信息安全基線自動(dòng)化核查和加固工具研究與應(yīng)用

尹君 張振紅 胡健 向華偉 趙曉平

關(guān)鍵詞：國(guó)產(chǎn)操作系統(tǒng)；基礎(chǔ)軟件；Linux系統(tǒng)；信息安全基線；自動(dòng)化加固

近年來(lái)，電網(wǎng)企業(yè)自主可控工作在深入推進(jìn)，現(xiàn)有信息系統(tǒng)所使用的底層操作系統(tǒng)逐步從RHCE替換為銀河麒麟、統(tǒng)信等國(guó)產(chǎn)操作系統(tǒng)，相關(guān)數(shù)據(jù)庫(kù)、中間件也在逐步替換為達(dá)夢(mèng)、人大金倉(cāng)和中創(chuàng)等，這些自主可控軟件極大地提升了企業(yè)級(jí)信息系統(tǒng)的安全可控水平。但由于相關(guān)系統(tǒng)與原始產(chǎn)品的差異，不但為系統(tǒng)切換過(guò)程中的兼容性適配帶來(lái)了困難，也導(dǎo)致軟件的安全合規(guī)配置缺少有效指導(dǎo)。電網(wǎng)企業(yè)一直依賴網(wǎng)絡(luò)安全合規(guī)庫(kù)指導(dǎo)各具體軟件的安全基線配置，因此需要針對(duì)上述自主可控軟件制定可指導(dǎo)運(yùn)維人員操作的基線標(biāo)準(zhǔn)，形成自動(dòng)化檢查工具以實(shí)現(xiàn)快速批量檢查，從而為系統(tǒng)加固提供支撐[1]。

1發(fā)展國(guó)產(chǎn)操作系統(tǒng)的重要性

1.1國(guó)家信息安全受到嚴(yán)重威脅

微軟公司的Windows系統(tǒng)是目前世界上最為常見的操作系統(tǒng)，無(wú)論是普及率還是軟件生態(tài)穩(wěn)定性，都比其他系統(tǒng)要好得多。正因如此，Windows系統(tǒng)已大量應(yīng)用于國(guó)內(nèi)的私人休閑、辦公室、金融業(yè)，乃至國(guó)家安保部門。但是，Windows的源代碼是絕密的，并且有一個(gè)后臺(tái)程序，即“后門”。通過(guò)這個(gè)所謂的“后門”可以在網(wǎng)上進(jìn)行遠(yuǎn)程操控。因此，“黑客”可以通過(guò)網(wǎng)絡(luò)進(jìn)入目標(biāo)計(jì)算機(jī)中，也可以隨時(shí)查看計(jì)算機(jī)里的文件，并對(duì)其進(jìn)行拷貝、刪除。在微軟公司的監(jiān)視下，使用Windows操作系統(tǒng)的用戶將沒(méi)有任何秘密可言[2]。

1.2國(guó)內(nèi)巨額社會(huì)財(cái)富流失

長(zhǎng)期以來(lái)，Windows操作系統(tǒng)的定價(jià)一直較高，而微軟等廠商在牟取巨額利潤(rùn)的同日寸，也造成了國(guó)內(nèi)巨額社會(huì)財(cái)富流失。作為一家基于操作系統(tǒng)的軟件公司，微軟曾宣稱，1美元的銷售能為其合作伙伴創(chuàng)造16美元的收益。國(guó)家版權(quán)管理局公布的數(shù)據(jù)顯示，2021年，國(guó)內(nèi)相關(guān)部門購(gòu)買的操作系統(tǒng)及其他辦公軟件的費(fèi)用共計(jì)56億元人民幣，而向微軟公司購(gòu)買操作系統(tǒng)的資金則為49. 42億元人民幣，占比高達(dá)65.93％[3]。

1.3我國(guó)軟件產(chǎn)業(yè)的發(fā)展受到嚴(yán)重制約

在整個(gè)軟件行業(yè)中，操作系統(tǒng)是基礎(chǔ)，也是整個(gè)行業(yè)的核心。操作系統(tǒng)的發(fā)展，將會(huì)極大地推動(dòng)整個(gè)行業(yè)的發(fā)展。鑒于其在全球的獨(dú)特地位和角色，微軟將長(zhǎng)期處于全球領(lǐng)先的位置。由于國(guó)內(nèi)操作系統(tǒng)等基礎(chǔ)軟件長(zhǎng)期被國(guó)外公司所壟斷，導(dǎo)致國(guó)內(nèi)的一些基礎(chǔ)軟件的開發(fā)相對(duì)落后，從而對(duì)國(guó)內(nèi)的應(yīng)用程序開發(fā)造成了一定的影響。

2Linux與其他操作系統(tǒng)對(duì)比

保護(hù)操作系統(tǒng)是網(wǎng)絡(luò)安全的基石，而“黑客”對(duì)操作系統(tǒng)的攻擊永遠(yuǎn)不會(huì)停止。在服務(wù)器上打開的端口可以通過(guò)合法的軟件進(jìn)行通信、連接。通過(guò)掃描網(wǎng)絡(luò)端口，用戶可以得到很多關(guān)于網(wǎng)絡(luò)配置和操作系統(tǒng)的信息。通過(guò)互聯(lián)網(wǎng)可以瀏覽多個(gè)端口，但主要可以分為兩大類，即手動(dòng)掃描和端口掃描。保護(hù)信息安全系統(tǒng)意味著保護(hù)和控制信息系統(tǒng)；在等級(jí)制度下管理信息安全工具的使用：對(duì)信息安全相關(guān)事件的綜合反應(yīng)和處理。Linux是一個(gè)UNIX類系統(tǒng)，它的安全模型與UNIX模型相同。Linux是一個(gè)完全多用戶操作系統(tǒng)，其主要應(yīng)用領(lǐng)域與用戶使用的“最低特權(quán)”概念不同，該概念提供了功能控制，用戶只能使用他們需要的系統(tǒng)的一部分資源。將Windows用戶和操作系統(tǒng)的程序整合到核心中，通過(guò)發(fā)現(xiàn)源，Linux系統(tǒng)能夠不斷地獲得各種研究和改進(jìn)的結(jié)果，這使安全漏洞更加明顯，并允許及時(shí)檢查和糾正錯(cuò)誤，補(bǔ)丁程序可以提供給用戶，而且通常是實(shí)時(shí)的?？梢哉f(shuō)，Linux比Windows更安全。

3Linux系統(tǒng)安全隱患及加固措施

3.1用戶賬戶以及登錄安全

刪除多余的用戶和用戶群。Linux操作系統(tǒng)在安裝后存在各種功能性系統(tǒng)號(hào)碼，如果有些用戶或用戶組不需要黑客，他們應(yīng)立即刪除，否則很可能會(huì)用這個(gè)賬號(hào)攻擊服務(wù)器。保存哪些賬戶號(hào)碼取決于服務(wù)器的目的地，而關(guān)閉則不需要系統(tǒng)服務(wù)。一旦安裝了操作系統(tǒng)，其將在安裝過(guò)程中自主運(yùn)行各種各樣的服務(wù)程序，運(yùn)行的服務(wù)器越多，系統(tǒng)的安全性就越低。

3.2遠(yuǎn)程訪問(wèn)認(rèn)證安全

遠(yuǎn)程訪問(wèn)是一種安全認(rèn)證服務(wù)，它具有隱藏的安全威脅，并且使用網(wǎng)絡(luò)上的內(nèi)容，黑客很容易通過(guò)包獲得用戶登陸密碼。此外，還有一個(gè)巨大的危險(xiǎn)，即服務(wù)將被安全認(rèn)證為黑客的目標(biāo)。SSH服務(wù)提供加密數(shù)據(jù)傳輸，傳輸數(shù)據(jù)被壓縮，并在一定程度上保證與服務(wù)器的遠(yuǎn)程連接安全。安全設(shè)置在操作系統(tǒng)中用來(lái)存儲(chǔ)時(shí)間文件的目錄，由／tmp和／var／tmp組成。它們的共同特征是，所有用戶都可以讀寫和執(zhí)行，這對(duì)系統(tǒng)的安全構(gòu)成了威脅。這兩個(gè)目錄的設(shè)置都不允許在這兩個(gè)目錄下運(yùn)行應(yīng)用程序。由于系統(tǒng)軟件或應(yīng)用程序出現(xiàn)漏洞，絕大多數(shù)服務(wù)器易受到攻擊，通過(guò)這些漏洞可以很容易地入侵服務(wù)器，管理員必須定期檢查和糾正空白。最常見的做法是將軟件保存在最新版本中，這在一定程度上降低了黑客攻擊的可能性。

3.3Linux的主要安全機(jī)制

其主要安全機(jī)制是識(shí)別、授權(quán)和控制訪問(wèn)，以及安全檢查。最初以第三方或補(bǔ)丁的形式引入Linux系統(tǒng)的新安全機(jī)制，經(jīng)過(guò)測(cè)試，若被認(rèn)為滿意，則它將被組裝在某個(gè)分銷或內(nèi)核中，使Linux成為安全樹。若Linux無(wú)法獲得安全工具，則無(wú)法選擇和正確配置多個(gè)安全工具。Linux安全系統(tǒng)的結(jié)構(gòu)本身并沒(méi)有提供任何安全策略，只是為不同的安全策略提供了一個(gè)框架，用戶根據(jù)自己的需要選擇安全策略，并將其下載到核心作為安全模塊。

3.4基線自動(dòng)化核查腳本編制

根據(jù)企業(yè)網(wǎng)絡(luò)安全合規(guī)庫(kù)要求，開展以下方面的基線核查腳本編制。

（1）設(shè)備管理：檢查是否使用安全的管理遠(yuǎn)程通道，識(shí)別telnet，F(xiàn)TP等不安全管理通道的開啟情況。檢查本機(jī)訪問(wèn)控制列表，確認(rèn)管理通道（如SSH服務(wù)）的白名單配置情況。

（2）用戶賬號(hào)與口令安全：檢查系統(tǒng)無(wú)用的默認(rèn)帳號(hào)禁用登陸與鎖定情況，檢查是否禁止root用戶遠(yuǎn)程登錄，檢查口令策略是否滿足復(fù)雜度限制、長(zhǎng)度限制、最長(zhǎng)有效期、登錄失敗鎖定限制以及用戶會(huì)話超時(shí)限制。檢查特權(quán)賬戶的權(quán)限最小化情況，包括是否存在其他UIDO用戶、用戶環(huán)境變量配置是否引用了不安全的目錄等。

（3）日志與審計(jì)：檢查是否啟用日志記錄、是否配置日志服務(wù)器防范本地日志篡改與保存周期不滿足要求，檢查記錄的日志是否滿足全覆蓋需求，檢查日志記錄的時(shí)間是否準(zhǔn)確等。

（4）服務(wù)優(yōu)化與安全防護(hù)：檢查已知的不安全系統(tǒng)服務(wù)是否禁用，檢查默認(rèn)用戶訪問(wèn)控制權(quán)限掩碼配置是否最小化配置，檢查是否對(duì)重要的口令文件權(quán)限進(jìn)行限制以防惡意修改，檢查是否配置了命令歷史記錄清理相關(guān)選項(xiàng)。

（5）自動(dòng)化加固腳本編制：針對(duì)上述檢查結(jié)果，識(shí)別可以開展全自動(dòng)加固的項(xiàng)目。其包括口令策略的復(fù)雜度限制、長(zhǎng)度限制、最長(zhǎng)有效期、登錄失敗鎖定限制以及用戶會(huì)話超日寸限制：日志記錄功能的啟用、防篡改權(quán)限配置、日志時(shí)間時(shí)區(qū)設(shè)置；默認(rèn)用戶訪問(wèn)控制權(quán)限掩碼最小化配置，重要的口令文件權(quán)限限制以及命令歷史記錄清理相關(guān)選項(xiàng)。

（6）工具設(shè)計(jì)與開發(fā)：國(guó)產(chǎn)操作系統(tǒng)信息安全基線核查加固工具可以快速開展麒麟國(guó)產(chǎn)操作系統(tǒng)的信息安全基線核查加固，形成詳實(shí)、豐富、友好的核查加固報(bào)告：可以有效提升信息安全基線核查加固的工作效率和質(zhì)量，助力公司國(guó)產(chǎn)操作系統(tǒng)的規(guī)?；瘧?yīng)用，賦能公司數(shù)字化轉(zhuǎn)型自主可控；覆蓋公司主流的國(guó)產(chǎn)操作系統(tǒng)，可以推廣應(yīng)用至各單位。

系統(tǒng)采用高度封裝集成的BS架構(gòu)設(shè)計(jì)，內(nèi)建瀏覽器和Web服務(wù)器，通過(guò)API接口調(diào)用方式實(shí)現(xiàn)配置核查腳本和自動(dòng)加固腳本的調(diào)用，集中展現(xiàn)核查和加固結(jié)果，增強(qiáng)系統(tǒng)通用性。

（1）自動(dòng)化核查：用戶啟動(dòng)程序后，在頁(yè)面中點(diǎn)擊“檢查”，工具自動(dòng)按照安全基線檢查指標(biāo)（口令策略、其他配置、認(rèn)證授權(quán)、文件權(quán)限、系統(tǒng)服務(wù)、賬號(hào)管理等指標(biāo)）進(jìn)行檢查，可實(shí)日寸看到本次檢查的進(jìn)度，進(jìn)度為100％時(shí)，工具自動(dòng)生成檢查報(bào)告，在“查看報(bào)告”功能中可以查看。如圖1所示。

另外，可以進(jìn)一步查看加固報(bào)告，包括目錄、概述信息、安全分析詳情。點(diǎn)擊“目錄”直接跳轉(zhuǎn)到頁(yè)面上的對(duì)應(yīng)項(xiàng)即可查看對(duì)應(yīng)信息：“概述信息”包括風(fēng)險(xiǎn)等級(jí)、設(shè)備名稱、設(shè)備類型、設(shè)備IP、檢查項(xiàng)情況、檢查時(shí)間、報(bào)告生成時(shí)間；“安全分析詳情”列表展示檢查指標(biāo)的合規(guī)情況，包含判定依據(jù)、檢查點(diǎn)、實(shí)際值、運(yùn)算符以及標(biāo)準(zhǔn)值、結(jié)果、原始結(jié)果、加固方案等。

（2）自動(dòng)化加固：針對(duì)上述加固項(xiàng)，可以通過(guò)點(diǎn)擊“加固”按鈕，自動(dòng)化完成原始配置的逐項(xiàng)備份和加固工作。一旦自動(dòng)化加固出現(xiàn)問(wèn)題，可逐一對(duì)每一個(gè)已自動(dòng)加固項(xiàng)實(shí)施回退操作。

4結(jié)束語(yǔ)

發(fā)展自主可控的國(guó)產(chǎn)操作系統(tǒng)是我國(guó)建立完整的國(guó)防安全體系和現(xiàn)代化網(wǎng)絡(luò)系統(tǒng)的基礎(chǔ)。隨著時(shí)間的推移，國(guó)產(chǎn)操作系統(tǒng)在很多方面都有了很大進(jìn)展，但仍與世界先進(jìn)水平存在較大差距，國(guó)產(chǎn)操作系統(tǒng)的發(fā)展任重而道遠(yuǎn)。Linux接人用戶權(quán)限太多，雖然無(wú)法輕易設(shè)置，但留下了許多隱藏的風(fēng)險(xiǎn)。為彌補(bǔ)這些潛在的缺陷，許多安全機(jī)制被開發(fā)出來(lái)，重復(fù)使用復(fù)制元件不僅會(huì)降低效率，還會(huì)引入漏洞。本文通過(guò)本地化的工具設(shè)計(jì)，解決了麒麟國(guó)產(chǎn)操作系統(tǒng)等自主可控基礎(chǔ)軟件缺少安全檢查標(biāo)準(zhǔn)的問(wèn)題，實(shí)現(xiàn)了安全的現(xiàn)場(chǎng)檢查、結(jié)果查看、配置備份以及部分加固。后續(xù)可基于此框架進(jìn)一步拓展實(shí)現(xiàn)自主可控的數(shù)據(jù)庫(kù)的自動(dòng)化核查與安全加固。