專利名稱：一種基于可配置知識庫的unix主機安全配置審計方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全技術(shù)領(lǐng)域的安全評估方法，主要用于解決UNIX主機系統(tǒng)的安全配置審計問題。
背景技術(shù)：
隨著信息系統(tǒng)的飛速發(fā)展，信息系統(tǒng)的安全性，特別是信息系統(tǒng)使用的主機操作系統(tǒng)安全性已成為信息系統(tǒng)安全運行維護以及安全管理的重要問題。UNIX操作系統(tǒng)由于其較好的移植性、可操作性以及較強的網(wǎng)絡(luò)和數(shù)據(jù)庫支撐功能，已經(jīng)成為企業(yè)大型業(yè)務(wù)系統(tǒng)搭建工作站平臺以及操作平臺的首選，因此對UNIX主機系統(tǒng)的安全管控和防御直接關(guān)系到信息系統(tǒng)安全穩(wěn)定運行，及時對UNIX主機系統(tǒng)進行安全審計是保障信息系統(tǒng)安全的重要手段。目前對主機系統(tǒng)的安全防護措施主要是采用防火墻、IDS、IPS等部署在信息系統(tǒng)外圍或網(wǎng)絡(luò)內(nèi)部關(guān)鍵區(qū)域防范來自系統(tǒng)、網(wǎng)絡(luò)內(nèi)/外部的惡意攻擊或誤操作。不同的防護方法其效果不同，主要表現(xiàn)在對于外部攻擊的響應(yīng)以及對攻擊的處理方式等方面，但借助于網(wǎng)絡(luò)安全設(shè)備的防護方式，只能起到監(jiān)控事件和提供事后審查依據(jù)的作用，無法使企業(yè)主動查找系統(tǒng)存在的漏洞，防范可能的攻擊。因此，定期通過安全配置審計的方法對主機系統(tǒng)進行安全評估，及時發(fā)現(xiàn)系統(tǒng)存在的安全隱患，有針對性地進行安全加固才能積極、有效地防御來自系統(tǒng)內(nèi)/外部的惡意攻擊。UNIX主機系統(tǒng)其區(qū)別于Windows的可視化操作的代碼操作方式，缺乏相關(guān)操作技能的運行維護人員難以對UNIX主機系統(tǒng)進行全面安全監(jiān)控。目前國內(nèi)尚缺乏支持各類 UNIX或Linux等類UNIX操作系統(tǒng)的通用安全檢測工具，無法有效對其系統(tǒng)脆弱性進行檢測，導致UNIX操作系統(tǒng)遭受口令破解、非法連接、文件篡改等攻擊，可能引發(fā)企業(yè)敏感信息泄露、信息系統(tǒng)破壞等重大安全事件。

發(fā)明內(nèi)容
針對現(xiàn)有技術(shù)的不足，本發(fā)明提出的是一種基于可配置知識庫的UNIX主機安全配置審計方法，可根據(jù)不同的UNIX操作系統(tǒng)類型進行知識庫的配置篩選，根據(jù)用戶的審計需求對主機系統(tǒng)進行安全配置審計，以發(fā)現(xiàn)主機系統(tǒng)存在的安全隱患，最終實現(xiàn)對主機系統(tǒng)的安全防護。本發(fā)明實現(xiàn)的技術(shù)方案如下
在遠程或本地主機上部署訪問客戶端?？筛鶕?jù)用戶審計需求以及主機操作系統(tǒng)類型選擇可用配置知識庫對指定的主機系統(tǒng)進行安全配置審計。安全審計成功后，將由掃描引擎將采集到的掃描信息返回給后臺數(shù)據(jù)庫，掃描信息與后臺知識庫進行匹配，最終生成審計報告?？蛻舳送ㄟ^本方法進行主機系統(tǒng)審計時具體包括以下步驟
1 )安全配置審計發(fā)起方創(chuàng)建掃描任務(wù)，并提供被掃描的目標主機IP、登錄用戶名和口令、主機操作系統(tǒng)類型及可用的遠程連接方式；
2)以可配置知識庫為基礎(chǔ)，安全配置審計發(fā)起方對掃描檢測項目進行靈活定制；
3)掃描引擎通過通用接口，與目標主機建立通信信道；
4)掃描引擎獲取知識庫中相應(yīng)的掃描指令，并進行結(jié)構(gòu)化預(yù)處理，轉(zhuǎn)化成掃描腳本；
5)掃描引擎通過可用信道對目標主機實施掃描，并采集目標主機系統(tǒng)Banner信息、口令策略、網(wǎng)絡(luò)參數(shù)、文件系統(tǒng)權(quán)限、主機信任關(guān)系、日志審計配置等安全配置信息；
6)掃描引擎將采集的掃描結(jié)果進行解析以提取有效數(shù)據(jù)，采用Unicode編碼進行數(shù)據(jù)轉(zhuǎn)換后，將結(jié)果存入數(shù)據(jù)庫；
7 )報表引擎將數(shù)據(jù)庫中的數(shù)據(jù)進行Unicode編碼逆轉(zhuǎn)換，將數(shù)據(jù)與知識庫中的基準安全策略進行匹配，根據(jù)匹配結(jié)果提供評估結(jié)果以及安全建議，并生成評估報表。所述可配置知識庫采用Access實現(xiàn)，并獨立于程序?qū)崿F(xiàn)，可根據(jù)檢測需求的不同靈活實現(xiàn)知識庫的升級。知識庫自身及其中的重要數(shù)據(jù)均進行加密處理，降低敏感數(shù)據(jù)泄露風險。所述掃描客戶端部署在主機系統(tǒng)上，通過批處理腳本，最大化適應(yīng)各類UNIX系統(tǒng)，掃描過程依賴的數(shù)據(jù)傳輸協(xié)議支持可選加密安全特性。本發(fā)明的進一步方案可以是
所述掃描命令采用腳本批處理方式，不造成主機系統(tǒng)資源使用負荷。本發(fā)明的進一步方案可以是
所述客戶端可以同時配置統(tǒng)一網(wǎng)絡(luò)區(qū)域中多個主機，對多個主機實施批量串行或并行審計。本發(fā)明的進一步方案可以是
所述客戶端對掃描采集的結(jié)果進行智能化分析，針對分析所得結(jié)論，基于知識庫提供評估結(jié)果和安全建議。本發(fā)明方法可以實現(xiàn)以下應(yīng)用效果
1)通過自動化審計代理，可以節(jié)省安全評估審計過程中人工逐項檢查工作量以及避免重復勞動；
2)通過安全連接通信方式(SSH、https)可避免主機遠程維護時產(chǎn)生的非安全連接通訊問題；
3)通過預(yù)置的知識庫對主機系統(tǒng)最新安全漏洞、補丁信息以及各項安全策略進行腳本化處理，在審計運行時將占用的系統(tǒng)資源降低到最小，避免影響主機系統(tǒng)承載業(yè)務(wù)的正常運行；
4)通過遠程安全連接與腳本運行方式，不影響被測系統(tǒng)正常運行，不改變被測系統(tǒng)及其支撐應(yīng)用的任何屬性，不在被測系統(tǒng)上遺留任何惡意代碼和數(shù)據(jù)；
5)通過仿真環(huán)境檢測試驗，根據(jù)UNIX主機系統(tǒng)各類漏洞建設(shè)知識庫，包括配置規(guī)則庫以及安全實施建議庫，能對操作風險及重要等級進行分析，能為主機系統(tǒng)的漏洞整改和安全加固提供依據(jù)及實施建議；
6)通過License文件授權(quán)方式，將客戶端與安全設(shè)備進行硬件綁定，防止敏感主機系統(tǒng)的審計內(nèi)容及結(jié)果外泄，保護用戶信息的安全保密性。


圖1本發(fā)明框架示意圖。圖2本發(fā)明操作流程。圖3安全審計數(shù)據(jù)流示意圖。
具體實施例方式以下結(jié)合附圖對本發(fā)明作進一步說明。如附圖1所示，本方法以“可配置知識庫”，包括UNIX配置規(guī)則庫以及安全加固建議庫為支撐，將用戶需求以腳本形式傳輸?shù)奖粶y主機系統(tǒng)進行安全審計掃描，將掃描結(jié)果進行結(jié)構(gòu)化數(shù)據(jù)轉(zhuǎn)換后再次與知識庫中標準配置規(guī)則以及安全加固建議庫進行匹配，進行配置審計、漏洞分析、風險評級、加固實施風險分析，并形成報表，為用戶提供安全審計評估結(jié)果以及安全實施建議?！翱膳渲弥R庫”采用Access實現(xiàn)，具備與用戶需求及后臺數(shù)據(jù)庫進行遠程獨立匹配及分析功能，從而不影響被測主機承載業(yè)務(wù)的正常運行，并不在被測主機上留下操作痕跡。由于安全配置檢測的信息量大、結(jié)構(gòu)性差，在設(shè)計指令集時采用管道命令、awk腳本語言、詞法分析、正則表達式等技術(shù)增強數(shù)據(jù)過濾和自動分析功能?？蛻舳瞬捎肔icense文件授權(quán)方式，與安裝設(shè)備進行硬件綁定，其部署方式獨立于被測主機系統(tǒng)，在操作時，需要驗證其授權(quán)證書。附圖2顯示本方法包含的使用操作步驟
1)安裝客戶端，驗證授權(quán)證書，防止信息泄漏和防止篡改；
2)身份驗證成功，用戶添加審計任務(wù)；
3)客戶端檢測掃描進程，等待掃描結(jié)果返回；
4)用戶提交報表生成需求；
5)生成分析報告；
6)任務(wù)結(jié)束，關(guān)閉連接。對于相應(yīng)的客戶端，審計數(shù)據(jù)流如附圖3所示
1 )通過客戶端的操作接口將用戶審計需求提交到用戶進程。2 )任務(wù)進程將需求提交給知識庫進行匹配，并由任務(wù)進程轉(zhuǎn)化為掃描命令。3 )任務(wù)進程將掃描命令提交給掃描進程，轉(zhuǎn)化成掃描腳本。4 )掃面進程執(zhí)行掃描任務(wù)，對主機系統(tǒng)進行安全掃描，并獲取主機相關(guān)安全配置 fn息ο5 )掃描進程將獲取的安全配置信息返回到任務(wù)進程，轉(zhuǎn)換為結(jié)構(gòu)化數(shù)據(jù)。6 )任務(wù)進程將結(jié)構(gòu)化數(shù)據(jù)與可配置知識庫再次進行匹配，提取相應(yīng)的安全策略與風險分析結(jié)果。7 )任務(wù)進程將分析結(jié)果提交給報表進程，生成包含掃描結(jié)果以及對應(yīng)安全分析及安全建議的審計報告。8 )任務(wù)進程將報表反饋給用戶。一個典型的交互示例用戶點擊已安裝客戶端后，客戶端檢驗安裝主機的硬件信息，通過檢驗后進入操作頁面。用戶新建任務(wù)，輸入審計需求，例如主機類型、掃描范圍等， 執(zhí)行任務(wù)?？蛻舳碎_始掃描進程，在掃描完成后提示掃描成功信息，用戶根據(jù)需要選擇是否生成報表，如需生成報表，選擇主機范圍以及報表格式，點擊確認。用戶根據(jù)提示打開報告， 查看審計結(jié)果，包括主機安全配置情況、風險等級及相應(yīng)安全整改實施建議。
權(quán)利要求
1.一種基于可配置知識庫的UNIX主機安全配置審計方法，設(shè)計了可配置知識庫(1)， 實現(xiàn)對不同類型的UNIX主機的自動化安全配置審計(2)。
2.根據(jù)權(quán)利要求1所述的一種基于可配置知識庫的UNIX主機安全配置審計方法，其特征在于，所述的可配置知識庫(1)針對不同類型的UNIX主機操作系統(tǒng)分別進行定制，可根據(jù)安全配置審計需求的不同靈活實現(xiàn)知識庫的升級，所述的可配置知識庫包含UNIX配置規(guī)則庫和安全加固建議庫，其總體三層結(jié)構(gòu)為{檢測類別，{檢測項目，{配置規(guī)則，安全加固建議}}}，其中1)檢測類別標識UNIX主機安全配置審計指標，涉及賬戶口令策略、網(wǎng)絡(luò)與服務(wù)、內(nèi)核網(wǎng)絡(luò)參數(shù)、主機信任關(guān)系、文件系統(tǒng)、日志審計等，每個檢測類別包含若干檢測項目；2)檢測項目對UNIX主機安全配置審計指標進行分解，細化至UNIX主機系統(tǒng)具體的安全配置，每個檢測項目對應(yīng)相應(yīng)的配置規(guī)則和安全加固建議；3)配置規(guī)則對應(yīng)若干檢測指令集合，是檢測項目的具體實現(xiàn)，檢測指令采用管道命令、 awk腳本語言、詞法分析、正則表達式等技術(shù)，實現(xiàn)數(shù)據(jù)過濾和自動分析統(tǒng)計功能；4)安全加固建議包括漏洞描述、安全風險等級、建議解決方案、加固整改風險和重要等級；其中，漏洞描述針對檢測項目存在的安全風險進行客觀定性分析；安全風險等級對檢測項目存在的安全風險進行定量分析；建議解決方案以安全配置審計標準要求為依據(jù)，從安全加固整改的角度提供漏洞的解決方法；加固整改風險針對加固整改行為對UNIX主機系統(tǒng)安全性的影響進行分析；重要等級綜合檢測項目的安全風險和加固整改風險，對其對 UNIX主機系統(tǒng)安全性的影響進行定量分析。
3.根據(jù)權(quán)利要求1所述的一種基于可配置知識庫的UNIX主機安全配置審計方法，其特征在于，所述的自動化安全配置審計(2)所包含的步驟為步驟1)對安全配置審計發(fā)起方進行安全授權(quán)驗證，若認證為合法授權(quán)用戶則轉(zhuǎn)步驟 2，否則轉(zhuǎn)步驟9 ；步驟2)安全配置審計發(fā)起方創(chuàng)建掃描任務(wù)，并提供被掃描的目標主機IP、登錄用戶名和口令、主機操作系統(tǒng)類型及可用的遠程連接方式；步驟3)以權(quán)利要求2所述的可配置知識庫為基礎(chǔ)，安全配置審計發(fā)起方對掃描檢測項目進行靈活定制；步驟4)啟動掃描引擎，通過Telnet、SSH等方式與目標主機建立通信通道，若連接成功則轉(zhuǎn)步驟5，否則轉(zhuǎn)步驟2;步驟5)掃描引擎根據(jù)安全配置審計發(fā)起方定制的掃描檢測項目，從權(quán)利要求2所述的可配置知識庫中獲取目標主機操作系統(tǒng)類型專用的檢測指令集合，并添加特殊標記對不同指令進行分隔，實現(xiàn)檢測指令集合的結(jié)構(gòu)化預(yù)處理；步驟6)掃描引擎通過已建立的通信通道執(zhí)行預(yù)處理后的檢測指令，對目標主機實施安全配置檢測，并采集目標主機系統(tǒng)Banner信息、口令策略、網(wǎng)絡(luò)參數(shù)、文件系統(tǒng)權(quán)限、主機信任關(guān)系、日志審計配置等安全配置信息；步驟7)掃描引擎對檢測結(jié)果進行語義解析，采用特殊標記匹配的方法識別不同指令對應(yīng)的檢測結(jié)果，并采用Unicode格式對獲取的有效數(shù)據(jù)進行編碼轉(zhuǎn)換，避免檢測結(jié)果中的特殊字符可能引發(fā)的異常，最后將編碼后數(shù)據(jù)存入數(shù)據(jù)庫；步驟8)如果觸發(fā)報表引擎，將數(shù)據(jù)庫中相應(yīng)的數(shù)據(jù)采用Unicode格式進行解碼轉(zhuǎn)換，并填充報表模版，以.xls文件形式及.html網(wǎng)頁形式輸出； 步驟9)全過程結(jié)束。
全文摘要
本發(fā)明公開了一種基于可配置知識庫的UNIX主機安全配置審計方法。知識庫包括用于安全審計的系統(tǒng)配置規(guī)則庫及能為用戶提供信息安全決策支撐的安全加固建議庫，支持針對不同UNIX操作系統(tǒng)類型及安全審計需求對知識庫進行靈活定制。本系統(tǒng)根據(jù)UNIX操作系統(tǒng)類型、審計需求等過濾條件對知識庫提供的審計項進行篩選，實施UNIX主機系統(tǒng)的自動化配置審計、漏洞分析、風險評級、加固實施風險分析，并形成報表。本發(fā)明有利于及時發(fā)現(xiàn)主機系統(tǒng)存在的安全隱患，最終實現(xiàn)對UNIX主機系統(tǒng)的安全防護。
文檔編號G06F21/00GK102306258SQ20111028596
公開日2012年1月4日 申請日期2011年9月23日 優(yōu)先權(quán)日2011年9月23日
發(fā)明者劉行, 朱世順, 朱曉歡, 董玨, 金倩倩, 陳剛 申請人:南京南瑞集團公司, 國網(wǎng)電力科學研究院