基于主动网络的军事化安全防护体系研究＊

游 彬 韦 伟 刘晓然 崔金生

（海军指挥学院信息战研究系 南京 211800）

1 引言

目前，随着信息化技术的发展，信息系统已经成为不可或缺的基础设施，并广泛应用于社会生活中。信息系统的广泛应用使得它面临的安全威胁也日益增多。

根据加强信息安全保障工作的总体要求和“积极防御，综合防范”的信息安全保障技术框架［1］，应该通过灵活部署物理、逻辑隔离形成安全防范措施，使得高风险节点的信息安全风险不至于蔓延。

我军信息化建设步伐不断加快，计算机网络技术在部队的应用也日趋广泛。从整体情况看，我军的网络信息安全还存在一些问题，网络安全工作滞后于网络建设［2］。针对现阶段军队网络安全存在的问题，应在把握我军计算机网络安全的建设和发展以及未来战争形态的基础上提出相应的解决对策，以获得更强的战场动态适应能力、战场信息采集和处理能力、战场决策和指挥能力［3］。

2 各种安全防护体系

1）一般应用系统的安全保护框架

落实到具体的应用系统上，应根据系统自身的特点，增强安全防护框架的针对性与可实施性。文献［4］从目前普遍使用的网站应用系统入手，通过分析系统实际的工作流程，提出了一个基于三层防护体系的安全保护框架。如图1所示。

该安全保护框架所构建的是在安全管理中心基础上的三重防护体系，使得来自内部攻击行为发生的可能性与来自外部攻击行为的有效性大为降低［4］。

一般信息系统安全防护模型，是在评估与分析系统安全风险因素的基础上，制定安全策略，采取安全技术对系统实施安全防护和实时监控，使系统具有快速的响应与恢复能力，并能够根据日志记录动态调整安全策略的系统安全体系［5］。

图1 典型网站应用系统的安全保护框架体系结构图［4］

2）信息安全厂商提出的安全防护系统

（1）赛门铁克公司的主动式安全防护体系

赛门铁克公司认为目前绝大多数安全产品均基于响应式安全防护模型［6］—基于特定威胁的特征。而赛门铁克公司则采用主动式安全防护模型：以识别和阻挡未知威胁为主导思想，包括早期预警技术、有效的补丁管理、主动识别和阻挡技术。

（2）北京中软华泰公司的安全防护体系

HuaTech安全防护系统由服务器加固模块、终端安全保护模块、应用安全增强模块和安全管理中心模块四个组成部分。如图2所示。

图2 HuaTech应用安全防护系统整体架构图

中软华泰公司推出的HuaTech应用安全防护系统为整个应用系统提供安全服务的基础性平台，包括数据机密性、完整性、真实性、可用性和不可抵赖性在内的安全服务［7］。

3 基于主动网络的军事化安全防护体系

信息系统的安全建设是一项系统化的工程，是一个动态的过程，是一个生命周期的循环过程，必须依据系统的实际需求综合考虑，建立以安全管理中心为核心的安全防护体系，实施多层次的安全防护措施。因此面向军事化的安全防护体系应具有以下特点：

1）层次性。在技术层次上，以安全管理为核心，通过灵活部署物理、逻辑隔离，实现安全防护的层次结构，以便于多层次安全防护措施的实施，将各层可能出现的威胁局限在本层次内。在军事信息化环境下，应该以军事化管理为核心，各指挥层次各司其职，协同作战完成战斗任务。

2）集成性。从技术方面看，安全防护设备采用适度的集成性是合理的，不仅能大幅度减小安全防护工作的复杂性和成本，而且能去除一些重复的、琐碎的工作。从作战角度看，为满足诸军种兵种联合作战任务，应利用综合集成方法和技术将多种电子信息系统整合为一个有机的大型军事信息系统，由协同性联合作战向一体化联合作战发展，已成为各国由机械化战争向信息化战争发展的必然选择［8］。

3）可靠性。国内缺乏自主的计算机软、硬件核心技术，因此必须采用可信计算和主动网络的自主性解决底层的信任链问题。战争环境下还应要求信息设备的运行可靠性，即保证网络节点能够有效防范病毒和黑客的攻击，而且在发生自然灾难或遭到硬摧毁时仍能不间断运行，因此应该具有病毒防治、容灾抗毁和备份恢复能力［9］。

4）主动性。Internet的应用丰富多彩，但是应用于信息化战争，传统的应用要适应瞬息万变的战场环境是很乏力的。主动网络的灵活性能充分体现安全防护体系的动态过程。

目前面向服务的安全体系结构是研究的热点［8］，使安全体系结构的定义方法发生很大变化，目前大多数安全解决方案都是假设服务器和客户机在同一个物理网络（如本地LAN）或逻辑网络（如VPN）内，这种解决办法通常依靠安全边界，譬如DMZ（非军事区）、防火墙以及入侵监测来阻止安全威胁［5］。一个可能的安全体系架构图如图3所示。

图3 面向服务的安全防护体系架构图［5］

利用防火墙将网络分为三部分：内部网（Intranet）、外部网（Internet）、DMZ（Demilitarized Zone）。这种三网分离的架构使安全边界分明，安全措施明确，能更好地保护内部网络，监测外来攻击［5］。

3.1 构建主动网络

1994年，美国国防部高级研究计划署（DARPA）在有关未来网络发展方向的研讨会上，提出了主动网络（Active Network）体系结构，如图4所示。这一新的网络体系结构主要是为了解决现有体系结构在集成新技术，扩展新应用时的乏力。

图4 主动节点的体系结构

主动网络虽然沿用了存储—转发的结构，但是网络节点上的路由器或交换机对流经它的分组可以进行定制处理。这种定制处理并非传统分组交换网络中路由器或交换机进行的简单处理（对分组头的修改或对标记的修改等）。主动网络中的分组可以携带程序代码，并由网络内的节点在自己的运行环境内执行，从而改变网络的行为和状态。主动网络通过节点的计算能力抽象高层协议，省去了为新应用制定标准的过程，新协议的应用等价于网络分组中新应用程序的开发［11］。

主动网络由一些主动节点组成，传统的节点也能在主动网络中工作。主动节点上运行着节点操作系统（Node OS）和一个或多个执行环境EE（Execution Environment），从AA（Active Application）获得业务后由EE执行，Node OS屏蔽资源管理细节和不同EE间的影响。安全执行环境（Security Enforcement Engine）完成校验和授权功能，管理执行环境（Management Execution Environment）完成管理、配置策略等功能，包括维护安全策略数据库，载入、更新、配置EE等。

为了充分利用主动网络的灵活性和自主性，可以在主动节点的体系结构的主动应用层AA中加入军事应用；执行环境层EE采用安全性高的IPv6和Java等执行环境；理论上操作系统层（Node OS）应采用定制的安全操作系统，底层的硬件设备则采用国内的信任度高的可信计算产品。因此应用于军事网络的主动节点的体系结构应如图5所示。图中简化了各层间的相互关系，关键是加入自定义的军事应用和数据库。

图5 应用于军事网络的主动节点

3.2 构建安全防护体系模型

为了有效实施军事化环境下的安全防护工作，本文提出了一个以军事管理中心为前提，在安全策略指导下的，基于物理安全、人员和技术管理，以主动网络技术为核心、综合运用各种信息安全技术进行动态防护及保障的多层次的、动态的、有反馈的安全防护体系。如图6所示。

图6 军事化安全防护体系

在网络中部署一些主动节点，用于维护策略数据库和军事数据库，以及添加和执行自定义的军事应用程序，从而实现“管理—执行—管理”的动态过程，提高了完成任务的灵活性。自定义的军事应用在主动网络节点中体现，将其与一般的信息安全技术区分开是必要的，由各部门分别完成而不至于相互干扰。动态防护技术可以引入UTM设备（Unified Threat Management，统一威胁管理）。2004年，IDC（Internet Data Center），即互联网数据中心，首度提出将防病毒、入侵检测和防火墙安全设备整合。UTM设备具备的基本功能包括网络防火墙、网络入侵检测／防御和网关防病毒功能。采用适度的集成设备降低安全防护工作的复杂性。

4 结语

本方案依据系统的实际需求综合考虑，建立以安全管理中心为核心的安全防护体系，实施多层次的安全防护措施，完善人员与安全技术的管理，从而降低来自内部攻击行为发生的可能性与来自外部攻击行为的有效性。由于依赖主动网络节点的技术，因此主动网络自身的安全性与性能将会影响到整个体系，而主动网络安全性与性能的研究是现在的热点。研究主动网络的安全性与原型将是下一步的研究工作。

［1］沈昌祥.基于可信平台构筑积极防御的信息安全保障框架［J］.信息安全与通信保密，2004（9）：17～18

［2］赵昌伦，武波.基于.NET的军队计算机网络信息安全对策［J］.计算机技术与发展，2009，19（1）：150

［3］赵晔，雷英杰.军事应用网格（MAGrid）体系结构研究［J］.计算机技术与发展，2006，16（1）：93

［4］龚雷，赵勇，韩培胜，等.典型应用系统安全保护框架研究［J］.计算机工程与应用，2010，46（28）：90～93

［5］叶明芷.信息系统安全防护体系研究［J］.北京联合大学学报，2004，18（2）：47～51

［6］http：／／www.symantec.com［EB／OL］.北京华为赛门铁克

［7］http：／／www.huatechsec.com.cn［EB／OL］.北京中软华泰

［8］童志鹏，刘兴.综合电子信息系统［M］.第2版.北京：国防工业出版社，2010：1～106

［9］李少波，谢庆生.基于ASP的信息安全管理机制的研究［J］.计算机工程与应用，2005，22：215～217

［10］彭珺，高珺.计算机网络信息安全及防护策略研究［J］.计算机与数字工程，2011，39（1）

［11］任丰源，任勇，山秀明.主动网络的研究与进展［J］.软件学报，2001，12（11）：1614～1620