基于關(guān)鍵資源的主動(dòng)防御體系的研究

1、基于關(guān)鍵資源的主動(dòng)防御體系的研究基于關(guān)鍵資源的主動(dòng)防御體系的研究溪利亞溪利亞1張志忠張志忠2（1.華中科技大學(xué)武昌分校計(jì)算機(jī)與電子系，湖北武漢430064；2.漢口銀行信息科技部，湖北武漢430015）[摘要摘要]文章將關(guān)鍵資源和主動(dòng)防御的思想引入到安全系統(tǒng)的設(shè)計(jì)中，提出了基于關(guān)鍵資源的主動(dòng)防御體系實(shí)體（即APSKR實(shí)體）和APSKR引擎的概念，設(shè)計(jì)了一個(gè)基于關(guān)鍵資源的主動(dòng)防御體系安全模型，并對(duì)安全總控中心進(jìn)行了詳細(xì)設(shè)計(jì)。[關(guān)鍵字關(guān)鍵字

2、]關(guān)鍵資源主動(dòng)防御安全APSKR[中圖分類(lèi)號(hào)中圖分類(lèi)號(hào)]TP393[文獻(xiàn)標(biāo)識(shí)碼文獻(xiàn)標(biāo)識(shí)碼]AResearchofActivePreventionSystembasedonKeyResourcesLiyaXi1ZhizhongZhang2（1.Dept.ofComputeractivepreventsecurityAPSKR0.引言隨著廣大網(wǎng)絡(luò)用戶(hù)的日漸成熟和網(wǎng)絡(luò)安全技術(shù)的不斷發(fā)展，用戶(hù)越來(lái)越意識(shí)到網(wǎng)絡(luò)安全的重要性。為了防范網(wǎng)絡(luò)攻擊，很多

3、用戶(hù)都已經(jīng)安裝了防病毒、防火墻甚至入侵檢測(cè)系統(tǒng)，然而，這層層防范卻無(wú)法阻止入侵者的步伐，網(wǎng)絡(luò)攻擊事件層出不窮。網(wǎng)絡(luò)用戶(hù)面臨的普遍問(wèn)題就是，巨大的安全保障投資得不到有效的回報(bào)。分析目前廣大用戶(hù)普遍采用的安全防護(hù)措施（如：防火墻、入侵檢測(cè)系統(tǒng)等），我們了解到大多安全防護(hù)措施都是在外圍進(jìn)行防范，運(yùn)用預(yù)先設(shè)定好的策略對(duì)網(wǎng)絡(luò)安全進(jìn)行保護(hù)實(shí)施的是被動(dòng)防護(hù)，只能對(duì)已有的安全攻擊進(jìn)行防御。在網(wǎng)絡(luò)安全技術(shù)不斷發(fā)展的今天，網(wǎng)絡(luò)攻擊也呈現(xiàn)出新的特征，新出現(xiàn)的

4、、未知的攻擊不斷侵襲著原本已經(jīng)不平靜的網(wǎng)絡(luò)，“瞬時(shí)攻擊（ZerodayAttack）”這樣具有動(dòng)態(tài)攻擊特征的攻擊，正是我們安全問(wèn)題的根源。我們把目光直接瞄準(zhǔn)尋找潛在的、新的攻擊，找出延遲其破壞的方法，在類(lèi)似“瞬時(shí)攻擊（ZerodayAttack）”所引起的潛在威脅和破壞時(shí)，占據(jù)主動(dòng)，從而有效地保障系統(tǒng)的安全，主動(dòng)地對(duì)系統(tǒng)資源進(jìn)行防護(hù)[1]。考察目前所有網(wǎng)絡(luò)攻擊，可以發(fā)現(xiàn)其攻擊的最終目的都是對(duì)系統(tǒng)關(guān)鍵資源的獲取或破壞[1]。一個(gè)有效的安全

5、解決方案應(yīng)該首先滿(mǎn)足對(duì)關(guān)鍵資源實(shí)現(xiàn)重點(diǎn)保護(hù)的需要。而需要提供安全保護(hù)的最關(guān)鍵的系統(tǒng)資源實(shí)際上就是駐留在主機(jī)和服務(wù)器上的敏感數(shù)據(jù)、關(guān)鍵文件、關(guān)鍵設(shè)備和關(guān)鍵進(jìn)程等。鑒于此，我們的主動(dòng)防御是建立在關(guān)鍵資源的基礎(chǔ)之上的。1.基于關(guān)鍵資源的主動(dòng)防御體系任何一種單一的安全技術(shù)都不足以保障一個(gè)系統(tǒng)的安全。要在最大程度上保護(hù)系統(tǒng)，就需要多種安作者簡(jiǎn)介作者簡(jiǎn)介:溪利亞(1974－)性別（女）湖北武漢人講師，工學(xué)碩士主要研究領(lǐng)域?yàn)榫W(wǎng)絡(luò)安全，lucy_xz@

6、；張志忠(1974－)男工學(xué)碩士網(wǎng)絡(luò)工程師主要研究領(lǐng)域?yàn)榫W(wǎng)絡(luò)安全、軟件工程。3手。機(jī)密性主要是使用共享密鑰的對(duì)稱(chēng)加密和采用公鑰密碼體制的非對(duì)稱(chēng)加密[23]。完整性主要是使用[4]：①基于RSA的數(shù)字簽名:mE(mPrivate)；②加密的MD5:mMD5(mk)或mMD5(mk)E(kPrivate)；③具有RSA數(shù)字簽名的MD5：mE(MD5(m)Private)。其中：m表示消息；Private表示私鑰；k表示共享密鑰；E(mPri

7、vate)表示用私鑰對(duì)消息進(jìn)行加密；MD5(mk)表示對(duì)消息和共享密鑰用MD5算法生成消息摘要碼。2.基于關(guān)鍵資源的主動(dòng)防御體系的實(shí)現(xiàn)基于關(guān)鍵資源的主動(dòng)防御系統(tǒng)主要包括：基于關(guān)鍵資源的主機(jī)主動(dòng)防護(hù)HAP(Host’sActivePrevention)、分布在各安全域邊界的簡(jiǎn)單包過(guò)濾防火墻、集中的安全總控中心SCC(SecurityCommCentral)等安全處理和協(xié)作單元。2.12.1APSKR實(shí)體實(shí)體本著簡(jiǎn)單、安全、高效和管理方便的

8、原則，我們抽象各安全處理單元，比照SNMPv3協(xié)議，設(shè)計(jì)了一個(gè)基于關(guān)鍵資源的主動(dòng)防御體系實(shí)體（即APSKR：ActivePreventionSystembasedonKeyResources實(shí)體）其結(jié)構(gòu)如圖2所示。APSKR實(shí)體由APSKR引擎和基于其上的應(yīng)用程序組成。APSKR引擎是安全實(shí)體的基礎(chǔ)，其中的報(bào)文處理子系統(tǒng)負(fù)責(zé)實(shí)現(xiàn)安全實(shí)體之間信息交換的一致性；安全子系統(tǒng)負(fù)責(zé)安全實(shí)體間的通信安全；訪(fǎng)問(wèn)控制子系統(tǒng)實(shí)現(xiàn)實(shí)體間的訪(fǎng)問(wèn)控制。圖2AP

9、SKR實(shí)體我們將FirewallAPSKR實(shí)體、HAPAPSKR實(shí)體和SCCAPSKR實(shí)體進(jìn)行統(tǒng)一地安全規(guī)劃和組織，構(gòu)建了一個(gè)基于關(guān)鍵資源的主動(dòng)防御系統(tǒng)，如圖3所示。簡(jiǎn)單的包過(guò)濾防火墻FirewallAPSKR實(shí)體FirewallMIB基于關(guān)鍵資源的主機(jī)主動(dòng)防御HAPAPSKR實(shí)體HAPMIB安全總控中心安全策略庫(kù)初始配置庫(kù)安全日志庫(kù)安全連接初始配置管理安全事件安全連接初始配置管理安全策略SCCAPSKR實(shí)體圖3基于關(guān)鍵資源的主動(dòng)防御系