服务器操作系统软件白名单管理

引言：服务器操作系统软件白名单管理可以协助管理员全面、详实的了解现网设备上的信息，以最小化安装为原则，保证服务器设备安装软件的最小化，发现违规安装的与业务运行无关的软件，对设备上安装的软件做到“心中有数”，帮助提高信息系统的安全性。

伴随着国家信息化浪潮，各个行业也在大力建设信息化系统，这使得网络规模不断扩大，设备数量迅猛增加，随之而来的安全问题也愈加突出。

传统的软件白名单产品主要功能集中在Client端，仅针对终端设备防护，仅支持Windows操作系统，需要在被管设备上部署客户端软件，有潜在的数据泄露风险。

相比于传统软件白名单管理系统的实现，本发明将功能更多迁移到Server端，且支持各种操作系统类型的被管设备进行核查，具备诸多优势：面向服务器端设备进行软件白名单管理；支持的设备类型广泛；无需在被管设备上安装客户端软件；核查过程对被管设备影响极小；完善的各类设备默认系统软件知识库。

服务器操作系统软件白名单管理实现

1.软件白名单策略库的建立

软件白名单策略库有三个主要来源：产品初始阶段通过最大化安装各类型纯净的操作系统，采集其中的默认软件，将其内置到产品中，作为允许安装的软件策略；系统用户和管理员根据实际情况制定软件安装策略；第三种是根据核查结果发现允许和禁止安装的软件策略以外的未知软件，并对其进行确认，确认过程即为建立策略的过程。

最大化安装各类型操作系统。

采集系统软件，添加允许安装的策略。安装完成后，启动操作系统，采集默认安装的软件列表。

将建立的策略添加到软件白名单核查产品的策略库中。

由设备管理员在系统中添加软件安装策略，可以采用按照业务系统添加策略和按照具体设备添加策略这两种方式。

选择业务系统，新建允许安装策略，为该业务系统下所有的设备批量添加该策略。并且，业务系统策略具有高优先级，优先匹配业务系统策略，然后再匹配具体设备策略。

选择具体设备，新建针对该设备生效的策略。

判断是否与业务系统策略冲突。添加具体设备安装策略时，需要和业务系统策略进行比对，发现与业务系统策略冲突的策略是，提示策略冲突，禁止添加。

软件白名单的核查结果中包含了未经过策略定义的未知软件。这部分软件经过管理员的确认过程，可以生成允许安装或者禁止安装的策略，添加到策略库中。

2.设备信息采集

新建漏洞扫描任务，选择需要进行软件白名单核查的设备，并发连接登录设备，采集设备信息。如安装的软件、开启的端口、启动的进程、运行的服务等信息。设备信息采集的流程如下：

选择被检查设备。建立软件白名单核查任务，选择被检查设备，确定核查任务的检查范围，并获取被检查设备登录信息（设备类型、IP地址、帐号名、密码）等。

分布式并发连接被查设备。使用获取到的设备登录信息，多台采集服务器采用分布式的方式并发建立到被检查设备的网络连接，登录被检查设备。

执行采集脚本。采集脚本按照设备类型分别编写，根据核查任务中所选择的设备类型，自动匹配执行脚本。

返回脚本执行回显。将采集结果返回到服务器。把分析结果保存到数据库，发送消息给采集服务器，告知采集完毕。

关闭网络连接。完成数据采集任务后，断开与被检查设备的网络连接。

3.软件白名单核查

汇总建立的策略库和采集的设备信息，根据采集到的设备上安装的软件信息逐条与策略库中的策略进行匹配，最终得到设备上软件安装是否正确的核查结果。软件白名单核查流程如下：

解析脚本回显，获取安装软件列表。获取脚本执行结果，解析脚本回显信息，得到其中获取到的安装软件列表信息。

与策略库对比。将解析得到的安装软件列表逐条与建立的策略库中的策略对比，判断该设备上是否可以安装这些软件。

判断是否匹配业务系统策略。业务系统策略具有较高的优先级，所以对比过程中需要优先与业务系统策略进行比对，判断是否与业务系统策略匹配。

判断是否匹配设备个性策略。业务系统策略如果没有匹配成功，进一步匹配设备个性策略（设备个性策略针对具体设备指定安装策略），判断是否与设备个性策略匹配。

判断匹配策略的类型。匹配到业务系统策略或者设备个性策略后，进一步判断所匹配到策略的种类。策略种类分为两类：禁止安装策略和允许安装策略。

判断结果为违规。匹配到的策略种类为“禁止安装”，则得到判断结果为“违规”软件。

判断结果为正常。匹配到的策略种类为“允许安装”，则得到判断结果为“正常”软件。

判断结果为未知。业务系统策略和设备个性策略均未匹配到的软件为“未知”软件。

返回核查结果。汇总核查结果，得到该设备的核查结果。

4.核查结果展现

根据得到的检查结果，从设备维度和软件维度对核查结果进行多方位的全面展现。从设备维度展示某设备上安装软件数量及详细列表、正常软件数量及详细列表、违规软件数量及详细列表、未知软件数量及详细列表；从软件维度展示某软件在所有设备上的安装次数，判断正常安装的设备数量及详细列表、判断为违规安装的设备数量及详细列表、判断为未知的设备数量及详细列表。详尽的报表便于后期有重点的进行整改。