導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

基于PKI的網(wǎng)絡(luò)邊界安全監(jiān)控方法

文檔作者：鄒翔，姻播，王福文檔來源：公安部第三研究所信息網(wǎng)絡(luò)安全公安部重點實驗室國家反計算機入侵與防病毒研究中心		點擊數(shù)：	更新時間： 2024年06月12日
下載地址：點擊這里	文件大小： 235.15 KB 共3頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?35.15 KB 共3頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：公共安全視頻監(jiān)控建設(shè)應(yīng)用指南

上一篇：基于RFID技術(shù)的生豬安全監(jiān)控平臺設(shè)計

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

第36卷第13期計算機工程2010年7月
VoL36 No．13 Computer Engineering July 2010
·安全技術(shù)· 文章編號；Iooo_-3428(20lo)13__0140一_03 文獻標(biāo)識碼。A 中田分類號t TP393．08
基于PKI的網(wǎng)絡(luò)邊界安全監(jiān)控方法
鄒翔，姻播，王福
(公安部第三研究所信息網(wǎng)絡(luò)安全公安部重點實驗室國家反計算機入侵與防病毒研究中心，上海200031)
摘蔓：針對網(wǎng)絡(luò)邊界安全防御的需求和特點，提出一種基于PKI技術(shù)的網(wǎng)絡(luò)邊界安全監(jiān)控方法。該方法結(jié)合基于PKI的身份認(rèn)證機制、
入侵檢測技術(shù)與VPN技術(shù)，通過對網(wǎng)絡(luò)流最和系統(tǒng)日志的關(guān)聯(lián)分析，能夠在實時發(fā)現(xiàn)入侵行為的同時，準(zhǔn)確定位入侵來源并實時阻斷攻
擊，相比通用的特征檢測和異常檢測方法具有更強的準(zhǔn)確性和可用性。
關(guān)t詞：網(wǎng)絡(luò)邊界；安全監(jiān)控；入侵檢測；公鑰基礎(chǔ)設(shè)施
Network Border Security Monitor Method Based 0n PKI
ZoU Xiang,LIU Hao．WANG Fu
(National Research Center for Anti—Computer Invasion and Vh'us Prevention，Key Laboratory for Information and Network Security ofMinistry of
Public Security,the 111ird Research lastimte of Miniswy of Public Security,Shanghai 20003 1)
[Abstractl This paper蘆oposes a network border security monitor method based on Public Key Infrastructure(PKI)according to the requirement
and characteristic of network border security protection．The technique combines identity authentication mechanism based on PIG，intrusion
detection technology and VPN technology．It Can accurately locate the origin of intrusion and prevent anacks soon after real·time detection of
intrusion behaviors via association analysis ofnetwork traffic and system log．As a result,it has higher accuracy and usability than genefal signature
detection and abnormal detection technique．
[Key words]network border；security monitor；intrusion detection；Public Key Infi'aslructure(PKl)
1概述
隨著信息化的深入發(fā)展，不同網(wǎng)絡(luò)間互聯(lián)互通、遠程訪
問內(nèi)部網(wǎng)絡(luò)的需求日趨迫切，這嶼需求對網(wǎng)絡(luò)邊界的安全監(jiān)
控能力提出了更高要求。入侵檢測技術(shù)能夠幫助系統(tǒng)對付網(wǎng)
絡(luò)攻擊，保護系統(tǒng)的完整性和可用性，提高對系統(tǒng)的安全監(jiān)
控能力。但該技術(shù)也存在著誤報率或漏報率偏高、事件定位
與責(zé)任認(rèn)定困難等問題。
本文提出了一種基于PKI技術(shù)的網(wǎng)絡(luò)邊界安全監(jiān)控方
法。該方法結(jié)合多種安全技術(shù)手段，通過對網(wǎng)絡(luò)流量和系統(tǒng)
日志的關(guān)聯(lián)分析，能夠在實時發(fā)現(xiàn)入侵行為的同時，準(zhǔn)確定
位入侵來源并實時阻斷攻擊，誤報與漏報情況也得到了有效
降低。
2相關(guān)工作
2．1 PKI技術(shù)
公鑰基礎(chǔ)設(shè)施(Public Key Infrastructure，PKI)是用來創(chuàng)
建、管理、存儲、發(fā)布和回收數(shù)字證書硬件、軟件、人、策
略和過程的集合111。PKI可以以硬件或軟件形式發(fā)放數(shù)字證
書，由于智能卡所攜帶的微趔芯片可實現(xiàn)存儲、加解密、卡
內(nèi)生成密鑰對等功能，因此其成為數(shù)字證書存儲介質(zhì)的主要
形式。
2．2入侵檢測技術(shù)
入侵檢測系統(tǒng)(Intrusion Detection System，1DS)通過對入
侵行為過程與特征的研究，使安全系統(tǒng)對入侵事件和入侵過
程能做出實時響應(yīng)，根據(jù)檢測方法可分為特征檢測和異常檢
測2大類。其中，特征檢測適用于檢測已知入侵行為，但難
以發(fā)現(xiàn)未知的入侵行為；異常檢測可以檢測出未知入侵行為，
卻存在誤報的可能。文獻[2】對已有的IDS進行了研究，指出
w140"--
當(dāng)前的入侵檢測系統(tǒng)不能解決基率謬誤(base·rate fallacy)的
問題，即如果實際入侵?jǐn)?shù)比系統(tǒng)的合法使用數(shù)低，則誤報率
將很高。同時，由于身份欺騙(偽造IP／Mac地址、竊取用戶
名／密碼)等手段，導(dǎo)致誤報率或漏報率的進一步增高，并且
難以進行事件定位與責(zé)任認(rèn)定。
2．3 VPN技術(shù)
虛擬專用網(wǎng)(Virtual Private Network，VPN)一般用來建立
公共網(wǎng)絡(luò)上的邏輯專用安全通道。其中，遠程訪問內(nèi)部網(wǎng)絡(luò)
所使用的安全協(xié)議一般為IPSec或SSL等。IPSec和SSL都
支持基于數(shù)字證書的雙向認(rèn)證方式(IKE與SSL握手協(xié)議)。
3基于PKI的網(wǎng)絡(luò)邊界安全監(jiān)控
3．1基本思路
首先，建立基于PKI技術(shù)的網(wǎng)絡(luò)基礎(chǔ)信任體系，為所有
需要從其他網(wǎng)絡(luò)訪問目標(biāo)網(wǎng)絡(luò)的用戶頒發(fā)智能卡形式的數(shù)字
證書，所有用戶必須通過基于數(shù)字證書的身份認(rèn)證才能進入
目標(biāo)網(wǎng)絡(luò)。接著，系統(tǒng)監(jiān)控進出目標(biāo)網(wǎng)絡(luò)邊界的網(wǎng)絡(luò)流量，
同時接收用戶認(rèn)證數(shù)據(jù)，將網(wǎng)絡(luò)流量與認(rèn)證數(shù)據(jù)相關(guān)聯(lián)獲得
準(zhǔn)確的用戶訪問描述信息。然后，分析用戶訪問描述信息及
網(wǎng)絡(luò)流量信息，發(fā)現(xiàn)入侵行為。最后，自動實時阻斷攻擊并
通知管理員。
3．2系統(tǒng)架構(gòu)
如圖l所示，網(wǎng)絡(luò)邊界安全監(jiān)控系統(tǒng)環(huán)境由終端、外部
基金項目：國家“863”計劃基金資助項目(2006AA01ZA50，2008A
AOIZAl2)
作者筒介：鄒翔(1977--)，男，副研究員、博士，主研方向：信息
網(wǎng)絡(luò)安全；劉浩，助理研究員、碩士；王福，副研究員、博士
收稿日期：2010-02—10 E-mail：xiangz@mail．trimps．a(chǎn)c．cn
萬方數(shù)據(jù)
網(wǎng)絡(luò)和目標(biāo)網(wǎng)絡(luò)3個部分組成。終端f配備數(shù)字證書)位于目
標(biāo)網(wǎng)絡(luò)外，可通過外部網(wǎng)絡(luò)與目標(biāo)網(wǎng)絡(luò)建立連接。外部網(wǎng)絡(luò)
可以是互聯(lián)網(wǎng)、無線網(wǎng)絡(luò)等多種形式。目標(biāo)網(wǎng)絡(luò)包括認(rèn)證網(wǎng)
關(guān)、安全監(jiān)控中心(含傳感器)、PKI系統(tǒng)、應(yīng)用系統(tǒng)等部分。
目l 同絡(luò)邊界安全監(jiān)控系統(tǒng)架糟
認(rèn)證網(wǎng)關(guān)位于目標(biāo)網(wǎng)絡(luò)邊界，對所有請求進入目標(biāo)網(wǎng)絡(luò)
的用戶進行基于數(shù)字證書的身份認(rèn)證。
傳感器部署在目標(biāo)網(wǎng)絡(luò)的關(guān)鍵路徑上，如認(rèn)證網(wǎng)關(guān)的目
標(biāo)網(wǎng)絡(luò)一側(cè)，監(jiān)控進出目標(biāo)網(wǎng)絡(luò)邊界的網(wǎng)絡(luò)流最、用戶認(rèn)證
數(shù)據(jù)以及各類設(shè)備日志等信息，預(yù)處理后發(fā)送給安全監(jiān)控中
心。安全監(jiān)控中心接收傳感器發(fā)送的監(jiān)控信息，實時分析用
戶訪問描述信息及網(wǎng)絡(luò)流量信息，發(fā)現(xiàn)入侵行為，并實時以
自動或通知管理員手動處理等方式進行事件響應(yīng)。
PKI系統(tǒng)以離線方式為用戶頒發(fā)數(shù)字證書，并提供證書
發(fā)布和查詢服務(wù)，發(fā)布方式可采用輕量級目錄訪問協(xié)議
(LDAP)或在線證書狀態(tài)協(xié)議(ocsP)。
3．3系統(tǒng)工作過程
系統(tǒng)工作過程分為3個階段：用戶認(rèn)證階段，信息采集
與預(yù)處理階段，分析與響應(yīng)階段。
3．3．1 用戶認(rèn)證階段
如圖2所示，終端發(fā)起連接請求后，認(rèn)證網(wǎng)關(guān)首先判斷
是否達到所支持的最大并發(fā)連接數(shù)。如果未達到系統(tǒng)并發(fā)連
接數(shù)閾值，則終端和認(rèn)證網(wǎng)關(guān)雙方開始雙向認(rèn)證過程，認(rèn)證
協(xié)議為IKE或SSL握手協(xié)議。
終端認(rèn)證網(wǎng)關(guān)
Y
Y
曩2用戶認(rèn)證藏程
以IKE協(xié)議為例，IKE分為2個階段，第l階段采用主
模式，包括策略協(xié)商、密鑰參數(shù)交換和身份認(rèn)證交換(即證書
交換)3個階段。終端與認(rèn)證網(wǎng)關(guān)進行證書交換，驗證證書鏈，
認(rèn)證網(wǎng)關(guān)可以通過OCSP協(xié)議以在線方式查詢證書狀態(tài)，如
果返回結(jié)果為證書狀態(tài)良好并在有效期內(nèi)，則根據(jù)用戶身份
分配合適的內(nèi)部網(wǎng)絡(luò)IP地址，第l階段完成。第2階段采用
快速模式，通過3條消息建立IPSec SA，即建立安全通道，
并生成用戶狀態(tài)表及審計數(shù)據(jù)。
3．3．2 信息采集與預(yù)處理階段
如圖3所示，每次完成用戶認(rèn)證后，認(rèn)證網(wǎng)關(guān)將審計數(shù)
據(jù)以syslog等方式發(fā)送給傳感器，數(shù)據(jù)內(nèi)容包括證書標(biāo)識、
登錄時間、終端源lP地址、內(nèi)部網(wǎng)絡(luò)IP地址等，如{CertlD，
LoginTime，SrcAddr，IntAddr}。當(dāng)用戶離線時，發(fā)送{CertlD，
LogoutTime，SrcAddr，IntAddr}。傳感器首先收到登錄記錄，
待收到離線記錄時，形成一條完整的日志記錄，定義網(wǎng)關(guān)審
計數(shù)據(jù)集AU，集合中每個元素Old舡=l，2，?，朋)代表一條用戶
登錄或完整日志記錄(按LoginTime，排序)。
認(rèn)證網(wǎng)關(guān)傳感器網(wǎng)絡(luò)設(shè)備
+
[亙亟匭噩]
圈3信息采集與曩處理菠程
同時，網(wǎng)絡(luò)設(shè)備(如交換機、路由器)以端口鏡像形式將
網(wǎng)絡(luò)流量傳送給傳感器或向傳感器發(fā)送網(wǎng)絡(luò)流(netflow)信
息。以netflow為例，報文由一個頭標(biāo)信息、一個或多個信息
流記錄構(gòu)成，如：頭標(biāo)信息{version，count，SysUptime，
unix—SCCS，unix_nsecs}。其中，count為信息流個數(shù)；信息流
記錄{SrcAddr,DstAddr,dPkts，dOctets，first，last，SrcPort，
DstPort，prot，tos，src—mask，dstmask}。定義網(wǎng)絡(luò)流集合NF，
集合中每個元素nf,{i=1，2，?，療)代表一條netflow報文(按unix—
seesi排序)，礪中包含的信息流表示為isiAj=1，2，?，counO。
定義用戶訪問描述信息集合IdA，集合中每個元素llar
(／--1，2,．--,m)flj auf與屬于對應(yīng)用戶的信息流數(shù)據(jù)集合組成。
定義異常流量日志集合彳S，集合中每個元素asf(i=l，2，?爐)
代表一條異常信息流。
傳感器接收數(shù)據(jù)后，首先進行數(shù)據(jù)規(guī)范化，統(tǒng)一數(shù)據(jù)格
式，包括將各類日志中的時間值統(tǒng)一。
接著，采用Association過程進行數(shù)據(jù)關(guān)聯(lián)。
Association過程如下：
輸入網(wǎng)關(guān)審計數(shù)據(jù)集AU，網(wǎng)絡(luò)流集合NF
■出用戶訪問描述信息集合已■，異常流量日志集合一s
一14l一
萬方數(shù)據(jù)
(1)UA--=AU；
(2)For i=l，2,-．-，n do
(3)Forj=l，2，?，m do
(4)Ifunix—secsi

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

06-16