基于Agent的內(nèi)部網(wǎng)絡(luò)安全系統(tǒng)研究與實現(xiàn).pdf

1、隨著Internet推動的全球信息化迅速擴展，計算機網(wǎng)絡(luò)成為現(xiàn)代社會發(fā)展所依賴的重要基礎(chǔ)設(shè)施。虛擬空間Cyberspace的安全保障也成為世界各國繼國力和主權(quán)行使所及的領(lǐng)土、領(lǐng)空、領(lǐng)海之外的又一個國防領(lǐng)域。如何在復雜性不斷增長的網(wǎng)絡(luò)環(huán)境中，建立強大有效的信息安全保障體系，是當今全球矚目的重大課題。網(wǎng)絡(luò)與信息安全保障體系的有效性，又取決于其整體的應(yīng)變能力。隨著網(wǎng)絡(luò)技術(shù)的高速發(fā)展，計算機和互聯(lián)網(wǎng)的廣泛應(yīng)用，單位內(nèi)部網(wǎng)絡(luò)規(guī)模日益龐大，網(wǎng)絡(luò)拓撲

2、結(jié)構(gòu)愈趨復雜，網(wǎng)絡(luò)安全保障實現(xiàn)的難度與日俱增，向人類社會提出了嚴峻的挑戰(zhàn)?；贏gent的綜合內(nèi)網(wǎng)安全系統(tǒng)的研究，是作者面向這種挑戰(zhàn)所作的努力。 網(wǎng)絡(luò)是信息的載體與流通渠道，信息是網(wǎng)絡(luò)生存的理由和服務(wù)的對象。兩者的安全性也是相輔相成的。網(wǎng)絡(luò)與信息安全管理從管理網(wǎng)絡(luò)線路和設(shè)備實體到維護信息主權(quán)保障安全存儲和傳輸，再到信息資源使用效益的極大化和網(wǎng)絡(luò)運作成本的極小化，有其特殊的發(fā)展規(guī)律，并具有空間分布、時變、異構(gòu)同存等系統(tǒng)復雜性。因此

3、，網(wǎng)絡(luò)與信息安全保障與防御系統(tǒng)的設(shè)計與實現(xiàn)屬復雜系統(tǒng)工程。 雖然網(wǎng)絡(luò)按其敷設(shè)空間大小分為廣域網(wǎng)（WAN）和局域網(wǎng)（LAN）等，但網(wǎng)絡(luò)與信息安全系統(tǒng)的設(shè)計與實現(xiàn)卻只按信息主權(quán)歸屬和本網(wǎng)合法享用信息的用戶計算機所在空間范圍而定。本文所研究的網(wǎng)絡(luò)與信息安全系統(tǒng)屬于這類主權(quán)歸專門機構(gòu)所有的計算機專用網(wǎng)絡(luò)，稱此專用網(wǎng)絡(luò)為內(nèi)網(wǎng)。本文所論安全問題屬內(nèi)網(wǎng)的安全系統(tǒng)設(shè)計。本文中的單位內(nèi)部網(wǎng)絡(luò)需要對網(wǎng)內(nèi)的主機進行監(jiān)控，也稱可控內(nèi)網(wǎng)（Controll

4、able Internal Network, CIN）。 70％的網(wǎng)絡(luò)安全問題出自內(nèi)部網(wǎng)絡(luò)，而防火墻技術(shù)不能百分百阻斷入侵，因此，強化防火墻以內(nèi)的網(wǎng)絡(luò)安全策略和措施，具有無庸置疑的重要性和現(xiàn)實的必要性。又因為內(nèi)部泄密及發(fā)動攻擊者和具備積極防范意識而掌握減免災(zāi)害技術(shù)者都是“人”。所以，內(nèi)部網(wǎng)絡(luò)的安全策略和技術(shù)選擇是面向“人”的。 本文的研究目標是：在以“人”為本的重要思想指導下，將安全防線設(shè)置到每一位合法用戶的主機上。采用

5、先進的多Agent（智能體）技術(shù)，將內(nèi)網(wǎng)安全保障系統(tǒng)實現(xiàn)為綜合的單位內(nèi)部網(wǎng)絡(luò)安全系統(tǒng)（Comprehensive Internal Network Security System, CINSS）。 保障內(nèi)網(wǎng)信息資源的安全服務(wù)包括身份認證、訪問控制、安全審計等等，同時，病毒等也對內(nèi)網(wǎng)安全構(gòu)成很大的威脅。因此，CINSS在分析了國內(nèi)外同類技術(shù)與產(chǎn)品的安全性需求、綜合功能、成本和易實現(xiàn)性等基礎(chǔ)上，提出并實現(xiàn)了基于Agent技術(shù)的綜合內(nèi)

6、網(wǎng)安全系統(tǒng)。CINSS的具體子系統(tǒng)和研究內(nèi)容包括：身份認證與訪問控制子系統(tǒng)；漏洞檢測子系統(tǒng)；安全審計子系統(tǒng)；軟件自保護模塊和Agent執(zhí)行環(huán)境的防護。 CINSS的技術(shù)解決思路如下：利用軟件防火墻的主機數(shù)據(jù)包過濾技術(shù)實現(xiàn)身份認證和基于角色的網(wǎng)絡(luò)訪問控制，將以上功能封裝成認證Agent。因此，系統(tǒng)的正常運行依賴于網(wǎng)絡(luò)的各主機都必須安裝認證Agent。認證Agent作為一種軟件，可被用戶有意無意的損壞，因此，CINSS必須對其進行防

7、護，這屬于軟件自保護技術(shù)。同時，內(nèi)部用戶仍舊可以通過攜帶新機器，或重新安裝操作系統(tǒng)等方式逃避認證而非法訪問網(wǎng)絡(luò)，因此，對認證Agent的執(zhí)行環(huán)境必須進行監(jiān)測，主動發(fā)現(xiàn)并防范該類安全性問題。另外，hacker或病毒是通過漏洞感染主機的，因此，整合漏洞檢測系統(tǒng)，通過檢測主機漏洞，評估其安全風險級別，將高風險的主機與網(wǎng)絡(luò)隔離起來，實現(xiàn)事前對主機和網(wǎng)絡(luò)的防御。將安全審計或其它安全軟件封裝成移動Agent，在需要時派遣至網(wǎng)絡(luò)各節(jié)點中完成相應(yīng)的安全