企业网络安全管理分析论文.doc

企业网络安全管理分析论文 企业网络安全管理分析前 言 随着计算机技术和Internet的发展，企业和政府部门开始大规模的建立网络来推动电子商务和政务的发展，伴随着网络的业务和应用的丰富，对计算机网络的管理与维护也就变得至关重要。人们普遍认为，网络管理是计算机网络的关键技术之一，尤其在大型计算机网络中更是如此。网络管理就是指监督、组织和控制网络通信服务以及信息处理所必需的各种活动的总称。其目标是确保计算机网络的持续正常运行，并在计算机网络运行出现异常时能及时响应和排除故障。 网络故障极为普遍，网络故障的种类也多种多样，要在网络出现故障时及时对出现故障的网络进行维护，以最快的速度恢复网络的正常运行，掌握一套行之有效的网络维护理论、方法和技术是关键。就网络中常见故障进行分类，并对各种常见网络故障提出相应的解决方法。随着计算机的广泛应用和网络的日趋流行，功能独立的多个计算机系统互联起来，互联形成日渐庞大的网络系统。计算机网络系统的稳定运转已与功能完善的网络软件密不可分。计算机网络系统，就是利用通讯设备和线路将地理位置不同的、信息交换方式及网络操作系统等共享，包括硬件资源和软件资源的共享。因此，如何有效的做好本单位计算机网络的日常维护工作，确保其安全稳定地运行，这是网络运行维护人员的一项非常重要的工作。 - 1 - 企业网络安全管理分析目 录第一章 网络安全技术 . 41.1概述 . 41.2 防火墙 . 51.3 防火墙主要技术 . 61.4 防火墙体系机构 . 8第二章 网络管理 . 162.1 概述 . 162.2 常见的几种网络管理技术 . 202.3 统一不同的网络管理系统面临的问题 . 212.4 网络管理协议SNMP和CMIP的统一 . 242.5 网络管理分类及功能 . 262.6 网络管理体系结构及技术 . 30第三章 网络维护 . 333.1 概述 . 333.2 分析模型和方法 . 33- 2 - 企业网络安全管理分析3.3 计算机无法上网故障的排除 . 343.4 计算机网络故障分析 . 363.5 故障定位及排除的常用方法 . 373.6计算机网路维护 . 38结 束 语 . 40参 考 文 献 . 42- 3 - 企业网络安全管理分析第一章 网络安全技术1.1概述网络安全技术是指致力于解决诸如如何有效进行介入控制，以及如何保证数据传输的安全性的技术手段，主要包括物理的安全分析技术，网络结构安全分析技术，系统安全分析技术，管理安全分析技术，以及其他的安全服务和安全机制策略。21世纪全世界的计算机都将通过Internet联到一起，信息安全的内涵也就发生了根本的变化。它不仅从一般性的防卫变成了一种非常普通的防范，而且还从一种专门的领域变成了无处不在。当人类步入21世纪这一信息社会,网络社会的时候，我国将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国自己特色的网络安全体系。一个国家的信息安全体系实际上包括国家的法规和政策，以及技术与市场的发展平台。我国在构建信息防卫系统时，应着力发展自己独特的安全产品，我国要想真正解决网络安全问题，最终的办法就是通过发展民族的安全产业，带动我国网络安全技术的整体提高。网络安全产品有以下几大特点：第一，网络安全来源于安全策略与技术的多样化，如果采用一种统一的技术和策略也就不安全了；第二，网络的安全机制与技术要不断地变化；第三，随着网络在社会各方面的延伸，进入网络的手段也越来越多，因此，网络安全技术是一个十分复杂的系统工程。为此建立有中国特色的网络安全体系，需要国家政策和法规的支持及集团联合研究开发。安全与反安全就像矛盾的两个方面，总是不断地向上攀升，所以安全产业将来也是一个随着新技术发展而不断发展的产业。信息安全是国家发展所面临的一个重要问题。对于这个问题，我们还没有从系统的规划上去考虑它，从技术上、产业上、政策上来发展它。政府不仅应该看见信息安全的发展是我国高科技产业的一部分，而且应该看到，发展安全产业的- 4 - 企业网络安全管理分析政策是信息安全保障系统的一个重要组成部分，甚至应该看到它对我国未来电子 化、信息化的发展将起到非常重要的作用。1.2 防火墙网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包，如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层网关(代理服务器)以及电路层网关、屏蔽主机防火墙、双宿主机等类型。虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足，无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙概念后，防火墙技术得到了飞速的发展。国内外已有数十家公司推出了功能各不相同的防火墙产品系列。防火墙处于5层网络安全体系中的最底层，属于网络层安全技术范畴。在这一层上，企业对安全系统提出的问题是：所有的IP是否都能访问到企业的内部网络系统如果答案是“是”，则说明企业内部网还没有在网络层采取相应的防范措施。作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看，防火墙处于网络安全的最底层，负责网络间的安全认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统- 5 - 企业网络安全管理分析防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证，防止病毒与黑客侵入等方向发展。 根据防火墙所采用的技术不同，我们可以将它分为四种基本类型：包过滤型、网络地址转换NAT、代理型和监测型。1.3 防火墙主要技术包过滤型包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制定、判断规则。包过滤技术的优点是简单实用、实现成本较低、在应用环境比较简单的情况下，能够以较小的代价在一定程度上保证系统的安全。但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于网络层的安全技术，只能根据数据包的来源、目标和端口等网络信息进行判断，无法识别基于应用层的恶意侵入，如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址，骗过包过滤型防火墙。网络地址转换NAT网络地址转换是一种用于把IP地址转换成临时的，外部的，注册的IP地址标准。它允许具有私有IP地址的内部网络访问因特网。它还意味着用户不需要为其网络中每一台机器取得注册的IP地址。在内部网络通过安全网卡访问外部网络时，将产生一个映射记录。系统将外出的源地址和源端口映射为一个伪装的地址和端口，让这个伪装的地址和端口通过非安全网卡与外部网络连接，这样对外就隐藏了真实的内部网络地址。在外部- 6 - 企业网络安全管理分析网络通过非安全网卡访问 代理型防火墙的优点是安全性较高，可以针对应用层进行侦测和扫描，对付基于应用层的侵入和病毒都十分有效。其缺点是对系统的整体性能有较大的影响，而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置，大大增加了系统管理的复杂性。监测型监测型防火墙是新一代的产品，这一技术实际已经超越了最初的防火墙定义。监测型防火墙能够对各层的数据进行主动的、实时的监测，在对这些数据加以分析的基础上，监测型防火墙能够有效地判断出各层中的非法侵入。同时，这种监测型防火墙产品一般还带有分布式探测器，这些探测器安置在各种应用服务器和 其他网络的节点之中，不仅能够检测来自网络外部的攻击，同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计，在针对网络系统的攻击中，有相当比例的攻击来自网络内部。因此，监测型防火墙不仅超越了传统防火墙的定义，而且在安全性上也超越了前两代产品。- 7 - 企业网络安全管理分析虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙，但由于监测型防火墙技术的实现成本较高，也不易管理，所以目前在实用中的防火墙产品仍然以第二代代理型产品为主，但在某些方面也已经开始使用监测型防火墙。基于对系统成本与安全技术成本的综合考虑，用户可以选择性地使用某些监测型 技术。这样既能够保证网络系统的安全性需求，同时也能有效地控制安全系统的总成本。实际上，作为当前防火墙产品的主流趋势，大多数代理服务器(也称应用网关)也集成了包过滤技术，这两种技术的混合应用显然比单独使用具有更大的优势。由于这种产品是基于应用的，应用网关能提供对协议的过滤。例如，它可以过滤掉FTP连接中的PUT命令，而且通过代理应用，应用网关能够有效地避免* MERGEFORMAT 图1-1筛选路由式体系结构- 8 - 企业网络安全管理分析屏蔽子网式结构如图1-2所示，图1-2屏蔽子网式结构双网主机式体系结构如图1-3所示，SHAPE * MERGEFORMAT图1-3双网主机式体系结构- 9 - 企业网络安全管理分析屏蔽主机式体系结构如图1-4所示，图1-4屏蔽主机式体系结构1.5 入侵检测系统1、概念当前，平均每20秒就发生一次入侵计算机网络的事件，超过1/3的互联网防火墙被攻破！面对接二连三的安全问题，人们不禁要问：到底是安全问题本身太复杂，以至于不可能被彻底解决，还是仍然可以有更大的改善，只不过我们所采取的安全措施中缺少了某些重要的环节。有关数据表明，后一种解释更说明问题。有权威机构做过入侵行为统计，发现有80%来自于网络内部，也就是说，“堡垒”是从内部被攻破的。另外，在相当一部分黑客攻击当中，黑客都能轻易地绕过防火墙而攻击网站服务器。这就使人们认识到：仅靠防火墙仍然远远不能将“不速之客”拒之门外，还必须借助于一个“补救”环节-入侵检测系统。入侵检测系统（Intrusion detection system,简称IDS）是指监视（或者在可能的情况下阻止）入侵或者试图控制你的系统或者网络资源的行为的系统。作- 10 - 企业网络安全管理分析为分层安全中日益被越普遍采用的成份，入侵检测系统能有效地提升黑客进入网络系统的门槛。入侵检测系统能够通过向管理员发出入侵或者入侵企图来加强当前存取控制系统，例如防火墙，识别防火墙通常不能识别的攻击，如来自企业内部的攻击，在发现入侵企图之后提供必要的信息。入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干个关键点收集信息，并分析这些信息，检测网络中是否有违反安全策略的行为和遭到袭击的迹象。它的作用是监控网络和计算机系统是否出现被入侵或滥用的征兆。作为监控和识别攻击的标准解决方案，IDS系统已经成为安防体系的重要组成部分。IDS系统以后台进程的形式运行。发现可疑情况，立即通知有关人员。防火墙为网络提供了第一道防线，入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下对网络进行检测，从而提供对内部攻击、外部攻击和误解操作的实时保护。由于入侵检测系统是防火墙后的又一道防线，从而可以极大地减少网络免受各种攻击的损害。假如说防火墙是一幢大楼的门锁，那入侵检测系统就是这幢大楼里的监视系统。门锁可以防止小偷进入大楼，但不能保证小偷100%地被拒之门外，更不能防止大楼内部个别人员的不良企图。而一旦小偷爬入大楼，或内部人员有越界行为，门锁就没有任何作用了，这时，只有实时监视系统才能发现情况并发出警告。入侵检测系统不仅仅针对外来的入侵者，同时也针对内部的入侵行为。2、侵检测的主要技术入侵分析技术入侵分析技术主要有三大类：签名、统计和数据完整性。签名分析法签名分析法主要用来检测有无对系统的已知弱点进行的攻击行为。这类攻击可以通过监视有无针对特定对象的某种行为而被检测到。- 11 - 企业网络安全管理分析主要方法：从攻击模式中归纳出其签名，编写到IDS系统的代码里，再由IDS系统对检测过程中收集到的信息进行签名分析。签名分析实际上是一个模板匹配操作，匹配的一方是系统设置情况和用户操作动作，一方是已知攻击模式的签名数据库。统计分析法统计分析法是以系统正常使用情况下观察到的动作为基础，如果某个操作偏离了正常的轨道，此操作就值得怀疑。主要方法：首先根据被检测系统的正常行为定义一个规律性的东西，在此称为“写照”，然后检测有没有明显偏离“写照”的行为。统计分析法的理论经常是统计学，此方法中，“写照”的确定至关重要。 数据完整分析法数据完整分析法主要用来查证文件或对象是否被修改过，它的理论经常是密码学。3侵检测系统的分类：现有的IDS的分类，大都基于信息源和分析方法。为了体现对IDS从布局、采集、分析、响应等各个层次及系统性研究方面的问题，在这里采用五类标准：控制策略、同步技术、信息源、分析方法、响应方式。按照控制策略分类控制策略描述了IDS的各元素是如何控制的，以及IDS的输入和输出是如何管理的。按照控制策略IDS可以划分为，集中式IDS、部分分布式 IDS和全部分布式IDS。在集中式IDS中，一个中央节点控制系统中所有的监视、检测和报告。在部分分布式IDS中，监控和探测是由本地的一个控制点控制，层次的将报告发向一个或多个中心站。在全分布式IDS中，监控和探测是使用一种叫“代理”的方法，代理进行分析并做出响应决策。按照同步技术分类- 12 - 企业网络安全管理分析同步技术是指被监控的事件以及对这些事件的分析在同一时间进行。按照同步技中，信息源是以文件的形式传给分析器，一次只处理特定时间段内产生的信息，并在入侵发生时将结果反馈给用户。很多早期的基于主机的IDS都采用这种方案。在实时连续型IDS中，事件一发生，信息源就传给分析引擎，并且立刻得到处理和反映。实时IDS是基于网络IDS首选的方案。按照信息源分类按照信息源分类是目前最通用的划分方法，它分为基于主机的IDS、基于网络的IDS和分布式IDS。基于主机的IDS通过分析来自单个的计算机系统的系统审计踪迹和系统日志来检测攻击。基于主机的IDS是在关键的网段或交换部位通过捕获并分析网络数据包来检测攻击。分布式IDS，能够同时分析来自主机系统日志和网络数据流，系统由多个部件组成，采用分布式结构。按照分析方法分类按照分析方法IDS划分为滥用检测型IDS和异常检测型IDS。滥用检测型的IDS中，首先建立一个对过去各种入侵方法和系统缺陷知识的数据库，当收集到的信息与库中的原型相符合时则报警。任何不符合特定条件的活动将会被认为合法，因此这样的系统虚警率很低。异常检测型IDS是建立在如下假设的基础之上的，即任何一种入侵行为都能由于其偏离正常或者所期望的系统和用户活动规律而被检测出来。所以它需要一个记录合法活动的数据库，由于数据库的有限性使得虚警率比较高。按照响应方式分类按照响应方式IDS划分为主动响应IDS和被动响应IDS。当特定的入侵被检测到时，主动IDS会采用以下三种响应：收集辅助信息；改变环境以堵住导致入侵发生的漏洞；对攻击者采取行动（这是一种不被推荐的做法，因为行为有点过激）。被动响应IDS则是将信息提供给系统用户，依靠管理员在这一信息的基础上采取进一步的行动。4 IDS的评价标准- 13 - 企业网络安全管理分析目前的入侵检测技术发展迅速，应用的技术也很广泛，如何来评价IDS的优缺点就显得非常重要。评价IDS的优劣主要有这样几个方面：（1）准确性。准确性是指IDS不会标记环境中的一个合法行为，为异常或入侵。（2）性能。IDS的性能是指处理审计事件的速度。对一个实时IDS来说，必须要求性能良好。（3）完整性。完整性是指IDS能检测出所有的攻击。（4）故障容错（fault tolerance）。当被保护系统遭到攻击和毁坏时，能迅速恢复系统原有的数据和功能。（5）自身抵抗攻击能力。这一点很重要，尤其是“拒绝服务”攻击。因为多数对目标系统的攻击都是采用首先用“拒绝服务”攻击摧毁IDS，再实施对系统的攻击。（6）及时性（Timeliness）。一个IDS必须尽快地执行和传送它的分析结果，以便在系统造成严重危害之前能及时做出反应，阻止攻击者破坏审计数据或IDS本身。 除了上述几个主要方面，还应该考虑以下几个方面：（1）IDS运行时，额外的计算机资源的开销；（2）误警报率漏警报率的程度；（3）适应性和扩展性；（4）灵活性；（5）管理的开销；（6）是否便于使用和配置。5 IDS的发展趋势随着入侵检测技术的发展，成型的产品已陆续应用到实践中。入侵检测系统的典型代表是ISS（国际互联网安全系统公司）公司的 RealSecure。目前较为著名的商用入侵检测产品还有：NAI公司的CyberCop Monitor、Axent公司的NetProwler、CISCO公司的Netranger、CA公司的Sessionwall3等。国内的该类产品较少，但发展很快，已有总参北方所、中科网威、启明星辰等公司推出产品。人们在完善原有技术的基础上，又在研究新的检测方法，如数据融合技术，主动的自主代理方法，智能技术以及免疫学原理的应用等。其主要的发展方向可概括为：（1）大规模分布式入侵检测。传统的入侵检测技术一般只局限于单一的主机或网络框架，显然不能适应大规模网络的监测，不同的入侵检测系统之间也不能协同工作。因此，必须发展大规模的分布式入侵检测技术。（2）宽带高速网络的实时入侵检测技术。大量高速网络的不断涌现，各种宽带接入手段层出不穷，如何实现高速网络下的实时入侵检测成为一个现实的问题。- 14 - 企业网络安全管理分析（3）入侵检测的数据融合技术。目前的IDS还存在着很多缺陷。首先，目前的技术还不能对付训练有素的黑客的复杂的攻击。其次，系统的虚警率太高。最后，系统对大量的数据处理，非但无助于解决问题，还降低了处理能力。数据融合技术是解决这一系列问题的好方法。（4）与网络安全技术相结合。结合防火墙，病毒防护以电子商务技术，提供完整的网络安全保障。 - 15 - 企业网络安全管理分析第二章 网络管理2.1 概述随着计算机技术和Internet的发展，企业和政府部门开始大规模的建立网络来推动电子商务和政务的发展，伴随着网络的业务和应用的丰富，对计算机网络的管理与维护也就变得至关重要。人们普遍认为，网络管理是计算机网络的关键技术之一，尤其在大型计算机网络中更是如此。网络管理就是指监督、组织和控制网络通信服务以及信息处理所必需的各种活动的总称。 其目标是确保计算机网络的持续正常运行，并在计算机网络运行出现异常时能及时响应和排除故障。 关于网络管理的定义目前很多，但都不够权威。一般来说，网络管理就是通过某种方式对网络进行管理，使网络能正常高效地运行。其目的很明确，就是使网络中的资源得到更加有效的利用。它应维护网络的正常运行，当网络出现故障时能及时报告和处理，并协调、保持网络系统的高效运行等。国际标准化组织 （ISO）在ISO/IEC7498-4中定义并描述了开放系统互连（OSI）管理的术语和概念，提出了一个OSI管理的结构并描述了OSI管理应有的行为。它认为，开放系统互连管理是指这样一些功能，它们控制、协调、监视OSI环境下的一些资源，这些资源保证OSI环境下的通信。通常对一个网络管理系统需要定义以下 系统的功能。即一个网络管理系统应具有哪些功能。 网络资源的表示。网络管理很大一部分是对网络中资源的管理。网络中的资源就是指网络中的硬件、软件以及所提供的服务等。而一个网络管理系统必须在系统中将它们表示出来，才能对其进行管理。 网络管理信息的表示。网络管理系统对网络的管理主要靠系统中网络管理信息的传递来实现。网络管理信息应如何表示、怎样传递、传送的协议是什么?这都是一个网络管理系统必须考虑的问题。 系统的结构。即网络管理系统的结构是怎样的。网络管理这一学科领域自20世纪80年代起逐渐受到重视，许多国际标准化组织、论坛和科研机构都先后开发了各类标准、协议来指导网络管理与设计，但- 16 - 企业网络安全管理分析各种网络系统在结构上存在着或大或小的差异，至今还没有一个大家都能接受的标准。当前，网络管理技术主要有以下三种：诞生于Internte家族的SNMP是专门用于对Internet进行管理的，虽然它有简单适用等特点，已成为当前网络界的实际标准，但由于Internet本身发展的不规范性，使SNMP有先天性的不足，难以用于复杂的网络管理，只适用于TCP/IP网络，在安全方面也有欠缺。已有SNMPv1和SNMPv2两种版本，其中SNMPv2主要在安全方面有所补充。随着新的网络技术及系统的研究与出现，电信网、有线网、宽带网等的融合，使原来的SNMP已不能满足新的网络技术的要求；CMIP可对一个完整的网络管理方案提供全面支持，在技术和标准上比较成熟.最大的优势在于，协议中的变量并不仅仅是与终端相关的一些信息，而且可以被用于完成某些任务，但正由于它是针对SNMP的不足而设计的，因此过于复杂，实施费用过高，还不能被广泛接受；分布对象网络管理技术是将CORBA技术应用于网络管理而产生的，主要采用了分布对象技术将所有的管理应用和被管理元素都看作分布对象，这些分布对象之间的交互就构成了网络管理。此方法最大的特点是屏蔽了编程语言、网络协议和操作系统的差异，提供了多种透明性，因此适应面广、开发容易、应用前景广阔。SNMP和CMIP这两种协议由于各自有其拥护者，因而在很长一段时期 网络管理系统通常由管理者(Manager)和代理( Agent)组成，管理者从各代理那儿采集管理信息，进行加工处理，从而提供相应的网络管理功能，达到对代理管理之目的。即管理者与代理之间需要网络实现管理信息交换，以完成各种管理功能，交换管理信息必须遵循统一的通信规约，我们称这个通信规约为网络管理协议。- 17 - 企业网络安全管理分析目前有两大网管协议，一个是由IETF提出来的简单网络管理协议SNMP，它是基于TCP / IP和Internet的。因为TCP/IP协议是当今网络互连的工业标准，得到了众多厂商的支持，因此SNMP是一个既成事实的网络管理标准协议。SNMP的特点主要是采用轮询监控，管理者按一定时间间隔向代理者请求管理信息，根据管理信息判断是否有异常事件发生。轮询监控的主要优点是对代理的要求不高；缺点是在广域网的情形下，轮询不仅带来较大的通信开销，而且轮询所获得的结果无法反映最新的状态。另一个是ISO定义的公共管理信息协议CMIP。CMIP是以OSI的七层协议栈作为基础，它可以对开放系统互连环境下的所有网络资源进行监测和控制，被认为是未来网络管理的标准协议。CMIP的特点是采用委托监控，当对网络进行监控时，管理者只需向代理发出一个监控请求，代理会自动监视指定的管理对象，并且只是在异常事件(如设备、线路故障)发生时才向管理者发出告警，而且给出一段较完整的故障报告，包括故障现象、故障原因。委托监控的主要优点是网络管理通信的开销小、反应及时，缺点是对代理的软硬件资源要求高，要求在管站上开发许多相应的代理程序，因此短期内尚不能得到广泛的支持。网络管理系统的组成网络管理的需求决定网管系统的组成和规模，任何网管系统无论其规模大小如何，基本上都是由支持网管协议的网管软件平台、网管支撑软件、网管工作平台和支撑网管协议的网络设备组成。网管软件平台提供网络系统的配置、故障、性能以及网络用户分布方面的基本管理。目前决大多数网管软件平台都是在UNIX 和DOS/WINDOWS平台上实现的。目前公认的三大网管软件平台是：HP View、IBM Netview和SUN Netmanager。虽然它们的产品形态有不同的操作系统的版本，但都遵循SNMP协议和提供类似的网管功能。不过，尽管上述网管软件平台具有类似的网管功能，但是它们在网管支撑软件的支持、系统的可靠性、用户界面、操作功能、管理方式和应用程序接口， 以及数据库的支持等方面都存在差别。可能在其它操作系统之上实现的Netview、Openview、Netmanager网 管 软 件 平 台 版 本 仅 是 标 准Netview、- 18 - 企业网络安全管理分析Openview、Netmanager的子集。例如，在MS Windows操作系统上实现的Netview 网管软件平台版本Netview for Windows 便仅仅只是Netview的子集。网管支撑软件是运行于网管软件平台之上，支持面向特定网络功能、网络设备和操作系统管理的支撑软件系统。网络设备生产厂商往往为其生产的网络设备开发专门的网络管理软件。这类软件建立在网络管理平台之上，针对特定的网络管理设备，通过应用程序接口 与平台交互，并利用平台提供的数据库和资源，实现对网络设备的管理，比如Cisco Works就是这种类型的网络管理软件，它可建立在HP Open View和IBM Netview等管理平台之上，管理广域互联网络中的Cisco路由器及其它设备。通过它，可以实现对Cisco的各种网络互联设备（如路由器、交换机 等）进行复杂网络管理。 网络管理的体系结构网络管理系统的体系结构（简称网络拓扑）是决定网络管理性能的重要因素之一。通常可以分为集中式和非集中式两类体系结构。目前，集中式网管体系结构通常采用以平台为中心的工作模式，该工作模式把单一的管理者分成两部分：管理平台和管理应用。管理平台主要关心收集的信息并进行简单的计算，而管理应用则利用管理平台提供的信息进行决策和执行更高级的功能。非集中方式的网络管理体系结构包括层次方式和分布式。层次方式采用管理者的管理者MOM（Manager of manager）的概念，以域为单位，每个域有一个管理者，它们之间的通讯通过上层的MOM，而不直接通讯。层次方式相对来说具有一定的伸缩性，通过增加一级MOM，层次可进一步加深。分布式是端对端（peer to peer）的体系结构，整个系统有多个管理方，几个对等的管理者同时运行于网络中，每个管理者负责管理系统中一个特定部分 “域”，管理者之间可以相互通讯或通过高级管理者进行协调。对于选择集中式还是非集中式，这要根据实际场合的需要来决定。而介于两者之间的部分分布式网管体系结构，则是近期发展起来的兼顾两者优点的一种新型网管体系结构- 19 - 企业网络安全管理分析2.2 常见的几种网络管理技术1、基于WEB的网络管理模式随着 Internet技术的广泛应用，Intranet也正在悄然取代原有的企业内部局域网，由于异种平台的存在及网络管理方法和模型的多样性，使得网络管理软件开发和维护的费用很高， 培训管理人员的时间很长，因此人们迫切需要寻求高效、方便的网络管理模式来适应网络高速发展的新形势。随着Intranet和WEB 及其开发工具的迅速发展，基于WEB的网络管理技术也因此应运而生。基于WEB的网管解决方案主要有以下几方面的优点：（1）地理上和系统间的可移动性，系统管理员可以在Intranet 上的任何站点或Internet的远程站点上利用 WEB 浏览器透明存取网络管理信息；（2）统一的WEB浏览器界面方便了用户的使用和学习，从而可节省培训费用和管理开销；（3）管理应用程序间的平滑链接，由于管理应用程序独立于平台，可以通过标准的HTTP协议将多个基于WEB的管理应用程序集成在一起，实现管理应用程序间的透明移动和访问；（4）利用 JAVA技术能够迅速对软件进行升级。为了规范和促进基于WEB的网管系统开发，目前已相继公布了两个主要推荐标准：WEBM和JMAPI。两个推荐标准各有其特色，并基于不同的原理提出。WEBM方案仍然支持现存的管理标准和协议，它通过WEB技术对不同管理平台所提供的分布式管理服务进行集成，并且不会影响现有的网络基础结构。JMAPI 是一种轻型的管理基础结构，采用JMAPI来开发集成管理工具存在以下优点：平台无关、高度集成化、消除代理程序版本分发问题、安全性和协议无关性。2、分布对象网络管理技术目前广泛采用的网络管理系统模式是一种基于Client/Server技术的集中式平台模式。由于组织结构简单，自应用以来，已经得到广泛推广，但同时也存在着许多缺陷：一个或几个站点负责收集分析所有网络节点信息，并进行相应管理，造成中心网络管理站点负载过重；所有信息送往中心站点处理， 造成此处通信瓶颈；每个站点上的程序是预先定义的，具有固定功能，不利于扩展。随着网络技术和网络规模尤其是因特网的发展，集中式在可扩展性、可靠性、有效性、灵活性等方面有很大的局限，已不能适应发展的需要.- 20 - 企业网络安全管理分析CORBA技术CORBA技术是对象管理组织OMG推出的工业标准，主要思想是将分布计算模式和面向对象思想结合在一起，构建分布式应用。CORBA的主要目标是解决面向对象的异构应用之间的互操作问题，并提供分布式计算所需要的一些其它服务。OMG是CORBA平台的核心，它用于屏蔽与底层平台有关的细节，使开发者可以集中精力去解决与应用相关的问题，而不必自己去创建分布式计算基础平台。CORBA将建立在 ORB之上的所有分布式应用看作分布计算对象，每个计算对象向外提供接口，任何别的对象都可以通过这个接口调用该对象提供的服务。CORBA同时提供一些 公共服务设施，例如名字服务、事务服务等，借助于这些服务，CORBA可以提供位置透明性、移动透明性等分布透明性。CORBA的一般结构基于CORBA的网络管理系统通常按照Client/Server的结构进行构造。其中，服务方是指针对网络元素和数据库组成的被管对象进行的一些基本网络服务，例如配置管理、性能管理等。客户方则是面向用户的一些界面，或者提供给用户进一步开发的管理接口等。其中，从网络元素中获取的网络管理信息通常需要经过CORBA/SNMP网关或CORBA/CMIP网关进行转换，这一部分在有的网络管理系统中被抽象成CORBA代理的概念。从以上分析可以看出，运用CORBA技术完全能够实现标准的网络管理系统。不仅如此，由于CORBA是一种分布对象技术，基于CORBA的网络管理系统能够克服传统 网络管理技术的不足，在网络管理的分布性、可靠性和易开发性方面达到一个新的高度。2.3 统一不同的网络管理系统面临的问题网络管理的统一存在三个层次。站点级的统一，这是最低级的统一，不同的网络管理系统在同一服务器上运行，相互独立，是不同的NMS。- 21 - 企业网络安全管理分析GUI级的统一，指不同的网络管理系统操作界面风格统一，运用的术语相同，管理员面对的是一种操作语言，这是一种表面上的统一，具有友好的一次性学习的界面。管理应用级的统一，这是最高级别的统一。在这个级别上，不但实现了GUI的统一，各种网络管理系统的管理应用程序按照统一标准设计，应用程序间可进行信息共享和关联操作。在这一层面上的统一实现了对异构网的综合分析与管理，进行关联操作，网管系统可具有推理判断能力。统一的 网管协议的统一管理协议是NMS核心和管理代理之间进行信息交换遵循的标准，是网管系统统一的关键所在。目前流行的两种网管协议为SNMP(Simple Network Management Protocal)和CMIS/CMIP(Common Mangement Information Protocal).SNMP是由互联网活动委员会IAB提出的基于TCP/IP网管协议，CMIP是由国际标准化组织ISO开发的基于网络互联的网管协议。网管协议的统一就是指这两种协议的统一。 网管功能的统一在ISO标准中定义了配置管理、故障管理、性能管理、安全管理、计费管理等领域。现有的网管系统在网管规范尚未成熟就进行了开发，大都是实现了部分- 22 - 企业网络安全管理分析模块的部分功能。这些网管系统功能单一，相互独立，不能实现信息的共享。不能从宏观上实现管理，不利于网络的综合管理。统一的策略将多个网络管理系统统一在一起的方法有三种，一种是格式转换法，即各个子网管理系统通过代理程序进行格式的转换，以便相互识别和共享资源，是一种分散式管理方式。另一种使用分层网管平台，即建立更高级的管理系统，高级网管系统和低级网管系统间进行通信，分层管理，是一种分布式管理方式。第三种是标准化方法，是遵循标准的规范和协议，建立的综合网络管理系统。使用分层的网管平台是当前较为流行的方法，如现在广泛研究和讨论的基于CORBA的TMN(Te