黑色海岸线论坛 - Powered by Discuz! Board

标题: [分享] 企业内部新闻一则，供各位参考 [打印本页]

作者: adylou 时间: 2007-7-31 18:04 标题: 企业内部新闻一则，供各位参考

浪潮SSR——填补服务器安全新空白

信息系统安全建设一直以来都是比较热门的话题。然而信息安全技术和产品发展到今天，却似乎总是不能让完全放心。信息系统得管理者和使用者经常会提出下面的问题：
1)
网络中的每台PC机都已经部署了防病毒软件，然而一个新的病毒到来，不但没有起到防治的作用，而且导致网络近乎于瘫痪，这是为什么？
2)
服务器随时都在打补丁，网络防范措施都很严密，为什么信息还是被泄漏了呢？
3)
刚刚微软又公布了新的重大漏洞，听起来很危险，可是没有补丁下载，我该怎么办呢？
4)
管理员辞职了，我如何知道在他当职期间没有在我的服务器中留下后门呢？
5)
管理员口令太多太乱，太多人都有管理员权限，如何控制呢？
这些问题困扰着使用者，也给我们安全产品的开发者、安全体系的建设者提了一个醒，长期以来我们对基于网络层、数据层等外部防范技术关注较多，如防火墙、VPN、IDS、防病毒等产品，但是往往忽略了信息安全的“终点问题”。
我们知道所有的攻击来源和攻击目标最终都会归结到承载企事业单位信息业务的终端和服务器上。硬件本身的问题是可以通过冗余备份等多种方式预防和解决，但是承载着业务系统的操作系统的安全问题却是层出不穷的，一旦最后一道防线被攻破，即使我们有监控证据和管理措施，服务器的重要数据丢失造成的影响我们还是无法估量的。
操作系统本身的缺陷带来的不安全因素主要包括：
Ø
系统漏洞——层出不穷
Ø
身份认证——较弱
Ø
访问控制——自主访问控制（DAC）
一方面，操作系统不同程度上都存在一些安全漏洞。一些广泛应用的操作系统，如Unix，Windows 2000、NT，其安全漏洞更是广为流传。另一方面，系统管理员或使用人员对复杂的操作系统和其自身的安全机制了解不够，配置不当也会造成安全隐患。这些安全漏洞给危险人员以可乘之机。如操作系统访问的口令认证机制，特殊目录访问读写权限设定问题等，如果设定不当，都可以使人越权访问与操作。所有的应用系统都运行在特定的操作系统上，一旦操作系统被危险人物控制，应用系统就失去了安全基础，另外最为重要的一点，目前使用的通用操作系统，其安全控制都是采用的自主访问控制，也就是说，管理员的权限是自主定义的，没有监督并且不受控制，这给操作系统及服务器的安全造成了很大的隐患。
由此可见，要解决服务器的安全问题，主要是从操作系统的漏洞和配置等方面的安全问题来解决。目前，通过对服务器的系统内核加固对用户信息的保密性、完整性、可靠性进行有效的保护，以守住数据安全的最后一道防线，正在成为继应用层网络安全产品后又行之有效的技术手段。

解决问题需要关注操作系统安全

众所周知，各种操作系统的超级用户权限超大可谓无所不能，一旦被通过外部或内部的非法攻击者所窃取与盗用对系统安全的威胁其后果不堪设想。内核加固技术通过对操作系统的超级用户权限进行合理分散与适度制约，从而使万一出现的超级用户“大权旁落”的威胁风险与破坏程度大大降低。特别就Internet85%的信息泄露来自于内部（数据来源：O’Higgins, 1997），超过80%的计算机犯罪是由内部员工实施这一现实而言，内核加固技术的实现更具重要意义。
浪潮集团信息安全事业部引入了目前国内863计划的技术成果之一——操作系统内核加固技术，成功开发了浪潮安全服务器加固系统SSR，该产品可全面大幅度地提高企业网络安全的国际安全认证等级，使企业网络安全技术应用由“治标”转入“治本”成为可能，对引导企业网络安全技术应用观念的转变也具有重要意义。
与传统的防火墙、入侵检测系统等基于网络防护的安全产品不同，浪潮内核加固技术是基于对主机的内核级安全加固防护，当未经授权的非法用户通过各种手段突破了防火墙等网络安全产品进入了内部主机，甚至窃取了系统管理员最高权限后，浪潮内核加固技术就将成为最后也是最坚固的一道防线。它通过对系统原有系统管理员即administrator和root的无限权力进行分散，使其不再具有对系统自身安全构成威胁的能力，从而达到从根本上保障系统安全的目的。也就是说即使非法入侵者拥有了系统管理员最高权限也不能对经过浪潮内核加固技术保护的系统一切核心或重要内容进行任何破坏和操作。浪潮内核加固模块稳定的工作于Windows NT /2000/2003 /UNIX/Linux系统下，提升系统的安全等级，具有国家第三级安全等级标准主要特性，为用户构造一个更加安全的操作系统平台。

对操作系统原有的系统管理员的权限进行合理的分散和适度的制约

操作系统原有系统管理员权限

SSR安全管理员

SSR安全审计员

系统管理员

我们知道，公司或者企业或者政府等的重要数据都是保存在磁盘上的文件系统上的，所以我们需要保护操作系统的文件子系统，那么最好的方法是什么呢？就是一个安全的操作系统，做一个安全操作系统的最好的解决方法是安全内核，也就是security kernel。
安全内核加固系统在系统访问界面这一层旁路所有的文件访问操作，从而从驱动层来达到为主客体进行安全表示判断的目的，实现了一个真正的安全内核。
实现安全内核(Security kernel)图示如下：

The protection information of corporation is:
filesystem

The best idea that protected the file system is:
Secure OS

Security Kernel
(从根本上解决攻击)

The secure OS solution is ?
(Security Kernel)

在驱动层（0层）加上安全内核模块，拦截所有的内核访问路径，从而达到三级的技术要求，达到的安全效果和重构操作系统源代码技术差不多，好处是不会影响客户的业务连续性，甚至不需要客户重启系统，对上层的所有应用都支持，对下层所有系统和机器都支持，而且能在操作系统粒度上保证上层应用的安全，是安全服务器标准的技术基础

浪潮内核加固技术-ROST

浪潮内核加固技术产品为具有自主知识产权的“智能安全加固系统”，项目产品涉及的大多数模块融合了多种先进的公开及未公开技术。由于程序中采用了高效的规则匹配算法，用户不会感觉到任何性能方面影响。本项目产品中最大的创新之处在于，将各种访问控制及完整性检测技术综合应用于网络主机安全性加固，对管理员权限进行合理分散，使系统中不再有至高无上的用户。即使由于各种不可预测的原因导致管理员密码被窃取，或入侵者通过某种特殊渠道获取了系统管理员权限，依然无法对受保护的资源进行非法访问。

ROST（Reinforcement Operating System Technique）是一项利用安全内核来提升操作系统安全等级的技术，这项技术的核心就是在操作系统的核心层重构操作系统的权限访问模型，实现真正的强制访问控制。使操作系统达到第三等级（B1 级）的安全技术要求，它是目前国家等级保护体系中系统层面的解决方案，意义在于“承上启下”，即可以很好的支持各种操作系统以及硬件平台，也能对操作系统上层的各种现有的大型应用有很好的安全支撑作用。

SSR模块组成、各模块功能和特性

　　1 ．身份认证技术
SSR运用数字签名的认证方法认证安全管理员的身份。对于基于web的访问界面来说，它只是一个规则设置界面，SSR的安全管理员用数字签名方式登陆进去后就可以对界面进行操作，对主客体进行安全标记的设置，界面关闭后不影响SSR的运行。
　　2．强制访问控制MAC
SSR 的强制访问控制MAC分为两大块：一个是基于用户对文件的访问控制，另一块是基于进程对文件的访问控制。进程在运行的时候就绑定了用户主体，所以进程本身也是一个主体，当一个客体受到安全标记的保护的时候即使root用户也无法访问该客体，除非拥有MAC的权限。
我们在系统访问界面上（如写操作，读操作，杀进程操作等）建立访问控制列表，根据内存中的，也就是应用层传过来的标记表，决定主体对客体在该访问界面上是否有权限。
　　3．基于web的配置管理界面
　　我们通过Web的方式实现用户对SSR的管理配置，在B/S的通讯模式中我们实现通讯的加密以及证书传递，以保证管理者更加方便安全的管理SSR，也就是用户在远程的windows机器利用IE就可以实现对SSR的远程管理。
　　4．进程保护机制
SSR提供了一套进程保护机制，可以防止恶意用户杀掉重要的系统进程以及服务进程，从而保障系统的正常运转，这里客体是进程，即使是root用户也无法终止被保护的进程。
通过在进程操作访问界面上，我们判断内存中的进程，和用户的标记，来判断是否有权限让该用户终止该进程。
5．网络强制访问控制
这里主体是用户，客体是网络资源，SSR把网络资源分为两类，一个是自主的绑定socket端口，另一种是远程连接网络资源，SSR默认情况下是禁止任何主体（用户）使用这两个网络资源的，也就是不允许所有用户绑定端口以及远程连接网络资源，这样可以防止非法取得DAC控制权限的黑客制造系统的隐蔽信道以及窃取网络资源等等。
这里的客体是网络资源，主体是用户，我们在相应的网络访问界面上，根据内存中的主客体的安全标记，来判断在该网络访问界面上该用户是否有权限使用网络资源。

产品部署
SSR的部署非常简单，在对目标服务器的操作系统和应用系统进行细致的安全分析和适当配置后，直接将SSR产品按照说明安装即可。由于采用的是B/S结构的管理方式，管理中心也不需要进行安装，只要通过网络能够访问到服务器即可。

SSR的防护离不开完善的权限分配策略，需要制定详细的文件、进程、注册表等相关访问控制列表，这需要管理人员虽自己的应用和系统非常了解。因此，浪潮的技术工程师在安装了SSR系统后还需要对客户的管理人员进行培训，并且在一段时间内帮助客户的管理员完善策略，以更好的体现出浪潮服务为本的理念。

综述
浪潮SSR服务器安全加固系统在设计时综合考虑了Intranet上的安全问题，具有强大的功能。浪潮SSR可以提供给客户系统安全管理员最有效的方法，保证网络最大限度的安全，同时可以使用户非常方便地使用内部的网络应用。
针对客户的操作系统的多样性，浪潮专门开发了不同操作系统的安全加固产品，目前已经开发出包括：Winodws Server系列、AIX、Solaris、HP-UNIX、Redhat等主流的操作系统得安全加固系统。

欢迎光临黑色海岸线论坛 (http://bbs.thysea.com/)