| 出版日期：2005-06-06 总期号：1417 本年期号：40 |
|
 |
“行为安全盒”技术与“最小特权”原则
上海浦东软件园信息技术有限公司 在网络应用不断普及和深入，但多种攻击方法却相互融合、攻击行为日趋复杂的形势下，新的防护技术的研发已成为人们关注的热点。“行为安全盒”技术作为一项新型的网络防御技术，有着独特的网络安全防御效果。本文是该系列专题的第二篇文章——���� 信息系统安全的设计中有一条重要的原则，即“最小特权”原则。从目前网络安全中所遭遇的诸多入侵攻击手段来分析，都可以找到与“最小特权”原则的联系。换句话说，如果有一种技术方案可以保障“最小特权”原则的有效实施，那么入侵攻击就可以得到有效的遏制。从当前对入侵攻击的防范效果上看，该原则在系统上并未得到较好的遵循。本文从网络安全的角度对“最小特权”原则的实施进行了分析，并介绍了“浦软红鹰网络服务行为监控系统”采用的“行为安全盒”技术是如何实现最小特权控制的，以及可获得的安全效果。 “最小特权”原则及其特征 “最小特权”原则是1975年由Saltzer J.H 等人在研究计算机的信息保护时提出的，给出的定义是：分配给系统中的每一个程序和每一个用户的特权应该是它们完成工作所必须享有的特权的最小集合。它被以后普遍接受为信息安全系统设计中要考虑的一个重要原则。从原则的定义中我们可以看出它具有以下实施特性：（1）约束对象是系统中的行为主体。换句话说，原则的具体实施具有较强的主体针对性。（2）实施约束的机制的外在性。“分配”的含义即：除去指导行为主体在设计时应遵循该原则外，有效约束行为主体的机制应是外加的（系统的）。 网络入侵攻击与“最小特权”原则 特权就是一个进程为了完成某些超常规的与安全相关的功能而必须具备的特殊权利。一个具备这种特权的进程的活动，可以对系统安全的方方面面产生重要的影响。对特权的滥用可导致非常严重的安全问题。因此获得特权往往是恶意用户实施攻击的第一步。通过分析网络攻击中常见的“堆栈溢出”、“木马”、“后门”及其他手段不难看出：网络入侵能够成功的前提是它们最终以某种形式直接或间接地获取了部分或全部的系统特权，这样它们才有能力以它们希望的方式控制系统内的各种资源，譬如访问文件、执行代码等。夺取特权并加以利用的“某种形式”往往是在特权下运行入侵者设计的代码，进而利用系统内的工具。所以从这个角度看，入侵成功的一个重要原因是：系统在“最小特权”原则方面做得不够或不严格。 特权最终体现在对资源的占有和支配上，通过资源的最少化就可达到特权的最小化。如果我们将“最小特权”原则拓展为“最少资源”原则，即：分配给系统中的每一个程序和每一个用户的资源应该是它们完成工作所必须享有的资源的最小集合（特权也可被看作一种资源）。这时我们会发现，所有利用应用软件“漏洞”或“弱点”实施的网络攻击都将会造成对该原则的违反。也就是说，设计系统安全保障机制时如能较好的遵循“最少资源”原则，将会取得更好的安全防范效果。 “最小特权”原则在信息安全中的作用无疑是重要的，但根据其第一项实施特性可以看出，它仅是一个指导性原则，只有将其与应用逻辑捆绑在一起才能很好发挥作用。不同的系统、不同的对象，最小特权的具体含义都是不同的。原则中的所谓“最小”，基本上也是软件设计人自己根据情况而定的。另一方面，由于受控对象是程序或用户，它们之间存在差别且常常在变化之中，有着太多不确定的因素，这就给系统实施统一的“最小特权”控制带来了困难。我们无法实现单一的具有普遍适用性的“最小特权”机制，去面对诸多变化的对象，这或许是“最小特权”原则未能在信息安全中发挥更大作用的重要因素。 “行为安全盒”技术 对“最小特权”原则的遵从 “浦软红鹰网络服务行为监控系统”中采用的是“行为安全盒”新技术，它通过实施针对程序行为的“最少资源”控制来更好地贯彻“最小特权”原则，为“最小特权”甚或“最少资源”原则的运用开辟了一条新的有效途径。在“行为安全盒”技术中，对“最小特权”原则的遵从主要体现在以下几个方面： （1）“行为安全盒”是完全针对具体的应用程序，以其行为特征要素为基础构建而成的。不同的应用对应不同的“安全盒”。这些元素包括为完成程序的功能所需要的文件、目录、设备、系统任务管理机制、网络通讯机制等等。 （2）“行为安全盒”控制完全遵从程序的应用逻辑，同时还分别采用了分层隔离、地址空间控制、状态关联控制等手段，来保证这种逻辑遵从的准确可靠。譬如：仅能在合理的任务层次、地址空间位置完成某种操作（文件访问、socket创建）等。 （3）通过对程序行为中“最少资源”访问的监控，贯彻“最小特权”原则。所谓“特权”，主要体现在对系统各类资源的占有和支配上，“行为安全盒”技术通过对程序运行过程中“最小资源”的使用控制，不仅约束了行为主体的“特权”，而且将其对资源的访问也控制在最小范围之内。 图1是“行为安全盒”技术实施最少资源控制的示意说明。 “行为安全盒”技术的综合运用 “行为安全盒”技术是以应用程序为基本监控单元的，可以取得很好的控制效果。但系统中存在大量的程序，如何应用它才能做到对整个服务器系统的安全控制呢？“浦软红鹰网络服务行为监控系统”以“行为安全盒”技术为核心，采用了“集成”、综合的策略，构建了一个完整的网络服务系统安全控制体系，主要包括： 以满足对网络客户服务为原则，集成多个“行为安全盒”构建系统的整体网络服务安全控制集； 为系统设定三种控制状态级，根据安全级对“行为安全盒”的利用给出灵活的选配方式； 环境一致性、系统资源安全标识、防火墙联动。通过这些手段辅助“行为安全盒”技术在实际环境中安全、灵活地运用。 上海某家银行网站在装备了“浦软红鹰网络服务行为监控系统v2.0”后，成功地阻挡了“黑客”对其proftpd文件服务器的“堆栈溢出”攻击，击退攻击时的第一条报警信息为：“05-20 13:03:13 RedHatAS3 .../proftpd SysCall 关联 I 0 1 3 Invalid syscall (2).”，意思是：在第三任务层次上非法使用系统功能“fork”创建子任务。事后通过“蜜罐”技术数据分析，“黑客”使用的是“堆栈溢出”攻击。由于系统拒绝对资源“fork”的访问，导致该攻击行为无法继续而失败。实例说明了“行为安全盒”技术中实施“最少资源”同时也是“最小特权”规则后所形成的防范威力。 （下期刊登《“行为安全盒”技术独特的安全效能》） |
||||||||||||||||||||
