導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

基于PKI的網(wǎng)絡(luò)邊界安全監(jiān)控方法

文檔作者：鄒翔，姻播，王福文檔來源：公安部第三研究所信息網(wǎng)絡(luò)安全公安部重點(diǎn)實(shí)驗(yàn)室國家反計(jì)算機(jī)入侵與防病毒研究中心		點(diǎn) 擊數(shù)：	更新時(shí)間： 2024年06月12日
下載地址：點(diǎn)擊這里	文件大?。?235.15 KB 共3頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共3頁]

本文件共3頁，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?35.15 KB 共3頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：公共安全視頻監(jiān)控建設(shè)應(yīng)用指南

上一篇：基于RFID技術(shù)的生豬安全監(jiān)控平臺(tái)設(shè)計(jì)

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

第36卷第13期計(jì)算機(jī)工程2010年7月
VoL36 No．13 Computer Engineering July 2010
·安全技術(shù)· 文章編號(hào)；Iooo_-3428(20lo)13__0140一_03 文獻(xiàn)標(biāo)識(shí)碼。A 中田分類號(hào)t TP393．08
基于PKI的網(wǎng)絡(luò)邊界安全監(jiān)控方法
鄒翔，姻播，王福
(公安部第三研究所信息網(wǎng)絡(luò)安全公安部重點(diǎn)實(shí)驗(yàn)室國家反計(jì)算機(jī)入侵與防病毒研究中心，上海200031)
摘蔓：針對(duì)網(wǎng)絡(luò)邊界安全防御的需求和特點(diǎn)，提出一種基于PKI技術(shù)的網(wǎng)絡(luò)邊界安全監(jiān)控方法。該方法結(jié)合基于PKI的身份認(rèn)證機(jī)制、
入侵檢測(cè)技術(shù)與VPN技術(shù)，通過對(duì)網(wǎng)絡(luò)流最和系統(tǒng)日志的關(guān)聯(lián)分析，能夠在實(shí)時(shí)發(fā)現(xiàn)入侵行為的同時(shí)，準(zhǔn)確定位入侵來源并實(shí)時(shí)阻斷攻
擊，相比通用的特征檢測(cè)和異常檢測(cè)方法具有更強(qiáng)的準(zhǔn)確性和可用性。
關(guān)t詞：網(wǎng)絡(luò)邊界；安全監(jiān)控；入侵檢測(cè)；公鑰基礎(chǔ)設(shè)施
Network Border Security Monitor Method Based 0n PKI
ZoU Xiang,LIU Hao．WANG Fu
(National Research Center for Anti—Computer Invasion and Vh'us Prevention，Key Laboratory for Information and Network Security ofMinistry of
Public Security,the 111ird Research lastimte of Miniswy of Public Security,Shanghai 20003 1)
[Abstractl This paper蘆oposes a network border security monitor method based on Public Key Infrastructure(PKI)according to the requirement
and characteristic of network border security protection．The technique combines identity authentication mechanism based on PIG，intrusion
detection technology and VPN technology．It Can accurately locate the origin of intrusion and prevent anacks soon after real·time detection of
intrusion behaviors via association analysis ofnetwork traffic and system log．As a result,it has higher accuracy and usability than genefal signature
detection and abnormal detection technique．
[Key words]network border；security monitor；intrusion detection；Public Key Infi'aslructure(PKl)
1概述
隨著信息化的深入發(fā)展，不同網(wǎng)絡(luò)間互聯(lián)互通、遠(yuǎn)程訪
問內(nèi)部網(wǎng)絡(luò)的需求日趨迫切，這嶼需求對(duì)網(wǎng)絡(luò)邊界的安全監(jiān)
控能力提出了更高要求。入侵檢測(cè)技術(shù)能夠幫助系統(tǒng)對(duì)付網(wǎng)
絡(luò)攻擊，保護(hù)系統(tǒng)的完整性和可用性，提高對(duì)系統(tǒng)的安全監(jiān)
控能力。但該技術(shù)也存在著誤報(bào)率或漏報(bào)率偏高、事件定位
與責(zé)任認(rèn)定困難等問題。
本文提出了一種基于PKI技術(shù)的網(wǎng)絡(luò)邊界安全監(jiān)控方
法。該方法結(jié)合多種安全技術(shù)手段，通過對(duì)網(wǎng)絡(luò)流量和系統(tǒng)
日志的關(guān)聯(lián)分析，能夠在實(shí)時(shí)發(fā)現(xiàn)入侵行為的同時(shí)，準(zhǔn)確定
位入侵來源并實(shí)時(shí)阻斷攻擊，誤報(bào)與漏報(bào)情況也得到了有效
降低。
2相關(guān)工作
2．1 PKI技術(shù)
公鑰基礎(chǔ)設(shè)施(Public Key Infrastructure，PKI)是用來創(chuàng)
建、管理、存儲(chǔ)、發(fā)布和回收數(shù)字證書硬件、軟件、人、策
略和過程的集合111。PKI可以以硬件或軟件形式發(fā)放數(shù)字證
書，由于智能卡所攜帶的微趔芯片可實(shí)現(xiàn)存儲(chǔ)、加解密、卡
內(nèi)生成密鑰對(duì)等功能，因此其成為數(shù)字證書存儲(chǔ)介質(zhì)的主要
形式。
2．2入侵檢測(cè)技術(shù)
入侵檢測(cè)系統(tǒng)(Intrusion Detection System，1DS)通過對(duì)入
侵行為過程與特征的研究，使安全系統(tǒng)對(duì)入侵事件和入侵過
程能做出實(shí)時(shí)響應(yīng)，根據(jù)檢測(cè)方法可分為特征檢測(cè)和異常檢
測(cè)2大類。其中，特征檢測(cè)適用于檢測(cè)已知入侵行為，但難
以發(fā)現(xiàn)未知的入侵行為；異常檢測(cè)可以檢測(cè)出未知入侵行為，
卻存在誤報(bào)的可能。文獻(xiàn)[2】對(duì)已有的IDS進(jìn)行了研究，指出
w140"--
當(dāng)前的入侵檢測(cè)系統(tǒng)不能解決基率謬誤(base·rate fallacy)的
問題，即如果實(shí)際入侵?jǐn)?shù)比系統(tǒng)的合法使用數(shù)低，則誤報(bào)率
將很高。同時(shí)，由于身份欺騙(偽造IP／Mac地址、竊取用戶
名／密碼)等手段，導(dǎo)致誤報(bào)率或漏報(bào)率的進(jìn)一步增高，并且
難以進(jìn)行事件定位與責(zé)任認(rèn)定。
2．3 VPN技術(shù)
虛擬專用網(wǎng)(Virtual Private Network，VPN)一般用來建立
公共網(wǎng)絡(luò)上的邏輯專用安全通道。其中，遠(yuǎn)程訪問內(nèi)部網(wǎng)絡(luò)
所使用的安全協(xié)議一般為IPSec或SSL等。IPSec和SSL都
支持基于數(shù)字證書的雙向認(rèn)證方式(IKE與SSL握手協(xié)議)。
3基于PKI的網(wǎng)絡(luò)邊界安全監(jiān)控
3．1基本思路
首先，建立基于PKI技術(shù)的網(wǎng)絡(luò)基礎(chǔ)信任體系，為所有
需要從其他網(wǎng)絡(luò)訪問目標(biāo)網(wǎng)絡(luò)的用戶頒發(fā)智能卡形式的數(shù)字
證書，所有用戶必須通過基于數(shù)字證書的身份認(rèn)證才能進(jìn)入
目標(biāo)網(wǎng)絡(luò)。接著，系統(tǒng)監(jiān)控進(jìn)出目標(biāo)網(wǎng)絡(luò)邊界的網(wǎng)絡(luò)流量，
同時(shí)接收用戶認(rèn)證數(shù)據(jù)，將網(wǎng)絡(luò)流量與認(rèn)證數(shù)據(jù)相關(guān)聯(lián)獲得
準(zhǔn)確的用戶訪問描述信息。然后，分析用戶訪問描述信息及
網(wǎng)絡(luò)流量信息，發(fā)現(xiàn)入侵行為。最后，自動(dòng)實(shí)時(shí)阻斷攻擊并
通知管理員。
3．2系統(tǒng)架構(gòu)
如圖l所示，網(wǎng)絡(luò)邊界安全監(jiān)控系統(tǒng)環(huán)境由終端、外部
基金項(xiàng)目：國家“863”計(jì)劃基金資助項(xiàng)目(2006AA01ZA50，2008A
AOIZAl2)
作者筒介：鄒翔(1977--)，男，副研究員、博士，主研方向：信息
網(wǎng)絡(luò)安全；劉浩，助理研究員、碩士；王福，副研究員、博士
收稿日期：2010-02—10 E-mail：xiangz@mail．trimps．a(chǎn)c．cn
萬方數(shù)據(jù)
網(wǎng)絡(luò)和目標(biāo)網(wǎng)絡(luò)3個(gè)部分組成。終端f配備數(shù)字證書)位于目
標(biāo)網(wǎng)絡(luò)外，可通過外部網(wǎng)絡(luò)與目標(biāo)網(wǎng)絡(luò)建立連接。外部網(wǎng)絡(luò)
可以是互聯(lián)網(wǎng)、無線網(wǎng)絡(luò)等多種形式。目標(biāo)網(wǎng)絡(luò)包括認(rèn)證網(wǎng)
關(guān)、安全監(jiān)控中心(含傳感器)、PKI系統(tǒng)、應(yīng)用系統(tǒng)等部分。
目l 同絡(luò)邊界安全監(jiān)控系統(tǒng)架糟
認(rèn)證網(wǎng)關(guān)位于目標(biāo)網(wǎng)絡(luò)邊界，對(duì)所有請(qǐng)求進(jìn)入目標(biāo)網(wǎng)絡(luò)
的用戶進(jìn)行基于數(shù)字證書的身份認(rèn)證。
傳感器部署在目標(biāo)網(wǎng)絡(luò)的關(guān)鍵路徑上，如認(rèn)證網(wǎng)關(guān)的目
標(biāo)網(wǎng)絡(luò)一側(cè)，監(jiān)控進(jìn)出目標(biāo)網(wǎng)絡(luò)邊界的網(wǎng)絡(luò)流最、用戶認(rèn)證
數(shù)據(jù)以及各類設(shè)備日志等信息，預(yù)處理后發(fā)送給安全監(jiān)控中
心。安全監(jiān)控中心接收傳感器發(fā)送的監(jiān)控信息，實(shí)時(shí)分析用
戶訪問描述信息及網(wǎng)絡(luò)流量信息，發(fā)現(xiàn)入侵行為，并實(shí)時(shí)以
自動(dòng)或通知管理員手動(dòng)處理等方式進(jìn)行事件響應(yīng)。
PKI系統(tǒng)以離線方式為用戶頒發(fā)數(shù)字證書，并提供證書
發(fā)布和查詢服務(wù)，發(fā)布方式可采用輕量級(jí)目錄訪問協(xié)議
(LDAP)或在線證書狀態(tài)協(xié)議(ocsP)。
3．3系統(tǒng)工作過程
系統(tǒng)工作過程分為3個(gè)階段：用戶認(rèn)證階段，信息采集
與預(yù)處理階段，分析與響應(yīng)階段。
3．3．1 用戶認(rèn)證階段
如圖2所示，終端發(fā)起連接請(qǐng)求后，認(rèn)證網(wǎng)關(guān)首先判斷
是否達(dá)到所支持的最大并發(fā)連接數(shù)。如果未達(dá)到系統(tǒng)并發(fā)連
接數(shù)閾值，則終端和認(rèn)證網(wǎng)關(guān)雙方開始雙向認(rèn)證過程，認(rèn)證
協(xié)議為IKE或SSL握手協(xié)議。
終端認(rèn)證網(wǎng)關(guān)
Y
Y
曩2用戶認(rèn)證藏程
以IKE協(xié)議為例，IKE分為2個(gè)階段，第l階段采用主
模式，包括策略協(xié)商、密鑰參數(shù)交換和身份認(rèn)證交換(即證書
交換)3個(gè)階段。終端與認(rèn)證網(wǎng)關(guān)進(jìn)行證書交換，驗(yàn)證證書鏈，
認(rèn)證網(wǎng)關(guān)可以通過OCSP協(xié)議以在線方式查詢證書狀態(tài)，如
果返回結(jié)果為證書狀態(tài)良好并在有效期內(nèi)，則根據(jù)用戶身份
分配合適的內(nèi)部網(wǎng)絡(luò)IP地址，第l階段完成。第2階段采用
快速模式，通過3條消息建立IPSec SA，即建立安全通道，
并生成用戶狀態(tài)表及審計(jì)數(shù)據(jù)。
3．3．2 信息采集與預(yù)處理階段
如圖3所示，每次完成用戶認(rèn)證后，認(rèn)證網(wǎng)關(guān)將審計(jì)數(shù)
據(jù)以syslog等方式發(fā)送給傳感器，數(shù)據(jù)內(nèi)容包括證書標(biāo)識(shí)、
登錄時(shí)間、終端源lP地址、內(nèi)部網(wǎng)絡(luò)IP地址等，如{CertlD，
LoginTime，SrcAddr，IntAddr}。當(dāng)用戶離線時(shí)，發(fā)送{CertlD，
LogoutTime，SrcAddr，IntAddr}。傳感器首先收到登錄記錄，
待收到離線記錄時(shí)，形成一條完整的日志記錄，定義網(wǎng)關(guān)審
計(jì)數(shù)據(jù)集AU，集合中每個(gè)元素Old舡=l，2，?，朋)代表一條用戶
登錄或完整日志記錄(按LoginTime，排序)。
認(rèn)證網(wǎng)關(guān)傳感器網(wǎng)絡(luò)設(shè)備
+
[亙亟匭噩]
圈3信息采集與曩處理菠程
同時(shí)，網(wǎng)絡(luò)設(shè)備(如交換機(jī)、路由器)以端口鏡像形式將
網(wǎng)絡(luò)流量傳送給傳感器或向傳感器發(fā)送網(wǎng)絡(luò)流(netflow)信
息。以netflow為例，報(bào)文由一個(gè)頭標(biāo)信息、一個(gè)或多個(gè)信息
流記錄構(gòu)成，如：頭標(biāo)信息{version，count，SysUptime，
unix—SCCS，unix_nsecs}。其中，count為信息流個(gè)數(shù)；信息流
記錄{SrcAddr,DstAddr,dPkts，dOctets，first，last，SrcPort，
DstPort，prot，tos，src—mask，dstmask}。定義網(wǎng)絡(luò)流集合NF，
集合中每個(gè)元素nf,{i=1，2，?，療)代表一條netflow報(bào)文(按unix—
seesi排序)，礪中包含的信息流表示為isiAj=1，2，?，counO。
定義用戶訪問描述信息集合IdA，集合中每個(gè)元素llar
(／--1，2,．--,m)flj auf與屬于對(duì)應(yīng)用戶的信息流數(shù)據(jù)集合組成。
定義異常流量日志集合彳S，集合中每個(gè)元素asf(i=l，2，?爐)
代表一條異常信息流。
傳感器接收數(shù)據(jù)后，首先進(jìn)行數(shù)據(jù)規(guī)范化，統(tǒng)一數(shù)據(jù)格
式，包括將各類日志中的時(shí)間值統(tǒng)一。
接著，采用Association過程進(jìn)行數(shù)據(jù)關(guān)聯(lián)。
Association過程如下：
輸入網(wǎng)關(guān)審計(jì)數(shù)據(jù)集AU，網(wǎng)絡(luò)流集合NF
■出用戶訪問描述信息集合已■，異常流量日志集合一s
一14l一
萬方數(shù)據(jù)
(1)UA--=AU；
(2)For i=l，2,-．-，n do
(3)Forj=l，2，?，m do
(4)Ifunix—secsi

網(wǎng)友評(píng)論 more

電力安全論文最新內(nèi)容

06-16