分布式網(wǎng)絡(luò)安全審計系統(tǒng)設(shè)計與實(shí)現(xiàn)

◆李超軍

分布式網(wǎng)絡(luò)安全審計系統(tǒng)設(shè)計與實(shí)現(xiàn)

◆李超軍

（中國人民大學(xué)信息學(xué)院 北京 100000）

隨著近年來互聯(lián)網(wǎng)應(yīng)用的高速發(fā)展，信息安全已經(jīng)成為電子商務(wù)、金融系統(tǒng)、或企業(yè)內(nèi)部不可或缺的一部分。網(wǎng)絡(luò)安全審計系統(tǒng)作為保障內(nèi)部網(wǎng)絡(luò)信息安全的重要工具，對網(wǎng)絡(luò)違規(guī)行為、網(wǎng)絡(luò)擁堵、信息泄露、數(shù)據(jù)竊取和篡改、不良信息傳播等問題進(jìn)行嚴(yán)密審計和監(jiān)控，記錄現(xiàn)場數(shù)據(jù)并發(fā)出警告。但近幾年來，SSL（安全套接層）協(xié)議等安全傳輸和加密技術(shù)逐漸普及，原有的審計監(jiān)控系統(tǒng)無法審計加密后的信息。并且隨著海量存儲和高帶寬傳輸技術(shù)的快速發(fā)展，以及規(guī)模分布式網(wǎng)絡(luò)的興起和廣泛應(yīng)用，傳統(tǒng)的集中式網(wǎng)絡(luò)安全審計方式由于其結(jié)構(gòu)簡單、系統(tǒng)安全性差、擴(kuò)展性有限等原因，導(dǎo)致審計時大幅增加CPU和I/O負(fù)擔(dān)，無法承擔(dān)數(shù)據(jù)量越來越大的審計任務(wù)。為此，研發(fā)分布式網(wǎng)絡(luò)安全審計系統(tǒng)具有非常重要的意義。

網(wǎng)絡(luò)安全審計；審計和監(jiān)控；分布式

1 引言

該文的研究目標(biāo)主要是針對分布式網(wǎng)絡(luò)的實(shí)際需求，設(shè)計實(shí)現(xiàn)分布式網(wǎng)絡(luò)安全審計系統(tǒng)，能夠發(fā)現(xiàn)入侵行為、監(jiān)控內(nèi)部網(wǎng)絡(luò)使用人員的網(wǎng)絡(luò)行為等，對潛在非法入侵者起到威懾和警示、能夠測試系統(tǒng)的控制情況，及時調(diào)整相關(guān)政策、能夠協(xié)助管理員發(fā)現(xiàn)非法入侵和潛在的安全漏洞，進(jìn)而保障網(wǎng)絡(luò)安全和信息安全?；诖?，分布式網(wǎng)絡(luò)安全審計系統(tǒng)要求在不改變網(wǎng)絡(luò)配置、不影響網(wǎng)絡(luò)運(yùn)行效率的前提下，對內(nèi)部網(wǎng)絡(luò)使用人員的網(wǎng)絡(luò)行為和訪問用戶進(jìn)行合理有效的審計[1]。

1.1 系統(tǒng)需求分析

表1 系統(tǒng)需求分析

分布式網(wǎng)絡(luò)安全審計系統(tǒng)要求在使用中不改變網(wǎng)絡(luò)配置，不嚴(yán)重影響網(wǎng)絡(luò)運(yùn)行效率。

資源消耗：不能影響正常用戶的日常操作，對CPU 的占用率小于 1%；對內(nèi)存占用小于 50M；對磁盤占用小于 100M。

時間效率要求：響應(yīng)時間小于5秒，數(shù)據(jù)的轉(zhuǎn)換和傳送時間小于2秒。

靈活性的要求：運(yùn)行環(huán)境適應(yīng)主流Linux操作系統(tǒng)，包括Ubuntu、Fedora、CentOS、RedHat等。

后續(xù)改進(jìn)：系統(tǒng)的自我保護(hù)功能能夠進(jìn)一步完善，并且提高程序魯棒性，能夠?qū)Χ喾N異常操作進(jìn)行響應(yīng)，改進(jìn)程序 BUG，提高系統(tǒng)穩(wěn)定性。

1.2 系統(tǒng)可行性分析

分布式網(wǎng)絡(luò)安全審計系統(tǒng)屬于商業(yè)系統(tǒng)，為了使軟件能夠正常運(yùn)行并且具有較高的可靠性、易用性、高安全性等特性，主要特性如下所示：

（1）界面簡潔，配置簡單，不改變網(wǎng)絡(luò)配置和運(yùn)行效率。

（2）能夠適應(yīng)當(dāng)前的主流Linux操作系統(tǒng)，包括Ubuntu、Fedora、CentOS、RedHat等。

（3）軟件經(jīng)過多次調(diào)試，可靠性大大提高。

（4）經(jīng)過RSA和AES混合加密，保證了通信的安全性、可靠性和不可改變性。

分布式網(wǎng)絡(luò)安全審計系統(tǒng)在設(shè)計、實(shí)現(xiàn)以及測試過程中，只需要有效的網(wǎng)絡(luò)環(huán)境、開發(fā)機(jī)器、學(xué)校機(jī)房測試環(huán)境等，不需要其他昂貴的軟件和硬件設(shè)備，能夠順利實(shí)現(xiàn)并進(jìn)行有效的測試。

2 系統(tǒng)設(shè)計與關(guān)鍵技術(shù)研究

分布式網(wǎng)絡(luò)安全審計系統(tǒng)采用C/S架構(gòu)，包括控制中心和Agent主機(jī)，采用集中式監(jiān)管，分布式控制的框架?？刂浦行呢?fù)責(zé)監(jiān)控網(wǎng)絡(luò)拓?fù)洹徲嫴樵?、異常監(jiān)控、系統(tǒng)設(shè)置等功能。Agent主機(jī)負(fù)責(zé)數(shù)據(jù)采集、數(shù)據(jù)審計等功能。審計策略庫由控制中心分發(fā)，由Agent主機(jī)執(zhí)行，Agent主機(jī)對于各種違規(guī)行為進(jìn)行記錄，控制中心從代理主機(jī)處獲取審計信息，根據(jù)審計信息進(jìn)行審計以及策略的調(diào)整。

首先，Agent主機(jī)向控制中心發(fā)送初始化信息，包括主機(jī)的IP和子網(wǎng)掩碼?？刂浦行氖盏皆撔畔⒑?，采用啟發(fā)式拓?fù)渌惴ㄉ删W(wǎng)絡(luò)拓?fù)洹２⑶也粩嘀貜?fù)這個過程，監(jiān)控網(wǎng)絡(luò)拓?fù)鋱D的實(shí)時動態(tài)變化。

當(dāng)控制中心完成網(wǎng)絡(luò)拓?fù)錁?gòu)建之后，就可以對整個系統(tǒng)進(jìn)行管理和控制，并且啟動分布式網(wǎng)絡(luò)審計功能。審計開始時，Agent主機(jī)初始化任務(wù)列表，任務(wù)列表描述了Agent主機(jī)的數(shù)據(jù)采集任務(wù)和數(shù)據(jù)審計任務(wù)。初始化完成后，Agent主機(jī)之間使用分布式協(xié)作算法，快速均衡采集和審計處理任務(wù)，實(shí)現(xiàn)分布式系統(tǒng)的均衡負(fù)載。

數(shù)據(jù)采集和處理模塊實(shí)現(xiàn)了數(shù)據(jù)包抓取、協(xié)議分析和數(shù)據(jù)還原功能。數(shù)據(jù)審計模塊實(shí)現(xiàn)了關(guān)鍵詞匹配等算法對網(wǎng)頁內(nèi)容進(jìn)行審計。當(dāng)數(shù)據(jù)審計模塊匹配到不良信息和非法內(nèi)容時，數(shù)據(jù)審計模塊發(fā)出警報，控制中心迅速阻斷Agent主機(jī)與遠(yuǎn)程服務(wù)器的數(shù)據(jù)交換。另外，本系統(tǒng)還能通過SSL Proxy對SSL加密的數(shù)據(jù)進(jìn)行審計和攔截。

3 分布式網(wǎng)絡(luò)安全系統(tǒng)實(shí)現(xiàn)

3.1 系統(tǒng)開發(fā)環(huán)境

本系統(tǒng)基于Linux平臺，采用QT集成開發(fā)環(huán)境予以實(shí)現(xiàn)。開發(fā)的詳細(xì)環(huán)境如表2所示。

表2 開發(fā)環(huán)境需求

3.2 系統(tǒng)總體實(shí)現(xiàn)流程

分布式網(wǎng)絡(luò)安全審計系統(tǒng)包括控制中心和Agent主機(jī)，控制中心負(fù)責(zé)監(jiān)控局域網(wǎng)網(wǎng)絡(luò)，開啟服務(wù)等流程，Agent主機(jī)負(fù)責(zé)內(nèi)容審計、流量監(jiān)控、SSL加密會話信息審計等工作，控制中心和Agent主機(jī)采用Socket方式進(jìn)行網(wǎng)絡(luò)通信。

控制中心運(yùn)行程序后，開始監(jiān)聽，對從Agent主機(jī)收到的信息進(jìn)行處理，形成網(wǎng)絡(luò)拓?fù)鋱D。并實(shí)時準(zhǔn)備接收其他信息，如算法信息，審計得到的結(jié)果等。

Agent主機(jī)運(yùn)行程序后，自動開始流量統(tǒng)計功能，并設(shè)置SSL代理以審計加密信息。輸入控制中心目的IP后建立連接，并開始審計工作。分布式算法首先進(jìn)行任務(wù)分配，本機(jī)讀取分配信息后，對分配的任務(wù)進(jìn)行審計工作，并將審計的結(jié)果傳到控制中心，不斷循環(huán)。同時，算法規(guī)定每隔10秒進(jìn)行一次任務(wù)分配量的更新。

系統(tǒng)流程如圖1所示。

圖1 系統(tǒng)流程圖

4 系統(tǒng)測試

4.1 測試環(huán)境搭建

測試環(huán)境如表1所示。

表1 測試環(huán)境

在每臺客戶機(jī)上配置客戶端代理，另外利用主機(jī)當(dāng)作服務(wù)器端和管理員機(jī)器，IP分別為192.168.1.1 和192.168.1.2。

測試的拓?fù)浣Y(jié)構(gòu)如圖2所示。

圖2 拓?fù)浣Y(jié)構(gòu)圖

4.2 測試方案

本系統(tǒng)的測試方案主要包括：功能測試，壓力測試，安全測試[3]。

4.2.1功能測試

（1）動態(tài)拓?fù)渖?/p>

使用多臺不同網(wǎng)段客戶端在不同時間接入網(wǎng)絡(luò)，并在不同時間離開網(wǎng)絡(luò)，測試服務(wù)器拓?fù)渖傻捻憫?yīng)時間及準(zhǔn)確性。

與服務(wù)器距離不同的網(wǎng)段的機(jī)器接入或離開網(wǎng)絡(luò)時，拓?fù)涞捻憫?yīng)時間不同。距離服務(wù)器遠(yuǎn)的機(jī)器接入或離開網(wǎng)絡(luò)，拓?fù)涞捻憫?yīng)時間長；距離近的機(jī)器，拓?fù)涞捻憫?yīng)時間短。

當(dāng)某臺機(jī)器接入網(wǎng)絡(luò)后，拓?fù)淠芊裾_獲得其沿途經(jīng)過的網(wǎng)絡(luò)信息。當(dāng)某臺機(jī)器離開網(wǎng)絡(luò)后，可能會產(chǎn)生一些網(wǎng)段沒有機(jī)器連入網(wǎng)絡(luò)，是否能正確識別這些網(wǎng)絡(luò)，并且在拓?fù)渲袆h除。

當(dāng)網(wǎng)絡(luò)主機(jī)頻繁接入或離開時，拓?fù)涫欠褚廊荒軌蛘ｏ@示，是否會出現(xiàn)系統(tǒng)崩潰狀態(tài)。

（2）采集策略分發(fā)

在客戶端運(yùn)行之后，服務(wù)器向客戶端發(fā)送不同的審計策略，測試客戶端接收策略的響應(yīng)時間及準(zhǔn)確性。

當(dāng)客戶端運(yùn)行先前的審計策略的時候，是否能及時接收并響應(yīng)新得到的審計策略。

當(dāng)服務(wù)器端頻繁發(fā)送審計策略的時候，客戶端是否能及時響應(yīng)并接收最新的審計策略，是否能判斷哪個是最新的審計策略。

（3）網(wǎng)頁恢復(fù)

不同客戶端在不同或相同時間瀏覽不同網(wǎng)頁時，測試能否恢復(fù)出客戶端瀏覽的所有網(wǎng)頁，測試恢復(fù)網(wǎng)頁的效率及準(zhǔn)確性。

當(dāng)客戶端瀏覽網(wǎng)頁時，能否正確恢復(fù)網(wǎng)頁的文本信息、JS腳本信息、圖片及壓縮后的相關(guān)信息。

當(dāng)客戶端同時瀏覽多個網(wǎng)頁時，能否區(qū)分這些同時到達(dá)的網(wǎng)頁信息，能否正確的將這些網(wǎng)頁數(shù)據(jù)包重組，并分開保存。

當(dāng)多臺機(jī)器同時瀏覽相同網(wǎng)頁時，能否判斷出相同連接，并只恢復(fù)一次，不會出現(xiàn)冗余信息。當(dāng)多臺機(jī)器同時瀏覽不同網(wǎng)頁時，能否正確重組數(shù)據(jù)包，將網(wǎng)頁各種信息正確恢復(fù)，能否區(qū)分開客戶端對應(yīng)的網(wǎng)頁信息。

（4）SSL審計

與網(wǎng)頁恢復(fù)類似，客戶端在不同時間瀏覽https網(wǎng)頁，測試客戶端效率及準(zhǔn)確性。

當(dāng)客戶端瀏覽一個SSL網(wǎng)站時，SSL Proxy是否能動態(tài)裝配正確的證書。當(dāng)客戶端同時瀏覽多個SSL網(wǎng)站時，SSL Proxy是否能正確同時裝配所有網(wǎng)站的證書。

當(dāng)證書裝配完成之后，SSL Proxy能否恢復(fù)網(wǎng)頁的全部內(nèi)容，包括：文字信息，圖片信息，腳本信息等。同時瀏覽多個SSL網(wǎng)站時，能否同時恢復(fù)多個網(wǎng)頁信息。

（5）知識庫同步

管理員在不同時間添加或刪除知識庫內(nèi)容，查看客戶端知識庫的更新效率及準(zhǔn)確性。

當(dāng)管理員添加、刪除一條、刪除多條知識庫的時候，距離服務(wù)器不同的客戶端更新知識庫的響應(yīng)時間和準(zhǔn)確性。

當(dāng)管理員頻繁更新知識庫時，客戶端響應(yīng)知識庫更新的響應(yīng)時間，及是否所有的客戶端能夠及時準(zhǔn)確的更新。

（6）內(nèi)容審計

不同客戶端同時瀏覽網(wǎng)頁，并且將每臺客戶端的流量大小做出區(qū)分，在不同時間內(nèi)，改變每個客戶端流量大小，測試分布式協(xié)作算法的效率、內(nèi)容審計效率及內(nèi)容審計準(zhǔn)確性。

改變不同客戶端的CPU利用率和內(nèi)存利用率，查看分布式協(xié)作算法的效率，能否及時重新分配審計負(fù)載。

客戶端瀏覽不同網(wǎng)頁，測試客戶端能否利用知識庫正確識別出非法信息?？蛻舳藶g覽大量網(wǎng)頁，測試客戶端是否能夠利用知識庫正確識別出非法信息，并測試系統(tǒng)分析時間及運(yùn)行穩(wěn)定性。[4]

4.2.2壓力測試

（1）流量測試

流量測試將對系統(tǒng)數(shù)據(jù)采集、協(xié)議分析的效率進(jìn)行測試。在不同等級的流量情況下，統(tǒng)計丟包率。

（2）分布式規(guī)模測試

本系統(tǒng)由多臺Agent主機(jī)構(gòu)成了分布式結(jié)構(gòu)，主機(jī)在數(shù)據(jù)采集、數(shù)據(jù)審計模塊實(shí)現(xiàn)分布式協(xié)作。為了測試系統(tǒng)對于不同主機(jī)數(shù)目的網(wǎng)絡(luò)環(huán)境，在執(zhí)行分布式計算任務(wù)時，有何種性能變化，以及穩(wěn)定性會發(fā)生什么樣的改變。測試將依次使用個數(shù)遞增的主機(jī)數(shù)目，加入到分布式網(wǎng)絡(luò)中，再測試系統(tǒng)性能和穩(wěn)定的變化。

不僅要考慮主機(jī)個數(shù)的影響，對于每臺主機(jī)，當(dāng)開始執(zhí)行協(xié)同工作時，就需要利用分布式協(xié)作算法，算法的性能也能影響到整個系統(tǒng)的性能。因此，在主機(jī)數(shù)目相同的情況下，隨機(jī)改變每臺主機(jī)的初始化審計任務(wù)。執(zhí)行測試，觀察審計系統(tǒng)的處理性能

（3）控制中心壓力測試

使用多臺主機(jī)連接，測試控制中心Web服務(wù)的負(fù)載情況，QT界面響應(yīng)時間。

4.2.3安全測試

（1）數(shù)據(jù)庫口令安全：口令安全包括口令長度及口令多樣性?？诹铋L度必須多于8位，口令必須包含字母、數(shù)字及符號。

（2）知識庫操作安全：管理員添加知識庫時必須按照提示添加，測試添加操作是否成功。

（3）系統(tǒng)操作安全：系統(tǒng)中有些可以手動輸入的文本框，測試如果用戶在文本框里輸入不合法的內(nèi)容，是否提示錯誤，防止SQL注入等攻擊.

4.3 結(jié)果分析

對于功能測試，大部分功能比較滿意，只是在網(wǎng)頁恢復(fù)時丟失率過高，這部分需要進(jìn)一步改進(jìn)。

對于壓力測試，數(shù)據(jù)采集時由于流量過大，產(chǎn)生了一些正常的丟包行為，但丟包率較低，可以接受。在規(guī)模測試方面，隨著網(wǎng)絡(luò)規(guī)模的增加，分布式的優(yōu)點(diǎn)越來越明顯，在龐大的網(wǎng)絡(luò)流量和審計任務(wù)面前，每個單獨(dú)系統(tǒng)能夠平衡網(wǎng)絡(luò)負(fù)載及審計任務(wù)，此時系統(tǒng)占用資源反倒略有降低。

安全測試方面，主要參考了一些國家安全標(biāo)準(zhǔn)，在功能上強(qiáng)制要求用戶做到一些標(biāo)準(zhǔn)化的操作。因此，對于通常的SQL注入，重放攻擊等，均無法對系統(tǒng)造成破壞。

5 總結(jié)與展望

5.1 主要工作總結(jié)

本文針對用戶的實(shí)際需求，在現(xiàn)有網(wǎng)絡(luò)安全審計技術(shù)研究的基礎(chǔ)上，提出并設(shè)計了分布式網(wǎng)絡(luò)安全審計系統(tǒng)。它為用戶提供了位于防火墻、入侵檢測系統(tǒng)后的第三層保護(hù)屏障。本文圍繞分布式網(wǎng)絡(luò)安全審計系統(tǒng)展開了以下研究工作：

（1）對現(xiàn)有網(wǎng)絡(luò)安全審計系統(tǒng)進(jìn)行研究，分析現(xiàn)有模型的不足。以此為基礎(chǔ)，提出了分布式網(wǎng)絡(luò)安全審計系統(tǒng)，該系統(tǒng)將分布式結(jié)構(gòu)、SSL加密信息審計等技術(shù)予以結(jié)合。

（2）在網(wǎng)絡(luò)安全審計的關(guān)鍵技術(shù)研究基礎(chǔ)上，對該系統(tǒng)進(jìn)行需求分析和技術(shù)可行性分析。以此為基礎(chǔ)，提出了系統(tǒng)總體設(shè)計方案，完成各子系統(tǒng)和關(guān)鍵模塊的設(shè)計與實(shí)現(xiàn)。

（3）介紹了分布式網(wǎng)絡(luò)安全審計系統(tǒng)的開發(fā)環(huán)境，展示了關(guān)鍵模塊的實(shí)現(xiàn)代碼和用戶界面，從功能、壓力、安全等方面對系統(tǒng)進(jìn)行了全面的測試，提供了相關(guān)測試數(shù)據(jù)和分析。

5.2 展望

本文實(shí)現(xiàn)的分布式網(wǎng)絡(luò)安全審計系統(tǒng)還存在一些不足，后續(xù)的研究方向主要有以下幾個方面：

（1）本文針對應(yīng)用層協(xié)議的還原，只實(shí)現(xiàn)了HTTP協(xié)議，對SMTP、FTP等協(xié)議的還原工作并未完成，對應(yīng)用層協(xié)議的還原的完善工作是下一步研究的重點(diǎn)內(nèi)容之一。

（2）網(wǎng)頁還原時，雖然能夠還原文本內(nèi)容，但是對于圖像的還原還在調(diào)研階段，完成圖像還原功能也是后續(xù)重點(diǎn)研究內(nèi)容之一。

（3）本文在測試網(wǎng)頁還原功能時，發(fā)現(xiàn)數(shù)據(jù)包丟失率過高，后續(xù)工作應(yīng)該找到丟失率高的原因。改進(jìn)算法，將數(shù)據(jù)包丟失率降低到合理范圍。

（4）隨著IPv6網(wǎng)絡(luò)的普及，針對IPv6網(wǎng)絡(luò)的安全審計工作越來越重要，本文設(shè)計實(shí)現(xiàn)的系統(tǒng)是基于IPv4網(wǎng)絡(luò)，對IPv6網(wǎng)絡(luò)的安全審計工作是后續(xù)的重點(diǎn)研究內(nèi)容之一。

[1]王兵. 計算機(jī)網(wǎng)絡(luò)安全技術(shù)在電子商務(wù)中的運(yùn)用[J]. 電子商務(wù)，2016，03：44.45.

[2]崔鵬飛，裘玥，孫瑞. 面向網(wǎng)絡(luò)內(nèi)容安全的圖像識別技術(shù)研究[A]. 中國計算機(jī)學(xué)會.第30次全國計算機(jī)安全學(xué)術(shù)交流會論文集[C].中國計算機(jī)學(xué)會，2015：4.

[3]盛宇. 網(wǎng)絡(luò)入侵檢測系統(tǒng)在信息安全防范上的技術(shù)分析[A]. Singapore Management and Sports Science Institute，Singapore.Proceedings of 2015 3rd International Conference on Social Sciences Research（SSR 2015 V13）[C].Singapore Management and Sports Science Institute，Singapore，2015：5．

[4]張亮，任德志. 基于網(wǎng)絡(luò)流量的主機(jī)安全防護(hù)系統(tǒng)實(shí)現(xiàn)[A]. Committee of Intelligent Digital Data Security of China Association for Artificial Intelligence（中國人工智能學(xué)會智能數(shù)字內(nèi)容安全專業(yè)委員會）.Proceedings of the 2nd Asia.Pacific Conference on Information Network and Digital Data Security（2011APCID）[C].Committee of Intelligent Digital Data Security of China Association for Artificial Intelligence（中國人工智能學(xué)會智能數(shù)字內(nèi)容安全專業(yè)委員會），2011：7.