基于等級保護的主機安全防護研究

徐永進，羅富財，吳良忠

（國網福建省電力有限公司漳州供電公司，漳州 363000）

1 主機系統面臨的威脅

1.1 計算機病毒

計算機病毒是編制者在計算機程序中插入的代碼，能夠破壞計算機的功能或損壞計算機數據的程序代碼。計算機病毒能夠進行自我復制，影響了計算機的正常使用，對于計算機來說破壞力極強，傳播速度非常快，隱蔽性能強，潛伏期長，具有表現性、感染性以及可激發性。計算機病毒不僅是一個程序，也是一段可執行碼，和生物病毒非常相似，具有一系列生物病毒的特征，例如激活后可再生、自我繁殖、互相傳染。計算機病毒的復制能力較為獨特，蔓延速度快，很難從根本上清除。不同類型的計算機文件均可被計算機病毒依附，隨著文件夾的傳送而蔓延。

1.2 木馬程序

木馬又被稱為木馬病毒，木馬可以利用特定的木馬程序達到控制其他計算機的目的。一般情況下，木馬的可執行程序一般有兩個，控制端與被控制端。如今最為流行的病毒文件是木馬程序，一般的病毒具有繁殖性、感染性，但木馬病毒不會繁殖，也不會感染其他文件，這就是木馬病毒與其他病毒的不同之處。木馬的偽裝性很好，能夠吸引用戶下載，木馬被下載后，施種木馬者即可打開被種木馬者的主機門戶進行非法操作，施種者可以任意毀壞、竊取被種者的文件，甚至遠程操控被種主機。

1.3 隱蔽通道

隱蔽通道是一種信息通路，但這種信息通路不能傳輸信息。如果使用隱蔽通道傳輸信息，系統安全控制策略對它不起作用，因為隱蔽通道能夠避開所有的系統安全控制策略傳入敵方。隱蔽通道可以說是泄露信息的路徑。

1.4 蠕蟲

蠕蟲與病毒有些類似，對于合法的數據處理程序，蠕蟲不僅能夠入侵數據處理程序，還能破壞數據程序中的數據。由于蠕蟲沒有繁殖能力，所以蠕蟲相比于其他的病毒容易清除。最典型的是Ska蠕蟲，Ska蠕蟲會偽裝成“Happy99.exe”電子郵件附件，在運行Ska蠕蟲偽裝的電子郵件附件時，會顯示焰火，之后本機發送的所有電子郵件都會以蠕蟲郵件的配送式發送。由于郵件一般發送的是認識的人，所以郵件的接受方信任郵件附件而啟動運行，導致網絡郵件泛濫。

1.5 邏輯炸彈

邏輯炸彈是指惡意代碼，這些惡意代碼會依附在合法的程序上，邏輯炸彈的狀態為潛伏狀態。在特定的邏輯條件下，邏輯炸彈會激活并執行，嚴重破壞了系統功能。

1.6 后門

后門又被稱為天窗，能夠對主機操作系統構成威脅，是威脅主機操作系統的最重要形式。方便操作系統測試是后門的本質，因此后門可以說是操作系統內部所預留的一個入口，并且是特別命令入口。后門相當于操作系統內部的可供滲透的漏洞，一般情況下，此缺陷不會被發現，如果被不法分子發現，被非法利用，會對系統造成嚴重的威脅。

2 分析主機安全風險

2.1 安全漏洞多

由于主機系統中存在很多漏洞，很多網絡不法分子會趁機利用這些漏洞對系統發起攻擊。主機系統漏洞不是一成不變的，通過漏洞代碼實例分析，發現不斷出現新種類的漏洞。雖然軟件廠商定期會對系統進行定期檢查，但入侵者一般在廠商檢查之前就已經發現了漏洞并利用漏洞做非法的事情。操作系統安全漏洞為用戶帶來了很大的困擾，對于這些操作系統安全漏洞。用戶應當利用“打補丁”的方式，對主機操作系統不斷進行升級與改進，“打補丁”更新操作系統有一定的可行性，但也有缺陷性，系統補丁具有滯后性，這是補丁式的最大缺陷。系統補丁的滯后性表現為：一是補丁的測試到補丁分發周期長，較長的時間無法保障操作系統的安全。二是補丁與漏洞有著先后關系，先出現漏洞后“打補丁”，漏洞不斷更新，補丁永遠打不完。三是漏洞工具逐漸向自動化的趨勢發展，服務器管理員“打補丁”的時會縮短。未發布補丁之前，網絡不法分子會利用漏洞破壞服務器，“打補丁”是漏洞出現后進行補救的方式。

2.2 破壞操作系統的完整性

威脅主機安全的因素有很多，主機所面臨的最大威脅是破壞主機操作系統的完整性。許多用戶在開機啟動過程、運行過程、服務過程中不做檢查，不做執行代碼的完整性檢查導致病毒嵌入到執行代碼程序中、木馬程序替換原有的程序，惡意代碼肆意傳播，造成系統中毒。惡意代碼被激活后，將取得用戶當前的權限，進行大肆傳播，破壞主機操作系統整體的完整性，影響用戶正常使用。例如：休改服務器信息、刪除重要的信息、破壞服務器操服務等，造成服務器操作系統故障。

2.3 重要信息被盜竊

主機對于計算機來說非常重要，重要的信息一般存放在主機中。信息具有復制性與傳播性，當近社會上信息化社會，信息高度化發展，信息很容易復制，傳播速度也越來越快。一些重要信息如果被傳播或復制，會損毀他人利益，對機構或個人造成嚴重影響。如果是有關于國家的機密信息被泄露，會對國家的安全造成威脅，擾亂社會秩序，所產生的后果嚴重程度不可估量。有些合法的用戶在設計利益的情況下，不用保護主機的安全方式措施，利用技術漏洞進行非法的操作，從而造成了重要信息被盜竊。

2.4 破壞信息

主機中的重要信息不僅有被復制的危險，還有被修改的風險。計算機信息被惡意修改，破壞了信息的完整性、真實性、有效性。信息失去了有效性、真實性、有效性，會永輝的使用造成極大的影響。一些用戶的主機沒有使用安全保護措施，網絡不法分子利用這個漏洞趁機修改主機的重要信息。

2.5 缺少應對內部攻擊的措施

獲得授權的合法用戶是內部人員，而內部人員攻擊是內部人員從信息系統內部所對主機發起的攻擊。防護主機安全的措施一般都是防護外部對于主機攻擊，而防護內部對主機攻擊的方法措施比較少。隱藏在內部的壞人不好防范，人們往往忽略了對于內部人員的防范。在攻擊主機方面，內部人員與外部人員相比更具優勢，外部人員無法接觸主機的重要信息，內部人員可以接觸主機重要信息；外部人員不了解主機的安全防御措施，內部人員熟悉主機的安全防御措施；外部人員不清楚管理主機的手段，而內部人員則清楚管理主機的手段。內部用戶對主機的情況較為熟悉，因此內部人員利用主機體系的缺陷和防御措施漏洞來對主機發起攻擊非常容易。

2.6 身份管理不統一

主機中存在各種各樣形形色色的安全問題，其中主機所存在的最大的也是最普遍的問題是管理員問題。主機管理員權限非常大，而主機管理員在身份上比較單一，因此主機管理員為主機帶來了安全隱患問題。由于主機多人混用，人們在主機操作業務的時候，很多人用同一個主機賬戶、口令，多人共用主機難以分辨主機的用戶身份，主機無法按照用戶的身份對其授予權限。主機不能控制訪問權限，在操作中可能會產生系列的失誤。口令認證方式安全性低，網絡不法分子很容易獲取口令認證對主機發起攻擊。

2.7 主機管理模式不合理

每一臺主機由管理員單獨進行管理維護即單機管理模式。當前我國大部分主機的管理模式為單機管理模式，單獨管理模式有安全隱患且效率不高。主機管理員對主機一臺一臺的維護，如果主機眾多，主機管理員需要耗費大量的時間，管理效率低且效果不佳。對于一些突發事件，主機管理員不能及時解決，存在較多的安全隱患問題無法徹底的解決，給網絡不法分子留下了縫隙可鉆，黑客利用網絡病毒使多個主機互相感染，導致主機系統癱瘓。

3 等級保護體系中保護主機安全的要求

每個信息系統的保護等級都不同，不同保護等級所相應的主機安全基本要求也不同。信息系統的保護等級高，信息系統的主機安全要求就越多，信息系統的保護等級低，信息系統的主機安全要求低。為維護主機的安全，公安部和全國信息安全標準化技術委員會在2008年發布了《信息安全技術信息系統安全等級保護基本要求》，以下是《信息安全技術信息系統安全等級保護基本要求》對主機的保護要求：

（1）識別身份：從四大方面對主機做了相關規定，增加了識別身份的方式；提高了口令的復雜程度；提升了傳輸信息過程的機密性；制定了多種處理登陸失敗的措施。

（2）設置標記：在主體中設置安全標記，在客體中設置安全標記。

（3）控制訪問權限：制定控制訪問權限的策略，控制有訪問權限的主體，控制有訪問權限的客體，對訪問力度加以調控。

（4）路徑：搭建安全性、可靠性的信息傳輸路徑，保障用戶與主機信息的安全傳輸。

（5）審計：對主機審計的六個方面做出了相應的規定，制度設計策略、劃分設計范圍、閱覽審計記錄、規范審計內容、保護審計進程、審核審計日志。

（6）保護信息：保護鑒別信息、保護目錄信息、保護數據庫記錄、保護系統文件信息等。

（7）入侵措施：不斷升級保護主機的防護措施，不斷更新系統補丁，提高入侵防范措施。

（8）警惕惡意代碼：提高對惡意代碼的警惕性，加強對于惡意代碼的防范措施。

（9）掌控資源：控制系統資源，通過監控系統資源的方式，避免出現系統資源不能使用的問題。

4 基于等級保護主機安全防護系統的策略

信息系統是由兩部分組成，一部分是計算機網絡系統，另一部分是信息。在信息系統中，主機最容易遭受攻擊，這是由于保護主機的措施不嚴謹所造成的。信息系統中，敏感信息均由主句所承載，主機是承載敏感信息的載體。主機不僅有承載敏感信息的作用，還與應用的運行有關聯，相當于運行應用的平臺。保護信息系統安全的前提是保障主機的安全。根據信息系統等級所對應的信息安全等級保護的相關要求，按照信息安全等級保護的相關要求制定保護主機的措施，建立合理化、系統化的保護主機安全體系。以下是具體措施：

（1）對主機的安全管理方面要統一。當前管理主體的模式為單機管理模式，單機管理模式需要主機管理員對主機一臺一臺的去維護去管理，耗費大量的時間與精力，單機管理模式存在許多弊端，如安全隱患問題、效率低下問題等。為保障對于主機的安全管理，應當采取集中管理制度，將所有主機集中起來，統一管理，這樣才能提高效率，減少安全事件的發生。

（2）對于身份進行鑒定。身份驗證并通過后，能順利獲取主機系統中的資源，因此身份的鑒定顯得格外重要。當前主機操作系統對用戶所識別的方式是口令認證方式，口令認證方式較為單一化、簡單化，安全性低。對此有三個對策，一是集中主機用戶的身份，集中后進行統計管理，所分配到的權限依據是根據用戶的身份來分配；二是對用戶認證身份的方式采取強認證方式，例如驗證身份時候采用雙因子認證方式；三不用明文方式遠程操作主機的維護工作，明文方式是不加密的，容易被黑客獲知，因此為了不必要的損失，盡量使用加密的方式。

（3）設置安全標識。用戶和進程屬于主機系統中的主體，執行程序、外部設備以及文件屬于主機系統的客體，無論是主體還是客體都應該實行安全標記。客體與客體的類型大不相同，客體類型不同，控制訪問的規則也不相同。根據每種客體類型制定相應的訪問規則，從而達到控制用戶的目的。對用戶行為進行監控，確保了解用戶的一舉一動，提高主機系統的嚴密性與保密性，防止丟失主機中的重要數據。一些較為重要的客體，應當通過全路徑名的方式對標記重要客體，保證重要客體的安全性。利用全路徑名控制用戶對文件的訪問；控制用戶對目錄的訪問；控制用戶對進程的訪問。嚴格控制用戶操作服務器文件或操作服務器目錄，避免刪除或修改數據。

（4）設置訪問權限。對所訪問主機的身份進行鑒定，明確訪問主機的身份，不給沒有授權用戶連接主機的機會。控制連接主機最有效的方法是利用可信互聯機制。主機管理員對主機系統設置權限，能連接服務器系統的用戶還要進行認證檢測，只有認證檢測能通過，方可連接主機系統。主機本地服務具有遠程訪問的功能，對于遠程訪問也設置權限，允許可信地址連接，對于非法的地址不允許連接。

（5）做好安全審計工作。按照審計的要求，制定主機審計策略，審計策略要詳細，如對登陸的用戶審計；審計啟動進程；所訪問過的資源審計等。一些審計信息已經收集到了，將所收集的審計信息進行分類，此時的分類是詳細分類，信息分類過后再進行審計。審計日志不得隨意修改，更不能隨意刪除。

（6）提高應對入侵的防范措施。建立防護病毒的系統，完善對于補丁的管理，補丁的管理和防護病毒的系統必須做到統一，而且是全網統一。主機中所使用的漏洞補丁必須經過安全測評，由于病毒庫會不斷升級改造，所以主機中的病毒庫也要不斷進行更新以便應對最新的病毒。

5 結束語

等級重點保護的對象不僅有主機，數據中心與信息中心的作用也非常重要，因此還需重點保護數據中心、信息中心。各種軟件、各種程序每天所產生的計算量非常龐大，主機每天完成龐大的計算量。核心數據均在主機中存儲，核心數據與企業的發展息息相關，核心數據影響著企業的收益，關系到一個企業的生存情況，因此保護核心數據的前提 就是保護好主機。按照信息安全等級保護的相關要求制定保護主機的措施，嚴格保護主機的措施。保護主機的安全，有利于保障計算機系統安全；有利于維護信息的安全；有利于實現網絡的安全。