虚拟专网安全准入控制的设计与实现

论文摘要

虚拟专用网使用身份认证、数据的完整性验证、数据内容加密、抗重播保护等技术为数据传输提供了安全通道,然而,如果接入虚拟专网的终端节点自身存在着安全风险,或者存在恶意行为,即使这些节点通过了身份认证,在安全通道上传输的数据也可能是不安全的,因此,需要对终端进行安全接入保护。在对目前流行的各种终端安全接入技术进行深入分析的基础上,结合虚拟专网自身的特点,提出了虚拟专网安全准入控制的思想,并给出了一种基于Windows平台NDIS框架的虚拟专网安全准入控制的实现方案。这种方案的主要思想是:安全策略服务器根据实际安全需求产生具体的安全策略,并将其下发到终端,之后终端根据安全策略提供各种终端控制功能,如访问控制、接入控制、设备控制、漏洞扫描、安全审计、病毒防范、威胁防御、主机完整性控制等功能。其中,访问控制提供对终端应用程序访问网络的规则控制和对终端IP报文的访问控制;接入控制提供对系统安全性的检查,阻止不符合具体安全策略的终端接入,从而避免安全风险;设备控制为存在高安全级的场景提供串、并口设备和USB设备的控制功能。其主要实现技术是:使用NDIS-Hook技术对报文进行过滤;使用服务提供者接口技术SPI对应用程序访问网络进行控制;使用Windows管理规范WMI等各种技术对系统安全性进行检查。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 研究背景与目的
• 1.2 国内外研究现状
• 1.3 主要研究内容
• 2 虚拟专网客户端远程接入技术
• 2.1 IPSec 协议的介绍
• 2.1.1 IPSec 体系结构
• 2.1.2 IPSec 协议族
• 2.1.3 IPSec 处理
• 2.2 整体技术方案
• 2.2.1 组成元素
• 2.2.2 体系结构及动态过程
• 2.3 客户端技术方案
• 2.3.1 认证方式
• 2.3.2 客户端与认证代理的通信协议
• 2.3.3 实现IPSec VPN 的关键技术
• 2.4 本章小结
• 3 虚拟专网安全准入控制系统框架
• 3.1 终端安全技术
• 3.2 终端安全准入控制系统结构
• 3.2.1 系统框图
• 3.2.2 模块描述
• 3.2.3 系统运行
• 3.3 虚拟专网安全准入控制系统网关设计
• 3.3.1 系统结构
• 3.3.2 模块功能描述
• 3.3.3 网关策略形成
• 3.3.4 安全策略配置文件
• 3.4 本章小结
• 4 虚拟专网安全准入控制系统实现
• 4.1 访问控制
• 4.1.1 服务提供者接口SPI
• 4.1.2 应用程序控制
• 4.1.3 NDIS 中间层驱动
• 4.1.4 IP 规则控制
• 4.2 接入控制
• 4.2.1 进程接入控制
• 4.2.2 操作系统接入控制
• 4.2.3 文件接入控制
• 4.2.4 注册表接入控制
• 4.2.5 WMI 技术及防火墙杀毒软件检查
• 4.3 设备控制
• 4.3.1 串并口控制
• 4.3.2 USB 设备控制
• 4.4 本章小结
• 5 系统的测试与评价
• 5.1 测试环境
• 5.2 功能测试
• 5.2.1 访问控制测试
• 5.2.2 接入控制测试
• 5.2.3 设备控制测试
• 5.3 性能测试
• 5.4 本章小结
• 6 总结与展望
• 6.1 工作总结
• 6.2 展望
• 致谢
• 参考文献