网络安全事件定义范文
时间：2023-06-14 09:33:47
引言：寻求写作上的突破？我们特意为您精选了12篇网络安全事件定义范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。
篇1
中图分类号：TP393.02
1.绪论
Internet正在持续快速地发展，在应用上进入崭新的多元化阶段，已融入到人们生产、生活、工作、学习的各个角落。然而，网络技术的发展在带来便利的同时，也带来了巨大的安全隐患，特别是Internet大范围的接入，使得越来越多的系统受到入侵攻击的威胁。因此，如何评估网络系统安全态势和及早发现并有效控制网络安全事件的蔓延，已成为目前国内外网络安全专家的研究热点。在此背景下，本文本着主动测量和异常检测相结合的思路，基于网络拓扑设计实现了大规模网络安全事件综合预警系统，评估网络安全态势，解决控制执行部件部署问题并给出控制策略以及对其进行效果评价，有效指导了管理员对网络安全的控制。第二章介绍综合预警系统设计框架；第三章提出控制策略；第四章实现系统提出实现方法。
2.网络综合预警系统概述
NSAS实现以上重要功能是因为构成的四个子系统相互协助，下面将分别介绍四个子系统。
网络安全事件侦测点：分布放置于多个网络出入口，负责检测本地网络的异常事件，并将引发流量异常相关的主机地址、事件类型、严重程度等报警信息写入本地数据库并发送给综合分析子系统。拓扑发现子系统：负责对全局范围内的网络进行拓扑信息收集，并生成路由IP级的网络拓扑连结关系图，该过程应保证低负荷、无入侵性、图生成的高效性。最后，将网络拓扑信息发送至综合分析子系统和可视化子系统。
异常综合分析子系统：综合分析报警信息，量化网络安全威胁指数，提出控制策略，解决控制执行部件如何部署问题。
可视化显示子系统：基于网络拓扑信息和网络事件综合分析结果，显示各级网络拓扑图、网络安全事件宏观分布图、控制点分布图、事件最短传播轨迹图、安全态势趋势图等，以便于网络管理者进行决策。
3.网络安全控制策略生成与评价
3.1基本定义
在层次化安全威胁量化和控制策略生成技术中用到一些基本名词，下面给出定义。
定义1安全事件：一次大规模、恶意网络安全攻击行动，如蠕虫事件。
定义2安全事件预警：在目标网络受到有威胁的安全攻击前进行报警，提醒目标网络进行防护，使目标网络免于或降低损失。
定义3预警响应：及时作出分析、报警和处理，杜绝危害的近一步扩大，也包括审计、追踪、报警和其他事前、事后处理。
定义4安全态势感知与评估：考察网络上所发生的安全事件及其对网络造成的损害或影响；识别、处理、综合发生在重要设施或组织上的关键信息元素的能力；具体过程分解为判断是否发生攻击、发生哪种攻击、谁发起的攻击、所采取的响应效果如何等。
定义5异常事件:引发IDS报警并记录下来的异常行为。表示SE={EventTypeID,Type,Port,SIP,DIP,PktNum,ByteNum,AlertTime}.其中EventTypeID,Type,Port分别表示事件标识符，安全类型，端口号，根据EventTypeID可以从异常事件属性表中得到该事件的破坏程度。SIP,DIP表示源和目的端IP地址，PktNum,ByteNum表示涉及的数据包数量和数据字节数，AlerTime表示报警时间。异常事件集合SES={se|SE(se)&&se.AlertTime>=StartTime&&se.AlertTime
定义6安全事件损害指数DSE：根据安全事件属性表分类与优先级划分异常事件的攻击损害度。
定义7异常主机AH和异常路由器AR：AH指已经被感染或被攻击的主机。AH(h)={h|h.ip=se.DIP,se ∈SES}。异常路由器是指当且仅当存在主机h，AH(h)而且r=GR(h)。
定义8网关路由器和下属主机：主机h接入Internet的第一条路由器叫做网关路由器，用r=GR(h)表示，而对应的主机h叫做网关路由器r的下属主机，用h=AttachH(r)表示。
定义9边界路由器：路由器r连接两个及以上位于不同自治域系统路由器。
3.2控制点选取算法
由于传统的控制点选取算法存在控制代价过高的问题，所以本文针对异常路由器做大规模扩散控制，提出一种能有效减少控制代价即控制点数量的算法。当路由器r下属主机h感染蠕虫后，r可以通过AccessList访问控制列表限制源IP地址为h的数据包通过来遏制蠕虫的传播，所以异常路由器本身也可以作为控制路由器。当两个异常路由器有一个共同出口时，可以在这个出口做AccessList配置直接控制这两个异常点，这样能减少一个控制点，出于这种的思想，提出一种公共控制点(Commonality Control Route简称CommCtrlRt)算法。
以教育网拓扑信息为背景，应用上述算法，图4-1给出应用效果。黑色节点代表共同控制路由器，红色节点代表异常路由器，灰色点代表异常路由器同时本身也是该点的控制路由器，很显然只要在红色节点和灰色节点上限制异常节点的访问，就可以限制异常事件如蠕虫的传播和扩散。
3.3控制策略
选取控制点只是控制策略的第一步，而在控制点上如何控制更是关键所在。本节将详细介绍在控制路由器上如何部署才能有效控制异常点的传播与扩散。
3.3.1路由器访问控制
Cisco等路由器可以针对上下访问控制，即利用AcessList命令拒绝某些IP的通过。例如当需要在路由器上禁止已经被感染的机器192.168.1.2发送有害信息的话，只需要执行下述命令：
access-list 100 deny ip 192.168.1.2 255.255.255.255 any
当需要在路由器上禁止某网段所有机器发送的IP包时，只要执行下述命令就可以禁止网络地址192.168.1.0网络掩码255.255.255.0的256个主机通过路由器。access-list 100 deny ip 192.168.1.0 255.255.255.0 any基于上下文的访问控制(CBAC)是Cisco IOS防火墙特性集中最显著的新增特性。CBAC技术的重要性在于，它第一次使管理员能够将防火墙智能实现为一个集成化单框解决方案的一部分。现在，紧密安全的网络不仅允许今天的应用通信，而且为未来先进的应用（例如多媒体和电视会议）作好了准备。CBAC通过严格审查源和目的地址，增强了使用众所周知端口（例如ftp和电子邮件通信）的TCP和UDP应用程序的安全。
3.3.2 CBCA控制应用
当网络侦测点报警信息的源IP地址为主机h（P为异常事件攻击端口）时，先通过网络拓扑找到异常主机h的网关路由器r，然后在r上做访问控制，凡是源IP地址为h且端口号为P的所有数据包被拒绝通过，这样就能防止h上异常事件的进一步扩散或者蔓延，假定封锁时间(2007-6-1)为一天，则控制策略为：
1 Interface FastEthernet 0
2 ip access-grop 101 in
3 time-range deny-time
4 absolute start 0:00 1 6 2007 to 24:00 1 6 2007
5 ip access-list 101 deny ip IP 0 0.0.0.255 any eq P time-range deny-time
Time-range时间过后，该条访问控制自动解封，这减轻了管理员手动解封的负担，而当网络安全态势严重时，可以增加封禁时间。路由器作为网络层最重要的设备，提供了许多手段来控制和维护网络，基于时间的访问表不仅可以控制网络的访问，还可以控制某个时间段的数据流量。
4.系统实现
NSAS主要分为后台异常综合分析Analysis和前台结果可视化FrameVisual两部分。
4.1后台
在RedHat Linux 7.2下采用标准C实现了Analysis和GraphPartion，编译器为gcc,数据库访问接口为Pro*c.
Analysis为开机自动运行的后台程序。它结合网络逻辑拓扑图，分析报警数据库中某种安全事件在网络上的分布状况，根据IP定位信息，显示某种安全事件在地理位置的分布状况，并给出危害程度、传播路径和控制策略。
4.2前台
在WindowsXP下采用VC++6.0实现FrameVisual，用户接口为图形界面，其中，数据输入部分来自Linux的Analysis。FrameVisual把平面可视化的拓扑信息以矢量图的形式显示出来，并实现漫游、放缩；同时可视化Analysis的分析结果。在图形用户界面下，用户可以进行任务的配置、添加与删除，异常事件的浏览与同步更新，后台程序的启动、暂停、继续以及停止等。
结论
本文主要基于拓扑测量，针对大规模爆发的网络安全事件如蠕虫，探讨如何及早发现并有效控制类似事件的发生、扩散等问题，解决了网络预警系统中异常综合分析子系统的异常事件分析、威胁量化、控制策略生成等关键问题。由于该预警系统不受网络规模的限制，将在大规模网络控制和管理上发挥重要作用，具有广泛的应用前景。
参考文献
篇2
中图分类号：TP271 文献标识码：A 文章编号：1009-3044（2012）33-7915-03
计算机网络是通过互联网服务来为人们提供各种各样的功能，如果想保证这些服务的有效提供，一是需要全面完善计算机网络的基础设施和配置；二是需要有可靠完善的保障体系。可靠完善的保障体系是为了能够保证网络中的信息传输、信息处理和信息共享等功能能够安全进行。
1 网络安全的定义
网络安全问题不但是近些年来网络信息安全领域经常讨论和研究的重要问题，也是现代网络信息安全中亟待解决的关键问题。网络安全的含义是保证整个网络系统中的硬件、软件和数据信息受到有效保护，不会因为网络意外故障的发生，或者人为恶意攻击，病毒入侵而受到破坏，导致重要信息的泄露和丢失，甚至造成整个网络系统的瘫痪。
网络安全的本质就是网络中信息传输、共享、使用的安全，网络安全研究领域包括网络上信息的完整性、可用性、保密性和真实性等一系列技术理论。而网络安全是集合了互联网技术、计算机科学技术、通信技术、信息安全管理技术、密码学、数理学等多种技术于一体的综合性学科。
2 网络安全技术介绍
2.1 安全威胁和防护措施
网络安全威胁指的是具体的人、事、物对具有合法性、保密性、完整性和可用性造成的威胁和侵害。防护措施就是对这些资源进行保护和控制的相关策略、机制和过程。
安全威胁可以分为故意安全威胁和偶然安全威胁两种，而故意安全威胁又可以分为被动安全威胁和主动安全威胁。被动安全威胁包括对网络中的数据信息进行监听、窃听等，而不对这些数据进行篡改，主动安全威胁则是对网络中的数据信息进行故意篡改等行为。
2.2 网络安全管理技术
目前，网络安全管理技术越来越受到人们的重视，而网络安全管理系统也逐渐地应用到企事业单位、政府机关和高等院校的各种计算机网络中。随着网络安全管理系统建设的规模不断发展和扩大，网络安全防范技术也得到了迅猛发展，同时出现了若干问题，例如网络安全管理和设备配置的协调问题、网络安全风险监控问题、网络安全预警响应问题，以及网络中大量数据的安全存储和使用问题等等。
网络安全管理在企业管理中最初是被作为一个关键的组成部分，从信息安全管理的方向来看，网络安全管理涉及到整个企业的策略规划和流程、保护数据需要的密码加密、防火墙设置、授权访问、系统认证、数据传输安全和外界攻击保护等等。
在实际应用中，网络安全管理并不仅仅是一个软件系统，它涵盖了多种内容，包括网络安全策略管理、网络设备安全管理、网络安全风险监控等多个方面。
2.3 防火墙技术
互联网防火墙结合了硬件和软件技术来防止未授权的访问进行出入，是一个控制经过防火墙进行网络活动行为和数据信息交换的软件防护系统，目的是为了保证整个网络系统不受到任何侵犯。
防火墙是根据企业的网络安全管理策略来控制进入和流出网络的数据信息，而且其具有一定程度的抗外界攻击能力，所以可以作为企业不同网络之间，或者多个局域网之间进行数据信息交换的出入接口。防火墙是保证网络信息安全、提供安全服务的基础设施，它不仅是一个限制器，更是一个分离器和分析器，能够有效控制企业内部网络与外部网络之间的数据信息交换，从而保证整个网络系统的安全。
将防火墙技术引入到网络安全管理系统之中是因为传统的子网系统并不十分安全，很容易将信息暴露给网络文件系统和网络信息服务等这类不安全的网络服务，更容易受到网络的攻击和窃听。目前，互联网中较为常用的协议就是TCP/IP协议，而TCP/IP的制定并没有考虑到安全因素，防火墙的设置从很大程度上解决了子网系统的安全问题。
2.4 入侵检测技术
入侵检测是一种增强系统安全的有效方法。其目的就是检测出系统中违背系统安全性规则或者威胁到系统安全的活动。通过对系统中用户行为或系统行为的可疑程度进行评估，并根据评价结果来判断行为的正常性，从而帮助系统管理人员采取相应的对策措施。入侵检测可分为：异常检测、行为检测、分布式免疫检测等。
3 企业网络安全管理系统架构设计
3.1 系统设计目标
该文的企业网络安全管理系统的设计目的是需要克服原有网络安全技术的不足，提出一种通用的、可扩展的、模块化的网络安全管理系统，以多层网络架构的安全防护方式，将身份认证、入侵检测、访问控制等一系列网络安全防护技术应用到网络系统之中，使得这些网络安全防护技术能够相互弥补、彼此配合，在统一的控制策略下对网络系统进行检测和监控，从而形成一个分布式网络安全防护体系，从而有效提高网络安全管理系统的功能性、实用性和开放性。
3.2 系统原理框图
该文设计了一种通用的企业网络安全管理系统，该系统的原理图如图1所示。
3.2.1 系统总体架构
网络安全管理中心作为整个企业网络安全管理系统的核心部分，能够在同一时间与多个网络安全终端连接，并通过其对多个网络设备进行管理，还能够提供处理网络安全事件、提供网络配置探测器、查询网络安全事件，以及在网络中发生响应命令等功能。
网络安全是以分布式的方式，布置在受保护和监控的企业网络中，网络安全是提供网络安全事件采集，以及网络安全设备管理等服务的，并且与网络安全管理中心相互连接。
网络设备管理包括了对企业整个网络系统中的各种网络基础设备、设施的管理。
网络安全管理专业人员能够通过终端管理设备，对企业网络安全管理系统进行有效的安全管理。
3.2.2 系统网络安全管理中心组件功能
系统网络安全管理中心核心功能组件：包括了网络安全事件采集组件、网络安全事件查询组件、网络探测器管理组件和网络管理策略生成组件。网络探测器管理组件是根据网络的安全状况实现对模块进行添加、删除的功能，它是到系统探测器模块数据库中进行选择，找出与功能相互匹配的模块，将它们添加到网络安全探测器上。网络安全事件采集组件是将对网络安全事件进行分析和过滤的结构添加到数据库中。网络安全事件查询组件是为企业网络安全专业管理人员提供对网络安全数据库进行一系列操作的主要结构。而网络管理策略生产组件则是对输入的网络安全事件分析结果进行自动查询，并将管理策略发送给网络安全。
系统网络安全管理中心数据库模块组件：包括了网络安全事件数据库、网络探测器模块数据库，以及网络响应策略数据库。网络探测器模块数据库是由核心功能组件进行添加和删除的，它主要是对安装在网络探测器上的功能模块进行存储。网络安全事件数据库是对输入的网络安全事件进行分析和统计，主要用于对各种网络安全事件的存储。网络相应策略数据库是对输入网络安全事件的分析结果反馈相应的处理策略，并且对各种策略进行存储。
3.3 系统架构特点
3.3.1 统一管理，分布部署
该文设计的企业网络安全管理系统是采用网络安全管理中心对系统进行部署和管理，并且根据网络管理人员提出的需求，将网络安全分布地布置在整个网络系统之中，然后将选取出的网络功能模块和网络响应命令添加到网络安全上，网络安全管理中心可以自动管理网络安全对各种网络安全事件进行处理。
3.3.2 模块化开发方式
本系统的网络安全管理中心和网络安全采用的都是模块化的设计方式，如果需要在企业网络管理系统中增加新的网络设备或管理策略时，只需要对相应的新模块和响应策略进行开发实现，最后将其加载到网络安全中，而不必对网络安全管理中心、网络安全进行系统升级和更新。
3.3.3 分布式多级应用
对于机构比较复杂的网络系统，可使用多管理器连接，保证全局网络的安全。在这种应用中，上一级管理要对下一级的安全状况进行实时监控，并对下一级的安全事件在所辖范围内进行及时全局预警处理，同时向上一级管理中心进行汇报。网络安全主管部门可以在最短时间内对全局范围内的网络安全进行严密的监视和防范。
4 结论
随着网络技术的飞速发展，互联网中存储了大量的保密信息数据，这些数据在网络中进行传输和使用，随着网络安全技术的不断更新和发展，新型的网络安全设备也大量出现，由此，企业对于网络安全的要求也逐步提升，因此，该文设计的企业网络安全管理系统具有重要的现实意义和实用价值。
篇3
网络安全事件预警系统的体系结构如图1所示，其中的系统中心、流检测服务器、载荷检测服务器、配置管理服务器是系统的逻辑组成部分，并非是必须独立的硬件服务器。对于中等规模的网络可以运行于一台硬件服务器上。
2系统处理流程
如图1所示，以检测流经路由器R1的流量为例，介绍系统的处理流程。
（1）路由器R1生成流记录，并将记录输出到流检测服务器。流记录符合IPFIX格式，流以五元组（SrcIP、SrcPort、DestIP、DescPort、Protocol）标识。
（2）流检测服务器采用基于流特征的检测方法对流量进行检测，将流量分成正常流量和安全事件流量，并将分类结果发送系统中心。
（3）系统中心根据安全事件策略库中的监控策略分析检测结果，这里会出现三种情况。流量正常不需要控制，系统显示检测结果；检测结果达到控制标准，发出预警或通知。需要深度包检测，通知配置服务器镜像R1上特定流量。
（4）配置服务器向R1发出相关镜像配置命令。
（5）R1执行镜像命令，通过镜像链路镜像相应流量。
（6）载荷检测服务器对这些数据报文进行捕捉并通过深度包检测方法确定进行分析。
（7）显示检测结果，对安全事件发出预警或通知服务器。
网络预警系统检测方法研究
1流特征检测方法
基于流记录特征的流量分析技术主要应用NetFlow技术，对网络中核心设备产生的NetFlow数据进行分析、检测分类、统计。NetFlow协议由Cisco公司开发，是一种实现网络层高性能交换的技术。它运行在路由器中动态地收集经过路由器的流的信息,然后缓存在设备内存中，当满足预设的条件后，将缓存数据发送到指定的服务器。一个信息流可以通过七元组（源IP地址、目的IP地址、源端口号、目的端口号、协议类型、服务类型、路由器输入接口）唯一标识。
数据流检测的数据流程主要为：操作人员启动采集，程序通过libpcap对相应端口中的NetFlow数据进行接收，先缓存直内存中，达到一定数量后压缩存储直对应的文件中，进行下一次接收，同时定时启动分析模块，调入NetFlow规则库并调取相应的压缩NetFlow数据文件，对数据进行处理后，将NetFlow数据内容与规则库进行匹配，获得相应的处理结果存入数据库中，再次等待下一次分析模块启动。
2深度包检测方法
深度包检测方法是用来识别数据包内容的一种方法。传统的数据检测只检测数据包头，但是这种检测对隐藏在数据荷载中的恶意信息却无能为力。深度包检测的目的是检测数据包应用载荷，并与指定模式匹配。当IP数据包、TCP或UDP数据流通过基于DPI技术的管理系统时，该系统通过深入读取IP数据包载荷中的内容来对应用层信息进行重组，从而得到整个应用程序的通信内容，然后按照系统定义的管理策略对流量进行过滤操作。这种技术使用一个载荷特征库存储载荷的特征信息，符合载荷特征的数据包即视为特定应用的数据包。
深度包检测的数据流程主要为：操作人员启动采集，程序先调入相应的协议规则，程序通过libpcap对相应网络端口中对应协议的数据进行抓包捕获，对数据包进行协议分析拆包处理后，调入正则规则并进行优化处理，将数据包内容与优化过的规则进行多线程匹配，获得相应的处理结果存入数据库中，再次进行下一步处理。
3复合型检测方法研究与分析
复合型检测，既结合了基于流特征的检测，从宏观上检测整个网络的安全状态，又结合了深度包检测的方法，对某些安全事件进行包内容的详细特征检测，可以极大的提高安全事件检测的准确度，减少误报率和漏报率，并可有效地提高深度包检测的效率，大幅降低深度包检测对系统的配置要求。
根据复合型规则的定义，来处理流检测和深度包检测的关系。可以根据不同的安全事件定义对应的复合方式，即可实现两种检测方法同时进行，也可先进行流检测符合相应规则后，再进行深度包检测，最后判定是否为此安全事件。
复合型规则中，数据流规则与深度包规则的对应关系是M:N的关系。既一个数据流规则可以对应多个深度包规则，这表示这个数据流预警的安全事件可能是由多种深度包预警的安全事件引起，需要多个深度包检测来进行确认。同时多个数据流规则可以对应一个深度包规则，这表示这个深度包规则对应的安全事件可以引起发生多条数据流预警的安全事件。这种设计方式可方便地通过基础安全事件扩展多种不同的安全事件。
篇4
1 引言
现在，网络技术的发展促进了各种网络安全技术的应用，如病毒防火墙、入侵检测技术等。而对于这些网络安全技术的管理，则渐渐成为互联网管理技术的重点。通过对所有管理技术的总结，可以将现在广泛采用的技术方法总结为三类：（1）利用安全设备自身管理平台实现管理；（2）利用简单网络管理协议实现设备管理；（3）利用专业厂家所提供的管理平台和系统进行统一管理。
通过对上面三类管理技术和方式的详细了解，以及对现在网络安全设备管理具体需求掌握的基础上，本文构建一个对异构网络设备进行网络统一管理的平台，能够将网络架构进行有效扩展，从而满足网络日益增长的需求，最大可能地发挥安全设备的应用效能。
2 平台架构
通过网络安全设备的异构管理平台，能够实现对整个网络中所有安全设备的统一管理，为网络中数据和安全资源的共享和管理，以及多种安全管理模块的有效互动奠定基础。参考现在主流软件的设计思路，根据组件化的平台构建思想，可以将整个平台划分为四个不同的层次，即客户层、业务逻辑层、数据交换层和后台数据层等。
本文所构建平台，在具体的实现过程中，主要基于主流的B/S结构进行开发和系统架构，具体到不同的层，客户层采用RIA/AJAX技术、业务逻辑和数据交换层则采用J2EE架构，利用Java语言来实现，而后台数据库主要利用SQL Server系统来完成。
3 主要功能模块划分
对于文中平台主要功能的实现，则主要通过业务逻辑层来完成，概括起来主要包含四个方面的功能。
3.1 设备管理
对于设备管理模块来说，可以作为其他功能模块的基础，是其他模块有机结合的基础模块，主要包括几个子功能：（1）设备信息管理；（2）设备状态监控；（3）设备拓扑管理等。
这些子功能的实现，可以在网络拓扑和手动的基础上，通过统一通信接口来对设备的状态和性能进行实施的监控和管理，必要的情况下，还可以通过图形化的方式来表示，方便平台和系统管理员对设备运行状态的及时掌握和定位，减轻管理员的工作量。
3.2 事件分析
作为安全设备管理平台的核心模块，安全事件分析模块的目的就是对大量的网络事件进行分析和处理、筛选，减轻管理员的工作压力，所以，该功能模块的主要子功能有安全时间分类统计、关联分析和处理等。同样，该功能模块也能够通过统一通信接口来对各个安全设备所生成的时间报告进行收集、统计，在统计分析的过程中，可以根据不同的标准进行分类，如时间、事件源、事件目的和事件类型等，通过科学统计和分析，还可以利用图表的方式进行结果显示，从而实现对安全事件内容关系及其危害程度进行准确分析的目的，并从海量的安全事件中挑选出危险程度最高的事件供管理员参考。
3.3 策略管理
安全设备管理平台中的策略管理模块包含多个功能，即策略信息管理、冲突检测和策略决策等功能。通过对各类安全设备的策略进行标准化定义的基础上，就可以统一对设备的策略定义进行管理和修改，对当前所采用的策略进行网络安全事件冲突检测，及时发现可能存在的网络设置冲突和异常，确保网络策略配置的正确性和合理性。通过对网络环境中安全事件的深入分析，在跟当前所采用安全策略相比较的基础上，就能够为设备的安全设置提供合理化建议，从而实现对网络安全设备设置的决策辅助和支持。
3.4 级别评估
最后一个功能模块就是安全级别评估模块，该模块的主要任务就是对网络商业设备安全制度的收集汇总、实施情况的总结和级别的评估等。该模块通过对网络安全事件的深入分析，在结合安全策略设置的基础上，实现对网络安全水平的准确评估，从而为网络安全管理的实施和水平的提高提供有价值的数据参考。
4 平台中的通信方法
要实现网络中异构安全设备的统一管理，就需要通过统一的通信接口来实现，该接口的主要功能就是通过对网络中异构设备运行状态、安全事件等信息的定时获取，从技术的角度解决异构设备所造成的安全信息格式不兼容和通信接口多样的问题，实现网络安全信息的标准化和格式的标准化。
4.1 资源信息标准化
在网络安全管理中，所涉及到的安全资源信息主要包括安全设备的运行状态、设备配置策略信息和安全事件信息等。其中，安全设备的运行状态信息主要通过数据交换层中的通信程序通过跟安全设备的定时通信来得到，可以通过图表的方式进行可视化。这些资源信息主要采用RRD文件的方式进行存储，但是采用数据库存储的则比较少，这主要是由于：（1）RRD文件适合某个时间点具有特定值且具有循环特性的数据存储；（2）如果对多台安全设备的运行状态进行监控的情况下，就应该建立跟数据库的多个连接，给后台数据库的通信造成影响。
对于上面提到的安全设备的运行状态信息和安全事件信息，通过对各种安全设备信息表述格式的充分考虑，本文中所设计平台决定采用XML语言来对设备和平台之间的差异性进行描述，不仅实现了相应的功能，还能够为平台提供调用转换。而对于安全策略类的信息，则是先通过管理员以手动的方式将安全策略添加到平台，然后再在平台中进行修改，之后就可以在通过平台的检测冲突，由平台自动生成设备需要的策略信息，然后再通过管理员对策略进行手动的修改。
4.2 格式标准化
对于安全事件和策略的格式标准化问题，可以通过格式的差异描述文件来实现彼此之间的转换，这里提到的差异描述文件则采用XML格式来表述，而格式的自动转换则通过JavaBean的内置缺省功能来实现。
4.3 通信处理机制
对于通信接口而言，由不同厂家所提供的同类型设备之间的差异也比较大。所以，对于设备的运行状态信息，主要采用两种途径来获取：（1）通过标准的SNMP、WMI方式获得；（2）通过专用的Socket接口调用特定函数来获得。而对于网络运行中的安全事件，其获得途径也有两种：（1）通过专用Socket接口来获得；（2）将安全事件通过推送的方式发送到指定的安全管理设备。
通过综合分析，本文平台主要采用独立的通信程序和集中设置调用的方法来获得安全资源信息，这样就可以实现对安全设备管理的最有效支持。本文所采用方式的实现机制为：平台通过标准接口获取网络的安全资源信息，再通过通信程序的调用设置功能，对程序调用的时间间隔及其语法规范进行定义。
5 总结
现代互联网技术的快速发展，促使网络中所采用安全设备的种类也越来越多，从而在网络设备管理中出现了多种问题，如异构设备的协同问题和安全事件的有效响应和处理等。所以，本文针对这些问题设计出一种对网络安全设备进行管理的异构网络平台。在该平台中，采用了一种异构安全设备通信处理机制，使得该平台能够对异构安全设备完全兼容。
参考文献
[1] 赵悦，徐涛.统一网络安全管理平台建设研究.信息系统，2009；32（ 1） ： 117～118.
[2] 吴蓓，陈性元，张永福等.可扩展的网络安全设备内策略冲突检测算法.计算机应用研究，2010； 27（ 4） ： 1484～1488.
[3] 鄣锡泉，姚国祥.网络安全管理的多维度可拓模糊综合评价.计算机工程，2011； 37（ 4） ： 287～289.
篇5
网络安全问题不但是近些年来网络信息安全领域经常讨论和研究的重要问题，也是现代网络信息安全中亟待解决的关键问题。网络安全的含义是保证整个网络系统中的硬件、软件和数据信息受到有效保护，不会因为网络意外故障的发生，或者人为恶意攻击，病毒入侵而受到破坏，导致重要信息的泄露和丢失，甚至造成整个网络系统的瘫痪。
网络安全的本质就是网络中信息传输、共享、使用的安全，网络安全研究领域包括网络上信息的完整性、可用性、保密性和真实性等一系列技术理论。而网络安全是集合了互联网技术、计算机科学技术、通信技术、信息安全管理技术、密码学、数理学等多种技术于一体的综合性学科。
2 网络安全技术介绍
2.1 安全威胁和防护措施
网络安全威胁指的是具体的人、事、物对具有合法性、保密性、完整性和可用性造成的威胁和侵害。防护措施就是对这些资源进行保护和控制的相关策略、机制和过程。
安全威胁可以分为故意安全威胁和偶然安全威胁两种，而故意安全威胁又可以分为被动安全威胁和主动安全威胁。被动安全威胁包括对网络中的数据信息进行监听、窃听等，而不对这些数据进行篡改，主动安全威胁则是对网络中的数据信息进行故意篡改等行为。
2.2 网络安全管理技术
目前，网络安全管理技术越来越受到人们的重视，而网络安全管理系统也逐渐地应用到企事业单位、政府机关和高等院校的各种计算机网络中。随着网络安全管理系统建设的规模不断发展和扩大，网络安全防范技术也得到了迅猛发展，同时出现了若干问题，例如网络安全管理和设备配置的协调问题、网络安全风险监控问题、网络安全预警响应问题，以及网络中大量数据的安全存储和使用问题等等。
网络安全管理在企业管理中最初是被作为一个关键的组成部分，从信息安全管理的方向来看，网络安全管理涉及到整个企业的策略规划和流程、保护数据需要的密码加密、防火墙设置、授权访问、系统认证、数据传输安全和外界攻击保护等等。
在实际应用中，网络安全管理并不仅仅是一个软件系统，它涵盖了多种内容，包括网络安全策略管理、网络设备安全管理、网络安全风险监控等多个方面。
2.3 防火墙技术
互联网防火墙结合了硬件和软件技术来防止未授权的访问进行出入，是一个控制经过防火墙进行网络活动行为和数据信息交换的软件防护系统，目的是为了保证整个网络系统不受到任何侵犯。
防火墙是根据企业的网络安全管理策略来控制进入和流出网络的数据信息，而且其具有一定程度的抗外界攻击能力，所以可以作为企业不同网络之间，或者多个局域网之间进行数据信息交换的出入接口。防火墙是保证网络信息安全、提供安全服务的基础设施，它不仅是一个限制器，更是一个分离器和分析器，能够有效控制企业内部网络与外部网络之间的数据信息交换，从而保证整个网络系统的安全。
将防火墙技术引入到网络安全管理系统之中是因为传统的子网系统并不十分安全，很容易将信息暴露给网络文件系统和网络信息服务等这类不安全的网络服务，更容易受到网络的攻击和窃听。目前，互联网中较为常用的协议就是TCP/IP协议，而TCP/IP的制定并没有考虑到安全因素，防火墙的设置从很大程度上解决了子网系统的安全问题。
2.4 入侵检测技术
入侵检测是一种增强系统安全的有效方法。其目的就是检测出系统中违背系统安全性规则或者威胁到系统安全的活动。通过对系统中用户行为或系统行为的可疑程度进行评估，并根据评价结果来判断行为的正常性，从而帮助系统管理人员采取相应的对策措施。入侵检测可分为：异常检测、行为检测、分布式免疫检测等。
3 企业网络安全管理系统架构设计
3.1 系统设计目标
该文的企业网络安全管理系统的设计目的是需要克服原有网络安全技术的不足，提出一种通用的、可扩展的、模块化的网络安全管理系统，以多层网络架构的安全防护方式，将身份认证、入侵检测、访问控制等一系列网络安全防护技术应用到网络系统之中，使得这些网络安全防护技术能够相互弥补、彼此配合，在统一的控制策略下对网络系统进行检测和监控，从而形成一个分布式网络安全防护体系，从而有效提高网络安全管理系统的功能性、实用性和开放性。
3.2 系统原理框图
该文设计了一种通用的企业网络安全管理系统，该系统的原理图如图1所示。
3.2.1 系统总体架构
网络安全管理中心作为整个企业网络安全管理系统的核心部分，能够在同一时间与多个网络安全终端连接，并通过其对多个网络设备进行管理，还能够提供处理网络安全事件、提供网络配置探测器、查询网络安全事件，以及在网络中发生响应命令等功能。
网络安全是以分布式的方式，布置在受保护和监控的企业网络中，网络安全是提供网络安全事件采集，以及网络安全设备管理等服务的，并且与网络安全管理中心相互连接。
网络设备管理包括了对企业整个网络系统中的各种网络基础设备、设施的管理。
网络安全管理专业人员能够通过终端管理设备，对企业网络安全管理系统进行有效的安全管理。
3.2.2 系统网络安全管理中心组件功能
系统网络安全管理中心核心功能组件：包括了网络安全事件采集组件、网络安全事件查询组件、网络探测器管理组件和网络管理策略生成组件。网络探测器管理组件是根据网络的安全状况实现对模块进行添加、删除的功能，它是到系统探测器模块数据库中进行选择，找出与功能相互匹配的模块，将它们添加到网络安全探测器上。网络安全事件采集组件是将对网络安全事件进行分析和过滤的结构添加到数据库中。网络安全事件查询组件是为企业网络安全专业管理人员提供对网络安全数据库进行一系列操作的主要结构。而网络管理策略生产组件则是对输入的网络安全事件分析结果进行自动查询，并将管理策略发送给网络安全。
系统网 络安全管理中心数据库模块组件：包括了网络安全事件数据库、网络探测器模块数据库，以及网络响应策略数据库。网络探测器模块数据库是由核心功能组件进行添加和删除的，它主要是对安装在网络探测器上的功能模块进行存储。网络安全事件数据库是对输入的网络安全事件进行分析和统计，主要用于对各种网络安全事件的存储。网络相应策略数据库是对输入网络安全事件的分析结果反馈相应的处理策略，并且对各种策略进行存储。
3.3 系统架构特点
3.3.1 统一管理，分布部署
该文设计的企业网络安全管理系统是采用网络安全管理中心对系统进行部署和管理，并且根据网络管理人员提出的需求，将网络安全分布地布置在整个网络系统之中，然后将选取出的网络功能模块和网络响应命令添加到网络安全上，网络安全管理中心可以自动管理网络安全对各种网络安全事件进行处理。
3.3.2 模块化开发方式
本系统的网络安全管理中心和网络安全采用的都是模块化的设计方式，如果需要在企业网络管理系统中增加新的网络设备或管理策略时，只需要对相应的新模块和响应策略进行开发实现，最后将其加载到网络安全中，而不必对网络安全管理中心、网络安全进行系统升级和更新。
3.3.3 分布式多级应用
对于机构比较复杂的网络系统，可使用多管理器连接，保证全局网络的安全。在这种应用中，上一级管理要对下一级的安全状况进行实时监控，并对下一级的安全事件在所辖范围内进行及时全局预警处理，同时向上一级管理中心进行汇报。网络安全主管部门可以在最短时间内对全局范围内的网络安全进行严密的监视和防范。
4 结论
随着网络技术的飞速发展，互联网中存储了大量的保密信息数据，这些数据在网络中进行传输和使用，随着网络安全技术的不断更新和发展，新型的网络安全设备也大量出现，由此，企业对于网络安全的要求也逐步提升，因此，该文设计的企业网络安全管理系统具有重要的现实意义和实用价值。
篇6
一、贯彻执行《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际互联网管理暂行规定》等相关法律法规；落实贯彻公安部门和省教育厅关网络和信息安全管理的有关文件精神，坚持积极防御、综合防范的方针，本着以防为主、注重应急工作原则，预防和控制风险，在发生信息安全事故或事件时最大程度地减少损失，尽快使网络和系统恢复正常，做好网络和信息安全保障工作。
二、信息网络安全事件定义 ：
1、网络突然发生中断，如停电、线路故障、网络通信设备损坏等。
2、单位网站受到黑客攻击，主页被恶意篡改、交互式栏目里发表有煽动分裂国家、破坏国家统一和民族团结、推翻社会主义制度；煽动抗拒、破坏宪法和国家法律、行政法规的实施；捏造或者歪曲事实，故意散布谣言，扰乱秩序；破坏社会稳定的信息及损害国家、学校声誉和稳定的谣言等。
3、单位内网络服务器及其他服务器被非法入侵，服务器上的数据被非法拷贝、修改、删除，发生泄密事件。
三、设置网上应急小组，组长由单位有关领导担任，成员由信息中心人员组成。采取统一管理体制，明确责任人和职责，细化工作措施和流程，建立完善管理制度和实施办法。
四、单位网络信息工作
1、加强网络信息审查工作，若发现单位主页被恶意更改，应立即停止主页服务并恢复正确内容，同时检查分析被更改的原因，在被更改的原因找到并排除之前，不得重新开放主页服务。
2、信息服务，必须落实责任人，实行先审后发，并具备相应的安全防范措施（如：日志留存、安全认证、实时监控、防黑客、防病毒等）。建立有效的网络防病毒工作机制，及时做好防病毒软件的网上升级，保证病毒库的及时更新。
五、信息中心对单位网实施24小时值班责任制，开通值班电话，保证与上级主管部门、相关网络部门和当地公安机关的热线联系。若发现异常应立即向应急小组及有关部门、上级领导报告。
六、加强突发事件的快速反应。单位信息中心具体负责相应的网络安全和信息安全工作，对突发的信息网络安全事件应做到：
（1）及时发现、及时报告，在发现后及时向应急小组及上一级领导报告。 （2）保护现场，立即与网络隔离，防止影响扩大。 （3）及时取证，分析、查找原因。 （4）消除有害信息，防止进一步传播，将事件的影响降到最低。 （5）在处置有害信息的过程中，任何单位和个人不得保留、贮存、散布、传播所发现的有害信息。
七、做好准备，加强防范。信息中心成员对相应工作要有应急准备。针对网络存在的安全隐患和出现的问题，及时提出整治方案并具体落实到位，创造良好的网络环境。
八、加强网络用户的法律意识和网络安全意识教育，提高其安全意识和防范能力；净化网络环境，严禁用于上网浏览与工作无关的网站。
九、做好网络机房及户外网络设备的防火、防盗窃、防雷击、防鼠害等工作。若发生事故，应立即组织人员自救，并报警。
十、网络安全事件报告与处置。
篇7
The Research on the Network Information Security Policy Based on Data Mining
Cao Zi-xi Lu Qi Xue Zhi
（Shanghai Jiao Tong University Shanghai 200240）
【 Abstract 】 With the continuous development of the internet technology， the continuous application of the Cloud Computing， the Big Data era has arrived. The Data Mining technology has brought the analysis capabilities of the data processing to a new level. In this article we studied the Data Mining and the technologies of the network information security. We proposed a network information security policy based on data mining， and improved the difficult issues of dealing with the large amount of data in network information security policy.
【 Keywords 】 dating mining； network information security；tactics
1 引言
近年来，网络技术的飞速发展，互联网上的数据以每天数千万条的速度迅速增长，数据的产生、传输、存储、访问和处理方式都发生了翻天覆地的变化。在这样的一个大背景下，数据挖掘孕育而生。另一方面，各种网络安全检测技术、设备和产品会生成大量的关于网络安全及流量的检测数据，单单依靠传统人工处理以及简单查询统计方法的数据处理模式已经无法适应新时代的需要了，如何从海量网络信息安全检测数据中挖掘发现有价值的信息，需要在网络信息安全策略中运用到数据挖掘的技术。
2 数据挖掘的相关概念
2.1 数据挖掘的定义
数据挖掘就是在一些没有规律、异构结构并且熟练庞大的数据中，通过相关的计算机方法及算法，提炼出具有不确定和未知性的信息的一种方法。数据挖掘的数据源应该是大量且真实的，所寻找出的信息应该是对我们有用的、具有价值的。理论上来说，数据量越大、越随机，数据挖掘所得到的结果就越准确、越具有代表性、越有价值，这就对数据挖掘的相关算法与技术的效率提出了很高的要求。数据挖掘是一门交叉学科，融合了数据库、人工智能、统计学、机器学习等多领域的理论与技术。数据库、人工智能与数理统计为数据挖掘的研究提供了三大技术支持。数据挖掘是将一些离散的、底层的、无序的大规模数据利用相关的技术手段提升到有序的、可接受的、有价值的知识，从而为决策提供帮助的一个过程。具体的说，数据挖掘是通过对大规模的海量数据进行分析，从中找出一些数据间的内在规律与联系。具体过程包括了数据准备、信息挖掘和结果表达三个阶段。
2.2 数据挖掘的主要任务
数据挖掘的主要任务包括有监督学习（Supervised Learning）、关联分析或频繁模式分析（Frequent Pattern Analysis）、聚类分析（Clustering Analysis）、异常检测（Anomaly Detection）等。
有监督学习包括两种形式：分类（Classification）和预测（Prediction），是指根据已知样本的大小、类型来预测新到样本。关联分析或频繁模式分析指的是找到某一事件发生时，另一事件也会发生的这样一种规律性的联系模式。聚类分析指的是将找出所有数据的一些内在规律及特征，并且按照这些特征将数据源划分成若干个数据簇。异常检测通过建立一个数据样本的范本，并将数据源中的数据与其进行比对分析，找出里面存在的异常样本。
3 网络信息安全的相关概念
3.1 网络信息安全的概念
网络信息安全问题的解决方案包括数据挖掘信息安全技术的应用和数据挖掘信息的安全的管理。管理是指根据事物发展的客观规律，通过综合运用人力资源和其他相关的资源，以便有效地实现组织目标的过程，是指在集体活动中，为了完成一定的任务，或者实现一个具体目标，针对特定的对象，遵循既定的原则，依照完善的程序，使用适当的方法，所进行的计划、组织、指挥、协调和控制的活动。比如，在网络安全控制方面，防火墙技术已被广泛应用，为了更好地发挥防火墙的安全保护作用，就必须考虑如何设置防火墙的安全策略，并对它的物理保护和访问控制进行设置。
3.2 网络信息安全的相关技术
3.2.1爬虫技术
Web 爬虫（Crawler）通常也被称为机器人（Robot）或者蜘蛛（Spider），它是一个能够自动下载网页的程序。互联网上有数以万计的网页，这些网页存在于分布在全球各地的各个服务器上。用户可以通过网页链接进行各个网页直接的切换和浏览，而爬虫正是模仿人的行为，将多个站点或者网页下载或存取，然后交给数据处理模块。
3.2.2结构化数据抽取
Web信息收取指的是从一个网页中分析目标信息。通常包括两个问题，第一个是从自然语言文本中抽取信息，第二个就是从网页的结构化数据中抽取信息。我们称抽取这种数据的程序为包装器（Wrapper），包装器有三种方法，分别是手工方法、包装器归纳、自动抽取。
3.2.3规则引擎技术
一旦数据获取了，我们就要对其进行处理和分析。常用的基于 Python 的规则引擎有几种。PyKE 是一个基于知识的专家系统，采用类似于 Prolog 的语言规范。Prolog 是一种逻辑编程语言，广泛应用于人工智能领域。Pychinko 是一个可以处理语义网的规则引擎，它可以用 RDF 来定义。Intellect 是一个基于领域描述语言（Domain Specific Language，DSL）的规则引擎，可以定义一些规则表达式，来监测网络数据。规则引擎指的是一个创建、存储和管理规则，然后执行规则并推断出其它事实的应用程序。其中的规则主要是指企业或商务业务逻辑、法律条款等。在规则引擎发展的过程中，Rete 算法和 Prolog 语言是两个重要的理论分支，多数规则引擎都是基于以上二者扩展而来的。在工业活动铸造中，发展时间较长、应用广泛的两个体系是 Clips 体系和 Prolog 体系。
4 基于数据挖掘的网络信息安全策略
4.1 安全的网络环境
安全的网络环境包括系统的安全性、防病毒和网络入侵检测、审计分析、网络备份和灾难的恢复等。具体措施如下：隔离和访问控制技术，包括物理和逻辑的隔离，可信与不可信网络的隔离，只允许有授权的用户访问网络资源；采用反病毒技术，病毒已经严重威胁到了网络的安全，它的威胁和破坏性是很难用数字估量的，建立病毒预警、病毒防护和应急机制，就显得尤其必要；网络入侵检测技术会及时对非法入侵者及恶意破坏者建立预警机制，并定期对网络系统进行安全性分析，发现并修正漏洞；分析审计，记录用户使用过程中的计算机网络系统，它不仅能够确定是谁访问了系统，还能记录系统的使用状态，确定是否有网络攻击，审计数据挖掘信息是非常重要的；网络备份和灾难恢复可以确保在最短的时间内使受到破坏的系统恢复可用。
4.2 保证数据挖掘信息安全的策略
安全的数据挖掘信息指数据挖掘信息的存储安全、传输安全和使用安全。数据挖掘信息的物理完整性，逻辑完整性和保密性组成了数据挖掘信息的存储安全；并要通过数据传输加密技术、数据完整性技术和防抵赖性技术来保证数据挖掘信息传输的安全；数据挖掘信息的使用安全是指，为防止非授权主体擅自使用资源，必须对网络中的主体进行验证。
4.3 基于数据挖掘的网络安全数据分析策略
4.3.1关联性分析
关联分析模型的含义是通过对攻击行为要素的归并和组合，结合数据挖掘相关技术，体现宏观网络上最热门的攻击行为态势。一次攻击行为中，（源地址、目的地址、攻击类型）三要素体现了攻击的本质，三要素任意指定和组合，都反应了有意义的网络攻击态势。
4.3.2 事件预测机制
事件预测机制是通过对某一事件的发展趋势进行跟踪观测，运用数据挖掘聚类算法，判断其是否会成为大规模网络事件的模型。对于大规模的网络事件，其最具代表性的特点并不是事件发生的次数，而是其扩散趋势。例如连续观测到涉及同一类木马病毒事件的IP地址数量急剧上升，可能就是一次木马网络攻击事件。
4.3.3 可控数量预测模型
可控数量预测模型是通过观察事件中受控主机状态增长数量，对事件的感染能力做出判断。受控主机状态增长指的是之前未检测到发出某类攻击的主机，通过检测被发现后的状态变化增长。例如对于某种病毒，若以前未检测到主机X受到过感染，但是在观测周期内发现了主机X已经被感染了病毒，那么对于该病毒而言，主机X就是其受控主机增长状态。
4.3.4分析处理模型
分析处理模型的作用在于对运营商的事件处理反馈进行分析，判断其对被控主机的处理能力。该模型从各运营商的被控主机、已处理主机、未处理主机以及处理效率等各方面进行综合评估，由此来分析判断运营商对其辖区内的被控主机处理能力。
4.3.5网络安全数据分析模型
网络安全数据分析模型用于观测网络特征事件的数量，判断是否存在异常。分为学习阶段和实时检测阶段两个阶段运行。学习阶段可以建立事件的判断标准，等学习阶段满足特定条件后便进入实时检测阶段。
学习阶段，先由用户给定各类安全事件的定义，统计学习阶段事件内每个时间间隔中安全事件的数量。然后以小时计数，统计单位时间内安全事件的平均数和方差，记平均数为x，方差为？滓。
实时检测阶段首次按统计当前时间间隔内各类安全事件的数量xi，再判断各安全事件数量是否异常，
xi-x
？滓0？艽xi-x
2σ0？艽xi-x
xi-x？艹3？滓0 重度异常的安全事件数量。
其中的？滓0为判断标准，在模型建立时进行配置，可以根据不同情况，重新调整该参数。最后将各类安全事件数量异常的最高值，作为当前时间间隔的安全事件数量指标值。
5 结束语
当今社会已经进入云计算和大数据时代，计算机网络的应用已经深入到人们生活和生产的各个领域，但随着计算机信息的价值和重要性越来越高，不法分子入侵网络的手段也不断地翻新，使得传统的网络安全防御技术难以应对。将数据挖掘技术应用于网络信息安全策略中，通过聚类挖掘等方法，能够发现一些潜在的威胁与漏洞，更使得该技术具有了良好的发展前景。
参考文献
[1] 朱玉全，杨鹤标，孙蕾.数据挖掘技术[M].南京：东南大学出版社，2006.11.
[2] Han J.， Kamber M.， 范明（译）.数据挖掘： 概念与技术 [M].北京： 机械工业出版社，2001.
[3] 中华人民共和国科学技术部火炬中心“推进我国软件企业工509000质量体系认证的研究”课题组.软件企业工509000质量体系的建立和认证.清华大学出版社，2011.
[4] 刘占全.网络管理与防火墙技术.人民邮电出版社，2010.
[5] 樊成丰、林东.网络数据挖掘信息安全&PGP加密.清华大学出版社，2010.
[6] 斯帝芬P罗宾斯.管理学.中国人民大学出版社，2010.
[7] 张健.防毒杀毒一防杀计算机病毒自学教程.电子工业出版社，2010.
篇8
随着科学技术的迅猛发展，网络信息技术的全球化运转，网络信息技术已经深入了各行各业的运营管理发展中。网络信息技术具有快速、准确、系统等多方面的信息传递优势，运用网络信息技术进行企业经营管理，直接影响了整个企业的经济效益和经营管理效率。但是，随着企业管理网络的不断扩大和衍生，网络安全管理难度系数越来越大，经常会因为各种网络安全问题导致企业网络瘫痪，企业一旦遭遇网络瘫痪的症状，会对企业的经营管理造成极大的影响，直接损坏了企业的经济效益[1]。因此，各企业运营中越来越重视其网络安全管理工作，本文重点分析了网络安全管理技术问题，并提出了解决方案。
1 网络安全管理主要解决的问题
网路安全管理对企业网络系统的正常运营具有重大意义，其安全管理工作包括防火墙的设置、网络密码加密、电子服务器认证系统以及病毒防控等内容，在安全管理工作当中一旦忽略了当中某一个安全管理环节，会导致网络安全出现漏洞，严重影响整个网络系统的正常运营工。因此，如何保证网络安全管理工作备受业界关注。目前网络安全管理工作需要解决的主要问题包括：
⑴进行严密的安全监控是网络安全管理工作的一个重要部分。通过安全监控工作企业可以及时了解企业内部网络的安全状况，一旦出现问题，可以及时发现并采取相应的措施进行监控。
⑵对企业网络进行补丁管理的配置，在网络安全监控工作中一旦出现企业安全漏洞，可以通过补丁快速进行修复，这样一方面可以大大提高网络系统安全防御能力，同时又能较好的控制企业用户的授权问题。
⑶对企业网络进行集中策略的管理，通过以网络系统为主单位，建议一个自上而下的安全管理策略，将安全管理策略融入到企业网络系统的不同执行点当中，对网络安全管理工作具有重要意义。
2 网络安全管理的核心要素
网络安全管理的主要包括安全策略、安全配置以及安全事件等元素，其具体内容包括以下几个方面：
2.1 安全策略
在网络安全管理技术当中实施安全策略是网络安全的首要因素。通过网络安全管理策略的制定，可以明确网络安全系统建立的理论原因，明确网络安全管理的具体内容以及可以得到什么样的保护。通过安全策略对网络管理规定的安全原则，来定义网络安全管理的对象、安全管理方法以及网络安全状态。另外安全策略指定的过程中要遵守安全管理工作的一致性，避免系统内部安全管理工作当中出现冲突和矛盾，否则容易造成网络安全管理工作的失控[2]。
2.2 安全配置
网络安全配置是指构建网络安全系统的各种设置、网络系统管理的安全选项、安全策略以及安全规则等配置，对网络安全管理具有重要意义。一般情况下，网络安全管理配置主要包括网络运营系统中的防火墙设置、网络数据库系统、操作系统等安全设置，在实际运营过程当中要对网络安全配置进行严格的控制和管理，禁止任何人对网络安全配置进行更改操作。
2.3 安全事件
网络安全事件主要是指影响网络安全以及整个计算机系统的恶意行为。主要包括计算机网络遭到恶意攻击和非法侵入，网络遭遇恶意攻击和非法入侵会导致企业利用网络进行的商业活动被迫终止，程序停止运营，极大程度上影响了企业网络安全管理工作[3]。破坏网络安全的恶意行为通常表现为，利用木马病毒的入侵复制、盗窃企业内部资料和信息；组织企业利用网络进行的商业活动；终止企业运营过程中需要用到的网络资源；监控企业的实际运营管理工作，这给企业正常经营管理工作带来极大的影响。
3 网络安全管理发展趋势
现阶段网络安全管理技术还比较单调，尚未形成一个系统的安全管理机制，在实际管理工作当中还存在许多不足。随着网络技术的不断发展和进步，网络安全管理技术也将得到快速发展，网络安全管理体系将对安全软件以及安全设备进行集中化管理，通过对网络安全的全面监控，切实保障网络安全的可靠性，及时发现运营过程中存在的网络安全隐患；同时，网络安全管理技术将实现系统动态反应以及应急处理中心，实现对突发网络安全事件进行有效预案处理；另外，企业网络安全管理还将对网络系统的相关管理人员、软件、硬件等安全设置集中管理中心，完善安全管理系统[4]。
因此，企业要加强对网络信息技术的安全管理，采取措施严格控制病毒、黑客对企业网络系统的攻击，维护企业网络系统的安全性，保证企业在激烈的竞争环境中长远发展下去。
[参考文献]
[1]中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会.信息技术安全技术.信息安全管理实用规则[s].中国高新技术企业，2010，（1）：121-122.
篇9
一、引言
随着网络化和信息化的高速发展，网络已经逐渐成为人们生活中不可缺少的一部分，但网络信息系统的安全问题也变得日益严峻。网络攻击、入侵等安全事件频繁发生，而这些事件多数是因为系统存在安全隐患引起的。计算机系统在硬件、软件及协议的具体实现或系统安全策略上存在的这类缺陷，称为漏洞。漏洞（Vulnerability）也称为脆弱性。安全漏洞在网络安全中越来越受到重视。据统计，目前，全世界每20秒就有一起黑客事件发生，仅美国每年因此造成的经济损失就高达100多亿美元。所以，网络安全问题已经成为一个关系到国家安全和、社会的稳定、民族文化的继承和发扬的重要问题。它一旦被发现，就可以被攻击者用以在未授权的情况下访问或破坏系统。不同的软硬件设备、不同的系统或者同种系统在不同的配置下，都会存在各自的安全漏洞。
二、计算机网络安全漏洞
（一）计算机网络安全漏洞研究内容
1、计算机网络安全漏洞相关概念的理论研究，如网络安全漏洞的定义、产生原因、特征与属性、网络安全漏洞造成的危害等，并对网络安全漏洞的分类及对网络安全漏洞攻击的原理进行了探讨。
2、计算机网络安全漏洞防范措施的理论研究，从数据备份、物理隔离网闸、防火墙技术、数据加密技术、网络漏洞扫描技术等五个方面阐述了计算机网络安全漏洞的防范措施。
3、操做人员的网络安全防范意识研究，从操作人员在日常计算机操作中使用的网络安全技术 和如何防范网络上常见的几种攻击两个方面对操作人员的网络安全防范意识进行了研究。
（二）计算机网络安全漏洞概述
漏洞（Vulnerability）也称为脆弱性。它是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。其代表性的定义形式包括：模糊概念、状态空间、访问控制。
1、基于模糊概念的定义
Dennis Longley和Michael Shain的“Data & Computer Security-Dictionary of Standards Concepts and Terms”一书中对漏洞的定义是：（a）在计算机安全中，漏洞是指系统安全过程、管理控制以及内部控制等中存在的缺陷，它能够被攻击者利用，从而获得对信息的非授权访问或者破坏关键数据处理；（b）在计算机安全中，漏洞是指在物理设施、管理、程序、人员、软件或硬件方面的缺陷，它能够被利用而导致对系统造成损害。漏洞的存在并不能导致损害，漏洞只有被攻击者利用，才成为对系统进行破坏的条件；（c）在计算机安全中，漏洞是指系统中存在的任何错误或缺陷。
2、基于状态空间的定义
Matt Bishop和David Bailey在“A Critical Analysis of VulnerabilityTaxonomies”一文中提出计算机系统由一系列描述该系统各个组成实体的当前状态所构成。系统通过应用程序的状态转换来改变它的状态。所有状态都可以通过初始状态转换到达，这些过程状态可以分为授权状态和非授权状态，而根据已定义的安全策略，所有这些状态转换又可以分为授权的或是非授权的转换。一个有漏洞状态是一个授权状态，从有漏洞状态经过授权的状态转换可以到达一个非授权状态，这个非授权状态称为最终危及安全状态。攻击就是从授权状态到最终危及安全状态的转换过程。因此，攻击是从有漏洞状态开始的，漏洞就是区别于所有非受损状态的、容易受攻击的状态特征。
3、基于访问控制的定义
Denning D.E在“Cryptography and Data Security”一书中，从系统状态、访问控制策略的角度给出了漏洞的定义。他认为，系统中主体对对象的访问是通过访问控制矩阵实现的，这个访问控制矩阵就是安全策略的具体实现，当操作系统的操作和安全策略之间相冲突时，就产生了漏洞。
网络安全漏洞的具体特征如下：
（1）网络安全漏洞是一种状态或条件，是计算机系统在硬件、软件、协议的设计与实现过程中或系统安全策略上存在的缺陷和不足。网络安全漏洞存在的本身并不能对系统安全造成什么危害，关键问题在于攻击者可以利用这些漏洞引发安全事件。这些安全事件有可能导致系统无法正常工作，给企业和个人造成巨大的损失。
（2）网络安全漏洞具有独有的时间特性。网络安全漏洞的更新速度很快，它的出现是伴随着系统的使用而来的，在系统之后，随着用户的深入使用，系统中存在的漏洞便会不断被发现。用户可以根据供应商提供的补丁修补漏洞，或者下载更新版本。但是在新版本中依然会存在新的缺陷和不足。
（3）网络安全漏洞的影响范围很大，主要存在于操作系统、应用程序中，即在不同种类的软硬件设备、同种设备的不同版本之间、由不同设备构成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题。这使得黑客能够执行特殊的操作，从而获得不应该获得的权限。
（三）网络安全漏洞的基本属性
网络安全漏洞类型，网络安全漏洞对系统安全性造成的损害，网络安全漏洞被利用的方式和环境特征等。
1、网络安全漏洞类型：指网络安全漏洞的划分方式，目前对网络安全漏洞这一抽象概念的划分并无统一的规定。主要的划分方式有网络安全漏洞的形成原因，网络安全漏洞造成的后果，网络安全漏洞所处的位置等。不同的划分方式体现了人们对网络安全漏洞理解的角度，但是可以看到人们对于网络安全漏洞的分类方式存在着概念重叠的现象。
2、网络安全漏洞造成的危害：一般来说，网络安全漏洞对系统的安全性造成的损害主要包括有效性、隐密性、完整性、安全保护。其中安全保护还可以分为：获得超级用户权限、获得普通用户权限、获得其他用户权限。
3、网络安全漏洞被利用的方式：在实际攻击状态中，黑客往往会采用多种手段和方式来利用网络安全漏洞，从而达到获取权限的目的。主要的利用方式有：访问需求、攻击方式和复杂程度。
（四）计算机网络安全漏洞种类
网络高度便捷性、共享性使之在广泛开放环境下极易受到这样或那样威胁与攻击，例如拒绝服务攻击、后门及木马程序攻击、病毒、蠕虫侵袭、ARP 攻击等。而威胁主要对象则包括机密信息窃取、网络服务中断、破坏等。例如在网络运行中常见缓冲区溢出现象、假冒伪装现象、欺骗现象均是网络漏洞最直接表现。
三、计算机网络安全漏洞攻击原理
（一）拒绝服务攻击原理
DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等各项性能指标不高时，它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了。 如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？DDoS就是利用更多的傀儡机来发起进攻（如图1所示），以比从前更大的规模来进攻受害者。
图1 DDoS攻击原理图
高速广泛连接的网络给大家带来了方便，也为DDoS攻击创造了极为有利的条件。在低速网络时代时，黑客占领攻击用的傀儡机时，总是会优先考虑离目标网络距离近的机器，因为经过路由器的跳数少，效果好。而现在电信骨干节点之间的连接都是以G为级别的，大城市之间更可以达到2.5G的连接，这使得攻击可以从更远的地方或者其他城市发起，攻击者的傀儡机位置可以在分布在更大的范围，选择起来更灵活了。
（二）如何防范网络上常见的几种攻击
1、防范密码攻击措施：
（1）禁止使用名字、生日、电话号码等来做密码或跟用户名一样这样的密码。
（2）上网时尽量不选择保存密码。
（3）每隔半个月左右更换一次密码，设置密码时最好具有大小写英文字母和数字组成。
2、预防木马程序应从以下几方面着手：
（1）加载反病毒防火墙。
（2）对于不明来历的电子邮件要谨慎对待，不要轻易打开其附件文件。
（3）不要随便从网络上的一些小站点下载软件，应从大的网站上下载。
3、防范垃圾邮件应从以下方面入手：
（1）申请一个免费的电子信箱，用于对外联系。这样就算信箱被垃圾邮件轰炸，也可以随时抛弃。
（2）申请一个转信信箱，经过转信信箱的过滤，基本上可以清除垃圾邮件。
（3）对于垃圾邮件切勿应答。
（4）禁用Cookie。Cookie是指写到硬盘中一个名为cookies.txt文件的一个字符串，任何服务器都可以读取该文件内容。黑客也可以通过Cookie来跟踪你的上网信息，获取你的电子信箱地址。为避免出现这种情况，可将IE浏览器中的Cookie设置为“禁止”。
四、结束语
本文研究了计算机网络安全漏洞的特征、分类以及对其进行攻击的原理。并且从数据备份、物理隔离网闸、防火墙技术、数据加密技术和扫描技术等五个方面讨论了计算机网络安全漏洞的防范措施。
参考文献：
[1]张玉清，戴祖锋，谢崇斌.安全扫描技术[M].北京：清华大学出版社.2004：10-11.
[2]郑晶.计算机软件漏洞与防范措施的研究[J].吉林农业科技学院学报，2010（2）：104-106.
篇10
当前移动互联网、大数据及云技术等更新进程不断加快，数据量成指数级增长，人们对于大数据时代下网络安全的相关问题也越来越关注。信息技术创新发展伴随的安全威胁与传统安全问题相互交织，使得网络空间安全问题日益复杂隐蔽，面临的网络安全风险不断加大，各种网络攻击事件层出不穷。2016年，我国互联网网络安全状况总体平稳，未出现影响互联网正常运行的重大网络安全事件，但移动互联网恶意程序数量持续高速上涨且具有明显趋利性；来自境外的针对我国境内的网站攻击事件频繁发生；联网智能设备被恶意控制，并用于发起大流量分布式拒绝服务攻击的现象更加严重；网站数据和个人信息泄露带来的危害不断扩大；欺诈勒索软件在互联网上肆虐；具有国家背景黑客组织发动的高级持续性威胁（APT）攻击事件直接威胁了国家安全和稳定。由于大数据网络安全攻击事件仍呈高发态势，而且内容多又复杂，利用大数据分析技术特有的特点，为大规模网络安全事件监测分析提供计算支撑力量，并且对海量的基础数据进行深度挖掘及分析处理，及时监测发现网络安全事件，实现对整体网络安全态势的感知。
二、大数据基本概述及分析技术
（一）大数据基本概述
随着信息技术全面融入社会生活，整个世界的信息量正在不断增多，而且增长的速度也在不断加快。所谓的大数据是指无法在一定时间范围内用常规软件工具进行获取、存储、管理和处理分析的数据集合，是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力的海量、高增长率和多样化的信息资产。大数据的规模之大，其在获取、存储、分析等方面已经远远超出传统软件工具能力范围，业界通常用4个V(即Volume、Variety、Value、Velocity)来概括大数据的特征，分别是大量化，多样化，快速化，价值密度低。
（二）HadoopMapReduce大数据技术
Hadoop除了提供为大家所共识的HDFS分布式数据存储功能之外，还提供了叫做MapReduce的数据处理功能。HadoopMapReduce是一种编程模型，用于大规模数据集（大于1TB）的并行运算。概念"Map（映射）"和"Reduce（归约）"，其来源于函数式编程语言或者矢量编程语言里的特性。Mapreduce是一个计算框架，其表现形式就是具有一个输入（input），mapreduce操作这个输入（input），通过本身定义好的计算模型，得到一个输出（output），这个输出就是最终需要的结果，计算模型如下图所示：
（三）Spark大数据分析技术
Spark是一个基于内存计算的开源的集群(分布式）计算系统，Spark非常小巧玲珑，由加州伯克利大学AMP实验室的Matei为主的小团队所开发。使用的语言是Scala，项目的core部分的代码只有63个Scala文件，非常短小精悍。由于是基于内存计算，效率要高于拥有Hadoop，Job中间输出和结果可以保存在内存中，从而不再需要读写HDFS，节省了磁盘IO耗时，号称性能比Hadoop快100倍。Spark是继HadoopMap-Reduce之后新兴的基于内存的大数据计算框架，相对于HadoopMapReduce来说，Spark具有一定的优势。一是计算速度快。大数据处理首先追求的是速度。官方指出“Spark允许Hadoop集群中的应用程序在内存中以100倍的速度运行，即使在磁盘上运行也能快10倍”。二是应用灵活。Spark在简单的Map及Reduce操作之外，还支持SQL查询、流式查询及复杂查询，比如开箱即用的机器学习算法。同时，用户可以在同一个工作流中无缝地搭配这些能力，应用十分灵活。三是兼容性好。Spark可以独立运行，除了可以运行在当下的YARN集群管理外，还可以读取已有的任何Hadoop数据。它可以运行在任何Hadoop数据源上，比如HBase、HDFS等。四是Spark比Hadoop更通用。Spark提供了大量的库，包括SQL、DataFrames、MLlib、GraphX、SparkStreaming。开发者可以在同一个应用程序中无缝组合使用这些库。五是实时处理性能强。Spark很好地支持实时的流计算，依赖SparkStreaming对数据进行实时处理。SparkStreaming具备功能强大的API，允许用户快速开发流应用程序。而且不像其他的流解决方案，比如Storm，SparkStreaming无须额外的代码和配置，就可以做大量的恢复和交付工作。随着UCBerkeleyAMPLab推出的新一代大数据平台Spark系统的出现和逐步发展成熟，近年来国内外开始关注在Spark平台上如何实现各种机器学习和数据挖掘并行化算法设计。
三、基于Spark技术的网络安全大数据分析平台
（一）大数据分析平台整体架构
本文提出了基于Spark技术的网络大数据分析平台，该平台分为五层，即数据接入层、解析处理层、后台分布式数据存储系统层、数据挖掘分析层、接口层，整体架构图如图3。其中，数据接入层提供多源数据的接入。解析处理层负责对接入的多源数据进行解析。后台分布式数据存储系统层负责所有数据的存储、读取和更新的功能，提供基本的API供上层调用。数据挖掘分析层基于Spark等引擎，实现分布式数据关联分析、特征提取、统计分析等安全事件挖掘能力，同时提供实时检索与溯源能力。接口层为用户可以查询的功能，其中包括数据上传、查看、任务的生成、参数设定等。
（二）网络安全大数据分析平台实现相关技术
表1网络安全大数据分析平台实现相关技术结语总而言之，当前基于大数据下的网络安全面临着越来越多的挑战，因此我们必须高度重视大数据时代下网络安全问题，应对好大数据分析处理工作。本文从当前网络安全现状及面临的问题出发，浅析HadoopMapReduce和Spark大数据分析技术，提出基于Spark技术的网络安全大数据分析平台，实现对海量数据的快速分析，该平台具有高效、高可扩展性，具有很强的适应性。
作者:陈平阳 单位:国家互联网应急中心福建分中心
参考文献：
［1］国家计算机网络应急技术处理协调中心。《2016年我国互联网网络安全态势综述》。2016.04.19
篇11
1 引言
随着计算机网络应用领域不断扩大和复杂性的日益增长,暴露出的众多安全问题越来越令人担忧。电脑病毒、黑客入侵等事件已屡见不鲜。为此,市场上出现了各个层面的网络安全产品,如软硬件防火墙、漏洞评估工具、入侵检测系统、病毒扫描、和各种系统安全防护探针等。从抽象角度分析,硬件的网络安全产品,软件的安全应用,各种安全事件和安全数据的管理工具都可以看成网络中的安全防护设备,简化起见本文将其统称为安全设备。它们在一定程度上保障了网络环境的安全。然而,在绝大多数场合中这些安全产品是被孤立地使用的,安全产品供应商往往只是从某一个局部去解决网络安全的部分问题,而很少从整体以及安全管理的角度去考虑。事实上,只有动态地从整体与管理的角度去考虑安全才有可能真正为用户提供安全保障,因而有必要设计一个统一的安全策略,协调各个不同层面网络安全资源的综合性安全管理系统,以使各个层面的网络安全产品融合成一整体。但是,安全设备的增多提高了网络管理的复杂性卜,由此网络安全管理的概念应运而生。所谓网络安全管理就是管理以上所提到的来自不同厂商不同作用范围的网络安全硬件、安全应用进程、网络安全数据等。[1]
设计了一个基于策略驱动的网络安全设备联动管理平台的原型系统。下面我们将首先分别介绍安全设备和网络安全联动管理,并在后面的章节中具体介绍我们设计的网络安全管理平台。
2 网络安全管理平台的框架
网络安全管理平台的设计目的是提供一个可扩充的体系框架,在这个框架下被管理节点的功能可以根据管理的需要增加或者删减,从而达到管理地灵活性,可扩充性,分布式,同时简化和降低管理复杂度。
基于对管理平台的各种技术和功能的要求,我们设计了一个分布式的多节点系统。系统中存在着以下几种角色:管理节点,安全组件,核心控制台,策略引擎和安全通信通道。
管理平台希望获得管理灵活、方便的性能,我们提出了基于策略的管理方式。策略体现网络安全管理员的管理意图,描述当前网络的安全操作和安全性育昌。
通过以上设计,网络安全管理平台应该能够达到通过对现有网络安全设备简单包装即可嵌入本文设计的网络安全管理平台,达到可集成当前存在的网络安全资源遵照安全平台规范设计的安全组件可以在网络内部平滑的流动,从而达到管理可扩展性和动态性符合管理平台规范安全组件的特定功能可以调用其他组件或者被其他组件调用,达到安全能力互补提高系统可存活性的目的。
在安全管理平台中,安全管理策略可以理解为网络管理员的管理意图。这里可能有两类情况,其一是经一定的触发安全事件而执行的动作以保证大型网络安全。触发源来自安全组件的报警,执行动作由具备相应功能的安全组件或设备,这一类称为系统响应策略或联动策略。另一类是为了完成系统交互功能,网络管理员设定的一些网络安全管理命令,它通常包括管理动作,管理对象,管理方法等儿个部分,这一类可称为安全管理策略或功能策略。管理策略可以描述为安全管理策略={ START STOP LOAD UNLOAD }+安全管理组件+管理域,即在一个管理域内安装、卸载、启动或停止一种安全管理组件。例如,在所有Linux服务器上安装一个Anti sniffer软件,所有Linux服务器是一个管理域、Anti sniffer软件是一个安全管理组件,安装或启动就是一个管理方法。
3 管理平台的消息机制
消息机制下的系统具有可扩充性强,分布式甚至对等处理等优点。消息在网络中可以被以中间节点全部转发、部分转发、部分处理、全部处理等多种方式使用。如果消息、能够采用标准的消息格式,则系统中还可能兼容大量的不同实现方式的中间节点。在网络安全管理中,对大量来源的资源的整合、兼容是非常重要的,如论文开始所述,正是由于网络安全的复杂性和多样性才产生所谓的网络安全管理的概念。同时,规范化的消息能够帮助系统适应复杂的网络拓扑结构,因为,中间节点的转发功能实际上相当于IP网络中的路由器的概念,网络中大量存在具有转发能力的管理节点l相当于大规模网络中存在大量的路由器)使消息可以在复杂拓扑的网络中正确的被发送到指定的位置。
网络安全管理平台原型系统的数据流是采用消息模式,系统的绝大多数行为由消息驱动产生。网络安全管理平台所有传输的消息都是采用XVIL格式。通讯数据经过加密和认证的安全通道传输。
在网管平台原型系统中,由于系统数据传输采用EVIL,格式,所以,XML文件的解析成为系统消息机制的核心问题。实践中我们采用C DOM API作为XML Parser的基础。
平台的消息通讯过程中,Core Manager同Agency以及Agency之间的交互采用平台消息的格式。传送双方一的节点主要处理依据是数据头()中的Message巧pe标签值。对应于不同的标签,消息体()中包含了不同的数据,同样节点的处理方一式也不相同。同时,底层通讯时分别采用了RC4加密和MDS认证技术,保证通讯内容的安全。本节将具体介绍通讯的安全机制以及整个通讯过程中的消息机制。
平台启动后,主控端和分控端经过认证后,分控端发送注册报文向主控端注册资源,主控端下发启动策略并镜像联动策略倒分控端。内容检测探针一启动后,当发现有泄密事件发生后,添加到平台报警队列中。策略引擎轮询报警队列,当报警队列不空时,分析相应事件进行策略匹配,从而完成一次联动过程。
4 总结
网络安全管理系统及其原型系统采用XML,语言作为系统平台的统一策略语言,定义了语言中的各种资源描述规范。使用XML,格式的消息作为系统平台的基本消息格式,定义在策略收发过程和系统反馈过程中的消息处理模式。实现了一个基于策略的网络安全管理原型系统,原型系统能够分析策略语言的内容,按照顶先定义的方式“推送”策略到策略执行点。原型系统基本可以达到简单的策略编写就可以管理网络中的不同来源的设备集成管理,达到联动的网络安全管理基本目的。
篇12
中图分类号：TP309 文献标识码：A 文章编号：1007-9416（2015）12-0000-00
大力发展信息化至今，大部分网络设备和服务器已到更新换代之际，故障率和安全隐患逐年攀升，同时，网络攻击和病毒侵入带来的网络故障事故层出不穷。网络故障一旦发生，快速定位是解决问题的首要之举，直接关系到故障修复的时间，影响到引发损失的大小，网络应急响应已成为网络安全体系的重要组成部分。
1 影响网络安全的主要因素
影响网络安全的因素有很多，比如病毒的侵袭、黑客的非法闯入、数据"窃听"和拦截、拒绝服务等等，园区网作为内部网络一般主要有以下安全隐患：
（1）IP地址滥用。对于实行静态IP地址分配的网络，非法接入、IP地址冒用、IP地址擅自更改，已成为网络管理人员最头痛的问题。另外，如何实现对识别后的违规行为进行快速定位，实现快速隔离阻断控制？如何及时发现、定位以及阻断未经授权情况下擅自接入我们网络的非法主机，及时防止信息泄漏、感染木马及病毒？上述诸多问题，将给运维工作带来极大困难。
（2）违法违规事件。随着个人网络意识和网络技术进步，经常有违规个人发动网络攻击、发表违法言论、窃取网络秘密等违法违规行为，一旦发生上述事件，网络管理人员追踪定位主机位置成为必然。由于IP地址和MAC地址容易冒名顶替，根据一般性安全设备或网站记录的IP地址或MAC地址追查到的结果并不能完全确定，因此完善认证审计系统势在必行。
（3）私接路由。用户利用路由器的MAC克隆和NAT转换模式，为图自己方便在内网中私自接入多台计算机，这种接入方式对外表现为单点普通接入，实际上却有几台甚至十几台设备同时在线，网络管理人员很难检测和监管，尤其是无线路由器的NAT接入，不仅大大扩展了内网的网络边界，而且由于自身的不安全性，容易遭受外来无线攻击和入侵，带来的安全风险之大不可小觑。
（4）病毒攻击。园区网是一个相对封闭网络，但内网蠕虫病毒、ARP攻击仍然活跃，频频导致网络瘫痪，当蠕虫病毒爆发时，虽然有网络安全设备（如IDS等）的不断报警，管理员却无法及时定位感染主机，切断感染途径，唯一能做的就是守在机房搜寻并拔掉交换设备端口指示灯狂闪的下联网线，造成响应处理机制缓慢，处理时间过长，损失也就不可避免。
2 网络应急响应系统构建
网络应急响应系统主要由IP地址管理模块、入网审计模块、NAT设备检测模块、网络设备管理模块和应急响应管理模块。
2.1 IP地址管理模块
该模块能够跨VLAN跨路由自动收集网络内部所有主机的IP地址和其对应的MAC地址，通过IP和MAC的虚拟绑定技术，来实现对网络内部的违规行为进行有效监控。
2.2入网审计模块
该模块能够详细记录每一MAC使用不同IP地址的时段，以及MAC地址在网络的接入点及其接入时间段。可以根据IP地址结合发生时段，定位其该时段对应的MAC地址，同时结合时段，进一步定位到该时段该MAC地址在交换设备的接入端口，提供多种检索方式，便于安全事件关联IP的追踪和还原定位。
2.3 NAT设备检测模块
该模块通过远程扫描方式可以快速报警和定位私自接入的NAT设备，包括NAT私接设备的IP地址、MAC地址和接入的交换设备端口。
2.4网络设备管理模块
该模块提供一个统一的安全管理平台，来兼容主流厂商众多型号的网络交换设备，对其安全运行和管理状态提供统一的控制和管理：
（1）网络设备物理通讯链路的监控，可以自动探测网络设备的链路运行状态，并对离线的重要设备进行报警。
（2）网络设备端口运行状态监控，能够识别设备端口的工作状态，包括设备端口启用状态以及端口关闭状态。
（3）交换机端口运行操作管理，支持对交换设备的端口操作管理，包括端口运行管理操作管理和部分设备端口的安全操作管理。
（4）交换机端口流量监控和管理，支持对交换设备的端口流量监控，并可设定阀值，对异常流量端口进行自动响应管理。
（5）交换机端口下联设备定位，能够自动定位交换设备端口的下联MAC地址和IP地址，自动区分端口是否属于级联口，是应急响应管理的基础。
2.5应急响应管理模块
系统综合地址资源管理技术和交换机端口定位技术，通过阻断违规主机的上联交换机端口来实现对网络内部违规行为的应急响应控制。系统提供手动快速应急和自动应急两种响应管理模式。
（1）手动快速应急响应管理。用户只需要输入IP地址或MAC地址，通过系统提供的查询接口就可以自动完成定位和进一步的隔离控制管理，相对于传统的手动处理模式，定位时间可以缩短一个量级。这个过程也可以通过直接查询报警信息，查询结果也会自动关联其定位信息，直接可以进行定位和隔离控制。
（2）自动应急响应管理。系统提供基于策略的自动应急响应管理机制，策略中可以自定义待响应处理的安全事件，系统在检测到该安全事件后（如非法接入），首先会根据IP自动获取其MAC地址，然后根据MAC地址自动关联其上联交换机端口，并根据响应策略要求决定是否自动关闭其上联端口来进行自动隔离控制，同时提供相应的报警信息。
3结语
该系统能够充分利用现有资源，兼容多家网络厂商设备，无须进行改变网络拓扑和架构，整合完成现有安全技术和自动响应管理技术的衔接。可以实现安全事件源的自动快速定位，自动隔离、阻断控制，响应处理时间可由原先手动响应的小时级缩短为自动响应的分秒级，可大大降低安全风险和损失。系统提供基于策略的应急响应管理机制，根据策略要求可以实现对安全事件的报警、自动关联定位及响应控制，保证了管理的灵活性。
