- 相關推薦
涉密網絡主機審計系統設計
摘 要： 從系統的、整體的、動態的角度，參照國家對主機審計產品的技術要求和對部分主機審計軟件的了解，結合實際的終端信息安全管理需求，從體系架構、安全策略管理、審計主機范圍、主機行為監控、綜合審計及處理措施等方面提出主機審計系統的設計思想，達到對終端用戶的有效管理和控制。
關鍵詞： 涉密網絡；安全審計；主機審計；系統設計
1 引 言
隨著網絡與信息系統的廣泛使用，網絡與信息系統安全問題逐漸成為人們關注的焦點。
涉密網與因特網之間一般采取了物理隔離的安全措施，在一定程度上保證了內部網絡的安全性。然而，網絡安全管理人員仍然會對所管理網絡的安全狀況感到擔憂，因為整個網絡安全的薄弱環節往往出現在終端用戶。網絡安全存在著“木桶”效應，單個用戶計算機的安全性不足時刻威脅著整個網絡的安全 。如何加強對終端用戶計算機的安全管理成為一個急待解決的問題。
本文從系統的、整體的、動態的角度，參照國家對安全審計產品的技術要求和對部分主機審計軟件的了解，結合實際的信息安全管理需求，討論主機審計系統的設計，達到對終端用戶的有效管理和控制。
2 安全審計概念。
計算機網絡信息系統中信息的機密性、完整性、可控性、可用性和不可否認性，簡稱“五性”，安全審計是這“五性”的重要保障之一 。
凡是對于網絡信息系統的薄弱環節進行測試、評估和分析，以找到極佳途徑在最大限度保障安全的基礎上使得業務正常運行的一切行為和手段，都可以叫做安全審計 。
傳統的安全審計多為“日志記錄”，注重事后的審計，強調審計的威懾作用和安全事件的可核查性。隨著國家信息安全政策的改變，美國首先在信息保障技術框架（ IA TF） 中提出在信息基礎設置中進行所謂“深層防御策略（Defense2in2Dept h St rategy） ”，對安全審計系統提出了參與主動保護和主動響應的要求 。這就是現代網絡安全審計的雛形，突破了以往“日志記錄”
等淺層次的安全審計概念，是全方位、分布式、多層次的強審計概念，符合信息保障技術框架提出的保護、檢測、反應和恢復（ PDRR） 動態過程的要求，在提高審計廣度和深度的基礎上，做到對信息的主動保護和主動響應。
3 主機審計系統設計。
安全審計從技術上分為網絡審計、數據庫審計、主機審計、應用審計和綜合審計。主機審計就是獲取、記錄被審計主機的狀態信息和敏感操作，并從已有的主機系統審計記錄中提取信息，依據審計規則分析判斷是否有違規行為。
一般網絡系統的主機審計多采用傳統的審計，涉密系統的主機審計應采用現代綜合審計，做到對信息的主動保護和主動響應。因此，涉密網絡的主機審計在設計時就應該全方位進行考慮。
3. 1 體系架構。
主機審計系統由控制中心、受控端、管理端等三部分組成。管理端和控制中心間為B/ S架構，管理端通過瀏覽器訪問控制中心。對于管理端，其操作系統應不限于Windows ,瀏覽器也不是只有IE。管理端地位重要，應有一定保護措施，同時管理端和控制中心的通訊應有安全保障，可考慮隔離措施和SHTTP 協議。
主機審計能夠分不同的角色來使用，至少劃分安全策略管理員、審計管理員、系統管理員。
安全策略管理員按照制定的監控審計策略進行實施；審計管理員負責定期審計收集的信息，根據策略判斷用戶行為（包括三個管理員的行為） 是否違規，出審計報告；系統管理員負責分配安全策略管理員和審計管理員的權限。三員的任何操作系統有相應記錄，對系統的操作互相配合，同時互相監督，既方便管理，又保證整個監控體系和系統本身的安全�？刂浦行氖菍徲嬒到y的核心，所有信息都保存在控制中心。因此，控制中心的操作系統和數據庫最好是國內自己研發的。控制中心的存儲空間到一定限額時報警，提醒管理員及時備份并刪除信息，保證審計系統能夠采集新的信息。
3. 2 安全策略管理。
不同的安全策略得到的審計信息不同。安全策略與管理策略緊密掛鉤，體現安全管理意志。在審計系統上實施安全策略前，應根據安全管理思想，結合審計系統能夠實現的技術途徑，制定詳細的安全策略，由安全員按照安全策略具體實施。如安全策略可以分部門、分小組制定并執行。安全策略越完善，審計越徹底，越能反映主機的安全狀態。
主機審計的安全策略由控制中心統一管理，策略發放采取推拉結合的方式，即由控制中心向受控端推送策略和受控端向控制中心拉策略的方式。當安全策略發生更改時，控制中心可以及時將策略發給受控端。但是，當受控端安裝了防火墻時，推送方式將受阻，安全策略發送不到受控端。由受控端向控制中心定期拉策略，可以保證受控端和控制中心的通訊不會因為安裝個人防火墻或其他認證保護措施而中斷。聯網主機（服務器、聯網PC 機） 通過網絡接收控制中心的管理策略向控制中心傳遞審計信息。單機（桌面PC 或筆記本） 通過外置磁介質（如U 盤、移動硬盤） 接收控制中心管理策略。審計信息存放在主機內，由管理員定期通過外置磁介質將審計信息傳遞給控制中心。所有通訊采用SSL 加密方式傳輸，確保數據在傳輸過程中不會被篡改或欺騙。
為了防止受控端脫離控制中心管理，受控端程序應由安全員統一安裝在受控主機，并與受控主機的網卡地址、IP 地址綁定。該程序做到不可隨意卸載，不能隨意關閉審計服務，且不影響受控端的運行性能。受控端一旦安裝受控程序，只有重裝操作系統或由安全員卸載，才能脫離控制中心的管理。聯網時自動將信息傳到控制中心，以保證審計服務不會被繞過。
3. 3 審計主機范圍。
涉密信息系統中的主機有聯網主機、單機等。常用操作系統包括Windows 98 ,Windows2000 ,Windows XP ,Linux ,Unix 等。主機審計系統的受控端支持裝有不同操作系統的聯網主機、單機等，實現使用同一軟件解決聯網機、單機、筆記本的審計問題。
根據國家有關規定，涉密信息系統劃分為不同安全域。安全域可通過劃分虛擬網實現，也可通過設置安全隔離設備（如防火墻） 實現。主機審計系統應考慮不同安全域中主機的管理和控制，即能夠對不同網段的受控端和安裝了防火墻的受控端進行控制并將信息收集到控制中心，以便統一進行審計。同時能給出簡單網絡拓撲，為管理人員提供方便。
3. 4 主機行為監控。
一般計算機使用人員對計算機軟硬件尤其是信息安全知識了解不多，不清楚計算機的安全狀態。主機審計系統的受控端軟件應具有主機安全狀態自檢功能，主要用于檢查終端的安全策略執行情況，包括補丁安裝、弱口令、軟件安裝、殺毒軟件安裝等，形成檢查報告，讓使用人員對本機的安全狀況有一個清楚的認識，從而有針對性地采取措施。自檢功能可由使用人員自行開啟或關閉。檢查報告上傳給控制中心。
主機審計系統對使用受控端主機人員的行為進行限制、監控和記錄，包括對文檔的修改、拷貝、打印的監控和記錄，撥號上網行為的監控和記錄，各種外置接口的禁止或啟用（并口、串口、USB 接口等） ,對USB 設備進行分類管理，如USB 存儲設備（U 盤，活動硬盤） 、USB 輸入設備（USB 鍵盤、鼠標） 、USB2KEY以及自定義設備。通過分類和靈活設置，增強實用性，對受控主機添加和刪除設備進行監控和記錄，對未安裝受控端的主機接入網絡拒絕并報警，防止非法主機的接入。
主機審計系統對接入計算機的存儲介質進行認證、控制和報警。做到經過認證的合法介質可以從主機拷貝信息；未通過認證的非法介質只能將信息拷入主機內，不能從主機拷出信息到介質內，否則產生報警信息，防止信息被有意或者無意從存儲設備（尤其是移動存儲設備） 泄漏出去。在認證時，把介質分類標識為非密、秘密、機密。當合法介質從主機拷貝信息時，判斷信息密級（國家有關部門規定，涉密信息必須有密級標識） ,拒絕低密級介質拷貝高密級信息。
在認證時，把移動介質編號，編號與使用人員對應。移動介質接入主機操作時記錄下移動介質編號，以便審計時介質與人對應。涉密信息被拷貝時會自動加密存儲在移動介質上，加密存儲在移動介質上的信息也只能在裝有受控端的主機上讀寫，讀寫時自動解密。認證信息只有在移動介質被格式化時才能清除，否則無法刪除。有防止系統自動讀取介質內文檔的功能，避免移動介質接在計算機上（無論是合法還是非法計算機） 被系統自動將所有文檔讀到計算機上。
3. 5 綜合審計及處理措施。
要達到綜合審計，主機審計系統需要通過標準接口對多種類型、多個品牌的安全產品進行管理，如主機IDS、主機防火墻、防病毒軟件等，將這些安全產品的日志、安全事件集中收集管理，實現日志的集中分析、審計與報告。同時，通過對安全事件的關聯分析，發現潛在的攻擊征兆和安全趨勢，確保任何安全事件、事故得到及時的響應和處理。把主機上一個個原本分離的網絡安全產品聯結成一個有機協作的整體，實現主機安全管理過程實時狀態監測、動態策略調整、綜合安全審計、數據關聯處理以及恰當及時的威脅響應，從而有效提升用戶主機的可管理性和安全水平，為整體安全策略制定和實施提供可靠依據。
系統的安全隱患可以從審計報告反映出來，因此審計系統的審計報告是很重要的。審計報告應將收集到的所有信息綜合審計，按要求顯示并打印出來，能用圖形說明問題，能按標準格式（WORD、HTML 、文本文件等） 輸出。但是，審計信息數據多，直接將收集的信息分類整理形成的報告不能很好的說明問題，還應配合審計員的人工分析。這些信息可以由審計員定期從控制中心數據庫備份恢復。備份的數據自動加密，恢復時自動解密。審計信息也可以刪除，但是刪除操作只能由審計員發起，經安全員確認后才執行，以保證審計信息的安全性、完整性。
審計系統發現問題的修復措施一般有打補丁、停止服務、升級或更換程序、去除特洛伊等后門程序、修改配置和權限、專門的解決方案等。為了保證所有主機都能得到有效地處理，通過控制中心統一向受控端發送軟件升級包、軟件補丁。發送時針對不同版本操作系統，由受控端自行選擇是否自動執行。因為有些軟件升級包、軟件補丁與應用程序有沖突，會影響終端用戶的工作。針對這種情況，只能采取專門的解決方案。
在復雜的網絡環境中，一個涉密網往往由不同的操作系統、服務器，防火墻和入侵檢測等眾多的安全產品組成。網絡一旦遭受攻擊后，專業人員會把不同日志系統里的日志提取出來進行分析。不同系統的時間沒有經過任何校準，會不必要地增加日志分析人員的工作量。系統應提供全網統一的時鐘服務，將控制中心設置為標準時間，受控端在接收管理的同時，與控制中心保持時間同步，實現審計系統的時間一致性，從而提供有效的入侵檢測和事后追查機制。
4 結束語
涉密系統的終端安全管理是一個非常重要的問題，也是一個復雜的問題，涉及到多方面的因素。本文從體系架構、安全策略管理、審計主機范圍、主機行為監控、綜合審計及處理措施等方面提出主機審計系統的設計思想，旨在與廣大同行交流，共同推進主機審計系統的開發和研究，最終開發出一個全方位的符合涉密系統終端安全管理需求的系統。
參考文獻：
網絡安全監控平臺技術白皮書。 北京理工大學信息安全與對抗技術研究中心，2005.
王雪來。 涉密計算機信息系統的安全審計。 見：中國計算機學會信息保密專業委員會論文集，13 :67 - 72.
侯小東。 安全：防火墻和安全審計是基礎。 中國計算機報，2003.
電子政務系統中的安全審計。 保密技術信息，2004 , （36） :13 - 15.
【涉密網絡主機審計系統設計】相關文章：
基于電話網絡的熱網遠程控制系統設計05-11
學生信息管理系統設計開題報告07-20
基于PLC的斷路器型式試驗系統設計03-10
基于web的異地并行設計與制造系統研究06-02
淺析現行主流大學英語網絡教學系統改進08-24
大數據對信息系統審計的影響及其關鍵技術論文（通用10篇）04-12
淺談網絡環境下會計系統結構研究02-04
淺談經營失敗審計失敗與審計風險05-10
審計重要性審計風險及審計證據的關系論文（精選5篇）05-12