園區(qū)網(wǎng)審計(jì)前端解決方案
園區(qū)網(wǎng)審計(jì)系統(tǒng)是防止在網(wǎng)上發(fā)布非法信息、泄密的事后取證系統(tǒng)。通常在園區(qū)網(wǎng)出入口處建立內(nèi)容審計(jì)系統(tǒng)，對(duì)通過(guò)的流量進(jìn)行應(yīng)用恢復(fù)與還原，對(duì)非法流量進(jìn)行自動(dòng)備份，并由此確定發(fā)送者。系統(tǒng)自動(dòng)運(yùn)行，不需要人工干預(yù)。內(nèi)容審計(jì)系統(tǒng)具有證據(jù)保留的作用，可作為司法追究的依據(jù)。
園區(qū)網(wǎng)審計(jì)系統(tǒng)主要有以下作用：
（1）檢查網(wǎng)絡(luò)用戶(hù)在網(wǎng)絡(luò)上發(fā)表的言論、發(fā)送的信息，保障其行為符合國(guó)家法律的要求，不損害國(guó)家和他人利益，保證互聯(lián)網(wǎng)安全、和諧有序運(yùn)行。
（2）在已知可疑人員部分網(wǎng)絡(luò)信息，如郵件地址、QQ帳號(hào)的情況下，能夠快速鎖定目標(biāo)當(dāng)前的網(wǎng)絡(luò)地址，并根據(jù)認(rèn)證系統(tǒng)中的相應(yīng)信息進(jìn)行人員定位。
（3）在園區(qū)網(wǎng)絡(luò)環(huán)境中，確保用戶(hù)發(fā)送的信息滿(mǎn)足單位信息安全要求，對(duì)特定信息外傳進(jìn)行報(bào)警和存檔。
（4）檢查經(jīng)常使用特殊網(wǎng)絡(luò)工具對(duì)外聯(lián)系或者發(fā)送數(shù)據(jù)的人員。
一般性的園區(qū)網(wǎng)審計(jì)系統(tǒng)處理流程如圖1所示。
圖1 園區(qū)網(wǎng)審計(jì)系統(tǒng)
各模塊的作用如下：
- 高速流量捕獲：獲取網(wǎng)絡(luò)關(guān)鍵點(diǎn)上的雙向流量，通?？梢圆捎脙煞N方式捕獲到流量：通過(guò)分光器從鏈路上分光獲取，或者在交換機(jī)上設(shè)置鏡像端口。高速流量捕獲主要解決高速鏈路流量的無(wú)丟失的完全捕獲問(wèn)題。
- 協(xié)議還原：完成報(bào)文捕獲后，協(xié)議恢復(fù)結(jié)點(diǎn)組裝報(bào)文，最終完成一個(gè)個(gè)的應(yīng)用文檔或者記錄。協(xié)議恢復(fù)結(jié)點(diǎn)首先要解決報(bào)文亂序、重傳與分片問(wèn)題。在IP網(wǎng)絡(luò)中，先發(fā)出的報(bào)文可能后到達(dá)，后發(fā)出的報(bào)文可能先到達(dá)，網(wǎng)絡(luò)技術(shù)中稱(chēng)之為“報(bào)文亂序”，在路由器和交換機(jī)中，有大量的研究試圖解決報(bào)文亂序問(wèn)題，目前骨干鏈路上的報(bào)文亂序很少，但是仍然存在。TCP/UDP分片是協(xié)議恢復(fù)需要解決的另一個(gè)問(wèn)題，協(xié)議恢復(fù)結(jié)點(diǎn)應(yīng)能對(duì)分片報(bào)文進(jìn)行正確組裝。協(xié)議恢復(fù)結(jié)點(diǎn)在完成報(bào)文組裝后，送到不同的處理線程（或進(jìn)程）進(jìn)行應(yīng)用恢復(fù)。應(yīng)用通信過(guò)程中，有些信息是應(yīng)用的內(nèi)容，而有些信息是應(yīng)用之間的控制消息，應(yīng)用恢復(fù)軟件能夠剔除控制消息，留下真實(shí)的應(yīng)用內(nèi)容。協(xié)議恢復(fù)結(jié)點(diǎn)通常根據(jù)TCP/UDP端口號(hào)確定應(yīng)用的類(lèi)型，如TCP 80為Web流量、TCP 25和110為郵件流量、TCP 23為telnet流量等。
- 數(shù)據(jù)索引：海量的文本存儲(chǔ)到海量數(shù)據(jù)庫(kù)前，由于數(shù)據(jù)庫(kù)容量過(guò)大，而數(shù)據(jù)庫(kù)本身并不提供對(duì)文本字段的索引能力，使用關(guān)鍵詞進(jìn)行檢索需要很長(zhǎng)的時(shí)間。此外，某些試圖逃避檢測(cè)的惡意信息發(fā)送者通常在發(fā)送信息中加入不可讀的干擾字符（如空格、“※”“￥”“?！钡龋?，試圖躲避自動(dòng)分析程序的規(guī)則匹配。數(shù)據(jù)索引模塊首先具有剔除干擾字符的能力，其次可以對(duì)同音字和形近字進(jìn)行處理。然后進(jìn)行分詞，得到本文中出現(xiàn)的關(guān)鍵字。最后以類(lèi)似于Google或Baidu的技術(shù)組織海量文本，使得自動(dòng)規(guī)則匹配或人工查詢(xún)可以高效、準(zhǔn)確地完成。
- 海量數(shù)據(jù)庫(kù)：數(shù)據(jù)庫(kù)服務(wù)器在海量?jī)?nèi)容恢復(fù)系統(tǒng)的中的作用較為簡(jiǎn)單，主要記錄從協(xié)議恢復(fù)結(jié)點(diǎn)送過(guò)來(lái)的應(yīng)用層數(shù)據(jù)，通常，一封Email包含發(fā)送人地址、收件人地址、主題、發(fā)送時(shí)間、截獲時(shí)間以及郵件體，而一個(gè)聊天記錄則包含發(fā)送人標(biāo)識(shí)符、接收人標(biāo)識(shí)符、聊天內(nèi)容和聊天時(shí)間。
- 規(guī)則數(shù)據(jù)庫(kù)：存儲(chǔ)用戶(hù)配置的規(guī)則、用戶(hù)的賬號(hào)權(quán)限等數(shù)據(jù)信息。
- 業(yè)務(wù)邏輯：完成用戶(hù)進(jìn)行的規(guī)則設(shè)置、查詢(xún)等工作。
戎騰網(wǎng)絡(luò)是園區(qū)網(wǎng)審計(jì)系統(tǒng)的硬件提供商，所研制的多種設(shè)備和部件可以應(yīng)用于不同的場(chǎng)合：
（1）TransCon2402（簡(jiǎn)稱(chēng)TC2402）匯聚分流設(shè)備：用于園區(qū)網(wǎng)有多個(gè)鏈路接入ISP時(shí)，數(shù)據(jù)的聚合、分流、過(guò)濾。TC2402系統(tǒng)應(yīng)用于10G/1G LAN光線路中，支持將線路上接入的數(shù)據(jù)分流/匯聚，轉(zhuǎn)發(fā)到1G/10G輸出接口上，同時(shí)對(duì)數(shù)據(jù)做分析處理。TC2402主要實(shí)現(xiàn)10G LAN鏈路流量接收、過(guò)濾以及分流；千兆LAN鏈路流量接收、過(guò)濾以及匯聚，能高效地解決在網(wǎng)絡(luò)接入層和匯聚層鏈路上進(jìn)行內(nèi)容審計(jì)、入侵檢測(cè)、行為分析和流量統(tǒng)計(jì)所面臨的數(shù)據(jù)獲取問(wèn)題。
（2）PCAP2智能網(wǎng)卡：采用多域過(guò)濾技術(shù)、零拷貝技術(shù)和多通道虛擬隊(duì)列技術(shù)，用于衰減無(wú)關(guān)流量，實(shí)現(xiàn)報(bào)文到達(dá)服務(wù)器的高性能捕獲。PCAP2支持最大64K條多元組規(guī)則，實(shí)現(xiàn)報(bào)文頭的精確匹配、掩碼匹配和范圍匹配；
（3） SMA系列智能網(wǎng)卡：采用高性能連接跟蹤技術(shù)，用于降低服務(wù)器在進(jìn)行協(xié)議還原時(shí)會(huì)話管理的計(jì)算負(fù)載。SMA能夠?qū)CP流執(zhí)行順序整理、重傳報(bào)文清理等工作，并以一個(gè)完整會(huì)話形式提交分析服務(wù)器，從而顯著提高分析服務(wù)器的性能。SMA還具備多元組過(guò)濾功能。SMA系列智能網(wǎng)卡包括SMA11（一個(gè)千兆電口和一個(gè)萬(wàn)兆光口）和SMA20（雙萬(wàn)兆以太網(wǎng)）
相關(guān)產(chǎn)品，參見(jiàn)戎騰產(chǎn)品的“匯聚器 & 分流器”和“智能網(wǎng)卡”。
返回首頁(yè)
回到頂部