计算机网络信息管理及其安全.pdf

计算机网络信息管理及其安全1李晓东阎保平（中国科学院计算机网络信息中心100080）摘要网络信息管理不同于传统的网络管理和信息管理，它的管理内容主要是网络信息及其服务，这种管理需求在OSI管理框架以及相关文档中没有明确提出过。本文对这个新的研究领域做了有益的研究尝试。本文介绍了网络信息管理的定义及其管理内容。在此基础上，分析了网络信息管理涉及到的安全问题，着重研究了其中的安全访问控制策略，并结合传输访问控制及安全监测方面的先进技术，提出了网络信息管理的安全构架。并已经将其应用于国家863重点项目“计算机网络管理与安全系统”中。关键词网络信息管理、访问控制、安全监测、X.509、PKI、LDAPComputerNetworkInformationManagementanditsSecurityLiXiaodongYanBaoping(ComputerNetworkInformationCenter,ChineseAcademyofSciences100080)Abstract:Networkinformationmanagementisdifferentfromtraditionalnetworkmanagementandinformationmanagement.InOSImanagementarchitectureandrelateddocuments,therearenoobviousproposalsofsuchrequirement.Wemadesomeconstructiveeffortsonsuchnewresearcharea.Thispapergivesthedefinitionandmanagementcontentofnetworkinformationsystem,andanalyzestherelatedsecurityproblems,especiallyforaccesscontrolpolicies.Andbasedontheadvancedtechnologiesintransferaccesscontrolandsecuritymonitoring,itpresentsthesecurityarchitectureofnetworkinformationmanagementandhaveimplementeditinthekeyproject“ComputerNetworkManagementandSecuritySystem”ofHigh-techResearchandDevelopmentProgramofChina(863).KeyWords:NetworkInformationManagement,AccessControl,SecurityMonitoring,PKI,X.509,LDAP1引言传统的网络管理主要是指网络运行管理，关心的主要是网络上的物理资源：网络设备、通信线路和计算机系统等，目前已经有很多关于网络运行管理的研究成果和成熟的系统，OSI的网络管理模型就是指的此类网络管理。信息管理是以信息技术为手段，研究信息的分布、构成、收集、处理、交换、开发利用和服务的学科。杂乱的信息只有运用现代化手段进行有效地处理，才可以使用，而已经条理化的信息资源，只有加强管理才能保持其有序性，以便最佳的开发和利用，发挥其应用价值。网络信息管理与网络运行管理和信息管理究竟有什么不同呢？我们认为网络信息管理1本文研究得到国家863重点项目“计算机网络管理与安全系统”研究基金资助，项目编号863-306-ZD-08。作者：李晓东，1976年生，博士研究生，计算机体系结构专业，目前在中国互联网络信息中心（CNNIC）从事网络通信安全以及网络协议方面的研究；阎保平，1950年生，研究员，博士生导师，主要研究领域计算机网络通信，下一代互联网络及其大规模数据库应用技术。本文通讯联系人：李晓东，北京349信箱,中国科学院计算机网络信息中心，100080LEECNNIC.NET.CN是对网络信息及其服务的管理，它关注于整个网络信息服务系统的正常运行，而不仅仅是常见的对某个网络服务的管理。此外，它管理的是网络上的虚拟资源（逻辑资源）：网络应用、网络服务、网络信息、安全和用户等，是以保障服务和应用为目标，从信息资源组织，信息平台协调，用户权限管理和安全防范策略等方面进行全方位集成化协调管理。所以说网络信息管理是特定意义和特定范畴上的信息管理，以网络基本信息和信息服务作为基本管理内容。只有对网络信息进行处理，并对信息服务本身进行有效的管理，才可以推动整个网络的发展和有效利用。2管理内容的分类网络信息管理是对网络信息及其服务的管理，对它的管理内容进行准确的分类将决定系统设计实现的优劣。我们将其划分为以下四类：基础运行信息：包括IP地址、域名和自治系统号（AS）。服务器信息：是指提供网络信息服务的服务器的相关信息。包括服务器的配置情况、信息服务和访问情况，负载均衡，信息服务的完整性和可用性等。用户信息：用户信息包括姓名、身份标识、部门、职位、职责权限和电子邮件等，它是安全访问控制的重要组成部分。我们采用用户信息实现基于角色的访问控制、身份认证以及角色的定义和修改等，这些是维护网络信息管理的基础。目前许多服务器引入Push技术，直接将用户关心的信息“推”给用户，使得用户管理同信息资源管理也有关【1】。网络信息资源：是指网络信息服务提供的信息资源。对它的管理主要包括信息发布、信息过滤、索引和导航的形成等。在实际环境中，信息在服务器上的分布是非线性和分散的，信息发布是分布式的和异步进行的，所以我们应该有序地安全地发布信息，防止信息的不合理泄露和不良信息的引入。【2】3网络信息管理中的安全问题网络信息服务体现了网络的价值，在使用和管理网络信息的过程中会涉及到很多的安全问题，因此如何保证网络信息服务及其管理的安全是十分重要的。在本节中，我们将对网络信息管理中安全问题进行分类。在主机/终端方式下，通常是通过对用户名/口令的管理解决安全问题；在局域网范围内，安全问题则主要是指维护共享信息资源，实施权限控制；而在Internet范围内安全问题就变得较为复杂。Internet是开放式的，这使它更容易被攻击，因此网络信息管理必须要考虑的安全问题主要包括如何保证信息访问和发布的安全，有效的用户权限控制，防止非法使用和攻击，安全检测及其恢复等。此外，我们知道，没有绝对意义上的网络安全，所有安全管理的目的都是最大程度地减少计算机网络资源的脆弱性，使得攻击的代价远远高于可能得到的收益，从而向用户和管理员提供不同程度的安全性和可用性。31网络信息管理中的六个安全概念网络信息管理是对网络信息及其服务的管理，而服务最终是面向用户的，因此我们必须从服务信息和使用者两个角度出发来分析网络信息管理中的安全概念。首先，与网络信息有关的安全概念有：保密性（confidentiality）、完整性(integrity)和可用性(availability)；其次，与使用者有关的安全概念有：认证（authentication）、授权(authorization)和抗抵赖(non-repudiation)【3】。这是本文研究安全管理的基础。保密性是指只有授权用户才可以访问数据信息，用于防止未授权用户访问或复制数据。通常是通过加密技术（cryptography）来实现保密性。完整性是指信息不被非法修改、删除、插入虚假信息，以及防止非法生成消息或重发，用于对抗破坏通信和重发的威胁。对于网络信息服务而言，数据完整性的重要性有时高于保密性。通常采用加密函数和散列函数来保证数据的完整性。可用性是指合法用户可以不受干扰地使用各种资源。一个具有可用性的网络信息服务系统应当能够在攻击发生后及时正确地恢复。一般通过加强系统的管理和设计来提高可用性。授权决定哪个用户可以访问特定的数据资源。授权决定了用户的权限，用户必须等到其身份被确认以后才可以进行被授权的操作。授权用来抵御系统入侵，访问控制列表和策略标签是常用机制。认证和授权紧密相关，认证用来确认用户的身份，用来对抗伪装和欺骗等威胁。认证包括实体认证（确认用户身份）和数据源认证（确认数据来自确定用户）。抗抵赖是指通信者不能在通信过程完成后否认对通信过程的参与。抗抵赖包括起源抗抵赖（保护接受方利益，证明发送方身份，发送时间和发送内容）和传递抗抵赖（保护发送方利益，证明接受方身份，接受时间和接受内容）。32网络信息管理中的两类安全问题作者认为，区分好安全问题的类别是十分重要的，因为它有助于采用适当的安全策略。因此，根据对上述六个概念的分析以及对网络信息的定义和分类，本文将网络信息管理中的安全问题划分为两类，一类是信息访问控制，主要针对保密性、授权、认证和不可否认；另一类是信息安全监测，则是针对完整性和可用性。对网络信息及其信息服务进行访问控制是网络信息安全管理的重要内容。访问控制的需求来自于使用者和资源拥有者两个方面，涉及到个人信息和信息发布的安全控制。网络信息资源是可以远程访问的，这个特征决定了传统的用户名/口令方式已远不能适应管理需要，如何控制对网络信息和服务的访问就成为网络安全管理中的重要问题。这需要用强规则来鉴别用户，并制定网络资源的访问控制策略。之所以要进行信息安全监测，是因为没有任何安全体系和措施可以认为是万无一失的，如果某个系统从未发现被攻击过的迹象，更可能的是已经受到攻击却没有被察觉。基于网络的这种易攻击性和脆弱性，我们必须尽早发现被攻击的现象，并在受到攻击后及时报警，而且要及时地恢复被破坏的关键数据。4安全策略研究为了解决网络信息管理中的两类安全问题，我们必须选择有效的访问控制和安全监测的策略。访问控制策略描述了访问控制的机制及其相关问题，在系统运行期间区分授权的和非授权的行为；对于信息安全监测的策略而言，考虑的是选择合适的完整性保证以及如何更规范的管理。明确划分受保护的关键数据，采用MD5摘要扫描监测再加上及时地报警和有效地恢复是比较好的解决方法。这一节我们将主要分析访问控制策略。41基于角色的访问控制目前有两种访问控制策略，基于规则(Rule-Based)和基于身份(Identity-Based)的访问控制策略，我们认为后者对于解决网络信息管理中的安全问题更为有效。基于规则的访问控制策略使用一组规则和标签来决定获得授权的条件。它为每个人、进程和数据资源制定标签和信任级别，利用规则来控制访问。基于身份的访问控制策略制定了基于某个唯一属性的访问授权原则，这种策略可以通过访问控制列表（AccessControlList，ACL）来实现。ACL列出所有具有访问授权的实体名称，数字证书则提供了另一种基于身份的访问控制机制【4】。在基于身份的访问控制方法中，目前最有效的是基于角色的访问控制(Role-BasedAccessControl，RBAC)。基于角色的访问控制的核心思想是将权限(permission)与角色(role)结合起来，用户(user)被赋予某种角色的同时就拥有了相应的权限，从而简化安全管理的复杂度。角色是形成访问控制策略的基础语义结构，它的层次结构和现实中的组织结构是类似的。根据责任和能力，用户被赋予相应的角色，用户角色随职责改变而变化，角色的权限也可以被修改或取消【5】。42采用X.509证书实现访问控制我们通过X.509证书来实现对用户身份的认证，目的是把用户和密钥结合起来，在验证用户身份的同时，实现基于角色访问控制。X.509证书、角色证书和权限证书与用户、角色和权限相对应，用户拥有X.509证书，通过角色证书定义角色，通过权限证书定义权限。为了满足访问控制的查询需要，我们将角色和权限的定义放在了目录服务器中。我们可以使用身份证书、角色证书和权限证书进行全面的访问控制。首先，用户向访问控制系统提交X.509证书；然后访问控制系统使用证书中的客户信息查询目录服务器，获取客户的角色；访问控制系统再使用客户要访问的资源名称查询目录服务器，获取该资源的权限定义，这样访问控制系统就知道可以允许哪些角色访问该资源。如果客户所具有的角色出现在权限定义中，就允许客户访问该资源。PKI(PublicKeyInfrastructure)是实现大型网络安全的技术规范，它可以管理证书的产生、存档、发放以及撤销，以及为体系中的各成员提供全部安全服务，实现通信中各实体的授权认证、数据完整性、非否认性和保密性等【6】。因此采用PKI机制发放X.509证书，赋予角色，确定资源使用权限的层次结构，从而实现基于角色的访问控制。5系统设计和实现根据以上对网络信息管理及其安全策略的研究，我们设计了基于Web的网络信息管理的安全构架，此构架重复兼顾了访问控制和安全监测两个方面。此外，为了有效地管理这些信息，我们利用LDAP目录服务来解决网络信息管理中的冗余问题以及满足查询需求【7】。该系统主要由管理服务器、目录服务器、证书服务器和应用服务器（可以多个）组成，系统结构如右图所示。在系统设计中，我们遵循PKI的规定，通过签发各种身份证书、角色证书和权限证书，实现了层次化的安全访问控制。管理服务器（访问控制和安全监测系统）应用服务器证书服务器目录服务器：存放用户信息，访问控制策略（身份，角色和权限定义等）；关键数据摘要和适度备份用户Internet管理服务器是一台支持SSL的Web服务器，它提供管理界面和证书申请表格，承担了访问控制的任务。用户通过管理服务器注册基本信息，注册通过后，管理服务器从目录服务器中查询访问控制策略（ACP）信息，把用户信息和相应的访问控制策略送到证书服务器，证书服务器根据这些信息颁发给用户相应角色的证书。管理服务器和证书服务器通过LDAP来访问目录服务器。系统采用基于角色的访问控制来实现安全访问控制。任何人的访问行为都要递交相应的证书，管理服务器验证用户的身份以及确定用户的访问权限，只有合法的用户才可以访问并进行相应的操作。管理服务器同时承担着安全监测的任务，它驱动相应的功能模块对关键数据文件生成MD5摘要，并定时进行摘要监测和比较，以确定其是否已被篡改。如果确定应用服务器被攻击，首先报警，并通知管理员将被攻击的应用服务器从网上隔离开，以防止入侵者予以更深入的破坏。如果是服务被破坏，则重新启动服务；如果是关键数据被破坏，则进行错误定位，并用备份数据恢复被破坏的文件。所有的处理过程和结果都要生成报告通知管理人员。网络信息管理系统的关键数据主要有：系统文件（口令文件、网络启动文件等）、网络信息服务的配置文件、关键业务信息（各种联机表格、管理文档，用户信息等）等。6结论网络的发展极大的促进了经济和社会的发展，然而在网络中总是有一些不安全的因素存在，对于已经网络化的社会和企业而言，正常的网络运行和信息服务是极为重要的，因为其失效将会带来沉重的后果，尤其对网络内容提供商ICP(InternetContentProvider，ICP)和应用服务提供商ASP(ApplicationServiceProvider，ASP)更是如此，因此解决好网络信息管理的安全性、易操作性、易管理性等等一系列问题，必将深入地推动网络应用的发展。OSI管理框架以及相关文档中没有明确提出过这种网络信息及其服务的管理需求，本文对此做了有益的尝试，在以后的工作中，我们仍将对此作深入的研究。参考文献【1】S.Acharya,M.FranklinandS.Zdonik,“BalancingPushandPullforDataBroadcast,ProceedingsofACMSIGMODInternationalConference,Tucson,AZ,May1997【