引言
網絡安全管理系統是針對計算機網絡以及計算機終端的安全問題而設計的一種綜合管理軟件。它依靠技術手段協助管理員對計算機網絡實施智能的安全防護與管理，從而提高網絡的安全性能。并提供一系列工具使網絡終端更加易于管理，網絡的安全風險得到控制。
內網安全管理系統致力于內部網絡和終端的安全防護與管理。但是目前異地辦公、分公司、分散網點辦公的應用需求日益增多如圖l所示。對于位于異地，只能通過互聯網連接到單位內蚓的計算機終端實施安全管理，并要求其執行與內網終端一致的安全規范同樣十分必要。如果依靠傳統的安全管理系統將無法對這些計算機實施管理和防護，以至形成整個系統的“短板”。所以遠程終端的安全管理相關技術的研究是目前網絡應用的現實需求。
圖1 遠程終端
1 內網安全管理系統面臨的新問題
如前文所述，遠程辦公的廣泛應用使得內網安全管理系統面臨著新的挑戰。遠程計算機終端處于單位的局域網之外。即使通過VPN(虛擬專用網)能夠使用局域網的功能，但并非真正的局域網，與內網終端所處網絡環境不相同。這使得傳統網絡安全管理系統采用的一些安全技術和管理措施并不適用于遠程終端。而遠程終端處于互聯網之中，面臨著更多的安全威脅，更加需要適合的安全管理解決方案。
通常網絡安全管理系統所應用的安全技術包括：防火墻技術、入侵檢測技術、網絡防病毒、接入控制、補丁分發等軟件統一升級系統、其它相關技術。
對于遠程計算機終端，在內網中適用的安全技術可能起不到它的作用。下面將針對這些技術進行探討：
首先，對于網絡邊界的安傘設備如防火墻、入侵檢測、網絡防病毒系統，他們是用于防護內部網絡設施，通常運行于網關、路由和服務器等網絡設備，對于位于內網之外的遠程計算機終端發揮不到防護作用。
其次，補丁分發和軟件統一升級對于遠程計算機也不是全部適應。遠程計算機在需要時通過國際互聯網連接到內部網絡，而補丁分發往往需要較長的在線時間并且占用一定的帶寬，對于遠程終端并非同樣適用。例如遠在海外的計算機終端。
第三，網絡安全管理系統通常依靠ARP探測技術實現主機的接入發現、干擾非法主機的功能。這對于遠程計算機終端完全無法應用，即使遠程計算機通過VPN連接到內網。可見對于遠程計算機終端，傳統的網絡安全管理系統面臨以下幾個問題：
(1)原有的設施不適用，有入侵檢測設備、硬件防火墻、接入控制(如Radius服務器)；
(2)原有技術無法利用，如ARP探測與干擾技術；
(3)原有的功能難實現，病毒庫升級、操作系統和軟件補丁統一升級不再適用；
這問題使我們需要專門研究遠程計算機安傘管理技術，以適應新的應用需求。設計對遠程計算機終端實施安全管理的解決方案。
2 遠程終端的安全特性
本節內容通過一個遠程終端接入內網的應用實例，分析了遠程終端接入過程中的幾個關鍵環節，和我們需要解決的若干安全問題。
2．1一個典型的遠程終端接入過程
利用授權訪問系統，位于遠程的計算機終端可以方便的訪問單位內部資源。虛擬專用網(VPN)技術甚至可以使遠程計算機像位于內網一樣，使用所有內網提供的服務。
遠程終端的接入勢必會給內網帶來一定的安全風險。黑客和病毒有可能以遠程終端為跳板對內網實施攻擊和破壞。所以對接入內網的遠程終端必須經過一定的檢查方能繼續訪問。一個典型的遠程終端安全接入的邏輯流程如圖2所示。
可見這一過程的關鍵環節有：
①終端身份認證，通常我們首先要確認該遠程終端是否為本單位的計算機。這個過程可以要求遠程終端提供一定的身份憑證來證明自己的身份。
②服務器身份認證，遠程終端連接國際瓦聯網，如果有必要攻擊者就有可能冒充管理服務器從而控制該終端。因此驗證服務器的身份同樣重要。
③安全狀態檢杳，一臺被攻擊者控制的遠程終端一旦接入內網便會對內網的安全可靠帶來極大的安全威脅，因此對從互聯網接入的遠程終端進行安全“體檢”可以盡量降低安全風險。
圖2 遠程終端安全接入邏輯流程
2．2遠程終端安全管理待解決的問題
由以上對遠程終端接入應用的過程分析可以總結出建立遠程終端安全管理系統需要解決的幾個主要問題：
身份認證問題。系統需要設計一套雙向主機身份認證的方案來實現管理與被管理者雙方的身份認證功能。客戶端認證主要為了避免非法主機接入內網而設定。服務器身份認證是為了防范系統通信協議被分析和破解的情況下，攻擊者冒充管理服務器從而控制遠程終端。因為即使是經過精心設計的軟件代碼也無法保證其不被“黑客”破解。這方面的技術有口令方式、挑戰響應方式、“USB KEY”方式，基于生物特征方式等。
終端系統安全防護與檢測問題。如本文第一節所述，應用于內部網絡的安全設施難以完全覆蓋到遠程終端。因此需要為遠程終端專門提供安全防護的功能。另外在終端接入到內網時，系統將判斷終端的安全狀況以決定其是否滿足接入內網的安全等級。所有需要設計安全狀態評估機制來完成該功能。安全防護功能涉及軟件防火墻技術，殺毒軟件相關技術等。
雙方通信協議與通信加密。遠程安全管理系統的報文需要經過國際巨聯網傳遞，為了保證數據在傳輸過程中不被監聽、篡改、重放，系統需要設計通信加密模塊和雙方傳遞管理信息的通信協議。
控制端對遠程終端的管理問題。這里的管理通常是指對終端硬件資源的管理和系統功能的管理。如硬件禁用／啟用、功能限定和監控審計等。
自身的安全問題。管理者和被管理者均需要連接國際互聯網并開放服務。因此難免遭受“黑客”的攻擊，因此在系統軟件設計過程中需要考慮其安全問題。遠程終端上運行的軟件還需要“自我保護”功能，以防止被惡意禁用、卸載、修改。
3 遠程終端安全管理解決方案
上面的小節主要分析了遠程終端安全管理的意義和設計需求，本節內容將對遠程終端安全管理技術進行詳細的討論和研究，提出遠程終端安全管理的方案。
3．1遠程終端安全管理的目標
遠程終端安全管理系統是為了解決遠程辦公終端的安全管理問題而設計，把內網的安全域延伸至遠程終端(如圖3)。把遠程計算機納入到內網的管理中來，實施全網統一的安全管理和一致的安全策略。另外網絡安倉管理系統的目的還包括從整體上提高整個網絡的防御入侵、抵抗攻擊的能力，保持系統及服務的完整性、可靠性和可用性。
圖3 擴展的安全域
遠程終端安全管理系統的設計目標包含：
目標1：維護內網和遠程終端的安全。降低內部網絡因遠程終端的接入帶來的安全風險：保護遠程計算機終端減小木馬、病毒和黑客的攻擊的威脅。對終端計算機操作系統的安全性進行監視和加固，具備無需終端用戶干預的安全防護能力。
目標2：提供豐富的終端管理控制功能。網絡管理員可以通過系統控制中心獲得網絡與終端計算機的整體運行情況和詳細信息：可以制定安全管理規范并分發到網絡終端上執行：擁有網絡事件審計日志。
目標3：系統架構靈活、可擴展。網絡安全管理系統管理內容的靈活性較高，系統設計階段應考慮以后進行升級和擴展的需求。
3．2遠程終端安全管理的實現
如何對遠程終端實施有效的安令管理，是遠程終端安令管理技術的核心問題。網絡安全管理系統不是安全產品的堆砌，而是各種安全技術相互融合，共同完成系統功能的綜合性解決方案。遠程終端安全管理所采用的技術可以劃分到下面的3個子系統：
(1)通信加密子系統。如本文2．2節所述，遠程終端與管理服務器之間的通信數據有可能被攻擊者截取和偽造。因此遠程終端安全管理系統軟件提供專門的通信子系統。所有與服務器之間交換的數據都通過該子系統發送。目前常用的通信加密手段主要是對稱密碼和公鑰密碼。詳細論述了這兩種密碼體制的特性。其中對稱密碼安全強度相對較高，但是無法解決密鑰在互聯網上傳輸的問題。公鑰密碼在性能上稍遜于對稱密碼。目前網絡安全應用中也常采用兩者結合的應用方案，即以公鑰密碼加密對稱密碼的密鑰，以對稱密碼加密數據的混合型加密嘲。考慮到遠程終端與管理服務器之間平時并沒有大量數據傳輸，因此公鑰密碼的性能對通信速度并不會產生明顯的影響。所以系統采用公鑰密碼體制加密數據。橢圓曲線密碼(ECC)是目前公鑰密碼中性能較好的一種，通信加密子系統可以采用預共事密鑰的方式容易的實現通信數據加密，且有不錯的安全性能。
(2)身份認證子系統。認證是指管理服務和被管理的遠程終端之間的主機身份認證。是一種以密碼學為基礎的基本網絡安全技術。常用的身份認證技術有：基于口令、基于軟硬件數字證書或簽名、基于生物特征識別等。如果系統設定為“不需要用戶干預”的認證方式，那么基于數字簽名的認證方式相對更加適合。因為數字證書的認證一般需要建立一套復雜的公鑰基礎設施(PKI)，從而增加了系統配置和管理的復雜度。
對認證算法提出了一種根據Ham的基于離散對數的數字簽名方案。提出了一種基于橢圓曲線密碼的數字簽名方案。該方案簽名生成過程簡單，簽名驗證速度快。它們都是利用公鑰密碼體制的特性而設計，這里非常適合主機間的身份認證。為達到系統的靈活性，可把簽名加密算法獨立出來，以實現可替換的功能。系統只需要預先在服務器和客戶端分別生成自身的私鑰和公鑰，而后公開公鑰即可進行相互間的簽名認證，認證過程如圖4。
圖4 身份認證流程
(3)終端操作系統加同子系統。由于遠程終端位于互聯網環境中，相對于物理隔離的內部網絡終端它遭受攻擊的可能性更大。安全管理系統需要采用相應的技術手段增強終端操作系統的安全性。軟件防火墻和殺毒軟件是日前流行的桌面安全產品，除此之外操作系統加固子系統還提供可配置的系統防護模塊。
對于已安裝的防火墻和殺毒軟件，加固子系統檢測其有效性和時效性。以此形成對終端操作系統安全狀態的檢測。對于安全需求較高的專用業務終端，加固子系統對操作系統實行完全監控。對所有未經管理端許可的程序均拒絕運行，以此來保證業務終端的“純潔性”。
該子系統也完成系統安全狀態檢測的功能。在遠程終端接入前如果管理服務器要求該終端必須滿足一定的安全條件(如必須安裝某安全軟件)，則安全加同子系統將生成當前計算機安全狀態檢測結果并上報服務器。
以上3個子系統分別針對遠程終端內網接入、系統運行、終端管理3個主要環節，它們一起解決用于解決遠程計算機終端安全管理中遇到的安全問題。此外網絡安全管理系統的其它功能(如通信報文格式、安全規則分發、升級等)與內網終端安全管理基本相同。
3.3系統軟件結構
網絡安全管理工作涉及的內容眾多且需求靈活多變。因此在軟件設計方面要求軟件架構支持在使用中升級和功能擴展。軟件采取類MVC(模型、視圖、控制器)設計模式的程序框架，可以較好的實現這些功能。所有的管理功能都以插件形式提供如圖5所示。可見通信模塊是專門負責服務器與客戶端之間傳送信息的模塊。它與向主程序提供網絡接口服務，對傳輸的數據進行加密解密。身份認證接口同樣在通信模塊中實現，由功能插件調用。
圖5 軟件結構
(1)控制器是軟件主邏輯。它負責系統的初始化，創建系統主界面，并依次加載已注冊的功能插件。
(2)功能插件是實現安全管理功能的獨立邏輯。通常一個插件實現一種或多種管理功能。功能插件一般包含服務器端和客戶端，兩部分相互通信共同實現管理功能。插件可以創建自己的視圖并融入控制器創建的辛界面中。
系統采用增量開發，目前已有功能插件的統計如表1所示。
表1 功能插件統計
(3)記錄模塊負責存儲系統的相關配置和數據信息。
(4)通信加密模塊為上層模塊提供通信接口和透明的數據加密功能。
4 結束語
為應對遠程辦公與遠程業務終端給內網安全管理系統帶來的新問題，本文重點研究了遠程終端的安全特性，對遠程終端安全管理的關鍵技術進行了剖析和討論。設計了一個遠程終端安全管理解決方案。該方案主要解決遠程終端安全防護、遠程管理通信安全以及實施遠程診斷和管理所面臨問題。系統軟件結構的設計考慮了系統功能的變更和升級問題，支持運行時功能擴展。與原有的內網安全管理系統模型相比增加了遠程終端的角色，適用位于本部之外的遠程辦公和業務終端，方便管理員統一管理和維護，具有較高的實用價值。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://m.hanmeixuan.com/
本文標題：遠程終端安全管理技術研究
相關文章
