论文部分内容阅读
[摘 要] 在网络应用越来越广泛的现在，网络安全技术也越显其重要性。网络安全审计和监控是网络安全技术的重要手段，本文以实际案例说明网络审计与监控技术的具体实施方案。
[关键词] 网络安全 网络审计 监控 IpTraf
据统计，70%的企业信息安全隐患来自内部。为了应对这部分风险，不少企业都在考虑采用网络审计技术来封堵。网络安全审计系统应用于企业，能够规范员工上网行为、提高工作效率、防止企业机密资料外泄，为企业的网络提供保障，使企业的网络资源发挥应有的经济效益。企业采用网络审计系统主要还是希望对内网行为实现安全监控。
审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样的使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统的识别问题，并且它是后面阶段事故处理的重要依据。另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。
现以软件IpTraf为例，实现网络的监控与审计的方案如下：
(1) 安装
将iptraf-2.7.0.tar.gz上传到防火墙的 /home/yan/ 目录下
# cd /home/yan
# tar zxf iptraf-2.7.0.tar.gz
# cd iptraf-2.7.0
# ./Setup
至此，安装完毕
安装程序会将执行程序安装到 /usr/local/bin 目录下，并创 /var/local/iptraf 目录放置iptraf的配置文件，同时创建 /var/log/iptraf 目录放置iptraf产生的日志文件
(2) 运行iptraf
确认环境变量的PATH变量包含路径 /usr/local/bin
# iptraf
运行iptraf后会产生一个字符界面的菜单，点击 x 可以退出 iptraf，各菜单说明如下：
a、菜单Configure...
在这里可以对 iptraf 进行配置，所有的修改都将保存在文件：/var/local/iptraf/iptraf.cfg 中
--- Reverse DNS Lookups 选项，对IP地址反查 DNS名，默认是关闭的
--- TCP/UDP Service Names 选项，使用服务器代替端口号，例如用www 代替80，默认是关闭的
--- Force promiscuous 混杂模式，此时网卡将接受所有到达的数据，不管是不是发给自己的。
--- Color 终端显示彩色，当然用telnet ,ssh连接除外，也就是用不支持颜色的终端连接肯定还是没有颜色。
--- Logging 同时产生日志文件，在/var/log/iptraf 目录下
--- Activity mode 可以选择统计单位是kbit/sec 还是 kbyte/sec
--- Source MAC addrs in traffic monitor 选择后，会显示数据包的源MAC地址
b、菜单Filters...
在这里设置过滤规则，这是最有用的选项了，从远端连入监控机时，自己的机器与监控机会产生源源不断的tcp数据包，此时就可以将自己的IP地址排除在外。
它包括六个选项，分别是：Tcp、Udp、Other IP、ARP、RARP、Non-ip。我们只说明TCP，其他选项的配置都很相似。
--- Defining a New Filter
选择Defining a New Filter后，会出来一对话框，要求填入对所建的当前规则的描述名，然后回车确定，Ctrl＋x取消
在接着出现的对话框里，Host name/IP address的First里面填源地址，Second里填目标地址，Wildcard mask 的两个框里面分别是源地址和目标地址所对应的掩码。
Port栏要求填入要过滤的端口号，0表示任意端口号
Include/Exclude栏要求填入I或者E，I表示包括，E表示排除
填写完毕，回车确认，Ctrl+x取消
--- Applying a Filter
我们在上一步定义过滤规则会存储为一个过滤列表，在没有应用之前并不起作用，在这里选择我们应用那些过滤规则。所有应用的规则会一直起作用，即使重新启动iptraf。我们可以执行Detaching a Filter來取消执行当前所有应用的规则。
--- Editing a Defined Filter 编辑一个已经存在的规则
--- Deleting a Defined Filter 删除一个已经定义的规则
--- Detaching a Filter 取消执行当前所有应用的规则
c、菜单IP Traffic Monitor
IP数据包流量实时监控窗口，在这里可以实时的看到每一个连接的流量状态，它有两个窗口，上面的是TCP的连接状态，下面的窗口可以看到UDP、ICMP、OSPF、IGRP、IGP、IGMP、GRE、ARP、RARP的数据包。点击s键选择排序，按照包的数量排序，也可按照字节的大小排序，当你开始监控IP Traffic时，程序会提示你输入Log文件的文件名，默认的是ip_traffic-1.log。
在一个比较繁忙的网络里，显示的结果可能很乱，可以使用Filters菜单过滤显示来找到有用的数据。
d、菜单General Interface Statistics
显示每个网络设备出去和进入的数据流量统计信息，包括总计、IP包、非IP包、Bad IP包、还有每秒的流速，单位是kbit/sec或者是kbyte/sec ，这由Configure菜单的Activity选项决定。
e、菜单Detailed Interface Statistics
这里包括了每个网络设备的详细的统计信息，很简单，不再赘述。
f、Statistical Breakdowns
这里提供更详细的统计信息，可以按包的大小分类，分别统计，也可以按Tcp/Udp的服务来分类统计，也不再赘述。
g、LAN Station Statistics
提供对每个网络地址通过本机的数据的统计信息。
安全审计的设计思想是利用这种技术可以实现对企业业务网络进行控制和审计。这种基于网络的控制与审计是继防火墙、入侵检测之后的一种全新的网络安全手段，目前在国际上都将其发展放在重要的位置。希望我给出的网络审计监控的技术方案能给大家在应用中有一些帮助。
[关键词] 网络安全 网络审计 监控 IpTraf
据统计，70%的企业信息安全隐患来自内部。为了应对这部分风险，不少企业都在考虑采用网络审计技术来封堵。网络安全审计系统应用于企业，能够规范员工上网行为、提高工作效率、防止企业机密资料外泄，为企业的网络提供保障，使企业的网络资源发挥应有的经济效益。企业采用网络审计系统主要还是希望对内网行为实现安全监控。
审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样的使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统的识别问题，并且它是后面阶段事故处理的重要依据。另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。
现以软件IpTraf为例，实现网络的监控与审计的方案如下：
(1) 安装
将iptraf-2.7.0.tar.gz上传到防火墙的 /home/yan/ 目录下
# cd /home/yan
# tar zxf iptraf-2.7.0.tar.gz
# cd iptraf-2.7.0
# ./Setup
至此，安装完毕
安装程序会将执行程序安装到 /usr/local/bin 目录下，并创 /var/local/iptraf 目录放置iptraf的配置文件，同时创建 /var/log/iptraf 目录放置iptraf产生的日志文件
(2) 运行iptraf
确认环境变量的PATH变量包含路径 /usr/local/bin
# iptraf
运行iptraf后会产生一个字符界面的菜单，点击 x 可以退出 iptraf，各菜单说明如下：
a、菜单Configure...
在这里可以对 iptraf 进行配置，所有的修改都将保存在文件：/var/local/iptraf/iptraf.cfg 中
--- Reverse DNS Lookups 选项，对IP地址反查 DNS名，默认是关闭的
--- TCP/UDP Service Names 选项，使用服务器代替端口号，例如用www 代替80，默认是关闭的
--- Force promiscuous 混杂模式，此时网卡将接受所有到达的数据，不管是不是发给自己的。
--- Color 终端显示彩色，当然用telnet ,ssh连接除外，也就是用不支持颜色的终端连接肯定还是没有颜色。
--- Logging 同时产生日志文件，在/var/log/iptraf 目录下
--- Activity mode 可以选择统计单位是kbit/sec 还是 kbyte/sec
--- Source MAC addrs in traffic monitor 选择后，会显示数据包的源MAC地址
b、菜单Filters...
在这里设置过滤规则，这是最有用的选项了，从远端连入监控机时，自己的机器与监控机会产生源源不断的tcp数据包，此时就可以将自己的IP地址排除在外。
它包括六个选项，分别是：Tcp、Udp、Other IP、ARP、RARP、Non-ip。我们只说明TCP，其他选项的配置都很相似。
--- Defining a New Filter
选择Defining a New Filter后，会出来一对话框，要求填入对所建的当前规则的描述名，然后回车确定，Ctrl＋x取消
在接着出现的对话框里，Host name/IP address的First里面填源地址，Second里填目标地址，Wildcard mask 的两个框里面分别是源地址和目标地址所对应的掩码。
Port栏要求填入要过滤的端口号，0表示任意端口号
Include/Exclude栏要求填入I或者E，I表示包括，E表示排除
填写完毕，回车确认，Ctrl+x取消
--- Applying a Filter
我们在上一步定义过滤规则会存储为一个过滤列表，在没有应用之前并不起作用，在这里选择我们应用那些过滤规则。所有应用的规则会一直起作用，即使重新启动iptraf。我们可以执行Detaching a Filter來取消执行当前所有应用的规则。
--- Editing a Defined Filter 编辑一个已经存在的规则
--- Deleting a Defined Filter 删除一个已经定义的规则
--- Detaching a Filter 取消执行当前所有应用的规则
c、菜单IP Traffic Monitor
IP数据包流量实时监控窗口，在这里可以实时的看到每一个连接的流量状态，它有两个窗口，上面的是TCP的连接状态，下面的窗口可以看到UDP、ICMP、OSPF、IGRP、IGP、IGMP、GRE、ARP、RARP的数据包。点击s键选择排序，按照包的数量排序，也可按照字节的大小排序，当你开始监控IP Traffic时，程序会提示你输入Log文件的文件名，默认的是ip_traffic-1.log。
在一个比较繁忙的网络里，显示的结果可能很乱，可以使用Filters菜单过滤显示来找到有用的数据。
d、菜单General Interface Statistics
显示每个网络设备出去和进入的数据流量统计信息，包括总计、IP包、非IP包、Bad IP包、还有每秒的流速，单位是kbit/sec或者是kbyte/sec ，这由Configure菜单的Activity选项决定。
e、菜单Detailed Interface Statistics
这里包括了每个网络设备的详细的统计信息，很简单，不再赘述。
f、Statistical Breakdowns
这里提供更详细的统计信息，可以按包的大小分类，分别统计，也可以按Tcp/Udp的服务来分类统计，也不再赘述。
g、LAN Station Statistics
提供对每个网络地址通过本机的数据的统计信息。
安全审计的设计思想是利用这种技术可以实现对企业业务网络进行控制和审计。这种基于网络的控制与审计是继防火墙、入侵检测之后的一种全新的网络安全手段，目前在国际上都将其发展放在重要的位置。希望我给出的网络审计监控的技术方案能给大家在应用中有一些帮助。