分析了内网信息安全的现状，针对内网存在的所有信息泄露的途径，探讨了建立有效防内网信息泄露的策略、相关核心技术及管理方法，提出了利用动态的访问控制方法。
随着网络技术的发展和广泛应用，网络安全也就变得更加重要。内网安全作为网络安全的一个重要组成部分。保证内网资源的可用性、信息存储的安全性、内部信息传输的安全性需要得到足够的重视。针对内网存在的所有信息泄漏途径。利用操作系统核心技术、网络协议分析技术、网络驱动技术以及外设控制技术来建立有效的防内网信息泄漏策略．包括计算机资源审计和管理、防网络泄漏、防网络设备泄漏。在内网计算机资源信息进行审计以及管理的过程中。采用自适应访问控制技术对内外网双向传输的网络数据包进行协议解析过滤、纪录和拦截非法资料外泄，具有一定的可行性和明显的效果。
当前，在国内的大多数单位的内网都用防火墙、防病毒软件来防止外界威胁，往往忽视了对内网安全威胁的策略。随着移动存储设备小型化和电子邮件等通信技术的发展，许多企业、学校、金融机构、科研院所等单位与外部网络通信频繁，一旦重要资料出现泄密、将造成严重后果，内网安全问题变得越来越重要。
1、自适应访问控制
传统的内部网防泄露方法把网络监控和访问控制留给了网络的应用层负责，过于信任内部网的设备。容易造成复杂的错误配置信息，并产生不可靠的安全策略。为克服上述问题，提出了一种自适应的访问控制方法(AdaptiveAccessControl。AAC)。它能够监控内部网络的安全状况以自适应地产生一个动态的、细力度的内部网访问控制策略，保证内部网络各网络设备的安全以及整个网络系统的安全。当前内部网络中的访问控制和监控管理所遇到的问题和基于可编程交换机的访问控制技术。内部网络往往是大型的、异构的、和不可管的。导致网络的管理者陷入复杂的、开销大的及易出错的管理问题中，网络设备面对被攻击或处于不安全状态。目前的研究表明，主要的网络访问控制管理是人工从网络中隔离或去除这些有安全问题的网络设备，这种访问控制和监控方式是低效的、不灵活的。AAC为网络提供了更灵活、快速的网络流量控制方法，具有很好的可扩展性，适应大规模的用户和数据流。在安全数据通道中，数据被封装并发送给中心控制器，保证数据通道的安全。
2、自适应访问控制方法的设计
自适应访问控制方法(AAC)包含一个策略规范框架，分布式的网络监控策略和一种基于可编程交换机的动态规范制定策略。基于已有的访问控制框架，设计策略规范框架，已有的访问控制框架会为每个安全类分配一个网络设备。每个网络设备会有一个安全类和一个状态信息。基于一个网络设备的安全类和状态，AAC允许一个网络操作者制定不同的安全防漏功能．提供大量的更加细力度的访问控制。在内部网中。属于相同安全组的网络设备属于同一个虚拟局域网，但是在相同虚拟局域网中的所有数据流会接受相同的策略，并且相同虚拟局域网中的网络设备并不能相互保护。AAC利用大量细力度的策略，快速将设备分配在虚拟局域网中。分布式的网络监控策略：AAC把网络安全的检测任务交给网络本身，基于网络流量的分布式分析和推理完成网络管理任务，网络中的各个单元转发有关网络流量信息报告给一个能进行信息分析和推理的中心服务器；中心服务器根据从网络不同单元中获得到的网络流量报告，进行分析和推理．发现有与网络信息泄漏有关的信息，则发送警告信息给系统。AAC通过分布式网络监控策略，可防御大量的不同类型的网络攻击。一种基于可编程交换机的动态规范制定策略．AAC允许交换机基于不同的输入信息动态地映射客户。警报系统为了控制流量．首先会发送信息给系统控制器，通过标准的基于01)enFlow的交换机接口系统控制器控制交换机的行为以控制流量。通过分布式的基于推理的警告系统与可编程交换机的结合和通过基于系统控制器中网络设备状态和安全类差别性处理流量的网络设备，从C实现制定和执行动态的访问控制。
3、自适应访问控制的鉴别和分析
AAC的访问控制允许制定动态的策略，动态策略本质上是基于类别的访问控制．每个网络设备除了包含一个安全类和一个状态信息以外，状态信息还能根据策略定义的事务集随时间变化。策略能够有效地指示交换机根据网络设备所处的安全类和状态，控制来自该网络设备和网络设备的数据流。动态策略允许网络交换机根据网络状况的变化，去改变控制网络设备流量的方式。根据网络设备的状况，网络管理者可以限制网络设备访问网络资源的类型和监视范围。如在一个校园内部网络中，一个管理者可能希望一些低权限的校园网用户只能发送数据到Internet．而不能发送到其它地方以防止校园网中的网络设备被扫描或被潜在的不可信网络设备受攻击。AAC制定框架判断为：每个网络设备所属的可能类和状态；对应的访问控制策略；网络单元应该采取实施策略的行动；一个关于网络设备如何能够从一个状态转换到另一个状态的规范。
网络拓扑的不断变化和复杂管理策略下的限制，内部网络中的安全策略的定义和管理变的十分困难。由于自适应的安全策略是通过交换机中合适的访问控制策略，以分布式方式实现的。另外，组织内部安全策略的复杂性和网络中潜在的服务访问路径的不一致性。可能导致隐形地违背一个或多个访问控制策略。并且由于网络拓扑的变化(如网络链接的故障)而变得更复杂。因而，AAC面临的一个很重要盼问题是对这些访问控制策略正确性的鉴别和分析，即鉴别安全策略的实施是否与总体策略相一致；在网络拓扑动态变化下，分析一个正确的安全策略的执行是否与总体策略相一致。
4、自适应访问控制的应用
AAC在一个典型的内部网络(校园网)中的一个应用设计中，假设所有网络设备处于相同的安全类别，并且它们的状态只是在被认证和被扫描时才会发生变化。AAC通过分配特定安全类别给网络设备和交换机以支持更加细粒度的访问控制。图1反映了AAC在一个校园网环境中的应用设计。
网络中的一个网络设备广播一条动态主机配置协议，发现消息后动态主机配置协议服务器返回一个公共IP地址给该网络设备。该网络设备为了访问Internet，通过一个网页入口进行认证；默认情况下，基于OpenFlow的交换机把未认证网络设备的HTTP请求都转发到网页认证人口服务器。一旦用户认证了网络设备，Web服务器能保存该网络设备的MAC地址并更新数据流表单以允许对以注册地址的访问，网络扫描器同时检测网络设备是否存在潜在的安全问题。当网络设备通过扫描，Web服务器会发送一个消息给系统控制器以允许从该网络设备流向任意目标。AAC利用分布式的推理技术持续地进行网络设备扫描．并进行隔离安全防疫。系统控制器为每个接入到网络中的MAC维护一个状态机，管理每个机器的状态，并更新交换器中存放的网络设备状态对应的数据流信息表中的内容。
对一个网络设备接入到校园内部网时，AAC分析当两个网络设备试图通信时，系统控制器如何管理数据流表中的信息，解释主机的状态转换，改变流表实体。在一个简单的AAC工作环境中包含4个支持OpenFlow的交换机、一个系统控制器、两个主机和4个服务器。支持OpenFlow的交换机利用安全通道建立一个连接。当一个网络设备加入到校园内部网时，首先广播一个动态主机配置协议发现消息，建立一条数据流表条。重定向数据流．实现重定向用户到认证Web站点上。处于注册状态或隔离状态的网络设备不能初始化一条连接，但该网络设备依然可以接收处于操作状态网络设备的数据包。在真正的操作中，一个网络设备可能被攻击。当攻击被警告并通告给系统控制器，系统控制器就能够转换该网络设备的状态为认证状态，确保信息传输的安全性。
5、结束语
自适应访问控制技术在校园网中的应用及部分实验表明．该方法在内网防泄露中具有一定的作用和实际应用价值。
网友评论