（计算机系统结构专业论文）基于scriptmib的安全网络管理系统的设计与实现.pdf

基于s o ti p t b 的安全网络管理 系统的设计与实现 摘要 r f 随着计算机互联网的迅猛发展，计算机网络的复杂性和异 构性不断增加，传统的集中式网络管理模式已经不能适应目前 网络发展的需求，网络管理系统正在向分布式、智能化和集成 化发展。 目前网络管理组织对分布式网管技术的研究主要集中在两 个方面：基于s n m p 管理框架的扩展和开发新的网络管理框 架。s c r i p tm i b 标准就是i e t f 的d i s m a n 工作组提出的基于 s n m p 管理框架的扩展标准，s c r i p tm i b 是由i e t f 为委托管理 功能而制定的s n m p 管理信息库，该标准提供了网络管理中更 强的智能分布性，并从网络管理中占主导地位的数据移动机制 、7 转向智能移动机制。， 本论文首先介绍了分布式网络管理的发展现状，接着重点 阐述了基于委托管理s c r i p tm i b 的概念和结构，以及基于 s c r i p tm i b 的应用前景。 第二部分重点介绍了本硕士论文研究的主要任务是：以网络 安全管理为切入点，采用分布式网络管理的s c r i p tm i b 标准， 设计一个基于s c r i p tm i b 的安全网络管理系统，并在l i n u x 平 f 台下实现了基本的功能。? 在s n m p 框架结构上，先提出定义安 ； 全m i b ，即定义能够提供实体安全相关信息和对实体的安全特 性进行配置的接口，然后将安全代理以a g e n t x 子代理的方式 加以实现；在安全子代理的基础上，采用分布式网络管理的 s c r i p tm i b 标准，设计一个基于s c r i p tm i b 的分布式安全网络 监测系统，并给出了在l i n u x 下的具体实现。本系统可应用于 主机安全常规检查和分布式网络入侵检测。 - _ - - - - - _ - - - - - 一一 v 第三部分介绍了s c r i p tm i b 的应用趋势基于s c r i p t m i b 的策略管理，阐述了其在分布式网管中的应用。最后对所 作的研究工作进行了总结，并就策略管理在分布式安全网络管 理中的应用做了展望。 关键词：s c r i p tm ib ，分布式网络管理，安全网管，策略 、 、 管理 t h ed e s i g na n d i m p l e m e n t a t i o no f t h es e c u r i t yn e t w o r k m a n a g e m e n t s y s t e mb a s e do ns c r i p tm i b a b s t r a c t w i mt h e r a p i dd e v e l o p m e n t o ft h ec o m p u t e rn e t w o r k t h e c o m p l e x i t y a n d i n 。h o m o g e n e i t y o ft h en e t w o r k k e e p si n c r e a s i n g ，w h i c hc a s e st h a t t r a d i t i o n a lc e n t r a l i z e dn e t w o r k m a n a g e m e n ts y s t e mc o u l dn ol o n g e rf i tt o t h e i n c r e a s i n gr e q u i r e m e n t so f t h ed e v e l o p i n gn e t w o r k n e t w o r k m a n a g e m e n ts y s t e m n o wh a sf o u n di t sw a yt ot h ed i s t r i b u t e d c o m p u t i n g a n d i n t e l l i g e n tm a n a g e m e n t c u r r e n t l y , m a i n s t r e a mo ft h er e s e a r c ha n d d e v e l o p m e n tw o r k c o n v e r g ea tt w oa s p e c t s ：t h ee x t e n s i o no ft h es n m pb a s e dm a n a g e m e n t f r a m e w o r ka n dt h ed e v e l o p i n go fan e wn e t w o r k m a n a g e m e n tf r a m e w o r k s c r i p t m i b s t a n d a r di sa ne x t e n s i o no ft h es n m p m a n a g e m e n t f r a m e w o r ki s s u e db yd i s m a n w o r k i n gg r o u po fi e t f i ti si nf a c ta n i n f o r m a t i o n m a n a g e m e n ts y s t e mp r o v i d e db yi e 盯f o rd e l e g a t i n g m a n a g e m e n tt u s k s o v e rn e t w o r k t h es t a n d a r dp r o v i d e st h ei n t e l l i g e n t d i s t r i b u t i o nw h i c hi sam o r e p o w e r f u lt o o lf o rn e t w o r km a n a g e m e n t t u s k s a n dt u r n st h en e t w o r k m a n a g e m e n t f r o mt h ew a yo fd a t at r a n s i t i o nt ot h e w a y o f i n t e l l i g e n c et r a n s i t i o n t h i sp a o e rf i r s ti n t r o d u c e st h ec u r r e n td e v e l o p m e n ts i t u a t i o no ft h e d i s t r i b u t e dn e t w o r k m a n a g e m e n ts y s t e m ，t h e nf o c u s e so n t h ec o n c e p ta n d a r c h i t e c t u r eo ft h es c r i p tm i bb a s e do nd e l e g a t i o no ft h em a n a g e m e n t t u s k a l s o ，t h ea p p l i c a t i o np r o s p e c tw i l lb ed i s c u s s e d t h es e c o n dp a r to ft h ep a p e rt a k e st h ef o c u so no u rm a i ns u b j e c to f o u rr e s e a r c h w o r k ：t a k i n g t h en e t w o r k s e c u r i t ya st h eb a c k g r o u n d ，d e s i g n as c r i p t - m i bb a s e dn e t w o r ks e c u r i t ym a n a g e m e n ts y s t e m t h e s y s t e m h a sb e e ni m p l e m e n t e du n d e rt h el i n u xp l a t f o r m b a s e do nt h es n m p 矗a r n e w o r k ，as e c u r i t ym i bh a sb e e nd e f i n e d ，t h a ti s t od e f i n eas e to f i n t e r f a c e sb yw h i c hw ec a r tp r o v i d et h er e l a t i n gs e c u r i t yi n f o r m a t i o no f t h en e t w o r ke l e m e n t sa n dt h ec o n f i g u r a t i o nt ot h es e c u r i t yp r o p e r f i e so f t h e s ee l e m e n t s a t i e r , w eu s ea g e n t xt o i m p l e m e n tt h es e c u r i t ys u b a g e n t s ；b a s e do nt h es e c u r i t ya g e n t s u s i n gs c r i p t i bs t a n d a r do ft h e d i s t r i b u t e dn e t w o r k m a n a g e m e n t ，w ed e s i g n e d a s c r i p t m i b b a s e d d i s t r i b u t e d s e c u r i t y n e t w o r km o n i t o r i n g s y s t e m a n dp r o v i d e dar e a l i m p l e m e n t a t i o nu n d e rl i n u xs y s t e m t h es y s t e mc a r lb ea p p l i e dt o a n o r m a ls e c u r i t yc h e c k i n go ft h eh o s t si nt h en e t w o r ka n dt h ei n v a d i n g d e t e c t i o nf o rt h ed i s t r i b u t e dn e t w o r k s y s t e m n et h i r dp a r to ft h ep a p e ri n l r o d u c e sa na p p l i c a t i o np r o s p e c to ft h e s c r i p t m i b ：s c r i p t m i bb a s e dp o l i c ym a n a g e m e n ts y s t e m a n dd i s c u s s e s i t sa p p l i c a t i o ni nt h ed i s t r i b u t e dn e t w o r ks y s t e m l a s t ，w eg e n e r a l i z ea l l t h er e s e a r c ha n dd e v e l o p i n gw o r ko fo u rp r o t o t y p es y s t e ma n d p r e s e n ta p r o s p e c to f t h e p o l i c ys y s t e m i nt h ed i s t r i b u t e dn e t w o r k s y s t e m k e y w o r d s ：s c r i p t m i b ，d i s t r i b u t e dn e t w o r k m a n a g e m e n t ， s e c u r i t ym i t 3 ，p o l i c ym a n a g e m e n t 上海交通大学硕士学位论文 第一章引言 1 1 研究背景 近几年来，计算机网络的发展异常迅猛，i n t e m e t 和电子商务的发展，信息技术 的应用模式发生了很大的变化，对网络的应用提出了更高的要求。随着计算机网络 的复杂性和异构性不断增加，服务的用户群越来越庞大，网络在规模和所提供的服 务量方面也呈极大的速度增长。通常它们是由集中式管理系统通过配置代理来管理 这些大量的网络设备。这些代理必须被预先定义和配置。事实上，由于网络担负的 工作越来越繁重，并且越来越复杂，传统的集中式网络管理模式已经不能适应鞫前 网络发展的需求。目前网络管理系统正在向分布式、智能化和集成化发展。研究分 布式网络管理系统的体系结构和关键问题、设计和实现实用的分布式网络管理系统 成为学术界和工业界共同关注的热点1 。 从网络管理和安全管理的关系来看，安全管理向来就是网络管理总体框架中不 可或缺的一个部分。i s o 定义了网络管理的五大功能( 故障管理、计费管理、配置管 理、性能管理和安全管理) ，安全管理就是其中之一。随着具有开放架构的i n t e m e t 的迅速发展，网络安全这一原先只被军方和政府部门重视的领域现在对普通公司企 业乃至对个人用户都具有了非常重要的意义。因此，在实践中，安全管理必须成为 网络管理的一个部分。另一方面，完善的网络安全保障体系也应该覆盖网络的各个 层次，并且与网络管理密切结合。 然而，由于种种原因，在实践中，安全管理在网络管理中并没有得到有效的体 现。网络管理相关的标准制定、系统的设计和实现中往往忽略了安全管理这一功 能。目前的网络管理系统和工具是专门为性能管理、配置管理和故障管理等设计和 优化的，通过它们无法实现有效的安全管理。而目前的专用安全管理工具和产品又 和网络管理系统不兼容，缺乏互操作性。 1 2 网络管理及其研究热点 现有的通用网络管理框架，特别是作为i n t e m e t 管理框架的s n m p ( s i m p l e n e t w o r k m a n a g e m e n t p r o t o c 0 1 ) 相关标准和协议 2 ，能够满足安全管理对系统框架的 一3 上海交通大学硕士学位论文 基本要求。同时，网络管理理论和技术研究仍在不断深入，新的实验标准和新的研 究热点不断出现。如m t f 的d i s m a n ( d i s t r i b u t e dm a n a g e m e m ) 工作组【3 】将委托管理 的思想加以标准化，推出了s c r i p t m i b 、s c h e d u l e m i b 等标准【4 pj ，提供了网络管理 中更强的智能分布性，并从网络管理中占主导地位的数据移动机制转向智能移动机 制。又如移动代理技术作为l n t e r n e t 时代的一种新的计算模式，在网络管理领域也得 到了广泛的关注。采用移动代理技术能将管理彻底地从数据移动转向智能移动，为 网络管理的性能和功能扩展等关键问题提供了全新的解决思路。 分配管理功能这个观点的提出是为了提高管理系统的可扩展性和灵活性。在 1 9 9 1 年，y e m i n i 和g 1 0 d s z m i d t 在他们的管理任务派遣( m b d ：m a n a g e m e n tb y d e l e g a t i o n ) 模型中阐述了这个观点。在模型中，管理功能在被使用之前可以动态地 加载，减少网络管理本身引起的带宽消耗，使得网络设备实现自我管理。被派遣的 代理可用某种语言编写和编译，其包含了要下载至被管实体的任务描述，m b d 将网 络管理的计算动态地分发至网络设备上的弹性服务器；另外也可采用基于语言的代 理来提供动态下载功能。例如使用j a v a 、t e l t k 和t e l e s c r i p t 编制派遣代理的脚 本，然后下载至远端的解释器上解释执行州。 网络管理标准组织i e t f 和i s o 倒，都已经在研究将m b d 模型结合到他们的 管理框架上，两个组织都制定了进行远程分配、执行、控制管理任务的方法，他们 将管理功能称之为s c r i p t s 。s c r i p t s 强调管理功能是可根据不同的需要进行定制。 s c r i p t s 可以由网管员编写，也可以根据第三方提出的具体管理功能进行设计和实 现。s c r i p t s 可以传送到远程节点执行。传输与执行的过程由相应的管理框架来控 制。 1 3 本文的主要工作 本文的主要任务是：以网络安全管理为切入点，采用分布式网络管理的s c r i p t m i b 标准，设计一个基于s c r i p tm i b 的安全网络管理系统，并在l i n u x 平台下实现 了基本功能。 论文主要从以下方面论述 1 ) 分布式网络管理的发展现状、基于子代理扩展的a g e n t x 协议和基于委托管理 s c r i p tm i b 的发展； 上海交通大学硕士学位论文 2 ) 在s n m p 框架结构上，提出定义安全m i b ，即定义能够提供实体安全相关信息 和对实体的安全特性进行配置的接口，然后将安全代理以a g e n t x 子代理的方 式加以实现； 3 ) 在安全子代理的基础上，采用分布式网络管理的s c r i p tm i b 标准，设计一个 基于s c r i p tm i b 的分布式安全网络监测系统，并给出了在l i n u x 下的具体实 现。 一5 一 上海交通大学硕士学位论文 第二章网络管理功能的分布模型 2 1 分布式管理 1 9 8 0 年底形成的早期网络管理模型的形成基于一个严格的集中式网络管理结 构，由一个中央网络管理工作站和一些提供管理信息的代理工作站构成。但是对增 强型网管系统的需求却不断增加，要求网管系统有更强的灵活性、鲁棒性，更高的 运行效率和更大的管理规模：被管理的网络系统的规模和带宽在不断的提高，异种 网络的互连，网络技术和服务种类也相应增多，同时被管系统的计算能力也在不断 提高。这些因素共同导致了分布式网络管理模型的提出【7 】。分布式网管系统基于被 称为“中间层管理者”的代表双任务实体的管理任务，使得网络带宽变小，另外对 图2 1 ：从管理准则到管理系统特点到分布管理模型 f i g u r e2 - - l ：f r o m am a n a g e m e n t p r o b l e m t om a n a g e m e n t s y s t e m c h a r a c t e r i s t i c s t om a n a g e m e n td i s t r i b u t i o nm o d e l s c p u 和存储设备的需求也能分布在这些“中间层管理者”中间。更重要的是，利用 信息冗余能够提高系统的鲁棒性，另外代码甚至过程的动态重用能够改善系统的灵 活性。 一6 一 上海交通大学硕士学位论文 网络管理问题有系列相关的管理标准，将这些标准和一些给定场合的管理系 统的特性相组合，可以导出四种分布式管理模型：集中式、弱分布式、强分布式和 协作分布式模型。详细分析过程可以用图2 1 来表示。 2 2 管理准则 本节列举了八个管理问题的标准的列表，以次可以总结出一套重要的管理系统 的特性。这些标准中有一些是与普遍的管理特性相关的，而另外一些是完全独立 的。 1 轮询频率 管理应用可能对管理对象的轮询频率有多种不同的需求。网络监控和计算的高速 要求以及在需要及时处理错误的情况下，缺乏异步通讯机制，正是需要较高轮询频 率的原因。 2 代理的个数 代理的个数和网络管理的流量直接相关。 3 管理对象的个数 和单一管理任务之中的管理代理的个数类似，管理对象的个数也会影响网络的 流量。只有在有限的程度上，能够用在一般协议需求中，通过收集多种变量的方式 来减少网络流量。 4 网络拓扑 当一个大的物理网络有分层的复杂拓扑，例如有一个拥有多个办事处的跨国公 司，很可能在分配管理任务给网络元素的时候，会依照网络拓扑来进行。 5 管理域 和网络拓扑相比，在网络中可能存在一个独立的管理域。例如，网络应用服务 可能独立于网络互连管理。为了保持这些管理域的独立性，将管理任务和他们的物 理位置和运行环境分开是十分合理的。 6 安全性的考虑 和管理上的原因类似，有时因为有不同的安全原因将不同的管理任务分来。例 如，员工信息和他们的口令的管理通常有比监控网络设备更高的安全需求。 7 可靠性的需求 可靠的管理功能必须依靠可靠的底层运行网络。例如，如果一个不可靠的w a n 互连把相应的管理者和涉及的l a i n 分离的话，l a n 中的错误条件就不可能被识别 和消除。这样需要高度可靠的管理者行为就不能在这样的环境下实现。 8 网络性能 一7 上海交通大学硕士学位论文 和底层网络的可靠性类似，考虑到平均和最大的网络负载，网络的吞吐和延迟 可能也需要被考虑。 2 3 管理系统的特点 在这一节中提出一些管理系统的特性，这对建立一个合适的分布式管理系统模 型是很重要的。对每一个管理特性的描述都是基于上述的管理标准。 1 管理员和管理元素的个数 如果在顶层管理员和被管理的代理之间的管理信息流量相对于网络带宽相对较 大的情况下，一个非集中式的范例将会更加适用。之所以有很大管理信息流量，是 因为有较高的轮询频率、大数量的被单一管理员控制着的代理、以及由于大量的语 义交互而造成的海量管理信息的通讯。 因此，相对于系统中所有元素数量，我们能够增加管理者的数量m ( 包括顶层 管理者和中间层管理者) 从而可以将c p u 和网络的负载分布在这些管理者之间。而 且，所有这些增加了的管理系统互异性标准也显然地增加了管理者的数量。 2 元素间的互连性 除了管理系统中元素的数量之外，管理者之间的通讯关系的数量c 和系统中所 有元素的数量m 之商能被用来表述另外一个重要的特性。我们称之为互连特性，c = c m 。 系统中有较高的互连性的原因，可能是由于为了增加系统稳定性而增加的冗 余，也可能是由于一个单一管理任务的多个通讯子任务在网络中的分布计算。 3 互异性 安全性的考虑、多种的管理域以及系统可靠性的要求使得产生一系列分离的管 理任务。这样，这些标准能在总体上增加管理系统本身的互异性。 4 委托域 基于不同的标准，我们能够决定哪些任务委托给哪个管理者。由于系统元素的 广泛分布，以及它们之间不可靠的或者是慢速的连接，地理或者拓扑上的因素可能 变得很重要，因此把中间管理者分布在对应代理的附近是一个很合理的措施。在其 他的情况下，划分功能区域是很有意义的，并且以不同的功能性管理任务创建委托 域也可能在紧密分布的中间代理者上进行。 5 管理任务的复杂性 另外个标准就是将多个管理任务的复杂度分布在管理系统中的多个管理者 上。在第n 层的管理员的复杂度越高，那么n 层之上的管理员的复杂度就越低，它 们之间的网络连接度就越小。 一8 一 上海交通大学硕士学位论文 增加中间管理者复杂度的标准和划分多个委托域是类似的。 6 动态委托 和传统的利用静态节点上的静态代码完成管理任务相比，分布式管理系统能够 显示不同程度的动态任务分配和重定位。这常被称之为“移动代码”。它可以被量 化为导致管理者任务拓扑的改变以及拓扑变化频率改变的一系列规则。 一个给定场景下动态代理的程度依赖于构造管理模型的抽象程度。例如在一个 网管系统中，管理员必须监控网络中所有的路由器，而他并不了解这些路由器各自 的细节，在这种情况下，为了将管理任务分派到每一个当前检测到的子网中，动态 定位这些路由器是很合理的。另一方面，如果管理者被配置成能够静态的了解所有 子网信息的话，动态代理就没有必要了。 7 过程处理移动化 动态委托只能用来增加静态代码的移动性，而过程处理移动化能影响运行中的 管理进程和它们的运行状态的代理。这个标准常被称之为“移动代理”。和动态委 托类似，移动过程处理能够被量化为使得处理过程从一个中间管理者迁移到另一个 中间管理者的规则的使用频率和数量。移动代理十分适用于描述抽象度非常高的网 管系统。 2 4 管理分布模型 前面列出了四种基本的分布式管理模型以及各种管理特性。在本节中，将阐述 如何组合前面提出的各种管理特性，映射到这四种不同的基本管理模型上来。 典型的集中式管理结构包含两种层次：一个单一的( 顶层) 管理者和一些代 理。在这种层次中，互连性为零。相反，如果管理者个数m 接近与系统所有元素的 个数n ，并且互连性c 很高的话，这就是一个“协作式管理系统”。在这两种层次 之间，我们能够区分出另两形式：弱分布式系统，和强分布式系统。图2 阐明了这 种分类情况。图2 2 表明了这些分布式模型的结构。 1 。m c = 0c e n t r a l i z e dm a r l a g e m e n t 1 ( m no ( c ( 1 w e a k l yd i s t r i b u t e dm a n a g e m e n t lmn 1=cm s t r o n g l yd i s t r i b u t e dm a n a g e m e n t l 新框架：相对于在现有的框架上进行集成的方案，近年来也有许多研究开发 全新的管理框架。新管理框架最基本的技术就是移动代理( m o b i l ea g e n t s ) ， 目前从移动代理的热点转向主动网络( a c t i v en e t w o r k s ) 。主动网络是个比 较新的概念，这种网络不仅传输字节，同时它还是一种更通用的计算模型。 主动网络不像传统网络那样只是被动地传输字节，而且具有提供使用者输入 定制程序到网络中的一种能力。网络结点解释这些程序后，对流经网络结点 的数据进行所需的操作。主动网络可以被简单地看作是一组“主动结点”， 这组结点对流经过它们的数据完成预订的操作。传统的数据网络提供了一种 传输机制，用来把字节从一个端系统传送到其他地方，计算量非常小。与之 相比，主动网络不仅能使网络结点对数据进行计算，而且还可以允许使用者 输入定制好的程序到网络的结点上，并对在网络中流通的数据进行修改、存 储和重新定向。 上海交通大学硕士学位论文 第三章s c r i p t m i b 协议 3 1i e t fs c r i p tm i b 概况 现有的通用网络管理框架，特别是作为i n t e m e t 管理框架的s n m p 相关标准和 协议，能够满足安全管理对系统框架的基本要求。同时，网络管理理论和技术研究 仍在不断深入，新的实验标准和新的研究热点不断出现。如m t f 的d i s m a n 工作 组将委托管理的思想加以标准化，推出了s c r i p tm i b 、s c h e d u l em i b 等标准，提供 了网络管理中更强的智能分布性，并从网络管理中占主导地位的数据移动机制转向 智能移动机制。s c r i p tm i b 是由i e t f 为委托管理功能而制定的s n m p 管理信息库， 它包括以下功能】： 将管理脚本传送到分布式代理点； 将代理点的脚本进行初始化，暂停，重启，中断； 为管理脚本传送参数； 监视和控制运行中的管理脚本； 传送脚本运行后的结果； s c r i p tm i b 首先要保证所有的管理功能被写成可执行代码的脚本，然后被安装 到网络节点。s c r i p tm i b 支持任意的编程语言，也不限制代码的格式，甚至允许委 托编译过的代码脚本，只要它们能够在s c r i p tm i b 的控制下可以执行。 3 2s c r i p tm i b 的框架结构 3 2 1 s c r i p tm i b 的结构 图3 1 为s c r i p t m i b 的逻辑结构，共包括6 个表。 s m l a n g t a b l e 和s m e x t s n t a b l e 里包括s c r i p t 支持的语言及其扩展的信息。目 前已支持j a v a 虚拟机和t c l 解释器，可选项语言扩展提供本地资源或网络协议的接 口。 s m s c r i p t t a b l e 列出了所有安装在网络节点上的脚本。管理员可以安装和删除 脚本、读取和修改脚本的状态( e n a b l e d ，d i s a b l e d ，e d i t i n g ) 。s m s c r i p t t a b l e 主要是为 s c r i p t s 实现接口。代理可以通过u r l 下载安装s c 咖t s ，也可以将它们存到 一1 2 一 上海交通大学硕士学位论文 s m l m n g l n d e x ：i n t e g e r 3 2 s m l a n g l a n g u a g e ：o b j e c t i d e n t i f i e r s m l a n g v e r s i o n ：s n m p a d m i n s t r i n g s m l a n g v e n d o r ：o b j e c t i d e n t l f l e r s m l a n g r e v i s i o n ：s n m 口a d m i n s t r i n g s m l m n g d e s c r ：s n m p a d m i n s t r i n g 襄 塾垒垡型生型兰l s m s c r i p t o w n e r ：s n m p a d m i n s t r i n g s m s c r i p t n a m e ：s n m p a d m i n s t r i n g s m s c r i p t d e s e r ：s n m g e d m i n s t r i n g s m s c r i p t l a n g u a g e ：i n t e g e r 3 2 s m s c r i p t s o u r c e ：d i s p l a y s t r i n g s m s c r i d t a d m i n s t a t u s ：e n u m e r a t i o n s m s c r i p t s t o r a g e t y p e ：s t o r a g e t y p e s m s e r i p t r o w s t a t o s ：r o w s t a t u s 饔 l0+ s u p p o r t s t s m l a n g l n d e x ：i n t e g e r 3 2 s m e x t s e i n d e x ：i n t e g e r 3 2 s m e x t s n e x t e n s i o n ：o b j e c t l d e n t i f i e r s m e x t s n v e r s i o n ：s n m p a d m i n s t r i n g s m e x t s n v e n d o r ：o b j e c t i d e n t i f i e r s m e x t s n r e v i s i o n ：s n m p a d m i n s t r i n g s m e x t s n o e s c r ：s n m p a d m i n s t r i n g 0 十 c o n s i s t s o f s m l a u n c h ( h n e r ：s n m p a d m i n s t r i n g s m l a u n c h n a m e ：s n m p a d m i n s t r i n g s m l a u n c h s c y i p t ( 3 w n e r ：s n m p a d m i n s t r i n g s m l a u n c h s c r i p t n a m e ：s n m p a d m i n s t r i n g s m l a u n c h m a x r u n n i n g ：u n s i g n e d 3 2 s m l a u n c h m a x c o m p l e t e d ：u n e i g n e d 3 2 s m l a u n c h l i f e t i m e ：t i m e i n t e r v a l s m l a u n c h e x d i r e t i m e ：t i m e i n t e r v a l s m l a u n c h s t a r t ：i n t e g e r 3 2 s m l a u n c h c o n t r o l ：e n u m e r a t i o n s m l a u n c h a d m i n s t a t u s ：e n u m e r a t i o n s m l a u n c h 0 口e r s t a t u s ：e n u m e r a t i o n s m l a u n c h s t o r a g e t y p e ：s t o r a g e t y p e s m l a u n c h r o w s t a t u s ：r o w s t a t u s s m s c r i p t ( h n e r ：s n m p a d m i n s t r i n g s m s c r i p t n a m e ：s f i m p a d m i n s t r i n g s m c o d e l n d e x ：u n s i g n e d 3 2 s m c o d e t e x t ：o c t e t s t r i n g s m c o d e r o w s t a t u s ：r o w s t a t u s l0 从设计和实现的角度讲，一旦接口明确定义( 主要就是安全m i b 的定义) ，则 各层可以独立设计、实现、维护和升级。 4 2 2 系统中的关键组件 4 2 2 1 安全代理层 安全代理层包括处理s n m p 协议操作和通信的s n m p 代理，该代理同时又是 a g e n t x 主代理。在s n m p 代理的下面通过a g e n t x 协议挂接安全子代理。各个安全 子代理之间完全独立，负责主机和网络安全的一个方面。目前系统中已经实现了3 种安全子代理，其中包括： 4 2 2 1 1 主机安全信息子代理 主机安全信息子代理负责提供和主机安全审计密切相关的系统基本信息、用户信 息、登录信息、进程信息和网络状态信息。 4 2 2 1 2 网络入侵检测子代理 网络入侵检测子代理是一个轻型的网络入侵检测系统，它通过抓取数据包进行分 析及时发现来自网络的可疑数据包。作为a g e n t x 子代理实现的轻型网络入侵检测 代理能够通过m 将代理的基本信息、运行状态、事件信息和触发事件对应的数据 包信息提供给应用层：提供了针对规则系统的基于m 的配置接1 3 ；发生可疑事件 时能够通过s n m pv 2n o f i f i c 撕o n 及时通知应用层的处理模块。 4 2 2 1 3 系统日志监视子代理 系统日志监视子代理的设计和网络入侵检测代理类似，所不同的是它的监视目标 为系统中的重要日志文件，发现与安全事件相关的日志记录后能够通过s n m pv 2 n o t i f i c a t i o n 及时通知应用层的相关模块。应用层也能够通过m m 访问系统日志监视 子代理的基本信息、性能信息、事件信息和触发事件对应的日志记录；并且也提供 了针对规则系统的基于m i b 的配置接口。 4 2 2 2 安全应用层 2 2 上海交通大学硕士学位论文 安全应用层在系统中主要有如下作用 4 2 2 2 1 数据汇总 各个安全子代理维护的主要是所在主机的安全信息，网络入侵检测子代理检测的 也只是所在检测点处所能捕获的网络数据包。因此，应用层需要采集来自各个子代 理的安全信息进行汇总。这种汇总表现在时间上就是构造历史数据库，为检测时间 跨度较大的多阶段安全事件提供基础数据；表现在空间上就是构造系统的全局视 图，为实现分布式和协同式的入侵检测和安全审计提供基础数据。数据汇总的另外 一大优点是立刻将重要数据备份到安全的应用服务器中，入侵者通过篡改日志就无 法避开系统的审计机制。 4 2 2 2 2 数据相关性分析 安全子代理的局限性是它们只掌握本地数据。而且由于资源的限制，安全代理对 数据的分析是非常初步的，特别是不能处理长时相关的数据。如网络入侵检测子代 理对数据包检测和分析是逐包进行的。因此，需要在应用层设计和实现能对汇总后 的具有空间分布性和时间分布性的数据进行综合分析的安全应用模块。 4 2 2 2 3 事件记录 安全子代理发现紧急事件后采用s n m pv 2n o t i f i c a t i o n 机制发出通知。通知的直 接接受方不应该是最终用户，而应该通过事件记录模块进行存储转发。这是因为： - 用户的通知接收程序可能没有运行，这会造成事件通知丢失； 事件通知应该可以被多用户读取，因此必须在系统中加以存储； - 在安全代理处由于资源的限制无法对事件进行有效地过滤，如果大量虚警或 重复事件直接发送给最终用户，会干扰用户的判断： 事件必须以一种便于审计的方式加以存储，以便和其它分析处理模块接口： - 事件可以触发相关的安全应用模块进行适当的动作，如触发数据采集模块及 时采集事件发生时刻的安全数据，触发响应模块进行恰当的动作，触发其他 通知机制等等。 事件记录模块的核心是s n m p t r a p d ，通过在s n m p t r a p d 上挂接处理程序，能够实 现包括事件记录、过滤和分析等各种功能。 4 2 2 3 用户界面层 2 3 上海交通大学硕士学位论文 用户界面层同样是系统中非常重要的一层，它体现了安全管理的应用模式，而应 用模式的友好性和高效性将最终决定系统的实用性。目前系统的用户界面层实现的 功能包括： 4 2 2 3 1 m i l l 浏览 浏览安全子代理通过安全m 提供的实时数据。 4 2 2 3 2 代理配置 通过安全子代理提供的m i b 配置接口可以对安全子代理的运行性能进行调整， 对安全策略进行重新定义。例如当网络入侵检测代理的某条规则产生大量的虚警事 件时，管理员可以暂时禁止该规则：又如系统中启动或关闭了某项服务，则管理员 可以将针对该服务攻击的规则使能或禁止，从而获得安全性和资源开销之间的最佳 配置。 4 2 2 3 3 历史数据浏览 通过数据采集应用模块得到的历史数据保存在关系数据库中；为了便于对数据进 行图形化，一些趋势数据保存在r r d 中。用户界面层需要提供用户查询历史数据的 界面。 4 2 2 3 4 事件监测 提供用户实时获知系统中安全事件的界面。该界面可以通过快速自动刷新的 w e b 页面来实现，也可以通过传统应用程序来实现，还可以采用诸如自动寻呼、手 机短消息等先进通讯手段加以实现。 4 2 2 4 组件间的通信 系统中各个组件间的通信方式可以用表4 一l 表示： 从表格中可以看到，系统组件之间的通信方式主要有s n m p 、a g e n t x 、d b i 和 h t t p 。通信机制的设计原则是只允许必要的组件间通信，这就为安全通信和访问控 制的实现提供了便利。 4 2 3系统自身的安全性分析 我们从安全通信和访问控制的角度探讨本系统的安全性。上面提到系统中的通信 机制包括a g e n t x ，s n m p ，d b i 和h r r p 四大类。 2 4 上海交通大学硕士学位论文 安全子代理s n m p 代 安全应 数据库 w e b 用户 ( a g e n t x理( a g e n t x 用 服务器 界面 子代理) 主代理) 安全子代 理( a g e n t x a g e n t x 子代理) s n m p 代理 s n m p ( a g e n t x 主 代理1 安全应用 d b i 数据库 d b i w e b h t t p 服务器 用户 界面 表4 1 组件间的通信 t a b l e4 1c o m m u a i e a t i 0 1 1o f t h em o d u l e s a g e n t x 在系统中用于同一台主机上的主代理和子代理之间进行通信。由于信息 不经过网络传输，所以除非入侵者已经攻破代理驻守的主机，否则是无法对其进行 攻击的。即使被管主机已经被攻破，入侵者也很难在保证安全代理正常运行的基础 上对主、子代理进行替换。如果入侵者干扰了安全代理的正常运行，而应用层能够 立刻发现，并且触发报警和响应机制。 s n m p 用于应用层和主代理之间的通信。s n m p v 3 提供了安全通信的机制，支 持数据的加密传输