军事网络与通信安全技术.ppt

7.5网络管理（6）日志控制功能。日志控制功能定义了网络管理系统日志的控制操作。标准文本中规定了怎样保存事件和管理对象的操作日志，也规定了什么时候要保存日志，什么时候可以恢复日志操作和什么条件下需要将日志挂起。另外还定义了日志记录的提取和删除操作，以及创建日志记录准则的修改等。（7）安全告警报告功能。标准文件为管理安全问题的用户规定了接到各种管理对象的安全告警后的通报过程。文件中已定义了五种安全告警：上一页下一页返回7.5网络管理●完整性不符指示：指明信息流中可能有入侵现象，部分信息可能被非法删除、修改，或被插入其他信息。●非法操作指示：指明由于功能异常或错误使用而使得请求的服务不能得到。●物理非法指示：指明检测到物理资源的分流，如线路被挂接了其他支线。●安全服务非法操作：检测到网络中的一些安全设备受到了安全攻击。●时间非法指示：指出收到了一些超出时间允许范围的事件。（8）安全审计追查功能。上一页下一页返回7.5网络管理这个功能与日志控制功能类似，只不过这里提供的安全审计追查功能是与安全措施有关的历史事件的记录。它提供了一些审计信息，这些信息是与记费、安全利用率、断连、建连和其他操作有关的。（9）访问控制的对象和属性。本标准的目的是给网络管理机构提供安全保障措施，以防止未经授权的用户访问某些被管对象。它所提供的访问控制机理是以用户预定义文件为基础的，同时定义了如何拒绝访问特定对象的规则。（10）计账表功能。标准文本定义了网络中如何确定用户对资源的使用、核算费用和交费问题。上一页下一页返回7.5网络管理此外，还提供了一些措施设定费用门限，即当某个用户对某些被管对象的使用费用超过门限时，禁止其继续使用这些对象。（11）工作负载监视功能。标准文本中定义了对网络负荷（业务量）的监测模型，建立起一个反馈过程，使用户能够预测被管对象性能变化趋势，可以度量早期告警和严重告警的门限值。文本中还定义了如何度量资源的利用率、如何清除被管对象的各种告警条件、状态指示等，还提供了定义各种与告警有关的量规（Gauge）、门限和计数器等参量的手段。（12）测试管理功能。上一页下一页返回7.5网络管理标准文本中描述了用户对远程测试管理系统的需求，建立起一个测试模型，该模型将负荷监视功能所提供的一些服务与一些定义联系起来，规定了测试的开始、报告和结束等一系列过程，并给出测试协议和句法定义。（13）总结功能。总结过程是应用一定的算法对被管对象的属性等信息进行处理以产生概要信息。可以提取信息的被管对象包括表示资源情况的对象、日志等可观测对象。总结过程包括收集信息、处理信息、产生总结信息和发出总结信息等几个步骤。该标准文本中定义了若干总结工具（如对象扫描工具），并定义了总结功能的一系列服务。上一页下一页返回7.5网络管理（14）确信和诊断测试类。确信和诊断测试是很有用的，它可以使用户确信某个资源能够完成分配给它的功能，如通信系统能够在多个开放系统之间建立连接并可靠地传输数据。可以验证协议是否完整，查看提高资源利用率后同时所带来的副作用，并可以提供查找故障原因的手段。文本中描述了测试类的模型，规定如何考察网络。这些测试类包括内部资源测试、连通性测试、数据完整性测试、闭环测试、回环测试、协议完整性测试。标准中还定义了与上述测试类相对应的测试类管理对象。文本中规定了每一种测试的目的、测试内容、测试的开始、测试的报告和测试的终止。上一页下一页返回7.4网络安全防护技术在这种背景下，原来位于网络中心的各种交换机如果只具有交换功能，则不能满足这种用户需求，不能适应网络业务的发展。为此，各个网络设备制造厂商都开始研发并推出了各自的安全交换机产品。传统的以太网交换机工作在OSI参考模型第二层，所以安全交换机一方面采用一些安全措施增加二层交换的安全性，如采用安全认证、VLAN的划分、端口安全和端口流量控制等手段；另一方面，将网络安全设备在三层甚至四层所采取的一些安全防御技术集成到交换机上，如访问控制列表、防火墙和入侵检测等技术。一些主要的具体措施如下：（1）基于802.1x协议的安全接入认证。上一页下一页返回7.4网络安全防护技术802.1x协议起源于802.11协议，后者是IEEE的无线局域网协议，制定802.1x协议的初衷是解决无线局域网用户的接入认证问题。802.lx就是IEEE为了解决基于端口的接入控制（Port-BasedNetworkAccessControl）而定义的一个标准。此协议工作在数据链路层，提供了一种对连接到局域网的用户进行认证和授权的手段，达到了接受合法用户接入、保护网络安全的目的。整个802.1x