策略管理系統(tǒng)中，策略執(zhí)行點(diǎn)作為一個(gè)軟件模塊安裝在受控主機(jī)中，實(shí)現(xiàn)安全監(jiān)控、事件響應(yīng)、策略請(qǐng)求和策略執(zhí)行等一系列策略管理功能。該軟件模塊由信息采集、事件響應(yīng)、狀態(tài)監(jiān)控、策略執(zhí)行、日志審計(jì)、通信接口等功能模塊組成。其基本結(jié)構(gòu)如圖1所示。

圖1 策略執(zhí)行點(diǎn)結(jié)構(gòu)

(1) 信息采集模塊設(shè)計(jì)

該模塊采集用戶(hù)主機(jī)配置、登錄賬戶(hù)、系統(tǒng)升級(jí)、安全補(bǔ)丁、防病毒軟件安裝和升級(jí)等信息，為策略決策和分發(fā)提供支持。

信息采集功能多數(shù)通過(guò)調(diào)用系統(tǒng)API實(shí)現(xiàn)，同時(shí)提供第三方應(yīng)用程序接口，便于應(yīng)用戶(hù)要求進(jìn)行二次開(kāi)發(fā)。

(2) 狀態(tài)監(jiān)控模塊設(shè)計(jì)

狀態(tài)監(jiān)控模塊可以在服務(wù)器支持下實(shí)現(xiàn)包括安全掃描、注冊(cè)表監(jiān)控、進(jìn)程監(jiān)控、事件預(yù)警等各項(xiàng)功能。

狀態(tài)監(jiān)控是一個(gè)獨(dú)立開(kāi)發(fā)的功能模塊，與一般的網(wǎng)絡(luò)安全軟件不同，基于策略的安全管理系統(tǒng)不需要將這類(lèi)軟件都安裝在客戶(hù)機(jī)上，而是統(tǒng)一部署在專(zhuān)用服務(wù)器上，需要時(shí)由策略代理調(diào)用即可，這不但節(jié)省了用戶(hù)資源，而且也便于管理和維護(hù)。更重要的是把那些網(wǎng)絡(luò)安全廠家所提供的專(zhuān)業(yè)工具與企業(yè)網(wǎng)絡(luò)安全管理實(shí)現(xiàn)了無(wú)縫結(jié)合，既保證了系統(tǒng)的強(qiáng)大功能和可靠性，又極大地簡(jiǎn)化了網(wǎng)絡(luò)安全管理工作。

(3) 事件響應(yīng)模塊設(shè)計(jì)

事件響應(yīng)模塊捕捉系統(tǒng)的安全事件，如變更登錄賬號(hào)、修改配置、軟件安裝、更新網(wǎng)絡(luò)連接、插拔移動(dòng)設(shè)備以及系統(tǒng)定義的上網(wǎng)操作等。

模塊感知事件信息后上傳給策略服務(wù)器，由服務(wù)器根據(jù)預(yù)定義的安全策略調(diào)用相應(yīng)的策略規(guī)則下發(fā)給客戶(hù)端執(zhí)行，依此將客戶(hù)端置于安全策略的管理之下。

策略管理中的安全事件響應(yīng)策略可以預(yù)先設(shè)定系統(tǒng)對(duì)哪些客戶(hù)端事件做出響應(yīng)。用戶(hù)的安全級(jí)別不同，對(duì)應(yīng)的安全策略也有所不同，系統(tǒng)管理員可以輕松地通過(guò)修改安全策略實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)任意用戶(hù)的安全管理。

(4) 策略執(zhí)行模塊設(shè)計(jì)

策略執(zhí)行模塊負(fù)責(zé)受理和執(zhí)行服務(wù)器下發(fā)的安全策略，主要是安全配置、系統(tǒng)漏洞或病毒掃描、安裝補(bǔ)丁、軟件更新等操作，并將執(zhí)行情況存入日志庫(kù)備案。

策略執(zhí)行模塊提供客戶(hù)端操作界面，用戶(hù)可以手工執(zhí)行其功能來(lái)檢測(cè)和修補(bǔ)系統(tǒng)的安全漏洞，等同于為用戶(hù)配備了一組安全維護(hù)工具，有效地防止因隨意安裝第三方工具軟件而產(chǎn)生的沖突和故障，確保系統(tǒng)的完整性和可靠性。

2.3 策略管理系統(tǒng)拓?fù)浣Y(jié)構(gòu)

基于策略的企業(yè)網(wǎng)安全管理系統(tǒng)由策略管理中心、策略服務(wù)器、策略數(shù)據(jù)庫(kù)和嵌入式的策略執(zhí)行點(diǎn)組成，其網(wǎng)絡(luò)結(jié)構(gòu)如圖2所示。

策略管理系統(tǒng)基于“集中管理、分布部署”的思想，采用模塊化結(jié)構(gòu)設(shè)計(jì)，以策略管理為核心，為客戶(hù)提供對(duì)全網(wǎng)的集中、高效的管理手段，客戶(hù)可根據(jù)自己網(wǎng)絡(luò)的實(shí)際需要進(jìn)行有針對(duì)性的功能選擇，大大降低安全管理的工作負(fù)荷和技術(shù)風(fēng)險(xiǎn)，確保在有限的投資預(yù)算中滿(mǎn)足各種類(lèi)型企業(yè)用戶(hù)的安全需求。適合部署在各類(lèi)企業(yè)網(wǎng)絡(luò)系統(tǒng)中，保護(hù)終端主機(jī)的安全。

圖2 基于策略管理系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)

3 結(jié)論與展望

此項(xiàng)研究利用自主開(kāi)發(fā)的策略代理模塊，將策略管理系統(tǒng)拓展至用戶(hù)桌面，真正實(shí)現(xiàn)通過(guò)單一的安全策略部署，就可以在組織內(nèi)部所有桌面主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備上部署和執(zhí)行，為客戶(hù)提供了實(shí)用的整體安全解決方案。

該系統(tǒng)在簡(jiǎn)化操作、降低總體擁有成本和適應(yīng)未來(lái)擴(kuò)展需求等方面都有突出的優(yōu)勢(shì)，隨著策略管理工具開(kāi)發(fā)、策略代理和通信協(xié)議標(biāo)準(zhǔn)化以及策略驅(qū)動(dòng)的聯(lián)動(dòng)響應(yīng)等各方面的研究和開(kāi)發(fā)應(yīng)用，將在未來(lái)的網(wǎng)絡(luò)安全管理中發(fā)揮出日益重要的作用。

[1]北信源軟件有限公司.內(nèi)網(wǎng)安全管理及補(bǔ)丁分發(fā)系統(tǒng)技術(shù)白皮書(shū)[R].http://www.docin.com/p-53461412.html. 2005.

[2]A.Westerinen,J.Schnizlein,J.Strassner.Terminology for Policy based Management [s].IETF RFC3198.2001.

[3]盧錦泉.基于策略的網(wǎng)絡(luò)管理的研究[D].廣西大學(xué).2006.

[4]李敬國(guó).基于策略的網(wǎng)絡(luò)安全管理的技術(shù)研究[D].上海交通大學(xué).2003.

[5]郝寧,羅軍舟,楊明.安全聯(lián)動(dòng)響應(yīng)中安全策略中心的設(shè)計(jì)與應(yīng)用[C].武漢大學(xué)學(xué)報(bào)(理學(xué)版).2004.

[6]向軍,齊德昱,徐克付等.基于綜合聯(lián)動(dòng)機(jī)制的網(wǎng)絡(luò)安全模型研究[C].計(jì)算機(jī)工程與應(yīng)用.2008.

[7]王新華,韋衛(wèi),朱震.基于策略的網(wǎng)絡(luò)安全設(shè)備管理系統(tǒng)[C].計(jì)算機(jī)工程與應(yīng)用.2005.

[8]韓銳生,趙彬,徐開(kāi)勇.基于策略的一體化網(wǎng)絡(luò)安全管理系統(tǒng)[C].計(jì)算機(jī)工程.2009.