CN106228078A - 一种Linux下基于增强型ROST的安全运行方法 - Google Patents
一种Linux下基于增强型ROST的安全运行方法 Download PDFInfo
- Publication number
- CN106228078A CN106228078A CN201610609534.3A CN201610609534A CN106228078A CN 106228078 A CN106228078 A CN 106228078A CN 201610609534 A CN201610609534 A CN 201610609534A CN 106228078 A CN106228078 A CN 106228078A
- Authority
- CN
- China
- Prior art keywords
- access
- module
- rule
- user
- file
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 93
- 230000008569 process Effects 0.000 claims abstract description 61
- 238000005516 engineering process Methods 0.000 claims abstract description 14
- 230000007123 defense Effects 0.000 claims description 26
- 238000012544 monitoring process Methods 0.000 claims description 11
- 239000000872 buffer Substances 0.000 claims description 7
- 238000001514 detection method Methods 0.000 claims description 7
- 239000010410 layer Substances 0.000 claims description 6
- 230000003139 buffering effect Effects 0.000 claims description 5
- GOLXNESZZPUPJE-UHFFFAOYSA-N spiromesifen Chemical compound CC1=CC(C)=CC(C)=C1C(C(O1)=O)=C(OC(=O)CC(C)(C)C)C11CCCC1 GOLXNESZZPUPJE-UHFFFAOYSA-N 0.000 claims description 5
- 239000012792 core layer Substances 0.000 claims description 4
- 238000013459 approach Methods 0.000 claims description 3
- 238000005259 measurement Methods 0.000 claims description 3
- 238000003780 insertion Methods 0.000 claims 1
- 230000037431 insertion Effects 0.000 claims 1
- 241000700605 Viruses Species 0.000 description 4
- 230000007246 mechanism Effects 0.000 description 3
- 230000008901 benefit Effects 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 230000036039 immunity Effects 0.000 description 2
- 230000001965 increasing effect Effects 0.000 description 2
- 230000002787 reinforcement Effects 0.000 description 2
- 230000002155 anti-virotic effect Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 239000003795 chemical substances by application Substances 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 230000001066 destructive effect Effects 0.000 description 1
- 235000013399 edible fruits Nutrition 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 230000008676 import Effects 0.000 description 1
- 238000000465 moulding Methods 0.000 description 1
- 230000009897 systematic effect Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/604—Tools and structures for managing or administering access control systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/51—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
- G06F21/80—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in storage media based on magnetic or optical technology, e.g. disks with sectors
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Computer Hardware Design (AREA)
- General Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Databases & Information Systems (AREA)
- Automation & Control Theory (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开一种Linux下基于增强型ROST的安全运行方法,涉及计算机系统及信息安全领域，通过在Linux操作系统的核心层重建操作系统的权限访问，利用强制访问控制技术，在Linux操作系统上增加内核模块，所述内核模块包括：文件强制访问控制模块、程序启动与执行控制模块、进程强制访问控制模块、网络端口强制访问控制模块、用户防护控制模块、磁盘防护控制模块、登录防护控制模块和溢出防护控制模块；来实现系统访问安全受限，增强了原有Linux操作系统的安全性。
Description
技术领域
本发明涉及计算机系统及信息安全领域，具体的说是一种Linux下基于增强型ROST的安全运行方法。
背景技术
Linux是一个基于POSIX和UNIX的多用户、多任务、支持多线程和多CPU的操作系统。它能运行主要的UNIX工具软件、应用程序和网络协议,支持32位和64位硬件。Linux操作系统的应用越来越广，其稳定高效的特点受到了广泛的欢迎。但是，Linux操作系统的安全问题却饱受质疑，在普通用户使用时并不明显，但是在政府部门、电信部门等大规模应用这种操作系统的时候，却成为最大的阻碍。
Linux操作系统的安全方面主要存在以下问题：1）超级用户特权：超级管理员权限太大，其拥有其他用户所没有的特权，一旦获得超级管理员权限，就获得对计算机系统的完全控制；2）文件访问控制简单：用户进入系统便获得使用系统文件的权利，文件的访问仅依靠设置文件访问权限方式来控制，系统没有强制的安全访问控制机制，给攻击者开了方便之门；3）程序启动控制简单：用户进入系统便可启动任何程序（包括病毒或木马），系统没有强制的程序启动与执行控制机制，给系统带来了极大的安全隐患；4）执行的程序不安全：已经运行的Linux操作系统进程或用户进程经常被改写内存，甚至注入恶意代码，使程序的行为偏离了原来的轨道，造成系统的各种故障；5）系统用户保护简单：很多黑客攻入系统后，做的第一件事就是增加一个自己的用户，以便以后经常利用此账户光顾，当前系统缺乏对用户的安全管理控制，系统用户被增加或修改的危险性很大；6）缺乏磁盘保护：现在一些高深的黑客有时会通过直接改写磁盘上的数据，从而破坏系统的文件或程序，致使系统发生一些不可预知的问题；7）网络端口保护不完善：黑客通常是通过一些端口扫描工具找到系统中当前已打开的端口，利用该端口支持的服务进行各种攻击及破坏活动；8）用户登录过程简单：Linux登录只需要输入一个密码即可，一旦这个密码被人窃取，操作系统大门顿时敞开，缺少二次确认机制；9）缓冲区溢出造成隐患：Linux服务器上往往跑着各种业务应用程序，很难保证每个应用程序的开发者都能保证自己程序的缓冲不会溢出，而一旦缓冲溢出被黑客利用，黑客将为所欲为。
综上所述，系统管理员担心黑客的攻击、用户害怕数据的丢失、政府机关关心国家机密是否安全等一系列问题致使构建安全的网络操作系统环境刻不容缓。当前Linux操作系统安全保障不完善，容易造成的系统故障主要有以下几项：(1)缺少某些关键文件或关键文件被误删除，比如开机引导文件；(2)配置文件被恶意更改，比如服务器ip地址等；(3)加载恶意驱动；(4)操作系统关键文件被修改或者替换。正是由于以上常用安全问题以及系统故障，所以迫切需要发展一种能够全方位、多层面提高Linux操作系统自身安全的技术。
ROST+技术（增强型ROST技术）：Reinforcement Operating System Technique
Extend，翻译为增强型操作系统安全加固技术。ROST+技术打造立体多层次防护格局，防护层次从上到下依次为：应用层防护、文件系统层防护、磁盘防护；防护层次从左到右依次为：网络进口防护、主机系统防护、网络出口防护；防护层次从主到次依次为：基本防护、扩展防护（文件完整性检测、系统资源监控与报警）。同时，ROST+技术打造多实体防护格局，包括文件防护、目录防护、程序防护、进程防护、用户防护、网络端口防护、登录防护、缓冲防护。本发明基于ROST+技术，提出了一种Linux操作系统自身安全运行的方法。
发明内容
本发明针对目前需求以及现有技术发展的不足之处，提供一种Linux下基于增强型ROST的安全运行方法。
本发明所述一种Linux下基于增强型ROST的安全运行方法，解决上述技术问题采用的技术方案如下：所述Linux下基于增强型ROST的安全运行方法, 通过在Linux操作系统的核心层重建操作系统的权限访问，利用强制访问控制技术，在Linux操作系统上增加内核模块实现系统访问安全受限；所述内核模块包括：文件强制访问控制模块、程序启动与执行控制模块、进程强制访问控制模块、网络端口强制访问控制模块、用户防护控制模块、磁盘防护控制模块、登录防护控制模块和溢出防护控制模块。
所述文件强制访问控制模块负责基于用户对文件的访问控制，以及基于进程对文件的访问控制；所述程序启动与执行控制模块：通过可信度量技术，禁止非授权的程序启动；所述进程强制访问控制模块：通过对访问进程以不同访问权限对客体进程设制访问规则，任何用户（包括系统管理员）及其调用的非授权进程都无权终止与操作受进程强制访问控制保护的进程；所述网络端口强制访问控制模块：通过对访问进程以不同访问权限对网络端口设制访问规则，任何用户及其调用的非授权进程都无权连接与监听受网络端口强制访问控制保护的网络端口；所述用户防护控制模块：负责用户防护启用，将动态的监控新增用户、删除用户、修改管理员密码、修改用户属性等操作，一旦发现上述操作，非授权操作将立即禁止；所述磁盘防护控制模块：通过文件强制访问控制设置为只读权限的文件，不能通过磁盘层被修改或删除；所述登录防护控制模块：通过使用USB+密码认证或双重密码认证进行系统登录，提高Linux操作系统用户登录过程的安全性；所述溢出防护控制模块：检查Linux操作系统当前可执行程序缓冲溢出，如果某个进程设置了溢出检查规则为禁止溢出代码执行，当该进程发生缓冲溢出时及时终止溢出后的缓冲被恶意代码利用并执行。
优选的，所述内核模块还包括文件完整性检测模块，所述文件完整性检测模块负责收集信息，为文件或目录建立数据摘要，并保存在数据文件中，检查启动时，解码数据文件，进行校验，以验证文件或目录是否变动过。
优选的，所述内核模块还包括系统资源监控与报警模块，所述系统资源监控与报警模块通过对系统中的CPU、内存、硬盘、网络设置数量配额，当阀值达到时记录日志并通过相关途径报警。
本发明所述一种Linux下基于增强型ROST的安全运行方法与现有技术相比具有的有益效果是：本发明在Linux操作系统的核心层重建操作系统的权限访问，通过控制文件、目录、程序、进程、用户、磁盘、网络端口、登录过程、缓冲溢出等系统基本资源和事件，避免上述资源和事件被未经授权的非法使用，并解决病毒木马等的困扰，通过强制访问控制保护操作系统资源和事件，从根本上防止系统被修改或破坏，全面提高当前Linux操作系统在网络环境中的安全性和健壮性，免疫病毒木马和抵御黑客攻击，降低网络安全风险，以便达到Linux操作系统安全运行的目的。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，对本发明所述一种Linux下基于增强型ROST的安全运行方法进一步详细说明。
本发明提供一种Linux下基于增强型ROST的安全运行方法,通过在Linux操作系统的核心层重建操作系统的权限访问，利用强制访问控制技术，在Linux操作系统上增加内核模块，来实现系统访问安全受限，增强了原有Linux操作系统的安全性。
实施例：
本实施例所述一种Linux下基于增强型ROST的安全运行方法,通过在Linux操作系统上增加内核模块来增强原有操作系统的安全性，所述内核模块包括：文件强制访问控制模块、程序启动与执行控制模块、进程强制访问控制模块、网络端口强制访问控制模块、用户防护控制模块、磁盘防护控制模块、登录防护控制模块和溢出防护控制模块。
本实施例所述Linux下基于增强型ROST的安全运行方法,所述文件强制访问控制模块负责基于用户对文件的访问控制，以及基于进程对文件的访问控制；
文件强制访问控制模块的文件系统过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，以便截获来自所有用户或者进程对文件或目录的I/O请求；当截获到文件或目录的I/O请求时遍历访问控制链表，搜索文件或目录为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问；
进程在运行的时候就绑定了用户主体，所以进程本身也是一个主体。当一个客体受到安全模块的保护的时候，包括管理员也无法访问该客体，除非拥有文件强制访问控制规则的权限。
本实施例所述Linux下基于增强型ROST的安全运行方法,所述程序启动与执行控制模块：通过可信度量技术，禁止非授权的程序启动；
程序启动与执行控制模块的驱动程序在初始化时，逐条插入被控制程序路径到规则链表，并允许在运行期间动态添加或删除控制规则，以便截获系统所有的程序启动与执行请求；当检测到程序启动与执行请求时遍历规则链表，搜索要启动与执行进程的控制规则，并根据搜索结果进行过滤，未找到对应的控制规则或对应的控制规则设定为禁止，则禁止该程序启动与执行，否则允许该程序启动与执行。实现服务器对于病毒、木马、攻击程序等恶意代码的自免疫，弥补杀毒软件的滞后性问题。
本实施例所述Linux下基于增强型ROST的安全运行方法,所述进程强制访问控制模块：通过对访问进程以不同访问权限对客体进程设制访问规则，任何用户（包括系统管理员）及其调用的非授权进程都无权终止与操作受进程强制访问控制保护的进程；
进程强制访问控制模块的进程过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，以便截获所有对进程的访问请求；当截获到进程的访问请求时遍历访问控制链表，搜索被访问进程为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
本实施例所述Linux下基于增强型ROST的安全运行方法，所述网络端口强制访问控制模块：通过对访问进程以不同访问权限对网络端口设制访问规则，任何用户及其调用的非授权进程都无权连接与监听受网络端口强制访问控制保护的网络端口；
网络端口强制访问控制模块的网络端口过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，以便截获所有对网络端口的访问请求；当截获到网络端口的访问请求时遍历访问控制链表，搜索被访问网络端口为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
本实施例所述Linux下基于增强型ROST的安全运行方法，所述用户防护控制模块：负责用户防护启用，将动态的监控新增用户、删除用户、修改管理员密码、修改用户属性等操作，一旦发现上述操作，非授权操作将立即禁止；
用户防护控制模块的用户保护过滤驱动程序在初始化时，读取用户保护选项，并允许在运行期间动态修改用户保护选项，以便截获所有对系统用户的访问请求；当截获到对用户的访问请求时对比用户保护选项，并根据对比结果进行过滤，未找到对应的用户保护选项或对应的用户保护选项设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
本实施例所述Linux下基于增强型ROST的安全运行方法，所述磁盘防护控制模块：通过文件强制访问控制设置为只读权限的文件，不能通过磁盘层被修改或删除；
磁盘防护控制模块的磁盘系统过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，以便截获来自所有用户或者进程对磁盘扇区的I/O请求；当截获到磁盘扇区的I/O请求时遍历访问控制链表，搜索此磁盘扇区中的文件或目录为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
本实施例所述Linux下基于增强型ROST的安全运行方法，所述登录防护控制模块：通过使用USB+密码认证或双重密码认证进行系统登录，提高Linux操作系统用户登录过程的安全性；
登录防护控制模块的用户登录保护程序读取用户登录保护选项，以便拦截操作系统登录事件；当截获到系统登录事件时对比用户登录保护选项，并根据对比结果进行过滤，对应的用户登录保护选项设定为允许登录、用户密码输入正确且附加参数读取正常，则允许用户登录系统，否则用户不能登录系统。
本实施例所述Linux下基于增强型ROST的安全运行方法，所述溢出防护控制模块：检查Linux操作系统当前可执行程序缓冲溢出，如果某个进程设置了溢出检查规则为禁止溢出代码执行，当该进程发生缓冲溢出时及时终止溢出后的缓冲被恶意代码利用并执行；
溢出防护控制模块的溢出检测过滤驱动程序在初始化时，逐条插入被检测程序路径到规则链表，并允许在运行期间动态添加或删除检测规则，以便检测系统当前运行程序的缓冲溢出事件；当检测到溢出事件发生时遍历规则链表，搜索溢出进程的检测规则，并根据搜索结果进行过滤，未找到对应的检测规则或对应的检测规则设定为允许，则允许溢出的代码执行，否则禁止溢出的代码执行。
本实施例所述内核模块还包括文件完整性检测模块，所述文件完整性检测模块：收集信息，为文件或目录建立数据摘要，并保存在数据文件中，检查启动时，解码数据文件，进行校验，以验证文件或目录是否变动过。
本实施例所述内核模块还包括系统资源监控与报警模块，所述系统资源监控与报警模块：通过对系统中的CPU、内存、硬盘、网络设置数量配额，当阀值达到时记录日志并通过相关途径报警。
上述具体实施方式仅是本发明的具体个案，本发明的专利保护范围包括但不限于上述具体实施方式，任何符合本发明的权利要求书的且任何所属技术领域的普通技术人员对其所做的适当变化或替换，皆应落入本发明的专利保护范围。
Claims (10)
1.一种Linux下基于增强型ROST的安全运行方法，其特征在于, 通过在Linux操作系统的核心层重建操作系统的权限访问，利用强制访问控制技术，在Linux操作系统上增加内核模块实现系统访问安全受限；所述内核模块包括：文件强制访问控制模块、程序启动与执行控制模块、进程强制访问控制模块、网络端口强制访问控制模块、用户防护控制模块、磁盘防护控制模块、登录防护控制模块和溢出防护控制模块；
所述文件强制访问控制模块负责用户对文件的访问控制，以及进程对文件的访问控制；所述程序启动与执行控制模块通过可信度量技术，禁止非授权的程序启动；所述进程强制访问控制模块，通过对访问进程以不同访问权限对客体进程设制访问规则，任何用户及其调用的非授权进程都无权终止与操作受进程强制访问控制保护的进程；所述网络端口强制访问控制模块，通过对访问进程以不同访问权限对网络端口设制访问规则，任何用户及其调用的非授权进程都无权连接与监听受网络端口强制访问控制保护的网络端口；所述用户防护控制模块负责用户防护启用，将动态的监控新增用户、删除用户、修改管理员密码、修改用户属性操作，一旦发现非授权操作将立即禁止；所述磁盘防护控制模块通过文件强制访问控制设置为只读权限的文件，不能通过磁盘层被修改或删除；所述登录防护控制模块，通过使用USB+密码认证或双重密码认证进行系统登录；所述溢出防护控制模块检查Linux操作系统当前可执行程序缓冲溢出，若某个进程设置了溢出检查规则为禁止溢出代码执行，当该进程发生缓冲溢出时及时终止溢出后的缓冲被恶意代码利用并执行。
2.根据权利要求1所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 文件强制访问控制模块的文件系统过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，截获来自所有用户或者进程对文件或目录的I/O请求；当截获到文件或目录的I/O请求时遍历访问控制链表，搜索文件或目录为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
3.根据权利要求2所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 程序启动与执行控制模块的驱动程序在初始化时，逐条插入被控制程序路径到规则链表，并允许在运行期间动态添加或删除控制规则，截获系统所有的程序启动与执行请求；当检测到程序启动与执行请求时遍历规则链表，搜索要启动与执行进程的控制规则，并根据搜索结果进行过滤，未找到对应的控制规则或对应的控制规则设定为禁止，则禁止该程序启动与执行，否则允许该程序启动与执行。
4.根据权利要求3所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 进程强制访问控制模块的进程过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，截获所有对进程的访问请求；当截获到进程的访问请求时遍历访问控制链表，搜索被访问进程为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
5.根据权利要求4所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 网络端口强制访问控制模块的网络端口过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，截获所有对网络端口的访问请求；当截获到网络端口的访问请求时遍历访问控制链表，搜索被访问网络端口为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
6.根据权利要求5所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 用户防护控制模块的用户保护过滤驱动程序在初始化时，读取用户保护选项，并允许在运行期间动态修改用户保护选项，截获所有对系统用户的访问请求；当截获到对用户的访问请求时对比用户保护选项，并根据对比结果进行过滤，未找到对应的用户保护选项或对应的用户保护选项设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
7.根据权利要求6所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 磁盘防护控制模块的磁盘系统过滤驱动程序在初始化时，逐条插入访问规则到访问控制链表，并允许在运行期间动态添加或删除访问规则，截获来自所有用户或者进程对磁盘扇区的I/O请求；当截获到磁盘扇区的I/O请求时遍历访问控制链表，搜索此磁盘扇区中的文件或目录为客体的访问控制规则，并根据搜索结果进行过滤，未找到对应的访问控制规则或对应的访问控制规则设定为允许访问，则转交原系统服务例程，否则明确要求系统拒绝该访问。
8.根据权利要求7所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 登录防护控制模块的用户登录保护程序读取用户登录保护选项，拦截操作系统登录事件；当截获到系统登录事件时对比用户登录保护选项，并根据对比结果进行过滤，对应的用户登录保护选项设定为允许登录、用户密码输入正确且附加参数读取正常，则允许用户登录系统，否则用户不能登录系统。
9.根据权利要求8所述一种Linux下基于增强型ROST的安全运行方法，其特征在于, 溢出防护控制模块的溢出检测过滤驱动程序在初始化时，逐条插入被检测程序路径到规则链表，并允许在运行期间动态添加或删除检测规则，检测系统当前运行程序的缓冲溢出事件；当检测到溢出事件发生时遍历规则链表，搜索溢出进程的检测规则，并根据搜索结果进行过滤，未找到对应的检测规则或对应的检测规则设定为允许，则允许溢出的代码执行，否则禁止溢出的代码执行。
10.根据权利要求9所述一种Linux下基于增强型ROST的安全运行方法，其特征在于,所述内核模块还包括文件完整性检测模块和系统资源监控与报警模块，所述文件完整性检测模块负责收集信息，为文件或目录建立数据摘要，并保存在数据文件中，检查启动时解码数据文件，进行校验，以验证文件或目录是否变动过；所述系统资源监控与报警模块通过对系统中的CPU、内存、硬盘、网络设置数量配额，当阀值达到时记录日志并通过相关途径报警。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610609534.3A CN106228078A (zh) | 2016-07-29 | 2016-07-29 | 一种Linux下基于增强型ROST的安全运行方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610609534.3A CN106228078A (zh) | 2016-07-29 | 2016-07-29 | 一种Linux下基于增强型ROST的安全运行方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN106228078A true CN106228078A (zh) | 2016-12-14 |
Family
ID=57535826
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201610609534.3A Pending CN106228078A (zh) | 2016-07-29 | 2016-07-29 | 一种Linux下基于增强型ROST的安全运行方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN106228078A (zh) |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107483277A (zh) * | 2017-09-28 | 2017-12-15 | 北京小米移动软件有限公司 | 端口管理方法及装置 |
| CN109325346A (zh) * | 2018-09-06 | 2019-02-12 | 郑州云海信息技术有限公司 | 一种基于Linux系统的入侵检测方法 |
| CN110381068A (zh) * | 2019-07-23 | 2019-10-25 | 迈普通信技术股份有限公司 | 强制访问控制方法、装置、网络设备及存储介质 |
| CN111079154A (zh) * | 2019-12-20 | 2020-04-28 | 北京中嘉华诚网络安全技术有限公司 | 一种保护操作系统内核不被外来程序破坏的内核加固系统 |
| CN111291371A (zh) * | 2020-01-10 | 2020-06-16 | 北京深之度科技有限公司 | 一种应用程序安全验证方法及装置 |
| CN113821775A (zh) * | 2021-09-29 | 2021-12-21 | 北京珞安科技有限责任公司 | 基于Ubuntu操作系统的软件版权保护系统和方法 |
| CN114138362A (zh) * | 2021-11-18 | 2022-03-04 | 武汉深之度科技有限公司 | 一种内核模块防卸载方法、防卸载装置及计算设备 |
Citations (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101493873A (zh) * | 2009-03-04 | 2009-07-29 | 浪潮电子信息产业股份有限公司 | 基于内核层技术实现对win平台文件读写操作访问控制方法 |
| CN101788944A (zh) * | 2010-01-25 | 2010-07-28 | 浪潮电子信息产业股份有限公司 | 一种利用强制访问控制检测aix系统故障的方法 |
| CN101819548A (zh) * | 2010-03-26 | 2010-09-01 | 浪潮电子信息产业股份有限公司 | 一种利用强制访问控制检测Linux系统故障的技术 |
| CN101827091A (zh) * | 2010-03-26 | 2010-09-08 | 浪潮电子信息产业股份有限公司 | 一种利用强制访问控制检测Solaris系统故障的方法 |
| CN101877039A (zh) * | 2009-11-23 | 2010-11-03 | 浪潮电子信息产业股份有限公司 | 一种服务器操作系统的故障检测技术 |
| CN103246849A (zh) * | 2013-05-30 | 2013-08-14 | 浪潮集团有限公司 | 一种Windows下基于增强型ROST的安全运行方法 |
| CN103793662A (zh) * | 2013-12-12 | 2014-05-14 | 浪潮电子信息产业股份有限公司 | 一种可信平台下基于强制访问控制的安全运行方法 |
| US20160182486A1 (en) * | 2013-09-17 | 2016-06-23 | Auburn University | Space-time separated and jointly evolving relationship-based network access and data protection system |
-
2016
- 2016-07-29 CN CN201610609534.3A patent/CN106228078A/zh active Pending
Patent Citations (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101493873A (zh) * | 2009-03-04 | 2009-07-29 | 浪潮电子信息产业股份有限公司 | 基于内核层技术实现对win平台文件读写操作访问控制方法 |
| CN101877039A (zh) * | 2009-11-23 | 2010-11-03 | 浪潮电子信息产业股份有限公司 | 一种服务器操作系统的故障检测技术 |
| CN101788944A (zh) * | 2010-01-25 | 2010-07-28 | 浪潮电子信息产业股份有限公司 | 一种利用强制访问控制检测aix系统故障的方法 |
| CN101819548A (zh) * | 2010-03-26 | 2010-09-01 | 浪潮电子信息产业股份有限公司 | 一种利用强制访问控制检测Linux系统故障的技术 |
| CN101827091A (zh) * | 2010-03-26 | 2010-09-08 | 浪潮电子信息产业股份有限公司 | 一种利用强制访问控制检测Solaris系统故障的方法 |
| CN103246849A (zh) * | 2013-05-30 | 2013-08-14 | 浪潮集团有限公司 | 一种Windows下基于增强型ROST的安全运行方法 |
| US20160182486A1 (en) * | 2013-09-17 | 2016-06-23 | Auburn University | Space-time separated and jointly evolving relationship-based network access and data protection system |
| CN103793662A (zh) * | 2013-12-12 | 2014-05-14 | 浪潮电子信息产业股份有限公司 | 一种可信平台下基于强制访问控制的安全运行方法 |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107483277A (zh) * | 2017-09-28 | 2017-12-15 | 北京小米移动软件有限公司 | 端口管理方法及装置 |
| CN109325346A (zh) * | 2018-09-06 | 2019-02-12 | 郑州云海信息技术有限公司 | 一种基于Linux系统的入侵检测方法 |
| CN110381068A (zh) * | 2019-07-23 | 2019-10-25 | 迈普通信技术股份有限公司 | 强制访问控制方法、装置、网络设备及存储介质 |
| CN111079154A (zh) * | 2019-12-20 | 2020-04-28 | 北京中嘉华诚网络安全技术有限公司 | 一种保护操作系统内核不被外来程序破坏的内核加固系统 |
| CN111291371A (zh) * | 2020-01-10 | 2020-06-16 | 北京深之度科技有限公司 | 一种应用程序安全验证方法及装置 |
| CN113821775A (zh) * | 2021-09-29 | 2021-12-21 | 北京珞安科技有限责任公司 | 基于Ubuntu操作系统的软件版权保护系统和方法 |
| CN114138362A (zh) * | 2021-11-18 | 2022-03-04 | 武汉深之度科技有限公司 | 一种内核模块防卸载方法、防卸载装置及计算设备 |
| CN114138362B (zh) * | 2021-11-18 | 2024-03-01 | 武汉深之度科技有限公司 | 一种内核模块防卸载方法、防卸载装置及计算设备 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN106228078A (zh) | 一种Linux下基于增强型ROST的安全运行方法 | |
| US7904956B2 (en) | Access authorization with anomaly detection | |
| Malik et al. | Database security-attacks and control methods | |
| CN103246849A (zh) | 一种Windows下基于增强型ROST的安全运行方法 | |
| US7506364B2 (en) | Integrated access authorization | |
| US8601580B2 (en) | Secure operating system/web server systems and methods | |
| CN106295355B (zh) | 一种面向Linux服务器的主动安全保障方法 | |
| Yunus et al. | Review of SQL injection: problems and prevention | |
| CN106326699A (zh) | 一种基于文件访问控制和进程访问控制的服务器加固方法 | |
| Roichman et al. | Fine-grained access control to web databases | |
| US8978150B1 (en) | Data recovery service with automated identification and response to compromised user credentials | |
| Shan et al. | Enforcing mandatory access control in commodity OS to disable malware | |
| US7487548B1 (en) | Granular access control method and system | |
| CN109376530B (zh) | 基于标记的进程强制行为控制方法和系统 | |
| US20050119902A1 (en) | Security descriptor verifier | |
| Shan et al. | Tracer: enforcing mandatory access control in commodity OS with the support of light-weight intrusion detection and tracing | |
| CN101827091A (zh) | 一种利用强制访问控制检测Solaris系统故障的方法 | |
| Peisert et al. | Dynamic, flexible, and optimistic access control | |
| CN105893376A (zh) | 数据库访问监管方法 | |
| Shang et al. | [Retracted] Computer Multimedia Security Protection System Based on the Network Security Active Defense Model | |
| Michalska et al. | Security risks and their prevention capabilities in mobile application development | |
| Zimmermann et al. | Introducing reference flow control for detecting intrusion symptoms at the os level | |
| JP2005085026A (ja) | アクセス制御装置ならびにそのプログラム | |
| KR100772455B1 (ko) | Ｄａｃ 강화를 위한 프로세스 분류/실행 제어 장치 및 방법 | |
| Zou et al. | A survey of android mobile platform security |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| WD01 | Invention patent application deemed withdrawn after publication |
Application publication date: 20161214 |
|
| WD01 | Invention patent application deemed withdrawn after publication |