導航：安全管理網>> 安全論文>> 電力安全論文>>正文

基于PKI的網絡邊界安全監(jiān)控方法

文檔作者：鄒翔，姻播，王福文檔來源：公安部第三研究所信息網絡安全公安部重點實驗室國家反計算機入侵與防病毒研究中心		點擊數(shù)：	更新時間： 2024年06月12日
下載地址：點擊這里	文件大?。?235.15 KB 共3頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內容預覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：235.15 KB 共3頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：公共安全視頻監(jiān)控建設應用指南

上一篇：基于RFID技術的生豬安全監(jiān)控平臺設計

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

第36卷第13期計算機工程2010年7月
VoL36 No．13 Computer Engineering July 2010
·安全技術· 文章編號；Iooo_-3428(20lo)13__0140一_03 文獻標識碼。A 中田分類號t TP393．08
基于PKI的網絡邊界安全監(jiān)控方法
鄒翔，姻播，王福
(公安部第三研究所信息網絡安全公安部重點實驗室國家反計算機入侵與防病毒研究中心，上海200031)
摘蔓：針對網絡邊界安全防御的需求和特點，提出一種基于PKI技術的網絡邊界安全監(jiān)控方法。該方法結合基于PKI的身份認證機制、
入侵檢測技術與VPN技術，通過對網絡流最和系統(tǒng)日志的關聯(lián)分析，能夠在實時發(fā)現(xiàn)入侵行為的同時，準確定位入侵來源并實時阻斷攻
擊，相比通用的特征檢測和異常檢測方法具有更強的準確性和可用性。
關t詞：網絡邊界；安全監(jiān)控；入侵檢測；公鑰基礎設施
Network Border Security Monitor Method Based 0n PKI
ZoU Xiang,LIU Hao．WANG Fu
(National Research Center for Anti—Computer Invasion and Vh'us Prevention，Key Laboratory for Information and Network Security ofMinistry of
Public Security,the 111ird Research lastimte of Miniswy of Public Security,Shanghai 20003 1)
[Abstractl This paper蘆oposes a network border security monitor method based on Public Key Infrastructure(PKI)according to the requirement
and characteristic of network border security protection．The technique combines identity authentication mechanism based on PIG，intrusion
detection technology and VPN technology．It Can accurately locate the origin of intrusion and prevent anacks soon after real·time detection of
intrusion behaviors via association analysis ofnetwork traffic and system log．As a result,it has higher accuracy and usability than genefal signature
detection and abnormal detection technique．
[Key words]network border；security monitor；intrusion detection；Public Key Infi'aslructure(PKl)
1概述
隨著信息化的深入發(fā)展，不同網絡間互聯(lián)互通、遠程訪
問內部網絡的需求日趨迫切，這嶼需求對網絡邊界的安全監(jiān)
控能力提出了更高要求。入侵檢測技術能夠幫助系統(tǒng)對付網
絡攻擊，保護系統(tǒng)的完整性和可用性，提高對系統(tǒng)的安全監(jiān)
控能力。但該技術也存在著誤報率或漏報率偏高、事件定位
與責任認定困難等問題。
本文提出了一種基于PKI技術的網絡邊界安全監(jiān)控方
法。該方法結合多種安全技術手段，通過對網絡流量和系統(tǒng)
日志的關聯(lián)分析，能夠在實時發(fā)現(xiàn)入侵行為的同時，準確定
位入侵來源并實時阻斷攻擊，誤報與漏報情況也得到了有效
降低。
2相關工作
2．1 PKI技術
公鑰基礎設施(Public Key Infrastructure，PKI)是用來創(chuàng)
建、管理、存儲、發(fā)布和回收數(shù)字證書硬件、軟件、人、策
略和過程的集合111。PKI可以以硬件或軟件形式發(fā)放數(shù)字證
書，由于智能卡所攜帶的微趔芯片可實現(xiàn)存儲、加解密、卡
內生成密鑰對等功能，因此其成為數(shù)字證書存儲介質的主要
形式。
2．2入侵檢測技術
入侵檢測系統(tǒng)(Intrusion Detection System，1DS)通過對入
侵行為過程與特征的研究，使安全系統(tǒng)對入侵事件和入侵過
程能做出實時響應，根據(jù)檢測方法可分為特征檢測和異常檢
測2大類。其中，特征檢測適用于檢測已知入侵行為，但難
以發(fā)現(xiàn)未知的入侵行為；異常檢測可以檢測出未知入侵行為，
卻存在誤報的可能。文獻[2】對已有的IDS進行了研究，指出
w140"--
當前的入侵檢測系統(tǒng)不能解決基率謬誤(base·rate fallacy)的
問題，即如果實際入侵數(shù)比系統(tǒng)的合法使用數(shù)低，則誤報率
將很高。同時，由于身份欺騙(偽造IP／Mac地址、竊取用戶
名／密碼)等手段，導致誤報率或漏報率的進一步增高，并且
難以進行事件定位與責任認定。
2．3 VPN技術
虛擬專用網(Virtual Private Network，VPN)一般用來建立
公共網絡上的邏輯專用安全通道。其中，遠程訪問內部網絡
所使用的安全協(xié)議一般為IPSec或SSL等。IPSec和SSL都
支持基于數(shù)字證書的雙向認證方式(IKE與SSL握手協(xié)議)。
3基于PKI的網絡邊界安全監(jiān)控
3．1基本思路
首先，建立基于PKI技術的網絡基礎信任體系，為所有
需要從其他網絡訪問目標網絡的用戶頒發(fā)智能卡形式的數(shù)字
證書，所有用戶必須通過基于數(shù)字證書的身份認證才能進入
目標網絡。接著，系統(tǒng)監(jiān)控進出目標網絡邊界的網絡流量，
同時接收用戶認證數(shù)據(jù)，將網絡流量與認證數(shù)據(jù)相關聯(lián)獲得
準確的用戶訪問描述信息。然后，分析用戶訪問描述信息及
網絡流量信息，發(fā)現(xiàn)入侵行為。最后，自動實時阻斷攻擊并
通知管理員。
3．2系統(tǒng)架構
如圖l所示，網絡邊界安全監(jiān)控系統(tǒng)環(huán)境由終端、外部
基金項目：國家“863”計劃基金資助項目(2006AA01ZA50，2008A
AOIZAl2)
作者筒介：鄒翔(1977--)，男，副研究員、博士，主研方向：信息
網絡安全；劉浩，助理研究員、碩士；王福，副研究員、博士
收稿日期：2010-02—10 E-mail：xiangz@mail．trimps．ac．cn
萬方數(shù)據(jù)
網絡和目標網絡3個部分組成。終端f配備數(shù)字證書)位于目
標網絡外，可通過外部網絡與目標網絡建立連接。外部網絡
可以是互聯(lián)網、無線網絡等多種形式。目標網絡包括認證網
關、安全監(jiān)控中心(含傳感器)、PKI系統(tǒng)、應用系統(tǒng)等部分。
目l 同絡邊界安全監(jiān)控系統(tǒng)架糟
認證網關位于目標網絡邊界，對所有請求進入目標網絡
的用戶進行基于數(shù)字證書的身份認證。
傳感器部署在目標網絡的關鍵路徑上，如認證網關的目
標網絡一側，監(jiān)控進出目標網絡邊界的網絡流最、用戶認證
數(shù)據(jù)以及各類設備日志等信息，預處理后發(fā)送給安全監(jiān)控中
心。安全監(jiān)控中心接收傳感器發(fā)送的監(jiān)控信息，實時分析用
戶訪問描述信息及網絡流量信息，發(fā)現(xiàn)入侵行為，并實時以
自動或通知管理員手動處理等方式進行事件響應。
PKI系統(tǒng)以離線方式為用戶頒發(fā)數(shù)字證書，并提供證書
發(fā)布和查詢服務，發(fā)布方式可采用輕量級目錄訪問協(xié)議
(LDAP)或在線證書狀態(tài)協(xié)議(ocsP)。
3．3系統(tǒng)工作過程
系統(tǒng)工作過程分為3個階段：用戶認證階段，信息采集
與預處理階段，分析與響應階段。
3．3．1 用戶認證階段
如圖2所示，終端發(fā)起連接請求后，認證網關首先判斷
是否達到所支持的最大并發(fā)連接數(shù)。如果未達到系統(tǒng)并發(fā)連
接數(shù)閾值，則終端和認證網關雙方開始雙向認證過程，認證
協(xié)議為IKE或SSL握手協(xié)議。
終端認證網關
Y
Y
曩2用戶認證藏程
以IKE協(xié)議為例，IKE分為2個階段，第l階段采用主
模式，包括策略協(xié)商、密鑰參數(shù)交換和身份認證交換(即證書
交換)3個階段。終端與認證網關進行證書交換，驗證證書鏈，
認證網關可以通過OCSP協(xié)議以在線方式查詢證書狀態(tài)，如
果返回結果為證書狀態(tài)良好并在有效期內，則根據(jù)用戶身份
分配合適的內部網絡IP地址，第l階段完成。第2階段采用
快速模式，通過3條消息建立IPSec SA，即建立安全通道，
并生成用戶狀態(tài)表及審計數(shù)據(jù)。
3．3．2 信息采集與預處理階段
如圖3所示，每次完成用戶認證后，認證網關將審計數(shù)
據(jù)以syslog等方式發(fā)送給傳感器，數(shù)據(jù)內容包括證書標識、
登錄時間、終端源lP地址、內部網絡IP地址等，如{CertlD，
LoginTime，SrcAddr，IntAddr}。當用戶離線時，發(fā)送{CertlD，
LogoutTime，SrcAddr，IntAddr}。傳感器首先收到登錄記錄，
待收到離線記錄時，形成一條完整的日志記錄，定義網關審
計數(shù)據(jù)集AU，集合中每個元素Old舡=l，2，?，朋)代表一條用戶
登錄或完整日志記錄(按LoginTime，排序)。
認證網關傳感器網絡設備
+
[亙亟匭噩]
圈3信息采集與曩處理菠程
同時，網絡設備(如交換機、路由器)以端口鏡像形式將
網絡流量傳送給傳感器或向傳感器發(fā)送網絡流(netflow)信
息。以netflow為例，報文由一個頭標信息、一個或多個信息
流記錄構成，如：頭標信息{version，count，SysUptime，
unix—SCCS，unix_nsecs}。其中，count為信息流個數(shù)；信息流
記錄{SrcAddr,DstAddr,dPkts，dOctets，first，last，SrcPort，
DstPort，prot，tos，src—mask，dstmask}。定義網絡流集合NF，
集合中每個元素nf,{i=1，2，?，療)代表一條netflow報文(按unix—
seesi排序)，礪中包含的信息流表示為isiAj=1，2，?，counO。
定義用戶訪問描述信息集合IdA，集合中每個元素llar
(／--1，2,．--,m)flj auf與屬于對應用戶的信息流數(shù)據(jù)集合組成。
定義異常流量日志集合彳S，集合中每個元素asf(i=l，2，?爐)
代表一條異常信息流。
傳感器接收數(shù)據(jù)后，首先進行數(shù)據(jù)規(guī)范化，統(tǒng)一數(shù)據(jù)格
式，包括將各類日志中的時間值統(tǒng)一。
接著，采用Association過程進行數(shù)據(jù)關聯(lián)。
Association過程如下：
輸入網關審計數(shù)據(jù)集AU，網絡流集合NF
■出用戶訪問描述信息集合已■，異常流量日志集合一s
一14l一
萬方數(shù)據(jù)
(1)UA--=AU；
(2)For i=l，2,-．-，n do
(3)Forj=l，2，?，m do
(4)Ifunix—secsi

網友評論 more

電力安全論文最新內容

03-04