论文部分内容阅读
摘要：主机监控系统是针对于防止内部攻击的一套安全系统，综合利用密码、访问控制和审计跟踪等技术手段，对数据信息的存储、传播和处理过程实施安全保护，可提高系统内部的安全性。
关键词：网络安全；主机监控；审计
中图分类号：TP393 文献标识码：A 文章编号：1007-9599 (2011) 21-0000-01
Private Enterprise Host Audit and Monitoring Scheme
Zhu Shuang,Wu Jinqiu,Su Bin
(Shenyang Liming Aero-Engine Group Co.,Ltd.,Shenyang 110043,China)
Abstract:The host monitoring system for preventing attacks within a security system,comprehensive utilization of passwords,access control and audit tracking technology,the data information storage,transmission and processing process of the implementation of security protection,can improve the system for internal security.
Keywords:Network security;Computer monitoring;Audit
对于涉密内网来说，最重要的资产是涉密数据，因此，如何保护这些重要资产不被非授权拷贝出网、不被拷贝进网的病毒或恶意代码所破坏，就成为一个非常重要的问题，国家保密标准中对于涉密网内数据的进出控制也进行了相应的要求。
一、系统概述
主机监控系统是综合利用密码、访问控制和审计跟踪等技术手段，对涉密信息、重要业务数据和技术专利等敏感信息的存储、传播和处理过程实施安全保护的软件系统，能最大限度地防止敏感信息的泄漏、被破坏和违规外传，并完整记录涉及敏感信息的操作日志以便事后审计和追究泄密责任。目前，个人计算机系统成为组成企业、单位网络的主体，也是绝大多数泄密事件发生的源头。针对这一现状，主机监控系统将保护对象定位于个人计算机系统，主要功能是防止个人桌面系统的信息泄漏，同时对个人桌面系统的软硬件资源实施安全管理，并对个人桌面系统的工作状况进行监控和审计。
二、主机监控与审计系统的要求
目前各软件企业推出的主机监控与审计系统一般都由三部分组成：客户端、服务器端和管理端。客户端，即安装在计算机上的代理软件，用来收集主机数据信息，并接收从服务器端下发，由管理员配置的安全策略和指令，其最终目的是对主机行为进行监控，当有非法行为发生时，客户端可以中断非法行为，保护主机和各种软、硬件资源及机密信息的安全。同时，还能够产生相应的报警日志，方便管理者进行追查、处理。服务器端，一般安装在内网中一个具有较高性能的平台上，用于接收受控主机客户端发送的各类信息，进行存储、管理。管理端，通常是一个Web服务或者其他应用程序，经过用户登录后，管理者能够进入对应的管理界面，配置和下发适当的安全策略，查询和分析客户端日志，以及统计和管理各种主机资产信息。
三、解决措施
（一）非正常启动系统的防护
本文所阐述的问题均是假定采取了相关的安全产品后的遗留风险，下面给出的解决方法也是基于该假设前提。无论是从光盘启动还是从USB启动，必须先调整设备的启动顺序，因此可以控制BIOS的修改权限来防止用户绕过硬盘启动。具体的做法如下：
首先，从管理上进行统一管理，BIOS的密码由管理员统一管理，有需要的时候由管理员进行权限开放。其次，规定机箱不得随意打开，必须有相关管理人员在场或同意后打开，这样能够防止对CMOS放电而开启BIOS的控制权限。最后，对主板电池的使用时间做预估，如果主机还继续使用，确保在其主板电池失效前更换。
（二）与其他机器直连的防护
Windows主机与其他机器采用交叉线直接连接的问题，目前单从技术上还没有很好的解决方案，原因是联网的计算机本身需要使用网卡，所以不能从底层将网卡禁用。目前有些监控产品通过监控网线的拔插进行控制，即探测到网线被拔掉后即触发关机指令，但这也只是针对系统启动后对网卡的监控，没有从根本上解决该问题。若主机监控产品提供了网卡的审计功能，与其他机器的直连操作是能够被审计到的。因此在管理上应充分利用安全产品的审计功能，严格控制非工作需要的笔记本计算机带入工作区，同时教育员工增强保密意识。
（三）基于数字信封的文件输入输出控制系统
文件正常的进出网络也是客观的需求，因此为了保证数据的安全进出，又满足正常的工作需要，需要建立一套文件输入输出控制系统。数字信封是数字证书的一个基本应用，其功效类似于普通信封，其采用密码技术保证只有规定的接收人才能阅读“信件”内容。客户端A将欲拷出的文件生成数字信封后上传到文件服务器，在文件服务器上加入了审批工作流，只有经过审批后才能将文件从服务器上拷出。正如本文前言所述我们重点保护的是敏感信息不被非授权拷贝出网，因此对于拷入网络的数据不需要经过审批流程，文件输出的流程如下：
（1）客户端A生成对称密钥；（2）客户端A使用堆成密钥对需要发送的信息进行加密，得到密文；（3）客户端A使用自己的数字证书中的公钥加密对称密钥，得到数字信封；（4）客户端A将密文和数字信封上传至文件服务器；（5）然后经过审批流程后，客户端A在文件进出终端使用自己的私钥拆解数字信封，得到对称密钥；（6）客户端A使用对称密钥解密密文，得到明文。
上述系统的部署模式是每个单位或部门仅提供一台机器作为文件输入输出终端，该机器可以正常使用存储介质，其他网上的机器均禁用所有存储介质。本系统的优点是文件在整个传输过程中是密文的，只有拥有私钥的上传者才可以解开密文，并且不经过审批流程，无法从文件服务器上下载该文件。
四、总结
本文提出的一种新的主机监控系统，综合利用密码、访问控制和审计跟踪等技术手段，对涉密信息、重要业务数据和技术专利等敏感信息的存储、传播和处理过程实施安全保护，最大限度地防止敏感信息的泄漏、被破坏和违规外传，并完整记录涉及敏感信息的操作日志以便事后审计和追究泄密者的责任，大大提高了网络系统的内部安全。
参考文献：
[1]张华.构筑安全的内部网[J].计算机应用研究,2009,16(9):29-33
[2]张超.Intranet系统上的安全技术及安全性建设原则[J].计算机应用与软件,2011,16(6):1-7
关键词：网络安全；主机监控；审计
中图分类号：TP393 文献标识码：A 文章编号：1007-9599 (2011) 21-0000-01
Private Enterprise Host Audit and Monitoring Scheme
Zhu Shuang,Wu Jinqiu,Su Bin
(Shenyang Liming Aero-Engine Group Co.,Ltd.,Shenyang 110043,China)
Abstract:The host monitoring system for preventing attacks within a security system,comprehensive utilization of passwords,access control and audit tracking technology,the data information storage,transmission and processing process of the implementation of security protection,can improve the system for internal security.
Keywords:Network security;Computer monitoring;Audit
对于涉密内网来说，最重要的资产是涉密数据，因此，如何保护这些重要资产不被非授权拷贝出网、不被拷贝进网的病毒或恶意代码所破坏，就成为一个非常重要的问题，国家保密标准中对于涉密网内数据的进出控制也进行了相应的要求。
一、系统概述
主机监控系统是综合利用密码、访问控制和审计跟踪等技术手段，对涉密信息、重要业务数据和技术专利等敏感信息的存储、传播和处理过程实施安全保护的软件系统，能最大限度地防止敏感信息的泄漏、被破坏和违规外传，并完整记录涉及敏感信息的操作日志以便事后审计和追究泄密责任。目前，个人计算机系统成为组成企业、单位网络的主体，也是绝大多数泄密事件发生的源头。针对这一现状，主机监控系统将保护对象定位于个人计算机系统，主要功能是防止个人桌面系统的信息泄漏，同时对个人桌面系统的软硬件资源实施安全管理，并对个人桌面系统的工作状况进行监控和审计。
二、主机监控与审计系统的要求
目前各软件企业推出的主机监控与审计系统一般都由三部分组成：客户端、服务器端和管理端。客户端，即安装在计算机上的代理软件，用来收集主机数据信息，并接收从服务器端下发，由管理员配置的安全策略和指令，其最终目的是对主机行为进行监控，当有非法行为发生时，客户端可以中断非法行为，保护主机和各种软、硬件资源及机密信息的安全。同时，还能够产生相应的报警日志，方便管理者进行追查、处理。服务器端，一般安装在内网中一个具有较高性能的平台上，用于接收受控主机客户端发送的各类信息，进行存储、管理。管理端，通常是一个Web服务或者其他应用程序，经过用户登录后，管理者能够进入对应的管理界面，配置和下发适当的安全策略，查询和分析客户端日志，以及统计和管理各种主机资产信息。
三、解决措施
（一）非正常启动系统的防护
本文所阐述的问题均是假定采取了相关的安全产品后的遗留风险，下面给出的解决方法也是基于该假设前提。无论是从光盘启动还是从USB启动，必须先调整设备的启动顺序，因此可以控制BIOS的修改权限来防止用户绕过硬盘启动。具体的做法如下：
首先，从管理上进行统一管理，BIOS的密码由管理员统一管理，有需要的时候由管理员进行权限开放。其次，规定机箱不得随意打开，必须有相关管理人员在场或同意后打开，这样能够防止对CMOS放电而开启BIOS的控制权限。最后，对主板电池的使用时间做预估，如果主机还继续使用，确保在其主板电池失效前更换。
（二）与其他机器直连的防护
Windows主机与其他机器采用交叉线直接连接的问题，目前单从技术上还没有很好的解决方案，原因是联网的计算机本身需要使用网卡，所以不能从底层将网卡禁用。目前有些监控产品通过监控网线的拔插进行控制，即探测到网线被拔掉后即触发关机指令，但这也只是针对系统启动后对网卡的监控，没有从根本上解决该问题。若主机监控产品提供了网卡的审计功能，与其他机器的直连操作是能够被审计到的。因此在管理上应充分利用安全产品的审计功能，严格控制非工作需要的笔记本计算机带入工作区，同时教育员工增强保密意识。
（三）基于数字信封的文件输入输出控制系统
文件正常的进出网络也是客观的需求，因此为了保证数据的安全进出，又满足正常的工作需要，需要建立一套文件输入输出控制系统。数字信封是数字证书的一个基本应用，其功效类似于普通信封，其采用密码技术保证只有规定的接收人才能阅读“信件”内容。客户端A将欲拷出的文件生成数字信封后上传到文件服务器，在文件服务器上加入了审批工作流，只有经过审批后才能将文件从服务器上拷出。正如本文前言所述我们重点保护的是敏感信息不被非授权拷贝出网，因此对于拷入网络的数据不需要经过审批流程，文件输出的流程如下：
（1）客户端A生成对称密钥；（2）客户端A使用堆成密钥对需要发送的信息进行加密，得到密文；（3）客户端A使用自己的数字证书中的公钥加密对称密钥，得到数字信封；（4）客户端A将密文和数字信封上传至文件服务器；（5）然后经过审批流程后，客户端A在文件进出终端使用自己的私钥拆解数字信封，得到对称密钥；（6）客户端A使用对称密钥解密密文，得到明文。
上述系统的部署模式是每个单位或部门仅提供一台机器作为文件输入输出终端，该机器可以正常使用存储介质，其他网上的机器均禁用所有存储介质。本系统的优点是文件在整个传输过程中是密文的，只有拥有私钥的上传者才可以解开密文，并且不经过审批流程，无法从文件服务器上下载该文件。
四、总结
本文提出的一种新的主机监控系统，综合利用密码、访问控制和审计跟踪等技术手段，对涉密信息、重要业务数据和技术专利等敏感信息的存储、传播和处理过程实施安全保护，最大限度地防止敏感信息的泄漏、被破坏和违规外传，并完整记录涉及敏感信息的操作日志以便事后审计和追究泄密者的责任，大大提高了网络系统的内部安全。
参考文献：
[1]张华.构筑安全的内部网[J].计算机应用研究,2009,16(9):29-33
[2]张超.Intranet系统上的安全技术及安全性建设原则[J].计算机应用与软件,2011,16(6):1-7