基于動(dòng)態(tài)自適應(yīng)的網(wǎng)絡(luò)安全智能預(yù)警系統(tǒng)研究

摘要：分析了傳統(tǒng)的PPDR安全模型，提出了具有自學(xué)習(xí)進(jìn)化功能的網(wǎng)絡(luò)安全智能預(yù)警系統(tǒng)RPRDRE。該系統(tǒng)的智能預(yù)警技術(shù)使系統(tǒng)在受到黑客攻擊時(shí)具有良好的主動(dòng)性、自適應(yīng)性和可生存性，體現(xiàn)了在線檢測(cè)、智能預(yù)警、及時(shí)恢復(fù)、自我學(xué)習(xí)提高的網(wǎng)絡(luò)安全新理念。

關(guān)鍵詞：網(wǎng)絡(luò)安全；智能預(yù)警；RPRDRE模型；系統(tǒng)研究

0引言

網(wǎng)絡(luò)在給人們帶來(lái)諸多好處的同時(shí)，也帶來(lái)了許多安全問(wèn)題。由于TCP/IP協(xié)議的開(kāi)放性，網(wǎng)絡(luò)系統(tǒng)容易受到黑客的攻擊。近年來(lái)網(wǎng)絡(luò)協(xié)議分析軟件的大量使用和攻擊軟件的泛濫，使得攻擊者可以方便地分析、截獲、甚至篡改用戶網(wǎng)絡(luò)通信數(shù)據(jù)。原有的對(duì)于網(wǎng)絡(luò)攻擊的靜態(tài)的被動(dòng)防護(hù)已經(jīng)越來(lái)越不適應(yīng)對(duì)網(wǎng)絡(luò)安全的需求，人們需要的是對(duì)整個(gè)信息和網(wǎng)絡(luò)系統(tǒng)的主動(dòng)的、動(dòng)態(tài)的保護(hù)和預(yù)警，以確保它們的安全性，包括對(duì)系統(tǒng)的保護(hù)、檢測(cè)和響應(yīng)的能力。因此，本文在綜合分析了傳統(tǒng)的PPDR安全模型后，提出了具有自學(xué)習(xí)進(jìn)化功能的網(wǎng)絡(luò)安全智能預(yù)警系統(tǒng)RPRDRE。

1 動(dòng)態(tài)信息安全理論模型-PPDR

網(wǎng)絡(luò)安全涉及網(wǎng)絡(luò)環(huán)境中的各種系統(tǒng)、硬件、軟件等，已發(fā)展成為集計(jì)算機(jī)軟、硬件技術(shù)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、安全技術(shù)和管理學(xué)的綜合性學(xué)科，網(wǎng)絡(luò)安全的實(shí)現(xiàn)也成為了一項(xiàng)復(fù)雜的系統(tǒng)工程。傳統(tǒng)的靜態(tài)安全方案，如認(rèn)證、授權(quán)、數(shù)據(jù)加密、訪問(wèn)控制等屬于直接風(fēng)險(xiǎn)控制型，這種安全模型依賴于系統(tǒng)的合理設(shè)置和對(duì)威脅及環(huán)境弱點(diǎn)的防御手段。但是隨著攻擊技術(shù)含量的逐步增加，安全漏洞也呈現(xiàn)出動(dòng)態(tài)性和不確定性。因此，—種動(dòng)態(tài)的網(wǎng)絡(luò)安全理論模型PPDR便在此基礎(chǔ)上發(fā)展起來(lái)(如圖1所示)。

PPDR模型由安全策略(Policy)、防護(hù)(Protection)、檢測(cè)(Detection)和響應(yīng)(Response)四部分組成，其防護(hù)、檢測(cè)和響應(yīng)恢復(fù)組成了一個(gè)動(dòng)態(tài)的、閉合的安全循環(huán)。其基本思想是在安全策略的控制和指導(dǎo)下，在綜合運(yùn)用各種防護(hù)工具的同時(shí)，利用檢測(cè)工具檢測(cè)系統(tǒng)的安全狀態(tài)，通過(guò)適當(dāng)?shù)捻憫?yīng)將系統(tǒng)調(diào)整和恢復(fù)到“最安全”和“風(fēng)險(xiǎn)最低”的狀態(tài)。

PPDR模型中，起核心作用的安全策略并不能夠及時(shí)、動(dòng)態(tài)地進(jìn)行更新，而網(wǎng)絡(luò)的發(fā)展是動(dòng)態(tài)的，會(huì)不斷地出現(xiàn)新協(xié)議、操作系統(tǒng)、應(yīng)用軟件和新的應(yīng)用，伴隨著出現(xiàn)大量新的漏洞、病毒、攻擊程序。但PPDR安全模型惟一的動(dòng)態(tài)因素是建立在檢測(cè)(Detection)上，解決手段僅僅是延長(zhǎng)保護(hù)時(shí)間，盡量縮短檢測(cè)時(shí)間和響應(yīng)時(shí)間，因此僅僅依靠PPDR安全模型還不能很好地--解決網(wǎng)絡(luò)安全的所有問(wèn)題。網(wǎng)絡(luò)安全的理論模型的發(fā)展和完善成為具有挑戰(zhàn)性的課題。

2 智能預(yù)警系統(tǒng)的設(shè)計(jì)

為了實(shí)現(xiàn)由傳統(tǒng)的對(duì)網(wǎng)絡(luò)系統(tǒng)的加固和保護(hù)轉(zhuǎn)為預(yù)先發(fā)現(xiàn)網(wǎng)絡(luò)漏洞和缺陷，并及時(shí)響應(yīng)和提高免疫力，不斷查明網(wǎng)絡(luò)中存在的安全風(fēng)險(xiǎn)和威脅，要求網(wǎng)絡(luò)是一個(gè)動(dòng)態(tài)的、自適應(yīng)的、有學(xué)習(xí)進(jìn)化功能的系統(tǒng)，即系統(tǒng)具有防護(hù)功能、實(shí)時(shí)入侵監(jiān)控功能、漏洞掃描功能、安全決策功能、風(fēng)險(xiǎn)分析功能和自學(xué)習(xí)進(jìn)化功能。為此，筆者結(jié)合網(wǎng)絡(luò)安全理論和自動(dòng)控制原理，設(shè)計(jì)了一種具有動(dòng)態(tài)自適應(yīng)網(wǎng)絡(luò)安全的智能預(yù)警系統(tǒng)－RPRDRE。整個(gè)系統(tǒng)由風(fēng)險(xiǎn)分析(Risk analysis)、安全策略(Policy)、系統(tǒng)加固(Reinforce)、檢測(cè)和預(yù)警(Detection Warning)、響應(yīng)與恢復(fù)(Response ＆ Recovery)、系統(tǒng)學(xué)習(xí)進(jìn)化(system Learning Evolutionary)等六個(gè)部分共同組成，形成一個(gè)動(dòng)態(tài)的閉合反饋環(huán)。系統(tǒng)模型如圖2所示。

2.1風(fēng)險(xiǎn)分析(Risk analysis)

信息資產(chǎn)本身的脆弱性，使得威脅隨時(shí)可能發(fā)生而造成系統(tǒng)風(fēng)險(xiǎn)。只有對(duì)IP網(wǎng)絡(luò)安全狀況進(jìn)行全面分析，找出風(fēng)險(xiǎn)所在，并通過(guò)安全策略對(duì)這些風(fēng)險(xiǎn)進(jìn)行加固或修補(bǔ)，才能確保網(wǎng)絡(luò)的安全可靠。所謂風(fēng)險(xiǎn)分析就是分析威脅發(fā)生的可能性和系統(tǒng)遭受攻擊時(shí)的脆弱程度，并估計(jì)可能由此造成的損失和影響的過(guò)程。風(fēng)險(xiǎn)分析主要包括風(fēng)險(xiǎn)確認(rèn)，風(fēng)險(xiǎn)預(yù)測(cè)和風(fēng)險(xiǎn)評(píng)估三個(gè)方面。風(fēng)險(xiǎn)確認(rèn)主要是及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)中可能存在的風(fēng)險(xiǎn)，并對(duì)其進(jìn)行分類。風(fēng)險(xiǎn)預(yù)測(cè)主要是預(yù)測(cè)風(fēng)險(xiǎn)發(fā)生時(shí)的直接損失和間接損失。在風(fēng)險(xiǎn)評(píng)估階段，資產(chǎn)的價(jià)值、資產(chǎn)破壞后造成的影響、威脅的嚴(yán)重程度、威脅發(fā)生的可能性、資產(chǎn)的脆弱程度都成為風(fēng)險(xiǎn)評(píng)估的關(guān)鍵因素。風(fēng)險(xiǎn)分析決定了安全策略的取向。

2.2安全策略(Policy)

網(wǎng)絡(luò)安全策略根據(jù)風(fēng)險(xiǎn)分析的結(jié)果確定。不同的分析結(jié)果決定著不同的安全策略，而不同的安全策略決定著安全系統(tǒng)的設(shè)計(jì)目標(biāo)、戰(zhàn)略措施以及總體方針，所需要的造價(jià)也截然不同。因此制定合理的安全策略是部署好的網(wǎng)絡(luò)安全系統(tǒng)的關(guān)鍵。安全策略通常應(yīng)包括以信息系統(tǒng)為對(duì)象的系統(tǒng)安全策略和以人員為對(duì)象的組織安全策略兩個(gè)方面。安全策略模塊在結(jié)構(gòu)上應(yīng)體現(xiàn)從物理層的安全策略到應(yīng)用層的安全策略的設(shè)計(jì)，包括安全掃描、安全審計(jì)、安全管理、病毒防護(hù)和災(zāi)難恢復(fù)等，并且通過(guò)系統(tǒng)的自學(xué)習(xí)功能不斷補(bǔ)充、修訂和完善安全策略，實(shí)現(xiàn)安全策略的動(dòng)態(tài)性、自適應(yīng)性和自動(dòng)調(diào)節(jié)功能，是本系統(tǒng)的核心驅(qū)動(dòng)模塊。

2.3系統(tǒng)加固(Reinforce)

在安全策略確定后，針對(duì)發(fā)現(xiàn)的風(fēng)險(xiǎn)和漏洞必須進(jìn)行系統(tǒng)加固，包括對(duì)系統(tǒng)進(jìn)行優(yōu)化配置、調(diào)整安全策略、安裝補(bǔ)丁、安裝安全軟件、系統(tǒng)保護(hù)、加固等，在盡量不影響加固對(duì)象原有功能和性能的基礎(chǔ)上，解決在安全評(píng)估中發(fā)現(xiàn)的安全問(wèn)題，修補(bǔ)其中存在的問(wèn)題。系統(tǒng)通常是采用動(dòng)態(tài)安全技術(shù)及安全策略實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)的安全保護(hù)，包括：擴(kuò)展的ACL、準(zhǔn)入控制機(jī)制、VPN技術(shù)、高速狀態(tài)敏感包過(guò)濾技術(shù)、強(qiáng)制性訪問(wèn)控制技術(shù)、交叉認(rèn)證技術(shù)、動(dòng)態(tài)加密技術(shù)等。加固工作還要包括對(duì)網(wǎng)絡(luò)設(shè)備的加固、系統(tǒng)和主機(jī)的加固以及防火墻、訪問(wèn)控制系統(tǒng)的部署等。

2.4檢測(cè)和預(yù)警(Detection＆Warning)

在RPRDRE網(wǎng)絡(luò)安全模型中，檢測(cè)作為動(dòng)態(tài)響應(yīng)的依據(jù)，也是落實(shí)安全策略的有力工具。模型通過(guò)不斷的監(jiān)測(cè)、監(jiān)控網(wǎng)絡(luò)和系統(tǒng)，來(lái)發(fā)現(xiàn)新的威脅和弱點(diǎn)，通過(guò)循環(huán)反饋來(lái)及時(shí)做出有效的響應(yīng)：首先是對(duì)檢測(cè)到的安全漏洞向全網(wǎng)及時(shí)發(fā)出預(yù)警；其次是讓前一個(gè)時(shí)間段的事件能夠?qū)ο聜€(gè)時(shí)間段的后續(xù)環(huán)節(jié)起到警示作用，某地的警示可以為其它的地方獲得后續(xù)環(huán)節(jié)的提前量。如果某地在某個(gè)時(shí)間段里遭遇到黑客攻擊，病毒泛濫等安全事件的時(shí)候，在其它的地方在第一時(shí)間就能夠得到警示并提前及時(shí)打好補(bǔ)丁，為下—個(gè)時(shí)段網(wǎng)絡(luò)安全帶來(lái)相應(yīng)的支撐和幫助，并且將不良信息記入“系統(tǒng)學(xué)習(xí)進(jìn)化”模塊，為實(shí)現(xiàn)全網(wǎng)智能預(yù)警做好準(zhǔn)備。檢測(cè)的對(duì)象主要針對(duì)構(gòu)成安全風(fēng)險(xiǎn)的兩個(gè)部分：系統(tǒng)自身的脆弱性及外部威脅。系統(tǒng)自身的脆弱性檢測(cè)主要是漏洞檢測(cè)，入侵者總是通過(guò)尋找網(wǎng)絡(luò)中的安全漏洞來(lái)尋找入侵點(diǎn)；進(jìn)行系統(tǒng)自身的脆弱性檢查的主要目的是先于入侵者發(fā)現(xiàn)漏洞并及時(shí)彌補(bǔ)，從而進(jìn)行安全防護(hù)。外部威脅檢測(cè)主要包括：入侵檢測(cè)、病毒檢測(cè)和安全審計(jì)系統(tǒng)。

2.5響應(yīng)與恢復(fù)(Response＆Recovery)

響應(yīng)與恢復(fù)在RPRDRE安全模型中占有最為重要的地位，是實(shí)現(xiàn)動(dòng)態(tài)網(wǎng)絡(luò)安全的重要保證，當(dāng)發(fā)現(xiàn)外部攻擊和系統(tǒng)漏洞時(shí)，迅速做出反應(yīng)，以阻斷攻擊，隔離故障，或是設(shè)置陷阱，進(jìn)行追蹤，并利用系統(tǒng)升級(jí)、軟件升級(jí)和打補(bǔ)丁等手段及時(shí)恢復(fù)遭到攻擊的重要信息。為了能夠及時(shí)地對(duì)所有安全事件進(jìn)行響應(yīng)，需要建立安全管理中心，統(tǒng)一管理所有的安全產(chǎn)品。安全管理中心應(yīng)具備以下功能：①遠(yuǎn)程監(jiān)控網(wǎng)絡(luò)安全系統(tǒng)的狀態(tài)，匯總數(shù)據(jù)并進(jìn)行關(guān)聯(lián)性分析；②對(duì)正在發(fā)生的攻擊事件進(jìn)行收集、依據(jù)策略進(jìn)行自動(dòng)處理、及時(shí)響應(yīng)；③能夠?qū)⒐粜畔⒑桶踩┒葱畔㈥P(guān)聯(lián)起來(lái)，為系統(tǒng)學(xué)習(xí)進(jìn)化提供安全決策支持，能夠產(chǎn)生詳盡的安全報(bào)告；④能夠自動(dòng)產(chǎn)生全網(wǎng)的狀況和風(fēng)險(xiǎn)分析報(bào)告，自動(dòng)提示相應(yīng)的安全措施；⑤能夠通過(guò)集中統(tǒng)一的平臺(tái)實(shí)現(xiàn)對(duì)企業(yè)網(wǎng)相關(guān)的安全軟件的特征碼、檢測(cè)引擎、軟件程序的配置、管理和自動(dòng)升級(jí)；⑥對(duì)搜集到的安全事件和系統(tǒng)網(wǎng)絡(luò)事件能按優(yōu)先級(jí)進(jìn)行分類，并能通過(guò)直觀的圖標(biāo)、顏色、閃爍等手段區(qū)分各類事件；⑦對(duì)搜集到的安全事件能進(jìn)行靈活、自動(dòng)地匹配，從而激活一系列智能化的動(dòng)作對(duì)所發(fā)生的安全事件進(jìn)行及時(shí)響應(yīng)與處理。

2.6系統(tǒng)學(xué)習(xí)進(jìn)化(Evolutionary)

“系統(tǒng)學(xué)習(xí)進(jìn)化”是旨在為改善系統(tǒng)性能而引入的系統(tǒng)自主學(xué)習(xí)進(jìn)化的智能反饋機(jī)制。它和安全策略的結(jié)合使系統(tǒng)表現(xiàn)出一種動(dòng)態(tài)免疫力，是網(wǎng)絡(luò)安全動(dòng)態(tài)模型的智能因素。系統(tǒng)學(xué)習(xí)進(jìn)化根據(jù)攻擊檢測(cè)的正反例子及專家知識(shí)，采用歸納學(xué)習(xí)或直接知識(shí)獲取等途徑，能對(duì)RPRDRE網(wǎng)絡(luò)安全知識(shí)庫(kù)進(jìn)行充實(shí)和豐富，進(jìn)而不斷地補(bǔ)充、修訂和完善安全策略，實(shí)現(xiàn)安全策略的動(dòng)態(tài)性、自適應(yīng)性和自動(dòng)調(diào)節(jié)功能。因此，這種意義的網(wǎng)絡(luò)系統(tǒng)安全體系是一種具備自學(xué)習(xí)功能的動(dòng)態(tài)的網(wǎng)絡(luò)安全體系。

3 模型實(shí)現(xiàn)

RPRDRE網(wǎng)絡(luò)安全模型是動(dòng)態(tài)自適應(yīng)的，能夠最大限度地保護(hù)網(wǎng)絡(luò)不受諸多威脅的侵犯。同時(shí)與當(dāng)前流行的其他安全模型相比較，RPRDRE網(wǎng)絡(luò)安全模型更加注重風(fēng)險(xiǎn)分析、安全策略和系統(tǒng)學(xué)習(xí)進(jìn)化，強(qiáng)調(diào)了自適應(yīng)和自學(xué)習(xí)的功能。在RPRDRE模型中，所有的工作都是從風(fēng)險(xiǎn)分析開(kāi)始入手的，好的風(fēng)險(xiǎn)分析是實(shí)現(xiàn)網(wǎng)絡(luò)安全的第一步。在制定了適合需求的安全策略后，系統(tǒng)隨后對(duì)網(wǎng)絡(luò)進(jìn)行安全風(fēng)險(xiǎn)分析，根據(jù)風(fēng)險(xiǎn)分析的結(jié)果，在需要的地方，進(jìn)行加固和部署基本的技術(shù)防范措施，建立起防護(hù)體系，這時(shí)整個(gè)安全系統(tǒng)進(jìn)入了管理和維護(hù)階段。在這個(gè)階段模型引入了檢測(cè)與預(yù)警手段和機(jī)制，來(lái)對(duì)安全系統(tǒng)的工作進(jìn)行監(jiān)控，監(jiān)測(cè)系統(tǒng)的工作是否和安全策略一致，并隨時(shí)檢測(cè)網(wǎng)絡(luò)上新的漏洞和病毒，根據(jù)監(jiān)測(cè)和監(jiān)控的結(jié)果及時(shí)進(jìn)行事件響應(yīng)，把新的漏洞或病毒導(dǎo)致網(wǎng)絡(luò)又處于潛在危險(xiǎn)的狀態(tài)調(diào)整到安全狀態(tài)，并重新調(diào)整安全策略，再根據(jù)安全策略確定是否需要重新部署安全防護(hù)系統(tǒng)。所述過(guò)程保證了整個(gè)系統(tǒng)進(jìn)入一個(gè)良性循環(huán)，成為一個(gè)能夠自我完善、不斷發(fā)展、自我適應(yīng)能力極強(qiáng)的網(wǎng)絡(luò)安全系統(tǒng)。

RPRDRE網(wǎng)絡(luò)安全模型可用如下關(guān)系來(lái)表示：

S(RPRDRE)=R(Risk analysis)+P(Policy)+R(Reinforce)+

D(Detection＆Warning)+R(Response＆Recovery)+

E(System Learning Evolutionary)

簡(jiǎn)單描述如下：

狀態(tài)變量：

Ra=RiskAnalysis

PO=Policy

Re=Reinforce

Dw=DetectionWarning

Rr=ResgonseRecovery

E=Evolutionary

S=(Ra，Po，Re，Dw，Rr，E)

M={Re，Dw，Rr)

P={IRe，Dw，Rr，E}

規(guī)則：create_object(S)；

if !M then

create(M)；

else

{P=P+E：

Create(P)：

}

4 結(jié)束語(yǔ)

在網(wǎng)絡(luò)安全理論和安全技術(shù)迅速發(fā)展的今天，當(dāng)網(wǎng)絡(luò)發(fā)生變化，或者出現(xiàn)新的安全技術(shù)和攻擊手段，網(wǎng)絡(luò)安全模型必須能動(dòng)態(tài)地適應(yīng)新的情況，及時(shí)作出響應(yīng)。為此，本文在綜合分析了傳統(tǒng)的PPDR安全模型后，提出了具有自學(xué)習(xí)進(jìn)化功能的網(wǎng)絡(luò)安全智能預(yù)警系統(tǒng)RPRDRE。該系統(tǒng)的智能預(yù)警技術(shù)使得系統(tǒng)在受到黑客攻擊時(shí)具有良好的主動(dòng)性、自適應(yīng)性和可生存性，體現(xiàn)了在線檢測(cè)、智能預(yù)警、及時(shí)恢復(fù)、自我學(xué)習(xí)提高的網(wǎng)絡(luò)安全新理念。