引言
網(wǎng)絡(luò)安全管理系統(tǒng)是針對計算機網(wǎng)絡(luò)以及計算機終端的安全問題而設(shè)計的一種綜合管理軟件。它依靠技術(shù)手段協(xié)助管理員對計算機網(wǎng)絡(luò)實施智能的安全防護與管理,從而提高網(wǎng)絡(luò)的安全性能。并提供一系列工具使網(wǎng)絡(luò)終端更加易于管理,網(wǎng)絡(luò)的安全風(fēng)險得到控制。
內(nèi)網(wǎng)安全管理系統(tǒng)致力于內(nèi)部網(wǎng)絡(luò)和終端的安全防護與管理。但是目前異地辦公、分公司、分散網(wǎng)點辦公的應(yīng)用需求日益增多如圖l所示。對于位于異地,只能通過互聯(lián)網(wǎng)連接到單位內(nèi)蚓的計算機終端實施安全管理,并要求其執(zhí)行與內(nèi)網(wǎng)終端一致的安全規(guī)范同樣十分必要。如果依靠傳統(tǒng)的安全管理系統(tǒng)將無法對這些計算機實施管理和防護,以至形成整個系統(tǒng)的“短板”。所以遠程終端的安全管理相關(guān)技術(shù)的研究是目前網(wǎng)絡(luò)應(yīng)用的現(xiàn)實需求。
圖1 遠程終端
1 內(nèi)網(wǎng)安全管理系統(tǒng)面臨的新問題
如前文所述,遠程辦公的廣泛應(yīng)用使得內(nèi)網(wǎng)安全管理系統(tǒng)面臨著新的挑戰(zhàn)。遠程計算機終端處于單位的局域網(wǎng)之外。即使通過VPN(虛擬專用網(wǎng))能夠使用局域網(wǎng)的功能,但并非真正的局域網(wǎng),與內(nèi)網(wǎng)終端所處網(wǎng)絡(luò)環(huán)境不相同。這使得傳統(tǒng)網(wǎng)絡(luò)安全管理系統(tǒng)采用的一些安全技術(shù)和管理措施并不適用于遠程終端。而遠程終端處于互聯(lián)網(wǎng)之中,面臨著更多的安全威脅,更加需要適合的安全管理解決方案。
通常網(wǎng)絡(luò)安全管理系統(tǒng)所應(yīng)用的安全技術(shù)包括:防火墻技術(shù)、入侵檢測技術(shù)、網(wǎng)絡(luò)防病毒、接入控制、補丁分發(fā)等軟件統(tǒng)一升級系統(tǒng)、其它相關(guān)技術(shù)。
對于遠程計算機終端,在內(nèi)網(wǎng)中適用的安全技術(shù)可能起不到它的作用。下面將針對這些技術(shù)進行探討:
首先,對于網(wǎng)絡(luò)邊界的安傘設(shè)備如防火墻、入侵檢測、網(wǎng)絡(luò)防病毒系統(tǒng),他們是用于防護內(nèi)部網(wǎng)絡(luò)設(shè)施,通常運行于網(wǎng)關(guān)、路由和服務(wù)器等網(wǎng)絡(luò)設(shè)備,對于位于內(nèi)網(wǎng)之外的遠程計算機終端發(fā)揮不到防護作用。
其次,補丁分發(fā)和軟件統(tǒng)一升級對于遠程計算機也不是全部適應(yīng)。遠程計算機在需要時通過國際互聯(lián)網(wǎng)連接到內(nèi)部網(wǎng)絡(luò),而補丁分發(fā)往往需要較長的在線時間并且占用一定的帶寬,對于遠程終端并非同樣適用。例如遠在海外的計算機終端。
第三,網(wǎng)絡(luò)安全管理系統(tǒng)通常依靠ARP探測技術(shù)實現(xiàn)主機的接入發(fā)現(xiàn)、干擾非法主機的功能。這對于遠程計算機終端完全無法應(yīng)用,即使遠程計算機通過VPN連接到內(nèi)網(wǎng)。可見對于遠程計算機終端,傳統(tǒng)的網(wǎng)絡(luò)安全管理系統(tǒng)面臨以下幾個問題:
(1)原有的設(shè)施不適用,有入侵檢測設(shè)備、硬件防火墻、接入控制(如Radius服務(wù)器);
(2)原有技術(shù)無法利用,如ARP探測與干擾技術(shù);
(3)原有的功能難實現(xiàn),病毒庫升級、操作系統(tǒng)和軟件補丁統(tǒng)一升級不再適用;
這問題使我們需要專門研究遠程計算機安傘管理技術(shù),以適應(yīng)新的應(yīng)用需求。設(shè)計對遠程計算機終端實施安全管理的解決方案。
2 遠程終端的安全特性
本節(jié)內(nèi)容通過一個遠程終端接入內(nèi)網(wǎng)的應(yīng)用實例,分析了遠程終端接入過程中的幾個關(guān)鍵環(huán)節(jié),和我們需要解決的若干安全問題。
2.1一個典型的遠程終端接入過程
利用授權(quán)訪問系統(tǒng),位于遠程的計算機終端可以方便的訪問單位內(nèi)部資源。虛擬專用網(wǎng)(VPN)技術(shù)甚至可以使遠程計算機像位于內(nèi)網(wǎng)一樣,使用所有內(nèi)網(wǎng)提供的服務(wù)。
遠程終端的接入勢必會給內(nèi)網(wǎng)帶來一定的安全風(fēng)險。黑客和病毒有可能以遠程終端為跳板對內(nèi)網(wǎng)實施攻擊和破壞。所以對接入內(nèi)網(wǎng)的遠程終端必須經(jīng)過一定的檢查方能繼續(xù)訪問。一個典型的遠程終端安全接入的邏輯流程如圖2所示。
可見這一過程的關(guān)鍵環(huán)節(jié)有:
①終端身份認證,通常我們首先要確認該遠程終端是否為本單位的計算機。這個過程可以要求遠程終端提供一定的身份憑證來證明自己的身份。
②服務(wù)器身份認證,遠程終端連接國際瓦聯(lián)網(wǎng),如果有必要攻擊者就有可能冒充管理服務(wù)器從而控制該終端。因此驗證服務(wù)器的身份同樣重要。
③安全狀態(tài)檢杳,一臺被攻擊者控制的遠程終端一旦接入內(nèi)網(wǎng)便會對內(nèi)網(wǎng)的安全可靠帶來極大的安全威脅,因此對從互聯(lián)網(wǎng)接入的遠程終端進行安全“體檢”可以盡量降低安全風(fēng)險。
圖2 遠程終端安全接入邏輯流程
2.2遠程終端安全管理待解決的問題
由以上對遠程終端接入應(yīng)用的過程分析可以總結(jié)出建立遠程終端安全管理系統(tǒng)需要解決的幾個主要問題:
身份認證問題。系統(tǒng)需要設(shè)計一套雙向主機身份認證的方案來實現(xiàn)管理與被管理者雙方的身份認證功能。客戶端認證主要為了避免非法主機接入內(nèi)網(wǎng)而設(shè)定。服務(wù)器身份認證是為了防范系統(tǒng)通信協(xié)議被分析和破解的情況下,攻擊者冒充管理服務(wù)器從而控制遠程終端。因為即使是經(jīng)過精心設(shè)計的軟件代碼也無法保證其不被“黑客”破解。這方面的技術(shù)有口令方式、挑戰(zhàn)響應(yīng)方式、“USB KEY”方式,基于生物特征方式等。
終端系統(tǒng)安全防護與檢測問題。如本文第一節(jié)所述,應(yīng)用于內(nèi)部網(wǎng)絡(luò)的安全設(shè)施難以完全覆蓋到遠程終端。因此需要為遠程終端專門提供安全防護的功能。另外在終端接入到內(nèi)網(wǎng)時,系統(tǒng)將判斷終端的安全狀況以決定其是否滿足接入內(nèi)網(wǎng)的安全等級。所有需要設(shè)計安全狀態(tài)評估機制來完成該功能。安全防護功能涉及軟件防火墻技術(shù),殺毒軟件相關(guān)技術(shù)等。
雙方通信協(xié)議與通信加密。遠程安全管理系統(tǒng)的報文需要經(jīng)過國際巨聯(lián)網(wǎng)傳遞,為了保證數(shù)據(jù)在傳輸過程中不被監(jiān)聽、篡改、重放,系統(tǒng)需要設(shè)計通信加密模塊和雙方傳遞管理信息的通信協(xié)議。
控制端對遠程終端的管理問題。這里的管理通常是指對終端硬件資源的管理和系統(tǒng)功能的管理。如硬件禁用/啟用、功能限定和監(jiān)控審計等。
自身的安全問題。管理者和被管理者均需要連接國際互聯(lián)網(wǎng)并開放服務(wù)。因此難免遭受“黑客”的攻擊,因此在系統(tǒng)軟件設(shè)計過程中需要考慮其安全問題。遠程終端上運行的軟件還需要“自我保護”功能,以防止被惡意禁用、卸載、修改。
3 遠程終端安全管理解決方案
上面的小節(jié)主要分析了遠程終端安全管理的意義和設(shè)計需求,本節(jié)內(nèi)容將對遠程終端安全管理技術(shù)進行詳細的討論和研究,提出遠程終端安全管理的方案。
3.1遠程終端安全管理的目標
遠程終端安全管理系統(tǒng)是為了解決遠程辦公終端的安全管理問題而設(shè)計,把內(nèi)網(wǎng)的安全域延伸至遠程終端(如圖3)。把遠程計算機納入到內(nèi)網(wǎng)的管理中來,實施全網(wǎng)統(tǒng)一的安全管理和一致的安全策略。另外網(wǎng)絡(luò)安倉管理系統(tǒng)的目的還包括從整體上提高整個網(wǎng)絡(luò)的防御入侵、抵抗攻擊的能力,保持系統(tǒng)及服務(wù)的完整性、可靠性和可用性。
圖3 擴展的安全域
遠程終端安全管理系統(tǒng)的設(shè)計目標包含:
目標1:維護內(nèi)網(wǎng)和遠程終端的安全。降低內(nèi)部網(wǎng)絡(luò)因遠程終端的接入帶來的安全風(fēng)險:保護遠程計算機終端減小木馬、病毒和黑客的攻擊的威脅。對終端計算機操作系統(tǒng)的安全性進行監(jiān)視和加固,具備無需終端用戶干預(yù)的安全防護能力。
目標2:提供豐富的終端管理控制功能。網(wǎng)絡(luò)管理員可以通過系統(tǒng)控制中心獲得網(wǎng)絡(luò)與終端計算機的整體運行情況和詳細信息:可以制定安全管理規(guī)范并分發(fā)到網(wǎng)絡(luò)終端上執(zhí)行:擁有網(wǎng)絡(luò)事件審計日志。
目標3:系統(tǒng)架構(gòu)靈活、可擴展。網(wǎng)絡(luò)安全管理系統(tǒng)管理內(nèi)容的靈活性較高,系統(tǒng)設(shè)計階段應(yīng)考慮以后進行升級和擴展的需求。
3.2遠程終端安全管理的實現(xiàn)
如何對遠程終端實施有效的安令管理,是遠程終端安令管理技術(shù)的核心問題。網(wǎng)絡(luò)安全管理系統(tǒng)不是安全產(chǎn)品的堆砌,而是各種安全技術(shù)相互融合,共同完成系統(tǒng)功能的綜合性解決方案。遠程終端安全管理所采用的技術(shù)可以劃分到下面的3個子系統(tǒng):
(1)通信加密子系統(tǒng)。如本文2.2節(jié)所述,遠程終端與管理服務(wù)器之間的通信數(shù)據(jù)有可能被攻擊者截取和偽造。因此遠程終端安全管理系統(tǒng)軟件提供專門的通信子系統(tǒng)。所有與服務(wù)器之間交換的數(shù)據(jù)都通過該子系統(tǒng)發(fā)送。目前常用的通信加密手段主要是對稱密碼和公鑰密碼。詳細論述了這兩種密碼體制的特性。其中對稱密碼安全強度相對較高,但是無法解決密鑰在互聯(lián)網(wǎng)上傳輸?shù)膯栴}。公鑰密碼在性能上稍遜于對稱密碼。目前網(wǎng)絡(luò)安全應(yīng)用中也常采用兩者結(jié)合的應(yīng)用方案,即以公鑰密碼加密對稱密碼的密鑰,以對稱密碼加密數(shù)據(jù)的混合型加密嘲?紤]到遠程終端與管理服務(wù)器之間平時并沒有大量數(shù)據(jù)傳輸,因此公鑰密碼的性能對通信速度并不會產(chǎn)生明顯的影響。所以系統(tǒng)采用公鑰密碼體制加密數(shù)據(jù)。橢圓曲線密碼(ECC)是目前公鑰密碼中性能較好的一種,通信加密子系統(tǒng)可以采用預(yù)共事密鑰的方式容易的實現(xiàn)通信數(shù)據(jù)加密,且有不錯的安全性能。
(2)身份認證子系統(tǒng)。認證是指管理服務(wù)和被管理的遠程終端之間的主機身份認證。是一種以密碼學(xué)為基礎(chǔ)的基本網(wǎng)絡(luò)安全技術(shù)。常用的身份認證技術(shù)有:基于口令、基于軟硬件數(shù)字證書或簽名、基于生物特征識別等。如果系統(tǒng)設(shè)定為“不需要用戶干預(yù)”的認證方式,那么基于數(shù)字簽名的認證方式相對更加適合。因為數(shù)字證書的認證一般需要建立一套復(fù)雜的公鑰基礎(chǔ)設(shè)施(PKI),從而增加了系統(tǒng)配置和管理的復(fù)雜度。
對認證算法提出了一種根據(jù)Ham的基于離散對數(shù)的數(shù)字簽名方案。提出了一種基于橢圓曲線密碼的數(shù)字簽名方案。該方案簽名生成過程簡單,簽名驗證速度快。它們都是利用公鑰密碼體制的特性而設(shè)計,這里非常適合主機間的身份認證。為達到系統(tǒng)的靈活性,可把簽名加密算法獨立出來,以實現(xiàn)可替換的功能。系統(tǒng)只需要預(yù)先在服務(wù)器和客戶端分別生成自身的私鑰和公鑰,而后公開公鑰即可進行相互間的簽名認證,認證過程如圖4。
圖4 身份認證流程
(3)終端操作系統(tǒng)加同子系統(tǒng)。由于遠程終端位于互聯(lián)網(wǎng)環(huán)境中,相對于物理隔離的內(nèi)部網(wǎng)絡(luò)終端它遭受攻擊的可能性更大。安全管理系統(tǒng)需要采用相應(yīng)的技術(shù)手段增強終端操作系統(tǒng)的安全性。軟件防火墻和殺毒軟件是日前流行的桌面安全產(chǎn)品,除此之外操作系統(tǒng)加固子系統(tǒng)還提供可配置的系統(tǒng)防護模塊。
對于已安裝的防火墻和殺毒軟件,加固子系統(tǒng)檢測其有效性和時效性。以此形成對終端操作系統(tǒng)安全狀態(tài)的檢測。對于安全需求較高的專用業(yè)務(wù)終端,加固子系統(tǒng)對操作系統(tǒng)實行完全監(jiān)控。對所有未經(jīng)管理端許可的程序均拒絕運行,以此來保證業(yè)務(wù)終端的“純潔性”。
該子系統(tǒng)也完成系統(tǒng)安全狀態(tài)檢測的功能。在遠程終端接入前如果管理服務(wù)器要求該終端必須滿足一定的安全條件(如必須安裝某安全軟件),則安全加同子系統(tǒng)將生成當(dāng)前計算機安全狀態(tài)檢測結(jié)果并上報服務(wù)器。
以上3個子系統(tǒng)分別針對遠程終端內(nèi)網(wǎng)接入、系統(tǒng)運行、終端管理3個主要環(huán)節(jié),它們一起解決用于解決遠程計算機終端安全管理中遇到的安全問題。此外網(wǎng)絡(luò)安全管理系統(tǒng)的其它功能(如通信報文格式、安全規(guī)則分發(fā)、升級等)與內(nèi)網(wǎng)終端安全管理基本相同。
3.3系統(tǒng)軟件結(jié)構(gòu)
網(wǎng)絡(luò)安全管理工作涉及的內(nèi)容眾多且需求靈活多變。因此在軟件設(shè)計方面要求軟件架構(gòu)支持在使用中升級和功能擴展。軟件采取類MVC(模型、視圖、控制器)設(shè)計模式的程序框架,可以較好的實現(xiàn)這些功能。所有的管理功能都以插件形式提供如圖5所示。可見通信模塊是專門負責(zé)服務(wù)器與客戶端之間傳送信息的模塊。它與向主程序提供網(wǎng)絡(luò)接口服務(wù),對傳輸?shù)臄?shù)據(jù)進行加密解密。身份認證接口同樣在通信模塊中實現(xiàn),由功能插件調(diào)用。
圖5 軟件結(jié)構(gòu)
(1)控制器是軟件主邏輯。它負責(zé)系統(tǒng)的初始化,創(chuàng)建系統(tǒng)主界面,并依次加載已注冊的功能插件。
(2)功能插件是實現(xiàn)安全管理功能的獨立邏輯。通常一個插件實現(xiàn)一種或多種管理功能。功能插件一般包含服務(wù)器端和客戶端,兩部分相互通信共同實現(xiàn)管理功能。插件可以創(chuàng)建自己的視圖并融入控制器創(chuàng)建的辛界面中。
系統(tǒng)采用增量開發(fā),目前已有功能插件的統(tǒng)計如表1所示。
表1 功能插件統(tǒng)計
(3)記錄模塊負責(zé)存儲系統(tǒng)的相關(guān)配置和數(shù)據(jù)信息。
(4)通信加密模塊為上層模塊提供通信接口和透明的數(shù)據(jù)加密功能。
4 結(jié)束語
為應(yīng)對遠程辦公與遠程業(yè)務(wù)終端給內(nèi)網(wǎng)安全管理系統(tǒng)帶來的新問題,本文重點研究了遠程終端的安全特性,對遠程終端安全管理的關(guān)鍵技術(shù)進行了剖析和討論。設(shè)計了一個遠程終端安全管理解決方案。該方案主要解決遠程終端安全防護、遠程管理通信安全以及實施遠程診斷和管理所面臨問題。系統(tǒng)軟件結(jié)構(gòu)的設(shè)計考慮了系統(tǒng)功能的變更和升級問題,支持運行時功能擴展。與原有的內(nèi)網(wǎng)安全管理系統(tǒng)模型相比增加了遠程終端的角色,適用位于本部之外的遠程辦公和業(yè)務(wù)終端,方便管理員統(tǒng)一管理和維護,具有較高的實用價值。
核心關(guān)注:拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用,蘊涵了豐富的ERP管理思想,集成了ERP軟件業(yè)務(wù)管理理念,功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理,全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域,是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處:拓步ERP資訊網(wǎng)http://www.ezxoed.cn/
本文標題:遠程終端安全管理技術(shù)研究
本文網(wǎng)址:http://www.ezxoed.cn/html/support/1112189297.html