基于主动防御策略安全传输模型.pdfVIP

基于主动防御策略的安全传输模型 胡汉平，郑映，孔涛，侯成帅 华中科技大学图像识别与人工智能研究所，图像信息处理与智能控制教育部重点实验室， 湖北武汉（430074 ） 摘 要：本文提出了一个基于主动防御策略的安全传输模型。在该模型中，以动态覆盖路由 器所支撑的安全域为基本单元，定义了智能代理⁄ 管理网元及其具有自相似性的多级、分布 式管理的体系结构；在网络数据的传输过程中，引入了诱骗报文，使攻击者无法跟踪到发送 的真实加密数据报文；根据检测报文的摘要信息，及时地发现攻击并对其进行有效地跟踪定 位，并对支撑安全域的覆盖路由器进行动态管理。该模型不仅提高了网络数据传输的安全性， 而且增加了网络管理的有效性，提高了路由器的转发效率。 关键词：主动防御，摘要信息，路由控制，诱骗报文，分级管理 1. 引言 为了提高网络安全性，L2TP 、IPSec 、TLS/SSL、SOCKSv5 等安全传输协议和机制被广 泛应用于端系统设计中。但是，安全威胁不只是针对端系统，数据在网络传输过程中，容易 被攻击者故意篡改或扰乱，导致接收者无法正常接收数据；在通信的两端发起通信时，固定 [1,2,3] 的传输端口和地址容易受到攻击。因此，必须考虑数据传输过程中网络实体的安全性 。 目前，针对各类网络攻击的安全措施及其相应的网络安全产品主要有两大类：开放型 （如数 据加密）及被动防御型 （如防火墙）。由于网络的攻击具有无边界性、蔓延性和隐蔽性等特 点，使用加密技术和防火墙技术不能完全地解决现有网络传输过程中的安全问题。为了改进 网络传输质量和支持新业务，人们提出了IntServ/RSVP 、DiffServ和MPLS等协议。但是，截 至目前为止对于网络数据传输过程中安全性问题的研究还未找到有效的解决方案。 为此，本文提出了一个基于主动防御策略的安全传输模型（如图 1 所示）。在该模型中 定义了智能代理⁄ 管理网元及其具有自相似性的多级、分布式管理的体系结构，定义了IP 数 据报文的协议和分级路由管理协议，给出了以动态覆盖路由器所支撑的安全域为基本单元的 动态安全管理机制，从而实现对网络数据传输过程的主动防御。该模型不仅提高了网络数据 传输的安全性，而且增加了网络管理的有效性，提高了路由器的转发效率。 2. 安全传输模型的拓扑结构 在图1 中，网络被依邻划分为配有不同区号的虚拟自治小区即安全区域（图1 中用曲线 围成的部分），将每一小区内的网络直径设置为4 到7 跳。在每一自治小区中设置了边界路 由器，覆盖路由器，备用覆盖路由器和 （小区）管理节点，该管理节点对辖区内的路由器进 行故障、配置、性能和安全等管理；将自治小区依邻再分组为配有不同簇号的虚拟安全簇域， 每一簇域一般覆盖4 到7 个相邻自治小区，簇域内的管理节点由其所在的上一层管理服务器 进行管理，并使其代理进程具有管理下一层代理进程的功能 （即智能代理⁄ 管理网元）；将虚 拟安全簇域依邻再分组为配有不同群号的虚拟安全群域，每一群域一般覆盖4 到7 个相邻虚 拟安全簇域，群域内的管理服务器由其所在的上一层管理服务器进行管理，并使其代理进程 具有管理下一层代理进程的功能。……；类似地，可以这样继续下去。鉴于上述相似性的管 理结构，本文只需对四层管理结构进行讨论和分析。 由于在该协议采取了分散化的管理方法，使得网络总的通信量明显降低。同时，该协议 还增加了信息交互的安全性，对各种交互信息进行加密，只有被授权的人员才有资格执行网 -1- [4] 络管理功能和读取有关网络管理信息 。