專利名稱：一種利用強制訪問控制檢測aix系統(tǒng)故障的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及AIX系統(tǒng)內(nèi)核加固領(lǐng)域，尤其是在用戶層和系統(tǒng)層之間的通信，具體 地說是一禾中基于ROST (Reinforcement Operating System Technique)的方法，核心就是在 AIX系統(tǒng)的核心層重構(gòu)操作系統(tǒng)的權(quán)限訪問模型來實現(xiàn)真正的強制訪問控制來處理服務器 故障，快速定位故障點以及產(chǎn)生原因。
背景技術(shù)：
AIX的應用越來越廣，其開放性特點受到了廣泛的歡迎。但是，它的安全問題一直 得不到第三方的驗證和評估。這個問題在個人用戶使用時，并不明顯，但是在政府部門、金 融部門等準備大規(guī)模應用這種操作系統(tǒng)的時候，卻成為最大的阻礙。
它的安全問題主要有
(1)超級用戶特權(quán) 超級管理員權(quán)限太大，其擁有其他用戶所沒有的特權(quán)，一旦獲得超級管理員權(quán)限， 就獲得對計算機系統(tǒng)的完全控制。(2)帳號管理簡單 對入侵者而言，進入系統(tǒng)最直接的途徑是獲取用戶帳號。目前用戶帳號的口令獲 取方式和破譯工具已使AIX的用戶口令成為虛設(shè)。
(3)文件訪問控制簡單 用戶進入系統(tǒng)便獲得使用系統(tǒng)文件的權(quán)利，文件的訪問僅依靠設(shè)置文件訪問權(quán)限
方式來控制，系統(tǒng)沒有強制的安全訪問控制機制，給攻擊者開了方便之門。
(4)審計保護功能較弱 雖然AIX提供審計功能，但對審計數(shù)據(jù)的訪問幾乎不做任何限制，可以自由查詢
并允許修改，尤其缺乏對審計數(shù)據(jù)的完整性保護。
(5)網(wǎng)絡應用的不安全 綜上所述，網(wǎng)絡管理員擔心"黑客"的攻擊、用戶害怕數(shù)據(jù)的丟失、政府機關(guān)關(guān)心國 家機密是否安全等一系列問題致使構(gòu)建安全的網(wǎng)絡操作系統(tǒng)刻不容緩。正是由于以上常用 安全問題，所以迫切需要發(fā)展一種能夠快速處理AIX系統(tǒng)故障、恢復系統(tǒng)業(yè)務并迅速定位 故障點的技術(shù)。本技術(shù)與傳統(tǒng)的HACMP等技術(shù)相結(jié)合能夠快速檢測并處理AIX系統(tǒng)故障， 必定成為未來AIX系統(tǒng)安全技術(shù)發(fā)展的一個趨勢。 所有病毒或者木馬等破壞行為的發(fā)作一般都通過以下步驟實現(xiàn)
(1)寫入系統(tǒng)，替換系統(tǒng)關(guān)鍵文件
(2)修改系統(tǒng)配置文件 (3)創(chuàng)建進程，把自身添加到開機啟動項或者服務中
其他系統(tǒng)故障原因主要有以下幾項
(1)缺少某些關(guān)鍵文件或被誤刪除，比如開機引導文件
(2)配置文件被惡意更改，比如服務器ip地址等等
3
(3)加載惡意驅(qū)動 (4)操作系統(tǒng)關(guān)鍵文件被修改或者替換

發(fā)明內(nèi)容
本發(fā)明的目的是通過控制文件、目錄、進程、網(wǎng)絡訪問等系統(tǒng)基本資源，快速檢測操作系統(tǒng)故障、并解決病毒木馬等等的困擾，通過強制訪問控制保護操作系統(tǒng)資源，從根本上了解系統(tǒng)被破壞的程度及原因，以便快速修復故障而提供一種AIX操作系統(tǒng)的故障檢測技術(shù)。 本發(fā)明的目的是按以下方式實現(xiàn)的，在原有操作系統(tǒng)上增加安全內(nèi)核來處理并檢
測操作系統(tǒng)故障，在操作系統(tǒng)的核心層重構(gòu)操作系統(tǒng)的權(quán)限訪問模型來實現(xiàn)強制訪問控
制，并利用強制訪問控制技術(shù)進行系統(tǒng)故障的快速檢測和處理，具體步驟如下 1)文件系統(tǒng)過濾驅(qū)動程序在初始化時，逐條插入訪問規(guī)則，并允許在運行期間動
態(tài)添加或刪除指定結(jié)點，以便截獲來自所有用戶或者進程對文件或目錄的1/0請求，當截
獲到文件或目錄的1/0請求時遍歷規(guī)則鏈表，并根據(jù)訪問規(guī)則進行過濾，符合規(guī)則者立即
轉(zhuǎn)交原服務函數(shù)，否則丟棄； 2)進程保護過濾驅(qū)動程序在初始化時，逐條插入訪問規(guī)則，并允許在運行期間動態(tài)添加或刪除指定結(jié)點，以便截獲所有對進程的遍歷請求，當截獲到進程遍歷請求時根據(jù)規(guī)則鏈表修改進程列表，并將修改后的列表轉(zhuǎn)交原服務函數(shù)； 3)網(wǎng)絡資源的保護驅(qū)動程序在初始化時，逐條插入所有用戶綁定端口以及遠程連接網(wǎng)絡資源的訪問規(guī)則，并允許在運行期間動態(tài)允許或拒絕指定的網(wǎng)絡連接，以便截獲到所有遍歷請求，當截獲到連接網(wǎng)絡資源遍歷請求時，根據(jù)網(wǎng)絡資源訪問控制列表進行過濾，將符合規(guī)則的轉(zhuǎn)交原服務函數(shù)。 本發(fā)明的優(yōu)異效果是通過控制文件、目錄、進程、網(wǎng)絡訪問等系統(tǒng)基本資源，快速檢測操作系統(tǒng)故障、并解決病毒木馬等等的困擾，通過強制訪問控制保護操作系統(tǒng)資源，從根本上了解系統(tǒng)被破壞的程度及原因，以便快速修復故障，利用強制訪問控制檢測系統(tǒng)故障的技術(shù)與傳統(tǒng)的HACMP檢測技術(shù)或者安全防護檢測產(chǎn)品IDS殺毒軟件等相比，具有快速檢測并定位針對AIX系統(tǒng)的攻擊造成的故障，包括已知或未知病毒程序，ROOTKIT級后門木馬等。


圖1是故障檢測流程圖。
具體實施例方式
在驅(qū)動層(0層)加上安全內(nèi)核模塊，攔截并記錄所有的內(nèi)核訪問路徑，從而達到
處理AIX系統(tǒng)故障的技術(shù)要求，達到的安全效果和重構(gòu)操作系統(tǒng)代碼技術(shù)差不多，其好處
是不會影響客戶的業(yè)務連續(xù)性，甚至不需要客戶重啟系統(tǒng)，對上層的所有應用以及下層的
所有系統(tǒng)和機器都支持，而且能在操作系統(tǒng)粒度上保證上層應用的安全。 主要由以下幾個模塊構(gòu)成 — 、強制訪問控制MAC
強制訪問控制MAC分為兩大塊一塊是基于用戶對文件的訪問控制，另一塊是基于進程對文件的訪問控制。進程在運行的時候就綁定了用戶主體，所以進程本身也是一個主體。當一個客體受到安全標記的保護的時候，即使root用戶也無法訪問該客體，除非擁有MAC的權(quán)限。 二、防重要系統(tǒng)進程的異常終止 為了防止黑客終止一些重要的系統(tǒng)進程，提供了一套機制可以使一些重要的進程不被任何人異常終止，從而保證了服務的正常運行。
三、用戶網(wǎng)絡強制訪問控制 把網(wǎng)絡資源分為兩種，一種是自主的綁定socket端口 ，另一種是遠程連接網(wǎng)絡資源，默認情況下是禁止任何主體(用戶)使用這兩種網(wǎng)絡資源的，也就是不允許所有用戶綁定端口以及遠程連接網(wǎng)絡資源，這樣可以防止非法取得控制權(quán)限的黑客制造系統(tǒng)的隱蔽信道以及竊取網(wǎng)絡資源并且可防止用戶利用網(wǎng)絡泄露重要的機密文件等等。
權(quán)利要求
一種利用強制訪問控制檢測AIX系統(tǒng)故障的方法，其特征在于，在原有操作系統(tǒng)上增加安全內(nèi)核來處理并檢測操作系統(tǒng)故障，在操作系統(tǒng)的核心層重構(gòu)操作系統(tǒng)的權(quán)限訪問模型來實現(xiàn)強制訪問控制，并利用強制訪問控制技術(shù)進行系統(tǒng)故障的快速檢測和處理，具體步驟如下1)文件系統(tǒng)過濾驅(qū)動程序在初始化時，逐條插入訪問規(guī)則，并允許在運行期間動態(tài)添加或刪除指定結(jié)點，以便截獲來自所有用戶或者進程對文件或目錄的I/O請求，當截獲到文件或目錄的I/O請求時遍歷規(guī)則鏈表，并根據(jù)訪問規(guī)則進行過濾，符合規(guī)則者立即轉(zhuǎn)交原服務函數(shù)，否則丟棄；2)進程保護過濾驅(qū)動程序在初始化時，逐條插入訪問規(guī)則，并允許在運行期間動態(tài)添加或刪除指定結(jié)點，以便截獲所有對進程的遍歷請求，當截獲到進程遍歷請求時根據(jù)規(guī)則鏈表修改進程列表，并將修改后的列表轉(zhuǎn)交原服務函數(shù)；3)網(wǎng)絡資源的保護驅(qū)動程序在初始化時，逐條插入所有用戶綁定端口以及遠程連接網(wǎng)絡資源的訪問規(guī)則，并允許在運行期間動態(tài)允許或拒絕指定的網(wǎng)絡連接，以便截獲到所有遍歷請求，當截獲到連接網(wǎng)絡資源遍歷請求時，根據(jù)網(wǎng)絡資源訪問控制列表進行過濾，將符合規(guī)則的轉(zhuǎn)交原服務函數(shù)。
全文摘要
本發(fā)明提供一種利用強制訪問控制檢測AIX系統(tǒng)故障的方法，該是通過控制文件、目錄、進程、網(wǎng)絡訪問等系統(tǒng)基本資源，快速檢測操作系統(tǒng)故障、并解決病毒木馬等等的困擾，通過強制訪問控制保護操作系統(tǒng)資源，從根本上了解系統(tǒng)被破壞的程度及原因，以便快速修復故障，利用強制訪問控制檢測系統(tǒng)故障的技術(shù)與傳統(tǒng)的HACMP檢測技術(shù)或者安全防護檢測產(chǎn)品IDS殺毒軟件等相比，具有快速檢測并定位針對AIX系統(tǒng)的攻擊造成的故障，包括已知或未知病毒程序，ROOTKIT級后門木馬等。
文檔編號G06F11/22GK101788944SQ20101010048
公開日2010年7月28日 申請日期2010年1月25日 優(yōu)先權(quán)日2010年1月25日
發(fā)明者周水波, 宋桂香 申請人:浪潮電子信息產(chǎn)業(yè)股份有限公司