互联网信息安全监控技术方案

互联网信息安全监控技术方案

? 2013 道驰科技

目录

一. 前言 (3)

二. 需求分析 (3)

2.1政策需求分析 (3)

2.2安全需求分析 (4)

三. 解决方案 (4)

3.1串接部署方式 (5)

3.1.1 桥接方式 (5)

3.1.2 网关方式 (6)

3.2旁路部署方式 (6)

3.2.1 端口镜像 (6)

3.2.2 TAP分流 (7)

四. 主要功能 (8)

4.1百度贴吧监控 (8)

4.2网站监控 (8)

4.3邮件监控 (9)

4.4QQ监控 (9)

4.5MSN监控 (9)

4.6搜索引擎监控 (9)

4.7监控数据检索 (10)

4.8敏感信息的定位和告警 (10)

4.9非法信息的阻断和过滤 (10)

一. 前言

网站数量激增伴随着互联网的发展，网站数量急剧增多，至2009年初全国网站数量达到280万个，年增长率86.7%，全国网页数量达到160亿个，年增长率89.4%，全国域名数量达到1682万个，年增长率达到了41.9%，网站信息总量达到460,217GB。而目前信息内容安全管理不容乐观，特别是二级代理商通过租用专线或租用IDC服务器接入各类低俗网站（淫秽色情、迷信反动等），此类网站，监管难度大，传播速度快，社会危害严重。

2009年1月5日，国务院新闻办、工业和信息化部、公安部、文化部、工商总局、广电总局、新闻出版总署等七部门召开电视电话会议，部署在全国开展整治互联网低俗之风专项行动。国务院新闻办副主任蔡名照主持会议并讲话，强调要采取有力措施坚决遏制网上低俗之风蔓延，进一步净化网络文化环境，保护未成年人健康成长，推动互联网健康有序发展。

整治互联网低俗之风专项行动工作会议提出要求，相关企业应切实加强接入服务监管，认真落实监管责任，坚决关闭违法违规网站。而IDC目前仅能采取非常有限的措施。

二. 需求分析

2.1 政策需求分析

胡锦涛同志在今年1月23日发表的重要讲话中，强调要以创新的精神加强网络文化建设和管理满足人民群众日益增长的精神文化需要，指出我们必须以积极的态度、创新的精神，大力发展和传播健康向上的网络文化，切实把互联网建设好、利用好、管理好。

2005年12月23日，中华人民共和国公安部发布第82号令，颁布了《互联网安全保护技术措施规定》，要求“互联网服务提供者、联网使用单位负责落实互联网安全保护技术措施…”。要求连接到互联网上的单位要做到记录并留存用户注册信息；在公共信息服务中要发现、停止传输违法信息并留存相关记录。同时，明确规定联网单位要依次规定落实记录留存的技术

措施，至少要保存60天的记录备份。只要单位上网，就有义务配合公安机关满足82号令的要求，当发生反动、虚假言论时，可以提供追溯。

2.2 安全需求分析

网络是一把“双刃剑”：随着在中国互联网进入宽带发展快车道，网络给人民生活带来方便的同时，网络与信息安全问题显得越来越突出，尤其是淫秽、色情、反动等信息的快速传播，网络违法犯罪事件的增多，违背建设和谐社会的主旋律

对于网络管理者来说，需要解决的问题主要包括：

是谁通过互联网散布了政治谣言？是谁向互联网发布了反动、非法的、不健康的言论？跟据国家相关法律的规定，在互联网上发布淫秽信息与及迷信、反动、分裂等言论均为违法犯罪行为。

互联网的无监控使用会导致严重安全隐患，钓鱼站点，病毒站点的访问将把这些威胁的因素引入到合法网络当中，这时我们在网关处部署的大量的被动防御设施将无能为力

过去我们往往把信息安全局限于防病毒、攻击等要求,其实网络信息安全牵涉到方方面面的问题,是一个极其复杂的系统工程。从简化的角度来看,要实施一个完整的网络与信息安全体系,至少应包括三类措施,并且三者缺一不可。一是社会的法律政策、规章制度等外部软环境。在该方面信息安全监管部门、网络管理着应当扮演重要的角色。二是技术方面的措施,如防火墙技术、网络防毒、信息加密存储通信、身份认证、授权等。只有技术措施并不能保证百分之百的安全。三是审计和管理措施,该方面措施同时包含了技术与社会措施。其主要措施有:实时监控网络安全状态、提供实时改变安全策略的能力、对现有的安全系统实施漏洞检查等,以防患于未然。

三. 解决方案

互联网信息安全监控系统部署在网络中的骨干链路处，该位置通常是指网络出口，即网关位置。

整体解决方案的部署方式灵活、简单，部署方式分为旁路和串接两种：

1、旁路部署方式，包含端口镜像方式、TAP分流方式等，旁路部署一般适用于电信、公安、机关、校园网以及其他规模较大的网络，支持的链路形式包含10M、百兆、千兆、万兆、2.5G POS、10G POS、40G POS等。

2、串接部署方式，通常又可称作“桥接”或者“网关方式”，一般适用于非运营级的中小企业用户。

3.1 串接部署方式

串接部署方式一般适用于中小企业的网络规模较小的网络，主要可以分为“桥接模式”和“网关模式”

3.1.1 桥接方式

3.1.2 网关方式

3.2 旁路部署方式

网络规模较大的建议采用旁路部署模式，与串接模式相比旁路部署模式的优点：

第一：不改变现有的网络拓扑；

第二：不影响现有网络的性能，不引入新的延迟

第三：不引入新的单点故障

旁路部署模式根据部署点的情况又可以分为端口镜像和TAP（Splitter）两种方案。3.2.1 端口镜像

旁路部署为透明、被动式监控方式，互联网信息安全监控系统的硬件平台至少配置两个网络接口，其中一个做为设备管理接口，另一个做为旁路采集接口。旁路采集接口，一般采用端口镜像、TAP分流方式采集网络数据。

镜像端口（Mirroring 或Spanning）是指：高级的网络交换机可以将交换机的一个或几个端口的数据包复制到一个指定的镜像端口，互联网信息安全监控系统的采集接口可以连接到镜像端口以采集双向数据。

端口镜像的优势：

1、经济的，不需要额外的设备；

2、可同时监测一个交换机上一个VLAN 上所有的流量；

3、一个网络采集接口可监测多条交换机被镜像的链路；

4、使用方便简捷。

端口镜像模式的部署示意图如下：

3.2.2 TAP分流

TAP，全称叫做网路分流器(Network Tap)，是一个硬件设备，分为光分流器和电分流器两种，它直接插入到光纤链路或者UTP网络电缆，首先保证正常网络数据的转发，同时复制一份网络通信给其它接口。网络分流器通常用于网络入侵检测系统(IDS)，网络探测器和分析器等。

TAP分流模式，是将被监控的UTP链路用TAP分流设备一分为二，分流出来的数据接入采集接口，为互联网信息安全监控系统采集数据。

四. 主要功能

4.1 百度贴吧监控

互联网信息安全监控系统可以针对设置于百度上的各种贴吧进行发贴信息还原。监测和保存的数据包括网内所有发帖用户的发帖时间、源IP地址、宽带ADSL帐号名称、贴吧名称、主题、文件（内容）等。在文件部分，由于百度贴吧同一页面可能会采取不同的编码格式,因此互联网信息安全监控系统采用UTF-8和GB2312两种编码分别记录文件内容，用户在查看监测内容时可自由选择。

4.2 网站监控

互联网信息安全监控系统可以针对除百度贴吧以外的其他论坛、网站、博客、邮件系统的“POST”信息进行监控。网站监控功能主要是针对从网内发起的，向论坛、网站、博客、邮

件系统提交的所有URL记录和内容记录，监控报表包含信息提交时间、源IP地址、源ADSL 宽带帐号名称、目的IP地址、主机地址（论坛、网站、博客、邮件系统）、文件（提交的内容）等。

与百度贴吧监控针对贴吧名称、主题和内容进行详细区分不同，网站监控不区分网站、论坛名称，也不区分哪些是主题、哪些是内容，所有的信息都保存在网站监控报表的“文件”项。由于各网站可能会采取不同的网页编码格式,因此内容监控系统采用UTF-8和GB2312两种编码分别记录“文件”内容，用户在查看监测内容时可自由选择查看。

4.3 邮件监控

互联网信息安全监控系统能够实现对所有POP3邮件的监控,邮件报表包括邮件时间、源IP 地址、源账号、目的IP、发送者邮箱地址、接受者邮箱地址、邮件主题、内容---包含邮件内的压缩附件（比如：文本、word 文档、照片、压缩的软件等）。

4.4 QQ监控

QQ监控报表包含：QQ的登录或离线时间、源IP地址、源ADSL账号、QQ账号、该QQ是上线还是离线行为。

4.5 MSN监控

MSN监控报表包含：MSN聊天信息的发起时间、源IP地址、源ADSL账号、源MSN用户账号、目的MSN用户账号、MSN交互内容等。

4.6 搜索引擎监控

互联网信息安全监控系统，可以记录百度、谷歌等搜索引擎发起的搜索信息。报表内容含搜索时间、源IP地址、搜索的关键字、搜索引擎等。

4.7 监控数据检索

互联网信息安全监控系统的每个功能都支持对监控记录的数据检索和查询，检索可以根据多种条件进行操作，例如百度贴吧监控，可基于源IP地址、贴吧名称、主题等条件进行检索。

4.8 敏感信息的定位和告警

用户发帖、聊天和邮件内容如果包含敏感信息，可实时定位和告警，告警形式包括文字告警、手机短信告警和邮件告警等，告警内容包含信息发起人的IP地址、发起时间以及关键的信息内容等。

4.9 非法信息的阻断和过滤

用户上网内容里如果包含敏感、反动或非法信息，可设置阻断或过滤条件，阻断网络用户继续发起类似的信息，或者限制网络用户针对此类非法网站的访问，净化上网环境。