分布式多层架构安全管理平台的设计

1、分布式多层架构安全管理平台的设计蔡陆滨随着计算机网络与通信网络的不断发展，网络安全问题已经成为全社会 共同面临的严峻挑战。网络病毒及入侵事件的日益频发，给企业正常生产和 政府机关等事业单位正常工作带来极大威胁。对于电信运营商来说，如何保 护信息安全，保障通信网络的稳定通畅更是必须认真面对并有效解决的问 题。分析了当前主要网络产品的局限性，阐述了建设网络安全管理平台的必 要性，并设计了一个分布式多层架构的网络安全管理平台。该平台基于J2EE架构、利用Struts框架开发，以Web形式访问。本课题着重探讨了移动业务支 撑系统安全管理平台的设计，完成了从应用系统安全保护的总体架构设计、 详细设计。#

2、 关键词：网络安全业务支撑系统安全管理平台营与应用#安全管理平台（Security Operation Center，安全运营中心，国内一般称作安全管理中心，文中沿用国内叫 法，以下简称SOC ），是一个综合性平台，是一个安全 管理和网络管理紧密结合的产物。安全管理平台是政府、 银行、电信运营商、大型企业的IT部门进行企业网络管理、事件安全审计、网络运行趋势分析的有利工具，它正 在受到更多企业和机构越来越多的注意和重视。安全设备 在系统中要很好地发挥作用，真正保障信息系统的可靠运 行，就需要做到：对安全设备进行合理的安全策略配置， 形成信息系统的纵深防御体系；对信息系统中的安全设 备、网络设备

3、、主机等设备的运行情况进行实时监视和控 制,对信息系统发生的安全事件进行及时的响应和处理； 对信息系统的资产进行有效管理，并对系统存在的风险进 行预警。安全管理平台是针对以上需求而岀现的安全产 品，以统一平台的方式将系统的安全设备、网络设备、主 机设备等进行统一监控、配置和管理，帮助用户建立起信 息系统的纵深防御体系。因此对 SOC的研究会带来重大的 商业价值回报。而一个规范的网络安全管理平台可以解决 网络安全管理中所面临的这些问题。网络安全管理平台可 以实现对各种安全设备进行集中配置、集中管理、状态报 告和策略互动。本文的安全管理平台是基于信息安全的角度，充分考虑到业务支撑系统不同主机、网络

4、设备、应用、数据库 等信息安全资产，对网内的信息安全资产进行分级，并实 现对不同安全级别信息资产的安全告警监控。平台建成 后，可实现对业务支撑系统的设备安全监控、安全预警、运营与应用以及整体系统安全状况评估，极大地提升了业务支撑系统 的安全性。1 总体设计1.1系统的设计目标整个系统采用 J2EE的架构完成网络安全管理平台 的研制和开发工作，核心子系统采用UML进行建模，实网络安全设备上采集来的原始网络安全事件进行分类、关图1网络安全管理平台的总体设计示意图现模块化设计思想，各个逻辑功能模块均能动态加载和独 立运行，满足未来扩展的需求。网络安全管理平台用于管 理来自多种网络安全设备的安全事件，

5、基本的原理是对从1.2系统的设计原则系统采用目前业界流行的B/S结构，分为客户层、控制层、业务处理层、数据访问层四层。系统主要基于Struts框架，结合J2EE设计，采用Oracle数据库存储数 据。系统从可扩展性、高性能、系统的松耦合性、安全性 等角度进行了充分的考虑。遵循的主要原则包括：系统采 用面向对象设计思想，系统遵循 J2EE 2.0标准系统，遵循 SUN Java编程规范。1.3系统的部署方案为了满足本项目的需求，在业务支撑系统湖东机房局域网部署SOC管理平台，其中包含 HA工作模式的台 SOC应用服务器与2台SOC数据库服务器、1台WEB服 务器与1套2TB带库系统，三台安全信息

6、收集分析服务 器，分别部署在湖东、金山与乌山三地机房中，SOC应用服务器通过网络方式从三地安全信息收集分析服务 器中获取数据。同时异常流量分析采集服务器部署在湖 东，通过NETFLOW 与SNMP方式进行全网网络设备的 智能关联分析，将分析之后的数据统计提交到SOC应用服务器进行集中处理，同时保存到SOC数据库服务器中。整体部署如图2所示。23#1ft 11图2系统设备布局图LjUnrsA*1L242网络架构设计参照上述的部署方案，我们可以看到架构设计从总体上可分为数据采集层、应用服务层、应用展现层（终端 显示）3个逻辑层次，如图3所示。#分布式多层架构安全管理平台的设计舸论管1甲聚士却识!m

7、iRva安全氏显示理用户定制卵识共草Sffltst去全利战左辛：帘宴记展定丈 甘怕过蓟 庄件去It 电特術墮式晅异髓樹MSOC超祗归井 曙皮掠准化关瓏骨祈虧泊配平冶-1:柞*I慢分圻下*dsNinuo-lEAaJE芒O.UHSOC!HIHtt*图3系统的方案架构图(1) 数据采集层：根据要求采集各种安全信息。负责 从已经汇总了福建移动业务支撑系统网络上的安全信息的 网管和服务器上收集汇总后的安全信息。(2) 数据处理层/应用服务层：负责对采集到的原始数 据进行聚并处理，完成数据的智能关联分析，为应用展示 层提供数据支持。(3) 应用展现层：实现安全运维管理平台的统一界面 展示。通过统一的图形化

8、管理界面，安全运维管理平台实 现了安全监控、维护、管理、展示的全部功能。2.1数据采集层数据采集层负责根据要求采集各种安全信息。针对 福建移动业务支撑系统网络，从福建移动业务支撑系统各 个局域网上的网络设备、安全设备、服务器系统和主机系 统收集汇总安全信息。数据采集是整个安全管理的核心，数据采集的关键 是：首先要支持丰富的采集对象，保证即插即用；其次是 采用开放的架构，方便体现环境和需求的特殊性。本系统数据采集主要包括安全事件数据采集，安全漏 洞数据采集，安全配置采集。其中实时采集安全事件和告 警，便于实时告警、分析和响应。采集安全漏洞数据用于主动防御和风险管理。收集各 个安全产品、路由器的安

9、全配 置，用于审计。必要时可以实 现配置的一致性。2.2应用服务层应用服务层负责对采 集到的原始数据进行分析处 理。将从不同来源采集到的 数据进行关联分析，为应用 展示层提供数据支持。应用服务层在应用展示 层和数据采集层之间起到承 上启下的作用，完成了除收 集安全信息以外剩余的所有 功能。如：资产管理、安全 信息监控、脆弱性管理、安 全事件处理、安全知识管理、安全策略管理、安全状况评 估、安全预警等。2.3应用展现层应用展现层实现了安全运维管理平台的统一界面展 示。通过应用展现层，能够查看资产分布状态、关注区域 的安全状况、安全事件发生的趋势、各类资产的脆弱性状 况等；通过应用展现层，完成对资

10、产管理、安全信息监 控、脆弱性管理、安全事件处理、安全知识管理、安全策 略管理、安全状况评估、安全预警功能模块的配置；通过 应用展现层，完成报表的生成、输岀(保存和打印)等。2.4网络架构设计的特点数据采集采用了开放的架构设计，将安全设备被管理 的能力视为设备对外提供的一类服务一一管理服务。SOC安全运维平台的主要功能就是对安全设备进行统一监管， 也就是集中使用这些服务。采用这样的架构设计系统很好 的反映了现实的问题，体现了 SOC安全运维平台的实质。运营与应用通过对服务的集中管理实现对设备的统一管理，由 于安全设备的多样性和异构性是统一管理的难题，应用服 务层实现了在各种异构的安全设备和SO

11、C安全运维平台之2009.12.广东通信技术分布式多层架构安全管理平台的设计运营与应用间搭建的一个统一的中间层一一服务。服务屏蔽了各种安全设备，在SOC安全运维平台看来，管理活动实际上是以 服务请求者的身份使用一个个的管理服务，而无需考虑服务建立在何种硬件或操作系统上以及服务涉及的接口。#2009.12.广东通信技术分布式多层架构安全管理平台的设计#2009.12.广东通信技术分布式多层架构安全管理平台的设计貢产自號理SOC枚出此用0鶯药冉胡（安金荷：申右）（ 舉松粮序 ） （凤她匚）3待號四宜金字件U車市计中心#2009.12.广东通信技术分布式多层架构安全管理平台的设计图4软件体系结构图#

12、2009.12.广东通信技术分布式多层架构安全管理平台的设计#2009.12.广东通信技术分布式多层架构安全管理平台的设计3软件体系结构的设计在网络架构设计的基础上，本课题提岀了如下的概 念模型。整个SOC系统分为SOC界面、应用服务器、采 集层和数据库服务器 4个部分。此概念模型的设计理念 为：鉴于网络安全管理平台在体系结构和业务功能方面都 比较复杂，本设计对系统分层，各个层次相对独立和分 离，其中应用服务器的安全事件处理模块以及采集层的各 个模块可以根据用户的需求进行平行扩展，在采集层还可 以根据业务的发展和新的要求进行功能的扩展，并通过统 一消息系统完成数据的标准化。本设计降低了应用服务

13、器 和SOC界面之间的相关性，降低了应用服务器各个模块之 间的耦合度，便于积木式构建系统。由于这两层软件独立 开发，通过开放式接口连接，降低了开发的难度，提高了 系统的稳定性和可维护性，方便系统扩容、新业务开发以 及为其它系统的用户提供开放式接口连接。3.1 SOC界面在建移动业务支撑系统安全管理平台SOC的设计中，主要采用了面向对象的设计方法，使用了J2EE技术，进行基于J2EE的多层B/S结构设计。SOC界面采用浏览器/服务器模式软件体系结构。这 种三层B/S （浏览器/服务器）体系结构是把传统的两层C/S结构的业务逻辑从客户机的任务中分离岀来，用户通过 浏览器向分布在网络上的许多服务器发

14、岀请求，服务器对 浏览器的请求进行处理，将用户所需信息返回浏览器，而其余如数据请求、加工、结果返回以及动态网页生成、对 数据库的访问和应用程序的执行等工作全部由中间层完 成。B/S结构减轻了客户机的负载，降低了客户机的性能 要求，而且使系统的管理更为集中，成为目前业务系统采 用的主流结构。3.2应用服务层应用服务层主要是完成对采集来的各类资源数据的 处理，形成对风险、策略、知识等的综合管理，同时按照 安全问题的处理流程、依照相关的规则和安全风险管理模 型来实现对防火墙、入侵检测、防病毒、主机、网络等构 成的安全防护体系的统一监控和管理，该层在系统实现时 主要依靠基于消息通信的后台程序来支撑。应

15、用服务器上 安装了 SOC界面服务器和SOC后台处理程序，主要包括 安全事件处理、安全状况评估、脆弱性收集分析、风险值 计算等功能。3.3安全信息收集代理层安全信息收集代理层主要是完成资产自动发现和收 集日志信息生成安全信息，主要功能是根据要求采集被管 理资源（包括各种安全设备、网络和主机设备）的原始信 息，包含事件信息、漏洞信息、流量信息和安全和操作日 志信息等，将对所管理资源（硬件、软件等）中与安全相 关的信息按照一定格式进行预处理（如过滤、标准化、关 联等），同时要求遵循标准的通信协议进行输岀或被访 问。例如，安全事件的采集需要不断侦听本地主机端口， 接受安全设备发送来的安全事件，再将其

16、转换成标准的安 全事件信息存入安全事件数据库中，状态信息和配置规则 信息主要是根据安全设备所支持的管理接口编写合适、高 效的调用程序调用管理接口。在安全信息收集代理层中，安全事件的采集主要是 运用了 JAVA的一个很重要的特性，即多线程。在客户端 向服务器端发岀请求时，客户端把发来的请求放在一个消 息队列中，服务端依次从这个消息队列中取出请求来处 理，但是如果遇到单线程，那么消息队列中的下一个请 求就要等到前一个请求完全处理完后才会响应，从而导致 客户端的长时间等待；而如果采用多线程，则服务端处理 可以同时多个请求，提高系统的性能。新线程完成的工作 主要是通过调用函数readline （）读取

17、一行的安全事件记 录，利用可重用的安全事件分析类从各式各样的安全事件 格式中提取与安全统一管理有关的信息，建立起与数据库 服务器的连接，将这些关键信息保存在数据库中。3.4数据库服务器数据库服务器采用 ORACLE 10g ，需要对数据资源 或中间数据进行管理，还需要具有完备的通讯、应用日志 功能。按照请求命令的优先级提取用户数据（并保证同一 用户按照时间排序），交给通信进程处理，并接受通信进 程的应答将结果返回数据库，属于非数据的原因造成的指 令执行失败可以自动重新处理。数据库服务器选型确定之后，就开始数据库的设 计。数据库设计分为4个步骤。首先，确定建立数据库的目的并收集数据，即进行 需求

18、分析。通过详细调查要处理的对象来明确用户的各种 需求，并且通过调查、收集和分析信息，了解数据库中需 要存储哪些数据以及完成何种数据处理功能。确定了建立 数据库的目的之后就需要根据目的收集相关信息。数据库设计过程的第二阶段是建立概念模型。根据 应用的需求，画出能反映每个应用需求的E-R图，其中包括确定实体、属性和联系的类型。然后优化初始的E-R图，消除冗余和可能存在的矛盾。概念模型是对用户需求 的客观反映，并不涉及具体的计算机的软、硬件环境。这 一阶段的工作重心是如何表达岀用户对信息的需求，暂时 不考虑具体的实现问题。数据库设计过程的第3阶段是建立数据库模型。将概 念模型中得到的E-R图转换成具体的数据模型，实际上是 使用关系数据模型把实体、实体的属性和实体之间的联系 转换为关系模式。最后一个阶段是维护数据库。完成数据