- 相關(guān)推薦
論析網(wǎng)絡(luò )應用流分析與風(fēng)險評估系統
論文關(guān)健詞：應用流分析；風(fēng)險評估；流量分組
論文摘要：針對網(wǎng)絡(luò )中的各種應用服務(wù)的識別檢測，采用應用層協(xié)議簽名的流量識別技術(shù)和流量分組技術(shù)，實(shí)現網(wǎng)絡(luò )應用流的分析和風(fēng)險評估系統——RAS，提出基于流量分組技術(shù)的應用流風(fēng)險評估模型。該系統為網(wǎng)絡(luò )資源分配和網(wǎng)絡(luò )安全的預測提供有價(jià)值的依據。實(shí)驗結果表明，TARAS系統具有良好的流量分析效率和風(fēng)險評估準確性。
1概述
基于互聯(lián)網(wǎng)的新技術(shù)、新應用模式及需求，為網(wǎng)絡(luò )的管理帶來(lái)了挑戰:(1)關(guān)鍵應用得不到保障，OA, ERP等關(guān)鍵業(yè)務(wù)與BT,QQ等爭奪有限的廣域網(wǎng)資源;(2)網(wǎng)絡(luò )中存在大量不安全因素，據CNCERT/CC獲得的數據表明，2006年上半年約有14萬(wàn)臺中國大陸主機感染過(guò)Beagle和Slammer蠕蟲(chóng);(3)傳統流量分析方法已無(wú)法有效地應對新的網(wǎng)絡(luò )技術(shù)、動(dòng)態(tài)端口和多會(huì )話(huà)等應用，使得傳統的基于端口的流量監控方法失去了作用。
如何有效地掌握網(wǎng)絡(luò )運行狀態(tài)、合理分配網(wǎng)絡(luò )資源，成為網(wǎng)絡(luò )管理者們的當務(wù)之急。針對以上需求，作者設計并實(shí)現了一套網(wǎng)絡(luò )應用流分析與風(fēng)險評估系統(Traffic Analysis and Risk Assessment System, TARAS)。
當前，網(wǎng)絡(luò )流量異常監測主要基于TCP/IP協(xié)議。文獻[5]提出使用基于協(xié)議簽名的方法識別應用層協(xié)議。本系統采用了應用層協(xié)議簽名的流量分析技術(shù)，這是目前應用流分析最新技術(shù)。然而，簡(jiǎn)單的流量分析并不能確定網(wǎng)絡(luò )運行狀態(tài)是否安全。因此，在流量分析的基礎上，本文提出了應用流風(fēng)險評估模型。該模型使用流量分組技術(shù)從定量和定性?xún)煞矫鎸昧鬟M(jìn)行風(fēng)險評估，使網(wǎng)絡(luò )運行狀態(tài)安全與杏這個(gè)不確定性問(wèn)題得到定性評估，這是當前網(wǎng)絡(luò )管理領(lǐng)域需要的。
2流量分析模型
目前應用流識別技術(shù)有很多，本文提出的流量識別方法是對Subhabrata Sen提出的應用協(xié)議特征方法的改進(jìn)。針對種類(lèi)繁多的應用層協(xié)議采用了兩級匹配結構，提高效率。
應用識別模塊在Linux環(huán)境下使用Libpcap開(kāi)發(fā)庫，通過(guò)旁路監聽(tīng)的方式實(shí)現。在設計的時(shí)候考慮到數據報文處理的效率，采用了類(lèi)似于Linux下的NetFilter框架的設計方法，結構見(jiàn)圖1。
采取上述流量識別框架的優(yōu)點(diǎn):(1)在對TCP報文頭的查找中使用了哈希散列算法，提高了效率;(2)借鑒狀態(tài)防火墻的技術(shù)，使用面向流(flow)的識別技術(shù)，對每個(gè)TCP連接的只分析識別前10個(gè)報文，對于該連接后續的數據報文則直接查找哈希表進(jìn)行分類(lèi)，這樣避免了分析每個(gè)報文帶來(lái)的效率瓶頸;(3)模式匹配模塊的設計使得可擴展性較好。
在匹配模塊設計過(guò)程中，筆者發(fā)現如果所有的協(xié)議都按照基于協(xié)議特征的方式匹配，那么隨著(zhù)協(xié)議數量的增大，效率又會(huì )成為一個(gè)需要解決的問(wèn)題。
因此，在設計應用流識別模塊時(shí)，筆者首先考慮到傳輸層端口與網(wǎng)絡(luò )應用流之間的聯(lián)系，雖然兩者之間沒(méi)有絕對固定的對應關(guān)系，但是它們之間存在著(zhù)制約，比如:QQ協(xié)議的服務(wù)器端口基本不會(huì )出現在80, 8000, 4000以外的端口;HTTP協(xié)議基本不會(huì )出現在80, 443, 8080以外的端口等，因此，本文在流量分析過(guò)程中首先將一部分固定端口的協(xié)議使用端口散列判斷進(jìn)行預分類(lèi)，提高匹配效率。
對于端口不固定的應用流識別，采用兩級的結構。將最近經(jīng)常檢測到的業(yè)務(wù)流量放在常用流量識別子模塊里面，這樣可以提高查找的速度。另外，不同的網(wǎng)絡(luò )環(huán)境所常用的網(wǎng)絡(luò )應用流也不同，因此，也沒(méi)有必要在協(xié)議特征庫中大范圍查找。兩級查詢(xún)匹配保證了模型對網(wǎng)絡(luò )環(huán)境的自適應性，它能夠隨著(zhù)網(wǎng)絡(luò )環(huán)境的改變以及網(wǎng)絡(luò )應用的變化而改變自己的查詢(xún)策略，但不降低匹配效率。應用流識別子模塊的設計具體結構見(jiàn)圖2。
3風(fēng)險評估模型
本文采用基于流量分組技術(shù)的風(fēng)險評估方法。流量分組的目的是為流量的安全評估提供數據。
3.1應用流的分組
網(wǎng)絡(luò )應用種類(lèi)多、變化頻度高，這給應用流的評估帶來(lái)了麻煩，如果要綜合考慮每一種應用流對網(wǎng)絡(luò )帶來(lái)的影響，顯然工作量是難以完成的。因此，本文引入應用流分組的概念。應用流分組的目的是從網(wǎng)絡(luò )環(huán)境和安全角度的考慮，將識別后的流量進(jìn)行歸類(lèi)分組。筆者在長(cháng)期實(shí)驗過(guò)程中，根據應用的重要性、對網(wǎng)絡(luò )的占用率、對網(wǎng)絡(luò )的威脅性等因素得到一個(gè)較為合理的分組規則，即將網(wǎng)絡(luò )流量分為:關(guān)鍵業(yè)務(wù)，傳統流量，P2P及流媒體，攻擊流，其他5類(lèi)。應用流分組確定了流量評估的維度，這樣有利于提高評估的效率。表1列舉了部分應用流的分組。
應用流分組模塊有2個(gè)功能。首先是將檢測到的各種應用流量按照表1中的分組歸類(lèi)，并計算各分組應用流量的大小、連接數目、通信主機數目3個(gè)方面的信息，并以一定的時(shí)間周期向流量安全評估模塊傳送數據。另外一個(gè)是在安全事件出現時(shí)，向安全響應模塊提供異常應用流名稱(chēng)和其他相關(guān)信息。應用流分組模塊的輸入是各應用流的流量大小，而輸出有2個(gè):
(1)整個(gè)網(wǎng)絡(luò )的流量分布矩陣。
(2)異常主機流量分組中的成份。
筆者引入流量矩陣的概念。流量矩陣A的數學(xué)定義為
[1][2][3]下一頁(yè)
【論析網(wǎng)絡(luò )應用流分析與風(fēng)險評估系統】相關(guān)文章：
簡(jiǎn)析網(wǎng)絡(luò )應用系統通用框架的研究與設計03-25
從教學(xué)模式視角論析網(wǎng)絡(luò )在遠程教育中的應用03-27
論風(fēng)險導向審計在風(fēng)險管理框架中的應用03-22
網(wǎng)絡(luò )安全的風(fēng)險分析03-18