分布式網(wǎng)絡(luò)應(yīng)急響應(yīng)管理系統(tǒng)CHAIRS的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)應(yīng)用的不斷增加，網(wǎng)絡(luò)安全問(wèn)題也日益嚴(yán)重。安全事件的發(fā)生不可避免，因此事件應(yīng)急響應(yīng)也是網(wǎng)絡(luò)安全體系結(jié)構(gòu)中不可或缺的重要環(huán)節(jié)。目前國(guó)內(nèi)應(yīng)急響應(yīng)相關(guān)的研究正逐漸興起，引起了政府、教育和企業(yè)等各界的密切關(guān)注。本文參考了華東（北）地區(qū)網(wǎng)絡(luò)中心多年的響應(yīng)實(shí)踐工作，設(shè)計(jì)并實(shí)現(xiàn)了大型分布式應(yīng)急響應(yīng)管理系統(tǒng)CHAIRS(Cooperative HybridAided Incidence Response System)，并已

2、部署在CERNET(The China Education andResearch Network)各主節(jié)點(diǎn)，為CERNET各節(jié)點(diǎn)的安全管理人員提供事件響應(yīng)管理功能，以提高安全事件響應(yīng)的效率。
　　應(yīng)急事件響應(yīng)管理系統(tǒng)涉及的首要問(wèn)題是事件響應(yīng)工作流。論文介紹了目前國(guó)際上權(quán)威的應(yīng)急響應(yīng)PDCERF六階段事件響應(yīng)方法和典型的應(yīng)急響應(yīng)管理系統(tǒng)，并參照CERNET實(shí)際響應(yīng)的工作過(guò)程，整理并制訂了一套適合CERNET的應(yīng)急響應(yīng)工作流。在此工

3、作流的基礎(chǔ)上，本文給出了CHAIRS的事件響應(yīng)管理系統(tǒng)的設(shè)計(jì)，包括參考IDMEF確定CHAIRS的事件格式、確定系統(tǒng)結(jié)構(gòu)和具體功能以及設(shè)計(jì)用戶接口等。
　　在實(shí)現(xiàn)事件響應(yīng)管理系統(tǒng)的基礎(chǔ)上，為給CERNET的運(yùn)行管理和安全保障提供所需的IP地址信息，本文設(shè)計(jì)并實(shí)現(xiàn)了安全事件庫(kù)。它接收來(lái)自所有CHAIRS子節(jié)點(diǎn)的安全事件數(shù)據(jù)，并對(duì)外提供事件查詢功能，可以說(shuō)安全事件庫(kù)是一個(gè)開放的大型數(shù)據(jù)平臺(tái)。由于事件信息是異構(gòu)數(shù)據(jù)，安全事件庫(kù)最終采用N

4、OSQL數(shù)據(jù)庫(kù)進(jìn)行存儲(chǔ)。另外，數(shù)據(jù)通信選擇了平臺(tái)獨(dú)立的、低耦合的WebService技術(shù)。
　　此外，CHAIRS為事件響應(yīng)提供半自動(dòng)化決策功能。當(dāng)前響應(yīng)系統(tǒng)的決策生成方案大都基于分類實(shí)現(xiàn)響應(yīng)決策模型，區(qū)別僅在于分類依據(jù)不同。本文結(jié)合當(dāng)前CERNET事件響應(yīng)的實(shí)際情況，提出了基于分類的半自動(dòng)化響應(yīng)決策模型，并在對(duì)CHAIRS內(nèi)事件進(jìn)行分類的基礎(chǔ)上，實(shí)現(xiàn)了該模型。
　　本文同時(shí)介紹了CHAIRS的整體結(jié)構(gòu)，對(duì)運(yùn)行管理部分進(jìn)行了