（计算机软件与理论专业论文）基于集群的网络体系结构与安全审计.pdf

独创性声明 本人声明所呈交的学位沦文足本人在导师指导卜进行的研究1 作及取得的研究成果。据我所知，除了文中特别加以标注和致鼢的地 方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含 为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。 与我同工作的同志对本研究所做的任何贡献均已在论文中作了明 确的说明并表示谢意。 签名： 垒：兰：日期：乃珥年2 月。7r 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论文 的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁 盘，允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文 的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或 扫捕等复制手段保存、汇编学位论文。 r 保密的学位论文在解密后应遵守此规定) 签名：遣卫彳、 导师签名 日期： 蹿 摘要 i n l e r n c t 的产生可以说是一种文明时代发展的必然，但同时也是人类在科 学技术的探索过程当中的一次偶然。随着网络多媒体、网络高性能计算、用 户移动按入、海量信息存储和处理等等新兴技术的不断涌现，网络体系结构 的安全性和稳定性也在接受着不断的挑战。现有的互联网络的体系结构已经 不能满足信息网络发展的需要。构件新型的网络体系结构是人们对下一代网 络( n g n ) 发展的期待。因此，采用集群来构造种网络拓扑结构，也是想 在这样一种社会、技术背景之下做出点尝试。正是基于此种考虑，同时由 于集群表现出来的可靠性、稳定性和可扩展性，本文提出了一种新的拓扑结 构：集群单元。在此基础之上，萄绕集群建立一个多层次、分布式的网络实 时安全审计、响应结构，使集群直接参与数据传输和系统安全分析，并尝试 在l i n u x 系统环境下实现一种针对系统内核调用的安全审计策略，监控运行 主机的各类不同安全级别的系统调用，按照实际需要控制系统响应，并为各 类用户提供安全等级审查制度。根据此策略使系统安全融入到系统构粲之中 垦丕堕查圣鎏度，加强网络取证和焦星嵫塞，并可以 - ，j ，一 为进步的自卫式反击提供信息依据。 关键字：集群，l i n u x ，网络安全，系统结构，系统调用，安全审计 a b s t r a c t i nh u m a nb e i n gc i v i l i z a t i o nd e v e l o p m e n t i ti sc e r t a i nt ot h ed e v e l o p m e n to f i n t e r n e t b u ti nf a c ti ts h o u l db eao c c a s i o n a lr e s u l ti nt h er e s e a r c ho ft h ep e o p l e l s s c i e n c ea n dt e c h n o l o g y s o ，w i t ht h eg r e a td e v e l o p m e n to fi n t e r n e t ，t h ec h a n g i n g a p p l i c a t i o nr e q u i r e m e n t sa n dt h en e e df o rm o r es e c u r i t y a r ee a t i n ga w a ya tt h e v i a b i l i t y o ft h e o r i g i n a l i n t e r n e ta r c h i t e c t u r e t h ed e s i g no f t o d a y s i n t e r n e t t e c h n o l o g yd o e s n o ts a t i s f yb e i n gg u i d e db ya na r c h i t e c t u r e d e v e l o p e di n t h e 1 9 7 0 sa n ym o r e t h es t a b i l i t ya n ds e c u r i t ya r eb o t hf a c i n gt h ec h a l l e n g eo f v a r i o u sn e wi n t e r n e t t e c h n o l o g i e s i t i s q u i t en e c e s s a r y i n n e x t g e n e r a t i o n n e t w o r kt h a tan e wa r c h i t e c t u r em i g h tb ed e s i g n e dt oc r e a t eg r e a t e rf u n c t i o n a l i t y ， g e n e r a l i t y ，a d a p t a b i l i t ya n dr o b u s t n e s s a na t t e m p t ，w h i c hs e t s ak i n do fn e w a r c h i t e c t u r ew i t hc l u s t e r , w o u l db ed o n eh e r ei nt h i se n v i r o n m e n t t h e a r c h i t e c t u r e ，n a m e l yc l u s t e ru n i t ，i sf o u n d e d w i t hc l u s t e rs y s t e ma n da i m sf o ra s o r to fm u l t i p l e - l e v e l sa n dd i s t r i b u t e dr e a l - t i m es e c u r i t ya u d i ta n dr e s p o n d i n g s t r u c t u r e o nt h eo t h e rh a n d b ym o n i t o r i n gt h ea l l s y s t e m c a l l si nk e r n e l e n v i r o n m e n t ，t h en e ws y s t e ma r c h i t e c t u r ew i t lb es e tt oi m p r o v et h es e c u r i t y r e s p o n s ea n ds t r e n g t h e nt h et o l e r a n c eo ft h ei n f o r m a t i o ns y s t e m k e yw o r d s ：c l u s t e r , l i n u x ，n e t w o r ks e c u r i t y , s y s t e ma r c h i t e c t u r e s y s t e mc a l l s ，s e c u r i t y a u d i t 2 第一章引言 1 1i n t e r n e t 发展现状 时至今日，我们必须承认，互联网络的产生和蓬勃发展是一次偶然；同 时，它又是一种必然。说它偶然，那是因为最初的计算机网络只向特殊群体 和个人开放，仅仅能够供军事、国防和少数个别的重点研究所从事科学研究 之用，而且信息资源非常匮乏，服务种类和形式远远不如现在那么丰富多彩。 它能够在短短几十年的时间内，发展到今天这样的规模，使众多的行业和群 体受益，用“无心插柳”来形容它的发展奇迹，相信也绝不过分。然而，计 算机网络终究是以极其不可思议的扩张速度，飞入了寻常百姓家中。这种结 果反映了科学技术的进步，也是人类社会文明发展的必然。 根据国际网络设备供应商c i s c o 在我国国内三座城市所做的抽样调查表 明，即使是在2 0 0 1 年的时候，各单位用户中大约有8 3 1 的用户拥有了本地 局域网络( l a n ) ，成都市单位用户拥有局域网络的比例就达到了8 7 _ 3 ，除 了教育、写字楼和企业单位用户以外，其他行业单位用户平均拥有局域网络 的比例都高达8 0 以上，其中更以电力、酒店、民航、银行、证券、财政和 政府此类单位的网络拥有量达到了1 0 0 的比例。不管是这些单位将拥有内 部各自独立的网络环境，还是它们终将连接起来成为i n t e r n e t 的一个部分， 这都完全可以说明，至少在中国，网络正在急速的向人们生产和生活的各个 方面进行渗透。虽然不得不说政府的大力支持促进了网络( 尤其是计算机网 络) 在我国的快速发展，但是，没有全球性的网络发展大环境，相信我们的 发展速度也绝不会如此迅速。 与此同时，不光是网络规模，而且网络的容量( 带宽) 、数据量、接入设 备、接入方式、应用服务种类及其方式都在发生着日新月异的变化。据预测， 在未来5 年内，将会有近1 0 亿人每天使用i n t e r n e t ，数以千亿计的手持嵌入 终端接入网络，而且到那时，摩尔定律将继续产生作用，芯片性能价格每 4 1 8 个月翻一番，那么5 年就是1 0 倍，1 0 年就是1 0 0 倍，1 5 年就是1 0 0 0 倍， 近1 8 个月的进展将近似于以前全部发展进展。密集波分复用成为宽带i p 的 主流技术，广域网带宽一年增长4 倍( 三年6 4 倍) ，图形能力三年增长1 0 0 倍，存储能力二年增长7 倍，光纤通信成本几乎为零，家庭拥有g 位带宽、 t b 存储容量。 随着计算的复杂性的不断提高，人们对于计算机和网络的处理能力提出 了更高的要求，因此，集群、网格等高性能计算资源也开始越来越多的为人 们所关注。i b m 的“蓝基因”计划以及美国政府发起的p e t a f t o p s 计划等都是 为了在有限的资源下充分利用计算资源为人类服务的尝试。 据世界银行报告：信息应用程度与获取能力决定民族今天与未来发展状 况，i t 不仅是强大产业而且对社会有无与伦比的影响。计算机网络作为信酽 数据的基本载体和主要传输媒介，则必然会在人类文明的发展史上起到重要 的作用。 然而，伴随着计算机网络这个怪物的急剧膨胀和扩张，其安全脆弱性和 功能上的先天不足等缺陷也就开始逐渐显现出来。现在看来，信息网络的沟 通“便利”不仅给人类带来了幸福，同时也让许多不法之徒变得有机可乘， 以至于信息社会里( c y b e rs t c i e t y ) 的“网络犯罪( i n t e r n e tc r i m e ) ”日益猖 獗。网络色情、电脑病毒、网络泄密、网络洗钱等违法犯罪活动在互联网络 内屡禁不止，而且日益泛滥的趋势。同时，互联网络的隐蔽性和广泛性使得 国际恐怖组织、国内的违法组织利用其作为掩护，组织和遥控恐怖活动。 1 2 网络信息安全的现状 美国曾经有一位警长这样形容互联网络：“这里就像个没有警察的大城市 一i n t e r n e t ，完全无法无天，而且坏人利用电脑网络的本事远远胜过警察；同 时身为警察，你们应该知道有这个新的犯罪领域；这是最新的警务区，却没 有人去巡逻。” 事实的确是如此，每年因为网络犯罪等违法行为给世界经济造成的损失 就可达几百亿美元，没有安全保障的信息网络俨然成为了电子商务和电子政 务发展的严重桎梏，妨害了互联网络自身的健康发展。概括起来，影响网络 安全的行为，或者说当前网络安全的现状主要包含以下几个特性： l 、隐蔽性 网络犯罪的行为人往往利用种种技术上和管理上的漏洞，入侵并危害客 户网络系统，一般的网络管理人员不能察觉到这样的改变，对于网络的一时 异常也只是以为发生了软件或硬件方面的故障，而不是首先考虑到可能发生 的网络安全事件。据美国联邦调查局( f b i ) 的估计，全世界的电脑犯罪大 约只有百分之一能够被发现，而在这些被发现的案件中，也只有大约百分之 四会到达相关的技术侦查机关。 2 、智能化 软件炸弹、电脑黑客等典型的电脑犯罪形态表明，行为人必须具备相当 的计算机、网络专业知识，或者接受过相关的技术培训，具备实施网络犯罪 的技术准备，熟悉网络应用、网络协议以及各种网络工具的使用。因此电脑 犯罪具有智能化的特性。不幸的是，随着越来越多的人开始关注网络安全， 尤其是大量的未成年人介入网络虚拟世界，他们对于是非的判断能力影响了 他们正确的认识网络安全的重要性和巨大的危害性，在纯粹的盲目追求刺激 和“成就感”的驱使下，他们开始搜索各类网络安全信息，实施网络入侵， 并引以为荣。他们这些中学生，甚至有些还是小学生，已经能够熟练的掌握 大量网络入侵工具的使用，熟悉相当数量的网络安全漏洞。因此，信息安全 的智能化并不完全表现在行为人的受教育程度上，而是由网络入侵工具的智 能化、受害群体以及实施网络犯罪的手段的高科技含量所表现出来的。 3 、职业相关性 大多数的电脑犯罪案件，是行为人利用执行职务之便所进行的，因此从 事网络犯罪的行为人，有相当大的比例是一些处理日常技术管理或维护事务 的工作者；而且对于担任某一相关职位时间越长的人，他们对所接触到的网 络技术和管理规则就越发熟悉，发生网络犯罪的几率要远远高于对专业知识 不了解的人。 4 、破坏性 针对一九五八年至一九七五年在美国所发生的电脑犯罪案例研究指出t 平均每件案例造成的损失高达四十五万美元，而传统的银行欺诈等案件的平 均损失则只有一万九千美元，银行抢劫的平均损失也不过是四千九百美元， 1 至于一般强盗案件的平均损失更是只有三百七十美元。而且电脑犯罪造成的 损失还有逐年增加的趋势。如果电脑犯罪进入交通、航空、军事国防等领域， 其造成的生命财产损害比传统暴力犯罪危害更大。况且，此类电脑犯罪所造 成的高额损害不仅涉及到个人生命财产，更可能扰乱整个国家社会的政治、 经济秩序。据国家计算机网络应急技术处理协调中心( c n c e r t c c ) 统计报告 显示，根据c n c e r t 对一些当前常见的攻击手段的监测，二零零三年前六个月 我国互联网近七十万台主机先后受到来自境外的攻击。从c n c e r t 还了解到， 二零零三年前五个月，我国大陆至少有1 5 0 个网站的网页被篡改其中包括8 7 个政府网站。另外，台湾及香港也分别有5 3 4 、6 0 个网站的网页被篡改。二 零零三年年初世界范围的“s o l 杀手蠕虫”攻击浪潮中，我国有两万多台数 据库服务器受到影响，其中我国某骨干网的国际出入口基本瘫痪。这些也还 仅仅是公开发布的网络安全事件。 5 、简单化 由于互联网络本身的开放性，各种网络入侵教程和入侵工具随处可得， 不同年龄层次的人群都可以通过各种各样的接入方式进入互联网络，获取他 们感兴趣的所有资料。所以，随着各类网络入侵工具和入侵手段的普及，获 取网络安全漏洞和各类有效的网络入侵工具十分容易，发动一次网络攻击所 需要的专业知识反而越来越少，攻击者的年龄也越来越小，如下图1 1 、1 2 ： i i j - f “1 1 t q y 。 j ：| 1 “1 h - 1 j ! k1 e m ， j ，9 2 “： il t ( j 璺il - 1 1 9 8 8 2 0 0 3 年u 上界劂络安全事件( i n c i d e n t s ) 报管统汁共计3 1 9 ，9 9 2 次) ( 以上数据资料来源于c e r tc o o r d i n a t i o nc c n t e r s t a t i s t i c s1 9 8 8 - 2 0 0 3 ) ( 图1 21 9 9 5 - 2 0 0 3 年系统、软件漏洞( v u l n e r a b i l i t i e s ) 报告统计，共计1 2 9 4 6 次) t ( 以上数据资料来源于c e r tc o o r d i n a t i o nc e n t e r 。s t a t i s t i c s1 9 8 8 2 0 0 3 ) h i g h i nc r u d r k n o w i d 口a n n k s o p h i s t t c a t i o l o w ：d 5 7 l lp a ss w o r dc r a c k l n l l a a i f - r ep i i c a u n lc o d a pa s a w o r dg a e a s i n g a t t a c k er s t9 8 0t9 8 519 9 0 t9 9 519 9 9 ( 圈1 3 入侵工具及其威胁性的时间变化) ( 以上数据资料来源于c e r t c o o r d i n a t i o nc e n t e r os t a t i s t i c s l 9 8 8 2 0 0 3 ) 根据图1 3 等各图统计数据显示，世界网络安全事件逐年增加，而且增 加的幅度还不小，各类系统及软件漏洞也是层出不穷。针对这些特性，安全 专家们想尽了各种办法来控制不断出现的安全隐患，试图尽可能韵解决网络 安全问题。现有的网络安全解决方案就是从人员监管、技术、法律约束等几 个方面入手，维护系统信息的安全。 1 、 加强网络管理人员素质的培训 通常认为，网络管理人员位于信息安全的第一线，他们直接面对各种各 样的安全事件，也是最先了解到安全状况的管理人员之一，做好他们的培训 将有利于获取第一手网络信息安全资料：况且，各种安全防范策略的实施和 信息反馈还是要依靠他们的怠好专业素质。 2 、严格制定网络安全准则，并实蓝多方监管 据有关统计，9 0 以上的信息安全事件都与疏于内部管理有关。尽可能杜 绝安全管理上的漏洞，这在采取技术防范之前是较为有效的方法。往往由于 疏于管理造成的安全隐患是非常严重的，但在很多的网络中又是非常普遍的。 从对计算机房、网络设备等的物理安全管理，到管理员密码、各类用户资料、 系统环境参数资料等的安全防护，都是管理者必须引起重视的重要信息资源。 3 、研发更加灵敏、安全性更好的防范工具和技术 由于各国对信息安全产业的重视，网络安全设备的预算已经列入网站的 建设成本之中，信息安全产品的开发逐渐呈现出方兴未艾的势头，以下列举 了一些常用的网络安全技术： a p p l i c a t i o nl a y e rg u a r d c o m m o nd a t as e c u r i t y a r c h i t e c t u r e ( c d s a ) c r y p t o a p i f i l ee n e r y p t o r s i n t r u s i o na n dp e n e f f a d o nd e t e c t i o n i m e m e t k e ye x c h a n g ea i a 巳) m e d i a e n c r y p t o r s p k lc e r t i f i c a t em a n a g e m e n tp r o t o c o lr c m p ) s 愚m e s t a t e f i l lp a c k e tf n t e r v i r a sd e r e c t o r s a p p l i c a t i o np r o g r a m i n t e r f a c e c i r c u i tp r o x y c r y p t o g r a p h i es e r v i c ep r o v i d e r s ( c s p ) h a r d w a r et o k e n s i n t e m e tp r o t o c o ls e c u d t y ( i p s e c ) i n t e m e tk e y e x c h a n g e ( i k e ) p r o t o c o l p a d c e tf i l t e r s s l s o c k s t r u s t e d c o m p u t i n g b a s e f f c b ) 以上主要是以防护为主的，其他一些也就是类似于i d s 的探测技术和日 志证据的安全备份等各个方面，防范手段越来越先进，也越来越智能化，再 加之各软件厂商、信息安全部门及时的推出各类安全补丁，在一定程度上缓 解了网络安全的压力。从技术上加强网络安全是最容易想到、也是最直接的 办法。但是，以上列出的种种安全防范技术也只是具有特定的协议、工具针 对性，往往只是防范某一种或是几种网络入侵手段的技术，缺乏广泛性。i d s 9 等网络探测工具也有很多缺点，例如：错报( f a l s ep o s i t i v e ) 、漏报( f a l s e n e g a t i v e ) 、探测区域局限等，反倒是增加了网络的维护成本，却不一定能真 正发现问题的所在。 当然也有安全防御模型试图将各种安全工具整合到一起，发挥它们互补 的检澳0 、审计功效。例如：将防火墙、入侵检测、身份认证等工具分别配置 在信息系统的出入口、重点保护的服务器等要害位置，让各自的安防功能都 得到充分的发挥。但是，由于相互之间的通信配合等问题，它们之间往往会 形成足以被入侵者利用的网络延迟，使得即使是入侵检测发现了入侵行为， 也无法及时的通知防火墙采取相应的措施。 另外一种整合各类安全工具的安全防御模型就是网络实时安全管理系统 ( n e t w o r kr e a l t i m es e c u r i t ym a n a g e m e n ts y s t e m ) ，它就提出了一种更为积 极的办法来充分发挥各类安全工具的作用。其中的一个杰出代表就是o p e n s e r v i c e ，i n c 的s e c u r i t yt h r e a dm a n a g e m e n t 模型。图1 4 是它的模型构成： ( 图1 4c o m p o n e n t s o f r e a l - t i m e t h r e a t m a n a g e m e n t ) 此模型首先通过“c o l l e c t ”收集各安全检测器和监控装置所截获的各类 信息；然后再在“c o n s o l i d a t e ”处进行标准化，使传向上层的网络数据满足 一定的表示标准；经过“c o r r e l a t e ”的甄别后，计算出要采取的“c o n t r o l ” 措施和方案；最后利用“c o m m u n i c a t e ”通信系统将其发送到相应的安全工 1 0 具处，执行系统的控制操作。 但是，在这个模型中存在一些问题，“c o l l e c t ”出来的网络数据是连续的、 有先后次序的，如何保证在不确定的时间间隔内对连续收到的信息做出比较 准确的判断呢? 再者，包含各种网络事件的数据信息需要标准化后才能统一 到达“c o r r e l a t e ”，让系统进行计算、甄别，这段事件的网络延迟是否会引起 网络状态的很多变化呢? 信息的实时处理中心要接受那么多的数据和信息， 能保证它的工作效率和稳定性吗? 是否会形成新的单一失效点而被人所利 用? 这就是再目前的网络体系结构下的一些安全防范模型及其优缺点，本文 中即将要论述到的网络体系结构和安全审计策略则将会充分考虑到此类问 题。同样它也是实时的系统响应模型，会利用一些称为“安全代理”的网络 接口收集各类系统操作信息，不过同时它也要从其他系统那里直接获取经过 预处理后的网络参数，作为它进一步操作的依据和参考，而且它也会把它的 操作和判断结果发送给网内的其它主机作为一种操作参考。因此，模型内没 有单一的信息控制中心，没有一体化的数据处理通路，信息的收集和判断都 是不断迭代、螺旋进行的。关于此种结构将会在下一章中作详细的描述。 4 、规范软件开发，推广安全高效的软件开发模式 软件开发中存在的安全性问题已经成为网络安全必须要引起重视和关 注的问题。不规范、不统一的软件开发模式，促生了大量的存在安全隐患的 软件产品，这些产品的安全漏洞往往并不为人们所认识，但是，一旦有人利 用了其中存在的软件漏洞，造成的损失是非常严重的。从应用的反映来看， 软件产品的安全性，主要集中在软件结构、软件的逻辑实现、通用函数的使 用、内存等系统资源的使用以及软件与应用平台之间的协调配合等相关方面， 大量的软件漏洞，例如缓存溢出、i p 端口重新绑定、资源的竞争状态( 也称 竞态，r a c ec o n d i t i o n ) 等等，往往只需要在软件源代码中附加一两行语句， 甚至只需要改变一两个参数就可以避免的，却由于软件开发的不规范和开发 人员的安全意识、基本素养的缺乏，导致了系统安全性一再受到威胁。 因此，软件开发的安全性能考虑应该作为一种常识植入到每个开发人员 的思维当中，软件的安全性监测也应当是在软件工程中必须加以强化的重要 部分。 5 、加强各类安全应急组织之间的协调和协作 我国信息产业部专门成立了互联网应急处理协调办公室，并组织十大 骨干互联网运行部门的互联网安全事件应急响应小组，和国家计算机网络应 急技术处理协调中心( c n c e r t c c ) 一同积极应对所发生的各种网络安全事件。 其他国家也有相类似的网络安全应急处理方案，目的也是为了能够集合群体 的力量，从不同的时间和位置上监控、防范网络安全事件，加强相互之间的 协作。 6 、 完善信息安全立法，建立健全的司法监察制度 由于在互联网络上没有国籍和国界，法律在这里遇到了前所未有的尴尬 场面。且不说收集取证的困难程度，即使是能够获取网络犯罪的证据，通常 也不能将远在异国的嫌疑人带入法庭，更何况如何量刑和处罚仍然是法学界 十分困惑和难以解决的问题。因此，信息安全的立法，不管是在现在还是将 来，都将会是防范信息犯罪的有效武器。试想一下，如果网络犯罪都能像普 通犯罪样受到法律的严厉处罚，相信那些唯恐天下不乱的网络游侠们则会 对自己的责任有一些新的认识。 7 、 建设新一代的互联网络 现在的网络结构和信息传递方式已经不能满足人们日益膨胀的多元化信 息需求，即使是i p v 6 的出现也解决不了现实中存在的矛盾：信息的多元化和 网络结构的管理能力之间的不协调。这个时候，理所当然的需要有一种新的 网络构架方式来为不断膨胀的网络扩张推波助澜。但是谁又知道，下一代的 i n t e r n e t 网络到底应该是怎样的呢? 国际互联网络( i n t e r n e t ) 是由美国国防部高级研究计划署( t h ea d v a n c e d r e s e a r c hp r o j e c t sa g e n c yo f t h e d e p a r t m e n to f d e f e n s e , 简称d a r p a ) 构建而成 1 2 的。在1 9 6 9 年冷战初期，为了防范苏联的突袭，美国国防部架设了一个通讯 “互联网”( a r p a n e t ) ，这套电脑系统的建设目的，只是单纯地想开发出一 套操作简单、方便，应用于军事通讯的电脑系统，以便使得位于千、万里之 外的统帅指挥部能精确地指挥和调度在战场上冲锋陷阵的第一线部队。由于 担心战争期间的炮火轰炸和其他突发事件可篚会摧毁掉个别的电脑及其操作 人员，因此在这个系统的构建之初，电脑工程师们就提出该系统的两大设计 方向： ( 1 )系统就算被摧毁大半，也仍然能够传输信息资料，并且维持正 常的运行： ( 2 )系统不能只有单一的管理中心。 基于上述的两大设计方向，研究人员最后设计出一套符合t c p i p 协议 的互联网络。也就是现在i n t e r n e t 的前身。冷战结束后，美国国防部的意图 是想将此网络扩建成为“信息高速公路”，谁知道后来却一发不可收拾，成为 了现在这样的格局。相关的法律和制度完全不能赶上信息工业的发展速度， 建设初期的设计方向的单一性也决定了互联网络今天的无政府状态。 值得注意的是，基于“支持更多的网络参与，维护更多的网络路径”的 设计原则，网络从诞生那一天起就没有考虑用任何的措施来限制其他人的使 用。再者，由于不需要缴纳任何的使用费用，新加入国际互联网的用户每年 都在快速的增长，以至于网络中频频出现“信息堵塞”的情况。与此同时， 网络犯罪也逐渐泛滥开来。 由此可见，网络给人们开辟了通向信息时代的阳光大道，却也让社会背 负上道德、伦理和公共安全的沉重的十字架，这是不可回避的事实，i n t e r n e t 自身的设计原则是造成这种先天不足的重要原因，如果想要彻底的解决网络 安全问题，必须从网络本身进行考虑。 1 3 本文章节安排 第一章引言主要论述了当前网络发展的主要趋势和发展方向，以及在此 网络环境下用户多面临的网络安全现状： 第二章基于集群的新型网络拓扑结构从阐述集群的基本概念入手，详细 分析了为什么集群能够在未来网络的发展过程中扮演如此重要的角色，以及 新型网络拓扑结构一一集群单元的基本体系结构； 第三章信息安全的要素及其防御重点说明了什么样的系统才能算是安全 的，以及我们怎样认识网络安全技术的发展； 第四章讲述了一种新的安全审计策略一一基于内核系统调用的安全审 计，这也是这篇论文的两大要点之一，是实际研究工作的中心： 第五章小结了整个研究工作的最后结果，并对现有的结论做出了相应的 评述，同时也预测了未来的进一步研究方向。 1 4 第二章基于集群的新型网络拓扑结构 2 1 集群概论 集群，或者称为集群系统，是相互连接的多个独立计算机的集合。其中 包含至少两个以上的计算结点，每个结点本身也是具备存储器、i o 设备和操作 系统的单机或多处理器系统( p c ，工作站或s m p ) 。集群对于用户和应用来说 可以看成是一个单一的系统。其典型结构如图2 1 ： 二堕 可习陌网陌翮曛羽哺露 l 一商蘧空接碍络一 ( 图2 1 集群系统体系结构) 区别于其他多处理机网络系统的是集群所特有的单一系统映像( s i n g l e s y s t e mi m a g e ，即s s i ) 特性，集群中间件支持了s s i 的实现。它使得应用程序 的运行和所需资源的位置都对用户透明，在获取性能的提高和系统的高利用率 时，并不增加系统管理开销和通信成本。 集群能够提供寻常的单机系统不可比拟的高性能和高可用性，更为可贵的 是她在具备诸多优点之后所表现出来的低成本和出色的扩展性能，这已成为她 倍受推崇的基本要素。 由于高性能的工作站和网络部件的商业化，使得网络的构建者不必花费巨 资就可以得到与超级汁算机相媲美的性能；同时，她也能够提供系统级上的冗 余( r e d u n d a n c y ) ，保障有效的并行计算和故障屏蔽( f a i l o v e r ) 。换句话说，集 群系统其本身的安全性和可靠性是毋庸置疑的。 除此之外，集群在保障自身高可用性的基础之上，可以充分利用并行计 算的性能优势，内嵌入安全代理、病毒预防、入侵监测、身份识别、数据加 密和信息审计等功能模块，可以更有效的完成对双向数据的处理，实现各功 能模块不仅在网络层，而且可以在其他的协议层上保持协作，通过积极的通 信机制，提高其系统级互补能力，体现多层次的立体防御。实现这些令人眩 目的功能在以往的单级或多机系统上是非常忌讳的，因为单机的效率和安全 性得不到保障，多机系统又缺乏有效的通信机制，容易形成安全漏洞。然而， 用在集群的高性能并行环境中，处理这些功能则显得游刃有余了。 现在，集群用于提供网络应用服务已经被许多的网站所采用，但是将其 用于网络安全领域的还并不多见。网络安全是一个技术问题，也是一个社会 问题。归结起来，安全防范和恶意入侵要达到一种令人满意的平衡是需要各 方面的努力和协调的，单纯依靠一个系统或是一种技术来解决问题将非常局 限。据分析，对于一个计算机网络来说，安全的问题主要是集中在这样几个 方面： 1 、 尽可能减少或是避免网络访问对系统安全的威胁和破坏； 2 、 不能轻易让系统内的用户威胁到其它系统的安全，无论这个用户是 合法的还是非法的( 不能只顾自扫门前雪) ； 3 、 在系统受到入侵威胁或是已被入侵时，要能有应急措施，恢复或是 部分恢复系统的正常工作； 4 、网络取证。 因此，在机群的基础上实现这一课题，也就是利用机群的高性能和高可 靠性，采用分布式的计算模式，保障系统的运行安全，用并行计算来实现单 机系统和网络无法及时完成的任务。从技术角度来讲，要实现以上4 点要求， 目前很少有方案能够做到，不管是从性能上还是效率上，都存在差异。然而， 缺少4 点中的任何一点，系统都是很脆弱的。安全系统是个整体，尽管它 们或许在物理上是分离的，但是，入侵检测、数据加密、身份识别和信息审 计等等都需要相互之间的协调和信息共享，它们与内部资源的联系是密切相 1 6 关的，应该也必须将它们有效的连接起来。对于发送、接收数据流和信息系 统的监控应该是同等重要的。殊途同归，入侵者的目的是要改变系统参数， 获取非法的身份认证和重要信息，无论它们怎么隐藏、采用何种手段，终究 要影响系统的参数，管理一方完全可以从系统的异常变化中觉察出威胁的所 在，亦可根据异常情况的不同来对恶意的访问分类，并针对性的采取措施， 防患于未然。看似非常简单，但没有一个强有力的平台支持，以及任务调度 机制，很难组织起这样有效地防御体系。并非是说只有并行系统才能担此重 任，而是现在从机群的优势出发，探寻一种新的安全策略或是方法显得现实 可行。 很显然，分离的、单的安全产品容易形成单一失效点，使系统变得更 加脆弱。曾经有过入侵监测和防火墙相互通信和协作的安全产品出现，但由 于t c p i p 协议本身的缺陷，使得预警和响应之间出现足以被入侵者利用的空 隙，丧失了二者的联合优势。因此，网络安全功能的整合和实时任务调度， 符合实际应用的发展需要，避免了在安全管理中头痛医头、脚痛医脚的打补 丁行为，使得网络管理跳出简单的功能管理，进入系统管理的高度。 智能化、大众化是并行计算发展的主要趋势，并且伴随着并行应用的许 多工具和命令的标准化、高性能的工作站和网络部件的商业化，促使昂贵而 特制的并行超级计算机向超级服务器机群的转换，分布式的处理模式将逐步 取代i n t e r n e t w e b 模式而成为未来大系统异构计算的首要方法，安全系统的 应用只是其中一个典型的例子罢了。作为个程序设计人员，更应当敏感的 觉察到这样的变化趋势。这是一次尝试，旨在探寻网络安全和高性能计算在 新的环境下的应用发展方向， 对至今日，网络安全技术的发展集中在智能化、功能集成化和实时恢复 上，而能够安全高效的承担这样一种架构的系统已是非并行计算系统莫属了。 机群正是代表了并行计算在高性能应用领域内的发展趋势，使高性能计算走 下阳春自雪的高台，逐步向应用多元化网络化方向发展，从单纯的技术计算 ( 即科学计算和工程计算) 逐步向商业应用和信息服务领域扩展，从而吸引 了越来越多关注的目光。尤其是近年来，越来越多的网站直接采用机群提供 信息服务，结合这一趋势，发展机群中的集群或是集群的互连，将成为一种 新的技术推动力，并进一步促进并行计算的应用多元化。 2 2 构造新型网络体系的两种思路 当今的国际性互联网络的结构体系基本上是建立在端到端( e n d t o e n d ) 的相互连接上，使用的也是端到端的通信协议。也就是说，如果想要在网络 内部通信，那客户应该，也必须至少知道通信双方中另一方的通信地址或者 代号。基于这样的通信方式，产生出了大量的基于端到端的网络服务，例如 e m a i l 、w o r l d w i d ew e b 以及f t p 文件服务等。服务的对象非常明确，服务 的功能非常直接，服务的程序也异常简单。但是，当人们试图将这些令人眼 花缭乱的网络服务结合在一起的时候，出现了个很大的问题：安全。e m a i l 中可能会混入各种各样的病毒或是恶意的执行代码，一旦通过w o r l d ，w i d e w e b 的访问和显示，必然对系统的安全性和信息的完整性、保密性产生可怕 的后果。最恶毒的就是给系统种下一个安全隐患或者后门，而管理者往往还 不知道如何下手清除。同样，f t p 文件服务中也会有大量的b u g ，不管是软 件设计中的疏漏还是管理措施上的不得力，都会给信息系统的安全性产生令 人担忧的后果。 但是，到目前为止还没有找到什么有效的方法来完全杜绝系统的安全漏 洞，i n t e r n e t 设计之初对安全问题的考虑就是为了尽可能简单而且也是不完整 的。而且，经过长时间的时间检验和讨论，目前网络体系结构的合理性和安 全性是值得人们反思的。因此，人们对于新一代互联网络无限憧憬的结果也 就产生了两种不同的改造方案： 第种，完全推倒重来。推翻现有的网络架构，重新设计一种符合广大 用户利益的计算机网络； 第二种，在现有网络环境下对不合理和急切需要改进的网络设置进行调 整，循序渐进的促成新的网络结构的形成。 其实，两种方案都有其利弊。前者试图摆脱现有网络体系结构设计原则 的影响，创造一个新的互联计算机网络，总结前人的经验教训，设计出能够 满足广大投资者愿望的新的网络通信原则，这样固然可以讲网络效能发挥到 一个新的高度，却不得不承担由此产生的一切后果，包括资源的重新分配和 组合，涉及到如何解决各个国家、集团的利益问题又将引发马拉松似的协商 谈判，旷日持久，得不偿失；而后者则力图在现有的技术基础之上，充分整 合现有的资源分配和组织形式，采取循序渐进的思路，协调统一各利益团体 的意见，逐步的改善网络的性能，同时，也必然会承担因为原有技术的缺陷， 不管是已经被发现了的以及还没有来得及发现的，而产生的一切后果。而且， 至于采取什么样的渐进的方案，也是值得商榷的。 2 3 集群代理概述 在现有的情况下，看来第二种方案是值得讨论的，可行性也是较高的一 种。但到底用什么样的结构原则，说法不一，这里即将要展现一种新的网络 接入方式，称为集群代理、或者是集群缓冲。 在现有的网络体系结构中，i n t e r n e t 已经成为了一个互相协作、互相连接 的多个网络的集合，基本的体系构架遵循了o s i 七层网络协议的基本原则， 引入了t c p i p 互连网络协议族( t c p i p n t e r n e tp r o t o c o ls u i t e ) 作为其基本 的通信协议，使得在任何互连的网络集合中都可以进行通信。在用户的眼里， 网络只是这样的一种结构，见图2 2 ： ( 图2 2 经典网络结构) 卜主机 这里面，所有的网络都是平等的，网络内部的连接对于用户来说是透明 的，用户也不需要知道其中业务的运载方式。这也正是互联网能够为大多数 用户所支持和接受的原因之一。 在这里，我们试图提出一种新型的i n t e r n e t 网络拓扑结构，网络内部将 被分化为一个个相对独立的集群单元。集群单元的形成可以按照区域、国家、 行业区划等等易于区分的原则来划分，甚至某个大型的跨国公司如果需要， 那么他也可以将自己的内部网络建立成为一个集群单元，尽管也许这样效果 不一定会最佳。 集群单元的构成见下图2 3 ： e 3 路由器或是高速交换机 口 一主机 o 一其他子网络 ( 图2 ，3 集群单正) 这里划分单个集群单元，并不是要把我们的共享信息资源的天堂变成某 个利益集团的私家花园。事实上，仍然没有什么人能够承担起对互联网的完 全管理和控制，也是不允许的。之所以要引入集群单元的结构，下面我们将 详细的加以分析，其目的就是为了加强网络的防御纵深，增强信息系统抵抗 2 0 灾难的能力和为各类信息统计工作提供信息采集的平台。 2 4 集群代理的构造原则及其创新 以上的以集群单元为单位的i n t c r n c t 结构( 集群代理) 主要的构成原则 为： ) 应用层以下的底层实现对用户仍然是透明的： ) 网络结构的多元化、异构化、多层次化、不对称化： ) 承担部分的应用代理功能； ) 支持多种协议； ) 多信息源，多信息宿主： ) 动态的、多样性的拓扑结构； ) 安全预警： ) 信息收集，动态任务分配，支持轻量网络计算； 应该说，集群代理继承了经典网络构成的基本原则。同时，也在其基础 上进行了大胆的尝试和创新。 在这之前，其实很有必要来回顾一下原有的i n t e r n c t 经典结构原则：网 络的透明性、对称性，都使用几乎相同的通信协议( t c p i p 等) ，静态拓扑 结构，单一信息宿主，固有的c s 访问模式使得信息交流对象双方十分清晰 明确。还有很多，都是在几十年的实际应用中发挥了巨大作用和效能的成熟 的网络设计技术，使得十分繁杂、枯燥的网络传输变得那么友善和易于掌握， 才有了今天网络规模和相关应用的飞速发展。 集群代理的设计仍然支持o s i 模型，只不过，在其数据链路层和网络层 之间加入了一个新的协议层次：集群中间件层。或许应该将集群中间件层归 纳入网络层所有，但是，从下面的分析来看，集群中间件并不仅仅包含网络 层的通信责任，而且，集合了许多应用层和传输层的处理内容，形成了一个 新的混合体。 集群代理设计原则的创新也只是体现在以下几个方面： 1 。不对称性 众所周知，o s i 模型强调网络通信中的严格对称性，从上至下，应 用层到物理层，由于采用端到端( e n d t o e n d ) 模式，通信的双方传输和 接收的数据包格式也必须是相同的，否则将出现通信障碍。在网络内部， 路由器和路由器之间、网关和网关之间，通信的协议层之间也是要一一 对应的。在集群代理机构中，这种对称性将不再是必须的了。 图2 4 中说明，集群单元之间是通过高速网络内连在一起的，通信 机制也是以高可靠、高效率的通信协议作为一种支撑的，这里并不提倡 使用基于t c p i p 协议族的类似协议，而是希望能有一种新的通信协议来 解决这一问题。 壶毒 向j |布； 舀e je 令e jb ( 圈2 4 集群单元内连) 然而，在集群单元内部，系统采用了这样的结构，如图2 5 ( 图25 囊群单c 内部甜 j 集群代理的不对称性也就表现在这里，通过应用s t u b 和应用代理适 配器的交互，上层网络使用何种网络通信协议都是可以参与网络应用的。 这是信息系统安全性能的有利保障，试想一下，入侵者连系统使用什么 样的通信协议都不知道( 内