一种网络安全两级防御系统的研究与设计*

杨玉新

(德宏师范高等专科学校现代教育技术中心，云南 德宏 678400)

1.引言

现在市场上已有不少的安全产品，但这些产品主要都集中在解决某方面的安全问题，无法全方位解决企事业单位网络安全和管理的问题。而事实上单纯的网络防御产品不足以构建一个完善的网络整体防御体系，因为网络安全需要在网络安全管理标准的指导下，从既防止外部网络攻击同时又防止网络内部攻击的共同防御整体角度看待计算机网络安全问题，将多种安全保护措施集合在一起，使它们之间互通信息、协同防御，才是全面解决计算机网络安全问题的最佳途径。

2.防御系统的部署

整个防御体系结构主要由两级防御系统组成，第一级防御系统在Linux环境下由基于网络的入侵防御系统 (NIPS:Network－based Intrusion Prevention System)组成。第二级防御系统选用成熟的主机安全代理软件。两系统都与管理中心保持有密切的通信机制，其中主机安全代理以软件的方式实现并运行在内部网的各个主机中，也可以安装在远程用户的便携机和托管服务器上。如图1所示。

NIPS主要基于IDS及防火墙技术基础构建。NIPS通常以内嵌的方式，部署在网络的关键位置，所有经过sensor的数据均可被截取到。该系统把这两种技术融合在一起，构成一种深层检测与防护解决方案。为了便于管理这些NIPS设备及要保护的服务器、PC机、便携机和托管服务器，我们提供一个集中式的安全管理中心，通过它可以管理这些系统。管理中心除了管理配置功能之外，还具有接收NIPS和服务器、PC机、便携机和托管服务器各系统的告警信息。……