一種新的高效主機監控審計系統

（北京郵電大學 信息安全中心， 北京 100876）

摘 要：主機監控系統是針對于防止內部攻擊的一套安全系統，綜合利用密碼、訪問控制和審計跟蹤等技術手段，對數據信息的存儲、傳播和處理過程實施安全保護，可提高系統內部的安全性。

關鍵詞：網絡安全； 主機監控； 審計

中圖法分類號：TP393．08文獻標識碼：A

文章編號：1001-3695(2006)08-0097-03



Design of New High Efficiency Computer Monitoring and Control Audit System



LI Chao， YANG Yi xian， NIU Xin xin

(Information Security Center， Beijing University of Posts Telecommunications， Beijing 100876， China)

Abstract:In this paper， the computer monitoring and control system is proposed to withstand inner attack actions. Protect the storage， broadcasting and processing of data by making good use of cipher， access control， audit and track. The simulation shows that the security performance for the system to defend inner attack actions has obtained a significant improvement.

Key words:Network Security; Computer Monitoring and Control; Audit

防火墻、入侵檢測、內外網隔離以及其他針對外部網絡的訪問控制系統難以解決內部的網絡安全問題。內部人員可以輕松地將計算機中的機密信息通過網絡或移動存儲設備泄露出去，而且不會留下任何痕跡。這些使得失泄密事件頻頻發生，機密文件、敏感信息、重要數據、設計圖紙、配方、軟件源代碼等通過不同的途徑、方法和手段流失到敵人、競爭對手和無關人員手中，給國家、企業造成了重大損失[1]。

主機監控系統正是為解決這一難題而提出的，是大型企業、涉密單位的信息保密管理系統。



1系統概述

主機監控系統是綜合利用密碼、訪問控制和審計跟蹤等技術手段，對涉密信息、重要業務數據和技術專利等敏感信息的存儲、傳播和處理過程實施安全保護的軟件系統，能最大限度地防止敏感信息的泄漏、被破壞和違規外傳，并完整記錄涉及敏感信息的操作日志以便事后審計和追究泄密責任。

目前，個人計算機系統成為組成企業、單位網絡的主體，也是絕大多數泄密事件發生的源頭。針對這一現狀，主機監控系統將保護對象定位于個人計算機系統，主要功能是防止個人桌面系統的信息泄漏，同時對個人桌面系統的軟硬件資源實施安全管理，并對個人桌面系統的工作狀況進行監控和審計[2]。

2系統結構及功能設計

2．1系統結構

主機監控系統架構采用C/S（客戶端/服務器）和B/S（瀏覽器/服務器）相結合的結構，實現集中式的管理、分布式的防護。客戶端和服務器采用C/S的結構，而服務器和控制臺使用B/S的結構[3，4]。其結構圖如圖1所示。

服務器端軟件主要負責收集并存儲每個受監控主機的消息，并以報警的形式通過控制臺報告管理員發生在受保護系統中的違規行為。

監控臺為系統管理員提供了管理、配置整個系統，監控整個系統運行狀態，查看系統審計數據及分析結果的友好人機交互界面。因為管理控制界面都是基于Web的用戶界面，所以控制臺只需要一臺安裝有瀏覽器的PC機即可。為了安全起見，控制臺與服務器端的網絡通信采用SSL的安全機制，因此瀏覽器需要支持SSL配置。

客戶端代理安裝于受監控主機上，用于監控和防止系統的任何重要數據泄漏。本地用戶不能自行卸載、關閉監控程序，只有接收到控制臺的卸載指令才能卸載。系統為客戶端內部安全均設定了各自不同的安全策略，并且會自動運行。客戶端并沒有中止的功能。在安裝過后用戶是不能刪除或者中止該程序的。所有用戶均受到控制臺指定安全策略的控制[5]。服務器、控制臺與客戶端之間的詳細結構關系如圖2所示。

2．2功能模塊

2．2．1客戶代理端程序

（1）信息失泄密防護模塊

信息失泄密防護是主機監控系統的重要功能之一。個人計算機系統信息外傳的途徑就是可能的泄密途徑，主要有網絡傳輸、移動存儲帶出和打印到紙介質文稿三種情況。系統針對這三種泄密途徑進行了全面的防護，可以根據實際情況選擇啟用或禁用，同時還可記錄日志以備事后追蹤。

除了針對以上三種泄密途徑作出了全面防護之外，主機監控系統還針對可能造成泄密的外設接口提供了啟用和禁用主機上外設接口的功能，作為實施失泄密防護的在硬件層次上的輔助手段。

①網絡通信方式信息泄漏防護。網絡通信方式信息泄漏防護是失泄密防護的重點之一，分別在網絡層和應用層進行訪問控制，提高了網絡通信方式信息泄漏防護的可靠性和靈活性。網絡信息泄漏防護中，系統將自動備份通過網絡通信方式帶出的文件信息，全文加密存放到服務器上并在日志中記錄該文件在服務器上的存放路徑。

②存儲介質信息泄漏防護。通過移動存儲介質帶出文件是主要的信息泄漏途徑之一，因此存儲媒體、介質信息泄漏防護也是主機監控系統的重要功能模塊。存儲媒體、介質防護包括軟盤存儲器防護，可移動存儲器防護，DVD/CD ROM防護和打印機打印防護。其中可移動存儲器包括USB接口的所有可移動存儲設備，包括U盤、移動硬盤等。

③外設接口信息泄漏防護。USB接口、SCSI接口、串行總線、并行總線、PCMCIA接口、紅外接口、軟盤控制器、DVD/CD ROM 驅動器等外設接口也是信息泄漏的途徑。因此外設接口信息泄漏防護也是失泄密防護的輔助手段，從硬件層次阻斷信息泄漏的途徑是十分重要的。對外設接口的控制不等同于對存儲介質的控制。例如，禁止USB 接口和禁止USB 硬盤不同，前者禁止的不只是U盤，還包括USB鼠標、USB鍵盤等，后者禁止的只是U盤。

（2）系統資源管理和用戶監控模塊

客戶端用戶成功安裝以后收集客戶端主機信息并上傳至服務器作為初始資源信息備份。在控制臺可以查看在線主機的系統資源信息，并且能隨時刷新重新獲取系統信息快照。完整的系統資源管理信息包括：操作系統信息、主機硬件信息、操作系統的所有用戶和組的信息、系統當前運行的進程、系統服務信息、網絡連接信息、文件夾共享信息等。

客戶端代理不僅可以獲取用戶系統資源信息，還可以監控系統的某些資源。其中包括系統進程、系統服務、文件的創建、重命名、拷貝和刪除等操作。

（3）系統運行監控黑匣子模塊

主機監控系統客戶端記錄所有日志，包括客戶端工作狀態日志和系統監測的工作日志，但是并不實時地上傳至服務器，而是存放在本地的文件中，這個文件就叫做“黑匣子”。假如發生泄密事件，可以從服務端控制臺導入泄密主機“黑匣子”，并分析黑匣子日志，以追究泄密責任。

（4）擴展身份認證模塊

可設置是否接管客戶端代理的Windows登錄身份認證，如果不接管，則直接使用Windows用戶名和口令登錄系統；一旦接管，則登錄系統時需要通過USBKey或生物識別認證后方可進入操作系統。另外在控制臺端，必須通過USBKey或生物識別認證進行登錄，保證管理員身份的合法性，進而保證了系統安全性。

2．2．2服務器端程序

（1）網絡偵聽模塊

網絡偵聽模塊是服務端的一個檢測工具，通過主動巡邏網絡的方式得到網絡內主機的相關信息，經過濾分析篩選出非法接入網絡的主機，并收集所有客戶端發送的管理監控信息存入系統數據庫，同時負責把控制臺下達的指令下發給每個代理。

（2）數據管理模塊

為確保系統服務器的良好運行，不使服務器因耗盡資源而死機，需要定期對服務器數據（包括數據庫中的日志和服務器文件系統中的備份文件）進行備份。如果服務器一旦出現故障，可以由副本重新創建和還原系統數據庫。

（3）系統自動升級模塊

從系統的長期維護考慮，需要對系統進行升級，服務端給每個客戶端代理發送最新的升級包，實現自動升級，這樣就可以大大方便用戶的使用。

2．2．3控制臺部分程序

（1）系統配置管理模塊

管理員在控制臺端管理配置系統中所有安裝的代理程序，制定并下發代理程序的各種配置文件、監控和審計規則等。同時各種報警信息也會同時顯示在控制臺界面上提醒管理員進行相應的措施。

（2）數據審計模塊[6]

以系統數據庫作為數據源形成不同內容和不同形式的各類報表。對所有受控主機的工作進行審計，包括運行狀況、網內用戶通信、系統資源管理、信息泄漏等。使用監督審計的手段及時發現隱患和安全違規行為，能夠及時報警，使得整個系統的安全能夠有效地得到保障。

3系統特點

3．1科學的體系架構

系統架構采用C/S與B/S相結合的結構，實現集中式的管理、分布式的防護。用戶可以自定義安全工作域結構，以適合大多數組織的管理體系結構。系統可管理主機數目大、效率高、策略周全，能將個人桌面系統全部納入管理范疇。整個系統采用了模塊化設計，不同的模塊實現獨立的功能，便于系統功能的調整和升級。

3．2嚴密的內部安全防護體系

系統從失泄密防護、文件安全服務、運行狀況監控、系統資源管理、擴展身份認證等五個方面保障組織內部安全，最大限度地防止敏感信息的泄漏、被破壞和違規外傳，并完整記錄涉及敏感信息的操作日志以便事后審計和追究泄密責任。

（1）靈活、完備的策略機制

策略即主機監控系統客戶端對主機控制制定的規則集合。策略的修改、添加、刪除、發布均由控制臺實施，通過服務器下發至客戶端。一個客戶端可以有多套安全策略，系統客戶端代理的所有策略按到期時間排序，在策略有效時間內客戶端按照該策略對主機實施控制。這樣，系統可以在不同的時間段執行不同的策略。

（2）安全的網絡通信機制

為了提高系統的安全性，保證監測信息的保密性，服務器—客戶端、服務器—控制臺之間采用SSL加密通信，同時控制臺登錄需要進行身份認證，防止非法登錄系統。

（3）強大的自我防護能力

客戶端用戶不能在本地刪除客戶端代理程序，該程序由系統自動啟動，用戶無法自行中止，保證受管理主機時刻處于有效被監控狀態之中。

（4）獨特的黑匣子記錄儀

主機監控系統引入了系統運行狀況監控黑匣子的概念。如果發生泄密事件，可以導入泄密客戶端主機所攜帶的“黑匣子”文件進行分析以追查泄密的過程和追究泄密者的責任。

3．3豐富強大的審計功能

系統采用關系數據庫對各種渠道獲得的審計數據進行統一集中管理，提供用戶對歷史審計數據進行查詢、瀏覽、刪除、轉存和報表制作等操作。由于數據采用數據庫方式存儲，所以也支持用戶在數據庫存儲的數據基礎上進行二次開發，實現特殊的統計功能。

4總結

本文提出的一種新的主機監控系統，綜合利用密碼、訪問控制和審計跟蹤等技術手段，對涉密信息、重要業務數據和技術專利等敏感信息的存儲、傳播和處理過程實施安全保護，最大限度地防止敏感信息的泄漏、被破壞和違規外傳，并完整記錄涉及敏感信息的操作日志以便事后審計和追究泄密者的責任，大大提高了網絡系統的內部安全。

參考文獻：

[1]張華，劉玉莎，陳福民.構筑安全的內部網[J].計算機應用研究，1999，16(9):29-33.

[2]張超，王錦田.Internet/Intranet系統上的安全技術及安全性建設原則[J].計算機應用與軟件，1999，16(6):1-7.

[3]葉允明，林宏基.基于Web的遠程監控系統的一種新方案[J]. 福州大學學報（自然科學版），2001，29(3):40-43.

[4]趙龍，況曉輝，趙輝.高效防火墻系統體系結構研究[J].計算機工程，2000，26(1):12 13.

[5]張磊，卿斯漢.一個基于Agent的防火墻系統的設計與實現[J]. 軟件學報，2000，11(5):642-645.

[6]陳妍，李增智，廖志剛，等.一種基于主動網絡的入侵檢測系統ANIDS[J]. 計算機工程，2005，31(2):133-134.

作者簡介：李超（1979-），男，山東金鄉人，博士研究生，主要研究方向為信息安全、生物識別；楊義先(1961-)，男，四川鹽亭人，教授，博導，博士，主要研究方向為信息安全、編碼密碼學、應用數學等；鈕心忻(1963-)，女，北京人，教授，博導，博士，主要研究方向為信息偽裝與數字水印、網絡信息安全、數字信號處理、軟件無線電等。

注：本文中所涉及到的圖表、注解、公式等內容請以PDF格式閱讀原文。