引言

    網(wǎng)絡(luò)安全管理系統(tǒng)是針對計算機(jī)網(wǎng)絡(luò)以及計算機(jī)終端的安全問題而設(shè)計的一種綜合管理軟件。它依靠技術(shù)手段協(xié)助管理員對計算機(jī)網(wǎng)絡(luò)實(shí)施智能的安全防護(hù)與管理，從而提高網(wǎng)絡(luò)的安全性能。并提供一系列工具使網(wǎng)絡(luò)終端更加易于管理，網(wǎng)絡(luò)的安全風(fēng)險得到控制。

    內(nèi)網(wǎng)安全管理系統(tǒng)致力于內(nèi)部網(wǎng)絡(luò)和終端的安全防護(hù)與管理。但是目前異地辦公、分公司、分散網(wǎng)點(diǎn)辦公的應(yīng)用需求日益增多如圖l所示。對于位于異地，只能通過互聯(lián)網(wǎng)連接到單位內(nèi)蚓的計算機(jī)終端實(shí)施安全管理，并要求其執(zhí)行與內(nèi)網(wǎng)終端一致的安全規(guī)范同樣十分必要。如果依靠傳統(tǒng)的安全管理系統(tǒng)將無法對這些計算機(jī)實(shí)施管理和防護(hù)，以至形成整個系統(tǒng)的“短板”。所以遠(yuǎn)程終端的安全管理相關(guān)技術(shù)的研究是目前網(wǎng)絡(luò)應(yīng)用的現(xiàn)實(shí)需求。

    圖1 遠(yuǎn)程終端

1 內(nèi)網(wǎng)安全管理系統(tǒng)面臨的新問題

    如前文所述，遠(yuǎn)程辦公的廣泛應(yīng)用使得內(nèi)網(wǎng)安全管理系統(tǒng)面臨著新的挑戰(zhàn)。遠(yuǎn)程計算機(jī)終端處于單位的局域網(wǎng)之外。即使通過VPN(虛擬專用網(wǎng))能夠使用局域網(wǎng)的功能，但并非真正的局域網(wǎng)，與內(nèi)網(wǎng)終端所處網(wǎng)絡(luò)環(huán)境不相同。這使得傳統(tǒng)網(wǎng)絡(luò)安全管理系統(tǒng)采用的一些安全技術(shù)和管理措施并不適用于遠(yuǎn)程終端。而遠(yuǎn)程終端處于互聯(lián)網(wǎng)之中，面臨著更多的安全威脅，更加需要適合的安全管理解決方案。

    通常網(wǎng)絡(luò)安全管理系統(tǒng)所應(yīng)用的安全技術(shù)包括：防火墻技術(shù)、入侵檢測技術(shù)、網(wǎng)絡(luò)防病毒、接入控制、補(bǔ)丁分發(fā)等軟件統(tǒng)一升級系統(tǒng)、其它相關(guān)技術(shù)。

    對于遠(yuǎn)程計算機(jī)終端，在內(nèi)網(wǎng)中適用的安全技術(shù)可能起不到它的作用。下面將針對這些技術(shù)進(jìn)行探討：

    首先，對于網(wǎng)絡(luò)邊界的安傘設(shè)備如防火墻、入侵檢測、網(wǎng)絡(luò)防病毒系統(tǒng)，他們是用于防護(hù)內(nèi)部網(wǎng)絡(luò)設(shè)施，通常運(yùn)行于網(wǎng)關(guān)、路由和服務(wù)器等網(wǎng)絡(luò)設(shè)備，對于位于內(nèi)網(wǎng)之外的遠(yuǎn)程計算機(jī)終端發(fā)揮不到防護(hù)作用。

    其次，補(bǔ)丁分發(fā)和軟件統(tǒng)一升級對于遠(yuǎn)程計算機(jī)也不是全部適應(yīng)。遠(yuǎn)程計算機(jī)在需要時通過國際互聯(lián)網(wǎng)連接到內(nèi)部網(wǎng)絡(luò)，而補(bǔ)丁分發(fā)往往需要較長的在線時間并且占用一定的帶寬，對于遠(yuǎn)程終端并非同樣適用。例如遠(yuǎn)在海外的計算機(jī)終端。

    第三，網(wǎng)絡(luò)安全管理系統(tǒng)通常依靠ARP探測技術(shù)實(shí)現(xiàn)主機(jī)的接入發(fā)現(xiàn)、干擾非法主機(jī)的功能。這對于遠(yuǎn)程計算機(jī)終端完全無法應(yīng)用，即使遠(yuǎn)程計算機(jī)通過VPN連接到內(nèi)網(wǎng)�？梢妼τ谶h(yuǎn)程計算機(jī)終端，傳統(tǒng)的網(wǎng)絡(luò)安全管理系統(tǒng)面臨以下幾個問題：

    (1)原有的設(shè)施不適用，有入侵檢測設(shè)備、硬件防火墻、接入控制(如Radius服務(wù)器)；

    (2)原有技術(shù)無法利用，如ARP探測與干擾技術(shù)；

    (3)原有的功能難實(shí)現(xiàn)，病毒庫升級、操作系統(tǒng)和軟件補(bǔ)丁統(tǒng)一升級不再適用；

    這問題使我們需要專門研究遠(yuǎn)程計算機(jī)安傘管理技術(shù)，以適應(yīng)新的應(yīng)用需求。設(shè)計對遠(yuǎn)程計算機(jī)終端實(shí)施安全管理的解決方案。

2 遠(yuǎn)程終端的安全特性

    本節(jié)內(nèi)容通過一個遠(yuǎn)程終端接入內(nèi)網(wǎng)的應(yīng)用實(shí)例，分析了遠(yuǎn)程終端接入過程中的幾個關(guān)鍵環(huán)節(jié)，和我們需要解決的若干安全問題。

    2．1一個典型的遠(yuǎn)程終端接入過程

    利用授權(quán)訪問系統(tǒng)，位于遠(yuǎn)程的計算機(jī)終端可以方便的訪問單位內(nèi)部資源。虛擬專用網(wǎng)(VPN)技術(shù)甚至可以使遠(yuǎn)程計算機(jī)像位于內(nèi)網(wǎng)一樣，使用所有內(nèi)網(wǎng)提供的服務(wù)。

    遠(yuǎn)程終端的接入勢必會給內(nèi)網(wǎng)帶來一定的安全風(fēng)險。黑客和病毒有可能以遠(yuǎn)程終端為跳板對內(nèi)網(wǎng)實(shí)施攻擊和破壞。所以對接入內(nèi)網(wǎng)的遠(yuǎn)程終端必須經(jīng)過一定的檢查方能繼續(xù)訪問。一個典型的遠(yuǎn)程終端安全接入的邏輯流程如圖2所示。

    可見這一過程的關(guān)鍵環(huán)節(jié)有：

    ①終端身份認(rèn)證，通常我們首先要確認(rèn)該遠(yuǎn)程終端是否為本單位的計算機(jī)。這個過程可以要求遠(yuǎn)程終端提供一定的身份憑證來證明自己的身份。

    ②服務(wù)器身份認(rèn)證，遠(yuǎn)程終端連接國際瓦聯(lián)網(wǎng)，如果有必要攻擊者就有可能冒充管理服務(wù)器從而控制該終端。因此驗(yàn)證服務(wù)器的身份同樣重要。

    ③安全狀態(tài)檢杳，一臺被攻擊者控制的遠(yuǎn)程終端一旦接入內(nèi)網(wǎng)便會對內(nèi)網(wǎng)的安全可靠帶來極大的安全威脅，因此對從互聯(lián)網(wǎng)接入的遠(yuǎn)程終端進(jìn)行安全“體檢”可以盡量降低安全風(fēng)險。

    圖2 遠(yuǎn)程終端安全接入邏輯流程

    2．2遠(yuǎn)程終端安全管理待解決的問題

    由以上對遠(yuǎn)程終端接入應(yīng)用的過程分析可以總結(jié)出建立遠(yuǎn)程終端安全管理系統(tǒng)需要解決的幾個主要問題：

    身份認(rèn)證問題。系統(tǒng)需要設(shè)計一套雙向主機(jī)身份認(rèn)證的方案來實(shí)現(xiàn)管理與被管理者雙方的身份認(rèn)證功能�？蛻舳苏J(rèn)證主要為了避免非法主機(jī)接入內(nèi)網(wǎng)而設(shè)定。服務(wù)器身份認(rèn)證是為了防范系統(tǒng)通信協(xié)議被分析和破解的情況下，攻擊者冒充管理服務(wù)器從而控制遠(yuǎn)程終端。因?yàn)榧词故墙?jīng)過精心設(shè)計的軟件代碼也無法保證其不被“黑客”破解。這方面的技術(shù)有口令方式、挑戰(zhàn)響應(yīng)方式、“USB KEY”方式，基于生物特征方式等。

    終端系統(tǒng)安全防護(hù)與檢測問題。如本文第一節(jié)所述，應(yīng)用于內(nèi)部網(wǎng)絡(luò)的安全設(shè)施難以完全覆蓋到遠(yuǎn)程終端。因此需要為遠(yuǎn)程終端專門提供安全防護(hù)的功能。另外在終端接入到內(nèi)網(wǎng)時，系統(tǒng)將判斷終端的安全狀況以決定其是否滿足接入內(nèi)網(wǎng)的安全等級。所有需要設(shè)計安全狀態(tài)評估機(jī)制來完成該功能。安全防護(hù)功能涉及軟件防火墻技術(shù)，殺毒軟件相關(guān)技術(shù)等。

    雙方通信協(xié)議與通信加密。遠(yuǎn)程安全管理系統(tǒng)的報文需要經(jīng)過國際巨聯(lián)網(wǎng)傳遞，為了保證數(shù)據(jù)在傳輸過程中不被監(jiān)聽、篡改、重放，系統(tǒng)需要設(shè)計通信加密模塊和雙方傳遞管理信息的通信協(xié)議。

    控制端對遠(yuǎn)程終端的管理問題。這里的管理通常是指對終端硬件資源的管理和系統(tǒng)功能的管理。如硬件禁用／啟用、功能限定和監(jiān)控審計等。

    自身的安全問題。管理者和被管理者均需要連接國際互聯(lián)網(wǎng)并開放服務(wù)。因此難免遭受“黑客”的攻擊，因此在系統(tǒng)軟件設(shè)計過程中需要考慮其安全問題。遠(yuǎn)程終端上運(yùn)行的軟件還需要“自我保護(hù)”功能，以防止被惡意禁用、卸載、修改。

3 遠(yuǎn)程終端安全管理解決方案

    上面的小節(jié)主要分析了遠(yuǎn)程終端安全管理的意義和設(shè)計需求，本節(jié)內(nèi)容將對遠(yuǎn)程終端安全管理技術(shù)進(jìn)行詳細(xì)的討論和研究，提出遠(yuǎn)程終端安全管理的方案。

    3．1遠(yuǎn)程終端安全管理的目標(biāo)

    遠(yuǎn)程終端安全管理系統(tǒng)是為了解決遠(yuǎn)程辦公終端的安全管理問題而設(shè)計，把內(nèi)網(wǎng)的安全域延伸至遠(yuǎn)程終端(如圖3)。把遠(yuǎn)程計算機(jī)納入到內(nèi)網(wǎng)的管理中來，實(shí)施全網(wǎng)統(tǒng)一的安全管理和一致的安全策略。另外網(wǎng)絡(luò)安倉管理系統(tǒng)的目的還包括從整體上提高整個網(wǎng)絡(luò)的防御入侵、抵抗攻擊的能力，保持系統(tǒng)及服務(wù)的完整性、可靠性和可用性。

    圖3 擴(kuò)展的安全域

    遠(yuǎn)程終端安全管理系統(tǒng)的設(shè)計目標(biāo)包含：

    目標(biāo)1：維護(hù)內(nèi)網(wǎng)和遠(yuǎn)程終端的安全。降低內(nèi)部網(wǎng)絡(luò)因遠(yuǎn)程終端的接入帶來的安全風(fēng)險：保護(hù)遠(yuǎn)程計算機(jī)終端減小木馬、病毒和黑客的攻擊的威脅。對終端計算機(jī)操作系統(tǒng)的安全性進(jìn)行監(jiān)視和加固，具備無需終端用戶干預(yù)的安全防護(hù)能力。

    目標(biāo)2：提供豐富的終端管理控制功能。網(wǎng)絡(luò)管理員可以通過系統(tǒng)控制中心獲得網(wǎng)絡(luò)與終端計算機(jī)的整體運(yùn)行情況和詳細(xì)信息：可以制定安全管理規(guī)范并分發(fā)到網(wǎng)絡(luò)終端上執(zhí)行：擁有網(wǎng)絡(luò)事件審計日志。

    目標(biāo)3：系統(tǒng)架構(gòu)靈活、可擴(kuò)展。網(wǎng)絡(luò)安全管理系統(tǒng)管理內(nèi)容的靈活性較高，系統(tǒng)設(shè)計階段應(yīng)考慮以后進(jìn)行升級和擴(kuò)展的需求。

    3．2遠(yuǎn)程終端安全管理的實(shí)現(xiàn)

    如何對遠(yuǎn)程終端實(shí)施有效的安令管理，是遠(yuǎn)程終端安令管理技術(shù)的核心問題。網(wǎng)絡(luò)安全管理系統(tǒng)不是安全產(chǎn)品的堆砌，而是各種安全技術(shù)相互融合，共同完成系統(tǒng)功能的綜合性解決方案。遠(yuǎn)程終端安全管理所采用的技術(shù)可以劃分到下面的3個子系統(tǒng)：

    (1)通信加密子系統(tǒng)。如本文2．2節(jié)所述，遠(yuǎn)程終端與管理服務(wù)器之間的通信數(shù)據(jù)有可能被攻擊者截取和偽造。因此遠(yuǎn)程終端安全管理系統(tǒng)軟件提供專門的通信子系統(tǒng)。所有與服務(wù)器之間交換的數(shù)據(jù)都通過該子系統(tǒng)發(fā)送。目前常用的通信加密手段主要是對稱密碼和公鑰密碼。詳細(xì)論述了這兩種密碼體制的特性。其中對稱密碼安全強(qiáng)度相對較高，但是無法解決密鑰在互聯(lián)網(wǎng)上傳輸?shù)膯栴}。公鑰密碼在性能上稍遜于對稱密碼。目前網(wǎng)絡(luò)安全應(yīng)用中也常采用兩者結(jié)合的應(yīng)用方案，即以公鑰密碼加密對稱密碼的密鑰，以對稱密碼加密數(shù)據(jù)的混合型加密嘲�？紤]到遠(yuǎn)程終端與管理服務(wù)器之間平時并沒有大量數(shù)據(jù)傳輸，因此公鑰密碼的性能對通信速度并不會產(chǎn)生明顯的影響。所以系統(tǒng)采用公鑰密碼體制加密數(shù)據(jù)。橢圓曲線密碼(ECC)是目前公鑰密碼中性能較好的一種，通信加密子系統(tǒng)可以采用預(yù)共事密鑰的方式容易的實(shí)現(xiàn)通信數(shù)據(jù)加密，且有不錯的安全性能。

    (2)身份認(rèn)證子系統(tǒng)。認(rèn)證是指管理服務(wù)和被管理的遠(yuǎn)程終端之間的主機(jī)身份認(rèn)證。是一種以密碼學(xué)為基礎(chǔ)的基本網(wǎng)絡(luò)安全技術(shù)。常用的身份認(rèn)證技術(shù)有：基于口令、基于軟硬件數(shù)字證書或簽名、基于生物特征識別等。如果系統(tǒng)設(shè)定為“不需要用戶干預(yù)”的認(rèn)證方式，那么基于數(shù)字簽名的認(rèn)證方式相對更加適合。因?yàn)閿?shù)字證書的認(rèn)證一般需要建立一套復(fù)雜的公鑰基礎(chǔ)設(shè)施(PKI)，從而增加了系統(tǒng)配置和管理的復(fù)雜度。

    對認(rèn)證算法提出了一種根據(jù)Ham的基于離散對數(shù)的數(shù)字簽名方案。提出了一種基于橢圓曲線密碼的數(shù)字簽名方案。該方案簽名生成過程簡單，簽名驗(yàn)證速度快。它們都是利用公鑰密碼體制的特性而設(shè)計，這里非常適合主機(jī)間的身份認(rèn)證。為達(dá)到系統(tǒng)的靈活性，可把簽名加密算法獨(dú)立出來，以實(shí)現(xiàn)可替換的功能。系統(tǒng)只需要預(yù)先在服務(wù)器和客戶端分別生成自身的私鑰和公鑰，而后公開公鑰即可進(jìn)行相互間的簽名認(rèn)證，認(rèn)證過程如圖4。

    圖4 身份認(rèn)證流程

    (3)終端操作系統(tǒng)加同子系統(tǒng)。由于遠(yuǎn)程終端位于互聯(lián)網(wǎng)環(huán)境中，相對于物理隔離的內(nèi)部網(wǎng)絡(luò)終端它遭受攻擊的可能性更大。安全管理系統(tǒng)需要采用相應(yīng)的技術(shù)手段增強(qiáng)終端操作系統(tǒng)的安全性。軟件防火墻和殺毒軟件是日前流行的桌面安全產(chǎn)品，除此之外操作系統(tǒng)加固子系統(tǒng)還提供可配置的系統(tǒng)防護(hù)模塊。

    對于已安裝的防火墻和殺毒軟件，加固子系統(tǒng)檢測其有效性和時效性。以此形成對終端操作系統(tǒng)安全狀態(tài)的檢測。對于安全需求較高的專用業(yè)務(wù)終端，加固子系統(tǒng)對操作系統(tǒng)實(shí)行完全監(jiān)控。對所有未經(jīng)管理端許可的程序均拒絕運(yùn)行，以此來保證業(yè)務(wù)終端的“純潔性”。

    該子系統(tǒng)也完成系統(tǒng)安全狀態(tài)檢測的功能。在遠(yuǎn)程終端接入前如果管理服務(wù)器要求該終端必須滿足一定的安全條件(如必須安裝某安全軟件)，則安全加同子系統(tǒng)將生成當(dāng)前計算機(jī)安全狀態(tài)檢測結(jié)果并上報服務(wù)器。

    以上3個子系統(tǒng)分別針對遠(yuǎn)程終端內(nèi)網(wǎng)接入、系統(tǒng)運(yùn)行、終端管理3個主要環(huán)節(jié)，它們一起解決用于解決遠(yuǎn)程計算機(jī)終端安全管理中遇到的安全問題。此外網(wǎng)絡(luò)安全管理系統(tǒng)的其它功能(如通信報文格式、安全規(guī)則分發(fā)、升級等)與內(nèi)網(wǎng)終端安全管理基本相同。

    3.3系統(tǒng)軟件結(jié)構(gòu)

    網(wǎng)絡(luò)安全管理工作涉及的內(nèi)容眾多且需求靈活多變。因此在軟件設(shè)計方面要求軟件架構(gòu)支持在使用中升級和功能擴(kuò)展。軟件采取類MVC(模型、視圖、控制器)設(shè)計模式的程序框架，可以較好的實(shí)現(xiàn)這些功能。所有的管理功能都以插件形式提供如圖5所示�？梢娡ㄐ拍�塊是專門負(fù)責(zé)服務(wù)器與客戶端之間傳送信息的模塊。它與向主程序提供網(wǎng)絡(luò)接口服務(wù)，對傳輸?shù)臄?shù)據(jù)進(jìn)行加密解密。身份認(rèn)證接口同樣在通信模塊中實(shí)現(xiàn)，由功能插件調(diào)用。

    圖5 軟件結(jié)構(gòu)

    (1)控制器是軟件主邏輯。它負(fù)責(zé)系統(tǒng)的初始化，創(chuàng)建系統(tǒng)主界面，并依次加載已注冊的功能插件。

    (2)功能插件是實(shí)現(xiàn)安全管理功能的獨(dú)立邏輯。通常一個插件實(shí)現(xiàn)一種或多種管理功能。功能插件一般包含服務(wù)器端和客戶端，兩部分相互通信共同實(shí)現(xiàn)管理功能。插件可以創(chuàng)建自己的視圖并融入控制器創(chuàng)建的辛界面中。

    系統(tǒng)采用增量開發(fā)，目前已有功能插件的統(tǒng)計如表1所示。

    表1 功能插件統(tǒng)計

    (3)記錄模塊負(fù)責(zé)存儲系統(tǒng)的相關(guān)配置和數(shù)據(jù)信息。

    (4)通信加密模塊為上層模塊提供通信接口和透明的數(shù)據(jù)加密功能。

4 結(jié)束語

    為應(yīng)對遠(yuǎn)程辦公與遠(yuǎn)程業(yè)務(wù)終端給內(nèi)網(wǎng)安全管理系統(tǒng)帶來的新問題，本文重點(diǎn)研究了遠(yuǎn)程終端的安全特性，對遠(yuǎn)程終端安全管理的關(guān)鍵技術(shù)進(jìn)行了剖析和討論。設(shè)計了一個遠(yuǎn)程終端安全管理解決方案。該方案主要解決遠(yuǎn)程終端安全防護(hù)、遠(yuǎn)程管理通信安全以及實(shí)施遠(yuǎn)程診斷和管理所面臨問題。系統(tǒng)軟件結(jié)構(gòu)的設(shè)計考慮了系統(tǒng)功能的變更和升級問題，支持運(yùn)行時功能擴(kuò)展。與原有的內(nèi)網(wǎng)安全管理系統(tǒng)模型相比增加了遠(yuǎn)程終端的角色，適用位于本部之外的遠(yuǎn)程辦公和業(yè)務(wù)終端，方便管理員統(tǒng)一管理和維護(hù)，具有較高的實(shí)用價值。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/

本文標(biāo)題：遠(yuǎn)程終端安全管理技術(shù)研究

本文網(wǎng)址：http://www.oesoe.com/html/support/1112189297.html