数字热本与变用
网络管理系统中主机管理技术的研究
牛锐
(哈尔滨边防检查站黑龙江哈尔滨150079)
应用研究
摘要：本文设计了一个基于Web的主机管理系统，通过对主机用户进行身份认证以及基于权限的访问控制达到管理主机资源的日的关键调：网络管理主机管理用户认证权限控制
中图分类号：TP393 1、引言
文献标识码：A
文章编号：1007-9416(2012)06-0095-01
所有信息存人数据库中，控制中心模块的功能是在管理端通过 SNMP协议向主机代理发送Get/Set操作实现的，管理端需要明确
内网网络管理面临的主要问题包括：安全评估、信息管理、用户管理和安全审计四个方面的内容。要解决以上问题，需对使用主机的用户进行合法性认证，并对合法用户进行访间控制，限制用户的使用权限，
2、主机管理系统的设计
主机管理系统主要是对内网中的主机进行统一的管理，整个内网主机安全管理体系架构如图1所示，其中每一个模块均是由管理端与主机代理端两个部分相结合面成
家#
记录查询远得种制
+)
t
用
政泥库
进程管理二外管理
图1主机管理总体框架
首先，身份认证模块对用户身份的合法性进行验证，使用的是基于用户名和密码的方案。主机用户输人用户名和密码后，代理端连接用户数据库查询，著用户名和密码匹配则认证成功，否则认证失败，为增强抵御密码猜测攻击的能力，设置若用户三次认证失败，主机蜂鸣告警并自动关机，同时间管理端发出告警信息。
访问控制模块负责用户权限的分配与管理。合法用户通过访间控制机制获取不同的访问权限，并根据权限控制原则访间相应的资源。本文采用的是IDH-RBAC访问控制模型(IntranetDomainHost RBAC),IDH-RBAC访间控制模型是在内网中对主机用户的权限进行控制而构建的，在一个内网中，首先将其划分为若干个域，然后在每个域中定义一定的用户并分配一定量的主机，这些用户在同一个域中的主机上可以同时登陆且具有的权限是
一致的。同时用户权限管理是
基于角色的，对于每一个角色的用户分配相同的使用权限，然后再根据这些角色的权限与主机中的资源取最小交集作为最终的访问权限。
主机资源管理模块主要负责对主机资源进行分类以及形式化描述，为各功能子模块提供操作基础。外设管理子模块根据用户权限管理USB，光驱，申行通讯端口，即插即用显示器等外设的使用；进程管理子模块负责进程的启动与停止，记录查询模块可以实现对系统用户操作的查询功能；远程控制子模块实现管理端对主机的远程控制，主要包括屏幕解锁、强制用户退出、重启和关机等，
系统还需要从两方面对主机代理进行保护。一是把代理注册成为系统服务，实现代理的自启动。二是代理进程的隐藏。隐藏的本质就是欺骗使用者，使得运行中的进程信息不显示给用户。本系统采用的是远程注人DLL代码，把被隐藏的程序以线程方式嫁接于其他进程之中来实现进程隐巅的。通过把代理进程的代码注入到系统进程中，用户不容易识别出来，相对安全性较高，而且实现方法比较简单。 3、主机管理系统的实现
3.1管理端具体实现
用户管理模块的主要功能是对用户的信息进行统一管理，并将
知道主机代理某个功能所对应的OID对象标识符)值，然后根据确切的OID值进行操作。在管理端定义的OID值与主机代理端针对各个功能所定义的一一对应。
3.2通信模块体实现
通信模块是基于SNMP协议，采用SNMP++实现的，主要封装 SNMP的五个操作来实现通信：GetRequest，GetNextRequest GetResponse，SetRequest和Trap，其中代理端实现了主机L的SNMP Agent，其具有响应管理者发出的SNMP请求和自主发送SNMP Trap数据包的功能。
3.3代理路具体实现
(1)用户认证。用户认证模块使用的是基于用户名和密码的方
案。
(2)外设管理。本文通过修改设备状态信息实现对外设的控制，通
过实时地截获DeviceChange消息并响应来控制USB存储设备的使用。
(3)进程管理。进程管理是管理进程的启动/停止，需要实现查询系统当前运行进程、根据进程名停止或启动进程这两个核心的操作，然后在接收到管理端指定停止/启动某进程时，调用相关操作函数即可。本文中利用快照函数获取进程ID，首先用CreateToolhe Ip32Snapshot()函数创建系统信息"快照”，这个函数可以选择快照的信息类型，此时只关心进程信息，因此只要包含TH32CS_SNAP PROCESS标志即可。接下来调用Process32FirstO从快照中获取进程列表，重复调用Process32NextO，直到函数返回FALSE为止，逐个追历快照中的进程列表。调用完Process32First()或Process32Next O之后，PROCESSENTRY32中将包含系统中某进程的信息。其中进程ID就存储在此结构的th32ProcessID。此ID可以被传给OpenProc ess()以获得该进程的句柄。对应的可执行文件名及其存放路径存放在szExeFile结构成员中。
(4)代理保护。代理自启动是通过将代理注册为系统服务实现的。SCM是一个管理系统服务的进程，当SCM启动某服务时，服务进程的主线程调用StartServiceCtrlDispatcher()函数，把调用进程的主线程转换为控制分派器。分派器创建新线程执行ServiceMain O，在其中调用RegisterServiceCtrlHandler()注册控制处理器，分派器接收SCM的控制请求并由ServiceHandlerO函数来进行处理，最
后返回处理后的服务状态。 4、总结与展望
本文针对内网中主机管理的问题，搭建了一个主机管理系统的模型架构，并做了具体实现，今后需要进一步研究和完善的工作有：(1)身份认证的安全性不够，身份认证的通信过程可能会被监听，下-步的研究中可以选用专门的身份验证协议，比如Radius或Diam eter协议来实现更加安全的身份验证。(2)作为一个主机管理系统，
其功能还需要进一步完善。参考文献
[1]张平,冯勇.代理管理模型在内网安全中的应用[J].计算机应用软件.2009,26(6):5758
[2]张晓光.浅谈企业内网安全管理[J].中国水运.2009,9(6):87-88.[3]张旭东.内网安全审计系统及审计数据挖据研究[D].硕士学位论文.2006,11.
[4]刘东.内网安全行业发展现状及趋势[]]网络安全教术与应用 2008,(5):9.
G6