安全策略集中管理系统的设计及实现.pdfVIP

安全策略集中管理系统的设计与实现 笋大伟 北京邮电大学信息工程学院，北京 (100876) E-mail：irican@ 摘 要：本文分析了安全策略集中管理系统的设计目标，提出了安全策略集中管理系统的总 体设计方案与流程，并给出了安全策略集中管理系统中若干关键问题的实现方法。很好的解 决了对全网安全策略的表示、组织、审核、分类、分发的问题。 关键词：安全策略，集中管理 1. 引言 随着Internet 的不断普及和网络安全问题的不断涌现，网络安全设备被越来越多的使用。 随着安全设备的数目的不断增加，从几十台到几百个甚至上千台，安全策略的配置管理问题 变得越来越突出了。传统的手工配置安全策略方式既低效又易错，而且一旦策略配置错误势 必会影响网络的正常使用，甚至会导致安全问题。因此如何以一种可扩展的安全可靠方式来 表示、组织、审核、分类、分发安全策略已经成为一个新的课题[1] 。本文就是寻着这个思路， 设计并实现安全策略集中管理系统，使安全管理员可以对安全设备进行集中的配置，针对全 局制定和管理安全策略。 2. 安全策略集中管理系统设计目标 为满足对安全策略的集中表示、组织、审核、分类、分发等需求，安全策略集中管理系 [2] 统需要基于以下几个设计目标 ： 1.基于管理域节点的层级策略管理 整个网络被划分为若干管理域，每个管理域中还有相应的下级组织部门。设备、设备所 属的部门、部门所属的组织统统被认为是管理域中树状组织的节点，每个节点都是策略管理 的对象，都可以包含相应的策略属性。 2.基于权限的策略管理 策略是由某个具有一定权限的管理员对某个管理域或设备制订的，因此策略是否能定制 成功需要集合权限管理加以判定。 3.全网统一的策略存储管理 全网策略被统一存储，结合节点管理，策略存储有它自身的结构特点。 4.策略的自动发布管理 策略按照一定的时间、顺序被部署到具体的设备上。无论策略是对管理域定制的，还是 对设备制订的，所有相关的策略最终都要被下发到设备中去，下发的方式能够根据实际网络 拓扑的变化而做适应性调整。 此外，策略本身还需具有如下特性： 1.策略的可继承性 如果为具有层级关系的管理域创建策略后，加入到该管理域中的设备将自动拥有整个层 级关系中的全部策略。 2.策略的可覆盖性 对于有特权的管理域或设备可以屏蔽上级策略，创建独立于上级管理域的个性化策略结 构。 - 1 - 3. 安全策略集中管理系统总体设计 3. 1 安全策略集中管理模型 安全策略集中管理模型由以下几部分组成：安全设备、安全策略服务器、管理器[3] [4] 。 在基于该模型的系统中，管理员使用管理器通过在安全策略服务器上配置安全策略完成了安 全策略的配置。安全设备启动时从服务器获取和自己相关的安全策略，完成策略分发的过程。 安全策略服务器 安全策略分发 安全配置管理 安全策略应用 安全设备 图1 安全策略集中管理模型 3. 2 安全策略集中管理基本流程 安全策略集中管理主要有两条主线：一是策略的维护，二是策略的发布。 3.2.1 策略维护的流程 1.创建管理域或设备节点； 2.进行策略编辑的权限判断，如果没有编辑策略的权限则结