《主机保护技术介绍.ppt》由会员分享，可在线阅读，更多相关《主机保护技术介绍.ppt（25页珍藏版）》请在金锄头文库上搜索。
1、主机保护系统介绍主机保护系统介绍公安部信息通信局网络和信息安全处2 第一部分第一部分 需求分析需求分析 第二部分第二部分 系统设计系统设计第三部分第三部分 解决方案解决方案3一、安全目标：一、安全目标：l随着金盾工程的开展，公安信息化的深入。全国公安机关建立了国内最大的政务网络，开展了丰富多彩的业务应用，积累了大量宝贵的数据资源。l安全（管理）目标：网络不断、系统不瘫、数据不丢第一部分第一部分 需求分析需求分析边界保护边界保护网络保护网络保护系统保护系统保护应用保护应用保护FirewallFirewallUTMUTMIDSIDSIPSIPSVPNVPN应用应用数据数据防病毒防病毒防病毒防病毒第
2、一部分第一部分 需求分析需求分析 应用和数据的安全应用和数据的安全是核心与基础！而应用是核心与基础！而应用和数据都在主机服务器和数据都在主机服务器上，因此，对关键主机上，因此，对关键主机的保护至关重要！的保护至关重要！5二、面临的安全风险：二、面临的安全风险：1.1.计算机病毒计算机病毒2.2.恶意木马恶意木马3.3.系统漏洞系统漏洞4.4.应用缺陷和后门应用缺陷和后门5.5.人员误操作人员误操作6.6.空口令、弱口令，口令扩散空口令、弱口令，口令扩散其他，非安全因素造成的风险其他，非安全因素造成的风险第一部分第一部分 需求分析需求分析6造成的后果是：造成的后果是：1.1.信息泄露、篡改、丢失
3、信息泄露、篡改、丢失2.2.应用（服务）中断、停止应用（服务）中断、停止3.3.系统管理失效系统管理失效第一部分第一部分 需求分析需求分析7现有的安全产品不能有效解决主机面临的安全威胁现有的安全产品不能有效解决主机面临的安全威胁第一部分第一部分 需求分析需求分析安全产品安全产品防火墙防火墙主机入侵检测主机入侵检测漏洞扫描漏洞扫描防病毒防病毒功能通过对网络作拓扑结构和服务类型上的隔离来加强网络安全的手段通过解析主机访问日志信息提供了对内部攻击、外部攻击和误操作的实时保护通过主机和网络的扫描，判断主机存在的漏洞实时探测主机中程序和进程的安全性局限性入侵者寻找防火墙的后门，使防火墙失效对事件和系统调
4、用的监控和分析，衡量的技术指标非常少，无法判断实时变化的网络运行环境漏洞扫描系统本身需要不断的更新漏洞库，无法发现正在进行的入侵行为对病毒有效，对于基于网络的攻击行为（如扫描、针对漏洞的攻击）却无能为力8一、国家有关要求一、国家有关要求 信息安全等级保护安全建设要求信息安全等级保护安全建设要求中关于安全计算环中关于安全计算环境涉及用户身份鉴别、自主访问控制、标记与强制访问境涉及用户身份鉴别、自主访问控制、标记与强制访问控制、系统安全审计、用户数据完整性保护、用户数据控制、系统安全审计、用户数据完整性保护、用户数据保密性保护、客体安全重用等方面保密性保护、客体安全重用等方面。第二部分第二部分技术
5、要点技术要点9二、主机保护目标二、主机保护目标1.1.实现较强的访问控制：在安全策略控制范围内，使用户对实现较强的访问控制：在安全策略控制范围内，使用户对自己创建的客体具有各种访问操作权限，并能将这些权限自己创建的客体具有各种访问操作权限，并能将这些权限的部分或全部授予其他用户；同时，创建者用户可以通过的部分或全部授予其他用户；同时，创建者用户可以通过“授权转移授权转移”将这种授权能力授予别的用户；访问控制主将这种授权能力授予别的用户；访问控制主体的粒度应为用户级，客体的粒度应为文件或数据库表级体的粒度应为用户级，客体的粒度应为文件或数据库表级和和/ /或记录、字段级；访问操作应包括对客体的创
6、建、读、或记录、字段级；访问操作应包括对客体的创建、读、写、执行、修改和删除等写、执行、修改和删除等2.2.能够检测发现各种威胁：针对服务器已知和未知的安全威能够检测发现各种威胁：针对服务器已知和未知的安全威胁和入侵进行有效的检测和控制。对无效登陆用户进行鉴胁和入侵进行有效的检测和控制。对无效登陆用户进行鉴别和阻塞，对非法侵入进行监控和阻断，对入侵的行为进别和阻塞，对非法侵入进行监控和阻断，对入侵的行为进行有效记录和备案。行有效记录和备案。3.3.对系统关键资源进行防护：对系统关键资源进行防护： 定制系统资源访问分级防护策定制系统资源访问分级防护策略。略。 对敏感数据和涉密资料进行的防护。对系
7、统底层核心对敏感数据和涉密资料进行的防护。对系统底层核心文件进行保护。文件进行保护。4.4.便于集中统一管理：为分布式部署的服务器群提供统一的便于集中统一管理：为分布式部署的服务器群提供统一的服务器安全与管理策略，实现对全网的主机服务，网络协服务器安全与管理策略，实现对全网的主机服务，网络协议，服务端口和系统策略的统一监控和管理，提高服务器议，服务端口和系统策略的统一监控和管理，提高服务器安全管理的效率。安全管理的效率。5.5.提供行为级的安全审计：对系统的使用和管理进行有效的提供行为级的安全审计：对系统的使用和管理进行有效的审计，对重要文件和资源的访问和操作进行审计记录，提审计，对重要文件和
8、资源的访问和操作进行审计记录，提供管理和防护的依据和手段。供管理和防护的依据和手段。11三、功能要点三、功能要点 1 1、系统监控管理、系统监控管理 2 2、系统资源管理、系统资源管理 3 3、用户与帐号管理、用户与帐号管理 4 4、身份认证、身份认证 5 5、授权和访问控制、授权和访问控制 6 6、文件与数据保护、文件与数据保护 7 7、入侵检测、入侵检测 8 8、恶意代码防护、恶意代码防护 9 9、系统安全增强（加固）、系统安全增强（加固） 10 10、安全审计、安全审计12系统监控管理系统监控管理针对针对UnixUnix、WindowsWindows、LinuxLinux等操等操作系统的
9、设备状态、服务端口、作系统的设备状态、服务端口、配置、硬件运行、软件运行、设配置、硬件运行、软件运行、设备性能为核心的服务器（主机）备性能为核心的服务器（主机）监控管理，如：监控管理，如：CPUCPU内存内存磁盘磁盘文件系统文件系统进程进程进程通讯状态进程通讯状态日志日志用户活动用户活动关键参数关键参数各类报警信息各类报警信息针对针对OracleOracle、SQL ServerSQL Server、My SQLMy SQL、DB2DB2等数据库的监控管理，如：等数据库的监控管理，如：数据库内存使用信息数据库内存使用信息数据库特定表的空间性能信息数据库特定表的空间性能信息数据库内标空间的读写数
10、据库内标空间的读写数据库表空间的利用情况数据库表空间的利用情况数据库日志空间或回滚段使用数据库日志空间或回滚段使用情况情况数据库锁使用情况数据库锁使用情况关键参数关键参数各类报警信息各类报警信息用户与帐号管理用户与帐号管理集中的用户（帐号）管理的目的集中的用户（帐号）管理的目的通过集中管理，使得系统管理员在一点上即可对不同主机（服通过集中管理，使得系统管理员在一点上即可对不同主机（服务器）中的账号进行管理务器）中的账号进行管理实现账号与自然人的关联，实现账号与自然人的关联，实现对各个主机（服务器）中已有账号的集中收集和分发；实现对各个主机（服务器）中已有账号的集中收集和分发；可以实现集中的帐号
11、安全策略，如密码策略、帐号登录锁定策可以实现集中的帐号安全策略，如密码策略、帐号登录锁定策略、帐号访问时间策略等；略、帐号访问时间策略等；可以实现最小权限原则的授权；可以实现最小权限原则的授权；便于审计，尤其是基于行为的审计；便于审计，尤其是基于行为的审计；集中用户（帐号）管理的基本技术要求（指标）集中用户（帐号）管理的基本技术要求（指标）能够与不同操作系统的主机无缝连接；能够与不同操作系统的主机无缝连接；能够自动发现主机中的帐号，并自动收集、分发；能够自动发现主机中的帐号，并自动收集、分发；能够实现针对用户（帐号）的生命周期管理，能够实现针对用户（帐号）的生命周期管理，对用户从产生到对用户从
12、产生到删除各种存在状态进行集中管理，包括统一的用户创建、维护、删除各种存在状态进行集中管理，包括统一的用户创建、维护、删除等功能删除等功能身份认证身份认证集中的身份认证集中的身份认证实现用户在一个登录界面的集中认证实现用户在一个登录界面的集中认证单点登录：实现用户一次认证后，不再需要重复单点登录：实现用户一次认证后，不再需要重复登录，提高工作效率，且与强认证环节结合，增登录，提高工作效率，且与强认证环节结合，增加安全性加安全性强身份认证强身份认证替换操作系统自带的用户名替换操作系统自带的用户名+ +密码的简化认证方密码的简化认证方式式基于风险级别，使用诸如数字证书、指纹、双因基于风险级别，使用
13、诸如数字证书、指纹、双因素口令等强认证方式素口令等强认证方式授权和访问控制授权和访问控制根据不同的操作系统，集中分配用户对主机根据不同的操作系统，集中分配用户对主机（服务器）中资源的访问权限粒度，实现（服务器）中资源的访问权限粒度，实现最小权限原则的访问控制和授权。最小权限原则的访问控制和授权。大体上可以包括两种粒度：大体上可以包括两种粒度：边界级访问控制，访问控制的粒度只精确到主机边界级访问控制，访问控制的粒度只精确到主机边界，就是用户是否有权连接某个主机的边界，就是用户是否有权连接某个主机的IPIP地址地址和具体的端口；和具体的端口；内部资源级访问控制，控制粒度精确到主机内的内部资源级访问
14、控制，控制粒度精确到主机内的资源，包括主机内的文件、目录、操作命令，甚资源，包括主机内的文件、目录、操作命令，甚至操作命令后面带的不同参数至操作命令后面带的不同参数文件与数据保护文件与数据保护针对主机（服务器）中的重要文件和数据，针对主机（服务器）中的重要文件和数据，在基于最小权限的控制粒度之后，还涉及在基于最小权限的控制粒度之后，还涉及到如下安全问题：到如下安全问题：加密存储加密存储文件文件/ /数据的生命周期管理，如创建、修改、删数据的生命周期管理，如创建、修改、删除等除等深层次木马深层次木马/ /病毒攻击病毒攻击入侵检测入侵检测在主机（服务器）上，通过基于主机的入侵在主机（服务器）上，通
15、过基于主机的入侵检测技术，将内部防护、主动防护和动态检测技术，将内部防护、主动防护和动态防护相结合，实时监控网络传输及服务器防护相结合，实时监控网络传输及服务器的工作状态，自动检测服务器上的各种可的工作状态，自动检测服务器上的各种可疑行为，发现来自网络内部或外部的攻击，疑行为，发现来自网络内部或外部的攻击，检测针对主机的攻击，分析攻击威胁程度，检测针对主机的攻击，分析攻击威胁程度，并发出报警。并发出报警。恶意代码防护恶意代码防护针对操作系统的恶意代码，如蠕虫病毒、木针对操作系统的恶意代码，如蠕虫病毒、木马等的防护，通过防病毒技术来实现。目马等的防护，通过防病毒技术来实现。目前，主流的技术手段包
16、括：前，主流的技术手段包括：基于病毒状态匹配的检测查杀基于病毒状态匹配的检测查杀基于病毒攻击基于病毒攻击/发作特征的检测查杀发作特征的检测查杀系统安全增强（加固）系统安全增强（加固）主机（服务器）所使用的操作系统，是威胁的主主机（服务器）所使用的操作系统，是威胁的主要目标，针对操作系统的安全措施包括如下方式：要目标，针对操作系统的安全措施包括如下方式：原厂商发布的系统补丁（不可或缺，但强度不够）原厂商发布的系统补丁（不可或缺，但强度不够）安全操作系统安全操作系统具有高安全级别的操作系统，不同于一般（具有高安全级别的操作系统，不同于一般（C1、C2）的商）的商业操作系统业操作系统系统安全加固系统
17、安全加固从操作系统内核对系统关键文件、进程等资源进行强制保从操作系统内核对系统关键文件、进程等资源进行强制保护，同时对操作系统超级用户权限进行限制，实现系统管护，同时对操作系统超级用户权限进行限制，实现系统管理、审计和安全管理的三权分立理、审计和安全管理的三权分立安全审计安全审计安全审计，要求实现如下目标：安全审计，要求实现如下目标：对账号管理情况的审计：包括帐号的创建时间、创建人，对账号管理情况的审计：包括帐号的创建时间、创建人，从账号的创建时间、创建人，账号与自然人的对应关系从账号的创建时间、创建人，账号与自然人的对应关系等；等；对账号授权的审计：包括查询主、从账号的访问权限，对账号授权的
18、审计：包括查询主、从账号的访问权限，查询资源的授权访问者，权限的分配时间、分配者等；查询资源的授权访问者，权限的分配时间、分配者等；对登录过程的审计：包括什么人用什么账号在什么时间对登录过程的审计：包括什么人用什么账号在什么时间登录了什么系统，什么时间登出等。登录了什么系统，什么时间登出等。对身份认证的审计：包括成功的身份认证统计，失败的对身份认证的审计：包括成功的身份认证统计，失败的身份认证统计等；身份认证统计等；对登录主机后用户（帐号）行为的审计：包括用户访问对登录主机后用户（帐号）行为的审计：包括用户访问了哪些资源、了哪些资源、对资源进行了什么操作等；对资源进行了什么操作等；集中的安全审
19、计和审计报表集中的安全审计和审计报表操作系统安全增强操作系统安全增强系统内核加固、主机级系统内核加固、主机级IDS统一身份与访问控制管理系统一身份与访问控制管理系系统监控管理系统系统监控管理系统身份认证管理身份认证管理用户管理用户管理访问控制管理访问控制管理审计管理审计管理数据保护数据保护入侵防范入侵防范恶意代码防护恶意代码防护防病毒系统防病毒系统统统一一安安全全监监控控与与运运维维管管理理平平台台审计报表审计报表管理流程管理流程应用应用/业务交互业务交互安全应急安全应急处置计划处置计划主机安全基本技术框架主机安全基本技术框架三类技术形态 1、安全代理：4A 2、基于主机入侵检测： 3、操作系
20、统增强：五、作用与优势五、作用与优势 1 1、共享安全服务平台、共享安全服务平台实现安全措施复用、确保实现安全措施复用、确保安全强度一致性、避免重复建设安全强度一致性、避免重复建设 主机主机1应用应用2应用应用3主机主机2主机主机3应用应用1每一个主机和应用使用各自的基础安全设施每一个主机和应用使用各自的基础安全设施旧的方式旧的方式应用应用1应用应用2安全措施安全措施应用应用3安全措施可被多个主机与应用重复共享安全措施可被多个主机与应用重复共享新的方式新的方式安全措施安全措施安全措施安全措施安全措施安全措施主机主机1主机主机2主机主机32 2、单点登录、单点登录简化操作流程、降低维护复杂度简化操作流程、降低维护复杂度 WindowsIBM AIXHP UnixSUN SolarisLinux操作系统安全加固统一身份与访问控制管理系统统一身份与访问控制管理系统帐户集中管理共共享享安安全全服服务务平平台台认证管理授权与访问控制管理审计管理操作系统内部强访问控制系统层攻击防护12435 3 3、口令接管，采用公安数字证书、口令接管，采用公安数字证书强认证；强认证；4 4、实现了主机（服务器）的集中安全管理，简化了操作、实现了主机（服务器）的集中安全管理，简化了操作流程，实现了安全策略和安全管理规范的贯彻执行；流程，实现了安全策略和安全管理规范的贯彻执行；
