多级反馈的网络安全态势感知系统源于联想网御神州专家新论E×perts、F0rum多级反馈的网络安全态势感知系统郭锡泉1’2，罗伟其1，姚国祥1(1暨南大学。广东广州510632；2广州番禺职业技术学院，广东广州511483)摘要:从系统论，控制论的一般观点出发，研究防火墙。入侵检测系统、入侵防御系统、统一威胁管理系统等网络安全设备的发展与应用，揭示反馈控制在包过滤防火墙向状态检测防火墙演进，入侵检测系统向入侵防御系统演进过程中的重要作用。把反馈控制的原理应用到网络安全态势感知系统中，提出一种多级反馈、协同工作的网络安全态势感知系统结构，该系统能更有效地收集网络信息来进行安全态势评估。关键词:网络安全；多级反馈；协同工作；态势感知【】TP393．08【文献标识码lA【l1009—8054(2010)01-0061-03NetworkSituationAwarenessSystemofMulti—LevelFeedbackGUoXi—quanl”，LUoWei—qil，YAoGuo—xian91(1激nanUniversity，GuangzhouGuangdong5l0632，China；2GuangzhouPanyuPolytechnicGuangzhouGuangdong511483．China)[Abstract]Fromtheviewpointofsystemtheoryandcybemetics，thedevelopmentandimplementationofnetworksecurityequipmentssuchasfirewallandintrusiondetectionsystemisanalyzed．Itisrevealedthatthefeedbackplaysallimportantroleinthefunctionsoftheseequipments．Andthenanetworksituationawarenesssystemofmulti-levelfeedbackandcooperativeworkisproposed．Thissystemisprovedquiteeffectiveincollectingnetworkinformationandassessingsecuritysituation．[Keywords]networksecurity；multi-levelfeedback；cooperativework；situationawarenesssystemO引言随着黑客文化的盛行、网络攻击工具软件的唾手可得，网络安全事件层出不穷、愈演愈烈。为了弥补TCP／IP协议安全方面的“先天不足”，各种网络安全设备应运而生，其中包括防火墙、入侵检测系统，入侵防御系统，统一威胁管理等。网络安全态势感知II’2J则是新兴的安全监测与预警技术，集防火墙，入侵检测系统，安全审计等功能于一身。这些网络安全系统大都经历了从简单到复杂的发展过程，智能化程度越来越高。文中从系统论，控制论的一般观点出发，探讨了反馈控制在网络安全系统中的重要作用。1防火墙系统中的反馈控制防火墙是网络安全的排头兵，往往是保护内网安全的第一道防线，一般部署在内网通往外网的要塞，对内外网的信息流起着分析器、过滤器、控制器的作用。防火墙的技术路线不断向前发展，经历了简单包过滤、代理、状态检测、综合智能化等多个阶段的发展。简单包过滤型防火墙的系统结构如图l(a)所示，接收部分的功能是捕捉网络中输入的数据包并提取必要的TCP／IP协议信息。策略与规则控制部分是根据网络管理员定义的策略与规则对数据包做出放行或拦截的判决，策略与规则的区别在于：策略对于任何数据包都适用，一般在缺省情况下使用；规则是网络管理员自行定义的，仅对满足预设条件的数据包适用。转发部分则对放行的数据包予以转发，数据包从一个网络接口进来，获得放行后，将从另外一个网络接口出去。由于防火墙有过滤作用，可以看到，从系统流(a)防．足墙f简单包过滤)简单包过滤防火墙最初见于路由器，即通过路由器的访问控制列表ACL(AccessControlList)即可实现。但是，包过滤防火墙对信息流所能达到的控制粒度过粗，网络管理员无法定义合适的规则来控制动态打开端口的应用层协议，如常用的FTP协议，下面将加以说明。不同厂商的防火墙，在规则配置上可能有差别。但最终都落实到对属于某个套接字的数据包将如何处理。按TCP／IP协议，一个完整的套接字包含源IP、源端口、协议、目的IP、目的端口5个元素，于是可以有如下定义。定义防火墙的一条规则包含6个元素，即由源IP、源端口、协议、目的IP、目的端口、动作6个元素组成，记作{源IP，源端口，协议，目的IP，目的端口，动作}，其中，IP可以是单个IP，也可以是子网IP或任意IP；端口可以是单个数值，也可以是任意值；协议是TCP．UDP、ICMP等；动作是指放行(Permit)或拦截(Deny)。若需允许某个主机访问某服务器的Web服务，可以使用{...