Linux主機(jī)接入網(wǎng)絡(luò)系統(tǒng)安全增強(qiáng)方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種網(wǎng)絡(luò)信息安全領(lǐng)域，特別是涉及一種Linux主機(jī)接入網(wǎng)絡(luò)系統(tǒng)安全增強(qiáng)方法。
【背景技術(shù)】
[0002]信息系統(tǒng)安全等級(jí)保護(hù)是我國(guó)實(shí)行的一項(xiàng)信息系統(tǒng)安全保障制度，國(guó)家制定了相關(guān)的標(biāo)準(zhǔn)和法規(guī)，信息系統(tǒng)安全等級(jí)保護(hù)標(biāo)準(zhǔn)從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全等五個(gè)方面提出了基本要求。這里的主機(jī)安全是指接入網(wǎng)絡(luò)系統(tǒng)的計(jì)算機(jī)安全，也是信息系統(tǒng)安全的重要組成部分。
[0003]主機(jī)上所使用的操作系統(tǒng)主要有Windows和Linux，因此將采用Windows操作系統(tǒng)的計(jì)算機(jī)稱為Windows主機(jī)，將采用Linux操作系統(tǒng)的計(jì)算機(jī)稱為L(zhǎng)inux主機(jī)。目前，接入網(wǎng)絡(luò)系統(tǒng)的計(jì)算機(jī)主要是Windows主機(jī)。隨著基于Linux內(nèi)核的國(guó)產(chǎn)操作系統(tǒng)的推廣應(yīng)用，接入網(wǎng)絡(luò)系統(tǒng)的Linux主機(jī)將會(huì)越來越多，Linux主機(jī)安全越來越受到人們關(guān)注和重視。
[0004]雖然Linux操作系統(tǒng)內(nèi)部提供了一定的安全機(jī)制，但是它采用的是自主型安全策略，由用戶自主選擇是否采用安全機(jī)制及其安全強(qiáng)度，這種自主型安全策略比較適合在單機(jī)環(huán)境下使用。而在網(wǎng)絡(luò)環(huán)境下應(yīng)用時(shí)，Linux主機(jī)需要接入網(wǎng)絡(luò)信息系統(tǒng)，主機(jī)用戶的任何違規(guī)操作行為都會(huì)危及到網(wǎng)絡(luò)信息系統(tǒng)安全。因此，在高級(jí)別的信息系統(tǒng)安全等級(jí)保護(hù)中，需要通過部署Linux主機(jī)接入安全增強(qiáng)系統(tǒng)來增強(qiáng)Linux主機(jī)安全性，通過全局安全策略，對(duì)所有接入網(wǎng)絡(luò)信息系統(tǒng)的Linux主機(jī)用戶的系統(tǒng)登錄、外設(shè)使用、網(wǎng)絡(luò)通信等操作行為進(jìn)行安全監(jiān)控和審計(jì)，增強(qiáng)用戶操作行為的可信性、可控性以及可追溯性，提升了網(wǎng)絡(luò)信息系統(tǒng)安全保障水平。
[0005]Linux主機(jī)安全增強(qiáng)技術(shù)主要是對(duì)單機(jī)環(huán)境下應(yīng)用的Linux操作系統(tǒng)進(jìn)行安全增強(qiáng)，并不涉及網(wǎng)絡(luò)環(huán)境下的Linux主機(jī)接入安全增強(qiáng)問題。
[0006]文獻(xiàn)I “Linux主機(jī)安全系統(tǒng)的研宄與實(shí)現(xiàn)，信息技術(shù)，Vol.27，N0.7，2003，PP.12-16”公開了一種Linux主機(jī)安全系統(tǒng)，將防火墻對(duì)網(wǎng)絡(luò)信息的處理和操作系統(tǒng)中用戶使用資源的訪問控制緊密結(jié)合起來，讓防火墻模塊和操作系統(tǒng)配合起來協(xié)同工作，從而對(duì)主機(jī)進(jìn)行更為完善的保護(hù)。
[0007]文獻(xiàn)2“基于Linux主機(jī)身份驗(yàn)證系統(tǒng)的研宄與實(shí)現(xiàn)，計(jì)算機(jī)工程，Vol.32，N0.13，2006，pp.185-186，189”公開了一種Linux主機(jī)身份驗(yàn)證系統(tǒng)，通過修改內(nèi)核源代碼，結(jié)合計(jì)算機(jī)硬件加密卡，實(shí)施基于策略的強(qiáng)制訪問控制，實(shí)現(xiàn)了一個(gè)基于Linux2.6.x內(nèi)核的主機(jī)身份驗(yàn)證系統(tǒng)。
[0008]以上兩個(gè)文獻(xiàn)均不涉及對(duì)接入網(wǎng)絡(luò)系統(tǒng)的Linux主機(jī)用戶行為進(jìn)行安全監(jiān)控和審計(jì)問題。

【發(fā)明內(nèi)容】

[0009]為了克服現(xiàn)有Linux主機(jī)接入網(wǎng)絡(luò)系統(tǒng)安全性差的不足，本發(fā)明提供一種Linux主機(jī)接入網(wǎng)絡(luò)系統(tǒng)安全增強(qiáng)方法。該方法在網(wǎng)絡(luò)系統(tǒng)中設(shè)置一個(gè)安全監(jiān)控中心，安全監(jiān)控中心的計(jì)算機(jī)上安裝并運(yùn)行安全監(jiān)控中心軟件，負(fù)責(zé)統(tǒng)一設(shè)置和管理網(wǎng)絡(luò)中所有Linux主機(jī)的全局安全策略，并對(duì)每個(gè)Linux主機(jī)的安全狀態(tài)進(jìn)行監(jiān)控和審計(jì)。全局安全策略包括各個(gè)Linux主機(jī)的系統(tǒng)登錄策略、外設(shè)使用策略和網(wǎng)絡(luò)通信策略，并通過網(wǎng)絡(luò)將全局安全策略下發(fā)給相應(yīng)的Linux主機(jī)執(zhí)行。每個(gè)Linux主機(jī)安裝并運(yùn)行經(jīng)過安全增強(qiáng)的Linux操作系統(tǒng)，按照全局安全策略對(duì)用戶的系統(tǒng)登錄、外設(shè)使用、網(wǎng)絡(luò)通信等操作行為進(jìn)行安全監(jiān)控和審計(jì)。本發(fā)明通過部署和運(yùn)行Linux主機(jī)接入安全增強(qiáng)系統(tǒng)，對(duì)所有接入網(wǎng)絡(luò)系統(tǒng)的Linux主機(jī)用戶的系統(tǒng)登錄、外設(shè)使用、網(wǎng)絡(luò)通信等操作行為進(jìn)行安全監(jiān)控和審計(jì)，能夠及時(shí)發(fā)現(xiàn)并阻斷用戶的違規(guī)行為，增強(qiáng)了用戶操作行為的可信性、可控性以及可追溯性，可以提高接入主機(jī)以及網(wǎng)絡(luò)信息系統(tǒng)的安全性。
[0010]本發(fā)明解決其技術(shù)問題所采用的技術(shù)方案是:一種Linux主機(jī)接入網(wǎng)絡(luò)系統(tǒng)安全增強(qiáng)方法，其特點(diǎn)是采用以下步驟:
[0011](I)在網(wǎng)絡(luò)系統(tǒng)中，設(shè)置一個(gè)稱為安全監(jiān)控中心的計(jì)算機(jī)，在所述計(jì)算機(jī)上安裝并運(yùn)行安全監(jiān)控中心軟件，負(fù)責(zé)統(tǒng)一設(shè)置和管理網(wǎng)絡(luò)中所有Linux主機(jī)的全局安全策略，并對(duì)每個(gè)Linux主機(jī)的安全狀態(tài)進(jìn)行監(jiān)控和審計(jì)。全局安全策略包括各個(gè)Linux主機(jī)的系統(tǒng)登錄策略、外設(shè)使用策略和網(wǎng)絡(luò)通信策略，并通過網(wǎng)絡(luò)將全局安全策略下發(fā)給相應(yīng)的Linux主機(jī)執(zhí)行。
[0012](2)每個(gè)Linux主機(jī)安裝并運(yùn)行經(jīng)過安全增強(qiáng)的Linux操作系統(tǒng)，按照全局安全策略對(duì)用戶的系統(tǒng)登錄、外設(shè)使用以及網(wǎng)絡(luò)通信操作行為進(jìn)行安全監(jiān)控和審計(jì)。對(duì)Linux操作系統(tǒng)的安全增強(qiáng)包括如下幾個(gè)方面:
[0013]①按照系統(tǒng)登錄策略對(duì)Linux主機(jī)用戶的系統(tǒng)登錄行為進(jìn)行強(qiáng)制性監(jiān)控，系統(tǒng)將分兩種情況進(jìn)行處理:
[0014]a.對(duì)于用戶的首次系統(tǒng)登錄行為，系統(tǒng)首先檢查登錄時(shí)間是否符合系統(tǒng)登錄策略中規(guī)定的時(shí)間窗口，如果不符合則禁止登錄，并給出警告信息；如果符合則提示用戶輸入初始的用戶名和口令，然后進(jìn)行用戶身份鑒別。如果身份鑒別為真則允許登錄，然后提示用戶更改初始口令，并對(duì)用戶輸入的新口令進(jìn)行檢查，判別新口令字符串長(zhǎng)度和復(fù)雜度是否符合系統(tǒng)登錄策略中規(guī)定的口令長(zhǎng)度和復(fù)雜度要求，符合則修改成功；不符合則需要重新輸入新口令，直到符合要求為止；如果身份鑒別為假則拒絕登錄，并檢查登錄失敗次數(shù)是否達(dá)到系統(tǒng)登錄策略中規(guī)定的最大嘗試登錄失敗次數(shù)，如果未達(dá)到則允許用戶繼續(xù)嘗試登錄，如果達(dá)到則禁止用戶繼續(xù)嘗試登錄，系統(tǒng)進(jìn)入屏幕鎖定狀態(tài)，保留嘗試登錄的屏幕狀態(tài)。
[0015]b.對(duì)于用戶的非首次系統(tǒng)登錄行為，系統(tǒng)首先檢查登錄時(shí)間是否符合系統(tǒng)登錄策略中規(guī)定的時(shí)間窗口，如果不符合則禁止登錄，并給出警告信息；如果符合則提示用戶輸入用戶名和口令，然后進(jìn)行用戶身份鑒別，如果身份鑒別為真則允許登錄，并判別口令使用周期是否達(dá)到系統(tǒng)登錄策略中規(guī)定的最大口令更新周期，如果達(dá)到則提示用戶輸入新口令，并對(duì)新口令的長(zhǎng)度和復(fù)雜度進(jìn)行檢查，直到用戶輸入符合要求的新口令為止；如果身份鑒別為假則拒絕登錄，并檢查登錄失敗次數(shù)是否達(dá)到系統(tǒng)登錄策略中規(guī)定的最大嘗試登錄失敗次數(shù)，如果未達(dá)到則允許用戶繼續(xù)嘗試登錄，如果達(dá)到則禁止用戶繼續(xù)嘗試登錄，系統(tǒng)進(jìn)入屏幕鎖定狀態(tài)，保留嘗試登錄的屏幕狀態(tài)。
[0016]對(duì)成功和不成功的系統(tǒng)登錄行為進(jìn)行日志記錄，記錄的信息有登錄用戶名、登錄日期和時(shí)間、登錄失敗次數(shù)以及是否更改口令，以便于事后取證和追蹤。
[0017]②按照外設(shè)使用策略對(duì)用戶的外設(shè)使用行為進(jìn)行強(qiáng)制性監(jiān)控，受監(jiān)控的外部設(shè)備包括移動(dòng)硬盤、移動(dòng)優(yōu)盤、光盤、打印機(jī)以及掃描儀，在外設(shè)使用策略中規(guī)定了每個(gè)主機(jī)允許使用的外部設(shè)備。對(duì)于用戶的外設(shè)使用行為，系統(tǒng)從操作系統(tǒng)內(nèi)核中捕獲用戶發(fā)出的外設(shè)使用請(qǐng)求，提取其中的特征參數(shù)，檢查是否與外設(shè)使用策略中允許使用的外部設(shè)備相符合，如果不符合則拒絕使用，攔截該請(qǐng)求并報(bào)警；如果符合則允許使用，正常處理該請(qǐng)求，并做日志記錄，記錄的信息有設(shè)備類型、操作類型、文件名、日期和時(shí)間，以便于事后取證和追足示O
[0018]③按照網(wǎng)絡(luò)通信策略對(duì)用戶的外設(shè)使用行為進(jìn)行強(qiáng)制性監(jiān)控，受監(jiān)控的網(wǎng)絡(luò)通信接口包括以太網(wǎng)接口、各種無線網(wǎng)接口、各種串行通信接口等，在網(wǎng)絡(luò)通信策略中規(guī)定了每個(gè)主機(jī)允許使用的網(wǎng)絡(luò)通信接口。對(duì)于用戶的網(wǎng)絡(luò)通信行為，系統(tǒng)從操作系統(tǒng)內(nèi)核中捕獲用戶發(fā)出的網(wǎng)絡(luò)通信請(qǐng)求，提取其中的特征參數(shù)，檢查其網(wǎng)絡(luò)通信接口是否與網(wǎng)絡(luò)通信策略中允許使用的網(wǎng)絡(luò)通信接口相符合，如果不符合則拒絕訪問，攔截該請(qǐng)求并報(bào)警；如果符合則做進(jìn)一步檢查:
[0019]a.提取數(shù)據(jù)包中的源IP地址、目的IP地址、源端口號(hào)、目的端口號(hào)以及協(xié)議類型信息，檢查是否與網(wǎng)絡(luò)通信策略中所規(guī)定的相符合，如果不符合則拒絕訪問，攔截該請(qǐng)求并報(bào)警；如果符合則允許訪問，正常處理該請(qǐng)求，將數(shù)據(jù)包輸出到網(wǎng)絡(luò)通信接口。
[0020]b.做日志記錄，記錄的信息有網(wǎng)絡(luò)通信接口類型、物理地址、源IP地址、目的IP地址、源端口號(hào)、目的端口號(hào)、協(xié)議類型、日期和時(shí)間以及允許/拒絕信息，以便于事后取證和追足示O
[0021]本發(fā)明的有益效果是:該方法在網(wǎng)絡(luò)系統(tǒng)中設(shè)置一個(gè)安全監(jiān)控中心，安全監(jiān)控中心的計(jì)算機(jī)上安裝并運(yùn)行安全監(jiān)控中心軟件，負(fù)責(zé)統(tǒng)一設(shè)置和管理網(wǎng)絡(luò)中所有Linux主機(jī)的全局安全策略，并對(duì)每個(gè)Linux主機(jī)的安全狀態(tài)進(jìn)行監(jiān)控和審計(jì)。全局安全策略包括各個(gè)Linux主機(jī)的系統(tǒng)登錄策略、外設(shè)使用策略和網(wǎng)絡(luò)通信策略，并通過網(wǎng)絡(luò)將全局安全策略下發(fā)給相應(yīng)的Linux主機(jī)執(zhí)行。每個(gè)Linux主機(jī)安裝