| 4、网络安全审计系统
安全审计系统主要用于监视记录网络中的各类操作，实时地综合分析出网络中发生的安全相关事件，如外部入侵行为和内部事件如内部人员的文件自制、信息获取、信息发布、资源变迁等，并根据设置的规则，智能地出违规行为，对违规行为进行记录，报警和阻断。好的审计系统还能对网络中出现的黑客入侵行为进行实时报警和阻断，有效地阻拦来自网络内部和外部，特别是来自因特网的恶意破坏行为。系统自身的审计数据具备防销毁、防篡改的特性，能够为网络犯罪案件的侦破和取证提供精确、宝贵的辅助数据，可在在内部局域网上建立完善的安全预警、安全应急反应体系，为信息系统的安全运行提供保障。
三、构建动态安全防御体系的对策 基于IPv6的网络协议对IP Sec的包含和强制使用，在安全性方面有了较大的提高，能够提供实现以上安全属性的绝大部分的安全服务。免费论文网。但是IP Sec不能完全解决网络的安全问题，因此技术方案必须引入针对安全漏洞和网络攻击的研究，通过对安全漏洞的实时检测与修补，对网络攻击的实时监测和防御，结合风险管理的相关措施实现防御的整体性和动态性，其中重点考虑IPv6网络的各种安全威胁和隐患，并引入安全审计和信息综合分析模块来实现防御的智能性，增强体系的健壮能力。
一个最常见的安全模型就是PDRR模型。PDRR模型就是4个英文单词的头字符：Protection（防护）、Detection（检测）、Response（响应）、Recovery（恢复）。这四个部分构成了一个动态的信息安全周期，如图1所示。
图1 PDRR模型
网络的动态安全模型能够提供给用户更完整、更合理的安全机制，全网动态安全体系可由下面的公式概括：
网络安全=风险分析+制定策略+防御系统+实时监测+实时响应+灾难恢复
网络的安全是一个“APPDRR”的动态安全模型，如图2所示。免费论文网。
图2 APPDRR安全模型
安全保护是网络的第一道防线，能够阻止对网络的入侵和危害；安全监测是网络的第二道防线，可以及时发现入侵和破坏；实时响应是网络的第三道防线，当攻击发生时维持网络“打不垮”；恢复是第四道防线，使网络在遭受攻击后能以最快的速度“起死回生”，最大程度上降低安全事件带来的损失。进行风险评估和提出安全需求是制定网络安全策略的依据。风险分析（风险评估、风险管理），是指确定网络资产的安全威胁和脆弱性、并估计可能由此造成的损失或影响的过程。风险分析有两种基本方法：定性分析和定量分析。在制定网络安全策略的时候，要从全局进行考虑，基于风险分析的结果进行决策。
根据已有的研究成果，这里将给出一个初步的IPv6网络安全动态防御技术体系的模型：该模型既要体现APPDRR模型的典型防护过程，也要体现网络安全管理的因素；既要有强大的对已知风险的处理能力，也要有对新的攻击、安全风险和特性的识别能力，而系统的基础安全支撑技术则主要引入了IP Sec的作用并结合IPv6网络的安全特性。如图3所示。
图3 动态网络安全模型
模型不但够防御外来事件的攻击也能有效的防止内部事件的破坏，体系的输入成份包括网络威胁和脆弱性（包括网络攻击）和网际协作预警信息，这些都是影响体系安全和处理策略的关键因素。要保护的是系统的全部资产。体系中包含一个核心过程，来源于安全防护的典型过程，防护一检测一响应一恢复。防护模块负责在攻击发生前基于布置防护屏障，修补系统漏洞，并采用IP Sec和密码技术实现数据的保密，认证，和安全接入等功能。从而在自身防御和入侵阻止/延缓两个方面实现综合防范，检测模块负责对异常网络行为和模式进行检测、识别、预警；响应模块根据预警信息对攻击进行反应，恢复模块是使得被保护的网络资源恢复到攻击发生前的状态。防护部分是体系的重要部分，又分成两个部分，一部分是对网络攻击的防护，另一部分是对网络隐患的管理，从而贯彻了主动防御的思想。
风险管理模块是支持安全管理的重要组成部分，一方面通过风险管理，提供相应的防护策略，一方面实现对资产的安全控制和在生命周期过程中的保护。通过若干管理工具，有效支持整个体系的工作过程。体系中包含一个重要的反馈模块，核心部分是综合信息管理模块，它是系统学习进化的重要组成部分，动态性，智能性的有力体现。包括信息收集与分析，知识提取与控制等，信息来源主要包括系统中各个功能单元提供的日志和分析记录等信息，也包括来自与网络的联动预警信息。结合安全审计模块的使用，它把分析得到的新的预警信息传给防护过程的相关环节，以及其它网络实体。并提取出知识级数据来更新相关的数据库。网际协作信息的输出表明该体系不是孤立的，可充分发挥全网的联动扩展的功能。IP Sec机制和密码管理中心是IPv6网络的安全性基础模块。负责对系统的安全接入，安全服务，安全保密等功能提供基础支持。
现代网络安全理论认为，网络安全漏洞和网络攻击是不可能完全避免的。免费论文网。因此，任何网络安全体系的设计必须对此给予足够的重视。安全防护技术体系非常复杂，要有效的保护网络，必须进行综合防范，支持防护、检测、响应和恢复等过程的技术缺一不可。在这过程中防火墙、IDS，漏洞扫描、病毒防范、安全审计等技术都是必要的安全技术。在IPv6网络中，防护技术的整体性，仍然是一个重要指标，虽然它克服了许多IPv4网中的安全问题，但是同时也出现了新问题，防御的任务仍然是复杂而且艰巨的。在防护过程中，为了克服单项安全技术的局限，除了提升技术本身的性能和对不安全因素的识别能力以外，一个重要的途径就是通过技术间的联动扩展和数据关联来弥补其固有的不足，这种联动又可分为强调功能单元间的协同的事件级联动和基于信息综合分析的知识级联动。这些信息源主要包括各种安全功能单元的日志信息、审计信息、报警信息、事件信息、系统各种服务信息等等，从信息收集，安全分析，知识提取到策略调整，这种信息的综合处理思想，是提高防范能力的先进思想。
但是，网络的安全状况，随着网络技术、黑客技术、网络环境等相关因素的变化而呈现出来的不断变化的特性，仅就攻击和防护技术的发展而言也往往是此消彼长。因此对网络系统的周期性评估和对安全防范能力的即时更新都是必须考虑的因素，在过程上，防范策略要随着网络环境和安全状况的变化不断调整，防护、检测、响应和恢复的各个阶段应紧密协调，其安全策略也要实时更新。同时防护技术体系引入风险管理，它的实施是我们对网络系统安全状况的认识不断深入的良好途径。它也是对于网络动态防御的有力支持。至少包含：漏洞扫描，信息收集与分析控制，攻击实时检测识别，恢复技术，安全数据库的更新维护，系统自适应技术等安全技术单元。从而反映了网络安全的如下内涵：安全系统具有免疫力；扩大安全检测的范畴；引入知识库，使安全系统具有学习进化功能；很好的辅助安全管理；具有强大的系统恢复功能。
参考文献
[1]李振强，赵晓宇，马严.IPv6技术揭密.第3版北京：人民邮电出版社2006. 4. 1
[2]华为3COM技术有限公司编著.IPv6技术.第2版北京： 清华大学出版社2007. 10
[3]周逊.IPv6一下一代互联网的核心.第3版北京：电子工业出版社2008. 8
[4]胡建伟.网络安全与保密.第5版西安：西安电子科技大学出版社2008. 11
[5] Joseph Davies理解IPv6.张晓彤，晏国最，曾庆峰译.第2版北京：清华大学出版社2008. 3
2/2 首页 上一页 1 2 |
