園區(qū)網(wǎng)審計前端解決方案
園區(qū)網(wǎng)審計系統(tǒng)是防止在網(wǎng)上發(fā)布非法信息、泄密的事后取證系統(tǒng)。通常在園區(qū)網(wǎng)出入口處建立內(nèi)容審計系統(tǒng)，對通過的流量進行應(yīng)用恢復(fù)與還原，對非法流量進行自動備份，并由此確定發(fā)送者。系統(tǒng)自動運行，不需要人工干預(yù)。內(nèi)容審計系統(tǒng)具有證據(jù)保留的作用，可作為司法追究的依據(jù)。
園區(qū)網(wǎng)審計系統(tǒng)主要有以下作用：
（1）檢查網(wǎng)絡(luò)用戶在網(wǎng)絡(luò)上發(fā)表的言論、發(fā)送的信息，保障其行為符合國家法律的要求，不損害國家和他人利益，保證互聯(lián)網(wǎng)安全、和諧有序運行。
（2）在已知可疑人員部分網(wǎng)絡(luò)信息，如郵件地址、QQ帳號的情況下，能夠快速鎖定目標(biāo)當(dāng)前的網(wǎng)絡(luò)地址，并根據(jù)認證系統(tǒng)中的相應(yīng)信息進行人員定位。
（3）在園區(qū)網(wǎng)絡(luò)環(huán)境中，確保用戶發(fā)送的信息滿足單位信息安全要求，對特定信息外傳進行報警和存檔。
（4）檢查經(jīng)常使用特殊網(wǎng)絡(luò)工具對外聯(lián)系或者發(fā)送數(shù)據(jù)的人員。
一般性的園區(qū)網(wǎng)審計系統(tǒng)處理流程如圖1所示。
圖1 園區(qū)網(wǎng)審計系統(tǒng)
各模塊的作用如下：
- 高速流量捕獲：獲取網(wǎng)絡(luò)關(guān)鍵點上的雙向流量，通?？梢圆捎脙煞N方式捕獲到流量：通過分光器從鏈路上分光獲取，或者在交換機上設(shè)置鏡像端口。高速流量捕獲主要解決高速鏈路流量的無丟失的完全捕獲問題。
- 協(xié)議還原：完成報文捕獲后，協(xié)議恢復(fù)結(jié)點組裝報文，最終完成一個個的應(yīng)用文檔或者記錄。協(xié)議恢復(fù)結(jié)點首先要解決報文亂序、重傳與分片問題。在IP網(wǎng)絡(luò)中，先發(fā)出的報文可能后到達，后發(fā)出的報文可能先到達，網(wǎng)絡(luò)技術(shù)中稱之為“報文亂序”，在路由器和交換機中，有大量的研究試圖解決報文亂序問題，目前骨干鏈路上的報文亂序很少，但是仍然存在。TCP/UDP分片是協(xié)議恢復(fù)需要解決的另一個問題，協(xié)議恢復(fù)結(jié)點應(yīng)能對分片報文進行正確組裝。協(xié)議恢復(fù)結(jié)點在完成報文組裝后，送到不同的處理線程（或進程）進行應(yīng)用恢復(fù)。應(yīng)用通信過程中，有些信息是應(yīng)用的內(nèi)容，而有些信息是應(yīng)用之間的控制消息，應(yīng)用恢復(fù)軟件能夠剔除控制消息，留下真實的應(yīng)用內(nèi)容。協(xié)議恢復(fù)結(jié)點通常根據(jù)TCP/UDP端口號確定應(yīng)用的類型，如TCP 80為Web流量、TCP 25和110為郵件流量、TCP 23為telnet流量等。
- 數(shù)據(jù)索引：海量的文本存儲到海量數(shù)據(jù)庫前，由于數(shù)據(jù)庫容量過大，而數(shù)據(jù)庫本身并不提供對文本字段的索引能力，使用關(guān)鍵詞進行檢索需要很長的時間。此外，某些試圖逃避檢測的惡意信息發(fā)送者通常在發(fā)送信息中加入不可讀的干擾字符（如空格、“※”“￥”“＃”等），試圖躲避自動分析程序的規(guī)則匹配。數(shù)據(jù)索引模塊首先具有剔除干擾字符的能力，其次可以對同音字和形近字進行處理。然后進行分詞，得到本文中出現(xiàn)的關(guān)鍵字。最后以類似于Google或Baidu的技術(shù)組織海量文本，使得自動規(guī)則匹配或人工查詢可以高效、準確地完成。
- 海量數(shù)據(jù)庫：數(shù)據(jù)庫服務(wù)器在海量內(nèi)容恢復(fù)系統(tǒng)的中的作用較為簡單，主要記錄從協(xié)議恢復(fù)結(jié)點送過來的應(yīng)用層數(shù)據(jù)，通常，一封Email包含發(fā)送人地址、收件人地址、主題、發(fā)送時間、截獲時間以及郵件體，而一個聊天記錄則包含發(fā)送人標(biāo)識符、接收人標(biāo)識符、聊天內(nèi)容和聊天時間。
- 規(guī)則數(shù)據(jù)庫：存儲用戶配置的規(guī)則、用戶的賬號權(quán)限等數(shù)據(jù)信息。
- 業(yè)務(wù)邏輯：完成用戶進行的規(guī)則設(shè)置、查詢等工作。
戎騰網(wǎng)絡(luò)是園區(qū)網(wǎng)審計系統(tǒng)的硬件提供商，所研制的多種設(shè)備和部件可以應(yīng)用于不同的場合：
（1）TransCon2402（簡稱TC2402）匯聚分流設(shè)備：用于園區(qū)網(wǎng)有多個鏈路接入ISP時，數(shù)據(jù)的聚合、分流、過濾。TC2402系統(tǒng)應(yīng)用于10G/1G LAN光線路中，支持將線路上接入的數(shù)據(jù)分流/匯聚，轉(zhuǎn)發(fā)到1G/10G輸出接口上，同時對數(shù)據(jù)做分析處理。TC2402主要實現(xiàn)10G LAN鏈路流量接收、過濾以及分流；千兆LAN鏈路流量接收、過濾以及匯聚，能高效地解決在網(wǎng)絡(luò)接入層和匯聚層鏈路上進行內(nèi)容審計、入侵檢測、行為分析和流量統(tǒng)計所面臨的數(shù)據(jù)獲取問題。
（2）PCAP2智能網(wǎng)卡：采用多域過濾技術(shù)、零拷貝技術(shù)和多通道虛擬隊列技術(shù)，用于衰減無關(guān)流量，實現(xiàn)報文到達服務(wù)器的高性能捕獲。PCAP2支持最大64K條多元組規(guī)則，實現(xiàn)報文頭的精確匹配、掩碼匹配和范圍匹配；
（3） SMA系列智能網(wǎng)卡：采用高性能連接跟蹤技術(shù)，用于降低服務(wù)器在進行協(xié)議還原時會話管理的計算負載。SMA能夠?qū)CP流執(zhí)行順序整理、重傳報文清理等工作，并以一個完整會話形式提交分析服務(wù)器，從而顯著提高分析服務(wù)器的性能。SMA還具備多元組過濾功能。SMA系列智能網(wǎng)卡包括SMA11（一個千兆電口和一個萬兆光口）和SMA20（雙萬兆以太網(wǎng)）
相關(guān)產(chǎn)品，參見戎騰產(chǎn)品的“匯聚器 & 分流器”和“智能網(wǎng)卡”。
返回首頁
回到頂部