CN103036709A - 一种基于主机监控操作系统的加固方法 - Google Patents

Abstract

本发明公开了一种基于主机监控操作系统的加固方法，包括建立基于树形安全域的主机监控模型；应用语义级审计进行访问控制；通过ROOkit将监控模块注入主机的计算机操作系统内核；采用策略方式对计算机操作系统进行功能控制；所述策略方式采用XML语言定义监控对象、监控内容、监控方式，并写入监控模块；所述监控内容包括审计方式、安全防护、监视。采用基于Rootkit的内核级控制解决控制的安全性、可靠性，采用树形安全域体系解决大型网络机群/网群的管理复杂性，采用分布式策略描述语言解决监控需求及方式方法的灵活、深层表述。

Description

一种基于主机监控操作系统的加固方法

技术领域

本发明涉及涉及一种新型的内网群监控与管理系统，具体涉及一种基于主机监控操作系统的加固方法。

背景技术

计算机和计算机网络的出现给人们的工作、生活带来了革命性的方便，使得它们几乎成为像传统的笔和纸一样的必不可少的工具。然而，计算机（特别是个人用形式的计算机）及其网络也是一种双刃剑，不规范的无节制的使用必然会起反作用，甚至造成巨大危害。因此，如何防止计算机及其网络的不规范的无节制的使用，如同如何方便使用计算机的问题一样，也是重要问题，对电子商务之类的关键应用，情况尤为如此。对这类问题的解决，不外乎两类方法：瘦客户和系统防护。对系统防护，早期人们主要依赖于操作系统和其上的应用系统的防护上。但是，一般的具有C2安全级别的计算机操作系统（如目前广泛使用的MS Windows XP/Server、各类Unix、各类Linux等），只有简单的访问控制功能和审计功能，可控制的对象不精确，控制方式也不丰富，瘦客户方法是使计算机终端尽可能的简单，以使用户无法滥用。方式主要有“终端”、“无盘工作站”及功能简化了或限制了的其它计算机系统（如限制只能使用Web浏览器，这种方法可通过可定制的“防护”方法实现），这是一种从“源头”解决问题的方法，对一些简单应用，如服务窗口，已经够用。但是，对于其他情况，由于用户不能总是处在一个“瘦客户”环境，瘦客户方法不能解决问题。

一种用于节制计算机及其网络的使用的系统----主机监控系统出现了。主机监控系统的目的是弥补操作系统的访问控制的不足，对计算机提供灵活、方便、安全、强大的控制、监视、保护及审计功能，使用户对计算机（特别是个人用）及其网络的使用处在灵活可靠的“可控”状态，免除“滥用”。其用在企事业单位，是保护单位的秘密及其他利益，用在家庭，是限制青少年的“无度”的使用。

目前的主机监控系统，无论从功能还是性能上讲，都远远不能满足实际需要，存在下列问题：非内核控制：控制系统运行在操作系统之上，作为操作系统的进程或服务，没有和操作系统的核心融为一体，存在效率低、可靠性差、控制不力、控制粗糙等问题，特别是，容易被电脑高手移出或停止。不适合大型内网群和机群的统一控制：一般的内网与主机监控系统都是面向单机的，不支持大型机群和内网群的统一控制与配置，不适合于大型应用（如大型企事业）。功能单调：一般的主机监控系统，只具备粗粒度的粗框型的网络访问控制、设备访问的控制等功能，审计功能也很简单，缺乏全面的细粒度的控制，缺乏应用语义级的访问控制，也缺乏将内外网安全威胁防御有机地结合在一起。不适合大型离散应用：对于电子商务一类的计算机应用，一般是分散的用户通过庞大的公网进行敏感的互操作，用户身份复杂，分布广泛，互操作的通信不受应用主的掌控，导致内部安全管理的更加复杂。

发明内容

本发明的目的在于克服现有技术存在的缺点与不足，提供一种基于主机监控操作系统的加固方法。

本发明所采用的技术方案：

一种基于主机监控操作系统的加固方法，包括：

建立基于树形安全域的主机监控模型；

应用语义级审计对主机监控操作系统进行访问控制；

通过ROOkit将监控模块注入主机的计算机操作系统内核；

采用策略方式对计算机操作系统进行功能控制；

所述策略方式采用XML语言定义监控对象、监控内容、监控方式，并写入监控模块；所述监控内容包括审计方式、安全防护、监视、取证、控制。

所述树形安全域由多个主机/子网组构成，所述主机按其管理角色分为主控主机、客户主机、透明主机。

所述树形安全域包括基本安全域和复合安全域，复合安全域控制基本安全域。

所述审计方式采用基于状态模型和基于统计分析的两种方法相结合；

所述安全防护包括检测方式，所述检测方式采用误用检测和异常检测两种方法相结合。

本发明的有益效果：

基于主机监控的操作系统加固方法，制定了支持广泛的细粒度的大型分布式主机资源与行为的全面的灵活的分布式监控的功能模型；采用基于Rootkit的内核级控制解决控制的安全性、可靠性，采用树形安全域体系解决大型网络机群/网群的管理复杂性，采用分布式策略描述语言解决监控需求及方式方法的灵活、深层表述。

附图说明

图1是本发明的功能模型示意图，

图2是本发明一实施例中树形安全域示意图。

具体实施例

下面结合附图对本发明作进一步详细描述，但本发明的实施和保护范围不限于此。

如图1所示，我们将主机监控操作系统的功能模型从监控对象、监控内容、监控方式三个维表述。这三个维形成的空间中任何一点均为系统功能。监控对象有网络行为（MAC层、TCP层、IP层、ICP/IP应用层Email、FTP、HTTP、TelNet等的数据包发送与接收）、文件使用（OS文件的打开、修改、删除、复制、发送等行为）、系统活动对象调用（进程、服务、分布对象EJB/COM/CORBA的调用）、系统数据结构的访问（如注册表及其他配制文件）、应用系统使用（各种OS应用系统及DBMS、服务、分布对象之类的中间件和支撑环境、终端用户程序等的操作访问）、接口访问（各种硬件设备的接口的使用，包括USB接口、COM接口、ATA接口、SCIS接口、SATA接口、SAS接口、并口接口）；监控内容有：监视（查看、显示各种监控对象及计算机内其他部件、设备、对象的操作使用状态）、控制（容许或不容许访问主机系统，容许控制的形式、方式、条件）、审计（规则检查主机系统是被用户在个人的正常职权范围内异常使用如用、恶用、误用，分静态日志审计和动态实时审计）、取证（取得主机系统被关键使用的证据以便追究责任）、安全防护（对主机的异常使用行为进行检测并进行防护）；监控方式有：策略化（所有监控功能、方式与流程均通过策略调度）、机群统一控制、基于规则的审计、定时控制、定人控制、定点控制、按照关键字匹配等条件进行控制。

一种基于主机监控操作系统的加固方法，包括：

建立基于树形安全域的主机监控模型；

应用语义级审计对主机监控操作系统进行访问控制；

通过ROOkit将监控模块注入主机的计算机操作系统内核；

采用策略方式对计算机操作系统进行功能控制；

所述策略方式采用XML语言定义监控对象、监控内容、监控方式，并写入监控模块；所述监控内容包括审计方式、安全防护、监视、取证、控制。

通过ROOkit将监控模块注入计算机操作系统内核；使其处在管态下运行，实现高效、可靠的监控，阻止非法撤销，本技术指标的实现由Rookit技术二次开发支撑。

采用策略方式对主机的计算机操作系统进行功能控制；

所述策略方式采用XML语言，定义安全域、主机角色、各种被控资源的访问控制期限与方式、审计方式、取证方式。用户通过XML语言说明对主机监控的要求，XML可以即时解释执行策略和规则。

所述一个安全域是一个主机/子网组，所述树形安全域由多个主机/子网组构成，如图2所示，在同一组中，各主机的管理模式是相近的。安全域中的主机，按其管理角色分为三种：主控主机：控制组中的其他主机的安全策略。主控主机上的安全策略对它所属的组而言是全局的，即它上的安全策略对其他主机均有效。称作为主控主机的主机为处于主控模式。客户主机：不拥有自己的私有控制策略，完全受主控主机的安全策略控制。称作为客户主机的主机为处于客户模式。透明主机：一方面，它接受主控主机的安全策略，另一方面，它可以自定义与主控主机不冲突的私有安全策略。称作为透明主机的主机为处于透明模式。一个安全域内的主控主机，可以与另一安全域中的主控连接，接受该安全域的安全策略，使两个安全域形成隶属关系。一个安全域最多只能隶属于一个安全域。树形安全域中，叶子安全域称为基本安全域，它们不控制其它安全域。非叶子安全域称为复合安全域，它们控制它们所在子树中所有节点。安全域内主机之间的控制关系可用广义表描述。设安全域f控制安全域f1，…,,fn，而F1,...,Fn为安全域f1~fn的广义表表示，则f的广义表表示F为：f4(F1,F2,…,Fn)如f为基本安全域，则f的广义表示直接为f。

使用策略描述语言定于安全域和主机角色后，系统的安全域中有了三类节点：主控节点、透明节点和客户节点，所述三类节点分别对应主控主机、客户主机、透明主机，8个基本安全域为安全域1-8，三个复合安全域表示为(5(1,2))(7(3,4))(8(5(1,2),6,7(3,4)))。该树形安全域的形式化描述规定了各节点在监控下的具体配置以及应该遵循的规则。

所述审计方式采用基于状态模型和基于统计分析的两种方法相结合，其中状态模型描述系统的误用条件、规则、状态等。审计描述语言采用基于状态逻辑的安全需求统一描述语言。

所述检测方式采用误用检测和异常检测两种方法相结合，充分结合二者的优势，误用检测的低误报率和异常检测的低漏报率，由于本系统的数据采集基于Rootkit，可以采集到系统核心层的相关于安全审计的数据，对异常检测是非常有效的。至于误用检测，采用上述的系统操作审计语言。

一种基于主机监控操作系统的加固方法，从功能上讲，制定了支持广泛的细粒度的大型分布式主机资源与行为的全面的灵活的分布式监控的功能模型，采用基于Rootkit的内核级控制解决控制的安全性、可靠性，采用树形安全域体系解决大型网络机群/网群的管理复杂性，采用分布式策略描述语言解决监控需求及方式方法的灵活、深层表述。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受所述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims (5)

1.一种基于主机监控操作系统的加固方法，其特征在于，包括：

建立基于树形安全域的主机监控模型；

应用语义级审计对主机监控操作系统进行访问控制；

通过ROOkit将监控模块注入主机监控操作系统内核；

采用策略方式对主机监控操作系统进行功能控制；

所述策略方式采用XML语言定义监控对象、监控内容、监控方式，并写入监控模块；所述监控内容包括审计方式、安全防护、监视、取证、控制。

2.根据权利要求1所述的一种基于主机监控操作系统的加固方法，其特征在于，所述树形安全域由多个主机/子网组构成，所述主机按其管理角色分为主控主机、客户主机、透明主机。

3.根据权利要求1或2所述的一种基于主机监控操作系统的加固方法，其特征在于，所述树形安全域包括基本安全域和复合安全域，复合安全域控制基本安全域。

4.根据权利要求1所述的一种基于主机监控操作系统的加固方法，其特征在于，所述审计方式采用基于状态模型和基于统计分析的两种方法相结合。

5.根据权利要求1所述的一种基于主机监控操作系统的加固方法，其特征在于，所述安全防护包括检测方式，所述检测方式采用误用检测和异常检测两种方法相结合。 

Images