浪潮SSR安全應用架構(gòu)圖

從操作系統(tǒng)入手，打造內(nèi)核級安全

操作系統(tǒng)是銜接服務器硬件與服務器應用軟件的橋梁，橋梁的安全、可靠，決定了應用系統(tǒng)和數(shù)據(jù)的安全、可靠。

針對于此，浪潮SSR增加目標應用服務器上操作系統(tǒng)的內(nèi)核級安全，對操作系統(tǒng)的文件、注冊表、服務、進程等資源實現(xiàn)強制訪問控制，消除病毒等惡意程序的生存環(huán)境，使服務器能夠免疫針對操作系統(tǒng)的攻擊，實現(xiàn)對已知或未知病毒程序、ROOTKIT級后門威脅的主動防御，避免出現(xiàn)油田信息系統(tǒng)因新的蠕蟲等感染型病毒的出現(xiàn)，而導致的網(wǎng)絡癱瘓、應用服務中斷等安全事故。

四管其下，有效降低運維風險

在系統(tǒng)的運維過程中，如果系統(tǒng)缺乏身份認證以及授權(quán)機制，來自內(nèi)、外部的頻繁訪問有可能使得不法分子獲得很好的偽裝身份，從而輕而易舉的獲取到重要信息。針對于此，浪潮SSR采用了規(guī)范系統(tǒng)管理員行為、強制訪問控制、關(guān)鍵業(yè)務進程保護機制以及建立安全審計機制4個維度的管控機制，有效降低了內(nèi)、外部的運維風險。

浪潮SSR加強對操作系統(tǒng)管理員行為的管理，實現(xiàn)對不同廠商的運維人員的“最小授權(quán)”，通過技術(shù)和制度手段對ROOT賬號的權(quán)力加以分散。即使擁有ROOT賬號的運維人員，如果需要訪問不屬于自己的資源，也必須取得相關(guān)部門的授權(quán)。這樣既保證了運維工作的正常進行，又能夠規(guī)避因為運維人員權(quán)限過大而帶來的風險。

而對服務器的資源，尤其是業(yè)務信息系統(tǒng)資源，浪潮SSR實現(xiàn)細粒度的強制訪問控制，使得運維人員或惡意攻擊人員不能夠隨意安裝和開啟遠程控制軟件，即便在利用SSH等方式遠程登錄后，也不能對系統(tǒng)關(guān)鍵資源實施竊取、破壞等行為。

同時，浪潮SSR也能夠建立行之有效的進程保護機制，確保業(yè)務進程不會因為運維人員的誤操作等原因終止，也不會被病毒、木馬等惡意程序注入而導致業(yè)務過程被破壞。

最后，浪潮SSR能夠建立安全審計機制，通過“三權(quán)分立”機制實現(xiàn)對操作人員的最小授權(quán)。當出現(xiàn)操作人員企圖越權(quán)訪問核心數(shù)據(jù)資產(chǎn)的情況時，會及時的按照訪問用戶、程序、時間、動作等信息記錄在系統(tǒng)中，在日后的企業(yè)內(nèi)審中作為技術(shù)判斷依據(jù)。在發(fā)生病毒、木馬等惡意程序通過移動介質(zhì)企圖進入系統(tǒng)時，浪潮SSR也會及時的定位病毒文件，便于安全運維人員清理和刪除這些危險程序。

化被動為主動

在電影《偷天陷阱》中，凱瑟琳·澤塔瓊斯扮演的女主角曾利用千年蟲漏洞，成功洗劫了吉隆坡的一家國際銀行。而電影中所展現(xiàn)的利用系統(tǒng)漏洞牟利的畫面并非純粹的想象，而是確實存在這樣的風險。眾所周知，業(yè)內(nèi)主流、商用的服務器操作系統(tǒng)基本為國外產(chǎn)品，本身存在漏洞和后門，而且一旦出現(xiàn)漏洞、后門后，系統(tǒng)補丁升級需要時間。在此期間，服務器系統(tǒng)的應用、數(shù)據(jù)安全如何得到保證，一直是困擾用戶的一個難題。

浪潮SSR利用安全內(nèi)核技術(shù)構(gòu)建一個自身免疫的系統(tǒng)，從根本上實現(xiàn)一個安全操作系統(tǒng)模型。它主要根據(jù)國家信息安全等級保護三級的安全標識保護級別的標準，為系統(tǒng)中的信息交換的主客體分別加上安全標記，從而達到了強制訪問控制(MAC)，制約了操作系統(tǒng)原有的自主訪問控制策略(DAC)，從根本上控制了信息的交換，實現(xiàn)安全的信息交換的方法。

不論來自內(nèi)部還是來自外部的攻擊行為(包括病毒的攻擊)的最終目的就是為了對信息的竊取以及監(jiān)聽，浪潮SSR利用安全標識保護了系統(tǒng)中每一條信息交互的通道，以主動的智能化方式，從根本上實現(xiàn)了系統(tǒng)本身免疫。

浪潮SSR工作模型

值得一提的是，浪潮SSR部署無需改變現(xiàn)有應用架構(gòu)，且與服務器系統(tǒng)、業(yè)務應用系統(tǒng)等存在良好的兼容性。而某油田在批量部署浪潮SSR服務器操作系統(tǒng)加固系統(tǒng)之后，扭轉(zhuǎn)了傳統(tǒng)安全被動防御的風險。通過與網(wǎng)絡、終端等安全設備組成整個信息系統(tǒng)的縱深防御，浪潮SSR為油田信息系統(tǒng)的運行連續(xù)性、穩(wěn)定性、安全性及可靠性提供堅實的支撐，構(gòu)筑了其主機安全長城。

lihongliang