CN101873318A

CN101873318A - 针对应用基础支撑平台上应用系统的应用与数据保全方法

Info

Publication number: CN101873318A
Application number: CN201010195085A
Authority: CN
Inventors: 郭骞; 余勇; 林为民; 张涛; 俞庚申; 冯谷
Original assignee: State Grid Electric Power Research Institute
Current assignee: State Grid Electric Power Research Institute
Priority date: 2010-06-08
Filing date: 2010-06-08
Publication date: 2010-10-27
Anticipated expiration: 2030-06-08
Also published as: CN101873318B

Abstract

本发明公开了针对应用基础支撑平台上应用系统的应用与数据保全方法。本发明通过接管并模拟应用基础框架平台的各类接口，创建形成与真实的上层应用相独立的虚拟容器或沙盒，如图1所示，屏蔽对被保护的真实应用系统和相关数据访问，使所有用户访问均运行于独立的虚拟容器中。通过对虚拟容器中用户运行结果状态或动作过程的分析，检测容器安全状态，在确认安全的情况下再进行虚拟容器数据向真实应用的导入；否则清空虚拟容器，对真实应用无任何影响，实现应用和数据的保全。本发明的有益效果在于：解决了网络攻击情况下如何保全基础框架平台之上的应用系统的问题。

Description

针对应用基础支撑平台上应用系统的应用与数据保全方法

技术领域

本发明是一种通过对应用基础框架平台环境的虚拟，实现其上构建的应用系统的应用与数据防护的方法，主要用于解决应用基础框架平台上构建的应用程序和应用数据对应用层攻击的防御和保全问题，属于信息安全领域。

背景技术

应用基础支撑平台是上层应用与底层数据交互的运行平台软件的统称。其运行于操作系统、网络和数据库之上，屏蔽底层环境的差异和复杂性，封装各类底层服务形成更多功能的调用接口，为处于自己上层的应用软件提供运行与开发的环境以及相应命令的解析，形成相对稳定的高层应用环境，帮助用户灵活、高效地开发、集成与运行复杂的应用。

由于面向业务对象的开发和可重用的需求，应用基础支撑平台的应用非常广泛，典型的有运行环境框架平台、web应用服务、各类中间件等。运行环境框架平台通常为多语言组件开发和执行环境，便于开发人员更容易地建立应用程序和服务，典型的有.net framework、J2EE等。Web应用服务包括apache、Tomcat、IIS、WebLogic等，这类应用基础支撑平台为asp、jsp、php等上层语言提供实时解析，提供对底层系统访问和其他服务调用的封装。中间件则屏蔽分布环境中异构的操作系统和网络协议，提供分布环境下的通讯服务，例如：CORBA、Tuxedo、SQL等，满足跨网络、硬件和OS平台的透明性的应用或服务的交互支持标准的协议支持标准的接口的要求。

应用基础支撑平台之上的上层应用则是对该平台的各类API接口的调用和逻辑处理。这类应用既有如BBS、门户等直接可视可用的应用，也有如Weblogic、SAP等为业务逻辑提供支撑的应用框架。应用基础支撑平台目前是大型应用系统开发和运行的最基本的元素，如何保全应用系统，使其不被非法攻击破坏，是企业信息安全防护的一个重要内容。

应用和数据保全是指对应用系统的应用软件、应用环境和应用数据提供保护，保障其完整性和可用性。随着信息技术的进步，针对应用系统的攻击和反攻击的技术在不断发展，对于协议的分析和模式识别技术不断优化，攻击模式简单的针对系统底层的攻击越来越难以实现，而针对上层应用的防御技术不足导致相关攻击技术层出不穷，诸如SQL注入、跨站攻击、会话劫持及Cookie中毒(cookie-poisoning)等。

目前针对网络攻击的检测和防御手段主要为防火墙、IDS、IPS等，这类防护手段大多是基于特征的识别和防御方法。基于特征的识别和防御方法主要起源于早期对网络数据包的过滤，这类识别和防御方法对针对底层的攻击具有很好的防御效果，因为针对底层的攻击通常模式单一、数据结构小，使用这类方法能够快速的进行鉴别分析。

而针对应用层的攻击事件，往往具有复杂性，通常具有数据结构庞大、数据包承载量大、模式多样、分阶段处理等特性。针对这样的攻击事件，采用基于特征的识别和防御方法就需要维护一个极其庞大的特征库，并进行上下文的关联分析，却时常不能覆盖所有的攻击模式和新兴的攻击方式，最终导致网络攻击对系统造成较大破坏，使其不可用、数据被篡改或被非法使用等。近年又发展了基于缓写技术的防篡改技术，其在数据写入之前对写入数据进行检查，解决了部分应用层安全问题，但其依然提供真实应用的访问，不能对真实应用起有效保护；同时亦是针对用户访问某一环节的分析技术，不能从整体和结果上进行安全威胁判断，存在片面性和薄弱性，误报和遗漏常有发生。

发明内容

针对现有技术的不足，本发明提出一种全新的针对应用基础支撑平台上应用系统的应用和数据保全方法。通过隔离用户对真实应用的直接访问，更高效的识别网络攻击并攻击发生后对数据进行及时清退，使其无法引起真实应用和数据的变化，保障业务应用和数据的正确可用，即应用与数据保全，解决网络攻击情况下如何保全基础框架平台之上的应用系统的问题。

为了实现上述发明目的，本发明实现的技术方案如下：

存在应用基础框架平台M，其上构建的上层应用X需要保护。现有用户A欲访问上层应用X，则步骤如下：

1)数据分发器接管用户交互接口。当用户A发出访问请求时，由数据分发器接收用户A的请求。

2)数据分发器发现用户A为初次访问，汇报给数据管控核心。数据管控核心接到相应消息，创建虚拟容器Y1，并在其中建立并运行虚拟应用X1，并分配虚拟栈Z1。执行完成后，数据管控核心将用户A与虚拟容器Y1的对应关系交还给数据分发器。

3)数据分发器将用户A与虚拟容器Y1的对应关系写入对应表，并依据此对应表和用户A所发请求，将用户A的请求发给虚拟容器Y1，虚拟容器Y1上的虚拟应用X1返回用户A所请求的数据。

4)当用户A再次请求或执行其他操作时，数据分发器由对应表中用户A与虚拟容器Y1的对应关系，将用户A发送的数据交给虚拟容器Y1，由虚拟容器Y1中的虚拟应用X1处理。

5)当虚拟应用X1需要操作底层数据时，其调用接口已由虚拟栈Z1接管，Z1记录其操作过程，并将真实数据读入容器，与容器中的操作过程合并，返回数据给虚拟应用X1。而真实数据并未做任何修改。

6)当威协分析器发现用户A发送的数据或虚拟应用X1的操作存在威胁时，就给数据管控核心发送消息。数据管控核心接到消息立即清除虚拟容器Y1，即相关的虚拟应用X1、虚拟栈Z1，并清退数据分发器中的用户A与虚拟容器Y1、虚拟应用X1的对应关系。

7)如果用户A在执行过程中未被发现威胁，用户A发生TIMEOUT事件或正常退出，则由数据分发器或虚拟容器Y1发送相关消息给数据管控核心。数据管控核心要求威胁分析器检查，如果无安全威胁，则将虚拟容器Y1即其中的虚拟应用X1、虚拟栈Z1数据归并到真实环境中；如果检查到安全威胁，则立即清除虚拟容器Y1即相关的X1、虚拟栈Z1，并清退数据分发器中的用户A与虚拟容器Y1、虚拟应用X1的对应关系。

本发明的有益效果在于：解决了网络攻击情况下如何保全基础框架平台之上的应用系统的问题。

1)通过数据转发器接管一切网络用户交互接口方式，实现外部用户无法直接访问真实应用，使得直接针对应用的攻击无法对真实应用产生影响；

2)通过创建互相独立虚拟容器，虚拟容器中的虚拟应用仅运行于该容器中，任何对真实环境的访问均为虚拟容器和其中的虚拟栈所屏蔽的方式，实现虚拟应用完全与真实应用完全独立；

3)通过发现威胁时，直接清除虚拟容器的方式，实现针对应用层的威胁的清除，保证对真实应用不产生影响；

4)通过建立虚拟栈的方式，实现所有数据不直接写入真实环境，仅写入虚拟容器中的虚拟栈。当虚拟容器清除时，任何威胁均无法对真实环境产生影响；

5)通过对虚拟容器进行基于应用运行结果的威胁分析方式，实现非基于过程的威胁分析，不需要维护巨大的攻击模式库，对于威胁的检测更精确和容易，对网络攻击起特殊的识别和抵御作用；

6)通过对威胁分析器对每个虚拟容器进行监控和检查，实现在整个容器数据没有被威胁分析器识别为安全前，任何数据均不会写入真实环境，对真实应用和环境起到保护作用。

附图说明

图1是本发明的原理逻辑图；包含多用户状态下的逻辑访问结构。

图2是本发明的功能结构图；包含简单处理逻辑、各功能部件及其作用。

图3是本发明的仿真对象简图；包含虚拟容器的模拟环境的示意。

图4是本发明的虚拟对象的实现；包含虚拟栈的结构、方法和与容器的关系。

图5文件系统的虚拟和保护示意图。

图6上层应用的数据虚拟和保护示意图。

图7数据库对象的虚拟和保护示意图。

具体实施方式

以下结合附图对本发明作进一步说明。

本发明通过接管并模拟应用基础框架平台的各类接口，创建形成与真实的上层应用相独立的虚拟容器或沙盒，如图1所示，屏蔽对被保护的真实应用系统和相关数据访问，使所有用户访问均运行于独立的虚拟容器中。通过对虚拟容器中用户运行结果状态或动作过程的分析，检测容器安全状态，在确认安全的情况下再进行虚拟容器数据向真实应用的导入；否则清空虚拟容器，对真实应用无任何影响，实现应用和数据的保全。

图2给出了针对应用基础支撑平台上应用系统的应用与数据保全方法结构图，它主要包括四个部分：数据分发器、数据管控核心、威胁分析器以及虚拟容器。其中虚拟容器又由虚拟应用和虚拟栈组成。

下面给出具体介绍：

数据分发器：数据分发器主要接管基础应用平台的网络或其他访问接口，负责不同用户访问数据的分发。其主要有以下几个功能：

1)当发现某个新用户进行初始访问时，汇报数据管控核心。

2)当虚拟容器创建完毕，相关虚拟应用运行正常时，数据分发器将与此虚拟应用关联的用户访问进行重定向，使虚拟应用与用户进行交互操作。

3)当用户长时间不访问，处于TIMEOUT状态时，汇报数据管控核心。

数据管控核心：数据管控核心主要负责对各类消息的集中处理和对虚拟容器、虚拟应用、虚拟栈的管控。其主要有以下几个功能：

1)处理数据分发器汇报的用户初始访问和TIMEOUT消息。

2)处理威胁分析器汇报的确认安全和发现威胁消息。

3)创建、指派和销毁虚拟容器。

4)处理虚拟容器数据向真实环境的数据迁移。

威胁分析器：威胁分析器主要负责对虚拟容器中各部分的安全性分析。其中包括：

1)基于结果的威胁分析。当用户执行创建、写入和修改动作结束后，对结束后的处理对象进行安全性分析。

2)基于过程的威胁分析。监控容器中的上层应用执行过程，判断执行过程是否违背自定义安全操作要求。

3)基于交互的威胁分析。将容器中访问过的对象提交管理员确认，由管理员判断是否存在威胁。

虚拟容器：如图3，虚拟容器模拟真实环境中的各种接口调用，全面接管针对文件系统、数据库等底层数据的访问，，约束虚拟的上层应用在其中运行，无法直接访问真实环境。其中虚拟对象包括但不限于文件系统和数据库，所有这些环境数据均由虚拟栈接管和模拟。

虚拟应用：虚拟应用由真实应用产生，提供与真实应用完全一样的功能。单个虚拟应用约束于一个虚拟容器中；而一个虚拟容器中可运行多个相关但不相同的虚拟应用。

虚拟栈：如图4，虚拟栈是虚拟容器的底层访问对象，是对真实对象的封装。虚拟栈可指定由多个虚拟容器共享，以保证多用户状态下应用流程的处理。其结构包括：

1)真实对象链接：提供对真实对象只读的链接关系，不提供任何运行、修改操作权限，该部分也可为空。

2)数据差异段：记录修改过程，包括修改内容、修改操作类型、操作人和时间等属性。

3)方法：将真实对象链接和数据差异段进行归并、分离和撤销操作，为不同虚拟容器提供完整的可使用的虚拟对象数据。

图5、图6、图7分别以文件系统、上层应用数据和数据库对象的虚拟为例，列举了相应对象的虚拟和处理过程。

参见图2，针对应用基础支撑平台上应用系统的应用与数据保全方法的主要处理流程为：

1)接管基础框架平台接口

数据分发器接管应用基础框架平台的交互接口，使得所有交互过程均由数据分发器接收和转发，屏蔽对真实的上层应用的访问以及外部对应用基础框架平台的底层访问。

创建虚拟栈接管应用基础框架平台提供的对真实环境访问的相应API接口，使得真实环境接口得以封装和保护。

威胁分析器接管和监控上层应用的处理过程。

2)新用户访问

当新用户通过交互接口试图访问应用时，数据分发器比对内部记录表，确认该访问为一个新用户的访问时，汇报数据管控核心，通知其有新用户的访问。

数据管控核心收到数据分发器的新用户访问消息后，执行虚拟容器的创建工作，虚拟容器与其他上层应用独立，虚拟容器接管所有已接管接口以外的所用接口，同时在虚拟栈中模拟上层应用并运行于虚拟容器中。

威胁分析器开始对该虚拟容器进行监控。

数据管控核心将创建的虚拟容器进行编号并使之与该新用户相对应，将记录数据提交给数据转发器。

数据转发器收到记录并将其添加到自身的记录表中，每当该用户继续访问时，就将其数据转发给与之对应的虚拟容器。

3)用户后续访问

当用户进行后续访问时，数据分发器查询内部记录表，检查与之对应的虚拟容器编号，如果查找成功，则将其数据转发给对应的虚拟容器，由其中虚拟的上层应用进行处理。

4)用户TIMEOUT

当用户长时间不访问应用时，其时间超过数据转发器预设的TIMEOUT值后，引发TIMEOUT事件。数据转发器将用户TIMEOUT消息汇报给数据管控核心。

数据管控核心接到用户TIMEOUT消息后，查询威胁分析器确定是否存在安全威胁，如果存在安全威胁，则立即销毁对应的虚拟容器、虚拟应用和虚拟栈中相应数据；如果不存在安全威胁，则将查询虚拟栈，依据差异记录表将数据归并入真实环境。

5)用户正常结束

当用户正常结束后，虚拟容器向数据管控核心发送用户结束消息。

数据管控核心接到用户结束消息后，查询威胁分析器确定是否存在安全威胁，如果存在安全威胁，则立即销毁对应的虚拟容器、虚拟应用和虚拟栈中相应数据；如果不存在安全威胁，则将查询虚拟栈，依据差异记录表将数据归并入真实环境。

6)发现安全威胁

当威胁分析器发现某虚拟容器中的虚拟应用或虚拟栈存在安全威胁时，立即向数据管控核心发送安全威胁消息。

数据管控核心接到安全威胁消息后，立即销毁对应的虚拟容器、虚拟应用和虚拟栈中相应数据；同时要求数据转发器清退相应转发记录。

Claims

1.针对应用基础支撑平台上应用系统的应用与数据保全方法，其特征在于，包括以下步骤：

1)数据分发器接管用户交互接口；当用户A发出访问请求时，由数据分发器接收用户A的请求；

2)数据分发器发现用户A为初次访问，汇报给数据管控核心；数据管控核心接到相应消息，创建虚拟容器Y1，并在其中建立并运行虚拟应用X1，并分配虚拟栈Z1；执行完成后，数据管控核心将用户A与虚拟容器Y1的对应关系交还给数据分发器；

3)数据分发器将用户A与虚拟容器Y1的对应关系写入对应表，并依据此对应表和用户A所发请求，将用户A的请求发给虚拟容器Y1，虚拟容器Y1上的虚拟应用X1返回用户A所请求的数据；

4)当用户A再次请求或执行其他操作时，数据分发器由对应表中用户A与虚拟容器Y1的对应关系，将用户A发送的数据交给虚拟容器Y1，由虚拟容器Y1中的虚拟应用X1处理；

5)当虚拟应用X1需要操作底层数据时，其调用接口已由虚拟栈Z1接管，Z1记录其操作过程，并将真实数据读入容器，与容器中的操作过程合并，返回数据给虚拟应用X1；而真实数据并未做任何修改；

6)当威协分析器发现用户A发送的数据或虚拟应用X1的操作存在威胁时，就给数据管控核心发送消息；数据管控核心接到消息立即清除虚拟容器Y1，即相关的虚拟应用X1、虚拟栈Z1，并清退数据分发器中的用户A与虚拟容器Y1、虚拟应用X1的对应关系；

7)如果用户A在执行过程中未被发现威胁，用户A发生TIMEOUT事件或正常退出，则由数据分发器或虚拟容器Y1发送相关消息给数据管控核心；数据管控核心要求威胁分析器检查，如果无安全威胁，则将虚拟容器Y1即其中的虚拟应用X1、虚拟栈Z1数据归并到真实环境中；如果检查到安全威胁，则立即清除虚拟容器Y1即相关的X1、虚拟栈Z1，并清退数据分发器中的用户A与虚拟容器Y1、虚拟应用X1的对应关系。