主动式动态网络安全防御技术的初探

2016-03-28杨铭合肥理工大学

数码世界 2016年4期

关键词：重定向入侵者IP地址

杨铭合肥理工大学

主动式动态网络安全防御技术的初探

杨铭
合肥理工大学

摘要：在主动式动态网络中，为了更好的达到主动防御的目的，必须有相关的关键技术作支撑，近年来主要的技术有动态网络安全技术、伪装技术、网络欺骗技术等几大类，本文分别对主动式动态网络安全防御的几种关键技术做了详细的介绍。

1　动态网络安全技术

动态网络DPFT安全模型提出的安全系统由检测(Detection)、保护(Protection)、反馈(Feedback)和追踪(Trace)4大部件组成，整个系统的运转受主体所采用的安全策略的指导和控制，客体受到保护部件的保护。一旦检测部件发现攻击，将通知保护部件采取措施将攻击拒之门外，如客体被攻入，则通知反馈部件发出信号，使保护部件更改配置以适应新情况，能对付已发现的攻击，同时启动反击部件进行跟踪追击，获取攻击者地址信息，更新防御控制参数。如果客体己被更改或遭受攻击，则反馈部件能使客体得到恢复。可见该模型通过反馈调节能不断地优化系统，改善系统的性能，提高系统的抗攻击能力，是一种比较优越的安全模型。

2　伪装技术

2.1网络数据流伪装

主要研究针对网络数据流的特点，对网络数据流进行伪装的技术分析与形式化描述、伪装算法、伪装度的表示，以及为了满足实时系统的需求，在不同伪装度下伪装算法对网络数据流进行伪装时，对网络性能、安全程度的影响。

2.2网络数据报伪装

把信息伪装的思想和算法引入到对单一网络数据报的伪装中，同时结合网络数据报的特点，可以在数据链路层对网络层数据报、或网络层对传输层数据报、或传输层对应用层数据进行乱置处理、或填充处理，从而达到对单一数据报伪装的目的。为网络数据报的伪装主要用在对等伪装中，即进行通信的双方都必须知道伪装的算法、参数设置、伪装层的信息，因此，还必须要研究如何让通信双方进行协商，安全地交换上述信息，从而使通信双方既能伪装数据报，又能正确地解除对数据报的伪装。

2.3IP地址伪装

对IP地址的伪装有两种模型，一是在经过伪装的IP地址与真正的IP地址混合在一起，直接参与通信。在Linux中，通过其Masquerade功能可以实现对IP地址的伪装(Masquerading)，或通过多宿主机的方式在一个计算机上绑定多个IP地址，但这两种方式由于其静态性，不能满足动态伪装的网络安全模型的要求，因此，提出的对IP地址伪装(Camouflaging)基于上述两种方式，结合隧道技术，从而实现动态调度、动态伪装的跨网段的IP地址伪装模型。这种IP地址称为伪装的系统IP地址。

2.4操作系统和网络服务伪装

攻击者在进行攻击前，先要确定被攻击对象的操作系统的类型、版本等信息，然后确定其上运行的各种服务，从而选择合适的攻击手段。因此，如果对操作系统和网络服务进行伪装，迷惑攻击者的判断，延长攻击者的时间，从而达到提高网络安全性的目的。这两种伪装和IP地址伪装结合起来，从而实现一个动态、处于不同网段的超大范围的伪装网络模型。

2.5网络拓扑结构伪装

网络拓扑结构的伪装是指通过添加虚拟的路由、或隐藏路由等手段，结合IP地址伪装模型，通过动态控制与调度，使攻击者很难通过扫描得到整个网络的拓扑结构，从而达到隐藏网络中关键计算机和网络细节的目的。

3　网络欺骗技术

3.1网络欺骗的原理

每个网络系统都存在漏洞，而且这些漏洞都可能被入侵者所利用，网络欺骗技术就是使入侵者相信信息系统存在有价值的、可利用的安全弱点，并具有一些可攻击窃取的资源(当然这些资源是伪造的或者不重要的)，并将入侵者引向这些虚假的资源，从而增加入侵者的工作量和入侵复杂度以及不确定性，从而使入侵者不知道其进攻是否奏效或成功。而且，它允许防护者跟踪入侵者的行为，分析其攻击意图。

3.2网络欺骗的作用

迅速地检测到入侵者的进攻并获知其进攻技术和意图；影响入侵者，使之按照你的意志进行选择：对入侵者进行监视和追踪；消耗入侵者的资源。

3.3网络陷阱

它是网络欺骗的进一步发展，是故意布置的在网络上吸引攻击的陷阱，然后让攻击者落入预先设置的这些圈套之中，处于被监视和控制之中，还可以获取攻击策略。陷阱机是一个使用网络重定向技术创建的欺骗主机。在这台计算机上，可建立多个操作系统伪装环境作为陷阱，利用重定向机制，分别保护对应的服务器，如邮件服务器、网站服务器、域名服务器等。