基于策略管理的分布式、動態(tài)網(wǎng)絡(luò)安全模型.pdf

1、互聯(lián)網(wǎng)的發(fā)展為全球范圍內(nèi)實現(xiàn)高效的資源和信息共享提供了方便.隨著大規(guī)模、分布式信息系統(tǒng)的廣泛建立和社會信息化的迅猛發(fā)展,計算機(jī)的應(yīng)用形式逐漸上升為網(wǎng)絡(luò)形態(tài),網(wǎng)絡(luò)安全也面臨著新的挑戰(zhàn).日益龐大和復(fù)雜的企業(yè)級網(wǎng)絡(luò)結(jié)構(gòu),廣泛采用的分布式應(yīng)用環(huán)境,海量存儲和高帶寬的傳輸技術(shù),混合、分布式的攻擊方式,以及越來越顯著的網(wǎng)絡(luò)安全動態(tài)性,使得傳統(tǒng)的集中式、靜態(tài)網(wǎng)絡(luò)安全體系已經(jīng)不能滿足需求.適應(yīng)多平臺計算環(huán)境的、面向整個網(wǎng)絡(luò)的分布式安全體系已經(jīng)成為主要研

2、究方向.當(dāng)前網(wǎng)絡(luò)安全威脅和網(wǎng)絡(luò)安全技術(shù)的發(fā)展趨勢對網(wǎng)絡(luò)安全體系提出了四點需求:首先,安全體系的部署和管理必須是分布式的;其次,網(wǎng)絡(luò)安全體系應(yīng)該具備動態(tài)可調(diào)整的能力;第三,安全管理的過程要盡可能提高自動化的程度;最后,安全體系內(nèi)部要具備良好的信息共享和協(xié)作能力.新形勢下網(wǎng)絡(luò)安全體系的上述種種需求,都可以通過基于策略管理的解決方案來滿足.基于策略的管理解決方案通過策略來實現(xiàn)對被管理系統(tǒng)的分布式、自動化以及動態(tài)自適應(yīng)的管理,已經(jīng)成為大規(guī)模企業(yè)

3、級網(wǎng)絡(luò)內(nèi)部分布式系統(tǒng)管理的最有發(fā)展前途的研究方向.論文在上述背景下對基于策略管理的網(wǎng)絡(luò)安全模型進(jìn)行研究,將P<'2>DR動態(tài)安全模型擴(kuò)展到分布式的動態(tài)網(wǎng)絡(luò)安全環(huán)境中,提出了基于策略管理的分布式(Distributed)、動態(tài)(Dynamic)網(wǎng)絡(luò)安全模型——D<'2>P<'2>DR.根據(jù)D<'2>P<'2>DR網(wǎng)絡(luò)安全模型的思想,一個完整的網(wǎng)絡(luò)安全體系應(yīng)該包括這樣幾個方面的內(nèi)容:分布式(Distributed)的系統(tǒng)架構(gòu),動態(tài)的(Dyn

4、amic)網(wǎng)絡(luò)安全,高級策略(Aevanced Policy),安全防護(hù)(Protection),漏洞評估和入侵檢測(Detection),以及實時響應(yīng)(Response).D<'2>P<'2>DR網(wǎng)絡(luò)安全模型以高級策略為核心,對整個網(wǎng)絡(luò)中的各種安全組件進(jìn)行分布式、動態(tài)的、基于策略的管理,具有良好的可伸縮性,滿足了動態(tài)網(wǎng)絡(luò)安全的需求,提高了管理自動化的程度,同時還為各種安全組件提供了良好的信息共享和協(xié)作平臺.在D<'2>P<'2>DR網(wǎng)

5、絡(luò)安全模型中,論文還提出了基于策略管理的分布式入侵檢測和響應(yīng)架構(gòu),該架構(gòu)對傳統(tǒng)的入侵檢測和響應(yīng)過程進(jìn)行改進(jìn),提出了雙檢測策略的設(shè)計,以及基于雙檢測策略的三段式入侵檢測響應(yīng).雙檢測策略的設(shè)計為各個廠家的各種IDS之間的信息共享和協(xié)作提供了支持,可以充分發(fā)揮各種IDS的優(yōu)勢,從而降低檢測系統(tǒng)的誤報率和漏報率,同時又充分利用了策略管理的可伸縮性,減輕了檢測策略的維護(hù)工作量,為D<'2>P<'2>DR網(wǎng)絡(luò)安全模型中的檢測系統(tǒng)提供了很大的靈活性.

6、策略管理技術(shù)的核心觀點就是以策略驅(qū)動管理過程.因此顯式的、精確的,而且可應(yīng)用的策略規(guī)范是策略管理技術(shù)的一個關(guān)鍵研究對象.論文在英國倫敦皇家學(xué)院提出的Ponder策略語言的基礎(chǔ)上提出了Ponder+策略語言,作為支撐D<'2>P<'2>DR網(wǎng)絡(luò)安全模型的一種策略規(guī)范解決方案.在Ponder+策略語言中,論文不僅定義了檢測方案對象類、關(guān)聯(lián)方案對象類和配置策略來為雙檢測策略提供支持,還定義了策略的策略(PoP).PoP策略使Ponder+具有