Linux下OpenVPN的两种用户访问控制方法

该文以OpenVPN中的用户访问控制为研究对象,具体分析了两种用户访问控制方法,即包过滤方法和iptables的防火墙规则方法,前者可以实现基于IP和基于用户的两种访问控制,而后者只能实现基于IP地址的访问控制,但是后者可以实现针对单个用户和针对用户的访问控制;进一步,给出保存网络用户访问日志的方法和步骤,以提高网络使用的安全性和可溯源性。     

面向大规模网络的基于政策的访问控制框架

研究防火墙(或过滤路由器)应用于传输网络中的管理问题与吞吐量问题.一方面,手工配置分布在各个接入点的大量防火墙,无法满足开放的、动态的网络环境的安全管理需求;另一方面,大量过滤规则的顺序查找导致了防火墙吞吐量下降.针对一个典型的传输网络和它的安全政策需求,提出了一种基于政策的访问控制框架(PACF),该框架基于3个层次的访问控制政策的抽象:组织访问控制政策(OACP)、全局访问控制政策(GACP)和本地访问控制政策(LACP).根据OACP,GACP从入侵监测系统和搜索引擎产生,作为LACP自动地、动态地分配到各防火墙中,由防火墙实施LACP.描述了GACP的分配算法和LACP的实施算法,提出了一种基于散列表的过滤规则查找算法.PACF能够大量减轻管理员的安全管理工作,在描述的安全政策需求下,基于散列表的规则查找算法能够将传统顺序查找算法的时间复杂度从O(N)降低到O(1),从而提高了防火墙的吞吐量.     

防火墙的动态访问控制机制

防火墙的静态过滤规则对安全的管理是基于IP地址而非基于用户,这在实际应用中是很不方便的。针对这种情况,文章提出了一个防火墙的动态访问控制机制,它可以在验证用户身份的基础上,实施基于用户的灵活的动态安全策略。该机制利用HTTP重定向技术实现透明的WEB认证,采用事件驱动方式、BitMap和Hash表算法等保证系统具有良好的性能。目前该机制的原型已经在Linux下实现,并应用在防火墙上,实践表明该机制具有安全策略灵活且可管理,使用简单,大用户量下扩展性好等优点。     

基于divert socket的应用层防火墙

针对包过滤防火墙和状态检测防火墙的安全控制层次较低、控制能力有限、不能依据数据包内容进行控制的缺点,介绍一种在FreeBSD的IPFW防火墙之上,使用转发套接字建立进程级应用层防火墙的技术.通过这种技术建立的应用层防火墙既保留包过滤防火墙和状态检测防火墙对用户透明的优点,又具有针对特定应用进行访问控制的能力.     

基于语义技术的软件用户访问控制方法

在应用软件中广泛使用的访问控制模型不能根据用户上下文来动态改变资源的访问权限。针对上述问题提出一种基于语义技术的访问控制方法,实现了对用户的动态授权。提出基于语义信息的用户模型和资源模型并构建面向用户模型和资源模型的基础本体,定义一组与访问控制相关的语义规则及推理规则,并设计基于语义推理过程的判定算法。访问控制过程是接收并分析访问请求,根据语义规则从显示的本体知识中获取相关联的用户信息,调用判定算法得出用户与资源间的访问权限关系。最后通过某综合减灾应用系统案例来验证该方法的有效性。     

电力企业安全访问控制的实现

传统防火墙实现访问控制一般是基于IP地址、端口的策略控制,而更为细致灵活的访问控制还可以基于用户来实现。本文根据在电力企业项目实践中Checkpoint防火墙访问控制功能与Windows域环境控制相结合,实现安全访问控制的应用案例,介绍了如何利用两种控制技术相结合,避开基于IP地址认证的缺陷,实现基于用户的身份谁认证,以满足更高安全需求的访问控制。     

基于区域分割的防火墙部署与配置

防火墙技术作为内部网络与外部网络之间的第一道安全屏障,是受到人们重视的网络安全技术之一。本文为提高网络安全的健壮性,从实施网络安全策略的角度,提出了一种以区域分割的三角方式部署防火墙系统的方案,说明了基于Cisco FIX525防火墙配置方法,以及访问控制列表与防火墙包过滤规则的联合应用方法。实用检验说明,这种方案能够较好地实现网络安全访问控制,有效地提高网络安全性。     

防火墙：多种架构并行发展

问题一:从现有的网络环境,以及用户安全需求的变化趋势来看,防火墙产品的市场将呈现哪些特点?当前,防火墙产品有一个非常明显的发展趋势,就是访问控制层次明显上升。最初的防火墙(ACL访问控制)只针对网络层,后来的状态包过滤技术使得防火墙技术上了一个台阶,将传输层和网络层的访问控制有机地结合起来,使得被保护资源更加安全。近几年来,随着病毒、入侵等事件逐渐成为安全领域的焦点问题,防火墙产品也在逐渐抬高访问控制级别,也就是从传输层的访问控制向应用层的访问控制转移,但这个转移是困难的,目前受制于非常多的因素,联想相关产品也在…     

主动防御 应用为主——记新一代方正防火墙技术

国内最大的信息安全解决方案供应商———方正信息安全公司最近推出的新一代防火墙技术(智能IP识别技术)采用先进的内核调度算法、零拷贝流分析算法和快速搜索算法,解决了传统防火墙在上述方面的不足!这一“以应用为导向”的尖端防火墙技术完美实现了高效的数据应用分类和规则快速定位,通过与状态检测技术相结合,对会话进行访问控制,从而做到针对多元化应用进行有效的访问控制,同时还保持高速的网络数据检测效率。基于“智能IP识别技术”,方正防火墙的多媒体支持功能和应用过滤功能都非常出色,可以全面支持H.323、UPnP等多媒体协议,同时…     

防火墙在传输网络中的吞吐量与管理问题及解决方案

讨论防火墙在大型传输网络(Transit Network )应用中的管理和吞吐量问题：一是手工方式配置分布在各个接入点的多个防火墙,无法适应开放的、动态的网络环境;二是大量的过滤规则导致防火墙吞吐量下降.针对大量防火墙的管理问题,该文提出了一种访问控制政策的自动分配与动态配置模型,将全局过滤规则自动地分发到相应的防火墙;同时利用入侵监测系统和搜索引擎的结果,自动定位防火墙、动态配置过滤规则,实时地过滤不良站点,终止攻击行为.针对单个防火墙的吞吐量问题,提出了一种基于散列表的规则匹配算法,该算法可以将时间复杂度从O(N)降低到O(1),从而大大提高防火墙的吞吐量.     

基于防火墙规则匹配优化算法的研究

随着网络功能和应用程序的增加,过滤规则集日益庞大,这严重影响了网络的性能。该文提出了一种基于规则匹配的防火墙优化方法。该方法对通过防火墙匹配的数据包进行权重计算相关规则排序,从而减少规则匹配时间。仿真结果显示,该方法有效地改善了防火墙的性能。     

一种基于统计分析的自适应性动态过滤规则优化方法

防火墙过滤规则是否合理直接影响到防火墙系统的性能,但是如何检查过滤规则之间的先后顺序对防火墙安全性的影响是至关重要的,为此提出了具有自适应特性的基于统计分析的动态过滤规则优化的方法。该方法根据统计数据动态调整过滤规则的相对次序,使其和当前网络流量特性相一致,并且具有自适应性,提高了防火墙系统智能,而且还可以检查出系统的有效过滤规则,以及检查防火墙过滤规则是否存在安全漏洞。     

Application of evolutionary algorithm in performance optimization of embedded network firewall

With the development of the network, the problem of network security is becoming increasingly serious. The importance of a firewall as the "first portal" to network security is obvious. In order to cope with a complex network environment, the firewall must formulate a large number of targeted rules to help it implement network security policies. Based on the characteristics of the cloud environment, this paper makes in-depth research on network security protection technology, and studies the network firewall system. The system implements unified configuration of firewall policy rules on the cloud management end and delivers them to the physical server where the virtual machine is located. Aiming at the characteristics of virtual machines sharing network resources through kernel bridges, a network threat model for virtual machines in a cloud environment is proposed. Through analysis of network security threats, a packet filtering firewall scheme based on kernel bridges is determined. Various conflict relationships between rules are defined, and a conflict detection algorithm is designed. Based on this, a rule order adjustment algorithm that does not destroy the original semantics of the rule table is proposed. Starting from the matching probability of the rules, simple rules are separated from the default rules according to the firewall logs, the relationships between these rules and the original rules are analyzed, and the rules are merged into new rules to evaluate the impact of these rules on the performance of the firewall. New rules are added to the firewall rule base to achieve linear firewall optimization. It can be seen from the experimental results that the optimization strategy proposed in this paper can effectively reduce the average number of matching rules and improve the performance of the firewall.     

免疫防火墙模型的构造

为了改变传统防火墙静态的缺点，在计算机免疫学原理的指导下，通过借鉴自然免疫系统特征，提出了免疫防火墙模型。该模型是两层结构，第1层采用传统的防火墙技术，第2层是基于免疫原理的免疫层。免疫层采用规则树编码的识别器，通过在self、nonself集上进行学习和识别训练，获得self、nonself的主要特征，产生动态规则，即免疫层的免疫(淋巴)细胞，以自适应的方式阻拦非法数据，并利用演化计算对识别器进行演化。该防火墙模型具有一定的自适应性和动态性。     

Ant Colony Optimization based approach for efficient packet filtering in firewall

A firewall is a security guard placed at the point of entry between a private network and the outside network. The function of a firewall is to accept or discard the incoming packets passing through it based on the rules in a ruleset. Approaches employing Neural networks for packet filtering in firewall and packet classification using 2D filters have been proposed in the literature. These approaches suffer from the drawbacks of acceptance of packets from the IP address or ports not specified in the firewall rule set and a restricted search in the face of multiple occurrences of the same IP address or ports respectively. In this paper we propose an Ant Colony Optimization (ACO) based approach for packet filtering in the firewall rule set. Termed Ant Colony Optimization Packet Filtering algorithm (ACO-PF), the scheme unlike its predecessors, considers all multiple occurrences of the same IP address or ports in the firewall rule set during its search process. The other parameters of the rule matching with the compared IP address or ports in the firewall ruleset are retrieved and the firewall decides whether the packet has to be accepted or rejected. Also this scheme has a search space lesser than that of binary search in a worst case scenario. It also strictly filters the packets according to the filter rules in the firewall rule set. It is shown that ACO-PF performs well when compared to other existing packet filtering methods. Experimental results comparing the performance of the ACO-PF scheme with the binary search scheme, sequential search scheme and neural network based approaches are presented.     

Improving cloud network security using the Tree-Rule firewall

This study proposes a new model of firewall called the ‘Tree-Rule Firewall’, which offers various benefits and is applicable for large networks such as ‘cloud’ networks. The recently available firewalls (i.e., Listed-Rule firewalls) have their limitations in performing the tasks and are inapplicable for working on some networks with huge firewall rule sizes. The Listed-Rule firewall is mathematically tested in this paper to prove that the firewall potentially causes conflict rules and redundant rules and hence leads to problematic network security systems and slow functional speed. To overcome these problems, we show the design and development of Tree-Rule firewall that does not create conflict rules and redundant rules. In a Tree-Rule firewall, the rule positioning is based on a tree structure instead of traditional rule listing. To manage firewall rules, we implement a Tree-Rule firewall on the Linux platform and test it on a regular network and under a cloud environment respectively to show its performance. It is demonstrated that the Tree-Rule firewall offers better network security and functional speed than the Listed-Rule firewall. Compared to the Listed-Rule firewall, rules of the Tree-Rule firewall are easier to be created, especially on a large network such as a cloud network.     

一种防火墙规则冲突检测算法

在入侵检测系统和状态检测防火墙等应用中,规则冲突检测及冲突解析算法是影响安全性及服务质量的关键。首先对防火墙过滤规则之间的关系进行了建模和分类。然后在过滤规则关系分类的基础上提出了一种冲突检测算法。该算法能够自动检测、发现规则冲突和潜在的问题,并且能够对防火墙过滤规则进行无冲突的插入、删除和修改。实现该算法的工具软件能够显著简化防火墙策略的管理和消除防火墙的规则冲突。     

一种防火墙规则配置异常分析方法

从集合角度描述防火墙过滤规则及规则之间存在的异常类型,给出规则间异常类型判定方法。指出直接使用判定方法分析防火墙规则集时所存在的问题,提出一种基于规则顺序敏感性的防火墙规则配置异常分析方法,得到等效的不相关规则集,实现过滤规则的改写。     

基于Linux的网络入侵防御系统的研究和设计

基于特征的入侵防御系统是目前的入侵防御技术的主流。分析研究Snort入侵检测系统和Netfilter防火墙的工作原理,对如何保障自身安全以及联动的方式进行探讨,利用插件技术、多线程技术设计编写相关协同模块,提出一种基于Snort和Netfilter的分布式入侵防御系统;针对Netfilter防火墙规则集的顺序敏感性的工作特点,对其规则的编写进行具体优化,提高系统工作效率。经过测试证明,该系统灵活高效,能够利用入侵检测系统的检测能力,动态地为防火墙定制过滤规则,阻断攻击源,从而达到入侵防御的目的。