专利名称：一种基于可配置知识库的unix主机安全配置审计方法
技术领域：
本发明涉及信息安全技术领域的安全评估方法，主要用于解决UNIX主机系统的安全配置审计问题。
背景技术：
随着信息系统的飞速发展，信息系统的安全性，特别是信息系统使用的主机操作系统安全性已成为信息系统安全运行维护以及安全管理的重要问题。UNIX操作系统由于其较好的移植性、可操作性以及较强的网络和数据库支撑功能，已经成为企业大型业务系统搭建工作站平台以及操作平台的首选，因此对UNIX主机系统的安全管控和防御直接关系到信息系统安全稳定运行，及时对UNIX主机系统进行安全审计是保障信息系统安全的重要手段。目前对主机系统的安全防护措施主要是采用防火墙、IDS、IPS等部署在信息系统外围或网络内部关键区域防范来自系统、网络内/外部的恶意攻击或误操作。不同的防护方法其效果不同，主要表现在对于外部攻击的响应以及对攻击的处理方式等方面，但借助于网络安全设备的防护方式，只能起到监控事件和提供事后审查依据的作用，无法使企业主动查找系统存在的漏洞，防范可能的攻击。因此，定期通过安全配置审计的方法对主机系统进行安全评估，及时发现系统存在的安全隐患，有针对性地进行安全加固才能积极、有效地防御来自系统内/外部的恶意攻击。UNIX主机系统其区别于Windows的可视化操作的代码操作方式，缺乏相关操作技能的运行维护人员难以对UNIX主机系统进行全面安全监控。目前国内尚缺乏支持各类 UNIX或Linux等类UNIX操作系统的通用安全检测工具，无法有效对其系统脆弱性进行检测，导致UNIX操作系统遭受口令破解、非法连接、文件篡改等攻击，可能引发企业敏感信息泄露、信息系统破坏等重大安全事件。
发明内容
针对现有技术的不足，本发明提出的是一种基于可配置知识库的UNIX主机安全配置审计方法，可根据不同的UNIX操作系统类型进行知识库的配置筛选，根据用户的审计需求对主机系统进行安全配置审计，以发现主机系统存在的安全隐患，最终实现对主机系统的安全防护。本发明实现的技术方案如下
在远程或本地主机上部署访问客户端。可根据用户审计需求以及主机操作系统类型选择可用配置知识库对指定的主机系统进行安全配置审计。安全审计成功后，将由扫描引擎将采集到的扫描信息返回给后台数据库，扫描信息与后台知识库进行匹配，最终生成审计报告。客户端通过本方法进行主机系统审计时具体包括以下步骤
1 )安全配置审计发起方创建扫描任务，并提供被扫描的目标主机IP、登录用户名和口令、主机操作系统类型及可用的远程连接方式；
2)以可配置知识库为基础，安全配置审计发起方对扫描检测项目进行灵活定制；
3)扫描引擎通过通用接口，与目标主机建立通信信道；
4)扫描引擎获取知识库中相应的扫描指令，并进行结构化预处理，转化成扫描脚本；
5)扫描引擎通过可用信道对目标主机实施扫描，并采集目标主机系统Banner信息、口令策略、网络参数、文件系统权限、主机信任关系、日志审计配置等安全配置信息；
6)扫描引擎将采集的扫描结果进行解析以提取有效数据，采用Unicode编码进行数据转换后，将结果存入数据库；
7 )报表引擎将数据库中的数据进行Unicode编码逆转换，将数据与知识库中的基准安全策略进行匹配，根据匹配结果提供评估结果以及安全建议，并生成评估报表。所述可配置知识库采用Access实现，并独立于程序实现，可根据检测需求的不同灵活实现知识库的升级。知识库自身及其中的重要数据均进行加密处理，降低敏感数据泄露风险。所述扫描客户端部署在主机系统上，通过批处理脚本，最大化适应各类UNIX系统，扫描过程依赖的数据传输协议支持可选加密安全特性。本发明的进一步方案可以是
所述扫描命令采用脚本批处理方式，不造成主机系统资源使用负荷。本发明的进一步方案可以是
所述客户端可以同时配置统一网络区域中多个主机，对多个主机实施批量串行或并行审计。本发明的进一步方案可以是
所述客户端对扫描采集的结果进行智能化分析，针对分析所得结论，基于知识库提供评估结果和安全建议。本发明方法可以实现以下应用效果
1)通过自动化审计代理，可以节省安全评估审计过程中人工逐项检查工作量以及避免重复劳动；
2)通过安全连接通信方式(SSH、https)可避免主机远程维护时产生的非安全连接通讯问题；
3)通过预置的知识库对主机系统最新安全漏洞、补丁信息以及各项安全策略进行脚本化处理，在审计运行时将占用的系统资源降低到最小，避免影响主机系统承载业务的正常运行；
4)通过远程安全连接与脚本运行方式，不影响被测系统正常运行，不改变被测系统及其支撑应用的任何属性，不在被测系统上遗留任何恶意代码和数据；
5)通过仿真环境检测试验，根据UNIX主机系统各类漏洞建设知识库，包括配置规则库以及安全实施建议库，能对操作风险及重要等级进行分析，能为主机系统的漏洞整改和安全加固提供依据及实施建议；
6)通过License文件授权方式，将客户端与安全设备进行硬件绑定，防止敏感主机系统的审计内容及结果外泄，保护用户信息的安全保密性。
图1本发明框架示意图。图2本发明操作流程。图3安全审计数据流示意图。
具体实施例方式以下结合附图对本发明作进一步说明。如附图1所示，本方法以“可配置知识库”，包括UNIX配置规则库以及安全加固建议库为支撑，将用户需求以脚本形式传输到被测主机系统进行安全审计扫描，将扫描结果进行结构化数据转换后再次与知识库中标准配置规则以及安全加固建议库进行匹配，进行配置审计、漏洞分析、风险评级、加固实施风险分析，并形成报表，为用户提供安全审计评估结果以及安全实施建议。“可配置知识库”采用Access实现，具备与用户需求及后台数据库进行远程独立匹配及分析功能，从而不影响被测主机承载业务的正常运行，并不在被测主机上留下操作痕迹。由于安全配置检测的信息量大、结构性差，在设计指令集时采用管道命令、awk脚本语言、词法分析、正则表达式等技术增强数据过滤和自动分析功能。客户端采用License文件授权方式，与安装设备进行硬件绑定，其部署方式独立于被测主机系统，在操作时，需要验证其授权证书。附图2显示本方法包含的使用操作步骤
1)安装客户端，验证授权证书，防止信息泄漏和防止篡改；
2)身份验证成功，用户添加审计任务；
3)客户端检测扫描进程，等待扫描结果返回；
4)用户提交报表生成需求；
5)生成分析报告；
6)任务结束，关闭连接。对于相应的客户端，审计数据流如附图3所示
1 )通过客户端的操作接口将用户审计需求提交到用户进程。2 )任务进程将需求提交给知识库进行匹配，并由任务进程转化为扫描命令。3 )任务进程将扫描命令提交给扫描进程，转化成扫描脚本。4 )扫面进程执行扫描任务，对主机系统进行安全扫描，并获取主机相关安全配置 fn息ο5 )扫描进程将获取的安全配置信息返回到任务进程，转换为结构化数据。6 )任务进程将结构化数据与可配置知识库再次进行匹配，提取相应的安全策略与风险分析结果。7 )任务进程将分析结果提交给报表进程，生成包含扫描结果以及对应安全分析及安全建议的审计报告。8 )任务进程将报表反馈给用户。一个典型的交互示例用户点击已安装客户端后，客户端检验安装主机的硬件信息，通过检验后进入操作页面。用户新建任务，输入审计需求，例如主机类型、扫描范围等， 执行任务。客户端开始扫描进程，在扫描完成后提示扫描成功信息，用户根据需要选择是否生成报表，如需生成报表，选择主机范围以及报表格式，点击确认。用户根据提示打开报告， 查看审计结果，包括主机安全配置情况、风险等级及相应安全整改实施建议。
权利要求
1.一种基于可配置知识库的UNIX主机安全配置审计方法，设计了可配置知识库(1)， 实现对不同类型的UNIX主机的自动化安全配置审计(2)。
2.根据权利要求1所述的一种基于可配置知识库的UNIX主机安全配置审计方法，其特征在于，所述的可配置知识库(1)针对不同类型的UNIX主机操作系统分别进行定制，可根据安全配置审计需求的不同灵活实现知识库的升级，所述的可配置知识库包含UNIX配置规则库和安全加固建议库，其总体三层结构为{检测类别，{检测项目，{配置规则，安全加固建议}}}，其中1)检测类别标识UNIX主机安全配置审计指标，涉及账户口令策略、网络与服务、内核网络参数、主机信任关系、文件系统、日志审计等，每个检测类别包含若干检测项目；2)检测项目对UNIX主机安全配置审计指标进行分解，细化至UNIX主机系统具体的安全配置，每个检测项目对应相应的配置规则和安全加固建议；3)配置规则对应若干检测指令集合，是检测项目的具体实现，检测指令采用管道命令、 awk脚本语言、词法分析、正则表达式等技术，实现数据过滤和自动分析统计功能；4)安全加固建议包括漏洞描述、安全风险等级、建议解决方案、加固整改风险和重要等级；其中，漏洞描述针对检测项目存在的安全风险进行客观定性分析；安全风险等级对检测项目存在的安全风险进行定量分析；建议解决方案以安全配置审计标准要求为依据，从安全加固整改的角度提供漏洞的解决方法；加固整改风险针对加固整改行为对UNIX主机系统安全性的影响进行分析；重要等级综合检测项目的安全风险和加固整改风险，对其对 UNIX主机系统安全性的影响进行定量分析。
3.根据权利要求1所述的一种基于可配置知识库的UNIX主机安全配置审计方法，其特征在于，所述的自动化安全配置审计(2)所包含的步骤为步骤1)对安全配置审计发起方进行安全授权验证，若认证为合法授权用户则转步骤 2，否则转步骤9 ；步骤2)安全配置审计发起方创建扫描任务，并提供被扫描的目标主机IP、登录用户名和口令、主机操作系统类型及可用的远程连接方式；步骤3)以权利要求2所述的可配置知识库为基础，安全配置审计发起方对扫描检测项目进行灵活定制；步骤4)启动扫描引擎，通过Telnet、SSH等方式与目标主机建立通信通道，若连接成功则转步骤5，否则转步骤2;步骤5)扫描引擎根据安全配置审计发起方定制的扫描检测项目，从权利要求2所述的可配置知识库中获取目标主机操作系统类型专用的检测指令集合，并添加特殊标记对不同指令进行分隔，实现检测指令集合的结构化预处理；步骤6)扫描引擎通过已建立的通信通道执行预处理后的检测指令，对目标主机实施安全配置检测，并采集目标主机系统Banner信息、口令策略、网络参数、文件系统权限、主机信任关系、日志审计配置等安全配置信息；步骤7)扫描引擎对检测结果进行语义解析，采用特殊标记匹配的方法识别不同指令对应的检测结果，并采用Unicode格式对获取的有效数据进行编码转换，避免检测结果中的特殊字符可能引发的异常，最后将编码后数据存入数据库；步骤8)如果触发报表引擎，将数据库中相应的数据采用Unicode格式进行解码转换，并填充报表模版，以.xls文件形式及.html网页形式输出； 步骤9)全过程结束。
全文摘要
本发明公开了一种基于可配置知识库的UNIX主机安全配置审计方法。知识库包括用于安全审计的系统配置规则库及能为用户提供信息安全决策支撑的安全加固建议库，支持针对不同UNIX操作系统类型及安全审计需求对知识库进行灵活定制。本系统根据UNIX操作系统类型、审计需求等过滤条件对知识库提供的审计项进行筛选，实施UNIX主机系统的自动化配置审计、漏洞分析、风险评级、加固实施风险分析，并形成报表。本发明有利于及时发现主机系统存在的安全隐患，最终实现对UNIX主机系统的安全防护。
文档编号G06F21/00GK102306258SQ20111028596
公开日2012年1月4日 申请日期2011年9月23日 优先权日2011年9月23日
发明者刘行, 朱世顺, 朱晓欢, 董珏, 金倩倩, 陈刚 申请人:南京南瑞集团公司, 国网电力科学研究院