反馈式的网络安全系统构建

莆田学院信息化建设与管理中心 曾福山

本文针对当前网络安全系统各层防护设备存在的独立防护，安全信息不共享，无法形成体系防护的现状，提出一种基于反馈式的网络安全系统构建方式，反馈式系统借鉴了信号与系统中的反馈机制，将下一级设备的安全信息通过单向传输设备传输至上一级安全设备，实现整体网络系统间安全设备的信息共享，有效提升设备的防护能力。

当前我国的网络安全面临着生态环境较为恶劣、黑客攻击行为如近几年频繁发生的勒索病毒攻击、跨国电信诈骗等问题，都造成极大的影响，给我国的信息化建设的发展与治理带来巨大的挑战。国际电信联盟将网络安全定义为：“网络安全是集合工具、政策、安全概念、安全保障、指南、风险管理方法、行动、培训、实践案例、技术等内容的一整套安全管理体系，用于保护网络环境、组织以及用户的资产。组织和用户的资产包括连接的计算机设备、人员、基础设施、应用程序、网络服务、电信系统以及网络环境中传输或存储的信息”。2017年6月1日颂布实施的《中华人民共和国网络安全法》定义网络安全为：“网络安全是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力”。当前网络安全防护体系构建一般要遵循以下几个原则：

1 最小权限原则[1]

在保证系统正常运行的情况下，设定用户及系统管理员严格执行“需则知情”原则，确保使用人员只能访问到其职责或角色范围之内的数据或信息。

2 分层防护[2]

分层设计——每一层的保护重点不同，各层间相互保护，黑客即使突破了一层，也获取不到网站的控制权。

分散布局——安全防护设备部署在网络系统的不同节点。

分级多样化防护——信息系统安全防护根据防护对象的不同设置不同的等级保护。

3 分区防护[3]

形势重大活动时期与平时的保障的机制是不同的，在重大活动时期，必须确保主要信息系统如门户网站的安全，采取主动防御的模式，对于可疑IP坚决加入黑名单。基于这种机制，本文提出一种基于反馈式的自适应实时防御系统。

4 以数据重要性划分等级[4]

根据数据的重要性划分不同的等级，并存储在不同的安全区域。

5 最弱环节决定原则[5]

链式防护策略中最薄弱的环节决定了系统的安全性，在管理运维部门中则遵循职责分离、轮岗的原则，以避免人员忽视或者破坏安全系统的防护策略。

绝大多数的单位均是以此来设计与构建网络信息安全防护系统。

6 当前网络安全防护体系存在的主要问题

当前网络防护体系一般采用单向分层式瀑布流防护的机制，如图1所示，虽然网络安全设计原则要求整体性、标准化等，但现实中各级防护产品来源多样性，各设备及各级防护系统之间联动性不够强，策略规则等亦不同。特别是当前传统安全解决方案防御点经常是独立运作或者用户经常只部署单个防御点，各系统单向防护，无法将各个防御点很好的进行联动[7]，导致花费了大量的经费部署的安全防御措施最终还是无法防止黑客的入侵。此类系统在防御方面并没有信息交换机制，缺乏联动，即使是同一公司的产品，一般也是通过安装探针单向发送信息，没有双向交互或者反馈机制，检测到的异常数据包信息无法实时全网共享。

图1 分层式网络安全架构图Fig.1 Layered network security architecture

当前网络安全防护体系在防护个人主机方面也存在较大不足，以高校为例，各个高校目前都有构建安全防护体系，但学校师生个人电脑众多，上网环境变换多样，有部分师生的个人电脑没有任何防护，这些主机一般很少列入定期的安全检测对象，这些电脑流动性也较大，容易被植入木马，感染病毒，被当成肉鸡进而危胁到整个学校的网络安全。而当前网络防护体系对这一块的检测管理较弱。

随着信息技术的快速发展，信息系统级软件开发难度在不断降低，各种开源模板层出不穷，普通开发者亦可完成，如高校中使用较多的虚拟仿真系统，因其专业性，多数为小公司研发，研发流程不是特别规范。各个企事业单位研发购买的系统有部分来源于一些中小型软件公司，这些公司在编程规范、代码审计等方面可能存在一些不足，系统引用的开源库也较多，即使系统上线时能够通过安全审核，但系统运行一段时间后，可能会有各种漏洞暴露，从而影响所有信息系统的安全运行。

7 基于反馈式的实时网络防护体系

在信号与系统领域中，系统设计一般会引入反馈机制[6]，用以动态调整以优化结果[7]，基于这种反馈机制，本文提出一种基于信息流反馈的网络安全防护体系。带有反馈机制的防护体系架构能够使得各个防护层级安全设备实时获取攻击行为、攻击规则特征，共同更新维护同一个信息安全漏洞库，弥补各个版本各个防护系统之间的防护差异性、弱点性，构成防护体系的闭环系统，从而更加有效地防御各种威胁。

7.1 单向传输的信息反馈机制

为了保证各级防护装备、各级防护系统的安全性，在传输反馈的安全信息流时，采用单向的光纤收发设备用以传输信号[8]，且在传输层采用系统开销少、无连接的UDP协议，即将信息传输出去即可，避免任何可能的双向数据传输。采用单向传输机制可以确保安全设备只传输安全信息但不共享其他信息。

7.2 实时共享安全信息库

构建反馈式网络纵深防护体系，通过共享实时的攻击行为特征，保证部署的安全设备共享攻击特征。如当攻击行为突破防火墙、IPS设备等网络安全设备进入应用系统层面的网站群时，网站群将检测到的攻击行为的特征如IP地址等通过光纤单向传输至防火墙、IPS设备，以此让防火墙、IPS设备等被突破的安全设备更新规则，加强防护。

7.3 动态联动机制

通过单向传输的信息反馈机制，实现了后端设备如网站群等安全规则的实时前移，增强了第一道防护设备如WAF、IPS等的防护阻断能力，实现联动防护机制。如图2所示为反馈式防护网络体系架构图。

图2 反馈式网络安全架构图Fig.2 Feedback network security architecture

8 结语

本文针对当前网络防护体系设备众多、厂家众多且无法形成有效合力，易于被黑客各个击破的问题，提出了反馈式的网络防护体系，通过定向传输，共享安全信息，实现整个安全设备共享安全防护信息，以此系统性构建网络信息安全防护网络，提升防护效果。

引用

[1] 韩兰胜,洪帆,骆婷.基于角色的访问控制中的安全三原则[J].华中科技大学学报(自然科学版),2006(1):36-38.

[2] 罗乐.网络安全分层防护思路浅解[J].电脑迷,2016(6): 133+112.

[3] 杨军.基于分区防护的现场控制系统信息安全动态防护研究[D].武汉:华中科技大学,2019.

[4] 张晓阳.海洋环境信息云平台数据安全等级自动划分的研究[D].青岛:中国海洋大学,2015.

[5] 应力,郭松柏.信息系统(网络)安全分析方法与评价模型[J].计算机工程与应用,2002(19):51-52.

[6] PETERSON W C,THACKER A,AVERY W L.A Feedback System for Control of an Unstable Process[J].IEEE Transactions on Industrial Electronics&Control Instrumentation,1969,IE CI-16(2):165-171.

[7] YILMA E,OZER M.Delayed Feedback and Detection of Weak Periodic Signals in a Stochastic Hodgkin-Huxley Neuron[J].Physica A:Statistical Mechanics and Its Applications,2013,421:455-462.

[8] 丁慧丽,陈麟.网络信息安全单向传输系统的设计与实现[J].计算机安全,2010(3):47-49.