基于多層分布式結構的企業內網信息安全防護系統設計

葉琴琴

（南京曉莊學院，江蘇 南京 211171）

基于多層分布式結構的企業內網信息安全防護系統設計

葉琴琴

（南京曉莊學院，江蘇 南京 211171）

企業內網的安全保密問題是所有的企業都面臨的一項重大課題.本文設計了基于多層分布式結構的企業內網信息安全防護系統，具有很好的理論價值和實踐意義.

C/S體系；多層分布式；內網信息安全

1 引言

在信息安全領域，關于單位和部門的內網數據安全管理問題一直被國內外眾多研究學者重視，對信息安全關鍵技術進行研究，提出基于企業內網的安全保密體系，從而使企業的信息安全保障能力得到提升，使企業內網的安全保密問題得到解決，更有效的保護信息系統和秘密信息，是所有的企業都面臨的一項重大課題.本文設計了基于多層分布式結構的企業內網信息安全防護系統，并使之適用于目前企業網絡環境.

2 系統設計

2.1 系統整體結構

本文在設計中，采用多層分布式C/S體系結構，借鑒了傳統的入侵檢測、網絡防火墻和C/S模式的監控系統的優點.整個系統由三部分構成，分別是（1）監控控制臺，（2）數據中心服務器，（3）運行于受控機上的監控代理，整體架構如圖1所示：

在圖中，一個數據中心服務器擁有多個監控代理，多個數據中心服務器可以同時被監控控制臺訪問和管理.監控控制臺通過在各受控客戶機中運行的監控代理服務，將受控客戶機的關鍵信息褥狀態、動作等實時給數據中心服務器報告，同時，由監控控制臺的指令由數據中心服務器轉達給監控代理.在這樣的機制之下，一切信息通訊，包括內部網各計算機之間，以及內部網與外部網之間，可以實時地由網絡系統管理員監控，系統還能提供一系列功能的集成，包括報警、統計、跟蹤、審核等.

本文所實現的系統是運行在包括了Windows，Linux等的多平臺下，所以不能適用微軟的技術.CORBA作為工業標準，其顯著優勢在于用戶能有不一樣的CORBA實現，但是其實現的復雜度非常高.ICE借鑒了CORBA的優點，是一種新的分布式實現技術，同時還又避免了它的缺點，具有靈活輕便、使用簡單、功能更強大、可伸縮性更好等優勢，成為本設計的最終選擇.運用ICE通信代理結構模型如圖2所示：

在上圖中，通信代理模塊處理所有通信部分.其通訊的對象在何處各個模塊不用關心.如果一個系統負載比較大，為平衡負載，可以建立多個數據中心程序服務器.既可以在一個子網內分別在不同的機器上運行數據中心，也可以同時存在于多個子網上.這樣的設計模式優勢在于結構更加清晰合理，進一步緩解系統中的數據阻塞.

2.2 系統功能模塊

系統主要功能包括：

（1）對用戶的合法身份進行認證，在用戶登錄過程中實現對其的身份認證；

（2）基于移動磁盤的安全認證，目的是企業內網主機接入移動磁盤過程實現安全認證；

（3）基于移動磁盤的安全控制，目的是控制出入企業內網主機信息流向；

（4）基于網絡訪問的控制，目的是實時監管用戶的網絡行為，防止通過網絡泄漏內網敏感信息；

（5）系統自身的信息安全防護，在企業內，實現基于信息安全防護系統的安全防護；

（6）安全審計功能：目的是全程審計內網用戶操作過程.

圖3所示為系統功能模塊組成.

簡要闡述如下：

（1）企業內網用戶身份認證模塊：對用戶的登錄進行身份認證，利用來自Windows的GINA接口技術；對移動磁盤用戶的合法性進行身份認證，利用驗證口令和數字證書技術，綁定移動磁盤與用戶身份.

（2）企業內網移動磁盤安全認證模塊：認證控制受控計算機上的移動磁盤，采用移動磁盤安全認證技術.基于邏輯分區技術，實現對接入計算機中的移動磁盤進行安全認證、注冊，防止計算機接入非法移動磁盤.

（3）企業內網移動磁盤讀寫控制模塊：安全控制經過移動磁盤安全認證的移動磁盤，采用WDM驅動技術，對移動磁盤進行讀寫控制，根據不同的策略控制移動磁盤權限.

（4）企業內網網絡訪問控制模塊：監控終端用戶的網絡訪問和網絡使用等行，對違反安全策略的網絡行為進行禁止.同時對終端用戶的網絡行為進行記錄，最終形成監控日志，同時將報警信息向管理人員傳輸.

（5）企業內網系統自防護模塊：通過注冊表保護及進程保護等技術實現對代理的安全防護.

（6）企業內網安全審計模塊：從系統用戶的登錄到內網計算機系統開始，一直至用戶關閉計算機系統，安全審計功能為了保留事后的安全事件追查提供依據，對用戶操作過程的全程的安全審計.

2.3 智能監控代理

實時主機資源監控系統是基于智能代理而實現的，代理是實際的執行者，同時也是體系結構中的重要組成部分.圖4所示為整個監控代理的結構:

（1）總控模塊功能：總控模塊在系統剛啟動時，在監控服務器與管控代理取得聯系之前，對一些默認的全局數據結構包括保存在受控終端系統中的策略信息等進行初始化操作.

（2）策略更新模塊功能：自監控服務器的策略更新指令傳送給策略更新模塊，及時更新受控終端的本地控制策略集合.

（3）身份認證模塊功能：身份認證模塊功能是管理終端用戶的身份，防止非法用戶登錄計算機，實現對終端用戶的登錄實施基于身份的控制.

（4）移動磁盤認證模塊功能：終端代理發送的請求傳輸至移動磁盤認證模塊，實施對接入終端的移動磁盤的認證控制，基于邏輯分區，對接入計算機中的移動磁盤進行安全認證和注冊，避免計算機存在非法移動磁盤接入.

（5）移動磁盤控制模塊功能：根據所制的不同的策略，移動磁盤安全控制模塊以包括只讀、只寫和自由三種方式對移動磁盤進行讀寫控制，目的是避免移動磁盤擁有非法權限.

（6）網絡控制模塊功能：網絡訪問控制模塊實施監視與控制功能，控制終端用戶訪問網絡的行為，防止通過網絡泄漏敏感信息.

（7）消息處理模塊功能：消息處理模塊完成了管控代理所需要完成的很多功能，是管控代理的主要組成部分.消息處理模塊主要負責與監控服務器之間的消息交互，同時處理與監控服務器的通信.

（8）安全發送與審計模塊功能：安全審計模塊主要功能是記錄與安全相關的終端用戶操作，并將與安全相關的終端用戶操作給監控服務器提交，以備事后檢查.

（9）報警和消息生成模塊功能：整個模塊的功能實際上可以分為兩部分：報警模塊和消息生成模塊.消息生成模塊的功能是構造管理控制臺和監控服務器需要的消息，報警模塊的功能是對系統中的是否在進程控制策略中規定的合法進程集合中用來檢查.

（10）通信接口模塊功能：通信接口模塊用來對管理控制臺和監控服務器來的消息進行獲取，同時給監控服務器和管理控制臺發送相應的響應消息（消息處理結果）.

2.4 監控服務器

圖5所示為監控服務器的結構組成.

下面簡要介紹監控服務器的功能：

（1）對管理控制臺實施管理：整個系統的核心和通訊樞紐是監控服務器，只有登錄到監控服務器，管理控制臺才能實施對網內所有的計算機上的受控移動磁盤進行控制.各受控計算機上的移動磁盤狀態信息被監控服務器實時地返回給管理控制臺，同時響應管理控制臺發出的指令，從而實現各受控計算機上的移動磁盤被管理控制臺管理和控制.

（2）對受控計算機的磁盤實施管理：所有安裝了管控代理的客戶計算機均為受控計算機，對所有受控計算機上的移動磁盤，監控服務器提供統一集中管理.主要包括以下功能：

a查看受控計算機上的移動磁盤.

b對受控終端實施策略管理.

c控制受控終端操作.

d終端日志管理.

3 結束語

本文建立企業內網信息安全防護系統是結合企業內網安全管理內在需求，目的是實現對企業內網中的主機的安全保護，從而使企業內網敏感信息的安全得到良好的保證，具有很好的理論價值和實踐意義.

〔1〕張為，梁志勇，劉葵.計算機系統信息安全及其安全審計技術[J].廣州大學學報(自然科學版)2010（02）：51-54.

〔2〕王瑛.全網安全審計與監控體系方案設計及其在行業內網中的應用[D].成都：四川大學碩士學位論文，2009.

TP393

A

1673-260X（2011）06-0078-02