浪潮数据中心主机安全解决方案

一、需求与挑战

　　网络技术飞速发展在给信息共享带来了翻天覆地的变化的同时，也带来了安全隐患。Internet和Intranet无所不在的紧密结合亦使网络安全问题突出显现。长期以来网络安全界对基于网络应用的外部防范技术关注较多，而通过系统内核加固对用户信息的保密性、完整性、可靠性进行有效的保护，以守住数据安全的最后一道防线，正在成为继应用层网络安全产品后又行之有效的技术手段。众所周知，操作系统的超级用户权限(Administrator/root)一权独大可谓无所不能，一旦被外部或内部的非法攻击者所窃取或盗用对系统安全的威胁其后果不堪设想。内核加固技术对计算系统中信息交换的主客体增加安全标识，通过安全标识来弥补操作系统的自主访问控制模式(DAC)的局限性，提高系统的安全性，从而使万一出现的超级用户“大权旁落”的威胁风险与破坏程度大大降低。特别是Internet中85%的信息泄露来自于内部（O’Higgins，1997），超过80%的计算机犯罪是由内部员工实施。这一现实而言，内核加固技术更具重要意义。

　　来自内部的攻击威胁隐患

　　某些内部员工有攻击所在公司的目的或动机，并且他们熟知公司资源的访问控制；内部网物理窃听容易，有很多的网络工具可以监听局域网传输的任何信息；一般的内部服务应用所传输的敏感信息都是明文，如Telnet登陆时输入的帐号和口令，网页登录页面输入的用户名和口令；内部员工所连接的电脑在物理上直接与服务器相连，来自用户的请求未经任何过滤，直接连到服务器，而相比之下，Internet上的服务器一般都有防火墙的保护。这些原因导致了内部网络存在的安全威胁相比Internet更值得关注。

　　内部网络Intranet指的是一个基于TCP/IP通讯协议的内部信息系统，为用户提供网络服务。随着网络应用的发展，很多企业以及政府部门在自己内部的Intranet中集成了多种应用，包括基于浏览器方式的WWW应用以及基于数据库的Client-Server方式应用。使用者凭用户名和口令进入每个应用，应用也根据用户名和口令识别用户身份，判断用户的权限。这样应用的增加给内部网络带来了两方面的问题。对用户而言，将拥有多个用户名和口令，用户如何有效的管理自己在各个应用中对应的用户名和口令？如何保护自己的身份信息不被别人窃取呢？如果用户遗忘了某个用户名或口令时将会影响他的工作，可能给自己造成很大的损失；如果用户为了方便记忆在各个应用中都使用同一个用户名和口令或把自己的各个用户名、口令记录在纸上，就会带来很大的口令泄露的风险。对整个内部网而言，如何在多个应用中统一管理用户的权限？如何提供保护用户身份信息的安全机制？如何有效地确保合法用户在自己拥有的权限内安全地、方便地使用Intranet，同时防止内部人员非法越权访问？又如何防止网上传输的机密信息泄露呢？大多数的WWW服务都使用明文来传输用户名和口令，这很容易被他人从网上截获。即使是相当好的口令，由于口令的长度很有限，也抵御不了类似字典攻击这样的穷举攻击。

　　所以当政府部门为了提高办事效率，建立了自己的网上办公系统时；当企业为了提高工作效率，建立了自己的网上管理系统时，将面临上述问题的困扰。

　　来自外部网络的攻击

　　随着Internet网络上计算机的不断增长，所有计算机之间存在很强的依存性。一旦某些计算机遭到了入侵，它就有可能成为入侵者的栖息地和跳板，成为进一步攻击的工具。对于网络基础架构如DNS系统、路由器的攻击也越来越成为严重的安全威胁。

　　当前常用的网络安全技术与工具的局限性

　　防火墙（Firewall）的局限性，号称“一夫当关，万夫莫开”的关口，一定程度上简化了网络的安全管理。但入侵者可寻找防火墙背后可能敞开的后门，对于这种防火墙后的入侵者的发起的网络内部攻击防火墙基本无法防范。

　　入侵检测（IDS）的局限性，很难跟踪新的入侵模式。且时有误报警。

　　漏洞扫描（Scanner）局限性，漏洞扫描系统或者称安全咨询系统，很难跟踪新的漏洞，且不能真正全面实时地扫描漏洞。

　　杀毒软件（Anti-virus）的局限性，杀毒软件具有后置性，无法应对未知的病毒。

　　综上所述，计算机信息系统就像一个容易感冒的病人，如何防止感冒呢？现有的安全概念是“戴口罩”，但这无法真正解决问题，所以要做到最根本的自身的免疫才能应对“感冒”。构建由应用层网络安全产品与内核加固技术内外结合的立体网络系统防护体系，必将成为网络安全防护技术的一种发展趋势。而内核加固技术作为网络安全技术的一个坚强后盾与补充，在网络安全体系中占有越来越重要地位。

二、浪潮数据中心主机安全解决方案

　　目前网络安全市场以防火墙、IDS等基于网络防护的安全产品居多，浪潮独辟蹊径，在操作系统网络安全技术领域引入内核加固崭新理念，开发成功“浪潮主机安全增强系统”系列产品，简称浪潮SSR。该产品不仅可以大幅度地提高企事业单位信息系统安全水平，还可以提升操作系统的安全等级，使网络安全技术应用由“治标”转入“治本”成为可能，对引导企业信息安全技术应用观念的转变也具有重要意义。

　　就像上面所说的，现有的安全概念以及安全产品，比如防火墙、IDS、杀毒软件等都是一种“戴口罩”的安全防护理念，都是一种很被动的防御方法。

　　浪潮SSR就是要使操作系统本身达到一种自身的免疫，去掉口罩也能达到安全防护的目的，而且是从最根本上解决安全问题。

　　浪潮SSR根据国家三级的安全标识保护级别的标准，为系统中的信息交换的主客体分别加上安全标记，从而达到了强制访问控制（MAC)，制约了操作系统原有的自主访问控制策略（DAC），从根本上控制了信息的交换，实现安全的信息交换的方法。众所周知，不论是来自内部还是外部的攻击行为（包括病毒的攻击）的最终目的就是为了对信息的窃取和监听，我们利用安全标识保护了系统中每一条信息交互的通道，这样就做到了根本上的系统本身的自身免疫。

　　浪潮SSR的目的就是利用内核加固技术构建一个自身免疫的系统，从根本上实现了一个安全操作系统模型。

图 安全操作系统模型

　　众所周知，企事业单位或者政府部门等的重要数据都是保存在磁盘的文件系统上的，所以需要保护操作系统的文件子系统，那么最好的方法是什么呢？就是一个安全的操作系统，做一个安全操作系统的最好的解决方法是安全内核，也就是Security Kernel，这就是上面的图的意思。

　　浪潮SSR在系统访问界面这一层旁路所有的文件访问操作，从驱动层来达到为主客体进行安全表示判断的目的，实现了一个真正的安全内核。

图 安全内核

三、浪潮解决方案优势及价值

　　安全功能

　　强制访问控制功能：内核级实现文件强制访问控制、注册表强制访问控制、进程强制访问控制，服务强制访问控制。

　　安全审计功能

　　文件的完整性检测、服务的完整性检测。

　　自身的保护功能

　　保护软件自身进程不被异常终止、伪造、信息注入。

　　安全等级

　　提供国家第三级安全等级标准的安全功能。

　　可操作性

　　完全兼容Windows、Linux、Unix 系统，专业的技术，人性化的操作界面，运行开销小，不会引起能察觉的系统延时，对用户透明。