陳帥

（杭州師范大學(xué)錢(qián)江學(xué)院 計(jì)算機(jī)科學(xué)與技術(shù)專(zhuān)業(yè)，浙江 杭州 310012）

1 引言

當(dāng)前，政府、企業(yè)等主要的內(nèi)網(wǎng)組建者在網(wǎng)絡(luò)安全防護(hù)建設(shè)中，普遍采用傳統(tǒng)的內(nèi)網(wǎng)邊界安全防護(hù)技術(shù)，即在內(nèi)網(wǎng)的邊緣設(shè)置網(wǎng)關(guān)型邊界防火墻、AAA認(rèn)證、入侵檢測(cè)系統(tǒng)IDS等等網(wǎng)絡(luò)邊界安全防護(hù)技術(shù)，對(duì)網(wǎng)絡(luò)入侵進(jìn)行監(jiān)控和防護(hù)，抵御來(lái)自外網(wǎng)的攻擊，防止內(nèi)網(wǎng)資源、信息遭受損失，保證內(nèi)網(wǎng)業(yè)務(wù)流程的有效進(jìn)行。這種解決策略是針對(duì)外部入侵的防范，對(duì)于來(lái)自網(wǎng)絡(luò)內(nèi)部的對(duì)企業(yè)網(wǎng)絡(luò)資源、信息資源的破壞和非法行為的安全防護(hù)卻起不到任何作用。對(duì)于那些需要經(jīng)常移動(dòng)的終端設(shè)備在安全防護(hù)技術(shù)就更是鞭長(zhǎng)莫及了，由此可能會(huì)嚴(yán)重危及內(nèi)部網(wǎng)絡(luò)的安全。

2 內(nèi)網(wǎng)安全訪問(wèn)控制系統(tǒng)

2.1 系統(tǒng)安全機(jī)制

系統(tǒng)的安全機(jī)制包括以下幾個(gè)部分：

標(biāo)識(shí)與鑒別。標(biāo)識(shí)與鑒別是涉及系統(tǒng)和用戶的一個(gè)過(guò)程。標(biāo)識(shí)就是系統(tǒng)要標(biāo)識(shí)用戶的身份，并為每個(gè)用戶分配一個(gè)名稱(chēng)用戶標(biāo)識(shí)符(UserID)。用戶標(biāo)識(shí)符必須是唯一的并且不能被偽造。將用戶標(biāo)識(shí)符與用戶聯(lián)系的動(dòng)作稱(chēng)為鑒別。為了識(shí)別用戶的真實(shí)身份，它總是需要用戶具有能夠證明他身份的特殊信息，這個(gè)信息是秘密的，任何其他用戶都不能擁有它，用標(biāo)識(shí)與鑒別來(lái)識(shí)別用戶是安全控制機(jī)制中非常重要的一個(gè)環(huán)節(jié)。通常鑒別都是在用戶登錄時(shí)發(fā)生。一般使用用戶名與密碼的方式進(jìn)行標(biāo)識(shí)與鑒別，因此口令的管理是一項(xiàng)非常重要的工作。更安全的身份認(rèn)證方法是一次性口令，智能卡等方式。

入侵監(jiān)測(cè)。任何信息系統(tǒng)中都不能保證不存在安全漏洞，而且無(wú)論在理論上還是在實(shí)踐上都不可能完全填補(bǔ)系統(tǒng)的安全漏洞，也沒(méi)有一種辦法可以徹底的解決合法用戶在通過(guò)身份識(shí)別后濫用特權(quán)的問(wèn)題。因此，入侵監(jiān)測(cè)系統(tǒng)成為保護(hù)系統(tǒng)安全的一個(gè)必要的補(bǔ)充手段。

目前用于入侵監(jiān)測(cè)系統(tǒng)的主要是兩類(lèi)通用的模型:

①異常(Anomaly)檢測(cè)方法。這一方法是基于用戶的習(xí)慣行為特征被統(tǒng)計(jì)在行為描述數(shù)據(jù)庫(kù)中，以此與用戶當(dāng)前會(huì)話內(nèi)的行為特征進(jìn)行比較。兩者比較發(fā)現(xiàn)足夠大的偏差時(shí)，檢測(cè)系統(tǒng)向安全管理人員提交報(bào)告。

②特權(quán)濫用(Misuse)檢測(cè)方法。這一方法使用存放在濫用數(shù)據(jù)庫(kù)內(nèi)的先驗(yàn)專(zhuān)家系統(tǒng)規(guī)則來(lái)對(duì)用戶的行為特征進(jìn)行判斷，報(bào)告可能的攻擊行為。

入侵檢測(cè)系統(tǒng)最主要的問(wèn)題是實(shí)時(shí)響應(yīng)問(wèn)題，因?yàn)樗枰幚淼臄?shù)據(jù)量十分巨大，因此入侵檢測(cè)需要借用人工智能統(tǒng)計(jì)學(xué)，信息理論及機(jī)器學(xué)習(xí)等領(lǐng)域的一些成果。把這些成果融合，設(shè)計(jì)進(jìn)入侵檢測(cè)系統(tǒng)中，對(duì)入侵監(jiān)測(cè)系統(tǒng)的影響正在研究之中。

病毒防護(hù)。目前世界上每天都有新的計(jì)算機(jī)病毒產(chǎn)生，計(jì)算機(jī)病毒給社會(huì)帶來(lái)了難以估量的損失。隨著計(jì)算機(jī)病毒的發(fā)展，計(jì)算機(jī)反病毒的技術(shù)與計(jì)算機(jī)病毒的檢測(cè)技術(shù)也在發(fā)展。第一代反病毒技術(shù)，單純進(jìn)行病毒特征代碼分析，將病毒從帶毒文件中清楚掉，第二代則采用靜態(tài)廣譜特征掃描方法檢測(cè)病毒，可以更多的檢測(cè)到變形病毒，但誤報(bào)率也提高了。第三代反病毒技術(shù)的主要特點(diǎn)是將靜態(tài)掃描與動(dòng)態(tài)仿真跟蹤技術(shù)結(jié)合起來(lái)，第四代反病毒技術(shù)，基于病毒家族體系的命名規(guī)則、多位CRC校驗(yàn)和掃描機(jī)理、啟發(fā)式智能代碼分析模塊、動(dòng)態(tài)數(shù)據(jù)還原模塊、內(nèi)存解毒模塊、自身免疫模塊等先進(jìn)的反病毒技術(shù)，較好的解決了以前反病毒技術(shù)顧此失彼的狀態(tài)。

密碼技術(shù)。計(jì)算機(jī)系統(tǒng)經(jīng)常需要采用數(shù)據(jù)加密的方法從體制上保證信息不被篡改和泄漏。數(shù)據(jù)加密不僅可以用于數(shù)據(jù)保密，而且也可以通過(guò)加密/解密的雙向變換實(shí)現(xiàn)對(duì)數(shù)據(jù)的完整性檢驗(yàn)。密碼技術(shù)是對(duì)傳輸信息和存儲(chǔ)信息進(jìn)行保護(hù)的重要手段，可以大大加強(qiáng)信息保密性、完整性、可認(rèn)證性等。密碼技術(shù)可以實(shí)現(xiàn)信息加密、數(shù)字簽名等安全服務(wù)。加密算法根據(jù)密鑰性質(zhì)的不同，可以分為以下兩類(lèi)：①對(duì)稱(chēng)密鑰體制。傳統(tǒng)的對(duì)稱(chēng)密鑰體制特點(diǎn)是無(wú)論加密還是解密都公用一把密鑰，其中最有影響的是美國(guó)國(guó)家標(biāo)準(zhǔn)局頒布的DES(算法數(shù)據(jù)加密標(biāo)準(zhǔn)算法)。②公開(kāi)密鑰體制(非對(duì)稱(chēng)密鑰體制)。公開(kāi)密鑰體制的特點(diǎn)是加密與解密的密鑰不同，并且在理論上或者實(shí)際計(jì)算上不能由加密密鑰推出解密密鑰。所以即使將加密密鑰公開(kāi)也不會(huì)危害解密密鑰的安全。

訪問(wèn)控制。在計(jì)算機(jī)系統(tǒng)中，安全機(jī)制的主要內(nèi)容就是訪問(wèn)控制，它包括以下三個(gè)任務(wù)：① 授權(quán)。確定可以給予那些主體存取客體的權(quán)利；②確定訪問(wèn)權(quán)限。通常是諸如讀、寫(xiě)、執(zhí)行、刪除、添加等訪問(wèn)方式的組合；③實(shí)施訪問(wèn)控制。

這里客體是指一種信息實(shí)體，它們蘊(yùn)含或接受信息，如文件、目錄、管道、消息等，甚至可以包括字、位、通信線路、網(wǎng)絡(luò)節(jié)點(diǎn)等。

2.2 訪問(wèn)控制技術(shù)

在安全操作系統(tǒng)領(lǐng)域，訪問(wèn)控制一般都涉及自主訪問(wèn)控制和強(qiáng)制訪問(wèn)控制兩種。

自主訪問(wèn)控制(DAC)。自主訪問(wèn)的含義是有訪問(wèn)許可的主體能夠直接或間接地向其他主體轉(zhuǎn)讓訪問(wèn)權(quán)。自主訪問(wèn)控制是在確認(rèn)主體身份以及(或)它們所屬的組的基礎(chǔ)上，控制主體的活動(dòng)，實(shí)施用戶權(quán)限管理、訪問(wèn)屬性(讀、寫(xiě)、執(zhí)行)管理等，是一種最為普遍的訪問(wèn)控制手段。自主訪問(wèn)控制的主體可以按自己的意愿決定哪些用戶可以訪問(wèn)他們的資源，亦即主體有自主的決定權(quán)，一個(gè)主體可以有選擇地與其它主體共享他的資源。

強(qiáng)制訪問(wèn)控制 (MAC)。強(qiáng)制訪問(wèn)控制是“強(qiáng)加”給訪問(wèn)主體的，即系統(tǒng)強(qiáng)制主體服從訪問(wèn)控制政策。強(qiáng)制訪問(wèn)控制(MAC)的主要特征是對(duì)所有主體及其所控制的客體(例如：進(jìn)程、文件、段、設(shè)備)實(shí)施強(qiáng)制訪問(wèn)控制。為這些主體及客體指定敏感標(biāo)記，這些標(biāo)記是等級(jí)分類(lèi)和非等級(jí)類(lèi)別的組合，它們是實(shí)施強(qiáng)制訪問(wèn)控制的依據(jù)。系統(tǒng)通過(guò)比較主體和客體的敏感標(biāo)記來(lái)決定一個(gè)主體是否能夠訪問(wèn)某個(gè)客體。用戶的程序不能改變他自己及任何其它客體的敏感標(biāo)記，從而系統(tǒng)可以防止特洛伊木馬的攻擊。強(qiáng)制訪問(wèn)控制一般與自主訪問(wèn)控制結(jié)合使用，并且實(shí)施一些附加的、更強(qiáng)的訪問(wèn)限制。一個(gè)主體只有通過(guò)了自主與強(qiáng)制性訪問(wèn)限制檢查后，才能訪問(wèn)某個(gè)客體。

3 系統(tǒng)總體功能

本系統(tǒng)為一個(gè)基于 C/S結(jié)構(gòu)的系統(tǒng)，主要分為兩個(gè)子系統(tǒng)，一個(gè)為管理中心服務(wù)器端 Server，一個(gè)為管理客戶端 Client。管理中心 Server部署在一個(gè)管理服務(wù)器上，功能主要包括：基于規(guī)則的安全審計(jì)、客戶管理、報(bào)警管理、日志管理等。管理客戶端 Client部署在內(nèi)網(wǎng)的每臺(tái)用戶計(jì)算機(jī)上，功能主要包括：文件訪問(wèn)控制、進(jìn)程訪問(wèn)控制、外設(shè)使用控制、用戶登陸行為控制以及輸入輸出控制、屏幕行為控制等。Client安裝在每臺(tái)工作PC上，當(dāng)用戶登陸進(jìn)入操作系統(tǒng)時(shí)，該客戶端軟件以系統(tǒng)服務(wù)的方式啟動(dòng)，并對(duì)客戶的各種行為進(jìn)行權(quán)限控制和行為跟蹤。用戶身份使用用戶名、密碼、用戶機(jī)的硬盤(pán)序列號(hào)以及MAC地址和 IP地址進(jìn)行識(shí)別，每個(gè)用戶由管理員在 系統(tǒng)中賦予不同的操作權(quán)限，并在自己有效的權(quán)限內(nèi)進(jìn)行文件操作、網(wǎng)絡(luò)訪問(wèn)操作、外設(shè)操作、系統(tǒng)登陸操作等行為。此外，用戶機(jī)上的不安全行為，如病毒、木馬程序的網(wǎng)絡(luò)行為，非信任進(jìn)程行為、不安全的注冊(cè)表訪問(wèn)行為等，都在該系統(tǒng)的監(jiān)控之下。所有行為的允許和不允許都有系統(tǒng)規(guī)則來(lái)管控，系統(tǒng)規(guī)則存于 Server中，Client通過(guò)加密的網(wǎng)絡(luò)通信從 Server中獲得。Server安裝在內(nèi)網(wǎng)中一臺(tái)服務(wù)器中，存儲(chǔ)內(nèi)網(wǎng)中各個(gè) PC用戶機(jī)的訪問(wèn)操作權(quán)限和系統(tǒng)規(guī)則，所有不在Server監(jiān)控審計(jì)之下的 PC用戶和 PC將不能訪問(wèn)網(wǎng)絡(luò)資源和本地資源，也不能進(jìn)行各種操作行為。管理員可以在 Server上建立和修改用戶信息，建立和修改審計(jì)規(guī)則，監(jiān)控客戶 PC行為，管理和審計(jì)日志，在線分發(fā)升級(jí)信息等。

[1]謝剛.《防內(nèi)網(wǎng)信息泄露技術(shù)的研究》.北京工業(yè)大學(xué).2005

[2]秀慧.《計(jì)算機(jī)網(wǎng)絡(luò)安全管理》清華大學(xué)出版社，2003