本站小編為你精心準備了網絡安全分析及監控平臺安全防護技術參考范文，愿這些范文能點燃您思維的火花，激發您的寫作靈感。歡迎深入閱讀并收藏。

摘要：網絡安全分析與監控平臺通過收集防火墻、入侵防御系統等網絡安全設備的事件日志、安全策略等信息，實現對整個網絡的安全分析與監控，因此其安全性尤其重要。為了保障平臺安全性，提出多重安全防護機制：利用智能密碼鑰匙和數字證書，實現高強度的身份鑒別；通過設置多級管理體系，實現管理權限的分割與訪問控制；對每一次操作進行日志記錄和數字簽名，保證操作行為日志的完整性，可用于安全審計與責任追溯；采用秘密共享技術實現對對稱密鑰的分割存儲，以保證安全策略等重要數據備份恢復的安全性。這些安全防護技術的使用，能夠有效增強網絡安全分析與監控平臺的安全性，防止攻擊者通過平臺獲取關鍵信息，或進行非法篡改等惡意攻擊。

關鍵詞：網絡安全；安全策略；身份鑒別；數字簽名；秘密共享

引言

在電力、能源等領域的信息網絡環境中，應用了各種規模龐大的生產、辦公等業務系統，信息化已滲透到電網價值鏈的各個環節，因此保障信息網絡安全已成為電力信息系統正常、穩定運行的關鍵因素。為了保證電力信息網的安全性，需要在網絡邊界部署防火墻、入侵檢測系統（IDS）等多種網絡安全防護設備，并根據業務需求制定安全防護策略。然而，隨著訪問控制策略的不斷增加，由于網絡安全設備數量多，且分布分散，如果對設備運行狀態、策略內容采用人工手動管理方式，則實時性差、效率低下、問題定位耗時，而且無法呈現策略生命全過程，管理十分困難。為了對網絡安全設備進行統一管理與集中分析，需要建立一個網絡安全分析與監控平臺，以實現安全策略管理集中化、策略操作流程化、策略內容和配置合規化、設備運行狀態實時化等，從而實現對全網防護設備進行安全、集中、規范化管理，營造良好的網絡環境。近年來，很多研究者提出各種類型的網絡安全監控與分析平臺［1-4］，這些平臺不但能夠收集網絡安全設備的配置文件、安全事件、流量日志等信息，還能實現對網絡的實時監控與動態管理。如寧建創等［5］提出基于大數據的網絡安全分析技術發展趨勢，利用大數據進行網絡資源的優化配置與主動防御；宋巖［6］對網絡安全綜合監控平臺的安全策略進行分析，以實現對安全策略的一致性檢測與沖突消解；趙穎等［7］對網絡安全綜合平臺的展示層和可視化技術進行系統論述，通過交互式可視化工具提升網絡安全分析能力。對網絡安全綜合監控平臺更詳細的綜述可參見參考文獻［8］-［10］。網絡安全分析與監控平臺通過收集防火墻等網絡安全設備的事件日志、安全策略等信息，實現對整個網絡的全局分析與實時監控，因此該平臺是整個網絡安全的管理核心和數據匯集點。為了保障平臺安全性，需要從平臺管理員身份鑒別與訪問控制、關鍵數據機密性與完整性保護、平臺操作行為安全審計與不可否認性等方面進行重點防護。針對網絡安全分析與監控平臺的安全風險，本文提出一系列安全防護技術以加強其安全性。在身份鑒別方面，利用智能密碼鑰匙和數字證書，實現對超級管理員、管理員和審計員的雙因素身份鑒別；通過設置三級管理體系，實現管理權限的分割與訪問控制；管理員在平臺上的每一次操作，都進行日志記錄和數字簽名，以便于安全審計與責任追溯；采用Shamir的門限秘密共享技術，實現對密鑰的分割保存，保證安全策略等重要數據備份恢復的機密性與完整性。因此，這些安全措施能夠有效提升整個網絡環境的安全性。

1網絡安全分析與監控平臺架構設計

網絡安全分析與監控平臺架構如圖1所示，包括采集控制層、接口層、應用服務層和業務展現層。（1）采集控制層主要面對防火墻、入侵檢測系統等網絡安全設備，通過Telnet、SSH、SNMP、TFTP等協議實現安全策略收集、事件日志收集、運行狀態采集等功能。（2）接口層包括采集控制接口、工單系統接口、4A系統接口等，分別與網絡中的各業務系統進行數據對接。（3）應用服務層位于采集控制層與展現層之間，負責對采集的數據信息按照業務規則、業務關系進行分析與邏輯處理，為展現層提供必要的數據信息。（4）業務展現層是對系統功能進行集中展現與交互的界面，可實現設備狀態監控、預告警中心等功能。

2平臺安全防護關鍵技術

網絡安全分析與監控平臺通過收集各種網絡安全設備的安全策略、事件信息、日志信息等數據，以對其進行綜合分析、實時監控和統一管理，因此其安全性至關重要。針對該平臺的安全防護技術包括管理員身份鑒別、訪問控制、通信安全、安全審計、關鍵數據備份等。通過單一的登錄口令或生物特征進行身份鑒別，其安全強度較低，而且不能實現機密性、完整性、不可否認性等安全需求。因此，本文采用數字證書的方式，不但能夠實現管理員高強度身份鑒別，還能實現關鍵數據完整性保護、操作行為不可否認性以及密鑰協商等功能。為了實現對平臺管理員的身份鑒別，需要建立一個CA數字認證系統。該系統支持SM2國產橢圓曲線密碼算法，負責為平臺的各類管理員生成非對稱密鑰對并頒發數字證書，每名管理員使用一個USB接口的智能密鑰作為私鑰和數字證書的載體，每一次簽名運算都在智能密鑰內部生成，以保證其安全性。關于CA數字認證系統的建設和數字證書的使用，參見參考文獻［11］、［12］。本平臺采用SM2橢圓曲線密碼算法［13］實現數字簽名和密鑰協商功能，并采用SM3密碼雜湊算法［14］作為哈希運算算法，以及SM4分組密碼算法［15］作為數據加密算法。

2.1身份鑒別與訪問控制

本平臺采用三級管理機制，包括超級管理員、管理員和審計員，以實現不同管理權限的分割與訪問控制：超級管理員負責對管理員與審計員賬號進行設置，不負責平臺具體日常操作；管理員負責平臺日常管理和監控操作，包括對各種網絡安全設備的實時監控、策略備份恢復、事件分析等，每一次操作都記入日志，并進行數字簽名；審計員負責對平臺進行審計，同時對管理員的操作行為日志進行安全審計。平臺管理員設置及身份鑒別工作流程描述如下：（1）系統初始化。平臺初始化時，首先生成超級管理員，為超級管理員生成SM2非對稱密鑰對和數字證書，并導入智能密鑰。超級管理員需要設置口令，作為使用智能密鑰的認證憑證。（2）生成管理員和審計員。超級管理員在平臺插入智能密鑰，輸入口令成功登錄后，可以生成管理員和審計員，并為每個管理員和審計員生成SM2非對稱密鑰對、數字證書和相應的智能密鑰。根據平臺使用情況，可以成3個以上的管理員，每個管理員擁有自己的智能密鑰和數字證書。（3）管理員登錄與操作。當管理員登錄時，需要插入智能密鑰并輸入正確口令才能成功登錄，在平臺進行的每一筆操作都要用自己的私鑰進行簽名，以保證每一次操作的不可否認性。（4）審計員登錄與審計操作。審計員插入智能密鑰、輸入口令登錄平臺后，對平臺的日志記錄和管理員操作活動進行審計。管理員活動包括對平臺上的信息進行查看、修改、備份、恢復等操作。日志信息包括使用資源、使用時間、執行操作等。超級管理員、管理員和審計員的登錄過程是一個以挑戰—應答協議為基礎的身份鑒別過程，具體實現流程如下：①登錄者發起身份鑒別請求。管理員（或超級管理員、審計員）登錄時，首先向平臺發起身份鑒別請求；②平臺發送挑戰碼。平臺接收到請求后，產生一個隨機數R，并發送給登錄者；③登錄者發回簽名作為響應。登錄者收到隨機數R后，對隨機數R及其它相關信息（例如時間戳，雙方數字證書等）進行簽名，將簽名結果發回平臺；④平臺驗證簽名。平臺收到登錄者簽名后，采用登錄者公鑰驗證簽名正確性，如驗證通過則登錄成功，否則拒絕登錄請求。

2.2數據采集與通信

網絡安全分析與監控平臺的數據采集功能將獲取防火墻、入侵檢測系統等網絡安全設備的配置信息、安全策略、網絡日志等信息，并將其記錄到平臺中。因此，要保證相關數據在網絡傳輸中的機密性與完整性。不同網絡安全設備可能使用不同的管理配置或日志記錄接口，常見協議包括SNMP、SSH、Syslog等。SNMPV3和SSH等協議本身都支持數據加密功能，因此可以直接配置加密傳輸，即可保證數據傳輸的機密性。Syslog協議本身不支持加密功能，但可以采用SSL/TLS協議，以實現對Syslog數據傳輸的加密保護。對于某些特殊的網絡安全設備，如果允許安裝采集客戶端軟件，并分別為平臺和采集客戶端生成數字證書和SM2非對稱密鑰對，用于雙方的身份鑒別和安全通信，則具體通信流程如下：①發送采集指令。平臺向網絡安全設備的采集客戶端發送數據收集指令；②啟動密鑰協商。采集客戶端收到指令后，向平臺發起SM2密鑰協商協議；③生成對稱密鑰。平臺和網絡安全設備之間經過若干輪的密鑰協商交互協議，完成SM2密鑰協商過程，產生一個雙方共享的SM4密碼算法對稱密鑰Session_Key；④加密傳輸。網絡安全設備的采集客戶端將相應的配置、策略、日志等信息使用SM4密碼算法（密鑰為Session_Key）加密后，將密文傳輸給平臺；⑤數據解密。平臺將密文利用SM4密碼算法（密鑰為Session_Key）解密后，將數據存入平臺，并采用平臺私鑰對數據進行數字簽名，以保證數據完整性，防止非法篡改。

2.3關鍵數據存儲與備份

網絡安全分析與監控平臺還具有對安全策略等關鍵數據的備份和恢復功能，即可以將安全策略等關鍵數據加密后存儲到平臺外，需要時再進行解密并導入平臺中。為了保障關鍵數據的機密性和完整性，本文采用秘密共享和數字簽名技術實現對關鍵數據的加密與簽名，以防止數據泄露與非法篡改，具體備份流程如下：（1）對關鍵數據進行簽名。設需要備份的安全策略等關鍵數據信息為Data，首先用平臺私鑰對數據Data進行數字簽名，得到簽名值Sig（Data）。（2）對數據進行加密。生成一個隨機對稱密鑰Key，對關鍵數據Data和簽名值Sig（Data）進行加密，即計算密文Cipher-text=Encrypt_Key（Data，Sig（Data））。（3）對密鑰Key的秘密共享。隨機生成一個素數p和一個小于p的整數a1，得到一個模p的多項式y=a1x+Keymodp。隨機選擇3個整數x0、x1、x2，分別計算多項式的值y0、y1、y2，并分別將（x0，y0）、（x1，y1）、（x2，y2）存入3名管理員的智能密鑰中。（4）密文存儲：密文文件Cipher-text存儲在平臺外的U盤或硬盤中，將3個智能密鑰分別交給3名管理員保存。關鍵數據恢復流程描述如下：①導入密文數據。讀取密文文件Cipher-text，并存儲到平臺中；②恢復密鑰Key。兩名持有備份智能密碼鑰匙的管理員（可以是3名管理員中的任意兩名），先后成功登錄平臺，并分別插入自己持有的智能密碼鑰匙。由于有（x0，y0）、（x1，y1）、（x2，y2）中的兩對值，因此可以求解y=a1x+Keymodp的參數a1和Key；③解密密文。用密鑰Key解密密文Cipher-text，得到關鍵數據Data和簽名值Sig（Data）；④驗證簽名。用平臺公鑰驗證關鍵數據Data的簽名值Sig（Data），如果驗證通過，則關鍵數據Data未被篡改，將Data導入平臺中。

3平臺安全性分析

3.1身份鑒別與訪問控制安全性

本平臺的身份鑒別采用雙因子認證的智能密鑰，在智能密鑰內置數字證書和密鑰對，并通過口令進行登錄認證，以保證管理員身份鑒別時的安全性。每一次管理員登錄時，都由平臺發送隨機數作為挑戰碼，由管理員對隨機數進行數字簽名，平臺通過驗證簽名防止消息重放攻擊。超級管理員、管理員和審計員分別具有不同操作權限，每一次操作都進行數字簽名并記錄日志，可用于日后追溯與審計，實現每一次操作都具有不可抵賴性。

3.2遠程認證與通信安全性

本平臺與每一臺網絡安全設備都具有自己的數字證書和非對稱密鑰對，用于彼此之間的身份鑒別與通信。網絡安全設備采用的SSL/TLS、SSH、SNMPV3等安全協議以及本文給出的安全通信協議，都是基于數字證書與Dif⁃fie-Hellman密鑰協商機制的安全通信協議。首先通過雙方的數字證書進行雙向認證，然后通過密鑰協商協議生成對稱秘鑰Key，之后的數據傳輸都采用密鑰Key進行加密傳輸，密鑰Key一定時間之后通過重新協商進行更新。因此，整個通信過程實現了平臺與網絡安全設備之間的雙向認證，能夠保證數據的機密性和完整性。

3.3關鍵數據備份與恢復安全性

對于本平臺安全策略等關鍵數據的備份，必須對數據進行加密后才能導出平臺，因此加密關鍵數據的密鑰保護至關重要。本文采用Shamir的（t，n）門限方案［16-20］，將密鑰通過多項式插值分為3個密鑰因子，由3名管理員分別保存，因而具有更高的安全性。當需要將關鍵數據恢復到平臺時，需要3名管理員中的兩名同時登錄，才能重構密鑰，將密文關鍵數據解密后導入平臺。而且在導出關鍵數據時，用平臺私鑰對數據進行簽名，恢復數據時則需要驗證簽名，以防數據被篡改。

4結語

本文設計的網絡安全分析與監控平臺，采用雙因素身份鑒別與數字證書技術，實現了高強度的身份鑒別與訪問控制機制；采用雙向認證和密鑰協商機制，實現與遠程設備之間的網絡通信安全；采用數字簽名與門限密碼技術，實現對關鍵數據的完整性及機密性保護。這些安全防護技術能夠顯著提高網絡安全分析與監控平臺的安全防護能力。將來的一個研究方向是采用大數據分析技術對平臺收集的各種數據進行分析、挖掘，從而實現對網絡安全的整體監控與態勢感知。

作者：嚴莉 李明 張丞 郭小燕 馬琳 陳琳 單位：國網山東省電力公司信息通信公司