英语原文共 8 页，剩余内容已隐藏，支付完成后下载完整资料

在TCP/IP网络中的分布式安全智能评估

鲁伊·科斯塔·卡多佐 马里奥·马克斯·弗莱雷

贝拉英特拉大学 信息科学系

摘 要:随着网络互连的活力性的增加，安全性问题成为一个需要去考虑的关键点。大多数采取的方式认为是路由器，交换机，防火墙和虚拟专用网（VPN）以及入侵检测系统的部署和脆弱性评估工具的混合。用一种积极主动的方式对待入侵，漏洞评估工具允许在它们被攻击之前检测漏洞。在本文中，我们对这样的模型提出了扩展，通过利用基于软件代理的分布式方法，从而正确地评估网络的安全风险，获得正确的分布式安全评估。基于这样的模型，我们开发了一个用于检测和枚举每一个网络中有效因素的安全风险。收集的信息被用来建立一个安全的知识评估。使用这些技术，信息会被更快地散播，这可能导致更多的网络中安全问题被更新的评估。自从网络管理员们更关注所报道的安全问题，大家对安全的意识在不断增加。

1 介绍

连接到网络的设备的数量能够广泛地识别出是呈上升趋势，并且在同一时间，不仅在核心层面的服务，受到管理员直接监控的主要系统，而且在其个人计算机用户水平上，我们协助去增加可用服务的数量网络。在另一方面，无线网络的出现增加了更多的安全问题[1]。当网络演进，网络管理员应该更频繁地监视每台计算机，尝试检测连接平台安全性中的潜在风险，搜索漏洞并保持贯彻安全维护[2]。对于网络管理员来说，这些任务需要时间和承诺。保持网络的每个活性元素安全，并且把新的漏洞出现都总是能被其攻破限制成不可能是一个艰巨的任务，在管理员们知道漏洞存在之前进行系统攻击已经成为不罕见的事情了。

网络管理员要考虑的主要问题是：谁在做什么？为什么这么做？ 到哪里？目的又是什么？在运行中，系统发生了什么和什么样的服务和版本正在运行，网络管理员几乎是不可能知道这些。尽管网络管理员尝试使用VPN， NAT（网络地址转换），以及漏洞评估（VA）工具和入侵监测系统（IDS）[4]一起来控制他们的网络，但是他们时刻不能评估网络的状态的安全性。

安全评估的问题有几种解决方法。 NIST（美国国家标准和技术）学院[5]对主题给出了一个很好的概述。基本上，基于软件包的开源的方法有如：目前全世界最多人使用的系统漏洞扫描与分析软件Nessus[6]和安全评审研究助手SARA [7]以及SecurityMetrics [3]，Qualys[8]和ICSA [4]商业方法。虽然我们知道某种有关安全的评估[2] 工具，但是它们没有一个可以真正地永久安全评估。关于这方面的研究活动，有几个如入侵检测工程[9] - [10]，通过Pedrieddy [11]代理合作通信工程等重要的贡献应用到入侵。多代理系统（MAS）也用在入侵检测系统IDS和安全评估在[2]，[12] - [13]。其他的使用度量的标准，我们打算以评估安全风险[1]，[14] - [15]。这些中的许多都表示一个起始于特定时间并且不匹配在网络中的进行长期监控的评估任务。

在我们的方法里，我们试图通过委派任务给一个分布式系统来最大限度地减少网络管理员的问题。拥有了这个系统安全评估的能力，我们就可以更精确地控制网络部分路段。 通过代理商之间的合作，安全问题的一种深入了解就能够实现，并且因此，用一个更经常地方式，网络的安全性就可以更好地完成评估。在这概念方面的应用增加了灵活性[9] - [10]，通常地，在相对的中心视觉上提供了许多漏洞抓捕工具。

在本文的剩余部分是通过以下方式组织的。基于安全一些指标，第2节中，我们阐明了安全评估方法。在第3节中，我们描述了代理的运作，并在第4节中我们描述分布式系统的功能。主要结论和未来的工作将在第5节中呈现。

2 网络中的安全风险

为了达到安全的评估，在给定的网络中，有几个因素要去考虑。网络的拓扑结构，路由器/交换机正确地配置，防火墙[16]，堡垒主机，VPN和NAT，可以威慑入侵者，但不构成100％的安全实施的贯彻。对陌生的物理和公共接入的网络系统，可以妥协访问的服务（例如：WWW或电子邮件）。为系统管理特权优惠的标准必须是精心挑选的，安全方面的信息和敏化水平对广大普通用户是糟糕的。所有这些因素和其他的方方面面，让我们去评估风险和潜在的网络攻击。

2.1 安全指标

虽然在网络中能够表征安全风险[13]指标有无数种，但是在本文中我们认为是定义一个减少了，然而可以代表一组定量和定性度量[14]的标准来做出安全评估和对网络安全潜在的风险分析。一个安全性指标的全球分析是基本建立于正确的安全政策上，着眼于防御上，以及规划必要的具体的干预。只有当无法证明什么的时候系统才是安全的。漏洞是一个能够被探出恶意意图的安全缺陷的表现形式。漏洞泄露之后，它们事实上就构成了一个真正的威胁[3]。该系统正在不断地被扫描并攻击意图去研究潜在的漏洞检测[8]。

由于攻击的入侵，在成功攻击的情况下，所有的系统可能存在不安全。漏洞数据库存在一个很大的依赖性[17]。这些信息的来源被用于具有不同意图的管理员和侵略者。由于通常侵略者第一次加入这种类型的信息，他们有优势去知道自己打算发动攻击的漏洞[15]。限制实施在网络中的安全策略的因素主要有：习惯，用途和用户倾向。我们将在这项工作中考虑的安全性指标是与网络化系统的漏洞的阻留和通知相关。
这些指标里，被认为用来调查网络中系统的安全性，有以下几种：

主机数据

端口专用数据

我们使用这些参数来创建策略，以用于评估网络的安全性。

2.2 安全评估算法

安全评估被开始于通过网络分配任务给每个代理管理员。这些任务包括比先前例子1
和2中看到的更多的数据。每个活跃在MAS中特定的代理开始收集数据和监控网络。

2.3 安全策略

在下图中，我们提出了具体实施在主机上安全策略的例子，我们在评价例1和2时呈现了原始的规则。

图1 安全激活规则

1. 某一代理安装在主机1目标是监控安装在主机6的DNS服务（即唯一的外部打开端口）。我们可以定义以下面一组安全性指标例子举例：

1. 代理安装在主机5目标是监控安装在同一个网络中的主机。在这种情况下，以下数据集被认为是安全的，该代理适用于网段中所有系统：

3 软件代理

我们代理的实现是用Java开发并封装在JADE（Java代理开发框架）。JADE软件在Java中全面实施Java语言。被开发的分布式代理，用JADE作为一个多代理的系统实现。JADE相当于一个中间层与FIP A规范完全兼容。实现使用JADE GUI准备调试和部署两个阶段。尽管JADE内容可寻址存储器在不同的操作系统中使用，但是目前执行部署在W2K。在图1中，我们呈现出我们MAS的部署的两层地方。所述代理活动在容器盒子中，其与代理执行地方一致。每个JADE运行时的实例被称为容器，因为包含了代理。该组的所有容器的被称为平台，并提供一个均匀层来在它们中共享。在具体情况下，这层通常是分散成几个主机。该平台隐藏来自代理隐藏复杂性和底层的JVM、操作系统和硬件的多样性。

多代理的分布式系统

图2 JADE中的分布式代理

3.1 代理组件

每个代理实现的主要组成部分有以下几种，描述见下图（图3）。这些代理有一个模块用于与网络环境交互，即访问主机的开放端口在客户端/服务器通信区尝试评估信息。提供有关漏洞信息[18]、 配置数据和以前的状态，这样与知识模块合作。收集的信息被存储在知识库并且在未来扫描使用。该FIPA-ACL模块对应代理之间的交互模块并服从FIPA Agent通信协议;它被用于交换活动代理之间的以及与网络管理员数据。

3.2 代理功能性活动

我们代理使用JADE基本服务的分布式对等网络应用程序，来动态发现其它代理，并根据对等模式与它们交流。

图3 代理模型

从应用的角度来看，每个代理由唯一的名称标识并且提供一组服务。它注册自己的服务和/或搜索代理们提供给定的服务，它可以控制它的生命周期，并且，特别地，与所有在该平台其他代理通信。

代理通过交换基于在审过FIPA-ACL的异步消息与人沟通所有信息交换代理间在一个信封包括仅由传输层所需的信息内进行。允许，除其他事项外，从信封中分别加密消息的内容

。此功能尚未使用，但我们打算考虑将来运用在这个项目的开发。

4 分布式系统

为什么说是分布式？嗯，我们认为一个集中的网络安全评估解决方案有其缺陷，它需要大量的时间用于分析数据，是更容易在评估IDS时误报。在另一方面，它允许的某一网络集中视图。我们试图提供一个解决方案以集中评估，通过基于通过网络进行分配的多代理的分布式[11]系统实施一个多代理。我们的系统在最后一节以前能被看到使用JADE框架超越Java。只要是附近的问题，或在同一主机上他们评估比在一个集中式解决方案更彻底，也更移除“假阳性”，因为它知道会与预期结果的关系发生什么。最后我们实现了网络安全的更准确的视图。

安全策略最初是由激活代理的人开始执行，期间执行的政策可以相互传播，使用ACL信息和JADE代理定位器去定位其他在相同或不同容器的代理等。

代理和网络主机之间的数据流，通过收集有关公开端口、提供的服务，以及与先前扫描相关的可能的变化的信息。随着数据定期收到来自可靠的安全漏洞数据库的来源，代理知识被建立。代理可以与其他使用FIPAACL用户交换数据消息。在下面的图片，我们展示了相互作用的一个简要说明。在主机2的代理检测到在主机1端口6000的攻击，因为它正在监控主机1。主机1决定广播消息给所有代理商以通知他们有关端口6000可能的攻击，同时主机4和主机3上正在交换漏洞数据。所有这些交易专门使用带有具体的本体的FIPA-ACL为安全评估开发。

图 4 采用多代理系统交互的分布式安全评估

5 总结和未来工作

我们从网络环境中的一个主要问题出发，知道在网络的每个部分什么是实时发生的能力并从中推断，它是否可以被认为是一个可能的威胁或对整个网络安全不算是威胁。为了解决这个问题，我们构建了一个基于分布式代理的系统去收集和监控数据块和主机块。通过给与我们代理商检测漏洞能力漏洞并用它来强制执行安全策略，我们便更有效地评估安全。通过对自主的发展和决定标准评估的能力，我们提取更好的知识基础的信息并减小生成的报告尺寸，这也导致读数方便和灵活。这项工作的主要贡献是基于分布式代理的网络安全的评估途径开发。通过这种解决方案，就有了更准确的安全状态的获知。通过分享知识，分布式代理们可在其任务间合作，公布出最终的分布式拒绝服务攻击（DDOS）。

在今后的工作中，我们打算通过其集成防火墙模块有能够整合分布式安全政策来拓宽我们代理的能力，并且被更高级别代理商远程控制。另一种增强我们正在进行项目的是，我们意图在未来实现，就是专业化。我们自称发展我们目前的代理平台，来同意在特定任务中的专业化代理。有了这个，我们便可以说实现了更好的合作和任务效率。

致谢

论文的研究工作已经从我们的研究小组的讨论中受益。 这个工作的一部分被网络和多媒体的SAPA项目和电信研究院集团支持——科维良实验室，葡萄牙，以及欧盟 -欧洲 - NGI（下一代互联网的设计与工程）卓越网络第六框架计划，信息社会技术IST。

剩余内容已隐藏，支付完成后下载完整资料

资料编号：[29868]，资料为PDF文档或Word文档，PDF文档可免费转换为Word