專利名稱：建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種建立網(wǎng)絡(luò)仿真平臺的方法，具體是一種建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法。用于網(wǎng)絡(luò)安全技術(shù)領(lǐng)域。
背景技術(shù)：
當(dāng)前，隨著互聯(lián)網(wǎng)的日益普及，計算機(jī)病毒與黑客攻擊行為愈演愈烈，復(fù)雜網(wǎng)絡(luò)的運(yùn)營及維護(hù)成本越來越高，如何更好地保證這些網(wǎng)絡(luò)的安全穩(wěn)定運(yùn)行成為一個亟待解決的重要課題。為了保障網(wǎng)絡(luò)的穩(wěn)定性及安全性，網(wǎng)絡(luò)管理人員除了需要加強(qiáng)平時的維護(hù)和管理外，還需及時了解網(wǎng)絡(luò)上各部分的安全狀況(如漏洞及補(bǔ)丁)，安全策略的制定和升級方案，新設(shè)備的功能，網(wǎng)絡(luò)設(shè)備及安全設(shè)備的配置情況，設(shè)備的數(shù)據(jù)庫(信息庫)的更新進(jìn)展以及從完整系統(tǒng)的角度上看(從安全保障體系角度上看)網(wǎng)絡(luò)系統(tǒng)的最優(yōu)組建和配置方案等情況。而這些單純靠幾個人員的工作是無法勝任的。這一方面是因為他們面對的是一個運(yùn)行中的網(wǎng)絡(luò)系統(tǒng)，必須時時保證該系統(tǒng)的正常運(yùn)行，因而管理人員不便于隨時掃描系統(tǒng)、檢查安全問題、修復(fù)不安全隱患及進(jìn)行各種安全性驗證實驗；另一方面，還因為安全技術(shù)是相對的，黑客攻擊手段總是在不斷升級和變化，依賴現(xiàn)成安全產(chǎn)品的防護(hù)是有限的，有些黑客的攻擊行為還與具體網(wǎng)絡(luò)架構(gòu)及應(yīng)用類型有關(guān)。所以，要有效地防護(hù)黑客對網(wǎng)絡(luò)的攻擊，不但需要熟悉各種安全網(wǎng)絡(luò)產(chǎn)品的安全功能及性能，而且要構(gòu)建一個與網(wǎng)絡(luò)運(yùn)行環(huán)境相當(dāng)?shù)哪M仿真平臺。在模擬仿真平臺上既可以研究該網(wǎng)絡(luò)系統(tǒng)的性能優(yōu)化方法、最優(yōu)安全配置方法，又可以有針對性的研究相關(guān)的攻防技術(shù)。
經(jīng)對現(xiàn)有技術(shù)的文獻(xiàn)檢索發(fā)現(xiàn)，《分布式交互仿真中的網(wǎng)絡(luò)安全平臺的設(shè)計與實現(xiàn)》(《計算機(jī)應(yīng)用》，2002年02期，作者張錳)研究了面向軍事應(yīng)用為主的分布式交互仿真系統(tǒng)，針對HLA(高層體系結(jié)構(gòu))仿真系統(tǒng)存在的兩種泄露敏感數(shù)據(jù)的途徑，提出了基于硬件的網(wǎng)絡(luò)安全平臺的方案。據(jù)此開發(fā)了基于PCI總線和ISA總線的安全網(wǎng)絡(luò)適配器，以獨(dú)立的處理器完成數(shù)據(jù)的加密/解密、封裝和過濾以及傳輸。但是，該文獻(xiàn)只講述單個的、具體的、針對特定環(huán)境的網(wǎng)絡(luò)硬件的設(shè)計方法，而沒有涉及在的、整體的、綜合性的復(fù)雜網(wǎng)絡(luò)的研究，例如評估網(wǎng)絡(luò)的性能，模擬各項系統(tǒng)服務(wù)及進(jìn)行各項安全測試的，相對于只在系統(tǒng)底層硬件上進(jìn)行了開發(fā)。在進(jìn)一步的檢索中，尚未發(fā)現(xiàn)與本發(fā)明主題相同或者類似的文獻(xiàn)報道。

發(fā)明內(nèi)容
本發(fā)明的目的在于克服現(xiàn)有技術(shù)中的不足，提供了一種建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法，使其可以發(fā)現(xiàn)和解決復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境可能的隱患，從而提高運(yùn)行環(huán)境的安全性和性能，確保它的正常運(yùn)行。
本發(fā)明是通過以下技術(shù)方案實現(xiàn)的，本發(fā)明以實際運(yùn)行的、動態(tài)的、復(fù)雜網(wǎng)絡(luò)為原型，從中提取出一個與原網(wǎng)絡(luò)各項性能要求近似的物理和邏輯模型，進(jìn)而構(gòu)建模擬網(wǎng)絡(luò)的邏輯模型和物理模型，根據(jù)模擬網(wǎng)絡(luò)的模型，選擇硬件設(shè)備建立模擬網(wǎng)絡(luò)，通過分析考察該網(wǎng)絡(luò)的運(yùn)行情況和各項性能，達(dá)到既能間接檢測原復(fù)雜網(wǎng)絡(luò)，又不影響其正常服務(wù)的雙重目的。具體步驟如下(1)分析復(fù)雜網(wǎng)絡(luò)的拓?fù)?、軟硬件設(shè)施構(gòu)成、組織結(jié)構(gòu)、安全環(huán)境網(wǎng)絡(luò)私有信息，找出準(zhǔn)確的實際網(wǎng)絡(luò)物理模型；(2)以上述物理模型為基礎(chǔ)，分析網(wǎng)絡(luò)信息業(yè)務(wù)，服務(wù)構(gòu)成，建立實際網(wǎng)絡(luò)邏輯模型；(3)根據(jù)網(wǎng)絡(luò)邏輯模型，結(jié)合網(wǎng)絡(luò)性能評估和行為模式分析的方法，建立仿真網(wǎng)絡(luò)的邏輯模型；(4)利用硬件設(shè)備來繪制仿真網(wǎng)絡(luò)的物理模型，建立原網(wǎng)絡(luò)的鏡像模擬網(wǎng)絡(luò)；(5)考察該模擬網(wǎng)絡(luò)，間接檢測實際運(yùn)行網(wǎng)絡(luò)的各項性能。
以下對本發(fā)明作進(jìn)一步說明，具體實現(xiàn)可以分為兩大階段，即抽象網(wǎng)絡(luò)模型階段和建立實物模型階段。
1、抽象網(wǎng)絡(luò)模型階段首先調(diào)查復(fù)雜網(wǎng)絡(luò)的各種業(yè)務(wù)和功能，畫出業(yè)務(wù)功能示意圖。根據(jù)目前對復(fù)雜網(wǎng)絡(luò)的分析，將其分為內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和內(nèi)外交互平臺三個部分，其中，內(nèi)部網(wǎng)絡(luò)用于對網(wǎng)絡(luò)的管理和維護(hù)；外部網(wǎng)絡(luò)用于對外提供各項信息服務(wù)，包括WEB信息發(fā)布、電子郵件服務(wù)、文件服務(wù)、視頻和音頻流媒體的點播服務(wù)、電子公告板和網(wǎng)上聊天以及各類增值服務(wù)；內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)通過內(nèi)外交互平臺進(jìn)行信息交換；綜合上述三個部分的業(yè)務(wù)功能，得出準(zhǔn)確的實際網(wǎng)絡(luò)物理模型。
其次結(jié)合網(wǎng)絡(luò)安全的要求，評估各項安全指標(biāo)，給出安全模型，包括以下各方面的安全需求物理環(huán)境、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、邊界防護(hù)、主要服務(wù)器安全狀況、防病毒措施、應(yīng)急響應(yīng)措施，建立實際網(wǎng)絡(luò)邏輯模型；最后，根據(jù)上述兩個步驟，結(jié)合網(wǎng)絡(luò)性能評估和行為模式分析的方法，針對普通用戶和黑客的不同特點，繪制復(fù)雜網(wǎng)絡(luò)的仿真網(wǎng)絡(luò)邏輯模型，從而完成抽象網(wǎng)絡(luò)模型階段的工作。
其中所述的“外部網(wǎng)絡(luò)”是指實際網(wǎng)絡(luò)的外網(wǎng)環(huán)境；所述的“普通用戶”和“黑客”分別指處于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的正常用戶和惡意黑客；所述的“內(nèi)外交互平臺”是指外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)交換設(shè)備，包括一系列交換機(jī)和路由器；所述的“內(nèi)部網(wǎng)絡(luò)”是指實際網(wǎng)絡(luò)的內(nèi)網(wǎng)環(huán)境。
2、建立實物模型階段模擬仿真平臺的硬件配置遵循以下原則對服務(wù)器而言，確保能安裝運(yùn)行平臺中對應(yīng)的操作系統(tǒng)；對于網(wǎng)絡(luò)或安全設(shè)備，選擇支持的功能或協(xié)議與運(yùn)行平臺中設(shè)備相同的，對于原系統(tǒng)中的一些負(fù)載均衡或熱備份的設(shè)備，使用單套設(shè)備代替。
將實際網(wǎng)絡(luò)運(yùn)行過程中可能遭受的攻擊在模擬仿真平臺上實施，觀察平臺的承受能力，從而間接檢測實際網(wǎng)絡(luò)的安全性，進(jìn)而改進(jìn)實際網(wǎng)絡(luò)。
由本發(fā)明建立起的網(wǎng)絡(luò)模擬仿真平臺，將包含商用網(wǎng)絡(luò)環(huán)境中的典型硬件設(shè)施，如各種操作系統(tǒng)的主機(jī)、防火墻、路由器、掃描器、IDS、服務(wù)器、交換機(jī)等，也包括HTTP、FTP、DNS、Email、應(yīng)用服務(wù)軟件和安全軟件，還包括各種攻擊軟件和病毒。根據(jù)網(wǎng)絡(luò)環(huán)境的構(gòu)成，可以對仿真網(wǎng)絡(luò)的軟硬件進(jìn)行調(diào)整、補(bǔ)充、和重新配置；同時配置內(nèi)部環(huán)境和外部環(huán)境，可以通過業(yè)務(wù)模擬和應(yīng)用運(yùn)行模擬來模擬網(wǎng)絡(luò)的運(yùn)作。從而保證其最大程度的反映原網(wǎng)絡(luò)的特點，包括服務(wù)性能和安全要求。這樣，通過評估該模擬仿真網(wǎng)絡(luò)來間接地、精確地、實時地檢測實際網(wǎng)絡(luò)的運(yùn)行情況，給出改善網(wǎng)絡(luò)的方法和意見，最終達(dá)到既不影響原網(wǎng)絡(luò)的正常運(yùn)行，又能得到其準(zhǔn)確信息的目的。


圖1本發(fā)明方法原理2本發(fā)明抽象網(wǎng)絡(luò)模型3本發(fā)明方法流程4本發(fā)明實施例典型物理拓?fù)浣Y(jié)構(gòu)具體實施方式
如圖1、圖3所示，復(fù)雜網(wǎng)絡(luò)系統(tǒng)由于業(yè)務(wù)的特殊要求，無法停止服務(wù)來進(jìn)行靜態(tài)的系統(tǒng)檢測，即便可以做到，得到的各項數(shù)據(jù)可信度也不會太高，因為網(wǎng)絡(luò)本身具有動態(tài)特性，加之網(wǎng)絡(luò)拓?fù)涑３Ｒ蛐瓒?，運(yùn)行環(huán)境復(fù)雜多樣，靜態(tài)地對這類網(wǎng)絡(luò)系統(tǒng)的服務(wù)能力進(jìn)行檢驗和安全測試評估是不合適的和意義不大的。但是這兩項工作對保證網(wǎng)絡(luò)的穩(wěn)定正常運(yùn)行意義重大，因此必須找到一種方法，既能完成上述工作，同時不影響原有系統(tǒng)的運(yùn)行。本發(fā)明提出的搭建模擬平臺的方法可以很好的達(dá)到這個目的。
下面以當(dāng)前一個具有普遍意義的復(fù)雜網(wǎng)絡(luò)為例來詳細(xì)介紹本發(fā)明提出的模擬仿真平臺建設(shè)方法的實際應(yīng)用過程。
1.該網(wǎng)絡(luò)系統(tǒng)主要分為外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)兩個部分(1)外部網(wǎng)絡(luò)主要是向互聯(lián)網(wǎng)絡(luò)提供信息發(fā)布和各類信息服務(wù)，是網(wǎng)絡(luò)的對外服務(wù)系統(tǒng)。提供的服務(wù)主要包括Web信息發(fā)布，發(fā)布新聞信息和各專門頻道的信息，對歷史數(shù)據(jù)還提供了查詢檢索功能。
電子郵件服務(wù)，對外提供免費(fèi)的電子郵件服務(wù)。
文件服務(wù)，提供各類文件資料供下載。
流媒體信息服務(wù)，提供視頻和音頻等流信息的點播服務(wù)。
電子公告板和網(wǎng)上聊天室，提供交互式的信息服務(wù)。
其他各類增值服務(wù)，包括網(wǎng)上游戲等。
外部網(wǎng)絡(luò)的主要服務(wù)器包括Web服務(wù)器、FTP服務(wù)器、電子郵件服務(wù)器、DNS服務(wù)器和數(shù)據(jù)庫服務(wù)器等，服務(wù)器間通過外部網(wǎng)的內(nèi)部交換平臺相互連接。其中Web服務(wù)器通過第四層交換機(jī)配置了虛擬IP地址，并在并行的幾臺Web服務(wù)器間實現(xiàn)負(fù)載均衡，對Web服務(wù)器提供了基本的安全保護(hù)。同時對Web服務(wù)器進(jìn)行了信息完整性的監(jiān)視和自動恢復(fù)功能。
外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)之間通過兩條專線連接，同時使用ISDN線路作為備份鏈路。由外部網(wǎng)絡(luò)的中心服務(wù)器實現(xiàn)內(nèi)部網(wǎng)和外部網(wǎng)之間的信息互通，中心服務(wù)器同時通過防火墻提供了內(nèi)部網(wǎng)用戶到互聯(lián)網(wǎng)的出口。
(2)內(nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)是該網(wǎng)的內(nèi)部工作網(wǎng)絡(luò)系統(tǒng)，主要負(fù)責(zé)提供外部網(wǎng)絡(luò)服務(wù)的內(nèi)容，及內(nèi)部人員工作平臺。
內(nèi)部網(wǎng)絡(luò)統(tǒng)一采用了內(nèi)部的非正式IP地址空間，并根據(jù)IP地址進(jìn)行邏輯網(wǎng)絡(luò)段的分割。內(nèi)部網(wǎng)絡(luò)中的設(shè)備主機(jī)房提供了數(shù)據(jù)采編和其他各類數(shù)據(jù)和應(yīng)用服務(wù)器，信息經(jīng)過采編和審查環(huán)節(jié)之后，首先在內(nèi)部網(wǎng)絡(luò)的服務(wù)器內(nèi)合成Web頁面，并通過簽發(fā)服務(wù)器上傳到外部網(wǎng)絡(luò)的服務(wù)器。整個內(nèi)部網(wǎng)絡(luò)通過專線接入到外部網(wǎng)絡(luò)，并通過外部網(wǎng)絡(luò)的公用出口訪問互聯(lián)網(wǎng)。
2.收集該網(wǎng)絡(luò)的各種信息和需求情況，包括(1)收集整理該網(wǎng)絡(luò)使用的軟件信息，可以將其細(xì)分為六類，即操作系統(tǒng)類、數(shù)據(jù)庫類、應(yīng)用服務(wù)類、網(wǎng)絡(luò)管理/安全類、辦公系統(tǒng)類和各種軟件的補(bǔ)丁等級。由于軟件在系統(tǒng)中的地位非常重要，軟件的微小版本差別可能就會導(dǎo)致不同的漏洞和攻擊手段，因此對于軟件的配置情況，必須調(diào)查細(xì)致、信息準(zhǔn)確，以便使后面建設(shè)的模擬系統(tǒng)盡可能與原系統(tǒng)一致。同時應(yīng)該保證一旦實際運(yùn)行系統(tǒng)軟件有所變化，應(yīng)即時升級模擬系統(tǒng)。
(2)收集整理該網(wǎng)絡(luò)的硬件配置情況及相關(guān)材料，包括服務(wù)器類型、業(yè)務(wù)量、路由器、交換機(jī)、安全設(shè)備及其配置，各類服務(wù)器的技術(shù)文檔資料等。
(3)收集整理該網(wǎng)絡(luò)的業(yè)務(wù)流程情況，包括外網(wǎng)服務(wù)流程和內(nèi)網(wǎng)工作流程、各流程的具體內(nèi)容、涉及的具體軟硬件使用，要分清各業(yè)務(wù)的分工和責(zé)任，以利于模擬網(wǎng)絡(luò)邏輯模型的構(gòu)建。
(4)收集整理該網(wǎng)絡(luò)的安全需求，分為外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)。
對外部網(wǎng)絡(luò)部分，可以分為以下三方面邊界網(wǎng)絡(luò)的安全需求，著重考慮內(nèi)外網(wǎng)的防火墻安全；服務(wù)安全需求，分為三類a)信息服務(wù)安全，包括防范黑客入侵各種應(yīng)用服務(wù)器、篡改刪除信息；外部網(wǎng)上的網(wǎng)絡(luò)設(shè)備可能遭受的拒絕服務(wù)攻擊(Denial of Service，DoS)和分布式拒絕服務(wù)攻擊(DDoS)；服務(wù)器大量并發(fā)流量的襲擊；b)郵件服務(wù)的安全，防范垃圾郵件和非法郵件占用系統(tǒng)資源、以本網(wǎng)絡(luò)為跳板擾亂破壞其他系統(tǒng)和用戶，保護(hù)合法用戶的正常郵件處理；c)交互式信息服務(wù)的安全，包括BBS和聊天室等信息的合法性；安全備份，保證外部服務(wù)器上儲存的用戶數(shù)據(jù)庫和郵件的安全；對內(nèi)部網(wǎng)絡(luò)部分，考慮以下方面的安全內(nèi)部網(wǎng)絡(luò)用戶之間工作交流的安全，防止病毒和內(nèi)部惡意用戶的破壞，確保數(shù)據(jù)在傳輸過程中的安全性，特別是數(shù)據(jù)的完整性；內(nèi)部網(wǎng)絡(luò)向外部網(wǎng)絡(luò)信息發(fā)布的安全，防止信息被篡改和刪除、服務(wù)更新的出錯或不完整、非授權(quán)用戶無法發(fā)布信息；重要主機(jī)的安全，包括簽發(fā)服務(wù)器、主要領(lǐng)導(dǎo)使用的主機(jī)、數(shù)據(jù)庫服務(wù)器及內(nèi)部網(wǎng)絡(luò)用戶的授權(quán)服務(wù)器等。
圖3中的網(wǎng)絡(luò)私有信息給出了以上調(diào)研后應(yīng)該取得的內(nèi)容。
3.在上述兩種資料齊全的基礎(chǔ)上，依次抽象出模擬網(wǎng)絡(luò)的物理模型和邏輯模型，最后得到模擬仿真平臺的拓?fù)?。下面具體闡述物理模型，可根據(jù)原網(wǎng)絡(luò)實際的物理拓?fù)鋪砝L制，必須將各個子網(wǎng)絡(luò)的連接情況、子網(wǎng)內(nèi)部各服務(wù)器組織方式、終端用戶的分布、終端的類型、網(wǎng)絡(luò)安全和連接設(shè)備的部署描繪清楚。
邏輯模型，以上述物理模型為基礎(chǔ)，結(jié)合各項安全需求，畫出邏輯模型；圖2給出了邏輯模型，其中所述的“外部網(wǎng)絡(luò)”是指實際網(wǎng)絡(luò)的外網(wǎng)環(huán)境；所述的“普通用戶”和“黑客”分別指處于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的正常用戶和惡意黑客；所述的“內(nèi)外交互平臺”是指外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)交換設(shè)備，包括一系列交換機(jī)和路由器；所述的“內(nèi)部網(wǎng)絡(luò)”是指實際網(wǎng)絡(luò)的內(nèi)網(wǎng)環(huán)境。
根據(jù)的結(jié)果，考慮突出重點業(yè)務(wù)的要求，提出該復(fù)雜網(wǎng)絡(luò)模擬仿真平臺的典型拓?fù)浣Y(jié)構(gòu)如圖4，其中外部交換平臺(SWITCH2)和內(nèi)部交換平臺(SWITCH4)分離，BBS、MAIL和DNS服務(wù)器(均為雙網(wǎng)卡)跨接于內(nèi)外交互平臺之間；WEB1-3也為雙網(wǎng)卡，外網(wǎng)卡連接至外部交換平臺，內(nèi)網(wǎng)卡連接內(nèi)部交換平臺。
SWITCH2連接至防火墻的DMZ。SWITCH1上劃分兩個VLANVLAN1和VLAN2，VLAN1上連接部分攻擊源PC和模擬用戶，作為對外部網(wǎng)絡(luò)的模擬。SMARTBITS既可模擬正常訪問的背景流量，也可發(fā)送大量攻擊包。VLAN2連接至防火墻的外部網(wǎng)絡(luò)接口。SWITCH2上的IDS用來檢測外部網(wǎng)絡(luò)的攻擊。
內(nèi)部交換平臺的SWITCH4上也劃分兩個VLANVLAN3和VLAN4。VLAN3上除了連接前述服務(wù)器的內(nèi)網(wǎng)卡外，還接BBS DB和WEB DB分別為BBS和WEB服務(wù)提供數(shù)據(jù)庫，及掃描器。VLAN4模擬一個受防火墻保護(hù)的內(nèi)部網(wǎng)絡(luò)，連接至防火墻的內(nèi)部網(wǎng)絡(luò)接口，放置幾臺目標(biāo)主機(jī)。
在VLAN3、VLAN4和SWITCH2各放置一臺攻擊源，模擬發(fā)生在內(nèi)部網(wǎng)絡(luò)的攻擊行為。
4.合理選用硬件搭建模擬平臺網(wǎng)絡(luò)為了滿足其業(yè)務(wù)量大的要求，其硬件配置均比較高，模擬平臺的硬件不必使用原系統(tǒng)一樣昂貴的設(shè)備。對服務(wù)器或客戶機(jī)而言，只要可以安裝原系統(tǒng)中對應(yīng)機(jī)器的操作系統(tǒng)即可。對于網(wǎng)絡(luò)設(shè)備，最好是對應(yīng)于原系統(tǒng)設(shè)備的同一系列中配置稍低，端口數(shù)較少或速率較低，但支持的功能基本相同的。這樣可以在盡可能小的成本下達(dá)到最大相似程度的模擬。同時對于原系統(tǒng)中的一些負(fù)載均衡或熱備份的設(shè)備，可以考慮使用單套設(shè)備代替。
應(yīng)用實例模擬仿真平臺典型的應(yīng)用是針對運(yùn)行平臺的問題進(jìn)行研究，提出可能的解決方案在模擬仿真平臺上進(jìn)行驗證，根據(jù)結(jié)果對運(yùn)行平臺進(jìn)行改進(jìn)，從而使其安全性或性能得到提高。
通過發(fā)現(xiàn)，DDoS攻擊是目前網(wǎng)絡(luò)所面臨的最大的威脅，還沒有辦法徹底解決。反向代理技術(shù)可以在一定程序上減小這種威脅，它使用一個代理服務(wù)器代理外部網(wǎng)絡(luò)上的主機(jī)訪問內(nèi)部的WEB服務(wù)器。內(nèi)部的WEB服務(wù)器由多臺組成一個群，反向代理服務(wù)器將請求按一定算法分發(fā)到這些內(nèi)部WEB服務(wù)器，從而可以實現(xiàn)負(fù)荷分擔(dān)。
在模擬仿真平臺上檢驗它的可行性。給一些外部網(wǎng)網(wǎng)絡(luò)的攻擊源和內(nèi)部網(wǎng)絡(luò)攻擊源安裝DDoS攻擊的受控端，其中一臺外部網(wǎng)絡(luò)攻擊源兼作主控端，由主控端下達(dá)命令，攻擊WEB服務(wù)器。這樣攻擊既來自內(nèi)部網(wǎng)絡(luò)也來自外部網(wǎng)絡(luò)。使用SmartBits重放在運(yùn)行環(huán)境中采集的流量作為背景流量。攻擊的強(qiáng)度逐步加強(qiáng)。不使用反向代理時，達(dá)到一定流量后外部網(wǎng)絡(luò)的模擬用戶將不能正常瀏覽網(wǎng)頁。記錄下結(jié)果。在使用反向代理時，重復(fù)實驗過程，發(fā)現(xiàn)可以承受較大流量的攻擊。增加反向代理群內(nèi)的服務(wù)器數(shù)量，再重復(fù)實驗過程，可以發(fā)現(xiàn)它的抗攻擊能力進(jìn)一步提高。
在實驗中還可以采取一些其他措施。例如通過分析IDS和防火墻的日志，確認(rèn)DDoS攻擊的發(fā)生；對WEB服務(wù)器進(jìn)行一些安全配置；觀察交換機(jī)的端口流量找到內(nèi)網(wǎng)被安裝了受控端的機(jī)器，將它暫時隔離；分析攻擊流量的特點，在交換機(jī)上創(chuàng)建ACL；在防火墻上關(guān)閉一些與攻擊有關(guān)而對正常服務(wù)影響不大的端口，特別是DDoS主控端和受控端的通信端口。經(jīng)過一系列措施后，攻擊減弱。
根據(jù)實驗的結(jié)果和運(yùn)行平臺實際遭受攻擊的規(guī)模，提出一個合理的使用反向代理并采取相關(guān)措施的方案。此方案已在運(yùn)行環(huán)境中應(yīng)用并取得了較好的效果。
本發(fā)明的效果是顯著的，通過它可以開展攻防實驗查找運(yùn)行環(huán)境的漏洞；應(yīng)對新的攻擊提出對策；進(jìn)行改進(jìn)運(yùn)行環(huán)境網(wǎng)絡(luò)結(jié)構(gòu)和安全策略配置的實驗；從而提高運(yùn)行環(huán)境的安全性和性能，確保它的正常運(yùn)行。
權(quán)利要求
1.一種建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法，其特征在于，以實際運(yùn)行的、動態(tài)的、復(fù)雜網(wǎng)絡(luò)為原型，從中提取出一個與原網(wǎng)絡(luò)各項性能要求近似的物理和邏輯模型，進(jìn)而構(gòu)建模擬網(wǎng)絡(luò)的邏輯模型和物理模型，根據(jù)模擬網(wǎng)絡(luò)的模型，選擇硬件設(shè)備建立模擬網(wǎng)絡(luò)，通過分析考察該網(wǎng)絡(luò)的運(yùn)行情況和各項性能，達(dá)到既能間接檢測原復(fù)雜網(wǎng)絡(luò)，又不影響其正常服務(wù)的雙重目的，具體步驟如下(1)分析復(fù)雜網(wǎng)絡(luò)的拓?fù)洹④浻布O(shè)施構(gòu)成、組織結(jié)構(gòu)、安全環(huán)境網(wǎng)絡(luò)私有信息，找出準(zhǔn)確的實際網(wǎng)絡(luò)物理模型；(2)以上述物理模型為基礎(chǔ)，分析網(wǎng)絡(luò)信息業(yè)務(wù)，服務(wù)構(gòu)成，建立實際網(wǎng)絡(luò)邏輯模型；(3)根據(jù)網(wǎng)絡(luò)邏輯模型，結(jié)合網(wǎng)絡(luò)性能評估和行為模式分析的方法，建立仿真網(wǎng)絡(luò)的邏輯模型；(4)利用硬件設(shè)備來繪制仿真網(wǎng)絡(luò)的物理模型，建立原網(wǎng)絡(luò)的鏡像模擬網(wǎng)絡(luò)；(5)考察該模擬網(wǎng)絡(luò)，間接檢測實際運(yùn)行網(wǎng)絡(luò)的各項性能。
2.根據(jù)權(quán)利要求1所述的建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法，其特征是，具體實現(xiàn)分為兩大階段，即抽象網(wǎng)絡(luò)模型階段和建立實物模型階段(1)抽象網(wǎng)絡(luò)模型階段首先調(diào)查復(fù)雜網(wǎng)絡(luò)的各種業(yè)務(wù)和功能，畫出業(yè)務(wù)功能示意圖，根據(jù)目前對復(fù)雜網(wǎng)絡(luò)的分析，將其分為內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和內(nèi)外交互平臺三個部分，其中，內(nèi)部網(wǎng)絡(luò)用于對網(wǎng)絡(luò)的管理和維護(hù)，外部網(wǎng)絡(luò)用于對外提供各項信息服務(wù)，包括WEB信息發(fā)布、電子郵件服務(wù)、文件服務(wù)、視頻和音頻流媒體的點播服務(wù)、電子公告板和網(wǎng)上聊天以及各類增值服務(wù)，內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)通過內(nèi)外交互平臺進(jìn)行信息交換，綜合上述三個部分的業(yè)務(wù)功能，得出準(zhǔn)確的實際網(wǎng)絡(luò)物理模型；其次結(jié)合網(wǎng)絡(luò)安全的要求，評估各項安全指標(biāo)，給出安全模型，包括以下各方面的安全需求物理環(huán)境、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、邊界防護(hù)、主要服務(wù)器安全狀況、防病毒措施、應(yīng)急響應(yīng)措施，建立實際網(wǎng)絡(luò)邏輯模型；最后，根據(jù)上述兩個步驟，結(jié)合網(wǎng)絡(luò)性能評估和行為模式分析的方法，針對普通用戶和黑客的特點，繪制復(fù)雜網(wǎng)絡(luò)的仿真網(wǎng)絡(luò)邏輯模型，從而完成抽象網(wǎng)絡(luò)模型階段的工作；(2)建立實物模型階段模擬仿真平臺的硬件配置遵循以下原則對服務(wù)器而言，確保能安裝運(yùn)行平臺中對應(yīng)的操作系統(tǒng)，對于網(wǎng)絡(luò)或安全設(shè)備，選擇支持的功能或協(xié)議與運(yùn)行平臺中設(shè)備基本相同的，對于原系統(tǒng)中的一些負(fù)載均衡或熱備份的設(shè)備，使用單套設(shè)備代替。
3.根據(jù)權(quán)利要求2所述的建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法，其特征是，在抽象網(wǎng)絡(luò)模型階段，所述的“外部網(wǎng)絡(luò)”是指實際網(wǎng)絡(luò)的外網(wǎng)環(huán)境，所述的“普通用戶”和“黑客”分別指處于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的正常用戶和惡意黑客，所述的“內(nèi)外交互平臺”是指外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)交換設(shè)備，包括一系列交換機(jī)和路由器，所述的“內(nèi)部網(wǎng)絡(luò)”是指實際網(wǎng)絡(luò)的內(nèi)網(wǎng)環(huán)境。
4.根據(jù)權(quán)利要求2所述的建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法，其特征是，在建立實物模型階段，將實際網(wǎng)絡(luò)運(yùn)行過程中可能遭受的攻擊在模擬仿真平臺上實施，觀察平臺的承受能力，從而間接檢測實際網(wǎng)絡(luò)的安全性，進(jìn)而改進(jìn)實際網(wǎng)絡(luò)。
全文摘要
一種用于網(wǎng)絡(luò)安全的建立復(fù)雜網(wǎng)絡(luò)運(yùn)行環(huán)境模擬仿真平臺的方法，以實際運(yùn)行的、動態(tài)的、復(fù)雜網(wǎng)絡(luò)為原型，從中提取出一個與原網(wǎng)絡(luò)各項性能要求近似的物理和邏輯模型，進(jìn)而構(gòu)建模擬網(wǎng)絡(luò)的邏輯模型和物理模型，根據(jù)模擬網(wǎng)絡(luò)的模型，選擇硬件設(shè)備建立模擬網(wǎng)絡(luò)，通過分析考察該網(wǎng)絡(luò)的運(yùn)行情況和各項性能，達(dá)到既能間接檢測原復(fù)雜網(wǎng)絡(luò)，又不影響其正常服務(wù)的雙重目的。本發(fā)明既可用于進(jìn)行攻防實驗、檢測現(xiàn)有系統(tǒng)安全漏洞的檢測平臺，還可作為評估網(wǎng)絡(luò)設(shè)備與安全設(shè)備，為升級系統(tǒng)作準(zhǔn)備的測試平臺。
文檔編號H04L12/24GK1614941SQ200410084738
公開日2005年5月11日 申請日期2004年12月2日 優(yōu)先權(quán)日2004年12月2日
發(fā)明者楊樹堂, 李建華, 陸松年, 馬進(jìn), 王宇平, 魯劍 申請人:上海交通大學(xué)