一種改進的動態自適應網絡安全模型P2DWR2

沈萍萍，張 震，楊靜波

(蘇州市職業大學 計算機工程系，江蘇 蘇州 215104)

一種改進的動態自適應網絡安全模型P2DWR2

沈萍萍，張 震，楊靜波

(蘇州市職業大學 計算機工程系，江蘇 蘇州 215104)

通過對分布式網絡信息安全體系的研究與分析,針對目前采用的動態自適應網絡安全模型P2DR自動化程度很低,需人為參與才能完成安全事件響應的缺陷,提出一種全新的更具主動性的分布式網絡主動安全預警模型P2DWR2,并詳細闡述其關鍵實現技術.該模型實現了分布式網絡的主動預警以及各組件間的密切協同,構建一個全方位立體化的分布式網絡安全體系.

P2DWR2；動態；安全模型；P2DR

Abstract:Researches on distributed network information security system show that the current dynamic self-adaptive network security model P2DR has such insufficiencies as low degree of automation and the requirement of human involvement in completing the security incident response. The paper proposes a new and active distributed network of safety warning model P2DWR2 and its key technology. The model realizes the active alert of distributed network and close cooperation between each component, producing an all-round distributed network security system.

Key words:P2DWR2;dynamic; security model; P2DR

1 網絡安全模型P2DR的介紹

早期人們對信息安全體系的關注焦點是以防護技術為主的靜態的信息安全體系.這種靜態的安全體系雖然能阻止已知的攻擊方法和手段，但忽略了網絡安全動態性的特征.隨著人們對信息安全認識的深入，其動態性和過程性的發展要求愈顯重要[1].

P2DR 模型是典型的動態自適應網絡安全模型，也是目前國內外在信息系統中應用最廣泛的一個動態安全模型.P2DR模型由美國國際互聯網安全系統公司(IIS)首次提出，主要包含policy、protection、detection和response四部分內容.其基本思想是一個良好的完整的動態安全體系，需要在統一的安全策略指導下進行實施，在綜合運用恰當的防護工具(比如操作系統訪問控制、防火墻、加密等)的同時，利用動態的檢測機制(比如漏洞評估、入侵檢測等)判斷網絡的安全狀態，在發現問題時，通過及時的響應措施將網絡安全調整到風險最低狀態.

P2DR模型是建立在基于時間的安全理論基礎上，解決傳統網絡安全單純被動防御問題的，但是P2DR模型仍存在以下的缺陷:

1) 模型中唯一動態的因素建立在檢測上，解決的手段也僅為防護，缺乏主動預警功能;

2) 模型中的安全策略并未發揮實際的指導作用，各安全組件在現實應用中，只能依賴人為因素的參與實現動態的安全循環;

3) 沒有統一管理平臺，安全組件之間缺少主動協同，不適用于大規模分布式網絡中.

各組件之間進行密切的協同工作，加強模型本身的主動預警性，對增強分布式網絡系統主動防御能力尤為重要.在P2DR模型的基礎上，提出一種全新的主動預警安全模型P2DWR2，實現對P2DR模型的改進.

2 P2DWR2模型

P2DWR2模型的核心思想是以安全策略為核心，綜合運用加密技術、防火墻技術、入侵防御技術等為系統提供安全性保護.通過漏洞評估、入侵檢測、入侵誘騙等技術及時檢測系統存在的潛在威脅，然后根據檢測采集到的攻擊信息作為特征值發送給臨近的防御系統，為尚未被攻擊的網絡提供安全預警和及時免疫，在系統發生異常時，根據安全策略及時作出響應阻止進一步的網絡攻擊，并且通過軟件升級、系統升級等手段及時恢復遭到破壞的信息，力求將損失減少到最小.

2.1 組件結構

P2DWR2模型以安全策略為中心，由防護、檢測、預警、響應、恢復五部分組成，主要包括:

1) 安全策略組件.實現安全策略的自動分發、自動執行、自適應管理和聯動，包括通信策略、控制策略、整體安全策略等.

2) 防護組件.實現網絡預先防御的功能，包括系統漏洞掃描、自動補丁管理等組件.

3) 檢測組件.實現實時對網絡運行狀況進行入侵檢測和入侵識別，包括入侵檢測系統(IDS)和防火墻等組件.

4) 預警組件.實現對未被攻擊臨近網絡的安全預警和及時免疫，包括攻擊信息采集、攻擊信息預警等組件.

5) 響應恢復組件.實現主動防御響應和遭受攻擊的重要信息即時恢復功能，包括入侵檢測和防火墻聯動、安全組件的策略動態更新、系統升級、軟件更新等組件.

2.2 原型工作流程

應用P2DWR2模型構建一個一體化的網絡信息安全系統.以傳統的Web服務攻擊防御為例，當檢測到有安全威脅時，系統首先啟動策略部署模塊，自動分發策略，啟動信息事件關聯引擎.如果是新的攻擊，系統將立即向未被攻擊的臨近網絡主動預警，使尚未被攻擊的網絡及時進行防護.同時將通知響應模塊觸發相應的響應機制，及時進行響應恢復.響應機制在最短的時間內斷開攻擊源和攻擊對象的連接，并重新配置防火墻規則和威脅檢測規則.網絡安全攻擊事件將在日志文件中記錄以便今后查看.P2DWR2模型原型工作流程圖如圖1所示.

2.3 關鍵技術

針對P2DR模型的缺陷，提出的P2DWR2模型對P2DR模型主要進行了三方面的完善.

圖1 P2DWR2模型原型工作流程圖

2.3.1 預警功能的增加

網絡安全的最大目的是防患于未然.P2DWR2模型的動態性不僅體現在檢測環節中，在預警環節中也得到了更好的體現.對于新的攻擊方法和行為，預警子系統向臨近的防御系統發出預警，使得尚未被攻擊的網絡可以及時進行防護.不同的防御系統通過相互的預警提升整個分布式網絡的安全防護能力.

2.3.2 安全策略的部署

通過改進P2DR模型，設計策略部署模塊.改進的P2DWR2模型能夠對整個網絡中各種安全組件進行分布式、動態的、基于策略的管理，實現策略的自動分發、運行時的自管理和策略的聯動，使策略核心能夠實現用戶的操作行為和系統管理動作，為各種安全組件提供良好的信息共享和協作平臺.

1) 策略自動分發.策略的自動分發由策略服務發起.策略服務首先創建編譯策略對象，將其存儲于策略數據庫中.然后選擇要發布的策略對象生成相應的策略控制對象，由策略控制對象完成策略運行時的管理.當管理員申請一個加載請求時，由策略控制對象將策略對象分發給所有策略實施組件，策略實施組件負責裝入、卸載、啟用、禁用執行對象.策略自動分發示意圖如圖2所示.

2) 策略自適應管理.策略自適應管理根據所作用的對象的不同可分為授權策略的自管理和職責策略的自管理.新類型策略的主客體都是策略服務，該類型策略從創建、分發到執行、停止都在策略服務內完成.在P2DWR2模型中，負責實現策略動態自管理的組件被稱為策略自管理代理(PSMA)，PSMA 作為一個模塊運行于策略服務器中.PSMA在接收到相應的事件之后執行策略自管理策略中規定的措施，但是PSMA 所要執行的措施必須向策略服務提交.

3) 策略的聯動.當一個攻擊事件發生時，運用策略的聯動機制可以同時實現關閉攻擊源連接、報告管理員、配置不同邊界的防火墻等動作.對于分布式網絡環境，因為各安全產品部署在不同的邊界，安全事件的及時響應很困難，因此在大規模分布式網絡系統基于策略的管理中策略的聯動操作是很必要的.在P2DWR2模型中，把攻擊響應預案以策略模板的形式定義.當一個攻擊事件發生時觸發相應的策略模板，在策略模板中定義的各響應策略聯動操作，實現自動響應.網絡發生異常時，事件服務接收安全事件觸發并查找與之相應已注冊的策略實施代理，如果沒有與之相應的策略實施，將與策略服務進行交互得到或重新定制策略模板，利用安全事件參數將模板進行實例化，并自動分發到相應的策略實施代理上，策略實施代理處理事件響應，根據安全事件觸發的限制策略或職責策略，執行策略定義的動作完成對事件的響應.

2.3.3 安全組件的協同控制

安全組件間的具體協同關系分為兩種:驗證協同和響應協同.驗證協同是指對于一個安全組件分析出的結果，調用其他安全組件來驗證該分析結果的準確性.響應協同是指根據一個安全組件的分析結果，觸發另一種安全組件來采取相應的安全響應措施.確定各類安全組件的協同關系有助于制定正確的協同控制策略.主動協同控制策略由XML語言描述，包括請求安全組件、應答安全組件、協同條件、協同數據、協同控制五個部分組成，每個部分的具體內容參考文獻[2-4].

安全組件協同控制框架由協同策略控制中心和各種安全信息數據庫組成.協同策略控制中心包括協同控制決策器和組件管理控制臺.協同控制決策器利用數據融合方法分析各種數據, 并生成協同控制策略.組件管理控制臺實現安全組件的集中式管理和協同控制策略的描述和分發.P2DWR2模型提供

圖2 策略自動分發示意圖

3 結 論

對于線性含源二端網絡，用一次計算法求等效電路是較簡便的，在計算過程中關鍵是求出端口處的標準方程.求戴維南等效電路時，應在端口處加一獨立電流源，用節點法求出端口處的電壓標準方程;求諾頓等效電路時，應在端口加一個獨立電壓源，用回路法求出端口處的電流標準方程.

圖8 原理電路

圖9 加電壓源的原理電路

[1] 王秀英. 電工基礎[M]. 西安:西安電子科技大學出版社,2004:50-55.

[2] 王虎林. 含受控源二端網絡的等效與分析[J]. 高師理科學刊,2008(5):70-73.

[3] 方明. 戴維寧定理在電路分析中的應用[J]. 黔西南民族師范高等專科學校學報,2009(3):116-118.

[4] 任玲芝. 線性二端網絡的等效電路的另一分析方法[J]. 電氣電子教學學報,2006(4):32-34.

(責任編輯: 沈鳳英)

統一管理平臺，為用戶提供圖形化的管理界面，提供策略管理、配置管理功能，為系統管理員提供編輯、編譯、瀏覽策略和安全事件查看等接口.基于統一管理平臺，實現對分布的被管對象和安全策略的管理，統一制定安全策略，統一收集各被管對象的安全事件信息.

安全組件協同控制框架主要的安全信息數據庫有①安全事件數據庫，存儲防護、檢測組件收集的漏洞、威脅和系統性能等安全審計信息，作為系統安全態勢感知及威脅評估的基礎數據;②系統威脅評估數據庫，存儲各種評估組件產生的評估結果，作為進一步協同控制決策分析的輸入數據;③協同策略庫，存儲協同策略控制中心，通過融合信息數據庫和評估結果數據庫中的數據所產生的策略規則;④運行組件注冊信息庫，存儲所有運行組件的注冊信息，為協同控制中心與安全組件進行通信交互提供基本狀態信息; ⑤資源數據庫，存儲漏洞補丁和病毒樣本等.[5]

3 結 論

分析典型的動態自適應網絡安全模型P2DR模型的特征以及存在的缺陷,提出基于P2DR模型全新的分布式網絡信息安全模型P2DWR2,并詳細闡述了P2DWR2模型的組件機構、關鍵實現技術以及模型原型工作流程，經過比較P2DWR2模型在各方面具有很大的改進.

參考文獻:

[1] 周學廣,張煥國,張少武,等. 信息安全學[M]. 北京:機械工業出版社,2008:98-111.

[2] 河慶云,楊超峰,劉利軍. 多類型安全組件協同機制的研究與實現[J]. 計算機工程,2006,32(14):166－168.

[3] 韓銳生,徐開勇,趙彬. P2DR模型中策略部署模型的研究與設計[J]. 計算機工程,2008,34(20):181-183.

[4] 唐洪玉,崔冬華. 一種新的信息安全體系模型的提出[J]. 信息安全與通信保密,2008(6):102-105.

[5] 單蓉勝,王明政,李建華. 基于策略的網絡安全模型及形式化描述[J]. 計算機工程與應用,2003,39(13):68—71.

(責任編輯: 李 華)

An Improved Dynamic Self-adaptive Network Security Model PZDWRZ

SHEN Ping-ping, ZHANG Zhen, YANG Jing-bo
(Department of Computer Engineering, Suzhou Vocational University, Suzhou 215104,China)

TP313

A

1008-5475(2011)01-0033-03

2010-10-27;

2010-12-02

蘇州市職業大學青年教師基金資助項目(2010SZDQ13)

沈萍萍(1979-),女,江蘇蘇州人,講師,碩士生,主要從事計算機網絡研究.