SecPath ACG網絡行為監控的建設與應用

◆李 鹿 賈 東

（赤峰市氣象局 內蒙古 024000）

SecPath ACG網絡行為監控的建設與應用

◆李 鹿 賈 東

（赤峰市氣象局 內蒙古 024000）

為實現氣象互聯網信息安全化管理，赤峰市氣象局技術裝備保障與信息中心適時引入SecPath ACG網絡行為監控平臺（以下簡稱“平臺”），本平臺搭載于識別全面、控制手段豐富的高性能應用控制網關，可以對網絡中的P2P/IM帶寬濫用、網絡游戲、炒股、網絡視頻、網絡多媒體、非法網站訪問等行為進行精細化識別和控制，有效地保障了赤峰市氣象局信息網絡中的關鍵應用和服務的帶寬，對實時網絡流量、用戶上網行為進行深入分析與全面的審計，進而幫助管理員全面地了解網絡應用模型和歷史流量趨勢，使優化其帶寬資源工作更快捷，為開展各項互聯網業務提供有力的支撐。

行為監控；網絡管理；信息安全

0 引言

伴隨著氣象信息化的發展，信息業務的體量不斷加大，互聯網業務逐步整合，對互聯網的安全性需求也不斷增加，傳統的安全網關雖然有其無以替代的可靠表現，但其全面性差，在互聯網辦公方面存在隱患。目前市局對于互聯網辦公的需求正日益增加，布置一套覆蓋全局、方便監控、安全可靠的網絡行為監控平臺愈加重要。網絡監控平臺設備的合理布局，大大提高我局業務樓與行政樓的網絡監控工作效率，保證天氣預報節目傳輸、互聯網資料查詢、121平臺的業務能安全運轉，通過相應設計完成對單個重點的網絡權限設定，包括設置白名單、黑名單等，實現對全局互聯網絡工作狀況的監控與故障判別，實現對用戶使用情況的簡單監控等。

1 網絡監控平臺建設思路

1.1 平臺基礎規劃設計

SecPath ACG網絡行為監控平臺主要為工作人員以及管理人員服務，為了防止可能的非法用戶的攻擊及風險操作，要求全局互聯網絡必須提供切實可行的安全保證。網絡行為監控解決方案可提供端到端的網絡安全部署，能滿足互聯網網絡的安全要求。分別對終端用戶上網認證的用戶名密碼的安全、用戶上網后計算機內部數據的安全、用戶上網后數據在網絡上傳輸的安全進行了保護。當管理員發現網絡異常時，能迅速找到問題終端，大大提升了工作人員的工作效率。

1.2 架構

SecPath ACG網絡行為監控平臺基于新一代多核CPU+FPGA硬件架構，業務與轉發相分離，實現了千兆級線速業務處理能力，僅有微秒級時延。通過掉電保護（PFC，無源Bypass）、內置旁路、軟件二層回退、雙電源冗余等高可靠性設計，保證ACG在斷電、軟硬件故障或鏈路故障、流量過載的情況下，網絡鏈路仍然暢通。

1.3 建設部署

赤峰市氣象局SecPath ACG網絡行為監控平臺采取在線部署方式，此部署方式通常適用于大中型企事業用戶，以常態化方式在線部署于互聯網網絡出口，具有無需改變網絡拓撲的優點。全局互聯網設備通過SecPath ACG網絡行為監控平臺對網絡社區、P2P/IM、網絡游戲、炒股、網絡視頻、網絡多媒體、非法網站訪問等各種應用進行監控和管理，保障了關鍵應用和服務的帶寬。支持VPN、MPLS、VLAN、PPPoE等復雜網絡環境；支持管理設備本地日志記錄和集中式分析處理，支持多臺分布式部署統一管理。

2 SecPath ACG網絡行為監控平臺技術特點

2.1 應用識別

通過狀態機檢測、流量交互檢測技術，能精確檢測Thunder、Web Thunder（Web 迅雷）、BitTorrent、eMule（電騾）、eDonkey（電驢）、QQ、MSN、PPLive等P2P/IM/網絡游戲/炒股/網絡視頻/網絡多媒體等應用。準確定位對應應用使用的用戶，第一時間找到可能使網絡出現延時、中斷的故障源，經過排查后，工作人員可通過對其限制帶寬、禁止互聯網行為等手段進行網絡管理。

圖1 安裝平臺后的全局互聯網網絡拓撲簡易圖

通過自定義IP地址、終端名、正則表達式等方式設置URL特征庫，可根據不同的 URL策略設置不同的響應方式，根據時間表對不同的 URL策略設置不同的響應動作，避免保密信息的外泄，免受非法信息的干擾，確保網絡的健康使用。

2.2 流量管理

平臺采用基于隊列（Each Flow Queuing）的流量處理機制，通過通道、子通道、子通道下的子通道等區分服務模式，并結合時間段、用戶類型、上傳下載方式、區域類型等，易于對每個業務“流”隊列，設置不同等級的優先級策略，實現不同帶寬、不同會話數、每會話帶寬、新建連接數等控制，實現了帶寬的借用、Qos優先級的標記等，真正實現了終端到終端的精細化流量管理。對應用協議特征庫及時更新；支持協議特征庫的在線自動（手動）升級、本地升級，且升級過程無需重啟系統，不影響系統業務運行。

3 SecPath ACG網絡行為監控平臺智能化報表

3.1 靈活、多樣的報表形式

SecPath ACG網絡行為監控平臺囊括實時的業務流量趨勢圖、流量分布圖、Top N用戶列表、Top N應用協議列表等報表，并可以按照用戶名/用戶組、使用頻度、使用時段、應用分類、應用協議、流量大小等進行多維度組合定制報表，使管理員能全面掌握網絡中的流量、應用和業務分布，為合理規劃網絡、制定流量控制策略提供依據。

圖2 例：某天赤峰市氣象局全局健康會話數統計圖

3.2 完善的審計功能

SecPath ACG網絡行為監控平臺可對各種P2P/IM、網絡游戲、網絡多媒體、文件共享、郵件收發、數據傳輸、數據庫應用等各種上網行為提供全方面的行為監控和記錄，同時，通過綜合分析、檢測用戶網絡流量與流向趨勢，對歷史數據進行分析，為用戶提供細粒度的網絡應用審計管理系統。

4 結論

SecPath ACG網絡監控平臺的建設實現了全局網絡監控和管理的優化，及時地發現網絡故障，進行維護維修工作的安排。平臺有效地支持赤峰氣象網絡的建設，對進一步提高氣象服務能力和數據及時性都具有重要意義。有效輔助了安全網關對網絡的管理工作，優化了市局互聯網辦公的體驗，目前由于很多業務軟件已經逐步由網絡端或者PC端向移動端或者手機端轉化，因此互聯網平臺的數量大大增多，網絡監控平臺的建設勢在必行。伴隨著氣象信息化的發展，這種互聯網辦公趨勢已經愈發明朗，穩定、安全、體驗良好的網絡環境必將對互聯網業務的開展提供有力的支持，其間接產生的社會和經濟效益將逐步凸顯。

[1]王蛟.基于行為的 P2P流量及異常流量檢測技術研究[D].北京郵電大學，2008,

[2]田李.面向網絡安全監控的數據流關鍵技術研究[D].國防科學技術大學，2008./

[3]王風宇，云曉春，曹震中.多時間尺度同步的網絡異常檢測方法[J].通信學報，2007.

[4]諸葛建偉，王大為，陳昱，葉志遠，鄒維.基于D-S證據理論的網絡異常檢測方法[J].軟件學報，2006.

[5]溫研，王懷民，胡華平.分布式網絡行為監控系統的研究與實現[J].計算機工程與科學，2005.

[6]周海剛，吳昊，肖軍模.基于軟件 Agent的分布式網絡監控系統的研究與實現[J].電信科學，2002.