一種防止信息外泄的主機接入控制系統

王偉+覃曉寧+張晉華

【摘 要】 隨著信息技術在各行各業中的廣泛應用及互聯網的日益普及，信息化給各級政府部門和企事業單位的辦公帶來了極大的便捷。但信息安全威脅問題也日益受到重視，一些別具用心者通過各種手段盜取機關單位、企業內部重要信息資產和敏感數據，并隨意傳播致使敏感信息外泄，給各單位帶來巨大經濟損失，甚至危害國家安全。本文介紹了采用主機介入控制系統進行信息安全防護工作。

【關鍵詞】 信息外泄 主機 控制系統

1 現狀分析

面對信息極易泄露的形勢，國家相關機關為加強管理已頒布了許多政策和法規，各泄密部門和單位為確保信息安全，也采取了防火墻、入侵檢測防御、文件流轉監控、移動存儲管理、數據深度清除等等相應技術手段防止敏感信息泄露，并收到了較好的效果。但在各種變幻莫測的剽竊手段面前，必須未雨綢繆，多維度挖掘發現隱藏的安全漏洞，防患于未然。

2 技術方法研究

那么，除了應用上述提到的各類防患技術和管理方法，還必須從技術層面進行深入探究，以了解當前信息安全保護處于何種程度，還存在哪些不足，以便從根源上保護敏感信息安全，及時制止非法接入行為，避免無謂的經濟損失和安全威脅。接下來，本文從主機接入控制方面闡述技術方法。

一般的接入控制是通過一組機制控制不同級別的主體對目標資源的不同授權訪問，在對主體認證之后實施網絡資源的安全管理使用。目前對主機接入控制普遍采用基于ARP（Address Resolution Protocol地址解析協議）欺騙或基于NAC（Network Admission control）技術，但對部署了ARP防火墻的主機接入無法阻斷，對部分三層交換機不起作用，現有技術的安全性和通用性或多或少存在缺陷，無法有效阻斷主機非法接入內網的行為。本章節就如何有效解決好防止非法主機接入內網的問題，對一種主機接入控制系統進行剖析和研究。

2.1 體系結構

主機接入控制系統采用Client/Server（C/S）結構（主機接入控制系統結構如圖1），其包括若干包含代理客戶端的代理主機，進一步由控制中心管理各代理主機。控制中心負責對代理主機的監控管理和主機策略的管理，代理主機通過代理客戶端（可通過代理主機軟件實現，以下不再贅述）與控制中心進行通信，接收來自控制中心的動態加密鑰、主機白名單策略。

發送方代理客戶端判斷目標主機是否在系統白名單策略中，若是，則直接發出數據包，否則，加密數據包之后再發出；接收方代理客戶端判斷源主機是否在防火墻白名單策略中，若是，則直接接收數據包，否則，解密數據包之后再接收。

進一步，控制中心的主機白名單策略實現對代理主機的安裝和登錄認證進行控制，只有策略允許的主機方可安裝代理主機軟件。控制中心與代理主機通信采用TCP方式，控制中心作為監聽端，代理主機作為連接的發起端，其中控制中心應用層數據包處理流程如下：控制中心接收并緩沖主機發來的請求，處理該請求的數據包，判斷該請求包為登錄認證包或是注冊請求包或為其它類型包，并按照判斷結果構造相應的響應包。圖2為控制中心數據包處理過程。

加解密密鑰由控制中心統一生成，主機登錄成功后可從控制中心獲得密鑰，基于加密強度和性能的權衡考慮，加解密采用RC4流加解密算法，密鑰長度為256bits。具體可采用基于WINDOWS網絡驅動程序接口規范（NDIS）開發的網絡驅動過濾程序，其實現了對網絡數據包有針對性的加/解密處理。

主機白名單策略也是在發送方代理客戶端和接收方代理客戶端登錄控制中心后，由控制中心下發。通過控制中心的主機白名單策略實現對代理主機的安裝、注冊和登錄認證進行控制，只有策略允許的主機方可成功安裝代理主機軟件。

另外，對于無法部署代理主機軟件的服務器或主機（例如網關設備、其它網絡設備或其它非WINDOWS平臺的主機或服務器），可將該主機加入到防火墻白名單例外策略，該策略記錄有不包含代理主機軟件的合法主機的IP地址或MAC地址，對這些主機的網絡通信數據包將不做加/解密處理，從而提高本系統的兼容性和適應能力。

2.2 性能分析

安全內網中的合法主機之間通過統一管理的密鑰加解密傳輸數據或者通過系統白名單策略傳輸數據，所以解決了針對普通主機接口控制系統的局限性，是一套通用性、安全性、可控性和可擴展性較強的主機接入控制的解決方案。

（1）通用性：既適應于采用傳統網絡互聯設備（如HUB、老式交換機等）的局域網環境，又適合采用先進（如三層交換機）環境，故整體適應性較強。

（2）安全性：對可信主機的通信數據包進行加/解密處理，使用不管非法主機如何接入都無法訪問安全局域網中的任何一臺主機，故安全性較高。

（3）可控性：本系統可對代理主機的安裝和登錄認證進行授權，故可控性較高。

（4）可擴展性：目前桌面主機操作系統大部分是WINDOWS系統，隨著LINUX桌面平臺的發展（如UBUNTU、Fedora等），部分桌面主機采用LINUX操作系統，為了使安裝LINUX操作系統的終端主機也安全接入到本系統，則可利用LINUX平臺的Netfilter防火墻技術開發相應的代理軟件，功能和WINDOWS平臺相同，故本技術方案具有較強的可擴展性。

3 結語

本文介紹了一種主機接入控制系統，該系統基于受信機制、流加解密、收發雙方客戶端代理、白名單策略，實現了可信主機的高安全接入控制——只有經過授權許可的可信、可控、健康的主機才能接入到內網，從根本上保護了內網安全，防止不法分子接入內網剽竊敏感資源和重要數據。當然，信息安全是一個永恒的課題，“三分技術、七分管理”，經統計，工作人員安全意識淡薄、監管不力才是發生泄密事件的最普遍原因。因此，除了利用各種安全防護工具筑起安全保護之盾外，必須加強員工安全意識和提高管理人員的工作水平，只有這樣才能從根本上解決泄密問題的產生。

參考文獻：

[1]韓義波，宋莉.新一代網絡安全接入技術的分析與對比[J].科技信息（學術研究），2008年34期.

[2]蔣俊杰.身份識別與接入控制系統的研究與應用[J].信息與電腦（理論版），2010年12期.

[3]閻彩英.淺析電子政務外網互聯網出口的安全技術構架[J].中國信息界，2011年02期.

[4]劉海波，顧國昌，張國印.Internet信息涉密檢查系統的設計與實現[J].計算機工程與應用，2004年09期.endprint

【摘 要】 隨著信息技術在各行各業中的廣泛應用及互聯網的日益普及，信息化給各級政府部門和企事業單位的辦公帶來了極大的便捷。但信息安全威脅問題也日益受到重視，一些別具用心者通過各種手段盜取機關單位、企業內部重要信息資產和敏感數據，并隨意傳播致使敏感信息外泄，給各單位帶來巨大經濟損失，甚至危害國家安全。本文介紹了采用主機介入控制系統進行信息安全防護工作。

【關鍵詞】 信息外泄 主機 控制系統

1 現狀分析

面對信息極易泄露的形勢，國家相關機關為加強管理已頒布了許多政策和法規，各泄密部門和單位為確保信息安全，也采取了防火墻、入侵檢測防御、文件流轉監控、移動存儲管理、數據深度清除等等相應技術手段防止敏感信息泄露，并收到了較好的效果。但在各種變幻莫測的剽竊手段面前，必須未雨綢繆，多維度挖掘發現隱藏的安全漏洞，防患于未然。

2 技術方法研究

那么，除了應用上述提到的各類防患技術和管理方法，還必須從技術層面進行深入探究，以了解當前信息安全保護處于何種程度，還存在哪些不足，以便從根源上保護敏感信息安全，及時制止非法接入行為，避免無謂的經濟損失和安全威脅。接下來，本文從主機接入控制方面闡述技術方法。

一般的接入控制是通過一組機制控制不同級別的主體對目標資源的不同授權訪問，在對主體認證之后實施網絡資源的安全管理使用。目前對主機接入控制普遍采用基于ARP（Address Resolution Protocol地址解析協議）欺騙或基于NAC（Network Admission control）技術，但對部署了ARP防火墻的主機接入無法阻斷，對部分三層交換機不起作用，現有技術的安全性和通用性或多或少存在缺陷，無法有效阻斷主機非法接入內網的行為。本章節就如何有效解決好防止非法主機接入內網的問題，對一種主機接入控制系統進行剖析和研究。

2.1 體系結構

主機接入控制系統采用Client/Server（C/S）結構（主機接入控制系統結構如圖1），其包括若干包含代理客戶端的代理主機，進一步由控制中心管理各代理主機。控制中心負責對代理主機的監控管理和主機策略的管理，代理主機通過代理客戶端（可通過代理主機軟件實現，以下不再贅述）與控制中心進行通信，接收來自控制中心的動態加密鑰、主機白名單策略。

發送方代理客戶端判斷目標主機是否在系統白名單策略中，若是，則直接發出數據包，否則，加密數據包之后再發出；接收方代理客戶端判斷源主機是否在防火墻白名單策略中，若是，則直接接收數據包，否則，解密數據包之后再接收。

進一步，控制中心的主機白名單策略實現對代理主機的安裝和登錄認證進行控制，只有策略允許的主機方可安裝代理主機軟件。控制中心與代理主機通信采用TCP方式，控制中心作為監聽端，代理主機作為連接的發起端，其中控制中心應用層數據包處理流程如下：控制中心接收并緩沖主機發來的請求，處理該請求的數據包，判斷該請求包為登錄認證包或是注冊請求包或為其它類型包，并按照判斷結果構造相應的響應包。圖2為控制中心數據包處理過程。

加解密密鑰由控制中心統一生成，主機登錄成功后可從控制中心獲得密鑰，基于加密強度和性能的權衡考慮，加解密采用RC4流加解密算法，密鑰長度為256bits。具體可采用基于WINDOWS網絡驅動程序接口規范（NDIS）開發的網絡驅動過濾程序，其實現了對網絡數據包有針對性的加/解密處理。

主機白名單策略也是在發送方代理客戶端和接收方代理客戶端登錄控制中心后，由控制中心下發。通過控制中心的主機白名單策略實現對代理主機的安裝、注冊和登錄認證進行控制，只有策略允許的主機方可成功安裝代理主機軟件。

另外，對于無法部署代理主機軟件的服務器或主機（例如網關設備、其它網絡設備或其它非WINDOWS平臺的主機或服務器），可將該主機加入到防火墻白名單例外策略，該策略記錄有不包含代理主機軟件的合法主機的IP地址或MAC地址，對這些主機的網絡通信數據包將不做加/解密處理，從而提高本系統的兼容性和適應能力。

2.2 性能分析

安全內網中的合法主機之間通過統一管理的密鑰加解密傳輸數據或者通過系統白名單策略傳輸數據，所以解決了針對普通主機接口控制系統的局限性，是一套通用性、安全性、可控性和可擴展性較強的主機接入控制的解決方案。

（1）通用性：既適應于采用傳統網絡互聯設備（如HUB、老式交換機等）的局域網環境，又適合采用先進（如三層交換機）環境，故整體適應性較強。

（2）安全性：對可信主機的通信數據包進行加/解密處理，使用不管非法主機如何接入都無法訪問安全局域網中的任何一臺主機，故安全性較高。

（3）可控性：本系統可對代理主機的安裝和登錄認證進行授權，故可控性較高。

（4）可擴展性：目前桌面主機操作系統大部分是WINDOWS系統，隨著LINUX桌面平臺的發展（如UBUNTU、Fedora等），部分桌面主機采用LINUX操作系統，為了使安裝LINUX操作系統的終端主機也安全接入到本系統，則可利用LINUX平臺的Netfilter防火墻技術開發相應的代理軟件，功能和WINDOWS平臺相同，故本技術方案具有較強的可擴展性。

3 結語

本文介紹了一種主機接入控制系統，該系統基于受信機制、流加解密、收發雙方客戶端代理、白名單策略，實現了可信主機的高安全接入控制——只有經過授權許可的可信、可控、健康的主機才能接入到內網，從根本上保護了內網安全，防止不法分子接入內網剽竊敏感資源和重要數據。當然，信息安全是一個永恒的課題，“三分技術、七分管理”，經統計，工作人員安全意識淡薄、監管不力才是發生泄密事件的最普遍原因。因此，除了利用各種安全防護工具筑起安全保護之盾外，必須加強員工安全意識和提高管理人員的工作水平，只有這樣才能從根本上解決泄密問題的產生。

參考文獻：

[1]韓義波，宋莉.新一代網絡安全接入技術的分析與對比[J].科技信息（學術研究），2008年34期.

[2]蔣俊杰.身份識別與接入控制系統的研究與應用[J].信息與電腦（理論版），2010年12期.

[3]閻彩英.淺析電子政務外網互聯網出口的安全技術構架[J].中國信息界，2011年02期.

[4]劉海波，顧國昌，張國印.Internet信息涉密檢查系統的設計與實現[J].計算機工程與應用，2004年09期.endprint

【摘 要】 隨著信息技術在各行各業中的廣泛應用及互聯網的日益普及，信息化給各級政府部門和企事業單位的辦公帶來了極大的便捷。但信息安全威脅問題也日益受到重視，一些別具用心者通過各種手段盜取機關單位、企業內部重要信息資產和敏感數據，并隨意傳播致使敏感信息外泄，給各單位帶來巨大經濟損失，甚至危害國家安全。本文介紹了采用主機介入控制系統進行信息安全防護工作。

【關鍵詞】 信息外泄 主機 控制系統

1 現狀分析

面對信息極易泄露的形勢，國家相關機關為加強管理已頒布了許多政策和法規，各泄密部門和單位為確保信息安全，也采取了防火墻、入侵檢測防御、文件流轉監控、移動存儲管理、數據深度清除等等相應技術手段防止敏感信息泄露，并收到了較好的效果。但在各種變幻莫測的剽竊手段面前，必須未雨綢繆，多維度挖掘發現隱藏的安全漏洞，防患于未然。

2 技術方法研究

那么，除了應用上述提到的各類防患技術和管理方法，還必須從技術層面進行深入探究，以了解當前信息安全保護處于何種程度，還存在哪些不足，以便從根源上保護敏感信息安全，及時制止非法接入行為，避免無謂的經濟損失和安全威脅。接下來，本文從主機接入控制方面闡述技術方法。

一般的接入控制是通過一組機制控制不同級別的主體對目標資源的不同授權訪問，在對主體認證之后實施網絡資源的安全管理使用。目前對主機接入控制普遍采用基于ARP（Address Resolution Protocol地址解析協議）欺騙或基于NAC（Network Admission control）技術，但對部署了ARP防火墻的主機接入無法阻斷，對部分三層交換機不起作用，現有技術的安全性和通用性或多或少存在缺陷，無法有效阻斷主機非法接入內網的行為。本章節就如何有效解決好防止非法主機接入內網的問題，對一種主機接入控制系統進行剖析和研究。

2.1 體系結構

主機接入控制系統采用Client/Server（C/S）結構（主機接入控制系統結構如圖1），其包括若干包含代理客戶端的代理主機，進一步由控制中心管理各代理主機。控制中心負責對代理主機的監控管理和主機策略的管理，代理主機通過代理客戶端（可通過代理主機軟件實現，以下不再贅述）與控制中心進行通信，接收來自控制中心的動態加密鑰、主機白名單策略。

發送方代理客戶端判斷目標主機是否在系統白名單策略中，若是，則直接發出數據包，否則，加密數據包之后再發出；接收方代理客戶端判斷源主機是否在防火墻白名單策略中，若是，則直接接收數據包，否則，解密數據包之后再接收。

進一步，控制中心的主機白名單策略實現對代理主機的安裝和登錄認證進行控制，只有策略允許的主機方可安裝代理主機軟件。控制中心與代理主機通信采用TCP方式，控制中心作為監聽端，代理主機作為連接的發起端，其中控制中心應用層數據包處理流程如下：控制中心接收并緩沖主機發來的請求，處理該請求的數據包，判斷該請求包為登錄認證包或是注冊請求包或為其它類型包，并按照判斷結果構造相應的響應包。圖2為控制中心數據包處理過程。

加解密密鑰由控制中心統一生成，主機登錄成功后可從控制中心獲得密鑰，基于加密強度和性能的權衡考慮，加解密采用RC4流加解密算法，密鑰長度為256bits。具體可采用基于WINDOWS網絡驅動程序接口規范（NDIS）開發的網絡驅動過濾程序，其實現了對網絡數據包有針對性的加/解密處理。

主機白名單策略也是在發送方代理客戶端和接收方代理客戶端登錄控制中心后，由控制中心下發。通過控制中心的主機白名單策略實現對代理主機的安裝、注冊和登錄認證進行控制，只有策略允許的主機方可成功安裝代理主機軟件。

另外，對于無法部署代理主機軟件的服務器或主機（例如網關設備、其它網絡設備或其它非WINDOWS平臺的主機或服務器），可將該主機加入到防火墻白名單例外策略，該策略記錄有不包含代理主機軟件的合法主機的IP地址或MAC地址，對這些主機的網絡通信數據包將不做加/解密處理，從而提高本系統的兼容性和適應能力。

2.2 性能分析

安全內網中的合法主機之間通過統一管理的密鑰加解密傳輸數據或者通過系統白名單策略傳輸數據，所以解決了針對普通主機接口控制系統的局限性，是一套通用性、安全性、可控性和可擴展性較強的主機接入控制的解決方案。

（1）通用性：既適應于采用傳統網絡互聯設備（如HUB、老式交換機等）的局域網環境，又適合采用先進（如三層交換機）環境，故整體適應性較強。

（2）安全性：對可信主機的通信數據包進行加/解密處理，使用不管非法主機如何接入都無法訪問安全局域網中的任何一臺主機，故安全性較高。

（3）可控性：本系統可對代理主機的安裝和登錄認證進行授權，故可控性較高。

（4）可擴展性：目前桌面主機操作系統大部分是WINDOWS系統，隨著LINUX桌面平臺的發展（如UBUNTU、Fedora等），部分桌面主機采用LINUX操作系統，為了使安裝LINUX操作系統的終端主機也安全接入到本系統，則可利用LINUX平臺的Netfilter防火墻技術開發相應的代理軟件，功能和WINDOWS平臺相同，故本技術方案具有較強的可擴展性。

3 結語

本文介紹了一種主機接入控制系統，該系統基于受信機制、流加解密、收發雙方客戶端代理、白名單策略，實現了可信主機的高安全接入控制——只有經過授權許可的可信、可控、健康的主機才能接入到內網，從根本上保護了內網安全，防止不法分子接入內網剽竊敏感資源和重要數據。當然，信息安全是一個永恒的課題，“三分技術、七分管理”，經統計，工作人員安全意識淡薄、監管不力才是發生泄密事件的最普遍原因。因此，除了利用各種安全防護工具筑起安全保護之盾外，必須加強員工安全意識和提高管理人員的工作水平，只有這樣才能從根本上解決泄密問題的產生。

參考文獻：

[1]韓義波，宋莉.新一代網絡安全接入技術的分析與對比[J].科技信息（學術研究），2008年34期.

[2]蔣俊杰.身份識別與接入控制系統的研究與應用[J].信息與電腦（理論版），2010年12期.

[3]閻彩英.淺析電子政務外網互聯網出口的安全技術構架[J].中國信息界，2011年02期.

[4]劉海波，顧國昌，張國印.Internet信息涉密檢查系統的設計與實現[J].計算機工程與應用，2004年09期.endprint