基于联动策略的网络安全防御系统的设计与应用
中山大学硕士学位论文
的隔离，将影响和损失减少到最低的程度。
图３－４系统架构图
根据以上要求，设计的系统如图３－４所示。
本系统采用了三级安全防御体系。
端接在汇接交换机上的主机上的网络防毒客户端收集主机的信息，它带有主机入侵检测系统构成一道最低级安全防御体系。
该级别的防御体系主要保护对象是用户主机资源和检测网络的末端接入设备。
端接在核心交换机上的安全控管中心与各级网络接入级交换机成的核心安全防御体系．该级安全防御体系既要抵御来自外部网络的入侵和攻击，又抵御来自内网的攻击。
本系统核心就是让交换机的端口在系统核心的安全控管中心的指挥下成为一道安全的防御出入口，解决在中间层中安全的薄弱问题。
网络交换机不同的端口位置相对应在网络的位置是不尽相同的，通过联防控管中心的识别和策略评判对不同位置的网络交换机端口的控制，达到中断入侵危害网络的网络行为。
最外层的是控管中心监控联动的网络防火墙。
对于来自外网的入侵和攻击，要想成功攻击企业网络的网络中心的应用服务器，必须攻破三层安全防御体系。
对于来自内网的入侵和攻击，要想成功攻击企业网络中心的应用服务器，则必须攻破二层安全防御体系，从而实现网络联动防御。
中山大学硕士学位论文
断该网络节点的通信，同时自动生成相关的日志记录，通过相应的报警措施发提示给网络管理员检查并处理网络异常，直到网络的危害源消除后，网络防御系统的检测模块经检测得到网络正常后，才解除该防御措施，恢复正常的通信。
４．４系统模块设计
本系统有５个主要模块组成：数据收集模块、数据统计处理模块、联动策略模块、防御控制模块，监控报警模块。
各模块的结构示意图如图４－１
图４－１系统模块结构图
４．５模块功能设计
４．５．１数据收集模块
系统按照一定的时间间隔定期向网络交换设备发送ＧｅｔＲｅｑｕｅｓｔ消息，从收到的ＧｅｔＲｅｓｐｏｎｓｅ消息中提取原始的数据，主要收集网络设备中网络节点。
网络拓扑变化的信息，网络节点生存信息，网络防毒体系中客户端信息，并把
中山大学硕士学位论文
４．６系统详细设计
４．６．１系统运行的网络环境
本项目运行的实际网络拓扑环境如下：网络拓扑中分为接入层网络交换机和核心层交换机，网络工作站节点分布在各部门楼字，接入网络交换机通过光纤与核心交换机相联，网络服务器，网络管理工作站，网络防火墙都分别接入核心交换机，网络防火墙通过两条光纤分别连接电信和教育科研网。
项目环境中各接入工作站系统都强制性部署了网络防毒软件，网络防毒软件由中心服务器统一控制各客户端的软件的升级，预设扫描，实时扫描，各客户端的系统信息，防杀毒情况，防杀毒日志都发送到网络中心的网络防毒服务器中，在网络防毒服务器中，网络管理员可以清晰地了解到网络中病毒的分布情况
图４＿２网络拓扑图。
网络安全防护策略与指南
网络安全防护策略与指南第1章网络安全基础 (4)1.1 网络安全概述 (4)1.2 常见网络安全威胁 (4)1.3 网络安全防护体系 (5)第2章网络安全策略制定 (5)2.1 网络安全策略框架 (5)2.1.1 策略目标 (5)2.1.2 策略范围 (5)2.1.3 策略层次 (5)2.1.4 策略内容 (6)2.1.5 策略关联 (6)2.2 安全策略制定原则 (6)2.2.1 合规性原则 (6)2.2.2 实用性原则 (6)2.2.3 动态调整原则 (6)2.2.4 权衡原则 (6)2.2.5 共享原则 (6)2.3 安全策略的编写与更新 (6)2.3.1 安全策略编写 (6)2.3.2 安全策略更新 (7)第3章网络边界安全 (7)3.1 防火墙配置与管理 (7)3.1.1 防火墙概述 (7)3.1.2 防火墙类型 (7)3.1.3 防火墙配置方法 (7)3.1.4 防火墙管理策略 (7)3.2 入侵检测与防御系统 (8)3.2.1 入侵检测系统（IDS） (8)3.2.2 入侵防御系统（IPS） (8)3.2.3 IDS/IPS部署策略 (8)3.2.4 IDS/IPS管理策略 (8)3.3 虚拟专用网络（VPN） (8)3.3.1 VPN概述 (8)3.3.2 VPN技术 (8)3.3.3 VPN部署策略 (9)3.3.4 VPN管理策略 (9)第4章访问控制与身份认证 (9)4.1 访问控制策略 (9)4.1.1 访问控制的基本概念 (9)4.1.2 访问控制策略的分类 (9)4.1.3 访问控制策略的实施 (9)4.2 身份认证技术 (10)4.2.1 身份认证的基本概念 (10)4.2.2 身份认证技术的应用 (10)4.3 权限管理与实践 (10)4.3.1 权限管理的基本概念 (10)4.3.2 权限管理方法 (11)4.3.3 权限管理实践 (11)第5章网络设备安全 (11)5.1 网络设备的安全配置 (11)5.1.1 基本安全配置 (11)5.1.2 高级安全配置 (12)5.2 设备加固与安全审计 (12)5.2.1 设备加固 (12)5.2.2 安全审计 (12)5.3 网络设备监控与管理 (12)5.3.1 流量监控 (12)5.3.2 设备管理 (12)第6章操作系统与软件安全 (13)6.1 操作系统安全基线 (13)6.1.1 安全配置 (13)6.1.2 安全审计 (13)6.1.3 安全防护 (13)6.2 软件安全开发与测试 (14)6.2.1 安全开发原则 (14)6.2.2 安全测试 (14)6.3 漏洞分析与补丁管理 (14)6.3.1 漏洞分析 (14)6.3.2 补丁管理 (14)第7章数据安全与保护 (15)7.1 数据加密技术 (15)7.1.1 对称加密 (15)7.1.2 非对称加密 (15)7.1.3 混合加密 (15)7.2 数据备份与恢复策略 (15)7.2.1 备份类型 (15)7.2.2 备份介质 (15)7.2.3 备份策略 (16)7.2.4 恢复策略 (16)7.3 数据泄露防护（DLP） (16)7.3.1 数据识别 (16)7.3.2 访问控制 (16)7.3.3 加密传输 (16)7.3.4 行为监控 (16)第8章应用安全 (16)8.1 网络应用安全风险分析 (16)8.1.1 应用层漏洞 (17)8.1.2 第三方组件风险 (17)8.1.3 数据泄露风险 (17)8.2 应用层防护技术 (17)8.2.1 输入验证 (17)8.2.2 输出编码 (17)8.2.3 访问控制 (17)8.2.4 安全传输 (17)8.2.5 安全配置 (17)8.3 安全开发框架与最佳实践 (18)8.3.1 安全开发框架 (18)8.3.2 安全编码规范 (18)8.3.3 安全测试 (18)8.3.4 安全培训与意识提升 (18)8.3.5 持续监控与响应 (18)第9章移动与物联网安全 (18)9.1 移动设备安全管理 (18)9.1.1 安全策略制定 (18)9.1.2 移动设备管理（MDM） (18)9.1.3 移动应用管理（MAM） (18)9.1.4 移动内容管理（MCM） (19)9.2 物联网安全挑战与策略 (19)9.2.1 物联网安全挑战 (19)9.2.2 物联网安全策略 (19)9.2.3 设备固件安全 (19)9.3 移动与物联网安全防护技术 (19)9.3.1 安全协议与标准 (19)9.3.2 安全防护技术 (19)9.3.3 智能防护技术 (19)9.3.4 安全运维管理 (20)第10章安全运维与应急响应 (20)10.1 安全运维管理体系 (20)10.1.1 管理体系概述 (20)10.1.2 组织架构与职责 (20)10.1.3 安全运维流程 (20)10.1.4 安全运维工具与平台 (20)10.2 安全事件监测与报警 (20)10.2.1 安全事件监测 (20)10.2.2 报警机制与处理流程 (20)10.2.3 安全事件分析与报告 (20)10.3 应急响应流程与操作指南 (21)10.3.1 应急响应组织架构 (21)10.3.2 应急响应流程 (21)10.3.3 常见安全事件应急响应操作指南 (21)10.3.4 应急响应工具与资源 (21)10.3.5 应急响应演练与改进 (21)第1章网络安全基础1.1 网络安全概述网络安全是指在网络环境下，采取各种安全措施，保护网络系统、网络设备、网络数据等免受非法侵入、非法操作、非法泄露等安全风险，保证网络正常运行，维护国家安全、社会稳定和公民权益。
一种网络安全联动防御模型的设计与实现
Ｋｅ ｒ ｓ Ｈｏ ｅ ｄ， ｎ ｒ ，ｉｅ ｌ， ｅ ｔ ｒｏ ｎ ｅ ａ ｔｏ ｏ ｔ ｏ ｙ ｗｏ ｄ ： ｎ ｙ Ｓ ｏ ｔ ｆ ｗａ ｌ ｃ ｎ ｅ ｆ ｉ ｔ ｒ ｃ ｉ ｎ ｃ ｎ ｒ ｌ ｒ
ｆ ｎ ｔ ｎ ｆＣＩ ｓｍｏ ｕ ｅ ，ｅ ｔｂ ｉｈ ｄ ａｋ ｎ ｆｎ ｔ ｒ ｅ ｕ ｉｙ ｍｏ ｅ ｆｉ ｔ ｒ ｃｉｎ ｄ ｆｎ ｅｂ ｓ ｄ ｏ ｕ ｃｉ ｓｏ Ｃ’ ｄ ｌｓ ｓａ ｌ ｅ ｉ ｄ ｏ ｅ ｗｏ ｋ ｓ ｃ ｒｔ ｄ １ｏ ｎ ｅ ａ ｔｏ ｅｅ ｓ ａ ｅ ｎ ｏ ｓ
ＣＩ Ｃ，ａ ｄ ａ ａ ｙ ｅ ｈ ｅ ｅ ｈ ｉ ｕ ｓ ｏ ｄ ｌｒ ａｉ ａ ｉ ｎ ａ ｄ ｔ ｅ ｉ ｔ ｒ ｃ ｉ ｎ ｒ ｌ ｓ ｏ ｔ ａ ｅ ｙ ｄ ｔ ｂ ｓ ， ｎ ｎ ｌ ｚ ｄ ｔ ｅ ｋ ｙ ｔ ｃ ｎ ｑ ｅ ｆ ｍｏ ｅ ｅ ｌ ｔ ｎ ｈ ｎ ｅ ａ ｔ ｕ ｅ ｆｓ ｒ ｔ ｇ ａ ａ ａ ｅ ｚ ｏ ｏ ｐ ｏ ｅ ｈ ｔ ｔ ｅ ｍ ｏ ｅ ａ ｏ ｍｅ ｏ ｅ ｉ ｔ ｒ ｃ ｉ ｎ ｄ ｆ ｎ ｅ ｅ ｆ ｃ ｏ ｉ ｒ ｖ ｈ ａ ａ ｉ ｔ ｆ ｎ ｔ ｒ ｒ ｖ ｄ ｔ ａ ｈ ｄ ｌｃ ｎ ｆ ｒ ｄ ｗｈ ｌ ｎ ｅ ａ ｔｏ ｅ ｅ ｓ ｆｅ ｔ ｔ ｍｐ ｏ ｅ ｔ ｅ ｃ ｐ ｂ ｌ ｙ ｏ ｅ ｗｏ ｋ ｉ
Ｖｏ ． ３ Ｎｏ ６ １ ６． ．
火 力 与 指 挥 控 制
ＦｉｅＣｏ ｒ ＆ Ｃｏ ｒ ｎｔｏｌ ｍｍ ａ ｄＣｏ ｔｏ ｎ ｎｒｌ
第３ ６卷
第 ６期
Ｊ ｕｎ。 ０ ｌ４ （０ １ ０ —１ １０ １０ —６ ０ ２ １ ） ６０ ４ —３
联动式入侵防御系统研究
联动式入侵防御系统研究摘要：结合目前所拥有的网络安全技术，设计了联动式入侵防御系统。
此系统从被动防护状态上升为主动式防御，在对网络安全事件进行准确响应的状况下，能够动态地调整策略，以达到自动保护关键数据的作用。
该系统具有重要的实用性。
关键词：入侵防御系统；联动式；网络安全0引言部署在防火墙后的入侵检测系统（Intrusion Detection System，IDS），可以在网络或允许访问网络的信息中收集，通过分析找出系统中的一些违规行为和攻击性现象。
尽管有多种网络入侵检测系统性能看起来不错，但在网络入侵检测系统的设计和位置决定了它的响应能力相对有限，入侵发生时网络很难作出有效反应，需要和其他网络安全设备相匹配，组成网络入侵检测，提高安全系统的响应能力。
入侵检测与防火墙联动，可以建立一个更全面的实时入侵检测和安全系统的及时响应，实现了多种现有技术的优势互补。
因此，建立一个全面的安全系统是必须的。
联动就是把不同的产品以及技术利用组合的方法，达到整体技术上的提高，以适应目前网络安全作为一个整体、立体的要求，从而应对各种各样攻击手段。
从本质上来看，产品之间的联动，是一个信息交流的安全机制。
本文中的联动主要是指防火墙和入侵检测两者间的联动，通过这两项技术的整合，形成联动式入侵防御系统。
1设计原则入侵防御系统要在复杂的环境中发挥作用，需要明确以下几点原则。
1.1可靠性和可用性嵌入式设备在无法正常运行的条件下会出现对重要网络访问途径中断的现象，造成DoS情况的产生。
在此情境下，IPS一旦出现故障现象，应该及时fail open，或者利用其它的备份进行代替，以降低故障发生率。
另外，IPS需要能够支持对入侵特征库的更新功能。
1.2扩充性联动安装在网关的位置，其他防御机制也可以集成到这个系统以实现整个内部网络的全方位保护，并集中管理入侵防御系统。
此入侵防御系统将加入新的防御机制，需要发送相关信息到管理中心完成注册，并且需要保障其对系统中其他部分没有影响，防御机制在请求撤销的时候也需要保证方便实施整个过程。
计算机网络联动安全策略及系统架构
０ 引言
企 业 局 域 网的 建 立 ，为 企 业 的资 源和 信 息 的
在 交换 机 与控 管 中心 使 用 Ｓ ＭＰ协 议 。 目前 Ｎ Ｓ ＭＰ主 要 包 括 三 个 版 本 ： Ｎ ｖ，Ｓ ＭＰ ２以 Ｎ Ｓ ＭＰ ｌ Ｎ ｖ 及最 新 的 Ｓ ＮＭＰ ３ ｖ 。相 对 而言 ，Ｓ ＭＰ ３增加 、完 Ｎ ｖ
２ 基于 Ｘ ） ＭＬ的通 用数据 格式
１ 系统数据的组织和收集方式设计
在现 有 的 网络 设 备 的 联 动上 ，需 要 多种 安全 协 议 和 安全 策 略 的 有效 配 合 。在 保 证 现 有 企 业 网 络 中已有 的设 备 投 资 中 ，不 同设 备 ，不 同 厂商 之
间的 产 品进 行 相 互协 调 ，系统 设 计 综 合 安 全 与效 率方面 ，主 要使用 以下数 据组 织和 收集方式 口 川：
中囹分类号 ：Ｔ ９ Ｐ３ ３ 文献标识码 ：Ｂ 文章编号 ：１ ０ － １４ ２１ ） （ － ｌ９ ０ ０９ ０ （ ０ １ １ 下） Ｏ － ３ ３ ６
Ｄ ｉ １ ． ９ ９ Ｊ ｉｓ ． ０ ９ １ ４ ２ １ ． （ ） ５ ｏ ： ３ ６ ／ ． ｎ １ ０ －０ ３ ． ０ １ １ 下 ． ７ ０ ｓ
Ｓ ＭＰ可 以提 供 一 种 访 问不 同厂 商 的 网络 设 Ｎ 备 的标 准 方 法 ，具 有 简 单 、实 用 、传 送 处 理 效 率
实现 （ ＷＧ） 出的 Ｉ Ｉ Ｄ 提 ＤＭＥ Ｆ使得 各种 网络 安全产 品之 问 的通信 成 为 可能 。Ｉ ＤＭＥ Ｆ定义 了面 向对 象
高 等优 点 。控 管 中心通 过定 时 轮 询 程 序 收集 已有 的 部 署 在 各 网络 工 作 交换 机 ，服 务 器 中 的 Ａ ｅｔ ｇｎ
基于校园网络的安全联动策略研究
应用 软件 的漏 洞不 断地 被公布 出来 ，相关 的公 司也会 不断 提供 相应 的补 丁给 用户 进行 系统升 级 。但 是 ，面 对越 来越
多的漏 洞和 补 丁 ，以及校 园 网中数 目庞 大的用 户 群 ，如何
体 ，大量 的网络 应用 和 有限 的资金 投入 ，都 给校 园 网的安 全管理 带来 了很 多麻 烦 。例 如： 网络设 备 和应 用种类 繁 多 ，
保 证所 有用 户的 安全漏 洞做 到 及时 更新也 是一 个很 难解 决
的 问题 。
非授 权访 问 、破 坏数 据完 整性 、干扰 系统 正 常运 行和 利用 网络 传播 病毒 等 。近年 来 ，网络 攻击 开始 朝着 复杂化 、多
元化 、集 团化 的趋 势发 展 ，在复 杂的 校 园网络 中 ，单 纯采 用 某 种安 全 技 术 已 经 不 能 有效 地 抵 御 种 类 繁 多 的入 侵 方 式 ，多种 网络 产品 的联动 成为 一个 必然 的趋 势 。在 网络 设 备 的联 动上 ，需 要 多 种安 全协 议 和 安 全 策略 的 有效 配合 。 作 为互联 网的主要 管理 模型 ，Ｓ ＮＭＰ可 以提供 一种 访 问不 同厂商 的 网络 设 备的标 准 方法 ，具 有简单 、实 用 、传 送处 理 效率 高 等优 点 。本方 案 以 ＳＮＭ Ｐ协 议 为基 础 ，通过 不 同安全产 品 间的联 动 ，可 以实现 校园 网 由静 态 安全 防护转 变为 动态 安全 防护 ，从 而形成 一种 协调 不 同层 面网络 产品 的安 全监 管体 系与规 范。
维普资讯
实 用技术 ｌ 学术 ． 技术
ห้องสมุดไป่ตู้
通 过上 面的安 全威 胁分 析 ， 合校 园 网络 的 具体 情况 ， 结 在 网络 产 品联动 的基 础上 ，校 园 网络 的安全 管理 应 该能够 达 到如 下要 求 ：（ ）统 一 可靠 的安 全规 范 ；（ ）将 网络 设 １ ２ 备联 动起 来 ，让 网络 自动进 行安 全 防御 ； （ ）接 入的 网络 ３
网络安全联动模型的设计与应用
１ 引言
随着 网络 的迅速普及 ， 网络所面临的安全威胁 日渐加剧 ，
体上构建一 个安 全联 动 系统 。ＳＭ 的核 心 是安 全联 动 协议 Ｉ
。
同 时 对 该 模 型 中 的安 全
联动协议进行 了具体分析 ， 出了安全联 动信息描述模型及其格 式 ， 提 推证 了相 互独立 的安全协议 的组合 理论 ， 验证 了
安全联动模型的安全性 。最后给 出了模型 的具体应 用， 可以与其他 安全 系统协调联动 ， 实现 网络 的动 态防御
。
ＳＰ （ｅｕｉ ｎｅａｔ ｎＰ ｏｏ ｏ Ｆ ｍｉ ） Ｉ Ｆ Ｓ ｃ ｒ ｙＩｔｒｃｉ ｒｔｃ ｌ ａ ｌ 和安 全 联 动信 息 ｔ ｏ ｙ 交换 格 式 ＳＭＥＦ（ ｃ ｒｙ Ｉｔｒｃｉ ｓａ ｅ Ｅ ｃ ａ ｇ Ｉ ｅ Ｓ ｕｉ ｎｅａｔ ｎ Ｍｅｓｇ ｘｈ ｎ ｅ ｔ ｏ
Ｆ ｒ ｔ。 ｏ ｍａ ）
传统防火墙 的静态 防御 已不 足以抵御 日趋复杂多样的入侵行 为 。一个深层次 、 全方位的可信 网络安全 防御体系 已经 出现 ， 它要求 防火墙 与入侵 检测 、 安全 审计 、 电子取 证 、 难恢 复等 灾 多种安全 系统进行有 机整合 、 联动 。在 这样 的安 全体 系 协调 中， 防火墙依然作为最可信赖的可靠的防护手段， 负责集中控
安全联动协议 ＳＰ ＩＦ包 含 了一 系列 已经 标 准 化 的协议 ， 满足通用性的要求 ， 以用 于保证 防火 墙与 其他安 全系 统问 可
的安全互操作， 实现安全联动信息的交换 。它包括以下协议：
网络安全防护体系
远程访问和数据传输加密
虚拟专用网络（VPN）
多层次防御
通过在多个层次部署安全设备和软件，形成多层次防御体系，以应对各种不同类型的攻击。
入侵检测和防御
深层防御体系中的入侵检测和防御技术可以检测并阻止试图穿透防御体系的恶意攻击。
深层防御战略
使用防病毒软件可以检测和清除计算机系统中的恶意软件，如病毒、蠕虫、木马等。
防病毒软件
反间谍软件可以检测和清除计算机系统中的间谍软件，保护个人隐私和企业机密信息的安全。
反间谍软件
恶意软件防护
用户教育
通过培训和教育，提高用户对网络钓鱼的认知和防范意识。
URL和邮件识别
利用安全技术和工具，对URL和邮件进行实时监控和检测，识别并阻止网络钓鱼攻击。
网络安全防护的历史与发展
02网Biblioteka 安全防护体系的基础架构03
下一代防火墙
结合了包过滤和应用层防火墙的功能，提供全面的网络防护。
网络防火墙
01
包过滤防火墙
根据过滤规则，允许或拒绝数据包的传输，有效防止IP欺诈和DoS攻击。
02
应用层防火墙
基于应用层协议进行分析，阻止恶意软件和漏洞利用，保护应用安全。
意识提升
通过安全宣传和教育，提升员工的安全意识，使其能够自觉地遵守安全规定。
安全培训与意识提升
定期对网络进行安全漏洞扫描，发现漏洞并报告。
安全漏洞扫描
及时修补漏洞，并对安全设备进行升级和打补丁操作，以减少被攻击的可能性。
漏洞修补
建立漏洞管理制度，对漏洞进行跟踪、分析和记录，及时处理和反馈安全漏洞信息。
大型互联网公司安全审计实践案例
一种基于策略驱动的联动平台设计与应用
Ｄｅ ｉｎ ａ ｄＡｐ ｌ ａ ｉｎ ｏ ｏ ｄ ｎ ｔｏ ａ ｆ ｒ ｓｇ ｎ ｐ ｉ ｔｏ ｆＣｏ ｒ ｉ ａ ｉ ｎ Ｐｌ ｔｏ ｍ ｃ
Ｂａ ｅ ｎ Ｐｏｉｙ ｄ ｉ ｅ ｓ ｄ ｏ ｌ ・ ｒｖ ｎ ｃ
Ｚ ＨＵ ａ ｌ ， ＵＮ Ｘ ａ ｃ ｕ ， Ｑｉｎｉ Ｙ ｉｏ ｈ ｎ ＷＡＮ Ｙ ｎ ｈ ｎ ， ＨＡＩ ｉｎ ｏ ｇ ｎ Ｇ ｏ ｇ ｅ ｇ Ｚ ａｈ ｎ Ｊ
ｈ ｏ ｏ ｅ ｔ ｌ ｔｏ ｔ ｅｃ ｍｐ ｎ ｎ ｓｏｆ ｅｐ ａｆ ｒ ． ｍｏ ｓｒ ｔ ｄ ｉ ｒ ｃ ｉｅ ｔ ｅ ｃ ｏ ｉ ａ ｉ ｎ ｐ ａ ｆ ｒ ｉ ｒ ｖ ｓｔ ｅ ｅ ｉ ｉｎｃ ｆｎｅｗｏ ｋ ｓ ｃ ｒｔ ｎ ｇｅ ｎ ｄ ｉ ｈ ｔ ｍ Ｄｅ ｎ ｔａ ｅ ｐ ａ ｔ 。 ｈ ｏ ｒ ｎ ｔｏ ｌ ｔｏ ｍ ｍｐ ｏ ｅ ｆ ｃ ｅ ｙ ｏ ｔ ｒ ｅ ｕ ｉ ｍａ ａ ｍｅ ｔａ ｓ ｎ ｃ ｄ ｈ ｙ ｎ
维普资讯
第３ ３卷 第 ２ 期
Ｖ１ ３ ｏ． ３
・
计
算
机
工
程
２０ 年 １ ０７ 月
Ｊ ｎ ａｙ２ ０ ａ ｕ ｒ ０ ７
Ｎｏ． ２
Ｃｏ ｐ ｔｒＥｎ ｉ ｅ ｒｎ ｍ ｕ ｅ ｇｎ ｅ ｉ ｇ
开发研 究与设计技术 ・
基于联防理论的主动防御安全网络研究
ＩＳ Ｐ 是阻止来 自外部 网络攻击和入侵 的第一道 防 线， 它是在应 用层 的 内容检 测 基 础上 加 上主 动 响 应和 过滤功能 ， 弥补了传统 的主流网络安全技术不能完成 更多 内容检 查 的不 足 ， 补 了 网络 安 全产 品 线 的基 于 填 内容的安全检查的空 白。ＩＳ Ｐ 设计宗 旨是预先对入侵 活动和攻击性网络流量进行拦截， 避免其造成损失 ， 而 不是简单地在恶意流量传送时或传送后才发出警报。 从 图 ２可 以看 出 ， Ｓ是 通过 直 接嵌 入 到 网 络 流 量 中 Ｉ Ｐ 实现 这一功 能 的 ， 即通 过 一个 网络 端 口接 收来 自外部 系统 的流 量 ， 经过 检查 确 认 其 中不 包 含异 常活 动 或 可 疑内容后 ， 再通过另外一个端 口将它传送 到内部系统 中。这样一 来 ， 问题 的数据包 ， 所有 来 自同一数 有 以及 据流的后续数据包 ， 都能在 ＩＳ Ｐ 设备 中被清除掉。Ｉ Ｐ Ｓ 实现实时检查和阻止入侵的原理在于 ＩＳ Ｐ 拥有数 目 众 多的过滤器 ， 能够 防止各种攻击。当新的攻击手段被 发 现之后 ， Ｓ就会创 建一 个新 的过 滤器 。ＩＳ数 据包 Ｉ Ｐ Ｐ 处理引擎是专业化定制 的集成 电路 ， 以深层检查数 可 据包 的 内容 。防火 墙 的包 过 滤技术 不会针 对每 一字节 进行 检查 ， 因而也就 无法 发现 攻击 活动 ， ＩＳ可 以做 而 Ｐ 到逐 一字节 地检查 数据包 。所 有流 经 ＩＳ的数据 包都 Ｐ 被分类 ， 的依据是数据包 中的报头信息 ， 分类 如源 Ｉ Ｐ 地址 和 目的 Ｉ Ｐ地址 、 口号 和应用域 。每种 过 滤器 负 端 责分析相对应的数据包 。通过检查的数据包可 以继续 前进 ， 包含恶意内容 的数据包就会被丢弃 ， 被怀疑的数 据包需要接受进一步 的检查。针对不同的攻击行为， ＩＳ需 要不 同的过 滤 器 。每 种过 滤 器都 设 有相 应 的过 Ｐ 滤规则 ， 为了确保准确性 ， 这些规则的定义非常广泛 。 在对传输内容进行分类时， 过滤引擎还需要参照数据 包的信息参数 ， 并将其解析至一个有意义 的域 中进行 上 下文 分析 ， 以提 高过滤 准确 性 。 ２ ２ 防火墙 ． 防火墙是 ＩＳ Ｐ 后的又一道屏障。对于外部 网络攻 击者 来说 ， 防火 墙 是他 们 的又 一大 难 题 。特 别 是 比较 智能的高性能防火墙 。智能防火墙是相对传统的防火 墙而言的， 顾名思义 ， 它更聪明、 更智能。传统 防火墙 存在 的很多问题 ， 它是一个简单机制 ， 只能机械地执行 安全策略。智能防火墙从技术特征上 ， 是利用统计、 记 忆、 概率和决策的智能方法来对数据进行识别 ， 并达到 访 问控制的 目的。新 的数学方法 ， 消除了匹配检查所 需要 的海 量计算 ， 高效 发 现网 络行为 的特征 值 ， 直接进
一种基于联动的军队网络安全防护体系
建立一个整体 的网络安全防护体系的关键 ， 在于要求各网络安全设备之间具有较高的协同性 ， 即联 动性。联动技术体现 了智能化 网络安全管理的潮流， 能够有机整合各种网络安全技术 ， 全面部署网络安 全防御体系， 有效提升网络性能。通过联动机制连接各功能模块 ， 以对各安全设备进行功能协调和实 可
（ ． 勤工程 学 院 后 勤信 息 工程 系， 庆 ４ ￣ １ ；． 勤工程 学 院 训 练部 ， 庆 ４ ０ １ ） １后 重 ０ ６２ 后 重 ０ ０ ６
摘 要 网络是 军队信 息化 建设 的基 础 ， 全是 军 队信 息 化 建 设 的保 障 。通过 分析 当 安
前 军队 网络 安 全方 面所 存在 的隐 患 以及 防 护措施 的不 足 ， 引入 一 种 基 于联 动 技 术的 网络 安
当前 ， 我军 正经 历着 机 械化 与信 息化 复合 发 展 的新 阶段 ， 息化 建设 重要 内容—— 网络 建设方 兴 未 信
艾。随着网络规模的扩大 ， 办公 自动化应用水平的提高 ， 数据共享与交换 的程度越来越高 ， 在改变 旧的
工作方式的同时也愈来愈依赖于计算机网络。涉密文档的制作 、 复制、 传递 、 上报 、 销毁大多都在计算机 网络上进行 ， 电子文档 比以往纸质 的“ 保密文件” 更难控制 ， 更容易造成失泄密… 。
安全 通信 协议 ３个 部 分 ， 者 紧 密 结 三
网络安全 防护体 系
图 １ 网络安全防 护体 系逻 辑框图
合， 形成一个有机整体（ 图 １ 。 见 ）
１ １ 核 心安 全设备 ．
核心安全设备处于网络安全防护体系中心， 是实现联动的最终落脚点 ， 在网络安全 中起着主导的作 用。在本防护体系中 ， 笔者选择防火墙作为核心安全设备 ， 这是 由防火墙的作用所决定的。防火墙作为