网络安全综合监控平台中安全策略的研究.pdf

《网络安全综合监控平台中安全策略的研究.pdf》由会员分享，可在线阅读，更多相关《网络安全综合监控平台中安全策略的研究.pdf（8页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、计算机研究与发展J o u r n a lo fC o m p u t e rR e s e a r c ha n dD e v e l o p m e n tI S S N1 0 0 0 1 2 3 9 lC N11-1 7 7 7|T P4 3(S u p p l)：4 3 0-4 3 6，2 0 0 6网络安全综合监控平台中安全策略的研究唐成华1 2姚淑萍1张翔1 2崔中杰1 21(北京理工大学计算机网络攻防对抗技术实验室北京1 0 0 0 8 1)2(北京理工大学机电工程学院北京1 0 0 0 8 1)(t c h b o x s o h u t o m)R e s e a r c h

2、O i lS e c u r i t yP o l i c yi nN S M PT a n gC h e n g h u a l”，Y a oS h u p i n 9 1，Z h a n gX i a n 9 1，一，a n dC u iZ h o n g ji e lt 21(C o m p u t e rN e t w o r kC o u n t e r m e a s u r eT e c h n o l o g yL a b o r a t o r y，B e i j i n gI n s t i t u t eo fT e c h n o l o g y，B e i j i n

3、 g1 0 0 0 8 1)2(C o l l e g e o f M e c h a t r o n i c E n g i n e e r i n g，B e i j i n g I n s t i t u t eo f T e c h n o l o g y，B e i j i n g1 0 0 0 8 1)A b s t r a c tB ya n a l y z i n gt h ec h a r a c t e r s o fs e c u r i t yp o l i c yr e q u i r e m e n ti nn e t w o r ks e c u r i t ym

4、 o n i t o r i n gp l a t f o r m，t h eg e n e r a ld e f i n i t i o na n dd e s c r i p t i o no fs e c u r i t yp o l i c ya r ep r o p o s e d T h ep o l i c i e s i n t e g r i t y，v a l i d i t y，c o n s i s t e n c y，c o n f l i c t sd e t e c t i n ga n dr e s o l v i n gp r i n c i p l e sa

5、 r ea l s os t u d i e d I tn e e d st om a n a g es e c u r i t yp o l i c yr a p i d l y，d i r e c t l ya n dd y n a m i c a l l ya c c o r d i n gt ot h ec h a n g eo fe n v i r o n m e n ti nt h ec o u r s eo fs y s t e mo p e r a t i o n Ah a n d l i n gm e c h a n i s mo fs e c u r i t yp o l

6、i c yb a s e do nt h er u l ee n g i n ei se s t a b l i s h e df o rN S M P T h em e c h a n i s mi sd e r i v e df r o mt h ei n f e r e n c ee n g i n eo fr u l e b a s e de x p e r ts y s t e m s S e c u r i t yp o l i c yr u l e sa r es t o r e di ni n d e p e n d e n td a t a b a s et h r o u

7、g ht h er u l e se d i t o ro rt h eN S M PA P I，a n dt h em a n a g e m e n td e c i s i o n m a k i n gl o g i ca n dt e c h n i c a ld e c i s i o n m a k i n gl o g i ca r es e p a r a t e db yt h em e c h a n i s m T h ea p p l i c a t i o n sp r o v et h a tt h es y s t e mi sr o b u s ta n da

8、 d a p t a b l e K e yw o r d ss e c u r i t yp o l i c y；N S M P；p o l i c yc o n f l i c t；r u l ee n g i n e摘要通过分析网络安全综合监控平台中安全策略的特点和要求，给出了安全策略的一般性定义和描述，研究了策略的完整性、正确性、一致性要求，以及策略冲突的处理原则在基于规则的专家系统推理引擎基础上，为网络安全综合监控平台建立一种基于规则引擎的安全策略处理机制，描述了规则引擎的推理和使用步骤该机制能够分离安全策略的管理决策逻辑和技术决策逻辑，具有较强的策略冲突解决能力应用证明了该系统具有

9、较强的鲁棒性和适应性关键词安全策略；网络安全综合监控平台；策略冲突；规则引擎中图法分类号T P 3 9 3网络信息安全已经成为人们日常生活安全和国家安全的重要组成部分在解决信息安全问题中，安全策略起着十分重要的作用应用安全策略的主要优势在于改善了网络管理系统的可扩展性和灵活性，近年来已成为大型网络和分布式系统的一种广泛使用和有前途的解决方案，也得到了一些标准化组织如I E T F 和D M T F 以及许多学术机构和网络收稿日期：2 0 0 6 0 7 0 7基金项目：国防科技基础研究基金项目(2 0 0 2 1 8 2 3)设备厂商的支持网络安全综合监控平台通过对各种网络安全设备和安全软件的

10、集中管理和监控，把原本分离的网络安全设备联结成一个有机协作的整体，实现网络安全管理过程中的实时状态监测、动态策略调整、综合安全审计、数据关联处理以及恰当及时的威胁响应，从而有效提升用户网络的可管理性和安全水平，唐成华等：网络安全综合监控平台中安全策略的研究4 3 1为整体安全策略的制定和实施提供可靠的依据因此，对于系统的管理者来说，在要求监控平台安全管理流程自动化的条件下，在系统运行过程中根据实际情况或安全需求发生变化时能够及时地、直接地和动态地管理系统中的安全策略，而不理会策略规则自身的复杂性，也不必通知系统开发人员另一方面，面对某些复杂的商业安全策略规则，程序开发人员很难推导出算法或抽象出

11、数学模型，一些安全策略规则在需求阶段可能没有明确，在设计和编码后还可能发生变化，如果像以往那样，将安全策略规则嵌入到系统各处的代码中，系统自身的开发维护和更新将非常困难，更不用说让管理人员来处理因此，复杂网络信息系统中随环境条件不断变化的安全策略规则，迫切要求系统管理者的安全策略逻辑与应用开发者的技术决策逻辑的分离，并能保证系统中安全策略的特点和所需要达到的安全需求本文针对网络安全综合监控平台的特点，结合安全策略的定义和属性要求，从基于规则的专家系统的推理引擎出发，从系统开发和应用的角度，建立基于规则引擎的安全策略处理架构，分离管理决策逻辑和技术决策逻辑，并给出了规则引擎的推理和使用步骤1网络

12、安全综合监控平台网络安全综合监控平台分为两层：W e b 服务层和基础服务层W e b 层提供访问系统的W e b 服务，用于显示系统内容及响应用户输入命令，主要包括安全监控、安全策略、综合审计、系统管理和系统公告；基础层提供系统的后台服务，主要用于与设备通信、上下级通信及其他系统服务(如拓扑搜索、定时服务等)，从功能上看主要由通信模块、逻辑处理接口模块和数据库读写模块组成，如图1 所示：图1网络安全综合监控平台架构网络安全综合监控平台中的安全策略主要包括以下类型访问控制策略：在什么条件下允许或拒绝访问系统、安全设备等事件响应策略：在什么事件发生的条件下要求系统、安全设备等做出什么样的反应，如

13、阻断、邮件或者消息通知、声音警告、I D S 调整、扫描器要启动等告警关联策略：配置告警事件关联分析所需要的参数数据库监控策略：对数据库监控的参数进行配置，保障数据库的安全2 安全策略的定义在信息安全发展过程中出现的各种安全策略，大多数是针对资源的安全访问控制的问题提出的，或者是面向特定的安全需求，如B L P，B i b a，M A C，D A C，R B A C 和C h i n e s eW a l l 等安全策略安全策略已经在整个系统安全中处于核心地位，其本身的正确与否直接决定了系统的安全性本文在一般意义上对安全策略的内涵重新考虑，所谓安全策略是网络安全的指南，从内容上讲是一组规则的集

14、合，这些规则对网络资源的访问进行管理和控制，从特性上说，策略是根据管理目标和安全需求，针对系统中的行为选择规则而制定的说明性的、持久性的规范定义1 安全策略是指对人和资源的管理进行控制的规则集合，这些规则是对允许什么、禁止什么的规定，它们由一些条件、动作、角色组成，可表示为一个三元组：P=(C，R，A)，其中C=(c d，c s)是策略的触发条件耐和约束条件C S，一般与网络行为事件相联系，R=(d，r)是策略应用对象所属的域d和角色，角色包括了人(主体)和资源(客体，包括系统自身、系统中的文件、安全设备或接口等)，A=(a，e)是策略实施的动作a 和出现异常时补救措施e，它们存在全函数关系：

15、f A：C-R X A 条件定义了规则使用的参数，当条件满足时，规则中的动作能够被触发，此时角色中的主体或客体就要去实现这个动作3 策略的完整性、正确性及一致性一个处于安全状态系统中的策略应该保持完备性、正确性和一致性：系统中的任何主体、客体、功能4 3 2计算机研究与发展2 0 0 6，4 3(增刊)或操作都有对应的制约策略；策略不与预期的安全行为相违背；策略之间应该避免出现冲突，并具有消解这种冲突的机制3 1 策略的完整性构造系统中的任何主体、客体、功能或操作的行为对应着系统中的事件，由事件来触发满足事件条件的策略所以，对于任何一个事件都应该能找到对应的策略定义2 S 如果发生的任意事件j

16、 能触发至少一个策略P，即VI C P P P=(C R X A)甘c d：C D，C S：C S，d：D，r：R，a：A。由e：E(c d，C S)I(d，r，a，e)，则表示策略集P 是完整的实际上，在复杂的系统环境下，出现策略的不完整性是很有可能的，此时可以构造默认的策略子集P7 来满足策略集的完整性要求，这样，对于在P 中找不到事件能触发的策略都按P 7 中执行，3 2 策略的正确性验证策略的正确性是对策略的预期或已经执行的结果进行风险评估的过程，这里的风险评估函数及风险上限u l i m i t 的制定直接影响着策略的正确与否定义3 如果对任意一个策略P 的预期风险评估在可接受范围内

17、，即VP PAP=(C R X A)r i s k A s s e s s(P)Ul i mi t，则称策略集P 是正确的，否则就是不正确的正确的安全策略来源于对系统任务的正确理解和有效的风险评估模型，系统中的每个策略角色都有不同的安全需求对策略的正确性进行验证也体现了动态的系统安全观：我们应立足于在系统运行过程中来降低威胁、控制风险，因为绝对安全的系统和绝对正确的策略是不存在的3 3 策略的一致性检测策略的一致性检测是一个关键问题，其任务目标是在策略规则定义和执行时避免冲突，并且一旦发生冲突，准备消除这些冲突在大型的分布式系统中的策略数量众多，并可能有多个管理员编辑和修改策略，因此策略之间的

18、冲突很难避免，需要有检测和解决冲突的方法一致性体现了策略的可执行性和非矛盾性，这也是系统安全运行的重要保障目前这方面的研究大多集中在概念、原因、分类等方面的定性分析文献 1 基于一阶谓词逻辑推理，对安全策略进行了形式化描述和一致性检测，文献 2 研究了分布式防火墙策略的冲突检测与消解方法定理1 如果策略集P 中任意2 个策略P 1，P 2，其触发条件不同，或者策略应用对象不相交，即V 户l，P 2 PA(P 1 C l P 2 C 2VP 1r 1nP 2 r 2=)，则称策略集T 是一致的证明如果C V p l，P 2 P P 1 C l P 2 C 2 净每个策略都由不同的安全事件来触发，

19、即策略触发是惟一的；若V J C V 夕l，P 2 P P 1r 1nP 2 r 2=g净每个策略都是应用于不同的对象综上所述，策略集P 中不会出现同时发生的或应用到同一对象上的2 个策略，故策略集P 是一致的定理2 如果策略集P 中任意2 个策略P 1，P 2，其触发的条件相同，策略应用对象存在交集，即坳l，P 2 P P l。l=p 2 C 2 P lr 1nP 2 r 2，当且仅当对应的动作或异常补救措施不相互矛盾的关系(P。口1 鱼助2 a 2)时，则称策略集P 是一致的其中C R 表示动作集A 中的非矛盾关系证明1)必要性在全函数关系：f a：C R X A 下，V p l，P 2

20、P，P l C l=P 2 f 2，P l，-lnP 2，2，则策略P l 与P 2 同时被触发，并能作用于相同的对象上，如果(P 1 a l，P 2 a 2)每C R，则会发生2 个相互矛盾的策略动作，所以P l 与P 2 不一致，矛盾因此，如果P l 与P 2 一致，必有P 1 a 1 垦助2 口2 2)充分性因为V p l，P 2 P，P 1 C l=P 2 2，P 1r lnP 2 r 2，即可能同时触发2 个策略P 1，P 2，并且作用于同一对象上，但由于P l a l 皿2 n 2，即触发的2 个策略动作是不矛盾的，故P。与P：是一致的按照搜索推理的图搜索方法，可以将条件域、对象角

21、色域分别构成有向无环图，如果能在这2 个有向无环图上分别找到能连通的2 个节点，就可以判断这2 个策略存在冲突的危险旧J 3 4 策略的冲突消解对于策略冲突的消解，文献 4 对分布式系统管理中不同类别的策略冲突解决进行了探讨，文献 5 在数据级上研究了模式语义冲突及解决策略这些方案只能部分地或从某个角度解决某类问题在网络安全综合监控平台中，策略冲突最简单的解决方法是改变策略的条件、动作等属性使其不再产生冲突，但这种方法应该是在制定策略时使用，即预先检测使其不发生冲突，这往往比较困难当冲唐成华等：网络安全综合监控平台中安全策略的研究4 3 3突已经发生时，需要专门的消解方法，这也是对策略的信任和

22、协商过程根据产生式系统的控制策略法则，可用以下的策略冲突消解原则“匹配优先”原则：发生冲突时，选用最先匹配的策略；“优先权”原则：指定策略执行优先权的方案，至少有以下5 种方案：反向策略优先、本地策略优先、近策略优先、新加策略优先和指定优先权值；“优先权+匹配优先”原则：若按优先级原则得到的策略不惟一，则选择其中最先匹配策略；“多约束优先”：选择约束条件多的策略；“仲裁”原则：增加附加条件确定策略4 基于规则引擎的策略处理机制4 1 策略规则与规则引擎按照安全策略的定义，一个策略规则包含一组条件和该条件下执行的操作，在应用程序中表现为一段业务逻辑策略规则通常由系统安全分析人员和策略管理者开发和

23、变更，但有些复杂的策略规则也可以由技术人员使用面向对象的技术语言或脚本来定制 6|规则引擎由基于规则的专家系统中的推理引擎发展而来，是嵌入到应用程序中的一种组件，将策略决策从应用程序代码中分离出来，使用预定义的语义模块编写策略规则，并根据规则中指定的过滤条件来判断是否匹配实时条件，从而决定是否执行规则中所规定的动作4 2 基于规则引擎的策略处理规则引擎是软件组件，需要通过程序接口的方式来使用和控制它规则引擎的接口至少包含以下几种A P I：加载和卸载规则的A P I、引擎执行A P I、数据操作A P I，其他还有规则冲突处理A P I、安全设R u l e sA p p l i c a t

24、i o nE d t tE n v i r o n m e n tR u l e slD e b u gW o r k i n g凸自向IE d i t o rIM e m o r yE v e n tL 1 s t e n e rR v e l s m l t o o t r eI D SF l r e w a l lS e m n c r3 ej eIR u l eE n g i n eA P I8牡。N e t w o r kI 惭M e l I o 鸣r r lE n 叫g i n 啪eHE l i m 胡i n a”t 拓i o nS e c u n t ye _L、d P o h

25、c yR u l e sM o n i t o n n g胁1 1 k M F _ n o i n e n J r R e p o s l t o f y jP I a t f o r mA p p h c a t l o n图2 基于规则引擎的策略处理架构备规则应用A P I 等图2 是网络安全综合监控平台中基于规则引擎的策略处理架构规则编辑环境是开发者用来编辑技术规则的工具，其中包含的事件监听模式能够跟踪和查看事件模型中到底发生了什么在规则编辑过程中要检测策略规则的完整性、正确性和一致性策略规则的应用对象包括应用系统的访问者及I D S，F i r e W a l I，S c a n n

26、e r 等安全设备它们是策略规则被激发或应用的主体或客体网络安全综合监控平台应用是企业的管理者对系统安全进行策略规则管理的工具，可以根据安全需求的变化和网络攻击事件的状况来动态管理策略规则同样，在这个过程中要处理策略的完整性、正确性和一致性策略规则可以用规则数据表或文件的形式存储在关系数据库或脚数据库中策略规则是企业管理者的安全决策逻辑，独立于应用开发者的技术决策逻辑在应用程序中只需在指定规则文件后加载该文件中的规则即可规则引擎包括了工作区内存、模式匹配器、队列、引擎执行和规则冲突处理器，规则引擎的推理步骤如图3 所示：图3 规则引擎的推理步骤将事件对象实例送入工作区内存；P a t t e

27、r nM a t c h e r 将规则库中的规则与实例数据进行比较，将符合条件的规则导人工作区；将激活的规则并按顺序放入A g e n d a；执行A g e n d a 中的规则，检测并消除可能发生的规则冲突重复，直到执行完毕A g e n d a中的所有规则当引擎执行时，按照规则执行队列中的优先顺序逐条执行规则实例，这个执行过程可能会改变工作区的数据对象，从而使队列中的某些规则执行实例因为条件的改变而失效，进而从队列中撤消，也可能会激活原来不满足条件的规则，生成新的规则执行实例进入队列，这种动态变化的规则执行链完全由工作区中的数据驱动的规则条件的匹配效率决定了引擎的性能，引擎库2一一磊涨

28、；耋J匡囊4 3 4计算机研究与发展2 0 0 6，4 3(增刊)需要迅速测试工作区和规则库中的数据对象，从加载的规则集中发现符合条件的规则，生成规则执行实例F o r g y 提出的R e t e 算法【7 j 很好地解决了这方面的问题4 3 使用规则引擎一个开放的策略规则引擎应该可以“嵌入”到应用程序的任何位置，不同位置的规则引擎还可以使用不同的规则集，用于处理不同的数据对象为了方便论述，下例中用J a v a 语言来描述一个非法连接的I P 阻断控制策略在安全系统中使用规则引擎应该遵循以下步骤：1)创建实体类一个简单的阻断控制策略的实体类L i n k j a v a 包含了3 个成员变

29、量：c e r t i f i c a t e S t a t e t i m e s 和a c t i o n 其中c e r t i f i c a t e S t a t e 表示请求连接身份状态是否合法，t i m e s 是该请求连接的次数，而a c t i o n 在这里只表示是否对当前请求连接的主体I P 进行阻断，如图4 所示：图4 阻断控制策略的实体类2)建立策略规则我们用X M L 文件来保存规则非法连接阻断控制策略的规则文件名为L i n k R u l e s x m l，其规则集中的2 个规则如图5 所示该规则描述了当请求连接的身份状态是非法，并且请求次数大于或等于3

30、 次时，对该请求连接的主体I P 进行阻断而如果连接请求通过了身份认证时，则允许该连接的请求3)创建规则引擎对象，并向引擎中加载规则集(3 C 件)或更新规则集(文件)，如图6 所示4)向引擎提交被规则集处理的数据对象集合任何时候，只要有某网络事件的主体试图连接系统时，就创建连接控制的对象及其实例L i n k，对其成员变量赋值后直接调用规则引擎中相应的方法，如图7 所示5)命令引擎执行并导出执行结果图7 提交规则处理对象并返回结果唐成华等：网络安全综合监控平台中安全策略的研究4 3 55 实验结果与分析5 1 应用测试我们的应用测试环境是E c l i p s e3 1 2 和J U n i

31、 t测试模拟器，如图8 所示：图8阻断控制策略规则测试用例T e s t C a s e 用例的规则采用指定优先级的方式来解决可能发生的策略冲突管理决策逻辑完全作为策略规则文件保存，与应用的决策相对分离当规则引擎导入策略规则文件后，检测并按照指定的方式解决冲突，并按队列执行安全策略的规则5 2 效率分析我们的外部测试环境是实验室内部安装网络安全综合监控平台的局域网局域网平均流量为8 M b p s，网络主机数为2 2 台，并均安装有主机I D S和防火墙，L i n u x 应用服务器和数据库服务器各一台，网络I D S 一台，网络扫描器一台在相同的条件下，测试应用传统嵌入式策略规则代码与应用

32、规则引擎2 种不同方式的系统效率，它们也反映了不同方式下规则匹配的效率攻击事件是根据I S S 公司岔g厘譬饲售霞e 卜螺_ l I l 5图9 系统运行效率曲线图公布的攻击特征参考文档所进行的网络数据包模拟网络安全综合监控平台通过基础层服务获取网络攻击事件，并触发相应的安全策略测试指标为访问控制策略和事件响应策略的系统平均响应时间，如图9 所示，系统运行开始，初始化环境时对网络攻击事件响应较缓慢，但在初始化完成后，应用规则引擎的方式比未应用规则引擎的方式的系统平均响应时间能快近一倍6结论本文从一般意义上重新定义了安全策略，描述了在一个安全信息系统中安全策略的完整性、正确性和一致性要求在基于规

33、则的专家系统的推理引擎基础上，建立一种基于规则引擎的安全策略处理机制，通过规则编辑器或网络安全综合监控平台接E l，将安全策略规则存储在独立的数据库中，分离企业管理决策逻辑和技术开发决策逻辑从规则引擎的使用步骤上可以看出，网络安全综合监控平台中策略规则的建立和存储，可以独立于应用系统的开发过程，并能根据市场和安全需求的变化，及时动态地修改，从而使安全策略的管理具有较高的适应性和健壮性这种安全策略处理机制已在多个实际项目中得到应用下一步的工作是研究安全策略规则以数据表存储模式对工作效率的影响以及多级网络环境下安全策略的拓展参考文献 1 L a u r e n c eC h o l v y，F r

34、&1 6 r i cC u p p e n s A n a l y z i n go n a i s t e n e yo fs e c u r i t yp o l i c i e s I n：P r o co ft h e1 9 9 7I E E ES y m p o s i u mo nS e c u r i t ya n dP r i v a c y L o sA l a m i t o s，C A：I E E EC o m p u t e rS o c i e t yP r e s s，1 9 9 7 2 EA I-S h a e r，HH a m e d，R a o u fB o

35、u t a h a，e ta 1 C o n f l i c tc l a s s i f i c a t i o na n da n a l y s i so fd i s t r i b u t e df i r e w a l lp o l i c i e s h t t p：w w m n l a b c s d e p a u l e d u p r o j e c t s F P f i l e s j s a c 0 5 p d f，2 0 0 5 3 姚键，茅兵，谢立一种基于有向图模型的安全策略冲突检测方法计算机研究与发展，2 0 0 5，4 2(7)：1 1 0 8 1 1

36、1 4 4 J o n a t h a nD，M o r r i sS P o l i c yc o n f l i c ta n a l y s i si nd i s t r i b u t e ds y s t e mm a n a g e m e n t h t t p：1 w w w m o f f e t t m e u k j d r n p u b s p o l c o n f l p d f，1 9 9 3 5 张斌，王国仁，郑怀远面向对象的多数据库系统中冲突的分类及解决策略计算机研究与发展，1 9 9 7，3 4(增刊)：3 0 0-3 0 44 3 6计算机研究与发展2

37、 0 0 6，4 3(增刊)6 M a d h u rK o h l i，J o r g eL o b o R e a l i z i n gn e t w o r kc o n t r o lp o l i c i e su s i n gd i s t r i b u t e da c t i o np l a n s J o u r n a lo fN e t w o r ka n dS y s t e m sM a n a g e m e n t，2 0 0 3，1 1(3)：3 0 5 3 2 7 7 CLF o r g y R e t e-Ah s ta l g o r i t h

38、 mf o rt h em a n yp a t t e r n m a n yo b j e c tp a t t e r nm a t c hp r o b l e m A r t i f i c i a lI n t e l l i g e n c e，1 9 8 2，1 9(1)：1 7 3 7姚淑萍女，1 9 7 0 年生，博士，主要研究方向为小波、信息安全、信息融合、智能处理张翔男，1 9 7 8 年生，博士研究生，主要研究方向为信息安全、智能处理降。熙掣7 篓，?士研薏主：主要研为信息萎：惫乏嚣篡耋埘触矗靳舫蚋信息安全、信息融合、智能处理、C I M S 技术一一。一网络安全综合监控平台中安全策略的研究网络安全综合监控平台中安全策略的研究作者：唐成华，姚淑萍，张翔，崔中杰作者单位：唐成华,张翔,崔中杰(北京理工大学计算机网络攻防对抗技术实验室,北京,100081;北京理工大学机电工程学院,北京,100081)，姚淑萍(北京理工大学计算机网络攻防对抗技术实验室,北京,100081)本文链接：http:/