淺談網(wǎng)絡(luò)安全管理

聶 菲

(黑龍江省北安市交通局)

1 安全審計追蹤對確保任何網(wǎng)絡(luò)安全都起了重要的作用

它可以用來檢測一個安全策略的正確性,確認與安全策略的一致性,幫助分析攻擊,并且收集用于起訴攻擊者的證據(jù)。安全審計追蹤記錄了任何可疑的事件(可以產(chǎn)生一個安全警報),也可以記錄許多日常事件,如建立和終止連接、使用安全機制和訪問敏感資源。同類或不同類的系統(tǒng)都可以檢測到被審計的事件,并由系統(tǒng)中的安全審計追蹤日志來維護。安全審計追蹤功能為將事件信息傳遞給維護日志并創(chuàng)建和恢復(fù)日志實體的系統(tǒng)提供了必要的支持。

在這里講述的主要標準是安全審計追蹤功能(1SO/IEC 10164-8)。因為管理一個安全審計追蹤日志的機制基本上與網(wǎng)絡(luò)管理中的管理任何其他類型的事件日志一樣。該標準依賴于以下兩個標準——事件報告管理功能(1SO/IEC 10164-5)和日志控制功能(1SO/IEC10164-6)。

通知一個安全審計追蹤的事件的過程類似于產(chǎn)生一個安全警報報告的過程。它包括一些受管對象對一個M-EVENT-REPORT的調(diào)用。一個安全審計追蹤日志可以記錄事件類型參數(shù)指示的幾乎任何管理通知,包括ISO/IECl0164 -7中定義的安全警報報告通知。

安全審計追蹤功能標準另外定義了兩個特殊的通知,分別與服務(wù)報告和使用報告對應(yīng)。服務(wù)報告表明了與一些服務(wù)的提供、拒絕或恢復(fù)有關(guān)的事件。使用報告用于有安全意義的日志統(tǒng)計信息。傳遞的參數(shù)和這些事件類型基本上與安全警報報告中使用的一樣,其中包括任何M-EVENTREPORT通用的參數(shù)和任何管理警報通用的參數(shù)。服務(wù)報告事件類型中定義了一個額外的參數(shù),稱為服務(wù)報告原因,用于表明報告的原因。這個參數(shù)是一個ASN.1對象標識符,也就是說任何人可以定義并注冊其值。該標準還定義了一些通用的值:服務(wù)請求、拒絕服務(wù)、來自服務(wù)的回答、服務(wù)失敗、服務(wù)恢復(fù)和其他原因。

審計追蹤過程的控制和從安全審計追蹤中檢索實體都獨立于上面的通知過程。它們利用了定義在其他標準中的通用過程。事件報告管理功能(1SO/IECl0164-5)為兩個系統(tǒng)之間的聯(lián)系建立了一個長期的事件報告。日志控制功能(1SO/IECl0164-6)支持用于安全審計追蹤和其他目的的日志的創(chuàng)建和刪除以及這些日志記錄的檢索。

2 管理資源的訪問控制

網(wǎng)絡(luò)管理有它自己的訪問控制要求,有必要控制誰能調(diào)用管理功能,誰能創(chuàng)建、刪除、修改或讀取管理信息。這樣的訪問控制在任何使用網(wǎng)絡(luò)管理協(xié)議的網(wǎng)絡(luò)中都是至關(guān)重要的,因為對網(wǎng)絡(luò)管理資源的破壞也就等于破壞了整個網(wǎng)絡(luò)。

ISO/IECl0164-9標準中講述了這種類型的訪問控制(訪問控制中命名了對象和屬性)。該標準給出了一個訪問控制模型,以及支持系統(tǒng)之間傳遞訪問控制信息所需要的信息對象定義,并使用了訪問控制框架標準(1SO/IEC10181-3)中的術(shù)語和概念模型。包括各種訪問控制策略以及各種訪問控制機制(如訪問控制列表、能力、安全標識和基于內(nèi)容的控制)。

訪問控制決策應(yīng)用于管理操作的調(diào)用例如M-GET或M=SET。包括的體系結(jié)構(gòu)的部件。,發(fā)起者是管理系統(tǒng)(或系統(tǒng)中的管理員),目標是受管系統(tǒng)的信息資源。一個目標可以是受管對象、受管對象的屬性、受管對象的屬性值或受管對象的行為。因此,可能為管理員提供了一個非常精確的控制級,在這個控制級上管理員可以為某一目的訪問某一管理信息。

基于訪問控制規(guī)則來決定是允許還是拒絕訪問請求。訪問規(guī)則本身可以表示成管理信息條目并且使用CMIP協(xié)議來管理(例如,讀或?qū)?。

訪問控制規(guī)則的三種不同類型是有區(qū)別的。一個安全區(qū)域權(quán)威機構(gòu)根據(jù)特定的發(fā)起者或發(fā)起者類(例如,區(qū)域中可辨認的特定角色)用全局規(guī)則來保護區(qū)域中的所有對象。條目規(guī)則是用于特殊目標的特殊規(guī)則。當沒有合適的全局或條目規(guī)則使用時,可使用缺省規(guī)則來做訪問決策。

當有許多規(guī)則用于一個特定的訪問請求時,這些規(guī)則的優(yōu)先級如下。

(1)拒絕訪問的全局規(guī)則。

(2)拒絕訪問的條目規(guī)則。

(3)允許訪問的全局規(guī)則。

(4)允許訪問的條目規(guī)則。

(5)缺省規(guī)則。

一個訪問控制規(guī)則能夠基于安全策略所要求的任何決策過程。一個規(guī)則的說明書中包含了許多要素,如以下幾方面。

(1)訪問的許可:指明是與拒絕服務(wù)有關(guān)還是與允許訪問有關(guān)的規(guī)則。

(2)發(fā)起者列表:可應(yīng)用的發(fā)起者列表,以訪問控制列表、能力或安全標簽形式表示。

(3)目標列表(只用于條目規(guī)則):可用的目標(例如,受管對象,屬性和屬性值)和作用在這些目標上的操作的列表。

(4)時間表:指明這些規(guī)則使用的時間點(如只能在規(guī)定的上班時間,或從星期一到星期五)。

(5)狀態(tài)條件:指明使用規(guī)則的受管對象的屬性的狀態(tài)(例如,在系統(tǒng)處于診斷狀態(tài)時才可用)。

(6)認證內(nèi)容:當要認證發(fā)起者時,指明需要認證的等級。

訪問控制決策過程:首先,需要驗證伴隨訪問請求出現(xiàn)的任何訪問控制信息。需要標識發(fā)起者和目標使用的任何訪問規(guī)則的身份,并根據(jù)他們的全局/條目/缺省的意義進行歸組。然后根據(jù)優(yōu)先級的限制來使用這些規(guī)則。

使用規(guī)則的方法取決于所使用的特定的訪問控制機制。在訪問控制列表機制中,將發(fā)起者的標識符與使用的訪問控制列表進行比較。在能力機制中,將發(fā)起者提供的能力與規(guī)則中陳述的能力進行比較。在基于標識的機制中,將與發(fā)起者相關(guān)的標識與規(guī)則所識別的標識集進行比較。還需使用基于內(nèi)容的檢測,如時間表、狀態(tài)條件或認證級別。作出訪問決策后,就有其他一系列的行為發(fā)生。決策使用的信息需要暫時保存起來用于以后為相同的發(fā)起者作決策(這樣的信息被稱為保留的訪問控制決策信息或保留的ADI)。與目標有關(guān)的訪問控制信息需要修改,例如如果管理操作導(dǎo)致受管對象的建立或刪除。由于依賴于安全策略,因此也有必要生成一個安全警報和安全審計追蹤通知。