基于主動網(wǎng)絡(luò)的軍事化安全防護體系研究＊

游 彬 韋 偉 劉曉然 崔金生

（海軍指揮學(xué)院信息戰(zhàn)研究系 南京 211800）

1 引言

目前，隨著信息化技術(shù)的發(fā)展，信息系統(tǒng)已經(jīng)成為不可或缺的基礎(chǔ)設(shè)施，并廣泛應(yīng)用于社會生活中。信息系統(tǒng)的廣泛應(yīng)用使得它面臨的安全威脅也日益增多。

根據(jù)加強信息安全保障工作的總體要求和“積極防御，綜合防范”的信息安全保障技術(shù)框架［1］，應(yīng)該通過靈活部署物理、邏輯隔離形成安全防范措施，使得高風(fēng)險節(jié)點的信息安全風(fēng)險不至于蔓延。

我軍信息化建設(shè)步伐不斷加快，計算機網(wǎng)絡(luò)技術(shù)在部隊的應(yīng)用也日趨廣泛。從整體情況看，我軍的網(wǎng)絡(luò)信息安全還存在一些問題，網(wǎng)絡(luò)安全工作滯后于網(wǎng)絡(luò)建設(shè)［2］。針對現(xiàn)階段軍隊網(wǎng)絡(luò)安全存在的問題，應(yīng)在把握我軍計算機網(wǎng)絡(luò)安全的建設(shè)和發(fā)展以及未來戰(zhàn)爭形態(tài)的基礎(chǔ)上提出相應(yīng)的解決對策，以獲得更強的戰(zhàn)場動態(tài)適應(yīng)能力、戰(zhàn)場信息采集和處理能力、戰(zhàn)場決策和指揮能力［3］。

2 各種安全防護體系

1）一般應(yīng)用系統(tǒng)的安全保護框架

落實到具體的應(yīng)用系統(tǒng)上，應(yīng)根據(jù)系統(tǒng)自身的特點，增強安全防護框架的針對性與可實施性。文獻［4］從目前普遍使用的網(wǎng)站應(yīng)用系統(tǒng)入手，通過分析系統(tǒng)實際的工作流程，提出了一個基于三層防護體系的安全保護框架。如圖1所示。

該安全保護框架所構(gòu)建的是在安全管理中心基礎(chǔ)上的三重防護體系，使得來自內(nèi)部攻擊行為發(fā)生的可能性與來自外部攻擊行為的有效性大為降低［4］。

一般信息系統(tǒng)安全防護模型，是在評估與分析系統(tǒng)安全風(fēng)險因素的基礎(chǔ)上，制定安全策略，采取安全技術(shù)對系統(tǒng)實施安全防護和實時監(jiān)控，使系統(tǒng)具有快速的響應(yīng)與恢復(fù)能力，并能夠根據(jù)日志記錄動態(tài)調(diào)整安全策略的系統(tǒng)安全體系［5］。

圖1 典型網(wǎng)站應(yīng)用系統(tǒng)的安全保護框架體系結(jié)構(gòu)圖［4］

2）信息安全廠商提出的安全防護系統(tǒng)

（1）賽門鐵克公司的主動式安全防護體系

賽門鐵克公司認為目前絕大多數(shù)安全產(chǎn)品均基于響應(yīng)式安全防護模型［6］—基于特定威脅的特征。而賽門鐵克公司則采用主動式安全防護模型：以識別和阻擋未知威脅為主導(dǎo)思想，包括早期預(yù)警技術(shù)、有效的補丁管理、主動識別和阻擋技術(shù)。

（2）北京中軟華泰公司的安全防護體系

HuaTech安全防護系統(tǒng)由服務(wù)器加固模塊、終端安全保護模塊、應(yīng)用安全增強模塊和安全管理中心模塊四個組成部分。如圖2所示。

圖2 HuaTech應(yīng)用安全防護系統(tǒng)整體架構(gòu)圖

中軟華泰公司推出的HuaTech應(yīng)用安全防護系統(tǒng)為整個應(yīng)用系統(tǒng)提供安全服務(wù)的基礎(chǔ)性平臺，包括數(shù)據(jù)機密性、完整性、真實性、可用性和不可抵賴性在內(nèi)的安全服務(wù)［7］。

3 基于主動網(wǎng)絡(luò)的軍事化安全防護體系

信息系統(tǒng)的安全建設(shè)是一項系統(tǒng)化的工程，是一個動態(tài)的過程，是一個生命周期的循環(huán)過程，必須依據(jù)系統(tǒng)的實際需求綜合考慮，建立以安全管理中心為核心的安全防護體系，實施多層次的安全防護措施。因此面向軍事化的安全防護體系應(yīng)具有以下特點：

1）層次性。在技術(shù)層次上，以安全管理為核心，通過靈活部署物理、邏輯隔離，實現(xiàn)安全防護的層次結(jié)構(gòu)，以便于多層次安全防護措施的實施，將各層可能出現(xiàn)的威脅局限在本層次內(nèi)。在軍事信息化環(huán)境下，應(yīng)該以軍事化管理為核心，各指揮層次各司其職，協(xié)同作戰(zhàn)完成戰(zhàn)斗任務(wù)。

2）集成性。從技術(shù)方面看，安全防護設(shè)備采用適度的集成性是合理的，不僅能大幅度減小安全防護工作的復(fù)雜性和成本，而且能去除一些重復(fù)的、瑣碎的工作。從作戰(zhàn)角度看，為滿足諸軍種兵種聯(lián)合作戰(zhàn)任務(wù)，應(yīng)利用綜合集成方法和技術(shù)將多種電子信息系統(tǒng)整合為一個有機的大型軍事信息系統(tǒng)，由協(xié)同性聯(lián)合作戰(zhàn)向一體化聯(lián)合作戰(zhàn)發(fā)展，已成為各國由機械化戰(zhàn)爭向信息化戰(zhàn)爭發(fā)展的必然選擇［8］。

3）可靠性。國內(nèi)缺乏自主的計算機軟、硬件核心技術(shù)，因此必須采用可信計算和主動網(wǎng)絡(luò)的自主性解決底層的信任鏈問題。戰(zhàn)爭環(huán)境下還應(yīng)要求信息設(shè)備的運行可靠性，即保證網(wǎng)絡(luò)節(jié)點能夠有效防范病毒和黑客的攻擊，而且在發(fā)生自然災(zāi)難或遭到硬摧毀時仍能不間斷運行，因此應(yīng)該具有病毒防治、容災(zāi)抗毀和備份恢復(fù)能力［9］。

4）主動性。Internet的應(yīng)用豐富多彩，但是應(yīng)用于信息化戰(zhàn)爭，傳統(tǒng)的應(yīng)用要適應(yīng)瞬息萬變的戰(zhàn)場環(huán)境是很乏力的。主動網(wǎng)絡(luò)的靈活性能充分體現(xiàn)安全防護體系的動態(tài)過程。

目前面向服務(wù)的安全體系結(jié)構(gòu)是研究的熱點［8］，使安全體系結(jié)構(gòu)的定義方法發(fā)生很大變化，目前大多數(shù)安全解決方案都是假設(shè)服務(wù)器和客戶機在同一個物理網(wǎng)絡(luò)（如本地LAN）或邏輯網(wǎng)絡(luò)（如VPN）內(nèi)，這種解決辦法通常依靠安全邊界，譬如DMZ（非軍事區(qū)）、防火墻以及入侵監(jiān)測來阻止安全威脅［5］。一個可能的安全體系架構(gòu)圖如圖3所示。

圖3 面向服務(wù)的安全防護體系架構(gòu)圖［5］

利用防火墻將網(wǎng)絡(luò)分為三部分：內(nèi)部網(wǎng)（Intranet）、外部網(wǎng)（Internet）、DMZ（Demilitarized Zone）。這種三網(wǎng)分離的架構(gòu)使安全邊界分明，安全措施明確，能更好地保護內(nèi)部網(wǎng)絡(luò)，監(jiān)測外來攻擊［5］。

3.1 構(gòu)建主動網(wǎng)絡(luò)

1994年，美國國防部高級研究計劃署（DARPA）在有關(guān)未來網(wǎng)絡(luò)發(fā)展方向的研討會上，提出了主動網(wǎng)絡(luò)（Active Network）體系結(jié)構(gòu)，如圖4所示。這一新的網(wǎng)絡(luò)體系結(jié)構(gòu)主要是為了解決現(xiàn)有體系結(jié)構(gòu)在集成新技術(shù)，擴展新應(yīng)用時的乏力。

圖4 主動節(jié)點的體系結(jié)構(gòu)

主動網(wǎng)絡(luò)雖然沿用了存儲—轉(zhuǎn)發(fā)的結(jié)構(gòu)，但是網(wǎng)絡(luò)節(jié)點上的路由器或交換機對流經(jīng)它的分組可以進行定制處理。這種定制處理并非傳統(tǒng)分組交換網(wǎng)絡(luò)中路由器或交換機進行的簡單處理（對分組頭的修改或?qū)擞浀男薷牡龋Ｖ鲃泳W(wǎng)絡(luò)中的分組可以攜帶程序代碼，并由網(wǎng)絡(luò)內(nèi)的節(jié)點在自己的運行環(huán)境內(nèi)執(zhí)行，從而改變網(wǎng)絡(luò)的行為和狀態(tài)。主動網(wǎng)絡(luò)通過節(jié)點的計算能力抽象高層協(xié)議，省去了為新應(yīng)用制定標準的過程，新協(xié)議的應(yīng)用等價于網(wǎng)絡(luò)分組中新應(yīng)用程序的開發(fā)［11］。

主動網(wǎng)絡(luò)由一些主動節(jié)點組成，傳統(tǒng)的節(jié)點也能在主動網(wǎng)絡(luò)中工作。主動節(jié)點上運行著節(jié)點操作系統(tǒng)（Node OS）和一個或多個執(zhí)行環(huán)境EE（Execution Environment），從AA（Active Application）獲得業(yè)務(wù)后由EE執(zhí)行，Node OS屏蔽資源管理細節(jié)和不同EE間的影響。安全執(zhí)行環(huán)境（Security Enforcement Engine）完成校驗和授權(quán)功能，管理執(zhí)行環(huán)境（Management Execution Environment）完成管理、配置策略等功能，包括維護安全策略數(shù)據(jù)庫，載入、更新、配置EE等。

為了充分利用主動網(wǎng)絡(luò)的靈活性和自主性，可以在主動節(jié)點的體系結(jié)構(gòu)的主動應(yīng)用層AA中加入軍事應(yīng)用；執(zhí)行環(huán)境層EE采用安全性高的IPv6和Java等執(zhí)行環(huán)境；理論上操作系統(tǒng)層（Node OS）應(yīng)采用定制的安全操作系統(tǒng)，底層的硬件設(shè)備則采用國內(nèi)的信任度高的可信計算產(chǎn)品。因此應(yīng)用于軍事網(wǎng)絡(luò)的主動節(jié)點的體系結(jié)構(gòu)應(yīng)如圖5所示。圖中簡化了各層間的相互關(guān)系，關(guān)鍵是加入自定義的軍事應(yīng)用和數(shù)據(jù)庫。

圖5 應(yīng)用于軍事網(wǎng)絡(luò)的主動節(jié)點

3.2 構(gòu)建安全防護體系模型

為了有效實施軍事化環(huán)境下的安全防護工作，本文提出了一個以軍事管理中心為前提，在安全策略指導(dǎo)下的，基于物理安全、人員和技術(shù)管理，以主動網(wǎng)絡(luò)技術(shù)為核心、綜合運用各種信息安全技術(shù)進行動態(tài)防護及保障的多層次的、動態(tài)的、有反饋的安全防護體系。如圖6所示。

圖6 軍事化安全防護體系

在網(wǎng)絡(luò)中部署一些主動節(jié)點，用于維護策略數(shù)據(jù)庫和軍事數(shù)據(jù)庫，以及添加和執(zhí)行自定義的軍事應(yīng)用程序，從而實現(xiàn)“管理—執(zhí)行—管理”的動態(tài)過程，提高了完成任務(wù)的靈活性。自定義的軍事應(yīng)用在主動網(wǎng)絡(luò)節(jié)點中體現(xiàn)，將其與一般的信息安全技術(shù)區(qū)分開是必要的，由各部門分別完成而不至于相互干擾。動態(tài)防護技術(shù)可以引入UTM設(shè)備（Unified Threat Management，統(tǒng)一威脅管理）。2004年，IDC（Internet Data Center），即互聯(lián)網(wǎng)數(shù)據(jù)中心，首度提出將防病毒、入侵檢測和防火墻安全設(shè)備整合。UTM設(shè)備具備的基本功能包括網(wǎng)絡(luò)防火墻、網(wǎng)絡(luò)入侵檢測／防御和網(wǎng)關(guān)防病毒功能。采用適度的集成設(shè)備降低安全防護工作的復(fù)雜性。

4 結(jié)語

本方案依據(jù)系統(tǒng)的實際需求綜合考慮，建立以安全管理中心為核心的安全防護體系，實施多層次的安全防護措施，完善人員與安全技術(shù)的管理，從而降低來自內(nèi)部攻擊行為發(fā)生的可能性與來自外部攻擊行為的有效性。由于依賴主動網(wǎng)絡(luò)節(jié)點的技術(shù)，因此主動網(wǎng)絡(luò)自身的安全性與性能將會影響到整個體系，而主動網(wǎng)絡(luò)安全性與性能的研究是現(xiàn)在的熱點。研究主動網(wǎng)絡(luò)的安全性與原型將是下一步的研究工作。

［1］沈昌祥.基于可信平臺構(gòu)筑積極防御的信息安全保障框架［J］.信息安全與通信保密，2004（9）：17～18

［2］趙昌倫，武波.基于.NET的軍隊計算機網(wǎng)絡(luò)信息安全對策［J］.計算機技術(shù)與發(fā)展，2009，19（1）：150

［3］趙曄，雷英杰.軍事應(yīng)用網(wǎng)格（MAGrid）體系結(jié)構(gòu)研究［J］.計算機技術(shù)與發(fā)展，2006，16（1）：93

［4］龔雷，趙勇，韓培勝，等.典型應(yīng)用系統(tǒng)安全保護框架研究［J］.計算機工程與應(yīng)用，2010，46（28）：90～93

［5］葉明芷.信息系統(tǒng)安全防護體系研究［J］.北京聯(lián)合大學(xué)學(xué)報，2004，18（2）：47～51

［6］http：／／www.symantec.com［EB／OL］.北京華為賽門鐵克

［7］http：／／www.huatechsec.com.cn［EB／OL］.北京中軟華泰

［8］童志鵬，劉興.綜合電子信息系統(tǒng)［M］.第2版.北京：國防工業(yè)出版社，2010：1～106

［9］李少波，謝慶生.基于ASP的信息安全管理機制的研究［J］.計算機工程與應(yīng)用，2005，22：215～217

［10］彭珺，高珺.計算機網(wǎng)絡(luò)信息安全及防護策略研究［J］.計算機與數(shù)字工程，2011，39（1）

［11］任豐源，任勇，山秀明.主動網(wǎng)絡(luò)的研究與進展［J］.軟件學(xué)報，2001，12（11）：1614～1620