导航：安全管理网>> 安全论文>> 电力安全论文>>正文

基于PKI的网络边界安全监控方法

文档作者：邹翔，姻播，王福文档来源：公安部第三研究所信息网络安全公安部重点实验室国家反计算机入侵与防病毒研究中心		点击数：	更新时间： 2024年06月12日
下载地址：点击这里	文件大小： 235.15 KB 共3页	文档格式： PDF	下载点数： 1 点（VIP免费）

全屏查看

内容预览 [文件共3页]

本文件共3页，如需编辑使用，请下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：235.15 KB 共3页文件格式：PDF 下载点数：1 点（VIP会员免费）

下一篇：公共安全视频监控建设应用指南

上一篇：基于RFID技术的生猪安全监控平台设计

文本预览

仅提取页面文字内容，供快速阅读使用。

第36卷第13期计算机工程2010年7月
VoL36 No．13 Computer Engineering July 2010
·安全技术· 文章编号；Iooo_-3428(20lo)13__0140一_03 文献标识码。A 中田分类号t TP393．08
基于PKI的网络边界安全监控方法
邹翔，姻播，王福
(公安部第三研究所信息网络安全公安部重点实验室国家反计算机入侵与防病毒研究中心，上海200031)
摘蔓：针对网络边界安全防御的需求和特点，提出一种基于PKI技术的网络边界安全监控方法。该方法结合基于PKI的身份认证机制、
入侵检测技术与VPN技术，通过对网络流最和系统日志的关联分析，能够在实时发现入侵行为的同时，准确定位入侵来源并实时阻断攻
击，相比通用的特征检测和异常检测方法具有更强的准确性和可用性。
关t词：网络边界；安全监控；入侵检测；公钥基础设施
Network Border Security Monitor Method Based 0n PKI
ZoU Xiang,LIU Hao．WANG Fu
(National Research Center for Anti—Computer Invasion and Vh'us Prevention，Key Laboratory for Information and Network Security ofMinistry of
Public Security,the 111ird Research lastimte of Miniswy of Public Security,Shanghai 20003 1)
[Abstractl This paper芦oposes a network border security monitor method based on Public Key Infrastructure(PKI)according to the requirement
and characteristic of network border security protection．The technique combines identity authentication mechanism based on PIG，intrusion
detection technology and VPN technology．It Can accurately locate the origin of intrusion and prevent anacks soon after real·time detection of
intrusion behaviors via association analysis ofnetwork traffic and system log．As a result,it has higher accuracy and usability than genefal signature
detection and abnormal detection technique．
[Key words]network border；security monitor；intrusion detection；Public Key Infi'aslructure(PKl)
1概述
随着信息化的深入发展，不同网络间互联互通、远程访
问内部网络的需求日趋迫切，这屿需求对网络边界的安全监
控能力提出了更高要求。入侵检测技术能够帮助系统对付网
络攻击，保护系统的完整性和可用性，提高对系统的安全监
控能力。但该技术也存在着误报率或漏报率偏高、事件定位
与责任认定困难等问题。
本文提出了一种基于PKI技术的网络边界安全监控方
法。该方法结合多种安全技术手段，通过对网络流量和系统
日志的关联分析，能够在实时发现入侵行为的同时，准确定
位入侵来源并实时阻断攻击，误报与漏报情况也得到了有效
降低。
2相关工作
2．1 PKI技术
公钥基础设施(Public Key Infrastructure，PKI)是用来创
建、管理、存储、发布和回收数字证书硬件、软件、人、策
略和过程的集合111。PKI可以以硬件或软件形式发放数字证
书，由于智能卡所携带的微趔芯片可实现存储、加解密、卡
内生成密钥对等功能，因此其成为数字证书存储介质的主要
形式。
2．2入侵检测技术
入侵检测系统(Intrusion Detection System，1DS)通过对入
侵行为过程与特征的研究，使安全系统对入侵事件和入侵过
程能做出实时响应，根据检测方法可分为特征检测和异常检
测2大类。其中，特征检测适用于检测已知入侵行为，但难
以发现未知的入侵行为；异常检测可以检测出未知入侵行为，
却存在误报的可能。文献[2】对已有的IDS进行了研究，指出
w140"--
当前的入侵检测系统不能解决基率谬误(base·rate fallacy)的
问题，即如果实际入侵数比系统的合法使用数低，则误报率
将很高。同时，由于身份欺骗(伪造IP／Mac地址、窃取用户
名／密码)等手段，导致误报率或漏报率的进一步增高，并且
难以进行事件定位与责任认定。
2．3 VPN技术
虚拟专用网(Virtual Private Network，VPN)一般用来建立
公共网络上的逻辑专用安全通道。其中，远程访问内部网络
所使用的安全协议一般为IPSec或SSL等。IPSec和SSL都
支持基于数字证书的双向认证方式(IKE与SSL握手协议)。
3基于PKI的网络边界安全监控
3．1基本思路
首先，建立基于PKI技术的网络基础信任体系，为所有
需要从其他网络访问目标网络的用户颁发智能卡形式的数字
证书，所有用户必须通过基于数字证书的身份认证才能进入
目标网络。接着，系统监控进出目标网络边界的网络流量，
同时接收用户认证数据，将网络流量与认证数据相关联获得
准确的用户访问描述信息。然后，分析用户访问描述信息及
网络流量信息，发现入侵行为。最后，自动实时阻断攻击并
通知管理员。
3．2系统架构
如图l所示，网络边界安全监控系统环境由终端、外部
基金项目：国家“863”计划基金资助项目(2006AA01ZA50，2008A
AOIZAl2)
作者筒介：邹翔(1977--)，男，副研究员、博士，主研方向：信息
网络安全；刘浩，助理研究员、硕士；王福，副研究员、博士
收稿日期：2010-02—10 E-mail：xiangz@mail．trimps．ac．cn
万方数据
网络和目标网络3个部分组成。终端f配备数字证书)位于目
标网络外，可通过外部网络与目标网络建立连接。外部网络
可以是互联网、无线网络等多种形式。目标网络包括认证网
关、安全监控中心(含传感器)、PKI系统、应用系统等部分。
目l 同络边界安全监控系统架糟
认证网关位于目标网络边界，对所有请求进入目标网络
的用户进行基于数字证书的身份认证。
传感器部署在目标网络的关键路径上，如认证网关的目
标网络一侧，监控进出目标网络边界的网络流最、用户认证
数据以及各类设备日志等信息，预处理后发送给安全监控中
心。安全监控中心接收传感器发送的监控信息，实时分析用
户访问描述信息及网络流量信息，发现入侵行为，并实时以
自动或通知管理员手动处理等方式进行事件响应。
PKI系统以离线方式为用户颁发数字证书，并提供证书
发布和查询服务，发布方式可采用轻量级目录访问协议
(LDAP)或在线证书状态协议(ocsP)。
3．3系统工作过程
系统工作过程分为3个阶段：用户认证阶段，信息采集
与预处理阶段，分析与响应阶段。
3．3．1 用户认证阶段
如图2所示，终端发起连接请求后，认证网关首先判断
是否达到所支持的最大并发连接数。如果未达到系统并发连
接数阈值，则终端和认证网关双方开始双向认证过程，认证
协议为IKE或SSL握手协议。
终端认证网关
Y
Y
曩2用户认证藏程
以IKE协议为例，IKE分为2个阶段，第l阶段采用主
模式，包括策略协商、密钥参数交换和身份认证交换(即证书
交换)3个阶段。终端与认证网关进行证书交换，验证证书链，
认证网关可以通过OCSP协议以在线方式查询证书状态，如
果返回结果为证书状态良好并在有效期内，则根据用户身份
分配合适的内部网络IP地址，第l阶段完成。第2阶段采用
快速模式，通过3条消息建立IPSec SA，即建立安全通道，
并生成用户状态表及审计数据。
3．3．2 信息采集与预处理阶段
如图3所示，每次完成用户认证后，认证网关将审计数
据以syslog等方式发送给传感器，数据内容包括证书标识、
登录时间、终端源lP地址、内部网络IP地址等，如{CertlD，
LoginTime，SrcAddr，IntAddr}。当用户离线时，发送{CertlD，
LogoutTime，SrcAddr，IntAddr}。传感器首先收到登录记录，
待收到离线记录时，形成一条完整的日志记录，定义网关审
计数据集AU，集合中每个元素Old舡=l，2，⋯，朋)代表一条用户
登录或完整日志记录(按LoginTime，排序)。
认证网关传感器网络设备
+
[亘亟匦噩]
圈3信息采集与曩处理菠程
同时，网络设备(如交换机、路由器)以端口镜像形式将
网络流量传送给传感器或向传感器发送网络流(netflow)信
息。以netflow为例，报文由一个头标信息、一个或多个信息
流记录构成，如：头标信息{version，count，SysUptime，
unix—SCCS，unix_nsecs}。其中，count为信息流个数；信息流
记录{SrcAddr,DstAddr,dPkts，dOctets，first，last，SrcPort，
DstPort，prot，tos，src—mask，dstmask}。定义网络流集合NF，
集合中每个元素nf,{i=1，2，⋯，疗)代表一条netflow报文(按unix—
seesi排序)，砺中包含的信息流表示为isiAj=1，2，⋯，counO。
定义用户访问描述信息集合IdA，集合中每个元素llar
(／--1，2,．--,m)flj auf与属于对应用户的信息流数据集合组成。
定义异常流量日志集合彳S，集合中每个元素asf(i=l，2，⋯炉)
代表一条异常信息流。
传感器接收数据后，首先进行数据规范化，统一数据格
式，包括将各类日志中的时间值统一。
接着，采用Association过程进行数据关联。
Association过程如下：
输入网关审计数据集AU，网络流集合NF
■出用户访问描述信息集合已■，异常流量日志集合一s
一14l一
万方数据
(1)UA--=AU；
(2)For i=l，2,-．-，n do
(3)Forj=l，2，⋯，m do
(4)Ifunix—secsi

网友评论 more

电力安全论文最新内容

06-16