网络安全代理DEVS仿真建模

1、网络安全代理DEVS仿真建模摘要网络正以爆炸的方式增长，而它的成本却在急剧降低。随着日益增长的网络应用消耗着 广阔的网络资源，安全问题也变得极其重要。基于策略的网络管理方法也日趋成熟。用通用 的规则来配置路由器、网桥和服务器比用专用的配置更简单、更灵活并且不易出错。本文描 述了基于策略的网络架构的网络安全代理的设计与建模，这种网络架构有自己内在固有的优 点。由此也产生了系统彼此间相互合作、随时都能有效地进行跨网络的安全管理的需求。我 们完成了网络各组成部分的建模，包括入侵检测系统、防火墙、单点登录技术和基于策略的 架构。通过单点登录技术可以实现网络系统的访问认证。我们提出了网络安全代理的建模方

2、 法，这些安全代理是基于策略的网络管理的组成部分。每个组成部分都利用离散时间系统 DEVS中的建模概念和黑板架构BBA的解决问题概念以混合设计的方式实现，BBA源自人 工智能AI。关键词：仿真建模；合作；DEVS；基于策略的框架；BBA架构；安全代理1.介绍当前网络中的资源连接关系复杂且难以有效管理。基于策略的网络提供了一种不同 的方式，使得网络管理者能够免受单调乏味的设备配置，允许他们把精力放到整个网络 的安全状况并解决网络如何满足商业需求的问题。基于策略的管理方法有几个目标。其 一就是简化网络管理过程，其二就是通过集中化的对分布式网络资源的管理来保证网络 的安全性和完整性。网络安全问题日益

3、重要。利用复杂技术来确保信息确实是由真实的数据源产生（认 证）、信息不被未授权的第三方获知（保密性）、信息不被伪造和篡改（完整性）都变得 越来越重要。为了达到这些目的，需要使用入侵检测系统、防火墙和访问控制机制以及 加密技术来保护传输过程中的敏感数据的安全。本文中，我们完成了网络各部分的建模。 其中，入侵检测系统用于计算机滥用的检测、响应、破坏评估、攻击预测等。由于不同 的入侵检测系统有不同的特点和类型，因此，有效部署入侵检测系统的一个关键要素是 找到适合系统环境的正确工具。防火墙是任何安全网络的关键部分，它提供了对网络基 于既定策略的严格的访问控制。进出内外网的所有数据都要穿过防火墙，因此防

4、火墙可 以确定进出的数据是否是安全的。用户需要密码来访问服务器，单点登录技术用于网络 密码的产生。通过单点登录技术，系统用户只需对自己认证一次，在认证结束后，单点 登录技术处理对网络资源如服务器、文件、应用程序等的管理和访问。这是用大多数的 多系统的大型组织的需求，这些系统需要利用认证信息来削减成本并提升用户体验。本文描述了基于策略的网络安全框架的设计与建模。系统间的相互协调合作是重要 的问题，因为在实际入侵案例中任何单个入侵检测系统都无能为力。在仿真建模中，入 侵检测系统和防火墙是基于DEVS构建的。2.相关工作这部分简要介绍当前的研究，包括仿真模型的基础一DEVS，基于策略的框架和AI 中

5、的BBA架构。2.1 DEVS 简介由Zeigler开发的DEVS是一个理论化的用于表达具有等级结构的离散事件模型。DEVS对研究离散事件的重要模型，它提供了实现行为的计算基础，而实现行为又可由其 他基础系统中的离散时间和等式来表示。在DEVS中，一个系统有一个时间基、输入、 状态、输出和函数。在形式上，一个基本模型被定义为下面的结构：M 七）、S、* .占血 I 孔m元素间的关系如图1所示。系统处于状态S，如果没有外部事件发生，系统将处在 该状态一段时间I它可以是我们想到的任何数字，从零到无穷大。在第一种情况下， 系统处在该状态的时间很短以致任何外部事件都不能干预，即S是一个短暂的状态。在

6、第二种情况下，系统将一直处在状态S，除非有外部事件的介入，这种情况是一种被动 的状态。当剩余时间结束时，比如当过去的时间，= .，系统将输出值_，并转换到状态E异。只有在内部状态转换之前才有可能有输出。图1 DEVS模型2.2基于策略的框架基于策略的框架由策略控制台(PC)，策略管理工具(PMT),策略库(PR)，策略决定 点(PDP)，和策略增强点(PEP)组成。基于策略的框架涉及到多种技术，比如网络管理、 设备配置，QoS等。策略控制台和策略管理工具一起用来翻译策略规则为一种能够和策略库图表和存 储需求相协调的形式，策略规则是由网络管理员产生和修改。策略控制台驱动策略管理 工具的大部分的功

7、能。策略库用来存储由策略管理系统产生的策略规则。为了满足设定 的网络管理系统的要求，策略必须跟用户信息关联。策略决定点把管理员定义的策略转 换成策略增强点能够理解的形式。因此策略决定点必须维持一个策略增强列表并能够获 取跟特定策略增强点相关的策略。策略代理用于转换由策略增强点产生的策略来配置成 其能够理解的文件。流量处理也依赖于设备能力，如三层交换机是否有2个或4个队列 及队列支持的算法类型等。Policy consoicprx.sLoc-01 &加 LDAP、prx.sLoc-01 &加 LDAP、Pej I 心 iriaiwgenwii t tociPolicy editingPni.cy

8、 piicscnlaticiri* Rul transJsitionRule “id id 涮讪nPolicy repositorySiorage5rdi* RetrievalGkibiil GLiullikX resohUianCon la num icatiQrL pathCon la num icatiQrL pathPuliuy CTilciRjumk.nt piMnlPolicypoirtiRule HincamiDev iec adapEeiPolicypoirtiRule HincamiDev iec adapEeiReq ULreiucncK che匚kingPal Ley r

9、ulek Policy ErantormEiliDnpptrate： uh ?；pijcifiud by policy i uIcOptiiDniil policy rule validation Fxdb 沁 kFiiHOLxjll kpi diLi ibuCiii |Xi huiCrs zuid图2基于策略的框架的组成部分及其功能2.3黑板架构黑板系统由3个基本组成部分：数据结构、处理模块集合及控制结构。这些模块相互独 立，分别执行操作。3安全代理的DEVS建模这部分研究安全系统建模。我们在基于策略的网络中增加了入侵检测系统、单点登录技 术和防火墙。以下是各个组成部分的仿真建模过程。3.1

10、基于策略的框架模型基于策略的框架可以分为五个组成部分：PC, PR, PDP, PEP和PMP模型。管理员用策略控制台来编辑策略规则和配置。PR模型存储策略。PDP模型被分作监管、策略转换和策 略分布模型。策略转换模型负责确保网络管理员指定的高层策略和现有的容量、网络拓扑结 构一致协调。策略分布模型负责确保底层策略被分配到网络中的各个设备中。如果网络设备 支持IETF策略架构，策略分发可简单的由向策略库输入底层策略组成。如果某些设备不支 持ITEF架构，分发者必须采用其他的方法，比如把底层策略转成到正确的设备配置信息。PEP模型被分为6个子部分：网关模型、路由器模型、交换机模型、IDS模型、防

11、火墙模型 和认证模型。PMT模型把网络管理策略定义的策略实施并把信息存储到信息库中。它可以 被分解为资源发现、模型接口和模型校验。模型接口又被分为模型接口管理者、模型接口PR、模型接口 IDS、模型接口防火墙和模型接口 VDB。脆弱性数据库（VDB）包括网络脆弱性。校验模型检查网络管理策略设置的属性并检查与新策略是否冲突。资源发现模型控制着 网络拓扑、用户和应用程序。图3基于策略框架的DEVS模型3.2 IDS模型IDS模型用于检测计算机网络和系统是否违背了安全策略。它可以分为4个组成部分： 审计、包分发、警报和检测模型。审计模型可分为审计日志和缓冲模型。审计信息安全等级 较高，存储在受保护的

12、日志文件中。一般来说，入侵检测系统处理大量的信息，该过程需要 信息的存储。我们把网络数据包分为三种类型。第一种类型通过分析包内部结构来识别，即查找包头 中是否含有非正常的标记。第二种类型通过分析包频率来确定是否收到DoS等攻击。第三 种类型通过分析包数据来识别，攻击者能够利用系统漏洞来获取管理员权限并控制这些数据 包。包分发模型接收网络包发生器产生的数据包并按照攻击类型对它们分类。分类后的数据 包进行一下的处理过程。包分发器中的包分配器把接收到的数据包发送到各模型中。比如， TypeTwo模型按照策略过滤从包分配器发送来的数据包。如果检测到入侵行为，警报模型和 策略系统模型将会收到通知。随着入

13、侵检测系统的日趋成熟，从传感器和处理器到系统中其 他组成部分会发出一些动态指令。检测模型是入侵检测系统的核心模块。如果在将来的入侵 检测系统中增加新的攻击类型，管理员将对攻击进行分类并为包分发模块增加子部分和为检测模块增加相应的规则。Port ScanJoh AttackAud itDetect ioAlarmPackel A llocatorPmk电Di si ributo：Intiusion Detection A；BuffcrAuditlogDEVS (romponentsI TjpeOsnu 测模块增加相应的规则。Port ScanJoh AttackAud itDetect ioAl

14、armPackel A llocatorPmk电Di si ributo：Intiusion Detection A；BuffcrAuditlogDEVS (romponentsI TjpeOsnu /Expert SystemPruUwnJollAltckKnowLedgt图4入侵检测系统模型3.3认证模型认证是验证用户身份的一种方式，它是安全的分布式系统的重要功能。基于公钥基础设 施（PKI），我们建立了单点登录系统。公约加密提供了安全操作工具，如数字签名和密钥分 发。利用这些技术，每个终端实体都有一个密钥和一个公约用于加密信息，经过公约加密的 信息只能由对应的私钥解密。如图5所示，每个安

15、全代理通过单点登录系统获取访问系统权 限。每个代理产生一个公约和一个私钥。代理向注册中心（RA）服务器发出注册申请。RA服务器请求认证。认证中心（RA）回复CA的请求。CA产生认证（证书）并发送给代理。CA把证书存储到目录服务器中。代理尝试访问应用程序服务器。应用程序服务器向认证服务器报告访问事件。代理输入密码，密码应和证书信息一致。应用程序服务器向代理提供有效的标签。代理利用有效的标签向应用程序服务器提出服务请求。12.应用程序服务器验证标签。如果接受，它将提供访问权限。图5基于PKI的SSO的授权过程3.4防火墙代理模型防火墙通常用于允许或阻止特定数据包通过防火墙。如图6所示，防火墙模型可

16、以 分为控制模型、内部过滤模型、外部过滤模型。控制模型接受从内部或外部网络发送数 据包并把它们发送到每个过滤模型。每个过滤模型又可分为接口模型、策略模型和引擎 匹配模型。图6 DEVS中的防火墙模型每个过滤模型按照安全策略把数据包发送到控制模型。策略模型可分解为端口模型、 协议模型、地址模型和数据模型。每个过滤模型的引擎匹配基于既定的策略决定是否接 收数据包。协调模型这部分简要介绍网络系统间的协调合作。4.1入侵检测系统和BBA的协调这部分介绍了每个黑板的级别和转换响应之间的转换过程。黑板的级别按照阈值进行区 分，它被分为两个部分，每部分又被分解为四个级别。阈值根据下面的内容选取。网络管理策略

17、和系统安全级别网络速率和配置环境系统性能操作系统类型攻击类型4.2网络系统间的协调在图7中，基于策略架构，我们建立了一个网络安全模型。该网络有各种设备，包括一个网关、防火墙、路由器、交换机和其他额外的服务器。策略服务器报告策略架构 定义的信息。防火墙用这些信息阻止非法数据包进入内部网络。每个子网的入侵检测系 统用黑板检测到入侵行为，并向系统报告入侵信息。图7网络组成部分间的协调网络管理员使用通用策略框架中的策略管理工具，但我们增加了一些接口模块。在 推荐的系统配置中，网络管理员、脆弱性数据库、入侵检测系统能够访问策略管理工具。 脆弱性数据库用于帮助系统管理员找出能够使用户违反网络安全策略的漏洞

18、。脆弱性数 据包括系统的弱点和策略信息，安全代理可以访问这些信息。安全代理、入侵检测代理、 脆弱性扫描器和防火墙查询脆弱性数据库，VDB回应它们。入侵检测系统能够自动使用 策略管理工具。如果入侵检测系统检测到网络入侵，策略管理工具会通知基于策略的框 架。策略服务器通知防火墙来阻止对网络的破坏。结论DEVS仿真环境使得构建分布式IDS仿真模型成为可能。分布式的仿真环境用于仿真 分布式系统。由于使用黑板结构，通过增加新的代理，系统可以很容易地实现扩展。防 火墙部分和入侵检测系统的合提高了安全网络护卫的效率。基于策略的网络管理提供了 这样一种方式，在这种方式下管理过程能够被简化并高度自动化。在推荐的系统配置中 有这种管理上的便利。管理员能够方便地对网络