CN102307184A - 基于入侵容忍的信息资产保护方法 - Google Patents

Abstract

本发明公开了一种基于入侵容忍的信息资产保护方法，首先对核心数据、服务状态进行检测监控，状态评估模块利用自身携带的评估模型及用户在配置文件中预先设定的阈值，对系统状态做出客观的评价，并以事件的形式上传至系统的响应与故障处理模块，然后根据系统状态评估的结果，启动本地故障隔离、系统还原重构机制，保障核心信息资产的机密性。本发明将入侵容忍引入单个主机的设计，在资源受限的环境下，为单个系统提供基本的自我诊断、故障隔离、还原重构、安全通信能力。

Description

基于入侵容忍的信息资产保护方法

技术领域

本发明属于涉及信息安全领域信息资产保护技术，特别是一种采用状态转移算法进行状态控制、多因素模糊模型进行综合状态评估实现入侵容忍框架的信息资产保护方法。

背景技术

随着信息化普及程度提高，企业或机关单位都组建了内部网络，网络架设、信息系统建设给这些单位带来了很多便利，如资源共享、办公自动化以及方便的信息传递等等，极大地提高了工作效率。但同时媒体报道的泄密事件有增无减，包括企业核心技术被窃取从而导致竞争企业发展壮大，造成严重经济损失；医疗机构大量泄漏病人隐私信息，导致病人被恶意骚扰等等。电子信息流转的随意性、开放性、共享性等特点，使得分布在主机中的重要信息资源处于一种高风险的状态。无论数据丢失是无意发生的还是恶意行为所致，对企业的影响都是极其严重的。如何有效的保护本单位信息资产，该问题的解决是信息化建设的重要组成部分。

传统的网络安全技术，强调将攻击者拒之门外，系统通常采用数据加密、访问控制、防火墙、入侵检测、病毒防护等技术保证服务的可用性和数据的保密性、完整性。物理安全、可信计算、边界控制等安全措施能够满足部分高保密用户的要求。但是在复杂的网络环境下辨认真正的合法用户是非常困难的，控制和审查系统的每个细节是不可能的，系统仍然存在遭受攻击和入侵的可能。如何增强现有的商用系统的安全性，使其针对攻击具有自动恢复能力，或称弹性，是现阶段网络安全领域的值得关注的课题。

与传统的入侵检测技术不同，入侵容忍技术并不试图检测和清除所有的攻击和系统隐患，它提供的是系统边界安全保护失效情况下的生存能力。也就是说，在传统的防火墙、入侵检测系统没有完全阻止黑客入侵的情况下，入侵容忍利用服务检测、自我诊断、故障隔离、还原重构等手段，尽力确保系统的正常运行。

将入侵容忍引入单个主机的设计，在资源受限的环境下，为单个系统提供基本的自我诊断、故障隔离、还原重构、安全通信能力，系统可以在主机范围内依据功能、性能、可信度的评测结果，自适应的或者人为的触发入侵容忍响应措施，实现防御部分已知或未知安全威胁，缓解甚至消除入侵影响，增强系统的弹性的目的。

发明内容

本发明的目的在于提供一种基于入侵容忍的信息资产保护方法，能够没有完全阻止入侵的情况下，利用状态检测、状态评估、故障隔离等手段，保障核心信息资产的机密性。

实现本发明目的的技术解决方案为：一种基于入侵容忍的信息资产保护方法，首先对核心数据、服务状态进行检测监控，状态评估模块利用自身携带的评估模型及用户在配置文件中预先设定的阈值，对系统状态做出客观的评价，并以事件的形式上传至系统的响应与故障处理模块，然后根据系统状态评估的结果，启动本地故障隔离、系统还原重构机制，保障核心信息资产的机密性。

本发明与现有技术相比，其显著优点：(1)信息资产可靠性更高。信息资产可靠性更高。入侵容忍技术并不试图检测和清除所有的攻击和系统隐患，它提供的是系统边界安全保护失效情况下的生存能力，在入侵发生的情况下，仍然能够保障信息资产的机密性。(2)状态切换更为灵敏。采用一种状态转移算法进行控制，能取得比较低时空开销和较高的匹配准确率，增加了状态切换的灵敏度。(3)提高状态评估的准确性。根据单一的指标很难判定整机服务性能下降或运行异常入侵，采用多因素模糊综合评价算法，能够有效提高状态评估的准确性。

下面结合附图对本发明作进一步详细描述。

附图说明

图1是本发明基于入侵容忍的信息资产保护原理图。

图2是本发明状态转移示意图。

图3是本发明多因素模糊综合评价算法流程图。

图4是本发明基于入侵容忍的信息资产保护方法流程图。

具体实施方式

结合图4，本发明公开了一种基于入侵容忍的信息资产保护方法，首先对核心数据、服务状态进行检测监控，状态评估模块利用自身携带的评估模型及用户在配置文件中预先设定的阈值，对系统状态做出客观的评价，并以事件的形式上传至系统的响应与故障处理模块，然后根据系统状态评估的结果，启动本地故障隔离、系统还原重构机制，保障核心信息资产的机密性。本发明将入侵容忍引入单个主机的设计，在资源受限的环境下，为单个系统提供基本的自我诊断、故障隔离、还原重构、安全通信能力。

如图1，基于入侵容忍的信息资产保护方法，具体流程如下：

(1)状态检测模块采用动态链接库的方式进行服务监视、功能检测、安全监测，实时监测系统的资源使用情况、服务质量和入侵安全事件的报警；

(2)在状态检测模块数据采集的基础上，状态评估模块利用自身携带的评估模型及用户在配置文件中预先设定的阈值，对系统状态做出客观的评价，并以事件的形式上传至系统的响应与故障处理模块；

(3)配置管理模块负责本地配置文件的写入、删除和修改，帮助用户维护和管理配置文件，同时配置管理模块可以接收来自网络的配置文件修改指令，为系统管理员远程维护配置文件提供支撑；

(4)根据系统状态评估的结果，启动响应与故障处理，完成注册表修复与保护、文件修复与保护和主机隔离；

(5)安全通信模块是主机入侵容忍系统之间实现会话、协同防御的基础。

结合图2，基于入侵容忍的信息资产保护方法的特征在于利用状态转移算法进行状态控制，具体如下：

(1)系统分为以下四个状态：正常服务状态，入侵可疑状态，系统入侵状态和退化服务状态，每个状态对应不同的入侵容忍防护策略；

(2)正常服务状态是指入侵容忍的状态检测模块在没有发现系统功能异常和系统性能下降的情况下，采取安全防御机制最小化的原则，降低监测内容，减少检测项目，提高系统服务效率。

当入侵容忍的状态检测模块发现系统的某项服务功能异常，或者系统性能下降，系统立即进入入侵可疑状态；

(3)在入侵可疑状态下，系统首先评估主机功能、性能下降的程度，如果在可以容忍的范围内，系统采取提高监测频率、增加检测项目、安全事件报警和系统数据备份等安全策略。

当发现确定的安全事件与攻击时，系统将转入系统入侵状态，当系统功能、性能失常或丧失时，主机进入退化服务状态；

(4)在系统入侵状态下，主机将根据入侵性质，采取严密地入侵防御手段：服务迁移、安全扫描和数据恢复。当安全报警消除，系统服务恢复时，系统恢复至正常服务状态；

(5)在退化服务状态情况下，主机将调用状态评估模块对系统功能、服务进行评价，并根据预先定义的安全策略采取相应操作：安全扫描、灾难恢复和还原重构。当系统数据恢复，功能、性能正常时，系统恢复至正常服务状态。

结合图3，针对状态检测模块采集的系统性能、安全指标，分析主机状态综合评估的模型和方法，基于主机运行状态的多因素模糊综合评价流程如下：

(1)主机运行的状态和服务性能通过观察状态检测模块采集的CPU利用率、内存利用率、网络带宽占用率、服务器响应时间、事务处理平均时间、吞吐量、并发连接数、服务请求失败率等指标来做综合的评估；

(2)从上述指标中选取若干，如，选取CPU利用率、内存利用率、带宽占用率、服务请求响应时间、并发连接数五项指标建立机模糊综合评价的因素集U＝{CPU利用率，内存利用率，带宽占用率，服务请求响应时间，并发连接数}；

(3)采用专家调查加权法确定各因素所占的权重，针对因素集U，有K个专家各自独立的给出了各因素U_i(i＝1，2，...，5)的权重，根据专家调查加权法，该模糊综合评价问题的权重向量A可表示为： $A=(\frac{1}{K}\underset{i=1}{\overset{k}{\mathrm{\Σ}}}{a}_{i1},\underset{i=1}{\overset{k}{\mathrm{\Σ}}}{a}_{i2},\·\·\·,\underset{i=1}{\overset{k}{\mathrm{\Σ}}}{a}_{i5});$

(4)主机运行状态评语集V＝{v₁，v₂，v₃，v₄}＝{正常，可疑，入侵，退化}则基于主机运行状态参数的模糊综合评价模型可以表示为：

式中，a_i-单因素U_i(i＝1，2，…，5)的权重系数， $a_i=\frac{1}{K}\underset{j=1}{\overset{K}{\mathrm{\Σ}}}{a}_{\mathrm{ji}}$

r_i-单因素U_i(i＝1，2，…，5)的评判向量；

B-基于评语集V的综合评判结果；

ο-模糊综合评判中的合成运算，可以根据具体情况选择“∨-∧”(主因素决定型)，“∨-·”、“

-∧”(主因素突出型)或“

-·”(加权平均型)。

(5)依据多因素模糊综合评价模型对一段时间内主机提取的检测数据进行综合分析，给出相应的运行状态评语。

Claims (3)

1.一种基于入侵容忍的信息资产保护方法，其特征在于首先采用过滤驱动技术对核心数据及服务进行监控，根据监控反馈结果，利用状态转移算法进行状态控制，并采用多因素模糊模型进行综合状态评估，评估结果以事件的方式传递给系统，进行响应与故障恢复的处理，从而保障在入侵情况下，依然能够保障核心信息资产安全和服务不中断。

2.根据权利要求1所述的基于入侵容忍的信息资产保护方法，其特征在于利用状态转移算法进行状态控制，即：

(1)系统分为以下四个状态：正常服务状态，入侵可疑状态，系统入侵状态和退化服务状态，每个状态对应不同的入侵容忍防护策略；

(2)正常服务状态是指入侵容忍的状态检测模块在没有发现系统功能异常和系统性能下降的情况下，采取安全防御机制最小化的原则，降低监测内容，减少检测项目，提高系统服务效率。

当入侵容忍的状态检测模块发现系统的某项服务功能异常，或者系统性能下降，系统立即进入入侵可疑状态；

(3)在入侵可疑状态下，系统首先评估主机功能、性能下降的程度，如果在可以容忍的范围内，系统采取提高监测频率、增加检测项目、安全事件报警和系统数据备份等安全策略。

当发现确定的安全事件与攻击时，系统将转入系统入侵状态，当系统功能、性能失常或丧失时，主机进入退化服务状态；

(4)在系统入侵状态下，主机将根据入侵性质，采取严密地入侵防御手段：服务迁移、安全扫描和数据恢复。当安全报警消除，系统服务恢复时，系统恢复至正常服务状态；

(5)在退化服务状态情况下，主机将调用状态评估模块对系统功能、服务进行评价，并根据预先定义的安全策略采取相应操作：安全扫描、灾难恢复和还原重构。当系统数据恢复，功能、性能正常时，系统恢复至正常服务状态。

3.根据权利要求1所述的基于入侵容忍的信息资产保护方法，其特征在于采用多因素模糊模型进行综合状态评估，即：

(1)主机运行的状态和服务性能通过观察状态检测模块采集的CPU利用率、内存利用率、网络带宽占用率、服务器响应时间、事务处理平均时间、吞吐量、并发连接数、服务请求失败率等指标来做综合的评估；

(2)从上述指标中选取若干，如，选取CPU利用率、内存利用率、带宽占用率、服务请求响应时间、并发连接数五项指标建立机模糊综合评价的因素集U＝{CPU利用率，内存利用率，带宽占用率，服务请求响应时间，并发连接数}；

(3)采用专家调查加权法确定各因素所占的权重，针对因素集U，有K个专家各自独立的给出了各因素U_i(i＝1，2...，5)的权重，根据专家调查加权法，该模糊综合评价问题的权重向量A可表示为： $A=(\frac{1}{K}\underset{i=1}{\overset{k}{\mathrm{\Σ}}}{a}_{i1},\underset{i=1}{\overset{k}{\mathrm{\Σ}}}{a}_{i2},\·\·\·,\underset{i=1}{\overset{k}{\mathrm{\Σ}}}{a}_{i5});$

(4)主机运行状态评语集V＝{v₁，v₂，v₃，v₄}＝{正常，可疑，入侵，退化}则基于主机运行状态参数的模糊综合评价模型可以表示为：

式中，a_i-单因素U_i(i＝1，2，…，5)的权重系数， $a_i=\frac{1}{K}\underset{j=1}{\overset{K}{\mathrm{\Σ}}}{a}_{\mathrm{ji}}$

r_i-单因素U_i(i＝1，2，…，5)的评判向量；

B-基于评语集V的综合评判结果；

ο-模糊综合评判中的合成运算，可以根据具体情况选择“∨-∧”(主因素决定型)，“∨-·”、“

-∧”(主因素突出型)或“

-·”(加权平均型)。

(5)依据多因素模糊综合评价模型对一段时间内主机提取的检测数据进行综合分析，给出相应的运行状态评语。

Images