| 出版日期：2004-03-08 总期号：1294 本年期号：15 |
|
 |
动态防御的发展趋势
生活中存在着许多怪圈：信息化专业人员很少采用专用防火墙设备，可非信息化人员认为防火墙一装就灵。近四十年来网络安全的研究投入在逐步加大，技术水平在逐步提高，安全产品、安全设施层出不穷，但网络安全事件每年却成指数级增长……这说明了平面的、静止的安全防范措施已经不能保障信息系统的安全，网络动态防御技术应运而生。 信息保障需要动态防御体系 首先，信息系统充满动态性，包括信息系统的需求是动态的。安全漏洞具有动态性，网络设备和应用系统在设计开发过程中必然会存在某些缺陷和漏洞，新的系统部件也会引入新的问题。系统建设是动态的，新应用、新产品不断应用，设备、应用系统和操作系统平台的不断升级和复杂化，信息系统成为一个动态的发展体，其安全性也处在一个动态的发展过程之中。网络是一个分层次的拓扑结构，决定了信息网络的安全防护也需采用分层次的拓扑防护措施，加之静态防御安全响应的滞后性，决定了信息保障系统需采取全面、立体、动态的防御体系。 网络动态防御模型 PPDR和PDRR 从上世纪90年代至今，网络安全的研究从不惜一切代价把入侵者阻挡在系统之外的防御思想，开始转变为预防-检测-攻击响应-恢复相结合的思想，出现了PPDR（Policy/Protect/Detect/Response）与PDRR（Protect/Detect/React/Restore）等网络动态防御体系模型，强调网络系统在受到攻击的情况下，网络系统的稳定运行能力。PPDR和PDRR是重要的动态防御模型，目前该领域所进行的研究与产品开发都是对此模型的丰富与实现。 PPDR模型包含4个主要部分，如图1所示。安全策略是整个网络安全的依据。PPDR模型体现了防御的动态性和基于时间的特性：它强调了系统安全的动态性和管理的持续性，以入侵检测、漏洞评估和自适应调整为循环来提高网络安全。在时间特性上，该模型引入实时检测的概念。PPDR模型提出的安全目标，实际上就是尽可能地增大保护时间，尽量减少检测时间和响应时间。 最近，安全的概念已经从信息安全扩展到了信息保障，信息保障内涵已超出传统的信息安全保密，是保护（Protect）、检测（Detect）、反应（React）、恢复（Restore）的有机结合，称之为 PDRR模型(如图2所示)。PDRR模型把信息的安全保护作为基础，将保护视为活动过程，要用检测手段来发现安全漏洞，及时更正；同时采用应急响应措施对付各种入侵；在系统被入侵后，要采取相应的措施将系统恢复到正常状态，这样使信息的安全得到全方位的保障。该模型强调的是自动故障恢复能力。 网络动态防御技术发展趋势 由于对攻击行为的认识、证据来源、攻击知识的获取与转换等方面的不确定性，导致入侵检测系统误检与漏检，这些错误限制了PDRR与PPDR模型防御未知网络攻击的能力。因此，研究低误检率和低漏检率的入侵检测技术是网络动态防御体系领域研究与产品开发中的热点。 PDRR与PPDR模型是以入侵检测（Intrusion Detection）和响应为基础的，因此,较著名的IDS生产厂家开展了IDS系统与入侵响应系统关联性研究，相继推出了集IDS与入侵响应于一体的入侵保护系统IPS，由于误检与漏检问题，对这种动态关联还需要大量的人员干预。 在系统备份与恢复方面，在技术、体系以及产品方面都产生了许多新的成果、产品。如光纤通道技术、基于NAS灾难恢复系统、基于SAN的灾难恢复系统等。 目前的入侵响应措施也比较单一，主要就是关闭端口、中断连接、中断服务等方式，研究多种入侵响应方式将是今后的发展方向之一。 网络动态防御系统是以入侵响应为基础，它改变了原先的平面的、静止的防御方式，变成了一种根据网络环境的变化进行动态选择响应措施、更改策略。但说到底它还是一种被动的防范，是在系统已经遭受到伤害或正在经历伤害时才采取响应措施，因此,这种安全性也可能是没有保障的。美国于2001年提出了网络主动防御体系的概念，当信息系统感觉到威胁时就采取响应措施，并从2001年开始列出投资计划，在军用基础设施中建立网络主动防御措施。毫无疑问,这种体系将进一步提高网络系统的安全性，这种技术将是网络动态防御体系下一步的研究方向，但在民用领域如何应用还是一个进退两难、尚需研究的课题。 网络动态防御概念对建立网络安全的作用 目前信息系统安全威胁主要是混合安全威胁，利用网络动态防御概念，在进行安全方案设计时，要考虑到信息系统安全的动态性，一定要建立好应急响应机制; 日常做好系统管理、网络结构、网络设备、安全设备、操作系统、基础网络应用、业务流程、业务系统等方面的风险分析与评估；结合选择能够实现入侵检测、入侵响应以及安全策略控制设备实现联动的安全设施（IPS），搭建多层次、全方位的网络动态防御体系，减轻管理人员负担，保障信息系统安全。 栏目合作：北京航空航天大学网络技术北京市重点实验室 
图1 PPDR模型 图2 PDRR模型 |
||||||||||||||||||||||||||||||
