一種基於主機監控作業系統的加固方法
2023-12-05 17:20:16
專利名稱：一種基於主機監控作業系統的加固方法
技術領域：
本發明涉及涉及一種新型的內網群監控與管理系統，具體涉及一種基於主機監控作業系統的加固方法。
背景技術：
計算機和計算機網絡的出現給人們的工作、生活帶來了革命性的方便，使得它們幾乎成為像傳統的筆和紙一樣的必不可少的工具。然而，計算機(特別是個人用形式的計算機)及其網絡也是一種雙刃劍，不規範的無節制的使用必然會起反作用，甚至造成巨大危害。因此，如何防止計算機及其網絡的不規範的無節制的使用，如同如何方便使用計算機的問題一樣，也是重要問題，對電子商務之類的關鍵應用，情況尤為如此。對這類問題的解決，不外乎兩類方法瘦客戶和系統防護。對系統防護，早期人們主要依賴於作業系統和其上的應用系統的防護上。但是，一般的具有C2安全級別的計算機作業系統(如目前廣泛使用的MS Windows XP/Server、各類Unix、各類Linux等),只有簡單的訪問控制功能和審計功能，可控制的對象不精確，控制方式也不豐富，瘦客戶方法是使計算機終端儘可能的簡單，以使用戶無法濫用。方式主要有「終端」、「無盤工作站」及功能簡化了或限制了的其它計算機系統(如限制只能使用Web瀏覽器，這種方法可通過可定製的「防護」方法實現)，這是一種從「源頭」解決問題的方法，對一些簡單應用，如服務窗口，已經夠用。但是，對於其他情況，由於用戶不能總是處在一個「瘦客戶」環境，瘦客戶方法不能解決問題。一種用於節制計算機及其網絡的使用的系統主機監控系統出現了。主機監控系統的目的是彌補作業系統的訪問控制的不足，對計算機提供靈活、方便、安全、強大的控制、監視、保護及審計功能，使用戶對計算機(特別是個人用)及其網絡的使用處在靈活可靠的「可控」狀態，免除「濫用」。其用在企事業單位，是保護單位的秘密及其他利益，用在家庭，是限制青少年的「無度」的使用。目前的主機監控 系統，無論從功能還是性能上講，都遠遠不能滿足實際需要，存在下列問題非內核控制控制系統運行在作業系統之上，作為作業系統的進程或服務，沒有和作業系統的核心融為一體，存在效率低、可靠性差、控制不力、控制粗糙等問題，特別是，容易被電腦高手移出或停止。不適合大型內網群和機群的統一控制一般的內網與主機監控系統都是面向單機的，不支持大型機群和內網群的統一控制與配置，不適合於大型應用(如大型企事業)。功能單調一般的主機監控系統，只具備粗粒度的粗框型的網絡訪問控制、設備訪問的控制等功能，審計功能也很簡單，缺乏全面的細粒度的控制，缺乏應用語義級的訪問控制，也缺乏將內外網安全威脅防禦有機地結合在一起。不適合大型離散應用對於電子商務一類的計算機應用，一般是分散的用戶通過龐大的公網進行敏感的互操作，用戶身份複雜，分布廣泛，互操作的通信不受應用主的掌控，導致內部安全管理的更加複雜。
發明內容
本發明的目的在於克服現有技術存在的缺點與不足，提供一種基於主機監控作業系統的加固方法。本發明所採用的技術方案一種基於主機監控作業系統的加固方法，包括建立基於樹形安全域的主機監控模型；應用語義級審計對主機監控作業系統進行訪問控制；通過ROOkit將監控模塊注入主機的計算機作業系統內核；採用策略方式對計算機作業系統進行功能控制；所述策略方式採用XML語言定義監控對象、監控內容、監控方式，並寫入監控模塊；所述監控內容包括審計方式、安全防護、監視、取證、控制。所述樹形安全域由多個主機/子網組構成，所述主機按其管理角色分為主控主機、客戶主機、透明主機。所述樹形安全域包括基本安全域和複合安全域，複合安全域控制基本安全域。所述審計方式採用基於狀態模型和基於統計分析的兩種方法相結合；所述安全防護包括檢測方式，所述檢測方式採用誤用檢測和異常檢測兩種方法相結合。本發明的有益效果基於主機監控的作業系統加固方法，制定了支持廣泛的細粒度的大型分布式主機資源與行為的全面的靈活的分布式監控的功能模型；採用基於Rootkit的內核級控制解決控制的安全性、可靠性，採用樹形安全域體系解決大型網絡機群/網群的管理複雜性，採用分布式策略描述語言解決監控需求及方式方法的靈活、深層表述。
圖1是本發明的功能模型示意圖，圖2是本發明一實施例中樹形安全域示意圖。
具體實施例下面結合附圖對本發明作進一步詳細描述，但本發明的實施和保護範圍不限於此。如圖1所示，我們將主機監控作業系統的功能模型從監控對象、監控內容、監控方式三個維表述。這三個維形成的空間中任何一點均為系統功能。監控對象有網絡行為(MAC層、TCP層、IP層、ICP/IP應用層Email、FTP、HTTP、TelNet等的數據包發送與接收)、文件使用(OS文件的打開、修改、刪除、複製、發送等行為)、系統活動對象調用(進程、服務、分布對象EJB/C0M/C0RBA的調用)、系統數據結構的訪問(如註冊表及其他配製文件)、應用系統使用(各種OS應用系統及DBMS、服務、分布對象之類的中間件和支撐環境、終端用戶程序等的操作訪問)、接口訪問(各種硬體設備的接口的使用，包括USB接口、COM接口、ATA接口、SCI S接口、SATA接口、SAS接口、並口接口)；監控內容有監視(查看、顯示各種監控對象及計算機內其他部件、設備、對象的操作使用狀態)、控制(容許或不容許訪問主機系統，容許控制的形式、方式、條件)、審計(規則檢查主機系統是被用戶在個人的正常職權範圍內異常使用如用、惡用、誤用，分靜態日誌審計和動態實時審計)、取證(取得主機系統被關鍵使用的證據以便追究責任)、安全防護(對主機的異常使用行為進行檢測並進行防護)；監控方式有策略化(所有監控功能、方式與流程均通過策略調度)、機群統一控制、基於規則的審計、定時控制、定人控制、定點控制、按照關鍵字匹配等條件進行控制。一種基於主機監控作業系統的加固方法，包括建立基於樹形安全域的主機監控模型；應用語義級審計對主機監控作業系統進行訪問控制；通過ROOkit將監控模塊注入主機的計算機作業系統內核；採用策略方式對計算機作業系統進行功能控制；所述策略方式採用XML語言定義監控對象、監控內容、監控方式，並寫入監控模塊；所述監控內容包括審計方式、安全防護、監視、取證、控制。通過ROOkit將監控模塊注入計算機作業系統內核；使其處在管態下運行，實現高效、可靠的監控，阻止非法 撤銷，本技術指標的實現由Rookit技術二次開發支撐。採用策略方式對主機的計算機作業系統進行功能控制；所述策略方式採用XML語言，定義安全域、主機角色、各種被控資源的訪問控制期限與方式、審計方式、取證方式。用戶通過XML語言說明對主機監控的要求，XML可以即時解釋執行策略和規則。所述一個安全域是一個主機/子網組，所述樹形安全域由多個主機/子網組構成，如圖2所示，在同一組中，各主機的管理模式是相近的。安全域中的主機，按其管理角色分為三種主控主機控制組中的其他主機的安全策略。主控主機上的安全策略對它所屬的組而言是全局的，即它上的安全策略對其他主機均有效。稱作為主控主機的主機為處於主控模式。客戶主機不擁有自己的私有控制策略，完全受主控主機的安全策略控制。稱作為客戶主機的主機為處於客戶模式。透明主機一方面，它接受主控主機的安全策略，另一方面，它可以自定義與主控主機不衝突的私有安全策略。稱作為透明主機的主機為處於透明模式。一個安全域內的主控主機，可以與另一安全域中的主控連接，接受該安全域的安全策略，使兩個安全域形成隸屬關係。一個安全域最多只能隸屬於一個安全域。樹形安全域中，葉子安全域稱為基本安全域，它們不控制其它安全域。非葉子安全域稱為複合安全域，它們控制它們所在子樹中所有節點。安全域內主機之間的控制關係可用廣義表描述。設安全域f控制安全域fl，...，，fn，而Fl，. . .，Fn為安全域H fn的廣義表表示，則f的廣義表表示F為f4 (Fl, F2, ...，Fn)如f為基本安全域，則f的廣義表示直接為f。使用策略描述語言定於安全域和主機角色後，系統的安全域中有了三類節點主控節點、透明節點和客戶節點，所述三類節點分別對應主控主機、客戶主機、透明主機，8個基本安全域為安全域1-8，三個複合安全域表示為(5(1，2)) (7 (3，4))(8 (5 (1,2),6,7 (3，4)))。該樹形安全域的形式化描述規定了各節點在監控下的具體配置以及應該遵循的規則。所述審計方式採用基於狀態模型和基於統計分析的兩種方法相結合，其中狀態模型描述系統的誤用條件、規則、狀態等。審計描述語言採用基於狀態邏輯的安全需求統一描述語目。所述檢測方式採用誤用檢測和異常檢測兩種方法相結合，充分結合二者的優勢，誤用檢測的低誤報率和異常檢測的低漏報率，由於本系統的數據採集基於Rootkit，可以採集到系統核心層的相關於安全審計的數據，對異常檢測是非常有效的。至於誤用檢測，採用上述的系統操作審計語言。一種基於主機監控作業系統的加固方法，從功能上講，制定了支持廣泛的細粒度的大型分布式主機資源與行為的全面的靈活的分布式監控的功能模型，採用基於Rootkit的內核級控制解決控制的安全性、可靠性，採用樹形安全域體系解決大型網絡機群/網群的管理複雜性，採用分布式策略描述語言解決監控需求及方式方法的靈活、深層表述。
上述實施例為本發明較佳的實施方式，但本發明的實施方式並不受所述實施例的限制，其他的任何未背離本發明的精神實質與原理下所作的改變、修飾、替代、組合、簡化，均應為等效的置換方式，都包含在本發明的保護範圍之內。
權利要求
1.一種基於主機監控作業系統的加固方法，其特徵在於，包括建立基於樹形安全域的主機監控模型；應用語義級審計對主機監控作業系統進行訪問控制；通過ROOkit將監控模塊注入主機監控作業系統內核；採用策略方式對主機監控作業系統進行功能控制；所述策略方式採用XML語言定義監控對象、監控內容、監控方式，並寫入監控模塊；所述監控內容包括審計方式、安全防護、監視、取證、控制。
2.根據權利要求1所述的一種基於主機監控作業系統的加固方法，其特徵在於，所述樹形安全域由多個主機/子網組構成，所述主機按其管理角色分為主控主機、客戶主機、透明主機。
3.根據權利要求1或2所述的一種基於主機監控作業系統的加固方法，其特徵在於，所述樹形安全域包括基本安全域和複合安全域，複合安全域控制基本安全域。
4.根據權利要求1所述的一種基於主機監控作業系統的加固方法，其特徵在於，所述審計方式採用基於狀態模型和基於統計分析的兩種方法相結合。
5.根據權利要求1所述的一種基於主機監控作業系統的加固方法，其特徵在於，所述安全防護包括檢測方式，所述檢測方式採用誤用檢測和異常檢測兩種方法相結合。
全文摘要
本發明公開了一種基於主機監控作業系統的加固方法，包括建立基於樹形安全域的主機監控模型；應用語義級審計進行訪問控制；通過ROOkit將監控模塊注入主機的計算機作業系統內核；採用策略方式對計算機作業系統進行功能控制；所述策略方式採用XML語言定義監控對象、監控內容、監控方式，並寫入監控模塊；所述監控內容包括審計方式、安全防護、監視。採用基於Rootkit的內核級控制解決控制的安全性、可靠性，採用樹形安全域體系解決大型網絡機群/網群的管理複雜性，採用分布式策略描述語言解決監控需求及方式方法的靈活、深層表述。
文檔編號G06F21/50GK103036709SQ20121051036
公開日2013年4月10日 申請日期2012年11月29日 優先權日2012年11月29日
發明者齊德昱, 楊捷, 李金星, 林偉偉, 李劍 申請人:華南理工大學