智能化計(jì)算機(jī)安全監(jiān)控信息網(wǎng)絡(luò)技術(shù)探析

喻 會(huì)

（長(zhǎng)江職業(yè)學(xué)院 湖北 武漢 430074）

1 引言

本文通過(guò)實(shí)現(xiàn)（Netflow）基礎(chǔ)分析系統(tǒng)的安全性優(yōu)勢(shì)，提出了一種新的用于流分析和流記錄管理的開(kāi)源應(yīng)用程序。NetFlow數(shù)據(jù)提供有關(guān)網(wǎng)絡(luò)會(huì)話和行為的重要信息。

2 計(jì)算機(jī)安全監(jiān)控的重要性

NetFlow統(tǒng)計(jì)可以滿足幾個(gè)不同應(yīng)用的需求，例如blling、網(wǎng)絡(luò)規(guī)劃和固定流量工程，文章對(duì)這些應(yīng)用進(jìn)行了詳細(xì)的分析，以評(píng)估網(wǎng)絡(luò)的狀態(tài)。流記錄是UDP數(shù)據(jù)包，缺乏有效載荷數(shù)據(jù)，但仍然為網(wǎng)絡(luò)管理員提供了足夠的數(shù)據(jù)，是一種有價(jià)值的分析工具。NetFlow分析是一種適度的方法[1]。

數(shù)據(jù)庫(kù)的技術(shù)在近些年以來(lái)已經(jīng)取得了較快的發(fā)展，而且在數(shù)據(jù)庫(kù)的相關(guān)幫助之下，我們的計(jì)算機(jī)安全監(jiān)控也實(shí)現(xiàn)了很大的進(jìn)步。在近些年以來(lái)，數(shù)據(jù)庫(kù)的應(yīng)用幫助我們的工作變得更加高效，也實(shí)現(xiàn)了工作效率的提升。然后我們必須要準(zhǔn)確結(jié)合計(jì)算機(jī)安全具體的應(yīng)用情況，將數(shù)據(jù)庫(kù)技術(shù)應(yīng)用到計(jì)算機(jī)安全監(jiān)控之中，可以幫助我們更快地找到安全的漏洞，可以及時(shí)發(fā)現(xiàn)安全監(jiān)控的信息。我們可以利用數(shù)據(jù)庫(kù)的技術(shù)，監(jiān)控?cái)?shù)據(jù)獲取的流程，然后通過(guò)這些網(wǎng)絡(luò)監(jiān)控的方向進(jìn)一步控制這些風(fēng)險(xiǎn)的要素。目前，在具體的應(yīng)用過(guò)程中，數(shù)據(jù)庫(kù)的技術(shù)還需要進(jìn)一步提高，將這些抽象模型系統(tǒng)應(yīng)用在具體的網(wǎng)絡(luò)環(huán)境去豐富我們的數(shù)據(jù)要素，從而讓信息加密。在現(xiàn)代網(wǎng)絡(luò)機(jī)構(gòu)的使用之中，需要牢牢掌握這些方向，提高計(jì)算機(jī)使用的水平，讓在其他非工作的時(shí)間也可以用數(shù)據(jù)庫(kù)加密，從而使我們的計(jì)算機(jī)安全水平進(jìn)一步提高[2]。Netflow提供了對(duì)流量、連接信息和異常元工作行為的實(shí)時(shí)分析。對(duì)路由器上的NetFlow數(shù)據(jù)進(jìn)行采樣，其采樣速率實(shí)際上滿足已設(shè)置為監(jiān)視輸入流量的條件，然后定期進(jìn)行比較，通過(guò)檢查數(shù)據(jù)包序列來(lái)測(cè)試傳入序列是否為DOS或可能對(duì)網(wǎng)絡(luò)構(gòu)成威脅。本文利用一個(gè)叫做“突發(fā)性”的參數(shù)來(lái)衡量網(wǎng)絡(luò)的性能，這是一種測(cè)量網(wǎng)絡(luò)流量的方法[2]。

在具體應(yīng)用范圍中，我們的數(shù)據(jù)安全沒(méi)有具體保障的措施，只能夠通過(guò)簡(jiǎn)單的存儲(chǔ)系統(tǒng)實(shí)現(xiàn)信息的運(yùn)轉(zhuǎn)。但是這種方法會(huì)使我們的工作效率很低，而且達(dá)不到文件保存的要求。在計(jì)算機(jī)進(jìn)行存儲(chǔ)的時(shí)候也會(huì)耗費(fèi)大量的空間，導(dǎo)致計(jì)算機(jī)的性能進(jìn)一步降低，讓工作人員的工作效率變得更慢。在現(xiàn)代化的網(wǎng)絡(luò)計(jì)算機(jī)影響下，我們需要用數(shù)據(jù)加密的方法進(jìn)一步提高數(shù)據(jù)的應(yīng)用，在這個(gè)基礎(chǔ)上進(jìn)一步提高網(wǎng)絡(luò)安全監(jiān)控的水平。這就要求我們根據(jù)數(shù)據(jù)流的技術(shù)構(gòu)建一定的模型，實(shí)現(xiàn)網(wǎng)絡(luò)運(yùn)行狀態(tài)的實(shí)時(shí)監(jiān)測(cè)。利用這樣的方法可以進(jìn)一步減少數(shù)據(jù)的損耗，也可以讓數(shù)據(jù)在傳播過(guò)程中提高自己的保密性，而且在數(shù)據(jù)流管理之下，實(shí)現(xiàn)了工作效率的飛升，保障了網(wǎng)絡(luò)安全[3]。

3 計(jì)算機(jī)網(wǎng)絡(luò)安全事件監(jiān)控的總體結(jié)構(gòu)設(shè)計(jì)

Netflow分析是一個(gè)很好的選擇，它在細(xì)節(jié)和框架之間取得了平衡。該方法具有網(wǎng)絡(luò)無(wú)關(guān)性，能夠適應(yīng)任何類型網(wǎng)絡(luò)的需求。這種類型的數(shù)據(jù)對(duì)拒絕服務(wù)(DoS)攻擊和網(wǎng)絡(luò)超載證明是非常寶貴的。設(shè)計(jì)的Perl腳本對(duì)接收到的Netflow v5數(shù)據(jù)包進(jìn)行解碼，該腳本引用某些以前設(shè)計(jì)的模塊，這些模塊有效地捕獲和分隔了各個(gè)字段。此腳本還記錄數(shù)據(jù)，這些數(shù)據(jù)可以在此基礎(chǔ)上，提出一種可用于設(shè)計(jì)流量放大數(shù)據(jù)處理系統(tǒng)的算法。上述安全事件監(jiān)控系統(tǒng)的一般結(jié)構(gòu)之間的關(guān)系[4]。

4 基于數(shù)據(jù)流處理模型的網(wǎng)絡(luò)安全事件監(jiān)控系統(tǒng)設(shè)計(jì)

監(jiān)控系統(tǒng)包括路由器，路由器被配置為將Netflow信息導(dǎo)出到由Perl腳本組織的流數(shù)據(jù)庫(kù)。腳本每天將流信息存儲(chǔ)在一個(gè)單獨(dú)的文件中，每個(gè)月都存儲(chǔ)一個(gè)單獨(dú)的文件夾。然后對(duì)Netflow數(shù)據(jù)進(jìn)行定期比較，通過(guò)檢查路由器運(yùn)行的數(shù)據(jù)包序列來(lái)測(cè)試輸入序列是DOS還是網(wǎng)絡(luò)可能受到的威脅。清楚地描述了這一點(diǎn)。

監(jiān)測(cè)站是一臺(tái)小型機(jī)器，它讀取導(dǎo)出的流并將它們與存在的惡意數(shù)據(jù)包序列數(shù)據(jù)庫(kù)進(jìn)行比較。當(dāng)匹配和檢測(cè)惡意數(shù)據(jù)包的順序時(shí)，系統(tǒng)將生成警報(bào)狀態(tài)。然后由網(wǎng)絡(luò)管理員對(duì)此進(jìn)行進(jìn)一步的分析，以確定該威脅是否需要注意。路由器被用戶用于存儲(chǔ)流信息，并將這些信息傳輸?shù)揭粋€(gè)正在監(jiān)聽(tīng)它的數(shù)據(jù)庫(kù)。在所提出的模擬案例中，路由器通過(guò)特定端口(2055 Intest Case)將Netflow v 5信息以UDP數(shù)據(jù)包的形式發(fā)送給正在偵聽(tīng)該端口的客戶端。一旦接收到數(shù)據(jù)包，將使用Perl模塊(+)來(lái)幫助解碼分組和提取流信息，這些模塊讀取傳入的UDP數(shù)據(jù)包，提取所需的流記錄，并將信息存儲(chǔ)在日志文件中。ADATABASE是使用Perl模塊創(chuàng)建的，該模塊周期性地重復(fù)其功能，在相應(yīng)地組織這些日志的同時(shí)，主要是按月、按年生成新的數(shù)據(jù)日志[5]。

根據(jù)需要?jiǎng)?chuàng)建了一個(gè)小的Perl代碼段，可以很容易地修改它，為記錄的和預(yù)處理的數(shù)據(jù)提供高效的組織方法。對(duì)記錄進(jìn)行了有效的索引，并制定最優(yōu)搜索算法，有效地檢索了所需的流量數(shù)據(jù)。路由器上的可用Netflow數(shù)據(jù)以每秒Z采樣的可變速率采樣，這與實(shí)際滿足已設(shè)置為監(jiān)視傳入Netflow數(shù)據(jù)包的條件的數(shù)據(jù)包相對(duì)應(yīng)，只允許這些數(shù)據(jù)包進(jìn)入處理系統(tǒng)，處理系統(tǒng)將對(duì)傳入流量進(jìn)行詳細(xì)分析并檢查是否有異常[6]。

這是我們正在設(shè)法找到解決辦法的核心問(wèn)題。因此，使用Netflow將所有數(shù)據(jù)包登錄并提取詳細(xì)信息。例如，Ifan攻擊者試圖攻擊仍然使用不同IP地址的系統(tǒng)，但是數(shù)據(jù)包的行為與數(shù)據(jù)庫(kù)中的有害模式相匹配，這樣就可以適當(dāng)?shù)馗櫵?，并采取預(yù)防措施。如果啟用了IfNetflow，并且將檢查文件轉(zhuǎn)儲(chǔ)，盡管我們將得到該文件，但我們將無(wú)法從轉(zhuǎn)儲(chǔ)數(shù)據(jù)中解碼任何內(nèi)容。因此，必須對(duì)數(shù)據(jù)進(jìn)行適當(dāng)?shù)慕獯a，才能從Netflow數(shù)據(jù)包中獲取信息。因此，在系統(tǒng)中，在端口2055上運(yùn)行解碼腳本，解碼數(shù)據(jù)并將其轉(zhuǎn)儲(chǔ)到文本文件中。在沒(méi)有任何解碼的情況下，在端口上轉(zhuǎn)儲(chǔ)Netflow數(shù)據(jù)。因此，正如onecan從這個(gè)數(shù)字中推斷出來(lái)的那樣，這是胡言亂語(yǔ)，毫無(wú)意義。但是，一旦數(shù)據(jù)包被正確解碼，就可以從這些數(shù)據(jù)包中提取非常有用的參數(shù)。

監(jiān)測(cè)站的作用是利用該系統(tǒng)來(lái)判斷是否需要關(guān)注和詳細(xì)的威脅分析。該站被設(shè)計(jì)用于隔離流入處理模塊的數(shù)據(jù)包和剛剛發(fā)送給存儲(chǔ)的數(shù)據(jù)包。通過(guò)評(píng)估一個(gè)或多個(gè)簽名，可以建立拒絕服務(wù)攻擊或網(wǎng)絡(luò)超載的條件。主監(jiān)視系統(tǒng)借用了先前識(shí)別的攻擊模式和序列的數(shù)據(jù)庫(kù)值，這些攻擊模式和序列與傳入的通信量同時(shí)進(jìn)行比較。此系統(tǒng)監(jiān)視最容易受到攻擊的端口上的通信量，有效地監(jiān)控系統(tǒng)充當(dāng)兩個(gè)數(shù)據(jù)庫(kù)之間的接口，即集合數(shù)據(jù)庫(kù)和Threat數(shù)據(jù)庫(kù)。

帶有陌生IP選項(xiàng)字段的數(shù)據(jù)包，它們通常是由網(wǎng)絡(luò)上配置不當(dāng)?shù)南到y(tǒng)發(fā)送的，并且具有明顯無(wú)效的目標(biāo)地址。這種格式錯(cuò)誤的數(shù)據(jù)包很可能是精心構(gòu)建的，并且常常是DOS攻擊的一部分。因此，設(shè)置一個(gè)過(guò)濾器來(lái)檢查表單IP。路由器沒(méi)有檢測(cè)到啟用選項(xiàng)字段的IP數(shù)據(jù)包，因此可以很容易地使用帶有Toomany選項(xiàng)的IP數(shù)據(jù)包來(lái)構(gòu)建DOS攻擊。嚴(yán)格監(jiān)視和過(guò)濾這些類型的數(shù)據(jù)包，以保護(hù)系統(tǒng)資源不被耗盡或?yàn)E用。

5 結(jié)語(yǔ)

在本系統(tǒng)中，數(shù)據(jù)流管理平臺(tái)通過(guò)優(yōu)化執(zhí)行注冊(cè)系統(tǒng)，大量的連續(xù)查詢、過(guò)濾、連續(xù)流網(wǎng)絡(luò)連接等操作，完成各種安全事件的監(jiān)控和報(bào)警，從而有效地支持實(shí)時(shí)監(jiān)控系統(tǒng)的靈活性和準(zhǔn)確性要求。