CN1300984C - 建立复杂网络运行环境模拟仿真平台的方法 - Google Patents

Abstract

一种用于网络安全的建立复杂网络运行环境模拟仿真平台的方法，以实际运行的、动态的、复杂网络为原型，从中提取出一个与原网络各项性能要求近似的物理和逻辑模型，进而构建模拟网络的逻辑模型和物理模型，根据模拟网络的模型，选择硬件设备建立模拟网络，通过分析考察该网络的运行情况和各项性能，达到既能间接检测原复杂网络，又不影响其正常服务的双重目的。本发明既可用于进行攻防实验、检测现有系统安全漏洞的检测平台，还可作为评估网络设备与安全设备，为升级系统作准备的测试平台。

Description

建立复杂网络运行环境模拟仿真平台的方法

技术领域

本发明涉及一种建立网络仿真平台的方法，具体是一种建立复杂网络运行环境模拟仿真平台的方法。用于网络安全技术领域。

背景技术

当前，随着互联网的日益普及，计算机病毒与黑客攻击行为愈演愈烈，复杂网络的运营及维护成本越来越高，如何更好地保证这些网络的安全稳定运行成为一个亟待解决的重要课题。为了保障网络的稳定性及安全性，网络管理人员除了需要加强平时的维护和管理外，还需及时了解网络上各部分的安全状况(如漏洞及补丁)，安全策略的制定和升级方案，新设备的功能，网络设备及安全设备的配置情况，设备的数据库(信息库)的更新进展以及从完整系统的角度上看(从安全保障体系角度上看)网络系统的最优组建和配置方案等情况。而这些单纯靠几个人员的工作是无法胜任的。这一方面是因为他们面对的是一个运行中的网络系统，必须时时保证该系统的正常运行，因而管理人员不便于随时扫描系统、检查安全问题、修复不安全隐患及进行各种安全性验证实验；另一方面，还因为安全技术是相对的，黑客攻击手段总是在不断升级和变化，依赖现成安全产品的防护是有限的，有些黑客的攻击行为还与具体网络架构及应用类型有关。所以，要有效地防护黑客对网络的攻击，不但需要熟悉各种安全网络产品的安全功能及性能，而且要构建一个与网络运行环境相当的模拟仿真平台。在模拟仿真平台上既可以研究该网络系统的性能优化方法、最优安全配置方法，又可以有针对性的研究相关的攻防技术。

经对现有技术的文献检索发现，《分布式交互仿真中的网络安全平台的设计与实现》(《计算机应用》，2002年02期，作者张锰)研究了面向军事应用为主的分布式交互仿真系统，针对HLA(高层体系结构)仿真系统存在的两种泄露敏感数据的途径，提出了基于硬件的网络安全平台的方案。据此开发了基于PCI总线和ISA总线的安全网络适配器，以独立的处理器完成数据的加密/解密、封装和过滤以及传输。但是，该文献只讲述单个的、具体的、针对特定环境的网络硬件的设计方法，而没有涉及在的、整体的、综合性的复杂网络的研究，例如评估网络的性能，模拟各项系统服务及进行各项安全测试的，相对于只在系统底层硬件上进行了开发。在进一步的检索中，尚未发现与本发明主题相同或者类似的文献报道。

发明内容

本发明的目的在于克服现有技术中的不足，提供了一种建立复杂网络运行环境模拟仿真平台的方法，使其可以发现和解决复杂网络运行环境可能的隐患，从而提高运行环境的安全性和性能，确保它的正常运行。

本发明是通过以下技术方案实现的，本发明以实际运行的、动态的、复杂网络为原型，从中提取出一个与原复杂网络各项性能要求近似的实际网络的物理和逻辑模型，进而构建模拟网络的逻辑模型和物理模型，根据模拟网络的逻辑模型，选择硬件设备建立模拟网络，通过分析考察该模拟网络的运行情况和各项性能，达到既能间接检测原复杂网络，又不影响其正常服务的双重目的。具体步骤如下：

(1)分析复杂网络的拓扑、软硬件设施构成、组织结构、安全环境网络私有信息，找出准确的实际网络物理模型；

(2)以上述实际网络物理模型为基础，分析网络信息业务，服务构成，建立实际网络逻辑模型；

(3)根据实际网络逻辑模型，结合网络性能评估和行为模式分析的方法，建立模拟网络的逻辑模型；

(4)利用硬件设备来绘制模拟网络的物理模型，建立原复杂网络的镜像模拟网络；

(5)考察该模拟网络，间接检测实际网络的各项性能。

以下对本发明作进一步说明，具体实现可以分为两大阶段，即抽象网络模型阶段和建立实物模型阶段。

1、抽象网络模型阶段：

首先调查复杂网络的各种业务和功能，画出业务功能示意图。根据目前对复杂网络的分析，将其分为内部网络、外部网络和内外交互平台三个部分，其中，内部网络用于对网络的管理和维护；外部网络用于对外提供各项信息服务，包括WEB信息发布、电子邮件服务、文件服务、视频和音频流媒体的点播服务、电子公告板和网上聊天以及各类增值服务；内部网络和外部网络通过内外交互平台进行信息交换；综合上述三个部分的业务功能，得出准确的实际网络物理模型。

其次结合网络安全的要求，评估各项安全指标，给出安全模型，包括以下各方面的安全需求：物理环境、网络拓扑结构、边界防护、主要服务器安全状况、防病毒措施、应急响应措施，建立实际网络逻辑模型；

最后，根据上述两个步骤，结合网络性能评估和行为模式分析的方法，针对普通用户和黑客的不同特点，绘制复杂网络的模拟网络逻辑模型，从而完成抽象网络模型阶段的工作。

其中：

所述的“外部网络”是指实际网络的外网环境；

所述的“普通用户”指处于内部网络和外部网络的正常用户，所述的“黑客”指处于内部网络和外部网络的恶意黑客；

所述的“内外交互平台”是指外部网络和内部网络的数据交换设备，包括一系列交换机和路由器；

所述的“内部网络”是指实际网络的内网环境。

2、建立实物模型阶段：

模拟仿真平台的硬件配置遵循以下原则：对服务器而言，确保能安装运行平台中对应的操作系统；对于网络或安全设备，选择支持的功能或协议与运行平台中设备相同的，对于原系统中的一些负载均衡或热备份的设备，使用单套设备代替。

将实际网络运行过程中可能遭受的攻击在模拟仿真平台上实施，观察平台的承受能力，从而间接检测实际网络的安全性，进而改进实际网络。

由本发明建立起的网络模拟仿真平台，将包含商用网络环境中的典型硬件设施，如各种操作系统的主机、防火墙、路由器、扫描器、IDS、服务器、交换机等，也包括HTTP、FTP、DNS、Email、应用服务软件和安全软件，还包括各种攻击软件和病毒。根据网络环境的构成，可以对仿真网络的软硬件进行调整、补充、和重新配置；同时配置内部环境和外部环境，可以通过业务模拟和应用运行模拟来模拟网络的运作。从而保证其最大程度的反映原网络的特点，包括服务性能和安全要求。这样，通过评估该模拟仿真网络来间接地、精确地、实时地检测实际网络的运行情况，给出改善网络的方法和意见，最终达到既不影响原网络的正常运行，又能得到其准确信息的目的。

附图说明

图1本发明方法原理图

图2本发明抽象网络模型图

图3本发明方法流程图

图4本发明实施例典型物理拓扑结构

具体实施方式

如图1、图3所示，复杂网络系统由于业务的特殊要求，无法停止服务来进行静态的系统检测，即便可以做到，得到的各项数据可信度也不会太高，因为网络本身具有动态特性，加之网络拓扑常常因需而变，运行环境复杂多样，静态地对这类网络系统的服务能力进行检验和安全测试评估是不合适的和意义不大的。但是这两项工作对保证网络的稳定正常运行意义重大，因此必须找到一种方法，既能完成上述工作，同时不影响原有系统的运行。本发明提出的搭建模拟平台的方法可以很好的达到这个目的。

下面以当前一个具有普遍意义的复杂网络为例来详细介绍本发明提出的模拟仿真平台建设方法的实际应用过程。

1.该网络系统主要分为外部网络和内部网络两个部分：

(1)外部网络主要是向互联网络提供信息发布和各类信息服务，是网络的对外服务系统。提供的服务主要包括：

Web信息发布，发布新闻信息和各专门频道的信息，对历史数据还提供了查询检索功能。

电子邮件服务，对外提供免费的电子邮件服务。

文件服务，提供各类文件资料供下载。

流媒体信息服务，提供视频和音频等流信息的点播服务。

电子公告板和网上聊天室，提供交互式的信息服务。

其他各类增值服务，包括网上游戏等。

外部网络的主要服务器包括Web服务器、FTP服务器、电子邮件服务器、DNS服务器和数据库服务器等，服务器间通过外部网的内部交换平台相互连接。其中Web服务器通过第四层交换机配置了虚拟IP地址，并在并行的几台Web服务器间实现负载均衡，对Web服务器提供了基本的安全保护。同时对Web服务器进行了信息完整性的监视和自动恢复功能。

外部网络和内部网之间通过两条专线连接，同时使用ISDN线路作为备份链路。由外部网络的中心服务器实现内部网和外部网之间的信息互通，中心服务器同时通过防火墙提供了内部网用户到互联网的出口。

(2)内部网络

内部网络是该网的内部工作网络系统，主要负责提供外部网络服务的内容，及内部人员工作平台。

内部网络统一采用了内部的非正式IP地址空间，并根据IP地址进行逻辑网络段的分割。内部网络中的设备主机房提供了数据采编和其他各类数据和应用服务器，信息经过采编和审查环节之后，首先在内部网络的服务器内合成Web页面，并通过签发服务器上传到外部网络的服务器。整个内部网络通过专线接入到外部网络，并通过外部网络的公用出口访问互联网。

2.收集该网络的各种信息和需求情况，包括：

(1)收集整理该网络使用的软件信息，可以将其细分为六类，即：操作系统类、数据库类、应用服务类、网络管理/安全类、办公系统类和各种软件的补丁等级。由于软件在系统中的地位非常重要，软件的微小版本差别可能就会导致不同的漏洞和攻击手段，因此对于软件的配置情况，必须调查细致、信息准确，以便使后面建设的模拟系统尽可能与原系统一致。同时应该保证一旦实际运行系统软件有所变化，应即时升级模拟系统。

(2)收集整理该网络的硬件配置情况及相关材料，包括服务器类型、业务量、路由器、交换机、安全设备及其配置，各类服务器的技术文档资料等。

(3)收集整理该网络的业务流程情况，包括外网服务流程和内网工作流程、各流程的具体内容、涉及的具体软硬件使用，要分清各业务的分工和责任，以利于模拟网络逻辑模型的构建。

(4)收集整理该网络的安全需求，分为外部网络和内部网络。

对外部网络部分，可以分为以下三方面：

边界网络的安全需求，着重考虑内外网的防火墙安全；

服务安全需求，分为三类：

a)信息服务安全，包括：防范黑客入侵各种应用服务器、篡改删除信息；外部网上的网络设备可能遭受的拒绝服务攻击(Denial of Service，DoS)和分布式拒绝服务攻击(DDoS)；服务器大量并发流量的袭击；

b)邮件服务的安全，防范垃圾邮件和非法邮件占用系统资源、以本网络为跳板扰乱破坏其他系统和用户，保护合法用户的正常邮件处理；

c)交互式信息服务的安全，包括BBS和聊天室等信息的合法性；

安全备份，保证外部服务器上储存的用户数据库和邮件的安全；

对内部网络部分，考虑以下方面的安全：

内部网络用户之间工作交流的安全，防止病毒和内部恶意用户的破坏，确保数据在传输过程中的安全性，特别是数据的完整性；

内部网络向外部网络信息发布的安全，防止信息被篡改和删除、服务更新的出错或不完整、非授权用户无法发布信息；

重要主机的安全，包括签发服务器、主要领导使用的主机、数据库服务器及内部网络用户的授权服务器等。

图3中的网络私有信息给出了以上调研后应该取得的内容。

3.在上述两种资料齐全的基础上，依次抽象出模拟网络的物理模型和逻辑模型，最后得到模拟仿真平台的拓扑。下面具体阐述：

物理模型，可根据原网络实际的物理拓扑来绘制，必须将各个子网络的连接情况、子网内部各服务器组织方式、终端用户的分布、终端的类型、网络安全和连接设备的部署描绘清楚。

逻辑模型，以上述物理模型为基础，结合各项安全需求，画出逻辑模型；

图2给出了逻辑模型，其中：所述的“外部网络”是指实际网络的外网环境；所述的“普通用户”和“黑客”分别指处于内部网络和外部网络的正常用户和恶意黑客；所述的“内外交互平台”是指外部网络和内部网络的数据交换设备，包括一系列交换机和路由器；所述的“内部网络”是指实际网络的内网环境。

根据的结果，考虑突出重点业务的要求，提出该复杂网络模拟仿真平台的典型拓扑结构如图4，其中：

外部交换平台(SWITCH2)和内部交换平台(SWITCH4)分离，BBS、MAIL和DNS服务器(均为双网卡)跨接于内外交互平台之间；WEB1-3也为双网卡，外网卡连接至外部交换平台，内网卡连接内部交换平台。

SWITCH2连接至防火墙的DMZ。SWITCH1上划分两个VLAN：VLAN1和VLAN2，VLAN1上连接部分攻击源PC和模拟用户，作为对外部网络的模拟。SMARTBITS既可模拟正常访问的背景流量，也可发送大量攻击包。VLAN2连接至防火墙的外部网络接口。SWITCH2上的IDS用来检测外部网络的攻击。

内部交换平台的SWITCH4上也划分两个VLAN：VLAN3和VLAN4。VLAN3上除了连接前述服务器的内网卡外，还接BBS DB和WEB DB分别为BBS和WEB服务提供数据库，及扫描器。VLAN4模拟一个受防火墙保护的内部网络，连接至防火墙的内部网络接口，放置几台目标主机。

在VLAN3、VLAN4和SWITCH2各放置一台攻击源，模拟发生在内部网络的攻击行为。

4.合理选用硬件搭建模拟平台

网络为了满足其业务量大的要求，其硬件配置均比较高，模拟平台的硬件不必使用原系统一样昂贵的设备。对服务器或客户机而言，只要可以安装原系统中对应机器的操作系统即可。对于网络设备，最好是对应于原系统设备的同一系列中配置稍低，端口数较少或速率较低，但支持的功能基本相同的。这样可以在尽可能小的成本下达到最大相似程度的模拟。同时对于原系统中的一些负载均衡或热备份的设备，可以考虑使用单套设备代替。

应用实例

模拟仿真平台典型的应用是针对运行平台的问题进行研究，提出可能的解决方案在模拟仿真平台上进行验证，根据结果对运行平台进行改进，从而使其安全性或性能得到提高。

通过发现，DDoS攻击是目前网络所面临的最大的威胁，还没有办法彻底解决。反向代理技术可以在一定程序上减小这种威胁，它使用一个代理服务器代理外部网络上的主机访问内部的WEB服务器。内部的WEB服务器由多台组成一个群，反向代理服务器将请求按一定算法分发到这些内部WEB服务器，从而可以实现负荷分担。

在模拟仿真平台上检验它的可行性。给一些外部网网络的攻击源和内部网络攻击源安装DDoS攻击的受控端，其中一台外部网络攻击源兼作主控端，由主控端下达命令，攻击WEB服务器。这样攻击既来自内部网络也来自外部网络。使用SmartBits重放在运行环境中采集的流量作为背景流量。攻击的强度逐步加强。不使用反向代理时，达到一定流量后外部网络的模拟用户将不能正常浏览网页。记录下结果。在使用反向代理时，重复实验过程，发现可以承受较大流量的攻击。增加反向代理群内的服务器数量，再重复实验过程，可以发现它的抗攻击能力进一步提高。

在实验中还可以采取一些其他措施。例如通过分析IDS和防火墙的日志，确认DDoS攻击的发生；对WEB服务器进行一些安全配置；观察交换机的端口流量找到内网被安装了受控端的机器，将它暂时隔离；分析攻击流量的特点，在交换机上创建ACL；在防火墙上关闭一些与攻击有关而对正常服务影响不大的端口，特别是DDoS主控端和受控端的通信端口。经过一系列措施后，攻击减弱。

根据实验的结果和运行平台实际遭受攻击的规模，提出一个合理的使用反向代理并采取相关措施的方案。此方案已在运行环境中应用并取得了较好的效果。

本发明的效果是显著的，通过它可以开展攻防实验查找运行环境的漏洞；应对新的攻击提出对策；进行改进运行环境网络结构和安全策略配置的实验；从而提高运行环境的安全性和性能，确保它的正常运行。

Claims (4)

1、一种建立复杂网络运行环境模拟仿真平台的方法，其特征在于，以实际运行的、动态的、复杂网络为原型，从中提取出一个与原网络各项性能要求近似的物理和逻辑模型，进而构建模拟网络的逻辑模型和物理模型，根据模拟网络的模型，选择硬件设备建立模拟网络，通过分析考察该网络的运行情况和各项性能，达到既能间接检测原复杂网络，又不影响其正常服务的双重目的，具体步骤如下：

(1)分析复杂网络的拓扑、软硬件设施构成、组织结构、安全环境网络私有信息，找出准确的实际网络物理模型；

(2)以上述物理模型为基础，分析网络信息业务，服务构成，建立实际网络逻辑模型；

(3)根据网络逻辑模型，结合网络性能评估和行为模式分析的方法，建立仿真网络的逻辑模型；

(4)利用硬件设备来绘制仿真网络的物理模型，建立原网络的镜像模拟网络；

(5)考察该模拟网络，间接检测实际运行网络的各项性能。

2、根据权利要求1所述的建立复杂网络运行环境模拟仿真平台的方法，其特征是，具体实现分为两大阶段，即抽象网络模型阶段和建立实物模型阶段：

(1)抽象网络模型阶段：

首先调查复杂网络的各种业务和功能，画出业务功能示意图，根据目前对复杂网络的分析，将其分为内部网络、外部网络和内外交互平台三个部分，其中，内部网络用于对网络的管理和维护，外部网络用于对外提供各项信息服务，包括WEB信息发布、电子邮件服务、文件服务、视频和音频流媒体的点播服务、电子公告板和网上聊天以及各类增值服务，内部网络和外部网络通过内外交互平台进行信息交换，综合上述三个部分的业务功能，得出准确的实际网络物理模型；

其次结合网络安全的要求，评估各项安全指标，给出安全模型，包括以下各方面的安全需求：物理环境、网络拓扑结构、边界防护、主要服务器安全状况、防病毒措施、应急响应措施，建立实际网络逻辑模型；

最后，根据上述两个步骤，结合网络性能评估和行为模式分析的方法，针对普通用户和黑客的特点，绘制复杂网络的仿真网络逻辑模型，从而完成抽象网络模型阶段的工作；

(2)建立实物模型阶段：

模拟仿真平台的硬件配置遵循以下原则：对服务器而言，确保能安装运行平台中对应的操作系统，对于网络或安全设备，选择支持的功能或协议与运行平台中设备基本相同的，对于原系统中的一些负载均衡或热备份的设备，使用单套设备代替。

3、根据权利要求2所述的建立复杂网络运行环境模拟仿真平台的方法，其特征是，在抽象网络模型阶段，

所述的“外部网络”是指实际网络的外网环境，

所述的“普通用户”指处于内部网络和外部网络的正常用户，

所述的“黑客”指处于内部网络和外部网络的恶意黑客，

所述的“内外交互平台”是指外部网络和内部网络的数据交换设备，包括一系列交换机和路由器，

所述的“内部网络”是指实际网络的内网环境。

4、根据权利要求2所述的建立复杂网络运行环境模拟仿真平台的方法，其特征是，在建立实物模型阶段，将实际网络运行过程中可能遭受的攻击在模拟仿真平台上实施，观察平台的承受能力，从而间接检测实际网络的安全性，进而改进实际网络。