基于等级保护的主机安全防护研究

徐永进，罗富财，吴良忠

（国网福建省电力有限公司漳州供电公司，漳州 363000）

1 主机系统面临的威胁

1.1 计算机病毒

计算机病毒是编制者在计算机程序中插入的代码，能够破坏计算机的功能或损坏计算机数据的程序代码。计算机病毒能够进行自我复制，影响了计算机的正常使用，对于计算机来说破坏力极强，传播速度非常快，隐蔽性能强，潜伏期长，具有表现性、感染性以及可激发性。计算机病毒不仅是一个程序，也是一段可执行码，和生物病毒非常相似，具有一系列生物病毒的特征，例如激活后可再生、自我繁殖、互相传染。计算机病毒的复制能力较为独特，蔓延速度快，很难从根本上清除。不同类型的计算机文件均可被计算机病毒依附，随着文件夹的传送而蔓延。

1.2 木马程序

木马又被称为木马病毒，木马可以利用特定的木马程序达到控制其他计算机的目的。一般情况下，木马的可执行程序一般有两个，控制端与被控制端。如今最为流行的病毒文件是木马程序，一般的病毒具有繁殖性、感染性，但木马病毒不会繁殖，也不会感染其他文件，这就是木马病毒与其他病毒的不同之处。木马的伪装性很好，能够吸引用户下载，木马被下载后，施种木马者即可打开被种木马者的主机门户进行非法操作，施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种主机。

1.3 隐蔽通道

隐蔽通道是一种信息通路，但这种信息通路不能传输信息。如果使用隐蔽通道传输信息，系统安全控制策略对它不起作用，因为隐蔽通道能够避开所有的系统安全控制策略传入敌方。隐蔽通道可以说是泄露信息的路径。

1.4 蠕虫

蠕虫与病毒有些类似，对于合法的数据处理程序，蠕虫不仅能够入侵数据处理程序，还能破坏数据程序中的数据。由于蠕虫没有繁殖能力，所以蠕虫相比于其他的病毒容易清除。最典型的是Ska蠕虫，Ska蠕虫会伪装成“Happy99.exe”电子邮件附件，在运行Ska蠕虫伪装的电子邮件附件时，会显示焰火，之后本机发送的所有电子邮件都会以蠕虫邮件的配送式发送。由于邮件一般发送的是认识的人，所以邮件的接受方信任邮件附件而启动运行，导致网络邮件泛滥。

1.5 逻辑炸弹

逻辑炸弹是指恶意代码，这些恶意代码会依附在合法的程序上，逻辑炸弹的状态为潜伏状态。在特定的逻辑条件下，逻辑炸弹会激活并执行，严重破坏了系统功能。

1.6 后门

后门又被称为天窗，能够对主机操作系统构成威胁，是威胁主机操作系统的最重要形式。方便操作系统测试是后门的本质，因此后门可以说是操作系统内部所预留的一个入口，并且是特别命令入口。后门相当于操作系统内部的可供渗透的漏洞，一般情况下，此缺陷不会被发现，如果被不法分子发现，被非法利用，会对系统造成严重的威胁。

2 分析主机安全风险

2.1 安全漏洞多

由于主机系统中存在很多漏洞，很多网络不法分子会趁机利用这些漏洞对系统发起攻击。主机系统漏洞不是一成不变的，通过漏洞代码实例分析，发现不断出现新种类的漏洞。虽然软件厂商定期会对系统进行定期检查，但入侵者一般在厂商检查之前就已经发现了漏洞并利用漏洞做非法的事情。操作系统安全漏洞为用户带来了很大的困扰，对于这些操作系统安全漏洞。用户应当利用“打补丁”的方式，对主机操作系统不断进行升级与改进，“打补丁”更新操作系统有一定的可行性，但也有缺陷性，系统补丁具有滞后性，这是补丁式的最大缺陷。系统补丁的滞后性表现为：一是补丁的测试到补丁分发周期长，较长的时间无法保障操作系统的安全。二是补丁与漏洞有着先后关系，先出现漏洞后“打补丁”，漏洞不断更新，补丁永远打不完。三是漏洞工具逐渐向自动化的趋势发展，服务器管理员“打补丁”的时会缩短。未发布补丁之前，网络不法分子会利用漏洞破坏服务器，“打补丁”是漏洞出现后进行补救的方式。

2.2 破坏操作系统的完整性

威胁主机安全的因素有很多，主机所面临的最大威胁是破坏主机操作系统的完整性。许多用户在开机启动过程、运行过程、服务过程中不做检查，不做执行代码的完整性检查导致病毒嵌入到执行代码程序中、木马程序替换原有的程序，恶意代码肆意传播，造成系统中毒。恶意代码被激活后，将取得用户当前的权限，进行大肆传播，破坏主机操作系统整体的完整性，影响用户正常使用。例如：休改服务器信息、删除重要的信息、破坏服务器操服务等，造成服务器操作系统故障。

2.3 重要信息被盗窃

主机对于计算机来说非常重要，重要的信息一般存放在主机中。信息具有复制性与传播性，当近社会上信息化社会，信息高度化发展，信息很容易复制，传播速度也越来越快。一些重要信息如果被传播或复制，会损毁他人利益，对机构或个人造成严重影响。如果是有关于国家的机密信息被泄露，会对国家的安全造成威胁，扰乱社会秩序，所产生的后果严重程度不可估量。有些合法的用户在设计利益的情况下，不用保护主机的安全方式措施，利用技术漏洞进行非法的操作，从而造成了重要信息被盗窃。

2.4 破坏信息

主机中的重要信息不仅有被复制的危险，还有被修改的风险。计算机信息被恶意修改，破坏了信息的完整性、真实性、有效性。信息失去了有效性、真实性、有效性，会永辉的使用造成极大的影响。一些用户的主机没有使用安全保护措施，网络不法分子利用这个漏洞趁机修改主机的重要信息。

2.5 缺少应对内部攻击的措施

获得授权的合法用户是内部人员，而内部人员攻击是内部人员从信息系统内部所对主机发起的攻击。防护主机安全的措施一般都是防护外部对于主机攻击，而防护内部对主机攻击的方法措施比较少。隐藏在内部的坏人不好防范，人们往往忽略了对于内部人员的防范。在攻击主机方面，内部人员与外部人员相比更具优势，外部人员无法接触主机的重要信息，内部人员可以接触主机重要信息；外部人员不了解主机的安全防御措施，内部人员熟悉主机的安全防御措施；外部人员不清楚管理主机的手段，而内部人员则清楚管理主机的手段。内部用户对主机的情况较为熟悉，因此内部人员利用主机体系的缺陷和防御措施漏洞来对主机发起攻击非常容易。

2.6 身份管理不统一

主机中存在各种各样形形色色的安全问题，其中主机所存在的最大的也是最普遍的问题是管理员问题。主机管理员权限非常大，而主机管理员在身份上比较单一，因此主机管理员为主机带来了安全隐患问题。由于主机多人混用，人们在主机操作业务的时候，很多人用同一个主机账户、口令，多人共用主机难以分辨主机的用户身份，主机无法按照用户的身份对其授予权限。主机不能控制访问权限，在操作中可能会产生系列的失误。口令认证方式安全性低，网络不法分子很容易获取口令认证对主机发起攻击。

2.7 主机管理模式不合理

每一台主机由管理员单独进行管理维护即单机管理模式。当前我国大部分主机的管理模式为单机管理模式，单独管理模式有安全隐患且效率不高。主机管理员对主机一台一台的维护，如果主机众多，主机管理员需要耗费大量的时间，管理效率低且效果不佳。对于一些突发事件，主机管理员不能及时解决，存在较多的安全隐患问题无法彻底的解决，给网络不法分子留下了缝隙可钻，黑客利用网络病毒使多个主机互相感染，导致主机系统瘫痪。

3 等级保护体系中保护主机安全的要求

每个信息系统的保护等级都不同，不同保护等级所相应的主机安全基本要求也不同。信息系统的保护等级高，信息系统的主机安全要求就越多，信息系统的保护等级低，信息系统的主机安全要求低。为维护主机的安全，公安部和全国信息安全标准化技术委员会在2008年发布了《信息安全技术信息系统安全等级保护基本要求》，以下是《信息安全技术信息系统安全等级保护基本要求》对主机的保护要求：

（1）识别身份：从四大方面对主机做了相关规定，增加了识别身份的方式；提高了口令的复杂程度；提升了传输信息过程的机密性；制定了多种处理登陆失败的措施。

（2）设置标记：在主体中设置安全标记，在客体中设置安全标记。

（3）控制访问权限：制定控制访问权限的策略，控制有访问权限的主体，控制有访问权限的客体，对访问力度加以调控。

（4）路径：搭建安全性、可靠性的信息传输路径，保障用户与主机信息的安全传输。

（5）审计：对主机审计的六个方面做出了相应的规定，制度设计策略、划分设计范围、阅览审计记录、规范审计内容、保护审计进程、审核审计日志。

（6）保护信息：保护鉴别信息、保护目录信息、保护数据库记录、保护系统文件信息等。

（7）入侵措施：不断升级保护主机的防护措施，不断更新系统补丁，提高入侵防范措施。

（8）警惕恶意代码：提高对恶意代码的警惕性，加强对于恶意代码的防范措施。

（9）掌控资源：控制系统资源，通过监控系统资源的方式，避免出现系统资源不能使用的问题。

4 基于等级保护主机安全防护系统的策略

信息系统是由两部分组成，一部分是计算机网络系统，另一部分是信息。在信息系统中，主机最容易遭受攻击，这是由于保护主机的措施不严谨所造成的。信息系统中，敏感信息均由主句所承载，主机是承载敏感信息的载体。主机不仅有承载敏感信息的作用，还与应用的运行有关联，相当于运行应用的平台。保护信息系统安全的前提是保障主机的安全。根据信息系统等级所对应的信息安全等级保护的相关要求，按照信息安全等级保护的相关要求制定保护主机的措施，建立合理化、系统化的保护主机安全体系。以下是具体措施：

（1）对主机的安全管理方面要统一。当前管理主体的模式为单机管理模式，单机管理模式需要主机管理员对主机一台一台的去维护去管理，耗费大量的时间与精力，单机管理模式存在许多弊端，如安全隐患问题、效率低下问题等。为保障对于主机的安全管理，应当采取集中管理制度，将所有主机集中起来，统一管理，这样才能提高效率，减少安全事件的发生。

（2）对于身份进行鉴定。身份验证并通过后，能顺利获取主机系统中的资源，因此身份的鉴定显得格外重要。当前主机操作系统对用户所识别的方式是口令认证方式，口令认证方式较为单一化、简单化，安全性低。对此有三个对策，一是集中主机用户的身份，集中后进行统计管理，所分配到的权限依据是根据用户的身份来分配；二是对用户认证身份的方式采取强认证方式，例如验证身份时候采用双因子认证方式；三不用明文方式远程操作主机的维护工作，明文方式是不加密的，容易被黑客获知，因此为了不必要的损失，尽量使用加密的方式。

（3）设置安全标识。用户和进程属于主机系统中的主体，执行程序、外部设备以及文件属于主机系统的客体，无论是主体还是客体都应该实行安全标记。客体与客体的类型大不相同，客体类型不同，控制访问的规则也不相同。根据每种客体类型制定相应的访问规则，从而达到控制用户的目的。对用户行为进行监控，确保了解用户的一举一动，提高主机系统的严密性与保密性，防止丢失主机中的重要数据。一些较为重要的客体，应当通过全路径名的方式对标记重要客体，保证重要客体的安全性。利用全路径名控制用户对文件的访问；控制用户对目录的访问；控制用户对进程的访问。严格控制用户操作服务器文件或操作服务器目录，避免删除或修改数据。

（4）设置访问权限。对所访问主机的身份进行鉴定，明确访问主机的身份，不给没有授权用户连接主机的机会。控制连接主机最有效的方法是利用可信互联机制。主机管理员对主机系统设置权限，能连接服务器系统的用户还要进行认证检测，只有认证检测能通过，方可连接主机系统。主机本地服务具有远程访问的功能，对于远程访问也设置权限，允许可信地址连接，对于非法的地址不允许连接。

（5）做好安全审计工作。按照审计的要求，制定主机审计策略，审计策略要详细，如对登陆的用户审计；审计启动进程；所访问过的资源审计等。一些审计信息已经收集到了，将所收集的审计信息进行分类，此时的分类是详细分类，信息分类过后再进行审计。审计日志不得随意修改，更不能随意删除。

（6）提高应对入侵的防范措施。建立防护病毒的系统，完善对于补丁的管理，补丁的管理和防护病毒的系统必须做到统一，而且是全网统一。主机中所使用的漏洞补丁必须经过安全测评，由于病毒库会不断升级改造，所以主机中的病毒库也要不断进行更新以便应对最新的病毒。

5 结束语

等级重点保护的对象不仅有主机，数据中心与信息中心的作用也非常重要，因此还需重点保护数据中心、信息中心。各种软件、各种程序每天所产生的计算量非常庞大，主机每天完成庞大的计算量。核心数据均在主机中存储，核心数据与企业的发展息息相关，核心数据影响着企业的收益，关系到一个企业的生存情况，因此保护核心数据的前提 就是保护好主机。按照信息安全等级保护的相关要求制定保护主机的措施，严格保护主机的措施。保护主机的安全，有利于保障计算机系统安全；有利于维护信息的安全；有利于实现网络的安全。