网络应用服务审计系统的探析

论文关键词：计算机网络；应用服务；审计系统

论文摘要：如何有效的收集网络应用服务的基本信息，是服务审计系统的一个难点．采用接人控制的方式，在每台服务器上强制安装信息采集控件，用于对各种网络应用服务信息进行采集并上报给审计服务器进行审计，用户接入网络前必须经过应用服务的审计，从而对众多的应用服务进行有效的管理．

随着internet的发展，各种各样的网络应用服务也层出不穷，传统的如dns、 email、 web和ftp等，时髦的如p2p、网络证书、网络电话和软件仓库等.面对如此众多的网络服务，怎样进行有效、规范的管理?怎么确保网络应用服务的健康、有序的发展?这就是摆在各个网络信息管理员面前迫切的问题.网络信息服务审计系统可以解决这个难题，同时也是网络安全研究的一个热点.

本文结合高校的特色和网络应用的实际情况，对网络应用服务管理进行了研究，提出了采用接人控制的网络应用服务审计系统的解决方案，通过实践证明，该系统对高校的应用服务系统是一种切实有效的管理方式.

1网络服务审计

1. 1什么是网络服务审计

“审计”的英文单词为“audit"，可解释为“查账”，兼有“旁听”的涵义.由此可见，早期的审计就是审查会计账目，与会计账目密切相关.审计发展至今，早已超越了查账的范畴，涉及到对各项工作的经济性、效率性、合法性和效果性的查核，其基本目是确定被审查对象与所建立的标准之间的一致或不一致的地方.

网络服务审计是指对网络服务提供者所提供的服务是否遵守有关的法律和规章制度、是否登记备案、其服务内容是否超越所登记备案的范围、其是否已有效地达到了预期的结果等进行的检查与核查行为.

1. 2网络服务审计的必要性

传统的网络服务审计可能非常耗费时间，通过对计算机逐个进行端口扫描、漏洞扫描或者镜像监听，获得所需要的信息后进行审计和核查.但如果计算机更改服务提供的端口号、用户防火墙屏蔽了端口扫描或者采用动态端口提供服务，那么就无法及时获得这些必要的信息了.

对网络信息管理员而言，如何有效的控制网络中的信息服务、如何掌握信息服务提供者所提供的服务类型是否超越所登记备案的范围、如何及时掌握统计和分析网络中信息流的动态情况等都是一个很繁琐和复杂的事情.

通过对网络应用服务的审计，能够及时获取服务提供者所提供的网络应用服务，能够及时掌握用户对信息服务的访问行为，能够及时发现有无违规的信息与访问，能够及时发现信息的泄露和敏感信息的访问等.

2网络应用服务审计系统架构

结合高校的特色和网络应用的实际情况，采用接人控制的网络应用服务审计系统由三部分组成:

2. 1 ieee 802. 1 x网络访问控制

ieee 802. i x协议是基于端口的访问控制协议(port based network access control protocol)，主要解决以太网认证和访问控制方面的问题.目前很多高校校园网都采用802. ix用于对用户接入校园网的行为进行控制.

在802. 1 x初始状态下，以太网交换机上的所有端口处于关闭状态，只有802. 1 x数据包才能通过，或者只能访问guest vlan内的特定网络资源(如网络应用服务审计服务器)，而另外的网络数据流都被禁止.当用户进行802. lx认证时，以太网交换机将用户名和密码传送到后台的认证服务器上进行验证.如果用户名和密码通过了验证，则相应的以太网端口打开，允许用户对网络的访问，并部署aaa服务器下发的访问控制策略.

802. 1 x主要是解决网络接人的问题，未通过认证的用户将无法使用网络，这样可以确保接入用户的合法性.同时，当用户认证通过后，由服务审计服务器判定该用户是否安装java数据采集控件，配合aaa服务器决定用户是否能够访问网络.

2. 2 java数据采集控件

数据采集控件的实现有两种方式:一是集成到802. lx客户端中，二是单独的控件.java由于其跨平台、跨操作系统的特性而成为首选.这样不管用户使用的是什么操作系统、使用什么软件提供服务，都能很方便的进行数据采集.

java数据采集控件主要完成数据采集的工作，当用户第一次连接网络时，强制安装该控件.如果用户重新安装操作系统，当用户再次连接网络时，也将被强制安装该控件.

未安装数据采集控件的计算机，即使通过802. 1 x认证，也将只能访问服务审计服务器，而不能访问其他的网络资源.

数据采集控件负责采集计算机操作系统类型及版本、开放的端口、提供的服务和流量等信息，并上报给服务审计系统.

2. 3服务审计服务器

服务审计服务器是整个系统的核心，主要有三个功能:一是和aaa服务器配合，确保所有接人网络的计算机合法性，并已安装数据采集控件.二是和java数据采集控件通信，将数据采集控件报送的信息存储到数据库中.三是实现信息服务备案、查询管理、审计分析、实时审计和统计报表等功能.其中审计分析采用mpmf(multi-priority memory feedback)流水线处理算法}3j，其处理能力可以承载高速网络的审计处理.

2. 4后台数据库服务器

数据库服务器可以采用市面上主流的大型数据库管理系统，如()racle, sql server, sybase等，服务审计服务器通过odbc/jdbc等数据访问接口来无缝地连接这些数据库系统.

同时，通过数据库复制来实现数据库的分布和同步，以使网络应用服务审计系统具备可扩展的数据处理能力，保证在网络流量日益增大的情况下系统可以可靠地运行.

3工作流程

3. 1计算机接入网络

3. 1. 1 802. lx认证

当计算机发起802. 1 x认证时，交换机将用户名和密码传送到后台的aaa服务器，由aaa服务器进行合法性判定.当用户未通过802. 1 x认证时，对网络的访问受限;当用户通过802. 1 x认证时，还需要由审计服务器进一步确认计算机上是否安装java数据采集控件.

3. 1. 2 java数据采集控件确认

计算机通过802. 1 x认证后，aaa服务器通知交换机打开端口并部署相应的访问控制策略，将所有网络访问重定向到服务审计服务器.

如果计算机上已经安装java数据采集控件，当检测到计算机网络状态已连接时，自动向服务审计服务器发出通知，告知该计算机已接入网络.服务审计服务器接到通知后，将信息记录到后台数据库服务器中，并通知aaa服务器下发新的访问控制策略，允许计算机访问其他的网络服务.

如果计算机没有安装java数据采集控件，服务审计服务器不会收到通知，这时用户所有的访问都被重定向到服务审计服务器，而不能访问其他的网络服务川.

3. 2网络应用服务审计数据采集

数据采集控件定时和服务审计服务器进行通信，将采集的信息上报服务审计服务器.服务审计服务器将这些信息记录到后台数据库服务器中，用于后续的查询、统计和审计等.

如果服务审计服务器在一定时间内未收到数据采集控件的通信信息(单次通信超时为60秒，如果连续5次通信未成功，则视为通信中断)，服务审计服务器通知aaa服务器断开该用户的网络连接.

采集的审计数据一般包括下边的三个部分:

1)主机识别:连接到网络上的活动计算机的ip地址、mac地址、802. 1 x用户名、交换机管理ip地址和交换机端口等数据，这些数据可以由802. 1 x服务提供.

2)主机描述:连接到网络上的活动计算机的操作系统、运行的网络服务及其版本信息、计算机开放的端口等数据，这些数据由java数据采集控件提供.

3)服务描述:连接到网络上的活动计算机的哪些网络服务处于激活状态、流量是多少等数据，这些数据由java数据采集控件和aaa服务器联合提供.

3. 3网络应用服务审计

网络应用服务审计系统负责对采集到的信息进行审计，并根据预定设置，采取相应的措施.

审计可分为三个级别:高优先级、中优先级和低优先级。

高优先级审计主要用于网络中重要服务的审计，包括两个方面:一是所允许的服务运行是否正常，二是是否有未允许的服务在运行.高敏感度审计发现网络中的重要服务出现问题时，会立即以短信方式通知管理员进行处理，从而确保重要服务的正常运行.

中优先级审计主要用于网络中非重要服务的审计，也包括上述两个方面，但发现问题时，只是以告警信息或者邮件的方式提示管理员进行处理.

低优先级审计则用于网络中的大部分用户，着重于信息的收集和保存，以备非实时审计、统计分析用.

为满足高速网络中服务审计的需要，采用了mpmf流水线处理算法.mpmf算法根据审计系统的过程模型以及各个部分的特点，合理划分各个部分的层次以及优先级顺序。

3. 4计算机从网络中退出

当计算机正常从网络中退出时，数据采集插件停止工作，交换机端口恢复到关闭状态.

当计算机非正常退出时(如突然断电、计算机死机等)，服务审计服务器在一定时间内未收到数据采集控件的通信信息(单次通信超时为60秒，如果连续5次通信未成功，则视为通信中断)，服务审计服务器通知aaa服务器断开该用户的网络连接，交换机端口恢复到关闭状态.

4结束语

本研究解决了服务审计系统中数据采集的难题，在利用802. 1 x接人控制的基础上，对用户使用计算机网络基本没有影响，同时完成了数据采集的工作，为以后的服务审计系统的进一步深人研究提供了充足的数据基础.