一种DAAC网络防泄漏设计
开篇：润墨网以专业的文秘视角，为您筛选了一篇一种DAAC网络防泄漏设计范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！
摘要:相对于传统的网络访问控制方法会遗漏网络设备间反映网络安全状态的传递信息,本文设计了一种动态AAC网络防泄漏技术,基于网络流量分布式分析推理完成网络的安全管理。通过实验研究表明该种方法能够很好的解决网络的安全信息的转换,达到防泄漏的可能。
关键词:动态网络访问控制 防泄漏 错误鉴别
DOI:10.3969/j.issn.1672-8289.2010.10.049
1 前言
网络发展到现在,各部门或多或少都通过网络办公或交流。网络的防泄漏随着成为各部门重点关心的问题。传统的网络防泄露方法是在网络的上层来负责(如应用层IDS)访问控制和监控。并过于信任内部网的一些设备,从而极易造成复杂的和错误配置信息并导致不可靠的安全策略。
为了克服上述问题,人们开始提出各种方法来适应其需要。本文中介绍的自适应访问控制方法(Adaptive Access Control, AAC)就是对当今网络防泄漏的一种研究,利用AAC的自适应特点产生动态的、细力度的内部网访问控制策略并自动的进行错误鉴别、分析,以达到有效地保护内部网络设备的安全及整个网络系统的安全。
2 AAC的相关研究背景
在介绍本文设计的动态访问控制方法之前,先来看下内部网络中的访问控制和监控管理所遇到的问题和基于可编程交换机的访问控制技术。
2.1 访问控制和监控
内部网络往往是大型的、异构的、和不可管的。网络的管理者为了内网的安全常陷入人为复杂的管理问题中,同时也必须面对不同的网络设备被攻击或处于不安全状态的情况。这种访问控制和监控方式是低效的、和不灵活的。新的网络访问控制应该动态自适应的以减轻网络管理者的管理负担。
2.2 基于可编程交换机的访问控制技术
该种技术利用可编程的交换机在交换机内部设置访问控制规则,可以实现在OSI的低层有效地对数据流进行访问控制、监控。目前使用的技术是一个管理架构:包括一个可编程的支持OpenFlow协议的交换机和一个中心控制器。利用OpenFlow协议在交换机中设置数据流表条目信息来管理访问控制,同时在一个安全通道上,交换机和中心控制器通信来控制交换机的操作行为。
3 自适应访问控制方法的设计
本文提到的AAC由一个策略规范框架、分布式网络监控策略和一种基于可编程交换机的动态规范制定策略。
3.1策略规范框架
已有的访问控制框架会为每个安全类分配一个网络设备。因此AAC中的访问控制是动态的,基于某个网络设备的安全类和状态,AAC允许网络操作者制定不同的安全防漏功能。如当某个网络设备进入不安全状态时,AAC能够基于某个定制好的高层的安全策略,去指导交换机处理内部网络数据流。本文中重点介绍访问控制框架的设计,而非策略语言制定。
相对于传统的方法,AAC的策略规范框架提供了大量的更加细力度的访问控制。在内部网中,属于相同安全组的网络设备属于同一个虚拟局域网,在相同虚拟局域网中的数据流会接受相同的策略。另外,由于虚拟局域网的标识符只有12bits,一个网络所能配置的虚拟局域网数目最多为212个。在一个网络中运用AAC细力度的策略,不会有速度的影响。
3.2 分布式的网络监控策略
AAC改变传统基于网络设备的安全防漏策略,由网络本身检测网络安全任务。后文的实验仿真表明,基于网络流量的分布式分析推理能很好的完成主要的和基本的网络管理任务。如处于不安全状态的网络设备、垃圾邮件过滤、网络性能下降诱因检测等。
AAC的分布式网络监控策略流程:网络单元转发有关网络流量信息的报告给专门进行信息分析和推理的中心服务器;中心服务器根据网络流量报告进行分析和推理,如发现网络信息泄漏相关的信息,则发送警告信息给系统。
传统的监控系统也是基于各个主机的网络行为、性能等进行推理并发起警告信息的。但是,传统的监控系统遗漏了网络设备之间的联系行为的信息,而这些信息恰恰放映出大量不同类型的网络安全问题。AAC通过分布式网络监控策略可有效避免这些隐患,达到防御大量的网络攻击。
3.3 一种基于可编程交换机的动态规范制定策略
不同于传统的内部网络防漏系统完全弱化了对低层流量控制的监控,AAC允许交换机基于不同的输入信息动态地映射客户。警报系统为了控制流量,首先会发送信息给系统控制器,紧接着,通过标准的、基于OpenFlow的交换机接口系统控制器控制交换机的行为以控制流量。
通过分布式的推理的警告系统与可编程交换机的结合和通过可以处理系统中网络设备状态和安全类差别性流量的网络设备,AAC实现了动态的访问控制。相对于传统的人工网络配置方式常常会导致映射在一个虚拟局域网中的网络设备数目过载,和导致大量的人工操作的干预,AAC能够避免这些问题。
4 自适应访问控制策略的错误鉴别和分析
框架由两个相互连接的模型组成:鉴别模型和错误分析模型。通过一个高层策略规范语言,鉴别模型先对内部网络的全局安全策略进行建模;接下来,从对应策略的分布式ACL执行中,抽取一个执行模型(MI);最后,利用精简为boolean函数的策略模型(Mp)来鉴别ACL执行模型。并利用quaffle QBF解析器检测如下公式是否满足:
错误分析模型基于底层网络拓扑分析一个正确的ACL执行(从鉴别模型中抽取的),并找到该ACL执行在满足全局策略的情况下,能够容忍的最大网络链接数目。
一个策略规范语言,也就是ESPSL(Extended Security Policy Specification)被给出以用于对策略规范建模。利用一个完整有序的规则集,策略规则之间的冲突被去除。这个无冲突的策略规范表示规则模型Mp。执行模型MI 从网络策略规范对应的分布式ACL执行中抽取。MI 包含一组分布在不同网络接口的ACL规则。出于鉴别的目的,规则冲突和拓扑依赖信息从ACL规则中删除。在鉴别过程中,Mp和 MI 被简化为boolean模型。这要求规则部件和它们之间的关系被简化为boolean函数。潜在访问路径可以通过一组谓词逻辑来表示。
在boolean模型简化之后,通过两个模型的异或(也就是
),一个QSAT查询被公式化表示,并符合QDIMACS CNF标准。最后,鉴别模块利用quaffle QBF SAT解析器,解析QSAT查询F的满意度。QBF SAT解析器的输出(SAT/UNSAT)表示对于全局安全策略执行的正确/不正确。对于给出的鉴别问题,SAT的结果提示ACL的执行与策略规范不相符。这样,鉴别模块可有助于系统去查找和修改ACL的执行。
错误分析模块获得一个正确的ACL执行模型(ACL规则在网络接口中的正确分布)和底层网络拓扑,并找到网络允许的最大链接失效数目。错误分析模块源于网络拓扑的建模和用于网络访问图形模型的ACL规则。根据考虑了与图形边界相联系的“permit/deny”ACL规则的网络服务,错误分析模块从服务流图形(service flow graphs, Gs)中产生。然后,模块对每个服务流图形,(Gs),找到可裁剪的最小边数目Ts。最后,找到在当前网络情况下,正确ACL执行所对应的错误容忍值min(Ts)。
安全策略执行的错误分析:
错误分析模型的一个前提是符合全局策略规范的正确的ALC执行。从鉴别模块中可以获得正确的ACL执行。首先,基于网络访问模型,网络拓扑和对应正确的ACL执行的ACL规则分布被表示。网络访问模型被定义为一个三元组
N=
其中: D是一组有限的网络设备。网络设备D能分为两类: DR表示一组有限的网络路由器,DE表示网络设备终端。
I表示网络设备之间的有限网络接口,对于每对网络设备D1和D2之间的物理接口,都有一对通道,即I12= 和I21=。网络接口I能分为两类: IE 表示一组DR和DE之间的接口;IR DE表示DR之间的接口。
F表示分配给图形的每个边的一组有限ACL规则。
因为对于一条链接,ACL规则是双向有效的,假设集合I对于每条链接,包含两个成员,和;R是一组路由器和网络区间;集合I包含路由器和网络区间之间的接口连接。
基于网络访问模型(N=),服务流图形被表示为Gs,其中,,且F(IS).action = “permit”。
只有服务访问被允许的边才能被加入到Gs中。通过从N 中删除一些不合格的边,产生Gs。这些被删除的边都与服务S的“deny”规则相联系。为了保持Gs的连接性,未连接的节点(D的子集)会被删除。
5 实验
通过一个具体的校园网应用本文设计的AAC方法,AAC利用分布式的推理技术(如SNARE、BotMiner等)持续地进行网络设备扫描,并在必要时候,进行隔离安全防疫。很好的解决了安全状态的转换和数据流的管理。相对于传统的网络访问控制方法,校园的安全性和访问速度得到了很大的提高,杜绝了校园内信息泄露和服务器信息恶意攥改的事情发生。
6 总结
本文提到的AAC网路信息防泄漏的设计方法,体现了“事前防范、事中控制、事后审计”的思想。从信息载体和信息流转途径进行防泄漏的整体考虑,在信息的整个生命周期进行有效的管理控制,杜绝信息泄漏的可能。
参考文献:
[1] 徐琼. 内网安全访问控制中进程访问控制的设计与实现.西安电子科技大学, 2008
[2] 封富君,李俊山.新型网络环境下的访问控制技术.软件学报, 2007 (04)
[3] 郭玮,茅兵,谢立.强制访问控制MAC的设计及实现.计算机应用与软件, 2004 (03)
[4] 王宇,吴忠望,卢昱.信息网络安全控制.计算机工程与设计,2005 (12)
作者简介:
徐中球(1974-),男(汉族[0]),湖南省长沙市人,湖南涉外经济学院工程师,硕士,主要研究方向为数据库和软件开发技术,嵌入式技术。