導航：安全管理網>> 安全論文>> 電力安全論文>>正文

網絡安全審計設備性能測試方法

文檔作者：石琳1 火欣2 文檔來源：北京理工大學		點擊數：	更新時間： 2021年07月12日
下載地址：點擊這里	文件大小： 1.29 MB 共4頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：1.29 MB 共4頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：提高室內落地110kV避雷器帶電測試的安全…

上一篇：無線局域網安全性能測試系統的設計與實現

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

0q毋
伊：：坷
2010，46（19）
1 引言
企業信息化進程的加快導致越來越多的網絡設備、應用
服務器、數據庫服務器部署在企業內部網絡中。用戶對這些
設備進行的各種操作及設備的自主運行會產生大量分散的日
志，即使是經驗豐富的網絡管理員也很難直接對這些信息進
行管理。網絡安全審計設備將日志與網絡行為進行集中管理
和監控分析，有效降低了安全管理負擔、提高了系統的安全強
度。與防火墻（Firewall）和入侵檢測系統（IDS）相比，網絡安
全審計設備對整個網絡的安全狀況提供了粒度更細、更有針
對性的監控，并可為安全事故的追查提供可信的電子證據。
一個典型的網絡安全審計設備的工作流程如圖1。由于網絡
規模的不同，這些設備的購買者迫切希望對網絡安全審計設
備的正確性和性能進行評測，從而指導購買和使用。目前國
際上還沒有針對這類設備的性能描述方法和測試手段。針對
這類設備的特點，在剖析設備工作流程的基礎上，參考信息系
統安全審計產品技術要求和測試評價方法[1]等國家標準，提出
了基于測量的網絡安全審計設備性能測試方法。
2 基于測量的設備性能指標
2.1 范圍與方法
基于測量的網絡安全審計設備性能測試屬于黑盒測試[2]。
在測試中，通過向測試設備施加激勵那個觀測被測設備的外
部行為來了解被測設備的性能。為了在不同的測試結果之間
進行比較，需要對測試激勵和被觀測量進行統一的規定。
根據業務數據源的不同，網絡安全審計設備可分為網絡
安全審計型、數據庫審計型及日志分析型三種類型[3]。由于主
流的網絡安全審計型設備和日志分析型設備都已將數據庫審
計的內容包容進去，因此本文主要討論網絡安全審計設備和
日志分析設備的性能指標。
RFC2544[4]定義了網絡互聯設備最基本的基準性能測試
網絡安全審計設備性能測試方法
石琳1，火欣2
SHI Lin1，HUO Xin2
1.北京理工大學機電工程學院，北京100081
2.北京理工大學軟件學院，北京100081
1.School of Mechatronical Engineering，Beijing Institute of Technology，Beijing 100081，China
2.School of Software，Beijing Institute of Technology，Beijing 100081，China
E-mail：shilin@bit.edu.cn
SHI Lin，HUO Xin.Performance testing for network security audit devices.Computer Engineering and Applications，
2010，46（19）：61-63.
Abstract：Based on the technical principle analysis of network security audit devices，a measurement-based method by using
Spirent’s hardware tester for devices’performance are presented and the performance indicators are defined. Experimental results
demonstrate that the method is fairly efficient for describing the device performance，map the network traffic to the device
performance straightly.
Key words：network security；audit；performance test
摘要：對網絡安全審計設備工作流程進行分析，對設備性能指標進行了分類并給出明確定義，在此基礎上提出基于測量的性能
測試方法。該方法通過使用硬件測試儀對網絡業務流量進行實時模擬，結合設備進行測量。實際測試結果表明，提出的性能測
試方法在業務流量與設備性能之間能夠建立顯式關聯，所使用的性能指標可以有效地對設備的性能進行客觀描述。
關鍵詞：網絡安全；審計；性能測試
DOI：10.3778/j.issn.1002-8331.2010.19.017 文章編號：1002-8331（2010）19-0061-03 文獻標識碼：Ａ 中圖分類號：TP393
作者簡介：石琳（1982-），男，博士研究生，主要研究方向：網絡安全，機器人軟件平臺設計；火欣（1984-），男，碩士研究生，主要研究方向：網絡安全。
收稿日期：2009-05-18 修回日期：2009-06-08
數據源
……
實時收集
實時分析
呈現機制
集中存儲
索引機制
查詢檢索統計分析
實時規
則庫
歸檔
數據
圖1 安全審計及日志分析設備工作流程圖
Computer Engineering and Applications 計算機工程與應用61
Computer Engineering and 2010，46（19） Applications計算機工程與應用
標準，包括：吞吐量（Throughput）、時延（Latency）、丟包率
（Frame Loss Rate）、背靠背幀數（Back-to-Back Frame），系統
回復時間（System Recovery），系統復位（Reset）6 項基本性能
測試規范，相關術語則由RFC1242[5] 定義。概括起來，
RFC2544 將網絡互聯設備對性能的標準要求分為實時性、準
確性和有效性三個方面。由于網絡安全審計設備和網絡業務
本身沒有關聯，在性能方面并不要求絕對的延時上界保證，所
以本文主要關注設備的吞吐量和丟包率。
2.2 設備工作原理分析與性能指標定義
2.2.1 日志分析型設備
日志分析型設備以網絡設備、操作系統、數據庫系統和應
用程序等業務產生的日志作為數據源。一條日志或是多條相
互關聯的日志構成一個安全事件，對日志進行收集和處理即
可完成對安全事件的分析與審計。
日志分析型設備通過兩種方法收集日志：
（1）在分析設備上開啟標準的Syslog 服務，將業務源產生
的標準日志轉發至該設備。
（2）對于不具備日志轉發或日志功能有所欠缺，但又需要
對其行為進行審計的系統，日志分析型設備在目標系統上安
裝代理（Agent）軟件，由代理軟件進行相關日志/行為的捕獲，
再由代理軟件將信息通過網絡發送至日志分析型設備。
在收集到日志后，設備對收集到的日志進行實時分析產生
安全事件，生成審計記錄，并利用多種呈現機制呈現給相關管理
人員。與此同時，設備對原始日志和安全事件進行集中存儲并
建立索引機制為日后的查詢檢索、統計分析工作做準備。
日志分析設備的特點是實現機制簡單，獲取準確，所獲數
據可以作為電子證據使用。由于客戶對審計和安全方面的需
求不斷增多，現代網絡設備、操作系統、應用程序等業務普遍
趨向于提供內容可定制、多樣化、分級別、標準的日志獲取接
口，從而降低了日志收集整理的難度，使得日志分析型設備成
為市場的主流和發展趨勢，也使該類設備的技術重點由收集
整理逐步走向數據挖掘和數據分析。但另一方面，實際生產
環境中經常存在著很多不具備日志功能的老式設備與應用程
序，出于安全性方面的考慮，不便在其上安裝Agent 軟件，面對
這種情況，日志分析型設備很難有所作為，此外，日志分析型
設備需要在網絡中暴露日志收集接口，使得日志分析型設備
本身在安全性上存在一定隱患，易成為黑客攻擊的目標。
通過對日志分析設備特點的分析，可以看出衡量日志分
析型設備性能的關鍵指標是在大量業務日志涌現的時刻，完
整、準確接受日志數據包并進行處理，存儲的能力，即設備的
吞吐量和丟包率。日志分析型設備主要性能指標如下：
（1）日志吞吐量Qthr：業務源與設備之間互相傳送的有效
日志量Nrecv與傳輸時間Tsum之比，單位為item/s，即
Qthr=
Nrecv
Tsum
（1）
（2）丟包率Pdrop：為業務源向設備發送的日志量與設備處
理的有效日志量之即
Pdrop=
Nrecv
Nsend
（2）
用“吞吐量為Qthr時的丟包率為Pdrop”來描述設備的性能。
在測試中，模擬日志分析型設備第一種日志收集方法，通
過測試儀器產生大量業務日志，并通過網絡發送至審計設備
的日志收集中心，逐步增加日志發送頻率，依次測試并統計處
理率，直至日志處理率高于閾值，或是日志產生的數量達到規
定的上限，即完成測試。
需要注意的是，標準日志服務采用的底層協議UDP 協議
是一個不可靠協議，并不能保證所有的日志數據包都能準確
地發送至目的地址，所以對于任何設備，做到0%丟包率都是
不現實的。
2.2.2 網絡審計型設備性能指標定義
網絡審計型設備通過交換機、路由器的鏡像端口觀測網
絡流量、按過濾策略提取相關數據流，經過協議分析和應用層
數據還原再現網絡操作，進而產生安全事件，生成審計記錄和
審計響應。網絡審計型設備主要對遵循標準協議的網絡應用
進行鑒別和審計，包括Telnet、FTP、HTTP、POP3、SMTP 等，更
可以通過對協議的解析來支持特定的網絡應用程序。網絡審
計型設備通過交換機鏡像端口獲取網絡數據，無需在主機和
系統上部署任何軟件，自身安全性得到了很好保證。但隨著
各種網絡應用逐漸采用密文傳輸（如SSH），網絡審計型設備
無法直接支持加密協議審計的局限性也暴露出來。
網絡審計型設備的性能指標主要包括數據處理性能和數
據過濾性能。數據處理性能指網絡審計型設備對于所審計的
網絡數據的收集能力，即數據吞吐量。由于網絡審計型設備
利用鏡像端口監聽數據的方法來收集所需要的審計數據，這
就使得設備要將需要審計的數據在一定網絡背景流量下正確
過濾并加以收集，因此引入了數據過濾性能的概念。網絡審
計型設備性能指標如下：
（1）數據吞吐量Qthr：網絡審計設備收集的總流量Nrecv 與
傳輸時間Tsum之比，單位為Mb/s，即
Qthr=
Nrecv
Tsum
（3）
（2）丟包率Pdrop為網絡審計設備收集到的流量Nrecv與交換
機實際流量Ntrans之比，即
Pdrop=
Nrecv
Ntrans
（4）
同樣用“吞吐量為Qthr時的丟包率為Pdrop”來描述設備的性
能，一般而言，隨著流量的增加，系統的丟包率呈上升趨勢。
在測試中，逐步增加網絡流量，依次測試并統計處理率，直至
丟包率高于測試要求的閾值上限或流量已達到測試設備性能
上限，即完成測試。
對于數據過濾性能指標，性能指標如下：
（1）在背景流量為N Mb/s 時，設備可以對網絡中出現的一
條需審計的數據進行正確過濾與收集，且數據的完整性沒有
受到破壞，則稱設備“在N Mb/s 背景流量下可進行正常審計”。
（2）數據出現丟失的情況，則說明“N Mb/s 背景流量下已
經不能保證審計的完整性”。當完全審計不到任何數據時，說
明設備在“N Mb/s 背景流量下審計功能失效”。
這種“大海撈針”式的測試，可以充分對系統的數據過濾性
能進行考察。在測試中，逐步增加背景流量，直至設備完全審計
不到任何信息，或背景流量已達到測試上限，即完成測試。
3 網絡流量發生器簡介
在以往實驗室環境的網絡安全審計設備測試中，一般采
用普通主機安裝日志發送軟件和流量模擬軟件在網絡中產生
62
《，需
⑦{鴦固
2010，46（19）
日志和背景流量的方法來對設備進行功能方面的測試。對于
性能測試而言，由于主機受到操作系統和軟件本身的限制，無
論采用單臺主機還是多臺主機同時發送，日志的發送頻率和
背景流量的大小都不能滿足性能測試的要求，統計數據也不
夠準確，導致性能測試一直缺乏區分度，對設備的實際吞吐量
和高負載時的表現也未能有一個明確的認識。
針對上述情況，提出了在測試中引入思博倫公司（Spirent）
的Avalanche/Reflector 設備[6]作為流量發生器，來產生大
背景流量和生產環境級日志量的思路。Avalanche/Reflector
系列產品是一種可以模擬多種網絡協議，產生網絡流量的專
業網絡設備測試儀器，具備模擬生產環境的能力，被廣泛應用
于網絡互連設備的性能測試中。針對網絡安全審計設備的特
點，對Avalanche/Reflector 設備進行適當的設置，使其滿足對
設備測試的需要。
4 測試結果與數據分析
4.1 日志分析型設備性能測試
首先將Avalanche 和被測設備接入網絡中，網絡拓撲圖如
圖2。
Avalanche 本身不具備直接模擬syslog 協議的能力，需要
利用軟件提供的Capture-Replay（捕獲-回放）功能來間接實
現。Capture-Replay 功能可以讀取PCAP 格式的文件并在網絡
中加以回放，以達到模擬各種特定應用協議或進行協議回放
的目的。采用Wire Shark 軟件在網絡中捕獲的syslog 數據報
作為日志樣本，并將其存儲為PCAP 格式文件提供給Avalanche
。通過設置數據發送數量和持續時間，并將目的IP 設
置為日志收集中心IP 地址，就完成了準備工作。
在測試中，采用逐步加大日志發送頻率的方法，對設備進
行性能測試。觀察系統在不同負載情況下的性能。
通過表1 可以看出，隨著負載的增加，設備一的丟包率明顯
增加。在每秒5 000 條的情況下，已經丟失超過40%的日志。
4.2 網絡審計型設備網絡流量獲取性能測試
在進行網絡審計型設備流量測試時，為了測試的準確，需
要產生穩定的流量。通過將Avalanche 和Reflector 設備接入
網絡中，模擬客戶端與服務器端，建立大量、穩定的TCP 連接
的方法實現。測試網絡拓撲如圖3。
測試網絡流量獲取性能時，首先要使Avalanche/Reflector
在網絡中產生穩定的數據流量。采用建立固定http 連接數的
方法來獲取穩定的數據流量。除了通過模擬http 連接來獲得
穩定的連接數和流量外，Avalanche 也支持同時模擬多種協議
流量（如FTP，SMTP 等），從而更好地模擬生產環境。在Avalanche
配置完成后，配置網絡審計設備策略，設置為對所有流
量進行獲取，反復測試，觀察在不同流量情況下設備的數據獲
取能力和處理率。
由表2 可以看出，設備二在連接數小于5 000 的情況下可
以做到100%的處理率，在連接數大于5 000 后丟包率迅速上
升。而設備二雖然處理率下降較為平緩，但始終不能做到
100%的處理率。這兩種情況在實際測試中非常典型。設備
一始終不能做到100%的處理率，說明產品的軟件處理算法、
緩存機制或產品構架與設備二相比還不夠完善。設備二的性
能表現表現說明產品的體系結構良好，但在5 000 條/s 以上的
壓力下，系統開始出現性能瓶頸。
4.3 網絡審計型設備網絡流量過濾性能測試
測試網絡流量過濾能力同樣需要首先利用Avalanche/Reflector
設備產生穩定的數據流量作為背景流量，方法同4.2。
為了能夠直觀、準確、簡單地觀察到設備能否將特定信息過濾
出來，使用網絡上的一臺客戶機通過Telnet 方式登陸服務器進
行特定的操作，同時配置審計設備，使其只對指定的客戶機IP
到服務器IP 的Telnet 流量進行審計。為了便于觀察結果，在
使用telnet 協議登陸到遠程主機之后，不再輸入有效的命令，
而是簡單地輸入一些有規律的字符串。在這里，采取輸入字
符串a-z 的方法來測試日志審計設備的性能。
由表3 可以直觀得出設備一的網絡流量過濾能力強于設
備二的結論。
5 結束語
在分析網絡安全審計設備原理、技術實現的基礎上，提出
日志審計分析設備
數據存儲
交換機 日志收集 審計中心
Avalanche
圖2 日志分析型設備測試網絡拓撲圖
發送頻率/（條·s-1）
200
500
1 000
2 000
5 000
10 000
總數/條
14 452
37 816
76 154
153 956
380 288
N/A
接收/條
14 451
37 790
75 679
140 886
203 500
N/A
丟包率
<0.1%
<0.1%
0.6%
8.5%
46.5%
N/A
總數/條
14 452
37 758
76 156
153 918
480 538
948 762
接收/條
14 451
37 718
75 988
153 407
477 739
943 073
丟包率
<0.1%
<0.1%
<0.1%
0.3%
0.6%
0.6%
設備一設備二
表1 兩款百兆主機型日志審計設備的性能對比
網絡審計型設備
數據存儲
網絡數
交換機 據收集
服務器
SPAN
Reflector Avalanche
客戶端
審計中心
圖3 網絡審計型設備測試網絡拓撲圖
連接數/流量/（Mb·s-1）
500/3.224
1 000/6.498
2 000/13.015
5 000/33.525
10 000/65.159
丟包率/（%）
0.3
0.3
0.4
12.4
23.9
連接數/流量/（Mb·s-1）
500/5.754
1 000/6.788
2 000/12.778
5 000/31.968
10 000/63.978
丟包率/（%）
0
0
0
2
58
設備一設備二
表2 兩款不同網絡審計設備的性能對比
（下轉80 頁）
石琳，火欣：網絡安全審計設備性能測試方法63
}¨--I ；二≯爭飼
r叫，哥一j彳丁?1
H7+粵翠1
r 7 1
¨『I 1
陸=菩≤卡片書
Computer Engineering and 2010，46（19） Applications計算機工程與應用
耗標準差的變化曲線，可以看到，均衡算法能量消耗的標準差
明顯低于K 均值算法[8]，證實了均衡算法能達到能量消耗的
平衡。
（2）網絡壽命
定義網絡壽命為整個無線傳感器網絡里第一個傳感器節
點的能量完全消耗完時的時間。圖3 是節點個數在200~400
之間變化情況下，仿真100 次得到的平均網絡壽命。從圖中
可以看到，均衡分簇下的GM移動策略的網絡壽命要比RM移
動策略長得多。
7 結論
提出的移動Sink 策略首先采用能量消耗均衡的思想對傳
感器節點進行分簇，使得消耗的總能量最小的同時，盡可能保
證消耗的能量在各簇之間保持均衡，以延長網絡壽命。通過
使Sink 具有可控制性的移動性，采用剩余能量最大的貪心策
略控制Sink 的移動，故使整個網絡的各節點能量消耗更加平
衡，從而進一步延長了整個網絡的壽命。同時通過引進最大
移動距離和隨機逗留時間，保證了Sink 移動的隨機性和不可
預測，因而有效地保證了Sink 免受攻擊。本文仿真了兩種策
略的性能，一種是傳統的隨機路徑移動性模型（RM），在這種
模型中Sink 隨機選取移動路徑。第二種模型是本文提出的模
型，在這種模型中Sink 選取周圍具有最大剩余能量的簇進行
訪問。仿真結果表明與傳統的隨機路徑移動性模型（RM）相
比，提出的Sink 模型能顯著地延長了網絡生命周期。
參考文獻：
[1] Akyildiz I，Weilian S，Sankarasubramaniam Y，et al.A survey on
sensor networks[J].IEEE Commun Mag，2002，40（8）：102-114.
[2] Shah R，Roy S，Jain S，et al.Data mules：modeling and analysis
of a three-tier architecture for sparse sensor networks[J].Ad
Hoc Networks，2003，1（2-3）：215-233.
[3] Jain S，Shah R C，Brunette W，et al.Exploiting mobility for energy-
efficient data collection in sensor networks[C]//Proceedings
of the IEEE Workshop on Modeling and Optimization in
Mobile，Ad Hoc and Wireless Networks，WiOpt 2004，Cambridge
UK，March 24-26，2004.
[4] Akkaya K，Younis M.A survey on routing protocols for wireless
sensor networks[J].Ad Hoc Netw，2005，3（3）：325-349.
[5] Ye W，Heidemann J，Estrin D.Performance of mobile ad hoc
networking routing protocols in large scale scenarios[C]//Proc
IEEE Military Commun Conf （MILCOM 2004），2004，1：21-27.
[6] Johnson D，Malt D.Dynamic source routing in ad hoc wireless
networks[J].IEEE Trans Mobile Comput，1996，2：153-181.
[7] Camp T，Boleng J，Davies V.A survey of mobility models for
ad hoc network research[J].Wirel Commun Mobile Comput，
2002，2（5）：483-502.
[8] Nakayama H，Ansari N，Jamalipour A，et al.Fault-resilient sensing
in wireless sensor networks[J].Computer Communications，
2007，30：2375-2384.
200 220 240 260 280 300 320 340 360 380 400
3 500
3 000
2 500
2 000
1 500
1 000
500
節點數
能量消耗標準差
圖2 簇之間能量消耗的標準差
均衡分簇
K-均值分簇
200 220 240 260 280 300 320 340 360 380 400
100
90
80
70
60
50
40
30
20
節點數
網絡壽命
圖3 兩種移動模型下的網絡壽命
RM
GM
了基于測量的網絡安全審計設備的性能描述方法，并運用上
述方法對設備進行了仿真性能測試，受到廠商的認可[7]。隨著
審計分析技術的迅速發展，網絡安全審計設備已不局限于數
據的收集與管理，而是開始注重分析與評估，日志審計設備的
性能測試也應不斷改進和豐富測試手段及方法，逐步建立具
有權威性的，有說服力的評測標準和體系。
參考文獻：
[1] 中國國家標準化管理委員會.GB/T 20945-2007 信息安全技術信
息系統安全審計產品技術要求和測試評價方法[S].北京：中國國
家標準化管理委員會，2007.
[2] 章淼，吳建平，盛立杰，等.網絡互聯設備的性能測試：原理和實踐[J].
小型微型計算機系統，2004（9）：1587-1591.
[3] 常德顯，楊英杰.分布式網絡審計系統的生存性設計[J].微計算機
信息，2007（24）：78-80.
[4] Bradner S.RFC1242 Benchmarking terminology for network interconnection
devices[S].IETF，1991.
[5] Bradner S，McQuaid J.RFC 2544 benchmarking methodology
for network interconnect devices[S].IETF，1999.
[6] Spirent Communications.Avalanche load testing appliance[EB/OL].
http：//www.spirent.com/documents/1088.pdf.
[7] 張焱，劉利軍.中國移動日志分析與審計產品測試總結報告[R].中
國移動通信研究院，2007.
流量/（Mb·s-1）
50
80
100
150
200
250
280
300
設備一
無丟失
無丟失
無丟失
無丟失
無丟失
無丟失
無丟失
丟失d
設備二
丟失x
丟失a，r，t
丟失a，j，k，p，y
丟失k l o p q v w
完全審計不到操作
完全審計不到操作
完全審計不到操作
完全審計不到操作
（上接63頁）表3 兩款設備的網絡流量處理能力測試結果對比
80

網友評論 more

電力安全論文最新內容

05-01