局域網(wǎng)安全體系分析與設(shè)計(jì)

付文博 苗松娟 朱杰 胡麗龍 楊濤

摘要：網(wǎng)絡(luò)安全是網(wǎng)絡(luò)運(yùn)營(yíng)的靈魂，也是網(wǎng)絡(luò)設(shè)計(jì)和管理要解決的首要問(wèn)題。該文緊緊圍繞局域網(wǎng)安全這個(gè)主題，主要提出了局域網(wǎng)安全體系的設(shè)計(jì)思想，結(jié)合網(wǎng)絡(luò)安全理論和自動(dòng)控制原理，給出了一種新型的智能預(yù)警系統(tǒng)模型——RPRDR的設(shè)計(jì)思想，進(jìn)一步完善了傳統(tǒng)的 P2DR網(wǎng)絡(luò)安全模型；依據(jù)分布式網(wǎng)絡(luò)安全體系思想，兼顧 IPS技術(shù)建立了局域網(wǎng)安全設(shè)計(jì)模型，給出了進(jìn)一步優(yōu)化的目標(biāo)。

關(guān)鍵詞：入侵防御；防火墻；入侵檢測(cè)；虛擬蜜網(wǎng)

中圖分類(lèi)號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2018）30-0020-04

Abstract：Network security is the soul of network operation，which is also the primary problem of network design and management.In this article a design idea of LAN security system was put forward arouding the topic of LAN security.We designed a new intelligence model—RPRDR for warning system，further improving traditional model----P2DR of LAN.Based on the idea of distributed network security system，the security design model of LAN is established with IPS technology，and the goal of further optimization is given。

Key words：IPS（Intrusion Prevention System）； firewall； intrusion detection； virtual honeynet

隨著網(wǎng)絡(luò)的普及和應(yīng)用，局域網(wǎng)成為單位自動(dòng)化辦公的主要平臺(tái)，其穩(wěn)定、高效的傳輸環(huán)境是確保任務(wù)完成的重要條件。局域網(wǎng)是一個(gè)獨(dú)立的專(zhuān)用互聯(lián)網(wǎng)絡(luò)，它在物理上與外界是相對(duì)隔離的，局域網(wǎng)中大部分接入點(diǎn)都是在單位辦公環(huán)境內(nèi)，理論上講用戶(hù)應(yīng)該都是內(nèi)部人員，這樣從物理和使用人員上對(duì)局域網(wǎng)系統(tǒng)起到了一定的保護(hù)作用，具備了相對(duì)較大的安全保障，在一定程度提高了局域網(wǎng)的安全性。但是，就網(wǎng)絡(luò)的高度共享和群體參與原則而言，局域網(wǎng)肯定也存在一些不安全因素。

1 局域網(wǎng)的安全隱患

1.1 重視信息共享，忽視信息保護(hù)

當(dāng)前，各單位局域網(wǎng)的建設(shè)，均采取完全自主的形式，根據(jù)本單位的使用特點(diǎn)，完全自行規(guī)劃和建設(shè)。規(guī)劃和建設(shè)時(shí)，只重視應(yīng)用，不重視甚至忽視網(wǎng)絡(luò)安全。有些單位象征性地安裝了防火墻，但是長(zhǎng)期無(wú)法更新，結(jié)果防火墻形同虛設(shè)；有些單位則根本不采取防護(hù)措施，并將本單位的局域網(wǎng)直接接入上一級(jí)網(wǎng)絡(luò)，嚴(yán)重違反了網(wǎng)絡(luò)安全的基本原則。

1.2 看似物理隔離，實(shí)則掩耳盜鈴

有些單位也意識(shí)到了網(wǎng)絡(luò)安全的重要，因此將辦公用的局域網(wǎng)和外網(wǎng)物理隔離，每臺(tái)計(jì)算機(jī)在連接局域網(wǎng)的同時(shí)無(wú)法使用外網(wǎng)，但是同一臺(tái)計(jì)算機(jī)可以在不同時(shí)段隨意在外網(wǎng)和局域網(wǎng)之間進(jìn)行切換。由于沒(méi)有制度規(guī)定和相應(yīng)的控制措施，更由于網(wǎng)絡(luò)安全理念的不成熟，一些單位由于計(jì)算機(jī)數(shù)量的限制，造成使用人員經(jīng)常將自己計(jì)算機(jī)上的網(wǎng)線在內(nèi)外網(wǎng)插座之間隨時(shí)進(jìn)行更換，內(nèi)網(wǎng)辦公時(shí)將計(jì)算機(jī)網(wǎng)線接入內(nèi)網(wǎng)，需要接入外網(wǎng)或者發(fā)電子郵件時(shí)又將網(wǎng)線直接接入外網(wǎng)，造成了極大的安全隱患。這就像一個(gè)正常人和一個(gè)有嚴(yán)重傳染性皮膚病的人共用一雙鞋子一樣，后果可想而知。

1.3 注重外部防范，忽視內(nèi)部安全

由于局域網(wǎng)一般在辦公區(qū)域內(nèi)，常常被默認(rèn)為置于安全環(huán)境之下而忽略了自身的安全防范，因此，一些局域網(wǎng)中的計(jì)算機(jī)不按規(guī)定設(shè)置口令，或者口令設(shè)置過(guò)于簡(jiǎn)單，容易被破解。有些局域網(wǎng)中的計(jì)算機(jī)操作系統(tǒng)的設(shè)置不合理，將硬盤(pán)或某些文件夾設(shè)置成共享狀態(tài)，這樣，非法入侵者就可以通過(guò)操作系統(tǒng)提供的功能非常容易地下載這些計(jì)算機(jī)硬盤(pán)上的文件。

1.4 地址分配隨機(jī)，泄密倒查困難

有些局域網(wǎng)的網(wǎng)絡(luò)管理人員為了節(jié)約網(wǎng)絡(luò)用戶(hù)的注冊(cè)或?qū)徍藭r(shí)間，更為了省事，采用局域網(wǎng)IP地址自動(dòng)分配的方式，用戶(hù)只要將自己的計(jì)算機(jī)接入網(wǎng)絡(luò)就可獲得一個(gè)合法的 IP地址；有的則采用分網(wǎng)段方式分配 IP地址，只要用戶(hù)的 IP地址在該網(wǎng)段就可以進(jìn)入該網(wǎng)絡(luò)；這些處理 IP 地址的方式隨機(jī)且沒(méi)有實(shí)名登記，都存在安全隱患，一旦出現(xiàn)網(wǎng)絡(luò)泄密事件，無(wú)從查起。

1.5 網(wǎng)絡(luò)縱橫互聯(lián)，一處危害全盤(pán)

為了辦公方便，也為了盡可能地發(fā)揮網(wǎng)絡(luò)的作用，很多上級(jí)部門(mén)要求對(duì)口的下級(jí)部門(mén)與自己的網(wǎng)絡(luò)相連成為縱向網(wǎng)；同時(shí)有些下級(jí)部門(mén)的內(nèi)網(wǎng)通過(guò)不同的方式與多個(gè)上級(jí)部門(mén)的專(zhuān)用網(wǎng)絡(luò)相連，這樣就在物理上將這幾個(gè)網(wǎng)絡(luò)進(jìn)行了互聯(lián)，這對(duì)重要信息的安全保密來(lái)講是非常危險(xiǎn)的。

事實(shí)上，局域網(wǎng)的安全隱患還很多，本文不必一一列舉，通過(guò)以上這些方面的隱患，筆者發(fā)現(xiàn)，這些安全威脅的消除和防范，需要在局域網(wǎng)的設(shè)計(jì)之初，就開(kāi)始重視。

2 局域網(wǎng)安全體系的設(shè)計(jì)

2.1 局域網(wǎng)安全體系的基本原則

從局域網(wǎng)既要正常辦公、高度共享，又要重視信息保護(hù)、維護(hù)網(wǎng)絡(luò)安全運(yùn)行這一事實(shí)出發(fā)，基于系統(tǒng)方法論的觀點(diǎn)，局域網(wǎng)安全體系的設(shè)計(jì)思想主要應(yīng)該重視以下幾個(gè)方面。

1）分層次和立體的防御

系統(tǒng)的硬件設(shè)施比如服務(wù)器、路由器等分布在網(wǎng)絡(luò)的不同節(jié)點(diǎn)，所承載的服務(wù)范圍和級(jí)別不同，因此安全體系的安全組件必須根據(jù)具體情況設(shè)置不同的安全策略，從而構(gòu)成一個(gè)多層次、全方位、立體的安全防御體系。

2）積極和動(dòng)態(tài)的防御

各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)在設(shè)置信息加密和身份認(rèn)證等訪問(wèn)控制手段的基礎(chǔ)上，要關(guān)注系統(tǒng)本身的安全漏洞，并設(shè)置防火墻和病毒防御體系，防止非法用戶(hù)的入侵；同時(shí)系統(tǒng)安全需求的變化應(yīng)對(duì)各個(gè)安全策略進(jìn)行動(dòng)態(tài)調(diào)整；不斷更新升級(jí)防御體系，使得各個(gè)環(huán)節(jié)的安全策略具備主動(dòng)和動(dòng)態(tài)防御的功能。

3）實(shí)時(shí)并可控的防御

安全體系必須能夠?qū)崟r(shí)檢測(cè)各種網(wǎng)絡(luò)攻擊和黑客入侵，并第一時(shí)間做出響應(yīng)，當(dāng)發(fā)現(xiàn)較大的系統(tǒng)性攻擊正在實(shí)施時(shí)，安全體系能夠自動(dòng)阻擋可能出現(xiàn)的攻擊，情況嚴(yán)重時(shí)，管理員能夠在網(wǎng)絡(luò)的任一節(jié)點(diǎn)進(jìn)入后臺(tái)，通過(guò)后臺(tái)了解和掌握目前各網(wǎng)絡(luò)節(jié)點(diǎn)的狀態(tài)，并隨時(shí)隨地進(jìn)行處理，情況嚴(yán)重時(shí)能夠果斷采取措施，如切斷網(wǎng)絡(luò)連接等；當(dāng)阻擋住網(wǎng)絡(luò)攻擊或病毒入侵之后，安全體系要允許并由管理員對(duì)系統(tǒng)遭到破壞甚至崩潰的內(nèi)容及時(shí)進(jìn)行安全恢復(fù)。

4）開(kāi)放且協(xié)同的防御

安全體系必須是一個(gè)開(kāi)放的平臺(tái)，一方面對(duì)用戶(hù)開(kāi)放，一方面必須為該系統(tǒng)安全需求的擴(kuò)展留有余地，無(wú)論是硬件你還是軟件，都必須為系統(tǒng)安全組件的更新留有接口，只有這樣，新老安全組件之間，同類(lèi)安全組件內(nèi)部、不同類(lèi)安全組件之間才可以高度集成、形成合力，才可以順利實(shí)現(xiàn)協(xié)同和聯(lián)動(dòng)，滿(mǎn)足安全需求的同時(shí)也降低了安全體系的成本。

2.2 分布式動(dòng)態(tài)網(wǎng)絡(luò)安全模型的基本要求和設(shè)計(jì)思路

基于上述思想，本文提出基于IPS（Intrusion Prevention System）技術(shù)的分布式動(dòng)態(tài)網(wǎng)絡(luò)安全模型RPRDR（Risk analysis， Policy， Reinforce，Detection & Waining，Response&Recovery;），進(jìn)一步完善了傳統(tǒng)的P2DR（Policy，Protection，Detection，Response）模型。

1）分布式系統(tǒng)的基本要求

所謂分布式系統(tǒng)，是指為了最大限度地進(jìn)行數(shù)據(jù)共享，各用戶(hù)通過(guò)有線或者無(wú)線手段，將使用單元通過(guò)網(wǎng)絡(luò)捆綁在一起，進(jìn)而形成一個(gè)包含時(shí)空在內(nèi)的四維體系。為了獲得較高的穩(wěn)定性和冗余度，這樣的系統(tǒng)應(yīng)該具備如下特征。

（1）系統(tǒng)內(nèi)的所有合法用戶(hù)，能夠在其權(quán)限內(nèi)共享系統(tǒng)中的各種資源，即各使用單元必須能夠高度共享；

（2）高度共享并不意味不可分離，由于系統(tǒng)終端是各個(gè)獨(dú)立的用戶(hù)，因此系統(tǒng)內(nèi)的各個(gè)使用單元，均處于平等地位，在物理上能夠彼此獨(dú)立；

（3）因?yàn)樘幱谕痪W(wǎng)絡(luò)平臺(tái)，系統(tǒng)內(nèi)的所有合法用戶(hù)及其使用單元，必須遵守同一網(wǎng)絡(luò)協(xié)議，此即各使用單元必須高度統(tǒng)一；

（4）每一個(gè)合法用戶(hù)并不清楚此刻系統(tǒng)上連接著多少個(gè)終端和使用單元，也許只有一個(gè)，也許有成千上萬(wàn)個(gè)，不管咋樣，他使用系統(tǒng)里的資源和使用自己所屬單元里的資源沒(méi)有任何區(qū)別，也就是說(shuō)，在用戶(hù)眼里，整個(gè)系統(tǒng)是透明的。

將安全體系融入上述分布，由于各個(gè)使用單元絕大多數(shù)處于并行狀態(tài)，當(dāng)某一個(gè)使用單元癱瘓時(shí)，其他絕大多數(shù)使用單元并不會(huì)受到影響，依然能夠正常工作，整個(gè)系統(tǒng)依然能夠正常運(yùn)行。這就以較低的使用成本創(chuàng)造了較高的安全效能，極大地提高了整個(gè)體系的安全性和可靠性。

2）RPRDR 網(wǎng)絡(luò)模型

P2DR模型簡(jiǎn)稱(chēng)動(dòng)態(tài)信息安全模型，是基于TCSEC模型發(fā)展起來(lái)的、被目前業(yè)界普遍采用的安全模型之一，也是傳統(tǒng)計(jì)算機(jī)安全模型的主流模型。P2DR模型主要包含四個(gè)部分：安全策略、防護(hù)措施、檢測(cè)辦法、響應(yīng)機(jī)制。服從于安全策略的核心指導(dǎo)，防護(hù)措施、檢測(cè)辦法和響應(yīng)機(jī)制為網(wǎng)絡(luò)系統(tǒng)構(gòu)建了一個(gè)貌似完整和動(dòng)態(tài)的安全循環(huán)，以此保證整個(gè)系統(tǒng)的安全。如圖1所示：

P2DR模型的基本思想是基于安全策略，啟用系統(tǒng)檢測(cè)辦法隨時(shí)檢測(cè)系統(tǒng)的各種已知風(fēng)險(xiǎn)，及時(shí)做出應(yīng)急響應(yīng)，同時(shí)綜合調(diào)用各種防護(hù)手段對(duì)系統(tǒng)進(jìn)行防護(hù)。但是廣義來(lái)講，安全防護(hù)永遠(yuǎn)是一個(gè)動(dòng)態(tài)的過(guò)程，隨著系統(tǒng)的運(yùn)行和不斷發(fā)展、新軟件的出現(xiàn)以及連續(xù)使用、攻擊手法和技術(shù)的不斷創(chuàng)新，新的威脅將會(huì)不斷出現(xiàn)。而 P2DR 安全模型的主要因素完全依靠對(duì)現(xiàn)有問(wèn)題的檢測(cè)，并不具備自適應(yīng)功能，在盡量縮短檢測(cè)時(shí)間和響應(yīng)時(shí)間的基礎(chǔ)上，解決問(wèn)題的手段也僅僅是延長(zhǎng)正常狀態(tài)的壽命，因此僅僅依靠 P2DR 安全模型無(wú)法解決更多的網(wǎng)絡(luò)安全問(wèn)題。

基于上述分析，本文認(rèn)為，一個(gè)完善的安全防護(hù)系統(tǒng)應(yīng)該是在系統(tǒng)運(yùn)行的過(guò)程中，能夠及時(shí)檢測(cè)出外界輸入給網(wǎng)絡(luò)的已知風(fēng)險(xiǎn)，并及時(shí)排除，還應(yīng)該不斷查明潛在風(fēng)險(xiǎn)和威脅，這樣，安全系統(tǒng)及其網(wǎng)絡(luò)必須是一個(gè)在安全策略核心組件之下完全動(dòng)態(tài)且高度自適應(yīng)的高級(jí)系統(tǒng)，這樣的系統(tǒng)必然具有風(fēng)險(xiǎn)分析、安全防護(hù)、實(shí)時(shí)入侵監(jiān)控、漏洞掃描和安全決策等一整套功能。只有這樣，才能夠?qū)踩到y(tǒng)對(duì)網(wǎng)絡(luò)系統(tǒng)的加固和保護(hù)拓展為在上述功能的基礎(chǔ)上預(yù)先發(fā)現(xiàn)網(wǎng)絡(luò)漏洞和缺陷，并及時(shí)響應(yīng)和提高免疫力。為此，本文結(jié)合網(wǎng)絡(luò)安全理論和自動(dòng)控制原理，設(shè)計(jì)了一種具有動(dòng)態(tài)自適應(yīng)網(wǎng)絡(luò)安全的智能預(yù)警系統(tǒng)模型——RPRDR模型。如圖2所示：

整個(gè)模型由風(fēng)險(xiǎn)分析（Risk analysis），安全策略（Policy），系統(tǒng)加固（Reinforce），檢測(cè)和預(yù)警（Detection & Waining），響應(yīng)與恢復(fù)（Response & Recovery）等五個(gè)部分共同組成，形成了一個(gè)動(dòng)態(tài)的閉合反饋環(huán)。

2.3 安全體系的功效評(píng)估

1）局域網(wǎng)風(fēng)險(xiǎn)存在的綜合分析

根據(jù)上述RPRDR模型的基本要求，本文以局域網(wǎng)系統(tǒng)為例，從網(wǎng)絡(luò)構(gòu)件的不同層面以及系統(tǒng)安全的不同背景，簡(jiǎn)單進(jìn)行風(fēng)險(xiǎn)分析和功效評(píng)估。

（1）物理層暨硬件設(shè)施

物理層面的安全隱患是最容易排除的隱患，但也是最基本和最重要的安全環(huán)節(jié)。物理層面的安全威脅可以直接造成設(shè)備的損壞，系統(tǒng)和網(wǎng)絡(luò)的不可用，數(shù)據(jù)的直接損壞或完全丟失等等，后果嚴(yán)重、無(wú)法彌補(bǔ)。其隱患主要包括連接于網(wǎng)絡(luò)中的各個(gè)工作站、各種服務(wù)器和交換機(jī)、各個(gè)環(huán)節(jié)的有線或無(wú)線路由器等硬件設(shè)備和通信鏈路。其安全隱患來(lái)源于水災(zāi)、火災(zāi)、雷擊等自然災(zāi)害，包含外界的電磁干擾，設(shè)備固有的弱點(diǎn)或缺陷，以及人為的破壞或錯(cuò)誤操作等等。

人為破壞也包括網(wǎng)絡(luò)攻擊者采用傳感器等手段在數(shù)據(jù)傳輸?shù)木€路上進(jìn)行竊聽(tīng)，獲得真實(shí)數(shù)據(jù)之后再通過(guò)另外一些技術(shù)手段篡改、偽造數(shù)據(jù)，徹底改變了數(shù)據(jù)的真實(shí)性和完整性，對(duì)網(wǎng)絡(luò)系統(tǒng)的安全使用直接構(gòu)成威脅。因此，要想徹底杜絕此類(lèi)泄密，就必須對(duì)數(shù)據(jù)進(jìn)行加密，同時(shí)通過(guò)數(shù)字簽名及認(rèn)證技術(shù)保護(hù)數(shù)據(jù)在網(wǎng)絡(luò)傳輸中的安全、完整和真實(shí)。

（2）網(wǎng)絡(luò)層暨廣域用戶(hù)

以局域網(wǎng)為例，基于安全，可將整個(gè)局域網(wǎng)分為若干子域，但以權(quán)限來(lái)分，除了服務(wù)器系統(tǒng)之外均可看作外網(wǎng)，一方面要求外網(wǎng)之間要有防護(hù)措施，同時(shí)服務(wù)器系統(tǒng)和外網(wǎng)之間必須有更高層次的、更加嚴(yán)格的防護(hù)措施，因?yàn)閺氖褂媒嵌葋?lái)講，外網(wǎng)各用戶(hù)之間沒(méi)有太多的權(quán)限設(shè)置，相互訪問(wèn)和數(shù)據(jù)共享，容易收到莫名的攻擊和威脅，存在私有信息泄露的危險(xiǎn)，危及的只是局部。更重要的是，各外網(wǎng)用戶(hù)直接或間接地和服務(wù)器相連，外網(wǎng)用戶(hù)之間的上述威脅，使得服務(wù)器很容易成為惡意攻擊的重點(diǎn)目標(biāo)，一旦被攻擊癱瘓，整個(gè)系統(tǒng)無(wú)法運(yùn)行，尤其嚴(yán)重的是各個(gè)外網(wǎng)使用者對(duì)服務(wù)器的結(jié)構(gòu)和應(yīng)用特點(diǎn)比較熟悉，幾處外網(wǎng)用戶(hù)聯(lián)手同時(shí)惡意攻擊服務(wù)器，對(duì)安全防護(hù)不到位的服務(wù)器來(lái)說(shuō)是最為致命的。

（3）基層暨服務(wù)器系統(tǒng)

網(wǎng)絡(luò)系統(tǒng)中的服務(wù)器無(wú)疑是整個(gè)網(wǎng)絡(luò)系統(tǒng)的心臟，這個(gè)層面以服務(wù)器為核心，涵蓋工作站、路由器和交換機(jī)等部分，是操作系統(tǒng)、數(shù)據(jù)庫(kù)和軟件運(yùn)行的基本平臺(tái)。這個(gè)層面是集團(tuán)黑客攻擊的主要對(duì)象，集團(tuán)黑客主要利用操作系統(tǒng)的各種潛在漏洞對(duì)系統(tǒng)進(jìn)行攻擊，一旦得手損失是不可估量的。

目前常見(jiàn)的操作系統(tǒng)主要有UNIX和WINDOWS，尤其對(duì)WINDOWS操作系統(tǒng)而言，某些漏洞可以使黑客獲得系統(tǒng)的管理權(quán)限，這樣，一方面，使得整個(gè)網(wǎng)絡(luò)的心臟被其控制，系統(tǒng)數(shù)據(jù)完全被竊取和篡改；另一方面，黑客可以利用被占領(lǐng)的服務(wù)器作為掩護(hù)，形成一種偽裝，直接訪問(wèn)或攻擊與服務(wù)器同一網(wǎng)段的其他系統(tǒng)；這樣，直接訪問(wèn)其他目標(biāo)系統(tǒng)以隱藏攻擊來(lái)源，進(jìn)而倍增、遞進(jìn)式地對(duì)其他更遠(yuǎn)處的目標(biāo)進(jìn)行更加廣泛的攻擊。

（4）病毒暨用戶(hù)和系統(tǒng)的疥點(diǎn)

計(jì)算機(jī)病毒是一種能自動(dòng)附加在類(lèi)目標(biāo)文件上并以此為宿主而不斷擴(kuò)展的惡意高級(jí)程序，其破壞性不僅體現(xiàn)在系統(tǒng)的癱瘓和數(shù)據(jù)的丟失上，更主要的是它以?xún)缂?jí)數(shù)的形式進(jìn)行擴(kuò)散并具有極高的變異能力。當(dāng)病毒被人為投放或通過(guò)電子郵件、移動(dòng)存儲(chǔ)介質(zhì)等途徑進(jìn)入網(wǎng)絡(luò)系統(tǒng)時(shí)，一旦一臺(tái)電腦受到病毒感染，病毒便首先在此電腦中進(jìn)行內(nèi)部擴(kuò)散，并在極短的時(shí)間內(nèi)有可能在網(wǎng)絡(luò)中迅速擴(kuò)散、傳播到網(wǎng)絡(luò)中的所有在途電腦，造成電腦死機(jī)、電腦硬件損壞、數(shù)據(jù)信息泄漏、核心文件丟失等等情況，人們短期內(nèi)無(wú)法預(yù)測(cè)它的破壞程度。

2）安全體系所解決的主要問(wèn)題

本文建立的網(wǎng)絡(luò)安全體系要保證內(nèi)部信息系統(tǒng)和整個(gè)網(wǎng)絡(luò)的穩(wěn)定運(yùn)行，歸結(jié)起來(lái)，具體來(lái)講，可基本保證以下幾點(diǎn)：

（1）主體網(wǎng)絡(luò)的可用以及有效管理

系統(tǒng)是整個(gè)網(wǎng)絡(luò)的載體，為了杜絕外侵對(duì)網(wǎng)絡(luò)核心系統(tǒng)部分的控制，系統(tǒng)可以根據(jù)內(nèi)設(shè)權(quán)限自動(dòng)完成分層管理和阻隔入侵，保證內(nèi)核網(wǎng)絡(luò)的持續(xù)有效運(yùn)行，讓消耗帶寬等破壞方式無(wú)用武之地；同時(shí)，安全系統(tǒng)有審計(jì)和日志功能，為事后系統(tǒng)的全面維護(hù)提供可靠、方便的管理。

（2）身份識(shí)別和數(shù)據(jù)可控

系統(tǒng)能夠及時(shí)管控訪問(wèn)者對(duì)關(guān)鍵體系和數(shù)據(jù)的訪問(wèn)，能夠精準(zhǔn)確認(rèn)訪問(wèn)者的身份，謹(jǐn)慎授權(quán)，同時(shí)能對(duì)任何訪問(wèn)進(jìn)行跟蹤記錄，并根據(jù)不同權(quán)限確定跟蹤級(jí)別，將跟蹤及時(shí)進(jìn)行反饋，對(duì)威脅采取措施。

（3）數(shù)據(jù)共享和業(yè)務(wù)系統(tǒng)的安全運(yùn)行

實(shí)體業(yè)務(wù)網(wǎng)絡(luò)化的最大特點(diǎn)就是在不同終端之間架起橋梁，為各終端提供可靠而及時(shí)的服務(wù)，這些服務(wù)不但包括整個(gè)網(wǎng)絡(luò)的建立和流暢運(yùn)行，而且包括整個(gè)網(wǎng)絡(luò)平臺(tái)的維護(hù)、數(shù)據(jù)的共享和安全、各子網(wǎng)的有效運(yùn)行等。網(wǎng)絡(luò)安全體系能夠阻擋非法訪問(wèn)、惡意入侵和破壞，基本實(shí)現(xiàn)上述功能的同時(shí)，注重核心信息在存儲(chǔ)與傳輸時(shí)的保密性，實(shí)現(xiàn)了關(guān)鍵數(shù)據(jù)的絕對(duì)安全。

3）局域網(wǎng)的基本安全策略

本文提出的局域網(wǎng)的基本安全策略主要包括以下幾個(gè)方面：

（1）網(wǎng)絡(luò)正常運(yùn)行。即使在受到攻擊的情況下，也能夠保證系統(tǒng)繼續(xù)運(yùn)行；

（2）網(wǎng)絡(luò)管理/網(wǎng)絡(luò)傳輸?shù)馁Y料不被竊??；

（3）具備先進(jìn)的入侵檢測(cè)和網(wǎng)絡(luò)預(yù)警體系；

（4）提供靈活、高效且可靠的內(nèi)外通訊服務(wù)，保證通往各節(jié)點(diǎn)的關(guān)鍵數(shù)據(jù)加密傳輸。

2.4 兼顧 IPS 技術(shù)的安全體系結(jié)構(gòu)

現(xiàn)階段，傳統(tǒng)的網(wǎng)絡(luò)安全技術(shù)都集中體現(xiàn)在系統(tǒng)自身的加固和防護(hù)上，通常采用配置防火墻、數(shù)據(jù)加密、身份認(rèn)證和入侵檢測(cè)等等手段。然而，這些被動(dòng)防護(hù)技術(shù)有許多問(wèn)題和局限性，目前傳統(tǒng)的防火墻或早期的入侵檢測(cè)技術(shù)一般都是針對(duì)現(xiàn)有攻擊手段，采用基于特征匹配的方式進(jìn)行工作，但是，隨著網(wǎng)絡(luò)攻擊技術(shù)的不斷更新，新的攻擊方法層出不窮，傳統(tǒng)防護(hù)技術(shù)已相對(duì)落伍。新的入侵防御技術(shù)IPS（Intrusion Prevention System）是一種主動(dòng)的、積極的網(wǎng)絡(luò)安全防護(hù)和預(yù)警技術(shù)，它將網(wǎng)絡(luò)的被動(dòng)防御和主動(dòng)預(yù)警相結(jié)合，不僅具備了偵測(cè)與預(yù)防能力，更重要的是具備有效的告警響應(yīng)與管理能力。

IPS技術(shù)的主動(dòng)響應(yīng)的功能可以做到一旦發(fā)現(xiàn)攻擊行為，立即響應(yīng)，主動(dòng)切斷連接。IPS中加入了密網(wǎng)技術(shù)，并以串聯(lián)的方式接入網(wǎng)絡(luò)中。這樣，不僅能彌補(bǔ)入侵防御系統(tǒng)的缺陷，而且這種主動(dòng)響應(yīng)功能可以直接嵌入到網(wǎng)絡(luò)流量中，通過(guò)一個(gè)端口接收來(lái)自外部的流量，經(jīng)過(guò)檢查確認(rèn)其內(nèi)容是安全的之后，再通過(guò)另一端口將其傳送到內(nèi)部系統(tǒng)。一旦檢測(cè)到某一數(shù)據(jù)流存在問(wèn)題，則其后續(xù)存疑數(shù)據(jù)包，都能在 IPS設(shè)備中被直接清除。

本文設(shè)計(jì)的分布式動(dòng)態(tài)網(wǎng)絡(luò)安全體系主要包含了防火墻技術(shù)、入侵檢測(cè)技術(shù)和密網(wǎng)技術(shù)以及聯(lián)動(dòng)技術(shù)，以期最大限度地保證網(wǎng)絡(luò)系統(tǒng)的安全穩(wěn)定。

上述分析所確定的局域網(wǎng)安全體系的結(jié)構(gòu)如圖3所示：

根據(jù)不同的應(yīng)用環(huán)境和安全需求而設(shè)計(jì)的兼顧 IPS 技術(shù)的合理安全體系，具體實(shí)施時(shí)可以分成以下三個(gè)步驟：

（1）制訂系統(tǒng)的安全目標(biāo)。這是整個(gè)項(xiàng)目的開(kāi)始階段，在這一階段中主要的工作是根據(jù)部局域網(wǎng)系統(tǒng)的安全需求和安全風(fēng)險(xiǎn)評(píng)估制定整體安全目標(biāo)，該目標(biāo)將規(guī)定了后續(xù)整個(gè)項(xiàng)目的指導(dǎo)原則。

（2）技術(shù)分析和設(shè)計(jì)。根據(jù)風(fēng)險(xiǎn)評(píng)估和安全策略，結(jié)合現(xiàn)有的安全技術(shù)和產(chǎn)品，形成網(wǎng)絡(luò)信息系統(tǒng)的整體安全解決方案。

（3）項(xiàng)目實(shí)施。根據(jù)方案設(shè)計(jì)的框架進(jìn)行體系的實(shí)現(xiàn)和調(diào)試，建立一套完備可行的網(wǎng)絡(luò)安全體系，確保信息系統(tǒng)內(nèi)部各類(lèi)信息的完整、安全與可靠，將內(nèi)部網(wǎng)絡(luò)與其他網(wǎng)絡(luò)進(jìn)行隔離，避免與外部網(wǎng)絡(luò)的直接通訊，并將整個(gè)系統(tǒng)投入使用。

3 結(jié)語(yǔ)

本文結(jié)合網(wǎng)絡(luò)安全理論和自動(dòng)控制原理，提出了局域網(wǎng)安全體系的設(shè)計(jì)思想，進(jìn)一步完善了傳統(tǒng)的 P2DR網(wǎng)絡(luò)安全模型；給出了一種新型的智能預(yù)警系統(tǒng)模型——RPRDR安全體系模型的設(shè)計(jì)思想和局域網(wǎng)安全體系的基本策略；依據(jù)分布式網(wǎng)絡(luò)安全體系思想，兼顧 IPS技術(shù)建立了較為完善的局域網(wǎng)安全體系結(jié)構(gòu)，同時(shí)給出了整個(gè)安全體系的設(shè)計(jì)目標(biāo)。

本策略的設(shè)計(jì)理念主要基于局域網(wǎng)而產(chǎn)生，在實(shí)際應(yīng)用和檢驗(yàn)的同時(shí)，本文將對(duì)本策略不斷進(jìn)行改進(jìn)和完善，爭(zhēng)取實(shí)現(xiàn)兼顧IPS 技術(shù)的局域網(wǎng)并網(wǎng)安全體系，主要包括網(wǎng)絡(luò)混合防火墻、入侵檢測(cè)系統(tǒng)和虛擬蜜網(wǎng)系統(tǒng)，并將三者結(jié)合聯(lián)動(dòng)使用，以最大限度地防止網(wǎng)絡(luò)入侵和惡意攻擊，讓局域網(wǎng)系統(tǒng)的安全級(jí)別不斷提升。

參考文獻(xiàn)：

[1] 徐敬樂(lè)，張建忠.計(jì)算機(jī)網(wǎng)絡(luò)[M].北京：清華大學(xué)出版社，2003.

[2] 焦樹(shù)海，李勤，李宏力.計(jì)算機(jī)安全概論[M].天津：南開(kāi)大學(xué)出版社，2001.

[3] 馬曉峰等.計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)[M].北京：科學(xué)出版社，2004.

[4] 卿斯?jié)h，蔣建春.網(wǎng)絡(luò)攻防技術(shù)原理與實(shí)戰(zhàn)[M].北京：科學(xué)出版社，2009.

[5] 張千里，陳光英.網(wǎng)絡(luò)安全新技術(shù)[M].北京：人民郵電出版社，2010.

[6] 陳海濤，胡華平，徐傳福.動(dòng)態(tài)網(wǎng)絡(luò)安全的框架模型[J].國(guó)防科技大學(xué)學(xué)報(bào)，2008（19）.

[7] 娜杜英等.一種基于主動(dòng)防御網(wǎng)絡(luò)安全模型的設(shè)計(jì)與實(shí)現(xiàn)[J].微計(jì)算機(jī)信息，2012（22）.

[8] 黃金蓮，高會(huì)生.入侵防護(hù)系統(tǒng) IPS初探[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2010（7）.

【通聯(lián)編輯：光文玲】