葉琴琴

（南京曉莊學(xué)院，江蘇 南京 211171）

基于多層分布式結(jié)構(gòu)的企業(yè)內(nèi)網(wǎng)信息安全防護(hù)系統(tǒng)設(shè)計(jì)

葉琴琴

（南京曉莊學(xué)院，江蘇 南京 211171）

企業(yè)內(nèi)網(wǎng)的安全保密問(wèn)題是所有的企業(yè)都面臨的一項(xiàng)重大課題.本文設(shè)計(jì)了基于多層分布式結(jié)構(gòu)的企業(yè)內(nèi)網(wǎng)信息安全防護(hù)系統(tǒng)，具有很好的理論價(jià)值和實(shí)踐意義.

C/S體系；多層分布式；內(nèi)網(wǎng)信息安全

1 引言

在信息安全領(lǐng)域，關(guān)于單位和部門(mén)的內(nèi)網(wǎng)數(shù)據(jù)安全管理問(wèn)題一直被國(guó)內(nèi)外眾多研究學(xué)者重視，對(duì)信息安全關(guān)鍵技術(shù)進(jìn)行研究，提出基于企業(yè)內(nèi)網(wǎng)的安全保密體系，從而使企業(yè)的信息安全保障能力得到提升，使企業(yè)內(nèi)網(wǎng)的安全保密問(wèn)題得到解決，更有效的保護(hù)信息系統(tǒng)和秘密信息，是所有的企業(yè)都面臨的一項(xiàng)重大課題.本文設(shè)計(jì)了基于多層分布式結(jié)構(gòu)的企業(yè)內(nèi)網(wǎng)信息安全防護(hù)系統(tǒng)，并使之適用于目前企業(yè)網(wǎng)絡(luò)環(huán)境.

2 系統(tǒng)設(shè)計(jì)

2.1 系統(tǒng)整體結(jié)構(gòu)

本文在設(shè)計(jì)中，采用多層分布式C/S體系結(jié)構(gòu)，借鑒了傳統(tǒng)的入侵檢測(cè)、網(wǎng)絡(luò)防火墻和C/S模式的監(jiān)控系統(tǒng)的優(yōu)點(diǎn).整個(gè)系統(tǒng)由三部分構(gòu)成，分別是（1）監(jiān)控控制臺(tái)，（2）數(shù)據(jù)中心服務(wù)器，（3）運(yùn)行于受控機(jī)上的監(jiān)控代理，整體架構(gòu)如圖1所示：

在圖中，一個(gè)數(shù)據(jù)中心服務(wù)器擁有多個(gè)監(jiān)控代理，多個(gè)數(shù)據(jù)中心服務(wù)器可以同時(shí)被監(jiān)控控制臺(tái)訪(fǎng)問(wèn)和管理.監(jiān)控控制臺(tái)通過(guò)在各受控客戶(hù)機(jī)中運(yùn)行的監(jiān)控代理服務(wù)，將受控客戶(hù)機(jī)的關(guān)鍵信息褥狀態(tài)、動(dòng)作等實(shí)時(shí)給數(shù)據(jù)中心服務(wù)器報(bào)告，同時(shí)，由監(jiān)控控制臺(tái)的指令由數(shù)據(jù)中心服務(wù)器轉(zhuǎn)達(dá)給監(jiān)控代理.在這樣的機(jī)制之下，一切信息通訊，包括內(nèi)部網(wǎng)各計(jì)算機(jī)之間，以及內(nèi)部網(wǎng)與外部網(wǎng)之間，可以實(shí)時(shí)地由網(wǎng)絡(luò)系統(tǒng)管理員監(jiān)控，系統(tǒng)還能提供一系列功能的集成，包括報(bào)警、統(tǒng)計(jì)、跟蹤、審核等.

本文所實(shí)現(xiàn)的系統(tǒng)是運(yùn)行在包括了Windows，Linux等的多平臺(tái)下，所以不能適用微軟的技術(shù).CORBA作為工業(yè)標(biāo)準(zhǔn)，其顯著優(yōu)勢(shì)在于用戶(hù)能有不一樣的CORBA實(shí)現(xiàn)，但是其實(shí)現(xiàn)的復(fù)雜度非常高.ICE借鑒了CORBA的優(yōu)點(diǎn)，是一種新的分布式實(shí)現(xiàn)技術(shù)，同時(shí)還又避免了它的缺點(diǎn)，具有靈活輕便、使用簡(jiǎn)單、功能更強(qiáng)大、可伸縮性更好等優(yōu)勢(shì)，成為本設(shè)計(jì)的最終選擇.運(yùn)用ICE通信代理結(jié)構(gòu)模型如圖2所示：

在上圖中，通信代理模塊處理所有通信部分.其通訊的對(duì)象在何處各個(gè)模塊不用關(guān)心.如果一個(gè)系統(tǒng)負(fù)載比較大，為平衡負(fù)載，可以建立多個(gè)數(shù)據(jù)中心程序服務(wù)器.既可以在一個(gè)子網(wǎng)內(nèi)分別在不同的機(jī)器上運(yùn)行數(shù)據(jù)中心，也可以同時(shí)存在于多個(gè)子網(wǎng)上.這樣的設(shè)計(jì)模式優(yōu)勢(shì)在于結(jié)構(gòu)更加清晰合理，進(jìn)一步緩解系統(tǒng)中的數(shù)據(jù)阻塞.

2.2 系統(tǒng)功能模塊

系統(tǒng)主要功能包括：

（1）對(duì)用戶(hù)的合法身份進(jìn)行認(rèn)證，在用戶(hù)登錄過(guò)程中實(shí)現(xiàn)對(duì)其的身份認(rèn)證；

（2）基于移動(dòng)磁盤(pán)的安全認(rèn)證，目的是企業(yè)內(nèi)網(wǎng)主機(jī)接入移動(dòng)磁盤(pán)過(guò)程實(shí)現(xiàn)安全認(rèn)證；

（3）基于移動(dòng)磁盤(pán)的安全控制，目的是控制出入企業(yè)內(nèi)網(wǎng)主機(jī)信息流向；

（4）基于網(wǎng)絡(luò)訪(fǎng)問(wèn)的控制，目的是實(shí)時(shí)監(jiān)管用戶(hù)的網(wǎng)絡(luò)行為，防止通過(guò)網(wǎng)絡(luò)泄漏內(nèi)網(wǎng)敏感信息；

（5）系統(tǒng)自身的信息安全防護(hù)，在企業(yè)內(nèi)，實(shí)現(xiàn)基于信息安全防護(hù)系統(tǒng)的安全防護(hù)；

（6）安全審計(jì)功能：目的是全程審計(jì)內(nèi)網(wǎng)用戶(hù)操作過(guò)程.

圖3所示為系統(tǒng)功能模塊組成.

簡(jiǎn)要闡述如下：

（1）企業(yè)內(nèi)網(wǎng)用戶(hù)身份認(rèn)證模塊：對(duì)用戶(hù)的登錄進(jìn)行身份認(rèn)證，利用來(lái)自Windows的GINA接口技術(shù)；對(duì)移動(dòng)磁盤(pán)用戶(hù)的合法性進(jìn)行身份認(rèn)證，利用驗(yàn)證口令和數(shù)字證書(shū)技術(shù)，綁定移動(dòng)磁盤(pán)與用戶(hù)身份.

（2）企業(yè)內(nèi)網(wǎng)移動(dòng)磁盤(pán)安全認(rèn)證模塊：認(rèn)證控制受控計(jì)算機(jī)上的移動(dòng)磁盤(pán)，采用移動(dòng)磁盤(pán)安全認(rèn)證技術(shù).基于邏輯分區(qū)技術(shù)，實(shí)現(xiàn)對(duì)接入計(jì)算機(jī)中的移動(dòng)磁盤(pán)進(jìn)行安全認(rèn)證、注冊(cè)，防止計(jì)算機(jī)接入非法移動(dòng)磁盤(pán).

（3）企業(yè)內(nèi)網(wǎng)移動(dòng)磁盤(pán)讀寫(xiě)控制模塊：安全控制經(jīng)過(guò)移動(dòng)磁盤(pán)安全認(rèn)證的移動(dòng)磁盤(pán)，采用WDM驅(qū)動(dòng)技術(shù)，對(duì)移動(dòng)磁盤(pán)進(jìn)行讀寫(xiě)控制，根據(jù)不同的策略控制移動(dòng)磁盤(pán)權(quán)限.

（4）企業(yè)內(nèi)網(wǎng)網(wǎng)絡(luò)訪(fǎng)問(wèn)控制模塊：監(jiān)控終端用戶(hù)的網(wǎng)絡(luò)訪(fǎng)問(wèn)和網(wǎng)絡(luò)使用等行，對(duì)違反安全策略的網(wǎng)絡(luò)行為進(jìn)行禁止.同時(shí)對(duì)終端用戶(hù)的網(wǎng)絡(luò)行為進(jìn)行記錄，最終形成監(jiān)控日志，同時(shí)將報(bào)警信息向管理人員傳輸.

（5）企業(yè)內(nèi)網(wǎng)系統(tǒng)自防護(hù)模塊：通過(guò)注冊(cè)表保護(hù)及進(jìn)程保護(hù)等技術(shù)實(shí)現(xiàn)對(duì)代理的安全防護(hù).

（6）企業(yè)內(nèi)網(wǎng)安全審計(jì)模塊：從系統(tǒng)用戶(hù)的登錄到內(nèi)網(wǎng)計(jì)算機(jī)系統(tǒng)開(kāi)始，一直至用戶(hù)關(guān)閉計(jì)算機(jī)系統(tǒng)，安全審計(jì)功能為了保留事后的安全事件追查提供依據(jù)，對(duì)用戶(hù)操作過(guò)程的全程的安全審計(jì).

2.3 智能監(jiān)控代理

實(shí)時(shí)主機(jī)資源監(jiān)控系統(tǒng)是基于智能代理而實(shí)現(xiàn)的，代理是實(shí)際的執(zhí)行者，同時(shí)也是體系結(jié)構(gòu)中的重要組成部分.圖4所示為整個(gè)監(jiān)控代理的結(jié)構(gòu):

（1）總控模塊功能：總控模塊在系統(tǒng)剛啟動(dòng)時(shí)，在監(jiān)控服務(wù)器與管控代理取得聯(lián)系之前，對(duì)一些默認(rèn)的全局?jǐn)?shù)據(jù)結(jié)構(gòu)包括保存在受控終端系統(tǒng)中的策略信息等進(jìn)行初始化操作.

（2）策略更新模塊功能：自監(jiān)控服務(wù)器的策略更新指令傳送給策略更新模塊，及時(shí)更新受控終端的本地控制策略集合.

（3）身份認(rèn)證模塊功能：身份認(rèn)證模塊功能是管理終端用戶(hù)的身份，防止非法用戶(hù)登錄計(jì)算機(jī)，實(shí)現(xiàn)對(duì)終端用戶(hù)的登錄實(shí)施基于身份的控制.

（4）移動(dòng)磁盤(pán)認(rèn)證模塊功能：終端代理發(fā)送的請(qǐng)求傳輸至移動(dòng)磁盤(pán)認(rèn)證模塊，實(shí)施對(duì)接入終端的移動(dòng)磁盤(pán)的認(rèn)證控制，基于邏輯分區(qū)，對(duì)接入計(jì)算機(jī)中的移動(dòng)磁盤(pán)進(jìn)行安全認(rèn)證和注冊(cè)，避免計(jì)算機(jī)存在非法移動(dòng)磁盤(pán)接入.

（5）移動(dòng)磁盤(pán)控制模塊功能：根據(jù)所制的不同的策略，移動(dòng)磁盤(pán)安全控制模塊以包括只讀、只寫(xiě)和自由三種方式對(duì)移動(dòng)磁盤(pán)進(jìn)行讀寫(xiě)控制，目的是避免移動(dòng)磁盤(pán)擁有非法權(quán)限.

（6）網(wǎng)絡(luò)控制模塊功能：網(wǎng)絡(luò)訪(fǎng)問(wèn)控制模塊實(shí)施監(jiān)視與控制功能，控制終端用戶(hù)訪(fǎng)問(wèn)網(wǎng)絡(luò)的行為，防止通過(guò)網(wǎng)絡(luò)泄漏敏感信息.

（7）消息處理模塊功能：消息處理模塊完成了管控代理所需要完成的很多功能，是管控代理的主要組成部分.消息處理模塊主要負(fù)責(zé)與監(jiān)控服務(wù)器之間的消息交互，同時(shí)處理與監(jiān)控服務(wù)器的通信.

（8）安全發(fā)送與審計(jì)模塊功能：安全審計(jì)模塊主要功能是記錄與安全相關(guān)的終端用戶(hù)操作，并將與安全相關(guān)的終端用戶(hù)操作給監(jiān)控服務(wù)器提交，以備事后檢查.

（9）報(bào)警和消息生成模塊功能：整個(gè)模塊的功能實(shí)際上可以分為兩部分：報(bào)警模塊和消息生成模塊.消息生成模塊的功能是構(gòu)造管理控制臺(tái)和監(jiān)控服務(wù)器需要的消息，報(bào)警模塊的功能是對(duì)系統(tǒng)中的是否在進(jìn)程控制策略中規(guī)定的合法進(jìn)程集合中用來(lái)檢查.

（10）通信接口模塊功能：通信接口模塊用來(lái)對(duì)管理控制臺(tái)和監(jiān)控服務(wù)器來(lái)的消息進(jìn)行獲取，同時(shí)給監(jiān)控服務(wù)器和管理控制臺(tái)發(fā)送相應(yīng)的響應(yīng)消息（消息處理結(jié)果）.

2.4 監(jiān)控服務(wù)器

圖5所示為監(jiān)控服務(wù)器的結(jié)構(gòu)組成.

下面簡(jiǎn)要介紹監(jiān)控服務(wù)器的功能：

（1）對(duì)管理控制臺(tái)實(shí)施管理：整個(gè)系統(tǒng)的核心和通訊樞紐是監(jiān)控服務(wù)器，只有登錄到監(jiān)控服務(wù)器，管理控制臺(tái)才能實(shí)施對(duì)網(wǎng)內(nèi)所有的計(jì)算機(jī)上的受控移動(dòng)磁盤(pán)進(jìn)行控制.各受控計(jì)算機(jī)上的移動(dòng)磁盤(pán)狀態(tài)信息被監(jiān)控服務(wù)器實(shí)時(shí)地返回給管理控制臺(tái)，同時(shí)響應(yīng)管理控制臺(tái)發(fā)出的指令，從而實(shí)現(xiàn)各受控計(jì)算機(jī)上的移動(dòng)磁盤(pán)被管理控制臺(tái)管理和控制.

（2）對(duì)受控計(jì)算機(jī)的磁盤(pán)實(shí)施管理：所有安裝了管控代理的客戶(hù)計(jì)算機(jī)均為受控計(jì)算機(jī)，對(duì)所有受控計(jì)算機(jī)上的移動(dòng)磁盤(pán)，監(jiān)控服務(wù)器提供統(tǒng)一集中管理.主要包括以下功能：

a查看受控計(jì)算機(jī)上的移動(dòng)磁盤(pán).

b對(duì)受控終端實(shí)施策略管理.

c控制受控終端操作.

d終端日志管理.

3 結(jié)束語(yǔ)

本文建立企業(yè)內(nèi)網(wǎng)信息安全防護(hù)系統(tǒng)是結(jié)合企業(yè)內(nèi)網(wǎng)安全管理內(nèi)在需求，目的是實(shí)現(xiàn)對(duì)企業(yè)內(nèi)網(wǎng)中的主機(jī)的安全保護(hù)，從而使企業(yè)內(nèi)網(wǎng)敏感信息的安全得到良好的保證，具有很好的理論價(jià)值和實(shí)踐意義.

〔1〕張為，梁志勇，劉葵.計(jì)算機(jī)系統(tǒng)信息安全及其安全審計(jì)技術(shù)[J].廣州大學(xué)學(xué)報(bào)(自然科學(xué)版)2010（02）：51-54.

〔2〕王瑛.全網(wǎng)安全審計(jì)與監(jiān)控體系方案設(shè)計(jì)及其在行業(yè)內(nèi)網(wǎng)中的應(yīng)用[D].成都：四川大學(xué)碩士學(xué)位論文，2009.

TP393

A

1673-260X（2011）06-0078-02