Linux主機接入網(wǎng)絡系統(tǒng)安全增強方法
【技術領域】
[0001]本發(fā)明涉及一種網(wǎng)絡信息安全領域，特別是涉及一種Linux主機接入網(wǎng)絡系統(tǒng)安全增強方法。
【背景技術】
[0002]信息系統(tǒng)安全等級保護是我國實行的一項信息系統(tǒng)安全保障制度，國家制定了相關的標準和法規(guī)，信息系統(tǒng)安全等級保護標準從物理安全、網(wǎng)絡安全、主機安全、應用安全和數(shù)據(jù)安全等五個方面提出了基本要求。這里的主機安全是指接入網(wǎng)絡系統(tǒng)的計算機安全，也是信息系統(tǒng)安全的重要組成部分。
[0003]主機上所使用的操作系統(tǒng)主要有Windows和Linux，因此將采用Windows操作系統(tǒng)的計算機稱為Windows主機，將采用Linux操作系統(tǒng)的計算機稱為Linux主機。目前，接入網(wǎng)絡系統(tǒng)的計算機主要是Windows主機。隨著基于Linux內(nèi)核的國產(chǎn)操作系統(tǒng)的推廣應用，接入網(wǎng)絡系統(tǒng)的Linux主機將會越來越多，Linux主機安全越來越受到人們關注和重視。
[0004]雖然Linux操作系統(tǒng)內(nèi)部提供了一定的安全機制，但是它采用的是自主型安全策略，由用戶自主選擇是否采用安全機制及其安全強度，這種自主型安全策略比較適合在單機環(huán)境下使用。而在網(wǎng)絡環(huán)境下應用時，Linux主機需要接入網(wǎng)絡信息系統(tǒng)，主機用戶的任何違規(guī)操作行為都會危及到網(wǎng)絡信息系統(tǒng)安全。因此，在高級別的信息系統(tǒng)安全等級保護中，需要通過部署Linux主機接入安全增強系統(tǒng)來增強Linux主機安全性，通過全局安全策略，對所有接入網(wǎng)絡信息系統(tǒng)的Linux主機用戶的系統(tǒng)登錄、外設使用、網(wǎng)絡通信等操作行為進行安全監(jiān)控和審計，增強用戶操作行為的可信性、可控性以及可追溯性，提升了網(wǎng)絡信息系統(tǒng)安全保障水平。
[0005]Linux主機安全增強技術主要是對單機環(huán)境下應用的Linux操作系統(tǒng)進行安全增強，并不涉及網(wǎng)絡環(huán)境下的Linux主機接入安全增強問題。
[0006]文獻I “Linux主機安全系統(tǒng)的研宄與實現(xiàn)，信息技術，Vol.27，N0.7，2003，PP.12-16”公開了一種Linux主機安全系統(tǒng)，將防火墻對網(wǎng)絡信息的處理和操作系統(tǒng)中用戶使用資源的訪問控制緊密結(jié)合起來，讓防火墻模塊和操作系統(tǒng)配合起來協(xié)同工作，從而對主機進行更為完善的保護。
[0007]文獻2“基于Linux主機身份驗證系統(tǒng)的研宄與實現(xiàn)，計算機工程，Vol.32，N0.13，2006，pp.185-186，189”公開了一種Linux主機身份驗證系統(tǒng)，通過修改內(nèi)核源代碼，結(jié)合計算機硬件加密卡，實施基于策略的強制訪問控制，實現(xiàn)了一個基于Linux2.6.x內(nèi)核的主機身份驗證系統(tǒng)。
[0008]以上兩個文獻均不涉及對接入網(wǎng)絡系統(tǒng)的Linux主機用戶行為進行安全監(jiān)控和審計問題。

【發(fā)明內(nèi)容】

[0009]為了克服現(xiàn)有Linux主機接入網(wǎng)絡系統(tǒng)安全性差的不足，本發(fā)明提供一種Linux主機接入網(wǎng)絡系統(tǒng)安全增強方法。該方法在網(wǎng)絡系統(tǒng)中設置一個安全監(jiān)控中心，安全監(jiān)控中心的計算機上安裝并運行安全監(jiān)控中心軟件，負責統(tǒng)一設置和管理網(wǎng)絡中所有Linux主機的全局安全策略，并對每個Linux主機的安全狀態(tài)進行監(jiān)控和審計。全局安全策略包括各個Linux主機的系統(tǒng)登錄策略、外設使用策略和網(wǎng)絡通信策略，并通過網(wǎng)絡將全局安全策略下發(fā)給相應的Linux主機執(zhí)行。每個Linux主機安裝并運行經(jīng)過安全增強的Linux操作系統(tǒng)，按照全局安全策略對用戶的系統(tǒng)登錄、外設使用、網(wǎng)絡通信等操作行為進行安全監(jiān)控和審計。本發(fā)明通過部署和運行Linux主機接入安全增強系統(tǒng)，對所有接入網(wǎng)絡系統(tǒng)的Linux主機用戶的系統(tǒng)登錄、外設使用、網(wǎng)絡通信等操作行為進行安全監(jiān)控和審計，能夠及時發(fā)現(xiàn)并阻斷用戶的違規(guī)行為，增強了用戶操作行為的可信性、可控性以及可追溯性，可以提高接入主機以及網(wǎng)絡信息系統(tǒng)的安全性。
[0010]本發(fā)明解決其技術問題所采用的技術方案是:一種Linux主機接入網(wǎng)絡系統(tǒng)安全增強方法，其特點是采用以下步驟:
[0011](I)在網(wǎng)絡系統(tǒng)中，設置一個稱為安全監(jiān)控中心的計算機，在所述計算機上安裝并運行安全監(jiān)控中心軟件，負責統(tǒng)一設置和管理網(wǎng)絡中所有Linux主機的全局安全策略，并對每個Linux主機的安全狀態(tài)進行監(jiān)控和審計。全局安全策略包括各個Linux主機的系統(tǒng)登錄策略、外設使用策略和網(wǎng)絡通信策略，并通過網(wǎng)絡將全局安全策略下發(fā)給相應的Linux主機執(zhí)行。
[0012](2)每個Linux主機安裝并運行經(jīng)過安全增強的Linux操作系統(tǒng)，按照全局安全策略對用戶的系統(tǒng)登錄、外設使用以及網(wǎng)絡通信操作行為進行安全監(jiān)控和審計。對Linux操作系統(tǒng)的安全增強包括如下幾個方面:
[0013]①按照系統(tǒng)登錄策略對Linux主機用戶的系統(tǒng)登錄行為進行強制性監(jiān)控，系統(tǒng)將分兩種情況進行處理:
[0014]a.對于用戶的首次系統(tǒng)登錄行為，系統(tǒng)首先檢查登錄時間是否符合系統(tǒng)登錄策略中規(guī)定的時間窗口，如果不符合則禁止登錄，并給出警告信息；如果符合則提示用戶輸入初始的用戶名和口令，然后進行用戶身份鑒別。如果身份鑒別為真則允許登錄，然后提示用戶更改初始口令，并對用戶輸入的新口令進行檢查，判別新口令字符串長度和復雜度是否符合系統(tǒng)登錄策略中規(guī)定的口令長度和復雜度要求，符合則修改成功；不符合則需要重新輸入新口令，直到符合要求為止；如果身份鑒別為假則拒絕登錄，并檢查登錄失敗次數(shù)是否達到系統(tǒng)登錄策略中規(guī)定的最大嘗試登錄失敗次數(shù)，如果未達到則允許用戶繼續(xù)嘗試登錄，如果達到則禁止用戶繼續(xù)嘗試登錄，系統(tǒng)進入屏幕鎖定狀態(tài)，保留嘗試登錄的屏幕狀態(tài)。
[0015]b.對于用戶的非首次系統(tǒng)登錄行為，系統(tǒng)首先檢查登錄時間是否符合系統(tǒng)登錄策略中規(guī)定的時間窗口，如果不符合則禁止登錄，并給出警告信息；如果符合則提示用戶輸入用戶名和口令，然后進行用戶身份鑒別，如果身份鑒別為真則允許登錄，并判別口令使用周期是否達到系統(tǒng)登錄策略中規(guī)定的最大口令更新周期，如果達到則提示用戶輸入新口令，并對新口令的長度和復雜度進行檢查，直到用戶輸入符合要求的新口令為止；如果身份鑒別為假則拒絕登錄，并檢查登錄失敗次數(shù)是否達到系統(tǒng)登錄策略中規(guī)定的最大嘗試登錄失敗次數(shù)，如果未達到則允許用戶繼續(xù)嘗試登錄，如果達到則禁止用戶繼續(xù)嘗試登錄，系統(tǒng)進入屏幕鎖定狀態(tài)，保留嘗試登錄的屏幕狀態(tài)。
[0016]對成功和不成功的系統(tǒng)登錄行為進行日志記錄，記錄的信息有登錄用戶名、登錄日期和時間、登錄失敗次數(shù)以及是否更改口令，以便于事后取證和追蹤。
[0017]②按照外設使用策略對用戶的外設使用行為進行強制性監(jiān)控，受監(jiān)控的外部設備包括移動硬盤、移動優(yōu)盤、光盤、打印機以及掃描儀，在外設使用策略中規(guī)定了每個主機允許使用的外部設備。對于用戶的外設使用行為，系統(tǒng)從操作系統(tǒng)內(nèi)核中捕獲用戶發(fā)出的外設使用請求，提取其中的特征參數(shù)，檢查是否與外設使用策略中允許使用的外部設備相符合，如果不符合則拒絕使用，攔截該請求并報警；如果符合則允許使用，正常處理該請求，并做日志記錄，記錄的信息有設備類型、操作類型、文件名、日期和時間，以便于事后取證和追足示O
[0018]③按照網(wǎng)絡通信策略對用戶的外設使用行為進行強制性監(jiān)控，受監(jiān)控的網(wǎng)絡通信接口包括以太網(wǎng)接口、各種無線網(wǎng)接口、各種串行通信接口等，在網(wǎng)絡通信策略中規(guī)定了每個主機允許使用的網(wǎng)絡通信接口。對于用戶的網(wǎng)絡通信行為，系統(tǒng)從操作系統(tǒng)內(nèi)核中捕獲用戶發(fā)出的網(wǎng)絡通信請求，提取其中的特征參數(shù)，檢查其網(wǎng)絡通信接口是否與網(wǎng)絡通信策略中允許使用的網(wǎng)絡通信接口相符合，如果不符合則拒絕訪問，攔截該請求并報警；如果符合則做進一步檢查:
[0019]a.提取數(shù)據(jù)包中的源IP地址、目的IP地址、源端口號、目的端口號以及協(xié)議類型信息，檢查是否與網(wǎng)絡通信策略中所規(guī)定的相符合，如果不符合則拒絕訪問，攔截該請求并報警；如果符合則允許訪問，正常處理該請求，將數(shù)據(jù)包輸出到網(wǎng)絡通信接口。
[0020]b.做日志記錄，記錄的信息有網(wǎng)絡通信接口類型、物理地址、源IP地址、目的IP地址、源端口號、目的端口號、協(xié)議類型、日期和時間以及允許/拒絕信息，以便于事后取證和追足示O
[0021]本發(fā)明的有益效果是:該方法在網(wǎng)絡系統(tǒng)中設置一個安全監(jiān)控中心，安全監(jiān)控中心的計算機上安裝并運行安全監(jiān)控中心軟件，負責統(tǒng)一設置和管理網(wǎng)絡中所有Linux主機的全局安全策略，并對每個Linux主機的安全狀態(tài)進行監(jiān)控和審計。全局安全策略包括各個Linux主機的系統(tǒng)登錄策略、外設使用策略和網(wǎng)絡通信策略，并通過網(wǎng)絡將全局安全策略下發(fā)給相應的Linux主機執(zhí)行。每個Linux主機安裝