楊冠杰

摘 要： 為了減少網(wǎng)絡(luò)異常事件發(fā)生，需要將網(wǎng)絡(luò)管理、通信控制等方面聯(lián)系起來共同進(jìn)行網(wǎng)絡(luò)防御。因此，設(shè)計信息保障技術(shù)框架（IATF）思想下的網(wǎng)絡(luò)安全系統(tǒng)。設(shè)計的系統(tǒng)由內(nèi)網(wǎng)、訪問控制模塊、外網(wǎng)與業(yè)務(wù)網(wǎng)組成，其三層網(wǎng)絡(luò)框架使網(wǎng)絡(luò)設(shè)施部署與信息隔離變得更加容易。訪問控制模塊利用IATF思想在信息傳輸裝置上建立多層強力安全防御機制，設(shè)計網(wǎng)絡(luò)安全防御體系與IATF信息安全防御模型，實現(xiàn)IATF認(rèn)證與授權(quán)機制。實驗結(jié)果表明，該系統(tǒng)的整體運行效果佳，防御性良好。

關(guān)鍵詞： 信息保障技術(shù)框架； 網(wǎng)絡(luò)安全系統(tǒng)； 三層網(wǎng)絡(luò)框架； 防御機制； 性能測試； 認(rèn)證

中圖分類號： TN915.08?34； TP309 文獻(xiàn)標(biāo)識碼： A 文章編號： 1004?373X（2018）01?0081?04

Abstract： In order to reduce the occurrence of network abnormal events， it is necessary to combine the network management， communication control and other aspects for network defense. Therefore， a network security system based on information assurance technology framework （IATF） was designed. The system is composed of internal network， access control module， external network and business network. And its three?layer network framework makes the network facilities deployment and information isolation easier. The IATF thought is used to establish the multi?layer powerful security defense mechanism in the information transmission device. The network security defense system and IATF information security defense model were designed to realize the IATF authentication and authorization mechanism. The experimental results show that the system has perfect overall running performance and high defensive performance.

Keywords： information assurance technology framework； network security system； three?layer network framework； defense mechanism； performance test； authentication

當(dāng)前社會已經(jīng)進(jìn)入互聯(lián)時代，網(wǎng)絡(luò)對社會生活的方方面面皆影響深遠(yuǎn)，全球信息化更是極大地改變了社會狀態(tài)，網(wǎng)絡(luò)信息傳播已成為一種極其常見的通信方式。一個國家對網(wǎng)絡(luò)信息的應(yīng)用情況標(biāo)志著一個國家的互聯(lián)狀態(tài)，是提升綜合國力、促進(jìn)科技發(fā)展的關(guān)鍵所在。網(wǎng)絡(luò)開放性與復(fù)雜性是不安全事件切入點，傳統(tǒng)的網(wǎng)絡(luò)安全系統(tǒng)往往只側(cè)重于安全防御設(shè)計，不能主動避免入侵與攻擊，有很大幾率造成私人信息泄露與資源篡改。信息保障技術(shù)框架簡稱IATF，該思想能將管理、控制、策略、修正與保護等方面密切聯(lián)系在一起，令網(wǎng)絡(luò)安全系統(tǒng)變成能夠指導(dǎo)安全防護方向的中心基站，建立起完整的防護機制，確保信息私密性與有效性。

1 IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)設(shè)計及應(yīng)用

1.1 設(shè)計思想

IATF思想是指在信息傳輸裝置上建立多層強力安全防御機制，如圖1所示，IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)由內(nèi)網(wǎng)、訪問控制模塊、外網(wǎng)與業(yè)務(wù)網(wǎng)四部分組成，共擁有三層網(wǎng)絡(luò)框架[1]。其中，內(nèi)網(wǎng)是基礎(chǔ)服務(wù)網(wǎng)絡(luò)，也是用戶能夠直接接觸到的網(wǎng)絡(luò)；外網(wǎng)負(fù)責(zé)向內(nèi)網(wǎng)傳輸信息，是病毒與入侵事件的發(fā)源地，包含網(wǎng)絡(luò)防火墻、路由器與交換機；業(yè)務(wù)網(wǎng)負(fù)責(zé)輸出網(wǎng)絡(luò)功能，為生產(chǎn)、生活、娛樂提供應(yīng)用與代碼的下載接口?？刂颇K中含有IATF信息安全防御模型，是系統(tǒng)的安全防御核心。

在進(jìn)行IATF思想下網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計時，首先需要建立適當(dāng)?shù)陌踩烙鶛C制，利用安全防御機制對網(wǎng)絡(luò)信息的傳輸與訪問實施控制，盡量避免直接調(diào)用或訪問信息[2]。其次，采用PKI/CA（Public Key Infrastructure/ Certificate Authority，公共秘鑰基礎(chǔ)設(shè)施/認(rèn)證中心）進(jìn)行用戶登錄認(rèn)證代理，多角度解決資源信息問題。最后，建立內(nèi)網(wǎng)、外網(wǎng)虛擬隔離網(wǎng)絡(luò)，利用IPSec（Internet Protocol Security，網(wǎng)絡(luò)安全架構(gòu)）協(xié)議遠(yuǎn)程訪問虛擬隔離網(wǎng)絡(luò)，令內(nèi)網(wǎng)與外網(wǎng)之間不存在任何真實連接網(wǎng)絡(luò)，將病毒與入侵直接隔離在外網(wǎng)[3]，最大限度保證內(nèi)網(wǎng)安全。

1.2 三層網(wǎng)絡(luò)框架設(shè)計

傳統(tǒng)網(wǎng)絡(luò)安全系統(tǒng)采用平面網(wǎng)絡(luò)框架，IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)則被調(diào)整成三層網(wǎng)絡(luò)框架，這種設(shè)計使網(wǎng)絡(luò)設(shè)施部署與信息隔離變得更加容易，可保障內(nèi)網(wǎng)與業(yè)務(wù)網(wǎng)中的信息安全，外網(wǎng)對整個網(wǎng)絡(luò)連接的修護能力也變得更加有效，容易同時進(jìn)行多點管理與控制。

1.2.1 外網(wǎng)設(shè)計

外網(wǎng)一般面向公共網(wǎng)絡(luò)，設(shè)有外部資源接口，因此最容易受到網(wǎng)絡(luò)入侵[4]。外網(wǎng)通過路由器連接內(nèi)網(wǎng)傳輸目標(biāo)位置進(jìn)行信息通信，合理的路由安全協(xié)議可有效防御通信過程中的病毒與入侵，IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)的外網(wǎng)路由安全協(xié)議如表1所示。endprint

外網(wǎng)防火墻與入侵檢測工具相連，進(jìn)行基礎(chǔ)的防御與報警任務(wù)，特別是對“拒絕服務(wù)”項目和“用戶登錄”項目中不合理操作的完全攔截。

1.2.2 內(nèi)網(wǎng)與業(yè)務(wù)網(wǎng)設(shè)計

內(nèi)網(wǎng)位于三層網(wǎng)絡(luò)框架的中間層，業(yè)務(wù)網(wǎng)位于最底層。內(nèi)網(wǎng)對外網(wǎng)、業(yè)務(wù)網(wǎng)進(jìn)行訪問時需要通過秘鑰認(rèn)證與授權(quán)，外網(wǎng)、業(yè)務(wù)網(wǎng)訪問內(nèi)網(wǎng)同樣需要通過秘鑰認(rèn)證與授權(quán)。秘鑰采用RSA公鑰加密算法[5]進(jìn)行編寫，認(rèn)證與授權(quán)行為皆由IATF信息安全防御模型負(fù)責(zé)。

業(yè)務(wù)網(wǎng)只能對內(nèi)網(wǎng)進(jìn)行訪問，通過交換機實現(xiàn)信息傳輸，安全防御任務(wù)由內(nèi)網(wǎng)防火墻全權(quán)負(fù)責(zé)。內(nèi)網(wǎng)防火墻連接的是業(yè)務(wù)網(wǎng)中所有應(yīng)用程序接口，IATF思想下網(wǎng)絡(luò)安全系統(tǒng)進(jìn)行的計算、備份、調(diào)度等功能皆在業(yè)務(wù)網(wǎng)中實現(xiàn)。

1.3 系統(tǒng)中的IATF思想

IATF由美國安全局制定，是一款專門針對工業(yè)與行政信息進(jìn)行防御的設(shè)計思想，圖2是其思想基礎(chǔ)結(jié)構(gòu)。IATF通過探測基礎(chǔ)支持設(shè)施、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、網(wǎng)絡(luò)邊緣以及計算環(huán)境的信息私密性、有效性、允許檢驗性實施網(wǎng)絡(luò)防御[6]，為網(wǎng)絡(luò)提供自體保護、偵察與自動修護能力。

IATF的三個核心要素是用戶、操作以及技術(shù)，強調(diào)用戶信息私密性與安全性、操作準(zhǔn)確性以及技術(shù)完善性，也可以理解成用戶、操作、技術(shù)是保障網(wǎng)絡(luò)安全的核心[7]。圖3是根據(jù)IATF三個核心要素設(shè)計出的網(wǎng)絡(luò)安全防御體系，這個體系以信息安全機制為出發(fā)點，令信息操作體系、技術(shù)防御體系以及防御法律法規(guī)進(jìn)行相互作用，合理安排防御節(jié)點與防御內(nèi)容，避免產(chǎn)生安全漏洞。

圖4給出了具體的IATF信息安全防御模型，這個模型以圖3中的網(wǎng)絡(luò)安全防御體系為核心，對網(wǎng)絡(luò)進(jìn)行保護→檢測→響應(yīng)→復(fù)原→保護的循環(huán)流程操作。IATF信息安全防御模型的設(shè)計思想是加強靜態(tài)、動態(tài)防御資源占用量，減少病毒、入侵響應(yīng)資源占用量，側(cè)重點在于保護與檢測。這樣設(shè)計可以減少網(wǎng)絡(luò)曝光時間，防止系統(tǒng)在實施防御過程時產(chǎn)生新的安全漏洞。

2 網(wǎng)絡(luò)安全系統(tǒng)中IATF思想的實現(xiàn)

IATF在網(wǎng)絡(luò)安全系統(tǒng)中進(jìn)行的認(rèn)證與授權(quán)任務(wù)是系統(tǒng)處理核心，其機制為PKI/CA，如圖5所示，系統(tǒng)進(jìn)行的是集中認(rèn)證與集中授權(quán)，前提是用戶必須先通過身份檢驗并成功登錄到系統(tǒng)內(nèi)網(wǎng)[8]，只存在于外網(wǎng)或業(yè)務(wù)網(wǎng)的用戶是不具備認(rèn)證與授權(quán)資格的。

認(rèn)證與授權(quán)在內(nèi)網(wǎng)服務(wù)器上進(jìn)行，內(nèi)網(wǎng)、外網(wǎng)的瀏覽器與業(yè)務(wù)網(wǎng)的應(yīng)用程序都可以作為認(rèn)證與授權(quán)接入點。用戶、資源、行為與網(wǎng)絡(luò)環(huán)境是認(rèn)證與授權(quán)的四大要素。通過認(rèn)證與授權(quán)后，用戶便可借助輕量目錄訪問協(xié)議來訪問信息。

3 實驗結(jié)果與分析

本文對IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)進(jìn)行了重點設(shè)計，對一個應(yīng)用性良好的網(wǎng)絡(luò)安全系統(tǒng)來講，在優(yōu)質(zhì)的運行效果下全方位、無死角地提升系統(tǒng)防御能力是極其重要的。令本文系統(tǒng)在某鐵路網(wǎng)絡(luò)上進(jìn)行安全防御實驗，分別進(jìn)行系統(tǒng)的性能測試與防御性驗證。

3.1 性能測試

進(jìn)行IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)性能測試旨在全面檢驗系統(tǒng)運行效果。測試對象包含安全機制、用戶登錄、抵御入侵服務(wù)器、異常數(shù)據(jù)隔離層、網(wǎng)絡(luò)應(yīng)用軟件。測試內(nèi)容包含網(wǎng)絡(luò)響應(yīng)情況與資源使用情況。

實驗給予鐵路網(wǎng)絡(luò)大流量與大負(fù)載，系統(tǒng)性能測試工具為Quick Test Professional。Quick Test Professional是一種主動測試工具，可進(jìn)行重復(fù)測試，VBScript為其腳本支持語言，該語言的普及面很廣，測試工作相對容易。

本文系統(tǒng)的性能測試結(jié)果如表2，表3所示，結(jié)果表明，本文系統(tǒng)的安全機制、用戶登錄、抵御入侵服務(wù)器、異常數(shù)據(jù)隔離層以及網(wǎng)絡(luò)應(yīng)用軟件的網(wǎng)絡(luò)響應(yīng)情況與資源使用情況均滿足鐵路網(wǎng)絡(luò)的日常應(yīng)用需求，能夠很好地進(jìn)行網(wǎng)絡(luò)防御。

3.2 防御性驗證

IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)的防御性表現(xiàn)在兩個方面：一是傳輸代碼的不可偽造性；二是信息傳輸結(jié)果的完整性[8]。設(shè)鐵路網(wǎng)絡(luò)需要傳輸?shù)臄?shù)據(jù)包為[V，]IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)為數(shù)據(jù)包[V]設(shè)置的通信秘鑰為[h，]則傳輸信息的基本形式為：

[VC=V+hdID] （1）

式中：[dID]中記錄的是傳輸起止方位身份標(biāo)識碼；數(shù)據(jù)包[V]傳輸?shù)侥繕?biāo)方位的傳輸信息與[VC]越相似，且數(shù)據(jù)包[V]越完整，系統(tǒng)的防御性越強。

圖6，圖7是在本文系統(tǒng)支持下鐵路網(wǎng)絡(luò)接收到的數(shù)據(jù)包相似性與完整性折線圖，實驗共提供10個數(shù)據(jù)包，數(shù)據(jù)包容量依次遞增，平均遞增步長為500 MB，數(shù)據(jù)包最大容量為30 GB，[dID]各不相同。由圖6和圖7可知，在本文系統(tǒng)的防御下，隨數(shù)據(jù)包容量的不斷增加，數(shù)據(jù)傳輸?shù)南嗨菩耘c完整性均逐漸下降。在傳輸30 GB數(shù)據(jù)包時，數(shù)據(jù)包相似性與完整性分別為0.965和0.994，顯示出本文系統(tǒng)良好的防御性。

4 結(jié) 語

本文設(shè)計IATF思想下的網(wǎng)絡(luò)安全系統(tǒng)，系統(tǒng)以IATF為指導(dǎo)思想構(gòu)建網(wǎng)絡(luò)安全防御結(jié)構(gòu)并進(jìn)行實現(xiàn)。利用Quick Test Professional工具測試系統(tǒng)性能，包括系統(tǒng)的安全機制、用戶登錄、抵御入侵服務(wù)器、異常數(shù)據(jù)隔離層以及網(wǎng)絡(luò)應(yīng)用軟件的網(wǎng)絡(luò)響應(yīng)情況與資源使用情況，并設(shè)計鐵路網(wǎng)絡(luò)通信實驗，驗證系統(tǒng)防御性。實驗結(jié)果表明，本文系統(tǒng)可通過性能測試，并具備良好的防御性，能夠很好地進(jìn)行網(wǎng)絡(luò)防御。

參考文獻(xiàn)

[1] 房瀟，李玉東，馬琳，等.基于模糊理論的信息系統(tǒng)安全防護有效性評估研究[J].計算機與數(shù)字工程，2015，43（4）：661?665.

FANG Xiao， LI Yudong， MA Lin. et al. Effectiveness assessment of controls taken in information system based on fuzzy theory [J]. Computer and digital engineering， 2015， 43（4）： 661?665.endprint

[2] 呂欣，韓曉露，畢鈺，等.大數(shù)據(jù)安全保障框架與評價體系研究[J].信息安全研究，2016，2（10）：913?919.

L? Xin， HAN Xiaolu， BI Yu， et al. Research on the framework and evaluation system of big data security assurance [J]. Journal of information security research， 2016， 2（10）： 913?919.

[3] 馮茜，王磊.無人機自動駕駛系統(tǒng)穩(wěn)定性控制優(yōu)化仿真[J].計算機仿真，2016，33（7）：65?68.

FENG Qian， WANG Lei. Optimization design of the control system of UAV autonomous study [J]. Computer simulation， 2016， 33（7）： 65?68.

[4] 曹冬.基于安全的邏輯關(guān)系思想在PLC編程上的應(yīng)用[J].中國鉬業(yè)，2016，40（6）：58?60.

CAO Dong. Application of logic relation based on security in PLC programming [J]. China molybdenum industry， 2016， 40（6）： 58?60.

[5] DING H. Application and design of patient temperature acquisition system based on wireless sensor network [J]. International journal of online engineering， 2017， 13（5）： 18?22.

[6] 魏先勇，王化喆.基于軟件的網(wǎng)絡(luò)安全評測系統(tǒng)研究與設(shè)計[J].現(xiàn)代電子技術(shù)，2016，39（1）：89?92.

WEI Xianyong， WANG Huazhe. Research and design of network security evaluation system based on software [J]. Modern electronics technique， 2016， 39（1）： 89?92.

[7] 李升友，楊國梁，多英全，等.安全系統(tǒng)思想內(nèi)涵及其應(yīng)用研究：探討用安全系統(tǒng)思想實現(xiàn)城市安全發(fā)展[J].中國安全生產(chǎn)科學(xué)技術(shù)，2016，12（7）：145?149.

LI Shengyou， YANG Guoliang， DUO Yingquan， et al. Study on connotation of safety system idea and its application?discussion on implementing urban safety development with safety system idea [J]. Journal of safety science and technology， 2016， 12（7）： 145?149.

[8] FAN Q， WANG T， CHEN Y， et al. Design and application of fuzzy logic system based on QPSO intelligent algorithm [J]. ICIC express letters， 2017， 11（1）： 133?149.endprint