台大校園網路之網路安全管控系統
李美雯 丁上倫 廖婉君
台灣大學計資中心 台灣大學資訊管理學系 台灣大學電機工程學系
E-mail : mli@ntu.edu.tw b90022@im.ntu.edu.tw wjliao@cc.ee.ntu.edu.tw
摘要
近幾年來網路安全事件層出不窮，無論是病蟲 感染、網路攻擊、廣告信充斥、網路掃瞄或者木馬 程式植入等，都讓網路管理者疲於奔命解決使用者 的問題，所以一套有效率的網路安全管理機制是相 當重要的。 本論文介紹台大已建置完成的校園網路安全 管控系統，該系統包含四個子系統，分別是網路違 規事件處理系統、網路安全網頁服務系統、網路安 全網頁管理系統以及報表系統。網路違規事件處理 系統主要功能是提供網路管理者有效率地管控校 內網路安全事件。網路安全網頁服務系統以網頁方 式教育與宣導使用者管理個人主機與使用網路資 源的正確方法。網路安全網頁管理系統主要是提供 網路管理者一個好用的使用者管理介面，以有效管 理網路安全網頁服務系統。報表系統以報表的形式 彙整違規事件提供給網路管理者使用。台大計中建 置了校園網路安全管控系統之後，一方面，提昇了 龐大校園網路違規事件的處理效率，即時阻絕違規 主機造成的網路安全威脅﹔另一方面，幫助校內使 用者快速地解決違規問題﹔同時，讓計中網路管理 者有多餘的心力與時間，為台大師生提供更好的網 路服務。 關鍵詞：網路安全、管控系統、違規事件。Abstract
In recent years, network security incidents have become more widespread than the burgeoning years of the Internet. For network administrators, any problems caused by worm infection, hacker attacks, large amount of spam mails, network scanning, or backdoor Trojan implanting, all take intensive effort to resolve. An efficient and reliable network security management mechanism would be a valuable tool for network administrator.
In this paper, we introduce a “Campus Network Security Control System” deployed at National Taiwan University. This system is comprised of four subsystems, including a “Network Violation Incidents Management Subsystem”, “Network Security Web Service Subsystem”, “Network Security Web Management Subsystem” and “Reporter System”. The main functions of these subsystems are providing an interface for network administrators to manage network security incidents, educating and advocating sensible principles for network resource and personal
computer usage via a Web interface, and presenting network administrator with a friendly interface for management, respectively. With the “Campus Network Security Control System”, network administrators can handle a large amount of network violation incidents with ease, curtail the security threats imposed by compromised computers, help users solve security issues effectively, and cutback the extra burden on network administrators.
Keywords: Network Security, Control System,
Violation Incident.
1. 前言
網際網路〈
Internet〉
快速的發展帶動了使用 網際網路的人數日益增加，隨著本校校園網路硬體 設備之更新、對外頻寬之擴增，大幅提昇了校園網 路資料的傳輸速度。但是，從另一方面來說，正因 為網路傳輸速度快，發動網路攻擊效果顯著，也很 容易成為駭客〈
hacker〉
攻擊或入侵的目標。加上 校內大部分的網路使用者〈簡稱使用者〉並非電腦 相關科系出身，對電腦系統的管理知識不夠，經常 造成校內個人主機中毒或被入侵，使得主機成為發 送廣告信的禍首、發送攻擊封包影響區域網路的傳 輸速度、或者成為下一站攻擊的前進跳板。除此之 外，使用者的網路使用習慣也容易造成主機被植入 後門或木馬程式，讓駭客可以從遠端遙控入侵主 機，駭客除了可竊取主機內的資料，還可以監聽使 用者鍵盤輸入的所有資訊。因此，加強校內使用者 妥善管理個人主機的能力，是勢在必行的。 台灣大學全校的教職員生大約共三萬多人，計 資中心因人力有限，無法站在第一線服務全校師 生，所以必須由各系所、單位或宿舍指派專人擔任 網路管理人員〈簡稱網管人員〉，負責計資中心與 全校師生之間重要的聯絡窗口。早期各學校並未建 立網路安全相關反應或檢舉的電子郵件信箱，所以 很少接獲校外人士的抱怨信。當 security@ntu.edu.tw 以及 abuse@ntu.edu.tw 的電子郵件信箱建立好之 後，通報本校違反網路安全事件增多，計中管理者 〈簡稱管理者〉不僅需要花費許多人力與時間處 理，同時也無法追蹤事件的處理結果。因此，建置 一套完整的管理系統輔助管理者處理違規事件〈違 反網路安全事件〉是急迫需要的。 回溯 2001 年 7 月份 Code Red 病蟲[3]肆虐， 造成網路頻寬壅塞、伺服器當機、甚至一些低階的 路由器〈Router〉無法負荷。當時讓學校單位以及公 司 行 號 的網 路 管 理 人員 忙 碌 了 近一 個 月 的 時 間，確實投下各界對網路安全重視的種子。當時評 估台大的網路環境與架構，並無適合的網路安全設 備可以建置在台大校園骨幹上。接著 9 月份 Nimda 病蟲[5]利用三種感染管道在網路上快速的繁衍與 擴散，影響範圍更甚 Code Red。雖然這兩件肆虐全 球的網路安全事件是病蟲造成的，但是檢討最根本 的原因卻是校內使用者未妥善管理所屬主機，以致 於主機系統漏洞被駭客利用。因此，宣導與教育校 內使用者正確管理個人主機是非常重要的，台大網 路管理者為了達到此目的，計畫透過網頁形式傳達 重要的網路安全資訊給校內使用者。 本篇論文內容分述如下：第二節描述校園網路 安全管控系統的需求分析與系統架構，第三節介紹 校園網路安全管控系統的實作功能，第四節為結論 與未來工作。
2. 需求分析與系統架構
台 大 計 中 建 置 的 校 園 網 路 安 全 管 控 系 統 — Campus Network Security Control System 〈CNSCS〉，是由四個子系所組成，分別是網路違 規事件處理系統—Network Violation Management System〈NVMS〉、網路安全網頁服務系統—Network Security Web Service System〈NSWSS〉、網路安全 網頁管理系統—Network Security Web Management System〈NSWMS〉以及報表系統—Reporter System 〈RS〉。以下各小節分述建置四個子系統的需求以 及校園網路安全管控系統的架構。 2.1 網路違規事件處理系統 當違規事件發生時，管理者的處理步驟是：封 鎖違規主機的所有網路封包進入校園網路骨幹，記 錄違規主機的相關資訊，通知主機所屬單位的網管 人員協助處理。 配合違規事件處理流程，網路違規事件處理系 統 v1.0 提供以下功能：紀錄違規事件的發生原因、 處理狀態、違規主機網路限制的方式、違規主機負 責人〈某些特殊違規事件需要紀錄負責人姓名〉以 及寄發 e-mail 通知校內網管人員協助處理違規事 件。當網路違規事件處理系統完成以上工作後，管 理者需要手動連上 Router 設定 Access-Control List (ACL) 限制違規主機上網。由於手動設定 ACL 太 費時，所以網路違規事件處理系統 v1.1 時增加了一 項功能，當違規系統新增完記錄後，自動連上 Router 進行封鎖違規主機上網的功能。 當校內使用者被通知主機中毒或被植入後門 程式時，首先面臨的問題是該如何處理，為了提供 使用者正確的解決方法，網路違規事件處理系統 v1.2 在通知校內網管違規事件的 e-mail 中附加違規 問題解決建議，網路違規事件處理系統會依照違規 類型與違規種類自動附加適當的違規事件處理樣 本〈template〉，以提供網管人員協助處理問題的依 據。違規類型更動性比較小，但是違規種類〈例如， 疾風病毒[4]、殺手病毒[6]〉隨著不斷翻新的病蟲、 後門或木馬程式的出現而必須更新，相對解決問題 的建議也必須隨時更新，網路違規事件處理系統提 供了一個可以上傳新樣本的功能，讓管理者方便在 網路違規事件處理系統中新增違規事件處理樣本。 再者，有鑑於疾風病毒發作時期，嚴重時一天 至少有 50 台以上主機中毒，為了減輕管理者單筆 新增違規事件的重複作業，所以於網路違規事件處 理系統 v1.3 提供一次作業可以新增十筆違規主機 資料的功能。 2.2 網路安全網頁服務系統 我們於前言分析過，網路安全違規事件發生的 主 要 原 因 是校 內 使 用 者缺 乏 正 確 使用 網 路 的 知 識，所以我們決定建置一套系統—網路安全網頁服 務系統，透過網頁向使用者宣導網路安全重要資 訊。 網路安全網頁服務系統 v1.0 提供的主要功能 包含：最新消息、違規主機名單、病毒資訊、系統 資訊以及相關文件等。後來基於不同需求新增了下 載專區、微軟重大更新、網安精華區與討論區，並 且移除了病毒資訊與系統資訊，分述於下面的段 落。 網路安全網頁服務系統 v1.0 的違規主機名單 功能只提供當天與前一天的違規主機名單，使用者 經 常 不 確 定自 己 的 主 機是 否 因 違 規而 無 法 連 上 Internet。網路安全網頁服務系統 v1.1 新增違規主機 搜尋功能。 使用者經常需要下載病蟲的清除程式以及微 軟的更新程式，所以在網路安全網頁服務系統 v1.2 新增下載專區功能，提供使用者一些重要程式的下 載連結。 疾風病蟲利用微軟視窗的漏洞進行感染與擴 散，使用者如果重安裝或新安裝微軟作業系統後， 立刻接上網路更新 Windows 修復程式時，極可能被 病蟲感染，所以在網路安全網頁服務系統 v1.3 新增 微軟重大更新功能，提供一些微軟必要的更新程 式，並建議使用者必須先安裝必要的更新程式後才 可以連上網路。在這個版本中，我們也新增了網安 精華區與討論區的功能，以提供使用者維護主機的 基本資訊與提出個人問題的空間。 在目前所有的違規類型中，以感染病蟲比例最 高，使用者要求解除主機網路限制的頻率相對也很 高，增加管理者相當大的工作量。再者，使用者依 照建議步驟解決問題即可，不需要管理者進一步的 追蹤。因此，在網路安全網頁服務系統 v1.4 將更新 中毒主機違規記錄的權限開放給網管人員。 2.3 網路安全網頁管理系統 上一節提到的網路安全網頁服務系統為了提 供台大使用者即時與重要的網路安全資訊，所以需要經常更新網頁中的各項資訊。如果管理者沒有任 何輔助工具，必須手動更新網路違規事件處理系統 資料庫〈簡稱 NVMS 資料庫〉中的資料，使用者才 能 透 過 網 路安 全 網 頁 服務 系 統 看 到更 新 過 的 資 訊。這些手動更新的工作，無形中增加網管人員許 多的工作負擔。因此，我們建置了網路安全網頁管 理系統，以提供管理者好用的使用者管理介面，管 理者可以不需要熟悉資料庫語法，而能輕鬆更新網 路安全網頁服務系統的資訊。 2.4 報表系統 如果管理者需要核對違規記錄是否正確，或者 要將每天或整個月的違規記錄列印出來，以產生違 規事件日報表或月報表。再者，管理者也需要以不 同條件產生月報表，例如，同一系所或單位的違規 事件月報表、同一違規類型的違規事件月報表或以 主機違規次數排序的違規事件月報表等。基於上述 需求，我們建置了報表系統。 2.5 系統架構 圖 1 是校園網路安全管控系統的系統架構圖， 以下分述各子系統間資料流的關係。 圖 1 校園網路安全管控系統架構圖 管理者透過網路違規事件處理系統新增、查 詢、刪除與更新違規事件。網路違規事件處理系統 會將變動過的違規事件儲存於 NVMS 資料庫。當管 理者新增違規事件時，會需要違規主機所屬網管人 員的相關資料，網路違規事件處理系統可以從台大 校 園 網 路 中 心 資 料 庫http://netadm.cc.ntu.edu.tw/ip 取得。 校 內 網 管 人 員 必 須 通 過 帳 號 與 密 碼 的 認 證 後，透過網路安全網頁服務系統更新中毒主機的違 規記錄，更新結果再回存至 NVMS 資料庫。 如圖 1 所示，報表系統驅動器每天或每月通知 報表系統到 NVMS 資料庫查詢違規記錄，並且產生 日報表與月報表，以 e-mail 方式通知管理者。
3. 系統實作
綜合前一章的系統需求，台大計中建置了校園 網路安全管控系統，整合網路違規事件處理系統、 網路安全網頁服務系統、網路安全網頁管理系統以 及報表系統等四個子系統。本章以介紹各子系統的 功能實作為主，分述於不同小節。 3.1 網路違規事件處理系統 網路違規事件處理系統（圖 2）提供網路違規 事件的新增、刪除、查詢與更新等功能。以下各小 節討論各項功能的實作。 圖 2 網路違規事件處理系統 3.1.1 新增事件功能 網 路 違 規 事 件 處 理 系 統 的 違 規 類 型 分 為 Virus/Worm（病毒或病蟲）、SPAM（廣告信）、Attack （網路攻擊）、Scan（網路掃描）、Backdoor（後門 程式）、Trojan（木馬程式）以及 Other（其他），其 中以 Virus/Worm、Backdoor、Trojan 與 Other 等違 規類型包含一個以上的違規種類，所以在這些違規 類型旁邊有下拉式的選單，顯示某個違規類型在資 料庫中對應的所有違規種類，方便管理者不需手動 輸入違規種類。 當違規事件發生時，如果是單一主機違規，管 理者選擇新增單一事件功能，網路違規事件處理系 統列新增違規主機的歷史紀錄，以免不同管理者處理時重複登錄。網路違規事件處理系統將違規主機 相關資料儲存於 NVMS 資料庫，並且自動連線到 Router 以限制該違規主機的網路使用。 如果一台以上主機違規，並且違規種類都相 同，可以選擇新增多重事件功能，管理者一次輸入 至多十個違規主機 IP 並且利用下拉式選單選擇違 規種類。網路違規事件處理系統除了將違規主機的 資料儲存於 NVMS 資料庫之外，並且連線到 Router 限制所有違規主機的網路使用。 透過 Router 管制違規主機的方式有兩種：一種 是將違規主機的 IP 路由資訊在 Router 上設為無 效，此方式是網路違規事件處理系統的預設方式； 另一種方式是在 Router 上設定 Access Control List （ACL），限制違規主機的所有封包通過 Router。 除了在 Router 上管制違規主機，也可以在 Switch 上限制違規主機的 Mac address 來管制違規主機。 如果管理者需要修改管制違規主機的預設方式，必 須透過新增單一事件功能中的進階功能修改。 當管理者完成上述違規事件的新增後，管理者 可以選擇由網路違規事件處理系統直接或手動寄 發 e-mail 給網管人員。網路違規事件處理系統自動 連接台大校園網路中心資料庫，查詢違規主機所屬 的網管人員 e-mail 位址，並且從網路違規事件處理 系統的資料庫搜尋對應該違規種類的 e-mail 樣本， 樣本（圖 3）包含解決違規問題的方法，作為網管 人員協助使用者解決問題的依據。 圖 3 通知網管同仁的樣本 3.1.2 查詢事件功能 管理者需要查詢違規事件時，可以依照違規事 件不同的搜尋條件尋找，搜尋條件包括：事件編 號、違規類型、系所單位、主機負責人、違規 IP 以及尚未結案等。 事件編號查詢功能提供管理者查詢某一天的 所有紀錄。違規類型查詢功能可以搜尋相同違規類 型的事件。系所單位查詢功能可以查詢某個系所或 單位的所有違規事件。針對侵犯智財權或架設非法 ftp 站台的違規事件，使用者如果違規次數過多，可 能送學校獎懲委員會處理，所以管理者可以利用主 機負責人查詢功能檢查是否有使用者重複違規。違 規 IP 查詢功能可以做 IP 的部分關鍵字的搜尋，例 如輸入 140.112.10，搜尋的結果是 140.112.10.0 子網 路中所有的違規事件，也可以輸入一個完整的 IP 位址，例如，140.112.10.10，搜尋的結果是列出該 IP 的所有違規事件。透過尚未結案查詢功能，管理 者可以知道哪些違規主機還未解決違規問題。 3.1.3 刪除事件功能 如果管理者重複新增同一筆違規事件，或者違 規類型輸入錯誤時，可以使用刪除事件功能將該違 規事件從 NVMS 資料庫刪除。 當管理者選擇刪除事件功能時，看到與查詢事 件相同的管理介面，透過搜尋事件功能以找到要刪 除的違規事件。 3.1.4 更新事件功能 當使用者解決了違規主機的問題，由網管人員 向計中回報，管理者利用更新事件功能更新違規紀 錄與解除違規主機網路限制。 更新事件功能有一般模式與進階模式：一般模 式可以一次更新至多十筆違規事件、進階模式則是 與查詢事件相同的管理介面，透過搜尋事件功能以 找到要更新的違規事件。 更新事件功能具備一個檢查機制，檢查該違規 主機是否於一個月內因同一違規種類被限制網路 使用，如果檢查結果確實如此，表示使用者並未認 真解決問題，系統只將更新紀錄儲存於 NVMS 資料 庫，七天後才會自動連線到 Router 解除該主機的網 路限制。如果檢查的結果並無不良紀錄，系統立刻 連線到 Router 解除該違規主機的網路限制，並且更 新 NVMS 資料庫內容。 更新事件功能最後一項工作是自動寄發 e-mail 給管理者與違規主機所屬的網管人員，通知已解除 該違規主機的網路限制。 圖 4 網路安全網頁服務系統
3.2 網路安全網頁服務系統 網路安全網頁服務系統（圖 4）提供九種功能 選單。以下各小節介紹幾項主要的功能。 3.2.1 最新消息功能選單 網路安全危機隨時隨地都可能發生，大多數網 路安全問題是屬於威脅等級低的，但是也有少部分 屬於威脅等級高的，一般使用者面對這麼多的資 訊，早已看得眼花撩亂了。計中管理者幫使用者整 理好重要的網路安全資訊：微軟或其他作業系統新 公布的系統漏洞、最新出現的病毒或病蟲、駭客開 發的後門與木馬程式以及違規問題的解決步驟與 建議方案。 3.2.2 違規主機名單功能選單 違規主機名單功能選單除了提供當天與前一 天的違規主機名單之外，還提供使用者以 IP 位址搜 尋違規事件、違規類型搜尋違規事件以及主機違規 次數排名之查詢。除此之外，也提供網管人員可以 解除中毒違規主機的網路限制。 使用者輸入欲搜尋的 IP 位址後，網路安全網 頁服務系統連上 NVMS 資料庫搜尋。搜尋結果包含 違規記錄與歷史違規紀錄（已結案紀錄），提供違 規事件原因、違規事件發生時間以及違規主機所屬 單位等資訊。 使用者選擇欲搜尋的違規類型後，網路安全網 頁服務系統連上 NVMS 資料庫搜尋，查詢結果包含 違規主機 IP 位址、違規主機所屬單位、違規事件發 生時間以及違規事件處理狀態。 使用者選擇違規主機 IP 排名後，網路安全網 頁服務系統連上 NVMS 資料庫搜尋，依照違規主機 的違規次數排名。查詢結果包含違規主機 IP 位址、 違規主機所屬單位以及主機的違規次數。 網管人員要解除中毒違規主機的網路限制，必 須輸入網管人員的帳號與密碼，網路安全網頁服務 系統連上台大網路安全中心的資料庫查詢，帳號與 密碼經確認無誤後，網路安全網頁服務系統再連上 網路違規事件處理系統，透過更新事件功能（請見 3.1.4）解除違規主機的網路限制。 3.2.3 網安精華區功能選單 校內絕大多數的使用者並非電腦資訊相關科 系的人員，為了提升使用者管理個人主機的能力， 網安精華區收集一些主機管理的實務經驗，以及違 規事件問題的解決步驟，使用者可以從中獲得許多 寶貴資訊。 3.2.4 下載專區功能選單 當使用者的主機發生違規事件時，需要連到某 些網站下載病蟲清除程式或程序（process）的檢查 工具。下載專區提供病蟲的清除程式、檢查後門或 木馬程式的工具、網路安全威脅相關資訊、系統漏 洞掃描工具以及許多不錯的網路管理工具之網頁 連結。 3.2.5 微軟重大更新功能選單 當使用者主機因中毒或被植入後門程式而無 法修復時，最後的選擇只好重灌系統，如果使用者 還未完成更新 Windows 的修復程式，就將主機接上 網路，是非常容易被病蟲感染的。目前已知疾風病 蟲 與 殺 手 病 蟲 會 針 對 未 更 新 MS03-007 、 MS03-026、MS03-039 以及 MS04-011 修復程式的 Windows 系統進行感染。 微軟重大更新功能選單提供使用者重灌系統 的建議步驟，並且要求使用者在接上網路線之前， 務必先更新上述四個 Windows 修復程式，同時也提 供下載所需修復程式的連結。 網 路 安 全 網 頁 服 務 系 統 提 供 使 用 者 下 載 Windows XP、Windows 2000、Windows Server 2003 與 Windows NT4 的修復程式，也提供了以上作業 系統的中文版與英文版。 3.2.6 討論區功能選單 有鑑於許多使用者遇到主機出現問題時，經常 無法自行解決違規問題。網路安全網頁服務系統提 供一個針對網路安全問題為主軸的討論園地，不論 是校內或校外的使用者都可以提出自己的問題或 者回答他人的問題，許多有經驗的使用者提出的建 議，也讓網路管理者從中學習許多寶貴的資訊。討 論區的附加功能是讓使用者藉著觀看他人解決問 題的建議，提升個人日後解決問題的能力。我們相 信討論區的成立在網路安全方面深具教育意義。 3.3 網路安全網頁管理系統 網路安全網頁管理系統(圖 5)提供很容易操作 的使用者管理介面，讓管理者輕鬆快速的更改網路 安全網頁服務系統的最新消息、網安精華區、下載 專區、微軟重大更新與相關文件等資訊。 如圖 6 所示，網路安全網頁管理系統提供新增 /修改/刪除最新消息介面、新增/修改/刪除微軟更新 檔介面、新增/修改/刪除下載專區介面、新增/修改/ 刪除相關文件息介面以及新增/修改/刪除網安精華 區介面。管理者透過以上的使用者管理介面更新網 路安全網頁服務系統之相關資訊，網路安全網頁管 理系統再將更新資料儲存於 NVMS 資料庫。 當校內使用者想透過網路安全網頁服務系統 查 詢 所 需 資訊 時 ， 網 路安 全 網 頁 服務 系 統 連 上 NVMS 資料庫，以網頁格式呈現使用者所需資訊。
3.4 報表系統 報表系統驅動器每天的凌晨 12 點與每月第一 天的凌晨 12 時自動發送訊息給報表系統，報表系 統連到 NVMS 資料庫查詢前一天與前一個月所有 的違規紀錄，報表系統將查詢結果以 html 格式產生 日報表或月報表，並且將報表 e-mail 給管理者。 圖 5 網路安全網頁管理系統 圖 6 網路安全網頁管理系統資料流
