可信網絡連接安全管理與架構設計研究

谷惠敏

(商丘醫學高等專科學校，河南 商丘 476100)

?

可信網絡連接安全管理與架構設計研究

谷惠敏

(商丘醫學高等專科學校，河南 商丘 476100)

可信網絡在連接、訪問控制等方面存在許多問題，就其實體功能、接口協議、架構體系進行了剖析，并從EAP-TNC數據包的設計上優化網絡安全與訪問控制協議.最后利用實驗測試，使網絡帶寬、終端狀態、可信等級等指標實現可信網絡連接的安全與可控性.

可信網絡；安全管理；訪問控制；連接體系

從網絡連接與訪問控制服務來看，用戶行為的不確定性帶來的網絡脆弱性問題，成為網絡安全管理的重要難題.可信網絡連接的提出，將網絡終端作為可信計算的出發點，并延伸至整個網絡.如NAC、TNC、NAP等可信網絡體系，其原理均是通過對用戶的身份認證來獲得相應的可信狀態，并被允許接入網絡，否則將被連接至隔離區域.在這3種可信網絡體系中，NAP的安全與訪問控制體系側重于終端，NAC的安全與訪問控制體系側重于接入設備，而TNC的安全與訪問控制體系側重于可信計算.

1 可信網絡連接架構概述

從可信網絡連接的提出到應用，主要是從網絡終端的可信狀態上進行判斷并接入.其原理首先在終端進行接入請求，通過對請求進行安全認證、身份認證后，設置其可信狀態.其次，如果可信狀態滿足接入策略，則運行接入，否則將連接至隔離區域[1]89-94.由此可見，對于可信網絡連接，其架構體系包括網絡訪問層、評估層、完整度量層3部分.在可信網絡架構實體中，訪問者通過對網絡終端平臺完整性可信信息進行搜集，并與完整度量收集器、TNC客戶端共同發送至PDP，PDP結合本地安全策略，對來自訪問者的訪問請求進行度量、分析與判定，來驗證訪問者的網絡訪問是否符合安全性要求.最后，元數據訪問點服務器來處理終端的訪問狀態與安全策略，利用元數據訪問點客戶端反饋網絡訪問行為并向元數據訪問點服務器進行報告.從接口協議來看，可信網絡連接包括IF-TNCCS、IF-M、IF-T和IF-PEP 4類協議，TNC客戶端與TNC服務器之間通過IF-TNCCS協議保障信息傳遞，完整度量接收器與完整度量驗證器通過IF-M協議完成信息傳遞[2]37. IF-T協議主要完成網絡授權，從訪問者與PDP實體間來完成信息傳達，而IF-PEP為策略執行點接口協議，負責策略決策點與策略執行點之間的信息傳達.

2 可信網絡連接的架構體系設計

2.1 可信網絡連接架構優化

從可信網絡連接架構體系發展來看，TNC體系相對成熟，且應用廣泛.然而，由于TNC體系缺乏對可信終端的安全保護，尤其是在雙向評估、安全協議支撐上，缺乏靈活的訪問控制機制，使得可信網絡連接缺乏適用性[3]307-315.為此，從優化可信網絡連接架構體系上進行完善，如圖1所示.

圖1 可信網絡連接架構體系優化

從圖1來看，其顯著特色在于增加內網完整性度量收集器，便于對各節點安全屬性的收集，并通過發送完整度量驗證器實現對可信終端的有效度量.也就是說，針對不可信的終端請求將直接拒絕或隔離；同時，在元數據訪問節點客戶端設置收集可信狀態、可信等級控制器，結合可信終端的可信狀態來完成終端的可信控制與訪問權限分配，提升了可信網絡連接的安全性.

2.2 可信網絡連接協議優化

協議是保障可信網絡連接各實體間信息交互的基本要求，需要滿足4方面安全保障機制.一要滿足完整度量層與完整評估層之間的信息交互；二要滿足完整度量收集器與完整度量驗證器之間的信息交互；三要滿足認證信息的交互；四要滿足決策信息的交互，具體如圖1所示.在前兩種交互過程實現中，TNC服務器通過接收連接請求，獲取終端的安全狀態，利用完整度量收集器對度量信息進行完整度量與驗證，最后將驗證可信狀態及認證結果反饋至服務器.對于滿足可信要求的連接請求和對信息加解密后發送至請求者，從而提升了可信網絡的安全性和可靠性.在網絡訪問可信管理中，由于數據包自身存在跨網傳送(以EAP-TNC數據包為例)，無法對數據包的完整性進行有效校驗，可能影響數據傳輸的安全性.因此，需要從EAP-TNC數據包的標簽設計上來增加標簽屬性，利用擴展標簽屬性來保障數據包傳送的安全度量信息.

2.3 可信網絡訪問控制體系設計

結合可信網絡TNC訪問控制體系架構，在優化訪問控制邏輯結構上，遵循安全性要求，劃分為系統訪問控制層、網絡訪問控制層、用戶訪問控制層、網絡態勢感知層4個層級結構.在系統訪問控制層，主要從終端訪問請求者的安全等級上進行評估，設置訪問角色與權限；在網絡訪問控制層，主要從訪問請求者的完整性度量上評估是否給予網絡接入，并反饋可信網絡邏輯策略；在用戶訪問控制層，主要對訪問者進行身份驗證、密鑰生成管理；在網絡態勢感知層，主要從可信指標信息規則庫中優化網絡連接與應用服務狀態，對可信網絡連接的管理與監控.如利用SPA法、D-S證據理論法來實現網絡安全態勢的評估，預測可信網絡連接的安全態勢[4]1774-1779.

3 仿真檢驗與結果分析

在對上述可信網絡連接與訪問控制體系的安全性仿真試驗中，需要結合可信終端的安全狀態，來構建相應的仿真環境，并從模擬終端的安全屬性變化上來綜合測試可信網絡連接與訪問控制性能等指標.

3.1 仿真環境的搭建

為了對上述可信網絡連接與訪問控制體系進行全面檢驗，搭建的仿真環境包括客戶端、服務器端應用系統.其中，服務器端采用認證服務器、資源管理服務器，在軟件上增加了TPM2.0組件，以及FreeRadius-Server服務器軟件；客戶端采用Win7和CentOS7操作系統，以及WPA-Supplicant客戶端軟件；在協議支持上采用802.1X、Radius協議和Cisco協議組件.

3.2 檢驗結果

通過仿真試驗，根據不同訪問終端下、不同安全狀態屬性的測試，其可信網絡連接與訪問控制結果如下：對于未通過身份認證的訪問請求，直接拒絕；對于通過身份認證的請求，在終端狀態安全性高時，可信等級為Trusted；通過認證，可信終端安全性較低，防火墻未開啟條件下，可信等級為Untrusted；通過認證，可信終端殺毒軟件未啟用，客戶端未簽名，可信等級為Trusted；通過認證，殺毒軟件未開啟、防火墻未啟用、客戶端未簽名，可信等級為Low-Trusted；通過認證，可信終端接入后防火墻關閉，或者操作系統遭到病毒攻擊，可信等級將為Untrusted，訪問控制狀態轉為隔離修復.

3.3 性能對比分析

通過可信網絡連接測試，對于不同操作系統、不同網絡帶寬條件下的網絡訪問控制與連接認證時間對比結果如下.在訪問控制方面，優化后的可信網絡架構體系能夠對無法通過認證的終端直接拒絕訪問，而對于Untrusted可信等級的訪問，轉為隔離修復狀態，在修復后仍為Untrusted的將拒絕訪問；在動態訪問控制方面，即便是在通過認證的終端，當發生系統攻擊后，將降低終端的可信等級，對于不滿足可信條件的訪問將給予權限限制；在分層網絡訪問方面，優化后的可信網絡可以根據接入終端的安全評估狀態設置相應的可信等級，給予不同的訪問權限控制，從而提升可信網絡的安全性，防范了非法訪問.通過對傳統TNC網絡架構與優化后TNC網絡架構安全性能的對比，在認證時間上更具優勢.在操作系統相同條件下，隨著網絡帶寬的增加，其認證時間相繼縮短，網絡連接性能獲得提升；在相同網絡環境下，不同操作系統具有不同的認證時間優勢.如基于CentOS 7的認證時間要優于基于Win7的認證時間.

4 結語

面對日趨復雜的網絡環境，隨著網絡應用的不斷拓寬，來自網絡的各類安全威脅更加突出，而對于傳統網絡安全管理，其在物理安全、應用安全上還存在顯著不足.為此，可信網絡連接與訪問控制體系的設計，將傳統被動防御轉變為主動防御，尤其是在數據包安全標簽屬性擴展上，通過細分訪問控制結構層次，對終端身份、權限進行評估和可信等級劃分，優化、改善網絡連接與動態訪問控制性能，提升網絡安全性、可靠性.

[1] 張瑜娟.可信網絡研究現狀分析與思考[J]. 中國公共安全(學術版)，2015(02).

[2] 杜 巖.探究面向可信網絡研究的虛擬化技術[J]. 電子技術與軟件工程，2014(19).

[3] 徐明飛,吳禮發,洪 征,等.可信網絡連接雙向認證協議的設計與分析[J]. 解放軍理工大學學報(自然科學版)，2014(04).

[4] 周 婕.可信網絡連接架構及關鍵技術研究[J]. 計算機與數字工程，2016(09).

[責任編輯 冰 竹]

Research on Security Management and Architecture Design of Trusted Network Connection

GU Huimin

(ShangqiuMedicalCollege,Shangqiu476100,China)

This paper discusses the problem of trusted network in connection and access control, analyzes the entity function, interface protocol and system architecture, and optimizes network security and access control protocol from the design of EAP-TNC packet. At last, the security and controllability of the trusted network connection are realized by the network test, such as the network bandwidth, the terminal state and the trust level.

trusted network; security management; access control; connection system

2017-01-10

谷惠敏(1979- )，女，河南商丘人，商丘醫學高等專科學校講師，碩士，主要從事計算機教學及研究。

TP393.08

A

1671-8127(2017)02-0095-03