网镜业务认证审计系统产品经典白皮书

网镜业务认证审计系统产品白皮书（2007年9月修订）四川赛贝卡信息技术有限公司2007年目录1. 体系结构及系统构成网镜业务认证审计系统集认证、授权、安全响应和安全审计为一体，为计算机系统提供了一个统一、集中的授权、访问操纵和审计平台。

典型的系统配置和部署如下图所示。

网镜系统典型配置安全风险往往出现在“不同”之中，出现在“设想”之外。

网镜业务认证审计系统从多角度显示系统在如何样的运行、后一时刻与前一时刻的运行有何不同，系统的实际运行状况与设计（或设想）的运行模式有何不同，并针对这些不同作出恰当的响应。

网镜业务认证审计系统基于“IP数据俘获→强身份认证→应用层数据分析→审计和响应”实现各项功能，设计中充分贯彻了平台化的思路，使得它具备“安全认证和审计工具”的特征，与基于日志收集的审计系统有着专门大的区不。

基于日志收集的审计系统将原系统中的日志信息收集起来，综合形成审计报告，审计功能受限于原系统的日志功能和访问操纵功能，在审计深度、审计响应的实时性方面都难以获得专门好的审计效果。

在差不多安全功能的基础上，网镜业务认证审计系统可针对具体的应用需求，如FTP/Telnet系统维护操作、SQL数据库维护操作，制定应用级不的认证和审计策略，使得系统能针对具体的应用或业务系统实现命令级不、访问逻辑级不的的认证和审计。

假如再辅以专业安全服务商提供的安全咨询和服务，网镜业务认证审计系统能够更及时、准确地反映系统的安全运行状况，并进行相应的操纵。

网镜业务认证审计系统要紧实现以下安全功能：1.强身份认证和访问操纵：基于CA数字证书或一次性动态口令对访问者进行身份认证，之后依照经认证的身份实现访问操纵，禁止非法用户访问被爱护的信息。

2.应用级的安全审计和响应：特有的“策略库（ApplicationPolicy Library）”能够深入到应用层协议（如操作命令、业务操作过程）实现详细的安全审计，并依照安全策略采取诸如记录、审计、告警、阻断等响应。

3.提供多视角的审计报告：依照实时记录的网络访问情况，提供多种安全审计报告，更清晰地了解系统的使用情况以及安全事件的发生情况，并可依照这些安全审计报告进一步修改和完善“策略库（Application Policy Library）”。

➢网镜-Console治理操纵台：安装于Windows2000操作系统之上，提供治理操纵界面。

➢网镜-Server认证审计服务器：基于专门硬件构建，负责安全策略的生成、解释、治理，审计数据的记录和整理。

➢网镜-Sensor嗅探器：基于专门硬件构建，依照安全策略对俘获的数据进行比对、分析，并做出响应动作，如告警、阻断等。

➢网镜-Agent认证代理：安装于客户端计算机之上，配合网镜-Sensor完成用户的强身份认证。

➢网镜-PL（Policy Library）策略库：针对不同的应用协议、应用（业务）系统提供状命令级的安全策略支持。

是网镜系统中最具特色、最具价值的模块。

网镜系统独具特色的“策略库（Policy Library）”设计，使得网镜系统不但具备了功能强大的安全审计功能，更使得网镜系统具备了网络安全分析工具及“应用层IDS”的特征。

用户能够自己定义符合业务特征的“策略库”，也可选用针对特定业务系统设计的“策略库”。

网镜系统的策略库分为两类：基础策略库，和针对具体应用、具体业务的策略库。

基础策略库（Basic PL）提供了基于IP报的安全策略的制定功能。

用户能够直接编辑安全策略，也可利用网镜系统提供的“录制”功能，在俘获的IP报的基础上，提炼出符合需要的安全策略。

应用策略库则针对不同的通信协议、业务系统进行设计，目前提供了数据库（DB）策略库（PL/DB）、Unix主机策略库（PL/UMG），并提供了专门的模块，以支持SSH协议和远程桌面终端登录（RDP、3389协议）的审计。

针对不同协议或业务系统的应用“策略库（Policy Library）”使得用户能够灵活地制定数据俘获、安全审计及响应策略，依照系统实际的运行情况输出恰当的审计报告，更全面、更有重点地了解和掌握系统的运行状况。

随着研发工作的不断深入，我们还会依照不同的应用协议或应用系统开发出具备应用特征、行业特征的“策略库（Policy Library）”。

这也是网镜系统最具生命力的特点：随着网镜系统的应用和“策略库（Application Policy Library）”的及时更新，网镜系统所提供的功能将越来越丰富、越来越接近用户的实际使用需求。

1.1 网镜-Console操纵台网镜-Console操纵台提供了一个图形化的治理、使用、和维护的界面。

通过网镜-Console操纵台制定的各种访问操纵和安全审计策略将自动下载到网镜-Server执行；访问操纵和安全审计结果通过网镜-Server收集后，按照用户设定的输出内容、输出方式通过网镜-Console形成最终的安全审计报告。

网镜-Console操纵台支持Windows2000/2003/XP操作系统，一个系统中能够配置多个网镜-Console操纵台。

1.2 网镜-Server审计服务器网镜-Server审计服务器是整个认证审计系统的核心部件，向上同意网镜-Console治理操纵台制定的各种安全策略，并将这些安全策略贯彻到网镜-Sensor嗅探器、网镜-Agent；向下接收由网镜-Sensor嗅探器猎取的原始通信数据并写入数据库，形成审计报告后提供给网镜-Console治理操纵台。

网镜-Server审计服务器基于赛贝卡自行设计的硬件平台构建，目前有两种型号的产品。

一台网镜-Server认证审计服务器能够同时对多个网镜-Sensor嗅探器进行治理并存储和整理由这些嗅探器传递来的信息。

1.3 网镜-Sensor嗅探器网镜-Sensor嗅探器对通信内容进行扫描和匹配检查，依照安全策略进行安全响应。

当发觉访问者要访问被爱护的信息时，要求访问者基于网镜-Console操纵台颁发的USB进行身份认证，假如访问者不能通过身份认证，则拒绝访问者对网络进行访问。

对正常通信的信息，网镜-Sensor嗅探器依照网镜-Server公布的安全审计策略对应用操作进行匹配和过程分析，当发觉符合安全规则（策略）的通信时，采取相应的措施。

网镜-Sensor嗅探器基于赛贝卡自行设计的硬件平台构建，目前有两种型号的产品。

1.4 网镜-Agent认证代理网镜-Agent认证代理安装于客户端计算机之上，负责实现访问者与网镜-Sensor之间的身份认证。

当访问者需要访问被爱护的信息时，在计算机的USB接口上插入由网镜-Console颁发的USB令牌（CA证书），网镜-Agent负责从USB令牌中提取出CA证书，并与网镜-Sensor共同完成用户的身份认证。

网镜-Agent支持WindowsNT/Me/2000/2003/XP、Linux操作系统。

1.5 策略库（PL）假如讲网镜-Console、网镜-Server、网镜-Sensor、网镜-Agent 形成了网镜系统的骨骼和躯干，那么，策略库则是网镜系统的灵魂和血液。

不同的审计策略库针对不同的应用系统和安全目的进行设计。

基础策略库（Basic PL）提供了基于IP报的安全策略的制定功能。

用户能够直接编辑安全策略，也可利用网镜系统提供的“录制”功能，在俘获的IP报的基础上，提炼出符合需要的安全策略。

DB（数据库）策略库（PL/DB）提供了基于SQL命令的数据库操作审计及响应功能，实现数据库操作审计、还原和响应，支持各个版本的Informix 、DB2、Oracle、Sybase 、MS SQL Server、MySQL 数据库系统。

Unix主机策略库（PL/UMG）提供了FTP/Telnet/rlogin/RCP操作审计及响应功能，针对FTP/Telnet/rlogin/RCP协议进行命令、字符级的访问操纵和审计，并可回放FTP/Telnet/rlogin/RCP的操作过程及结果；为每个用户设定特定的命令子集，针对FTP/Telnet/rlogin/RCP的具体应用需求禁止或同意某些特定的操作。

由于FTP/Telnet/rlogin/RCP协议通常也被用于各种网络设备的维护操作，因此，Unix主机策略库（PL/UMG）同样能够对各种网络设备的操作进行审计和访问操纵。

另外，网镜系统也提供了专门的软件模块，对SSH协议和远程桌面协议（RDP、3389协议）进行审计和访问操纵。

除了针对上述通用的应用提供策略库外，网镜系统还针对一些行业的普遍应用设计了策略库，例如，针对移动行业经营决策系统、BOSS系统设计的策略库。

2. 要紧功能及特点网镜认证审计系统突出的三大功能为：1.提供基于CA数字证书或一次性动态口令的强身份认证；2.针对不同的应用协议，如数据库操作，提供基于应用操作的审计及响应；3.依照设定输出不同的安全审计报告。

2.1 集中治理的强身份认证身份认证是系统安全中最差不多、也是最重要的一个环节。

一般的网络设备、主机系统、业务系统都提供了“UserName+Password”的身份认证机制，然而，这种身份认证机制的安全性越来越受到置疑和挑战，网镜系统在不修改原系统任何软件或硬件配置的基础上，提供了额外的、安全强度更高的二次身份认证机制，可选择的认证方式包括：1.基于CA证书的身份认证机制；2.支持基于短信系统传递一次性动态口令，进行动态口令认证；在这种情况下，需要用户提供相应的短信传输接口，并进行一定的客户化定制开发；3.基于Radius协议，与任何第三方的动态口令系统、强身份认证系统集成。

为了使用网镜提供的强身份认证功能，需要在客户端安装网镜-Agent认证代理软件，并配置专门的USB身份认证令牌。

首先，系统治理员需要通过网镜-Console对用户的身份及访问权限等信息进行设置：1.为用户产生一个基于X.509标准的CA证书并写入USB令牌，之后将该USB令牌发放给用户；2.设定该用户能够访问的网络资源及命令权限，如IP地址段、TCP端口号等；3.假如需要，能够设定更高层次的安全审计及响应策略；或者应用由“策略库”提供的安全策略。