信息安全基线自动化核查和加固工具研究与应用

尹君 张振红 胡健 向华伟 赵晓平

关键词：国产操作系统；基础软件；Linux系统；信息安全基线；自动化加固

近年来，电网企业自主可控工作在深入推进，现有信息系统所使用的底层操作系统逐步从RHCE替换为银河麒麟、统信等国产操作系统，相关数据库、中间件也在逐步替换为达梦、人大金仓和中创等，这些自主可控软件极大地提升了企业级信息系统的安全可控水平。但由于相关系统与原始产品的差异，不但为系统切换过程中的兼容性适配带来了困难，也导致软件的安全合规配置缺少有效指导。电网企业一直依赖网络安全合规库指导各具体软件的安全基线配置，因此需要针对上述自主可控软件制定可指导运维人员操作的基线标准，形成自动化检查工具以实现快速批量检查，从而为系统加固提供支撑[1]。

1发展国产操作系统的重要性

1.1国家信息安全受到严重威胁

微软公司的Windows系统是目前世界上最为常见的操作系统，无论是普及率还是软件生态稳定性，都比其他系统要好得多。正因如此，Windows系统已大量应用于国内的私人休闲、办公室、金融业，乃至国家安保部门。但是，Windows的源代码是绝密的，并且有一个后台程序，即“后门”。通过这个所谓的“后门”可以在网上进行远程操控。因此，“黑客”可以通过网络进入目标计算机中，也可以随时查看计算机里的文件，并对其进行拷贝、删除。在微软公司的监视下，使用Windows操作系统的用户将没有任何秘密可言[2]。

1.2国内巨额社会财富流失

长期以来，Windows操作系统的定价一直较高，而微软等厂商在牟取巨额利润的同日寸，也造成了国内巨额社会财富流失。作为一家基于操作系统的软件公司，微软曾宣称，1美元的销售能为其合作伙伴创造16美元的收益。国家版权管理局公布的数据显示，2021年，国内相关部门购买的操作系统及其他办公软件的费用共计56亿元人民币，而向微软公司购买操作系统的资金则为49. 42亿元人民币，占比高达65.93％[3]。

1.3我国软件产业的发展受到严重制约

在整个软件行业中，操作系统是基础，也是整个行业的核心。操作系统的发展，将会极大地推动整个行业的发展。鑒于其在全球的独特地位和角色，微软将长期处于全球领先的位置。由于国内操作系统等基础软件长期被国外公司所垄断，导致国内的一些基础软件的开发相对落后，从而对国内的应用程序开发造成了一定的影响。

2Linux与其他操作系统对比

保护操作系统是网络安全的基石，而“黑客”对操作系统的攻击永远不会停止。在服务器上打开的端口可以通过合法的软件进行通信、连接。通过扫描网络端口，用户可以得到很多关于网络配置和操作系统的信息。通过互联网可以浏览多个端口，但主要可以分为两大类，即手动扫描和端口扫描。保护信息安全系统意味着保护和控制信息系统；在等级制度下管理信息安全工具的使用：对信息安全相关事件的综合反应和处理。Linux是一个UNIX类系统，它的安全模型与UNIX模型相同。Linux是一个完全多用户操作系统，其主要应用领域与用户使用的“最低特权”概念不同，该概念提供了功能控制，用户只能使用他们需要的系统的一部分资源。将Windows用户和操作系统的程序整合到核心中，通过发现源，Linux系统能够不断地获得各种研究和改进的结果，这使安全漏洞更加明显，并允许及时检查和纠正错误，补丁程序可以提供给用户，而且通常是实时的。可以说，Linux比Windows更安全。

3Linux系统安全隐患及加固措施

3.1用户账户以及登录安全

删除多余的用户和用户群。Linux操作系统在安装后存在各种功能性系统号码，如果有些用户或用户组不需要黑客，他们应立即删除，否则很可能会用这个账号攻击服务器。保存哪些账户号码取决于服务器的目的地，而关闭则不需要系统服务。一旦安装了操作系统，其将在安装过程中自主运行各种各样的服务程序，运行的服务器越多，系统的安全性就越低。

3.2远程访问认证安全

远程访问是一种安全认证服务，它具有隐藏的安全威胁，并且使用网络上的内容，黑客很容易通过包获得用户登陆密码。此外，还有一个巨大的危险，即服务将被安全认证为黑客的目标。SSH服务提供加密数据传输，传输数据被压缩，并在一定程度上保证与服务器的远程连接安全。安全设置在操作系统中用来存储时间文件的目录，由／tmp和／var／tmp组成。它们的共同特征是，所有用户都可以读写和执行，这对系统的安全构成了威胁。这两个目录的设置都不允许在这两个目录下运行应用程序。由于系统软件或应用程序出现漏洞，绝大多数服务器易受到攻击，通过这些漏洞可以很容易地入侵服务器，管理员必须定期检查和纠正空白。最常见的做法是将软件保存在最新版本中，这在一定程度上降低了黑客攻击的可能性。

3.3Linux的主要安全机制

其主要安全机制是识别、授权和控制访问，以及安全检查。最初以第三方或补丁的形式引入Linux系统的新安全机制，经过测试，若被认为满意，则它将被组装在某个分销或内核中，使Linux成为安全树。若Linux无法获得安全工具，则无法选择和正确配置多个安全工具。Linux安全系统的结构本身并没有提供任何安全策略，只是为不同的安全策略提供了一个框架，用户根据自己的需要选择安全策略，并将其下载到核心作为安全模块。

3.4基线自动化核查脚本编制

根据企业网络安全合规库要求，开展以下方面的基线核查脚本编制。

（1）设备管理：检查是否使用安全的管理远程通道，识别telnet，FTP等不安全管理通道的开启情况。检查本机访问控制列表，确认管理通道（如SSH服务）的白名单配置情况。

（2）用户账号与口令安全：检查系统无用的默认帐号禁用登陆与锁定情况，检查是否禁止root用户远程登录，检查口令策略是否满足复杂度限制、长度限制、最长有效期、登录失败锁定限制以及用户会话超时限制。检查特权账户的权限最小化情况，包括是否存在其他UIDO用户、用户环境变量配置是否引用了不安全的目录等。

（3）日志与审计：检查是否启用日志记录、是否配置日志服务器防范本地日志篡改与保存周期不满足要求，检查记录的日志是否满足全覆盖需求，检查日志记录的时间是否准确等。

（4）服务优化与安全防护：检查已知的不安全系统服务是否禁用，检查默认用户访问控制权限掩码配置是否最小化配置，检查是否对重要的口令文件权限进行限制以防恶意修改，检查是否配置了命令历史记录清理相关选项。

（5）自动化加固脚本编制：针对上述检查结果，识别可以开展全自动加固的项目。其包括口令策略的复杂度限制、长度限制、最长有效期、登录失败锁定限制以及用户会话超日寸限制：日志记录功能的启用、防篡改权限配置、日志时间时区设置；默认用户访问控制权限掩码最小化配置，重要的口令文件权限限制以及命令历史记录清理相关选项。

（6）工具设计与开发：国产操作系统信息安全基线核查加固工具可以快速开展麒麟国产操作系统的信息安全基线核查加固，形成详实、丰富、友好的核查加固报告：可以有效提升信息安全基线核查加固的工作效率和质量，助力公司国产操作系统的规模化应用，賦能公司数字化转型自主可控；覆盖公司主流的国产操作系统，可以推广应用至各单位。

系统采用高度封装集成的BS架构设计，内建浏览器和Web服务器，通过API接口调用方式实现配置核查脚本和自动加固脚本的调用，集中展现核查和加固结果，增强系统通用性。

（1）自动化核查：用户启动程序后，在页面中点击“检查”，工具自动按照安全基线检查指标（口令策略、其他配置、认证授权、文件权限、系统服务、账号管理等指标）进行检查，可实日寸看到本次检查的进度，进度为100％时，工具自动生成检查报告，在“查看报告”功能中可以查看。如图1所示。

另外，可以进一步查看加固报告，包括目录、概述信息、安全分析详情。点击“目录”直接跳转到页面上的对应项即可查看对应信息：“概述信息”包括风险等级、设备名称、设备类型、设备IP、检查项情况、检查时间、报告生成时间；“安全分析详情”列表展示检查指标的合规情况，包含判定依据、检查点、实际值、运算符以及标准值、结果、原始结果、加固方案等。

（2）自动化加固：针对上述加固项，可以通过点击“加固”按钮，自动化完成原始配置的逐项备份和加固工作。一旦自动化加固出现问题，可逐一对每一个已自动加固项实施回退操作。

4结束语

发展自主可控的国产操作系统是我国建立完整的国防安全体系和现代化网络系统的基础。随着时间的推移，国产操作系统在很多方面都有了很大进展，但仍与世界先进水平存在较大差距，国产操作系统的发展任重而道远。Linux接人用户权限太多，虽然无法轻易设置，但留下了许多隐藏的风险。为弥补这些潜在的缺陷，许多安全机制被开发出来，重复使用复制元件不仅会降低效率，还会引入漏洞。本文通过本地化的工具设计，解决了麒麟国产操作系统等自主可控基础软件缺少安全检查标准的问题，实现了安全的现场检查、结果查看、配置备份以及部分加固。后续可基于此框架进一步拓展实现自主可控的数据库的自动化核查与安全加固。