◆許書彬 劉曉東

?

天地一體化網(wǎng)絡(luò)多媒體業(yè)務(wù)跨域互聯(lián)技術(shù)研究

◆許書彬 劉曉東

(中國電子科技集團(tuán)公司第五十四研究所 河北 050081)

針對(duì)天地一體化網(wǎng)絡(luò)由多個(gè)異構(gòu)子網(wǎng)構(gòu)成的網(wǎng)絡(luò)特點(diǎn)和多媒體業(yè)務(wù)的協(xié)議特點(diǎn)，有針對(duì)性地研究了天地一體化網(wǎng)絡(luò)中多媒體業(yè)務(wù)跨域互聯(lián)的關(guān)鍵技術(shù)。采用抗隱蔽通道的隔離交換技術(shù)，實(shí)現(xiàn)業(yè)務(wù)的跨域交換。采用特征自動(dòng)生成的協(xié)議檢測(cè)技術(shù)，實(shí)現(xiàn)對(duì)多媒體信令的安全檢測(cè)，阻斷跨網(wǎng)攻擊。采用基于信令的會(huì)話動(dòng)態(tài)控制技術(shù)，實(shí)現(xiàn)對(duì)語音、視頻數(shù)據(jù)的跨網(wǎng)互聯(lián)動(dòng)態(tài)控制?？梢杂行Ы鉀Q多媒體業(yè)務(wù)跨域互聯(lián)的安全問題，實(shí)現(xiàn)天地一體化網(wǎng)絡(luò)環(huán)境中的安全互通。

天地一體化網(wǎng)絡(luò)；多媒體；隱蔽通道；協(xié)議檢測(cè)；動(dòng)態(tài)控制

0 引言

天地一體化信息網(wǎng)絡(luò)作為國家信息化重要基礎(chǔ)設(shè)施，對(duì)拓展國家利益、維護(hù)國家安全、保障國計(jì)民生、促進(jìn)經(jīng)濟(jì)發(fā)展具有重大意義，是我國信息網(wǎng)絡(luò)實(shí)現(xiàn)信息全球覆蓋、寬帶傳輸、軍民融合、自由互聯(lián)的必由之路[1]。通過天基信息網(wǎng)、地面互聯(lián)網(wǎng)、移動(dòng)通信網(wǎng)的全面融合、共同演進(jìn)，形成覆蓋全球的天地一體化信息網(wǎng)絡(luò)，為各類用戶提供“隨遇接入、安全可信”的服務(wù)。

天地一體化信息網(wǎng)絡(luò)能夠屏蔽天地各類系統(tǒng)在技術(shù)體制層面的顯著差異，為終端用戶提供跨系統(tǒng)的、無需區(qū)分天地的各種服務(wù)與應(yīng)用，實(shí)現(xiàn)一體化信息共享與利用[2]。包括語音、視頻在內(nèi)的多媒體（Multimedia Service）業(yè)務(wù)具有多樣的應(yīng)用方式和廣闊的應(yīng)用前景[3]，將會(huì)是天地一體化網(wǎng)絡(luò)中一類重要的業(yè)務(wù)。

本文對(duì)天地一體化網(wǎng)絡(luò)環(huán)境中多媒體類業(yè)務(wù)跨域互聯(lián)的關(guān)鍵技術(shù)進(jìn)行了研究，針對(duì)異構(gòu)子網(wǎng)環(huán)境下跨域互聯(lián)問題，討論了抗隱蔽通道的隔離交換技術(shù)方案，針對(duì)多媒體協(xié)議的特點(diǎn)，討論了多媒體信令的安全檢測(cè)技術(shù)、媒體的動(dòng)態(tài)控制技術(shù)，以實(shí)現(xiàn)異構(gòu)網(wǎng)絡(luò)環(huán)境下多媒體業(yè)務(wù)安全、受控的跨域互聯(lián)互通。

1 一體化網(wǎng)絡(luò)多媒體業(yè)務(wù)跨域互聯(lián)安全問題分析

天地一體化信息網(wǎng)絡(luò)由天基信息網(wǎng)、地面互聯(lián)網(wǎng)和移動(dòng)通信網(wǎng)組成，每種網(wǎng)絡(luò)中又包含多種子網(wǎng)，是一個(gè)大容量、多層次的異構(gòu)網(wǎng)絡(luò)[4]。各異構(gòu)網(wǎng)絡(luò)之間存在廣泛的多媒體業(yè)務(wù)互聯(lián)互通的需求，但由于各種異構(gòu)網(wǎng)絡(luò)獨(dú)立建設(shè)，并且出于安全性的考慮彼此物理隔離，無法實(shí)現(xiàn)多媒體業(yè)務(wù)的互聯(lián)互通。多媒體業(yè)務(wù)是一類需要信息實(shí)時(shí)交互的業(yè)務(wù)，人工擺渡的方式無法滿足實(shí)時(shí)性要求，需要找到一種達(dá)到與物理隔離安全效果等價(jià)的網(wǎng)絡(luò)隔離通信方案，實(shí)現(xiàn)多媒體業(yè)務(wù)跨域互聯(lián)。

多媒體業(yè)務(wù)與數(shù)據(jù)類業(yè)務(wù)相比，在網(wǎng)絡(luò)層都采用TCP/IP協(xié)議承載，其面臨的安全問題類似，可以在天地一體化網(wǎng)絡(luò)多域網(wǎng)絡(luò)安全互聯(lián)的總體技術(shù)路線下統(tǒng)一分析解決。多媒體業(yè)務(wù)的特殊性更多地體現(xiàn)在應(yīng)用層，需要針對(duì)其特點(diǎn)進(jìn)行專門研究。

多媒體業(yè)務(wù)包括信令和媒體兩個(gè)層面。在信令層面，可采用H.323協(xié)議和SIP協(xié)議。其中，SIP協(xié)議結(jié)構(gòu)簡(jiǎn)單，易于實(shí)現(xiàn)和調(diào)試，并具有優(yōu)秀的靈活性和擴(kuò)展性，得到了越來越廣泛的應(yīng)用。SIP協(xié)議以文本的形式編碼，在網(wǎng)絡(luò)傳輸中，文本形式表示的消息的詞法和語法分析比較簡(jiǎn)單，攻擊者可以非常容易地模仿、篡改SIP信令消息，并非法竊取、利用SIP消息中的重要信息。天地一體化網(wǎng)絡(luò)具有信道開放、衛(wèi)星節(jié)點(diǎn)暴露等特點(diǎn)，相比傳統(tǒng)地面網(wǎng)絡(luò)，更易遭受實(shí)體假冒、信息竊取、重放攻擊等安全威脅，SIP協(xié)議的特點(diǎn)也容易被攻擊者利用，通過安全等級(jí)低，安全防護(hù)能力弱的網(wǎng)絡(luò)作為跳板，發(fā)起跨網(wǎng)攻擊。多媒體業(yè)務(wù)在跨域互通時(shí)需要對(duì)會(huì)話協(xié)議進(jìn)行深度安全檢測(cè)，檢測(cè)和阻斷攻擊，防止安全風(fēng)險(xiǎn)的擴(kuò)散[5]。

在媒體層面，多媒體業(yè)務(wù)基于RTP協(xié)議傳輸語音、視頻等數(shù)據(jù)，并使用UDP協(xié)議承載。天地一體化網(wǎng)絡(luò)中的異構(gòu)子網(wǎng)安全等級(jí)各不相同，跨域的語音、視頻通信需要進(jìn)行嚴(yán)格的限制和檢查，防止信息的非法泄露。UDP協(xié)議的無連接特性容易被攻擊者利用，通過篡改、重放等方式進(jìn)行非法信息傳輸或跨網(wǎng)攻擊，天地一體化網(wǎng)絡(luò)的信道開放環(huán)境，更加劇了媒體數(shù)據(jù)的跨域傳輸安全風(fēng)險(xiǎn)。需要結(jié)合信令協(xié)議的協(xié)商過程，對(duì)媒體類數(shù)據(jù)進(jìn)行動(dòng)態(tài)、細(xì)粒度的跨網(wǎng)互通控制[6]。

2 一體化網(wǎng)絡(luò)多媒體業(yè)務(wù)跨域互聯(lián)控制關(guān)鍵技術(shù)研究

2.1抗隱蔽通道的隔離交換

為了實(shí)現(xiàn)信息實(shí)時(shí)、可靠的跨域安全傳輸，需要一種達(dá)到與物理隔離安全效果等價(jià)的網(wǎng)絡(luò)隔離通信方案[7]，實(shí)現(xiàn)基于OSI 網(wǎng)絡(luò)模型的七層全部斷開，以非網(wǎng)絡(luò)方式交換數(shù)據(jù)，并且交換的是非網(wǎng)絡(luò)數(shù)據(jù)[8]（可以是文件，但不能是IP包等標(biāo)準(zhǔn)協(xié)議格式），如圖所示。

圖1 OSI模型七層斷開示意圖

為了實(shí)現(xiàn)OSI模型的七層完全斷開，需要消除跨域通信過程中的隱蔽通道。根據(jù)形成原因，隱蔽通道可以分為3類：消息內(nèi)容自身隱蔽通道、數(shù)據(jù)分組大小隱蔽通道（PLCC，packet lengths。covert channel）和狀態(tài)信息隱蔽通道（SCC，status covert channel）。其中第一類隱蔽通道存在于所有的網(wǎng)絡(luò)通信中，不可避免；第二、三類隱蔽通道可以通過適當(dāng)方式予以避免。文獻(xiàn)[7]針對(duì)PLCC和SCC兩類隱蔽通道，提出了NICS解決方案。NICS方案以硬件隔離裝置為基礎(chǔ)，確保拆分前后的數(shù)據(jù)分組長(zhǎng)度之間不存在固定的映射關(guān)系，實(shí)現(xiàn)抗PLCC功能；為每個(gè)作業(yè)分組全程攜帶校驗(yàn)碼及糾錯(cuò)碼，可保障數(shù)據(jù)傳輸高可靠性，并實(shí)現(xiàn)抗SCC功能。在交互相同信息量的前提下，可實(shí)現(xiàn)與物理隔離等價(jià)的抗隱蔽通道的安全效果，具有高實(shí)時(shí)性、高安全性和高可靠性。

與數(shù)據(jù)類業(yè)務(wù)相比，多媒體業(yè)務(wù)的數(shù)據(jù)量大，實(shí)時(shí)性要求高，且在會(huì)議等應(yīng)用需求中，并發(fā)量大。跨網(wǎng)交換位置容易成為多媒體業(yè)務(wù)的瓶頸，影響通信效果，需要在文獻(xiàn)[7]的基礎(chǔ)上，進(jìn)一步研究NICS方案對(duì)多媒體業(yè)務(wù)的跨域通信支持能力，保證業(yè)務(wù)跨域互聯(lián)安全，并提高用戶體驗(yàn)。

2.2基于特征自動(dòng)生成的信令協(xié)議檢測(cè)

SIP協(xié)議的文本編碼特點(diǎn)，一方面有力地促進(jìn)了協(xié)議的推廣使用，另一方面也容易引人攻擊，造成安全風(fēng)險(xiǎn)?；螆?bào)文攻擊是SIP協(xié)議面臨的一大類攻擊。它通過構(gòu)造符合SIP報(bào)文格式，但可能沒有任何意義的報(bào)文消息發(fā)送給SIP實(shí)體，使SIP實(shí)體無法處理，達(dá)到探測(cè)信息、崩潰系統(tǒng)、拒絕服務(wù)、注冊(cè)劫持、權(quán)限提升等攻擊效果，并可在此基礎(chǔ)上結(jié)合其它攻擊手段實(shí)現(xiàn)更具價(jià)值的攻擊目標(biāo)。精心設(shè)計(jì)的畸形消息往往能達(dá)到較強(qiáng)的攻擊效果。由于SIP協(xié)議自身沒有專門的安全補(bǔ)充協(xié)議，也沒專門的安全機(jī)制，需要通過其他手段來保證SIP通信的安全性[9]。

針對(duì)SIP畸形報(bào)文攻擊的安全威脅，可采用根據(jù)協(xié)議特征自動(dòng)生成正則表達(dá)式的方法，實(shí)現(xiàn)對(duì)SIP信令協(xié)議的深度安全檢測(cè)和攻擊阻斷。根據(jù)SIP消息的ABNF范式，自動(dòng)生成一組SIP消息字段的正則表達(dá)式，并將這組正則表達(dá)式應(yīng)用于SIP信令消息的協(xié)議檢測(cè)。

SIP畸形報(bào)文檢測(cè)方案如圖2所示，包括畸形報(bào)文特征預(yù)處理和畸形報(bào)文的協(xié)議檢測(cè)兩部分。其中，畸形報(bào)文特征預(yù)處理模塊包括SIP協(xié)議特征解析、SIP協(xié)議檢測(cè)規(guī)則集轉(zhuǎn)換兩部分。在SIP協(xié)議特征解析部分，利用編譯器設(shè)計(jì)中的詞法分析和語法分析過程進(jìn)行SIP協(xié)議特征解析，再將SIP協(xié)議解析結(jié)果處理成正則表達(dá)式，作為SIP協(xié)議的檢測(cè)特征。在畸形報(bào)文協(xié)議檢測(cè)部分，首先對(duì)輸入的SIP數(shù)據(jù)包進(jìn)行捕獲，然后解析數(shù)據(jù)包，將解析后的數(shù)據(jù)包進(jìn)行檢測(cè)特征匹配，根據(jù)匹配結(jié)果生成檢測(cè)結(jié)果。發(fā)現(xiàn)異常信令后將其阻斷，避免其跨網(wǎng)滲透，并產(chǎn)生告警信息，實(shí)現(xiàn)基于威脅態(tài)勢(shì)的全網(wǎng)安全防護(hù)的聯(lián)動(dòng)管控[10]。

圖2 基于特征自動(dòng)生成的SIP畸形報(bào)文檢測(cè)

基于特征自動(dòng)生成的SIP協(xié)議檢測(cè)方法，能夠自動(dòng)化處理大量的協(xié)議定義，并具有靈活的可擴(kuò)展性。該SIP協(xié)議檢測(cè)方法可以部署在受保護(hù)的SIP實(shí)體以外，SIP實(shí)體對(duì)此無感，不會(huì)引入額外的傳輸和處理開銷；同時(shí)，不論是來自內(nèi)部還是來自外部的畸形消息，都可被監(jiān)控和檢測(cè)。由于RFC3261中定義SIP消息類型是有限的，在完成檢測(cè)特征的設(shè)計(jì)后，檢測(cè)規(guī)則并不需要頻繁地更新，檢測(cè)特征集可以保持相對(duì)穩(wěn)定。

2.3會(huì)話業(yè)務(wù)動(dòng)態(tài)控制

多媒體業(yè)務(wù)通信過程中，語音、視頻等媒體數(shù)據(jù)的通信受信令的控制。多媒體通信會(huì)話過程中，首先要進(jìn)行信令協(xié)商，針對(duì)會(huì)話的主從控制、媒體通信能力等進(jìn)行動(dòng)態(tài)協(xié)商。信令協(xié)商成功后，再根據(jù)協(xié)商結(jié)果開始語音、視頻通信?？苫谛帕顚?shí)現(xiàn)對(duì)媒體數(shù)據(jù)的動(dòng)態(tài)、細(xì)粒度控制。在信令協(xié)商過程中，解析跨域互聯(lián)信令消息，提取其中的媒體通信能力信息，根據(jù)信息協(xié)商結(jié)果下發(fā)媒體數(shù)據(jù)的控制策略。在媒體通信過程中，根據(jù)控制策略對(duì)跨域互通的媒體數(shù)據(jù)進(jìn)行檢查，如發(fā)現(xiàn)異常則阻斷異常數(shù)據(jù)的跨網(wǎng)傳輸，并產(chǎn)生告警信息，基于威脅態(tài)勢(shì)進(jìn)行全網(wǎng)聯(lián)動(dòng)管控，如圖所示。

圖3 基于信令的會(huì)話動(dòng)態(tài)控制

4 結(jié)束語

多媒體業(yè)務(wù)是天地一體化網(wǎng)絡(luò)中一類重要的業(yè)務(wù)。針對(duì)天地一體化網(wǎng)絡(luò)的環(huán)境特點(diǎn)和多媒體業(yè)務(wù)的協(xié)議特點(diǎn)，有針對(duì)性地研究了多媒體業(yè)務(wù)跨域互聯(lián)的安全技術(shù)。針對(duì)天地一體化網(wǎng)絡(luò)包含多個(gè)異構(gòu)子網(wǎng)的網(wǎng)絡(luò)環(huán)境，討論了采用抗隱蔽通道的隔離交換技術(shù)實(shí)現(xiàn)業(yè)務(wù)的跨域互通，該技術(shù)方案可達(dá)到與物理隔離等價(jià)的安全效果。針對(duì)多媒體協(xié)議的特點(diǎn)，研究了基于特征自動(dòng)生成的多媒體信令協(xié)議檢測(cè)技術(shù)，有效解決了應(yīng)用層畸形報(bào)文攻擊風(fēng)險(xiǎn)；研究了基于信令的會(huì)話動(dòng)態(tài)控制技術(shù)，實(shí)現(xiàn)對(duì)媒體數(shù)據(jù)跨域通信的動(dòng)態(tài)、細(xì)粒度控制。

未來將在上述關(guān)鍵技術(shù)研究的基礎(chǔ)上，進(jìn)一步研究天地一體化網(wǎng)絡(luò)中多媒體業(yè)務(wù)跨域互聯(lián)的實(shí)現(xiàn)方案。

[1]吳曼青，吳巍，周彬等.天地一體化信息網(wǎng)絡(luò)總體架構(gòu)設(shè)想[J].衛(wèi)星與網(wǎng)絡(luò)，2016.

[2]張乃通，趙康僆，劉功亮.對(duì)建設(shè)我國“天地一體化信息網(wǎng)絡(luò)”的思考[J].電子科學(xué)研究院學(xué)報(bào)，2015.

[3]梅敬青.適用于多媒體業(yè)務(wù)的異構(gòu)無線網(wǎng)絡(luò)若干關(guān)鍵技術(shù)研究[D].北京郵電大學(xué)，2011.

[4]沈榮駿.我國天地一體化航天互聯(lián)網(wǎng)構(gòu)想 [J].中國工程科學(xué)，2006.

[5]孫論強(qiáng)，秦海權(quán)，尹丹.物聯(lián)網(wǎng)安全接入網(wǎng)關(guān)的設(shè)計(jì)與實(shí)現(xiàn)[J].信息網(wǎng)絡(luò)安全，2011.

[6]鄧鵬程.SIP多媒體會(huì)議系統(tǒng)媒體服務(wù)器控制框架的設(shè)計(jì)與實(shí)現(xiàn)[D].電子科技大學(xué)，2011.

[7]李鳳華，談苗苗，樊凱等.抗隱蔽通道的網(wǎng)絡(luò)隔離通信方案[J].通信學(xué)報(bào)，2014.

[8]王永健，楊建華，郭廣濤等.網(wǎng)絡(luò)安全物理隔離技術(shù)分析及展望[J].信息安全與通信保密，2016.

[9]李佳.基于特征自動(dòng)生成的畸形SIP信令檢測(cè)技術(shù)的研究與實(shí)現(xiàn)[D].北京郵電大學(xué)，2010.

[10]劉蘭.網(wǎng)絡(luò)安全事件管理關(guān)鍵技術(shù)研究[D].華中科技大學(xué)，2007.