一种优化可信基础组件的实现系统及其实现方法技术方案

本发明专利技术涉及一种优化可信基础组件的实现系统及其实现方法，所述系统包括：管理子模块，用于接收应用层传输给内核层的数据；度量子模块，用于对度量对象的完整性度量计算；判定子模块，用于对受控文件进行综合性判定；周期性主动控制子模块，用于对系统运行环境信息进行周期性主动度量；控制子模块，用于在控制点处收集度量对象的上下文信息，并对度量对象进行处置；日志管理子模块，用于收集控制子模块的所有拒绝操作信息和完整性异常信息。本发明专利技术以多个不同功能的模块形式加入内核，在有效保证不影响系统自身安全模块运行的情况下，同时去执行自定义的安全模块功能，也减少对Linux内核代码的修改和影响，增加功能和灵活性。

An implementation system for optimizing trusted components and its implementation method

The invention relates to an implementation system and its implementation method for optimizing the trusted base component. The system includes the management sub module, used to receive data transmitted to the kernel layer by the application layer; the degree quantum module is used for the measurement of the integrity measurement of the measured objects; the stator module is used for the comprehensive determination of the controlled files. The periodic active control sub module is used to carry out the periodic initiative measure of the system running environment information, and the control sub module is used to collect the context information of the Metric objects at the control point and handle the measurement objects. The log management sub module is used to collect all the refusal information and integrity of the control sub modules. Sexual anomaly information. The invention is added to the kernel with many different modules. In the case of effectively ensuring that the system's own security module is not affected, the function of the custom security module is executed at the same time, and the modification and influence to the Linux kernel code are also reduced, and the function and flexibility are increased.

【技术实现步骤摘要】
一种优化可信基础组件的实现系统及其实现方法
本专利技术涉及计算机系统安全
，具体涉及一种优化可信基础组件的实现系统及其实现方法。
技术介绍
近年来，Linux系统由于其出色的性能和稳定性，开放源码特性带来的灵活性和可扩展性，以及较低廉的成本，而受到计算机工业界的广泛关注和应用。然而Linux系统的安全性的不足，已经影响了Linux系统的进一步发展和更广泛的应用，系统安全已成为一个不容忽视的问题。目前针对操作系统的攻击手段越来越多，方式复杂多样。它们利用操作系统自身漏洞进行恶意破坏，导致资源配置被篡改，恶意程序被植入执行，利用缓冲区溢出攻击非法接管超级权限等。一般情况下，黑客攻击某一系统的最主要目的：一是窃取用户的私密数据。二是对操作系统进行恶意破环，使其无法行事正常机能。为了加强Linux系统的安全性能，引入了安全增强Linux（SELinux）、域和类型增强（DTE），以及Linux入侵检测系统（LIDS）等安全工具。但是上述安全工具都没有能够获得统治性地位而进入Linux内核成为标准。直到2001年美国国家安全局（NSA）介绍了他们关于安全增强Linux（SELinux）的工作，可以通过加载内核模块方式，支持现存的各种不同的安全访问控制系统，Linux安全模块LSM（LinuxSecrityModule）因此应运而生。目前，Linux安全模块LSM（LinuxSecrityModule）是开发者开发自身安全模块的基本框架，然而LSM（LinuxSecrityModule）自身的一些特点为开发者带来困难。1、Linux内核2.6.19版本取消了mod_reg_security注册接口，只保留了register_security注册接口，该接口只能支持一个安全模块存在，这为开发者注册自身安全模块带来不便。解决该问题需要修改内核安全模块部分代码，增加一个二级钩子，并为每一个安全函数增加二级钩子函数。这种方式实现较为繁琐，如果内核被替换，自身安全模块将完全失效。2、传统基准库主要以白名单方式管理，应用层需要维护白名单数据，需要主动将白名单数据载入内核安全模块，内核安全模块将数据以哈希表方式进行管理和维护。整体处理过程较为繁琐、数据处理效率较低，同时存在内核层与应用层的白名单数据不同步问题。3、系统启动过程中，安全模块加载可以在initrd阶段完成，白名单数据加载需要在sysinit阶段完成，在该阶段数据可能存在被篡改风险，从而导致信任链建立失效。4、白名单方式通常以受控文件的绝对路径作为键值，如果受控文件的绝对路径发生改变，白名单数据将失效而影响受控文件执行。
技术实现思路
为解决现有技术的不足，本专利技术提供了一种优化可信基础组件的实现系统，包括管理子模块、度量子模块、判定子模块、周期性主动控制子模块、控制子模块及日志管理子模块，各模块分别完成各自功能，且可通过预定接口进行数据交互和协同工作，其中，管理子模块用于接收应用层传输给内核层的数据；度量子模块用于根据指定的度量算法完成对度量对象的完整性度量计算；判定子模块用于对受控文件进行综合性判定；周期性主动控制子模块用于对系统运行环境信息进行周期性主动度量；控制子模块用于在控制点处收集度量对象的上下文信息，依据判定子模块返回的判定结果对度量对象进行处置；日志管理子模块用于收集控制子模块的所有拒绝操作信息和完整性异常信息。其中，所述应用层传输给内核层的数据包括配置信息、判定规则、控制策略及度量实施方式；所述度量对象的上下文信息包括主体、客体及操作信息；所述控制子模块对度量对象进行处置的操作包括拒绝、允许及交互；所述系统运行环境信息包括内核模块符号表、系统调用表、中断描述符表、全局描述符、代码正文段及系统关键文件。本专利技术另外提供了一种基于上述优化可信基础组件的实现系统的实现方法，包括利用链式调用方法将LSM提供的一个静态指针引向到自定义的安全模块。其中，还包括利用文件扩展属性方式替换已有的白名单方式。其中，还包括对指定的特权进程进行防杀保护，以及对优化可信基础组件的实现系统自身的内核模块进行防卸载保护。其中，还包括将脚本文件和内核模块的LSM控制点转移到文件管控中，同时添加判定规则以指定受控文件只能被规定的主体进程调用。其中，还包括增加动态度量，并将完整性异常情况及时上报。其中，所述动态度量包括对内核模块符号表、系统调用表、中断描述符表、全局描述符、代码正文段及系统关键内存进行主动度量。其中，还包括增加软件行为追踪，以便对一些重要进程的软件行为进行追踪。其中，还包括对文件扩展属性进行操作管控，防止文件的可信相关扩展属性被恶意篡改、删除和获取，确保受控文件基准值的完整性。本专利技术提供的优化可信基础组件的实现系统及其实现方法，以多个不同功能的模块形式加入内核，在有效保证不影响系统自身安全模块运行的情况下，同时去执行自定义的安全模块功能，也减少对Linux内核代码的修改和影响，增加功能和灵活性。具体实施方式为了对本专利技术的技术方案及有益效果有更进一步的了解，下面详细说明本专利技术的技术方案及其产生的有益效果。本专利技术提供了一种优化可信基础组件的实现系统，包括管理子模块、度量子模块、判定子模块、周期性主动控制子模块、控制子模块及日志管理子模块，各模块分别完成各自功能，且可通过预定接口进行数据交互和协同工作，其中，管理子模块用于接收应用层传输给内核层的数据；度量子模块用于根据指定的度量算法完成对度量对象的完整性度量计算；判定子模块用于对受控文件进行综合性判定；周期性主动控制子模块用于对系统运行环境信息进行周期性主动度量；控制子模块用于在控制点处收集度量对象的上下文信息，依据判定子模块返回的判定结果对度量对象进行处置；日志管理子模块用于收集控制子模块的所有拒绝操作信息和完整性异常信息。具体实施时，所述应用层传输给内核层的数据包括配置信息、判定规则、控制策略及度量实施方式；所述度量对象的上下文信息包括主体、客体及操作信息；所述控制子模块对度量对象进行处置的操作包括拒绝、允许及交互；所述系统运行环境信息包括内核模块符号表、系统调用表、中断描述符表、全局描述符、代码正文段及系统关键文件。本专利技术另外提供了一种基于上述优化可信基础组件的实现系统的实现方法，包括利用链式调用方法将LSM提供的一个静态指针引向到自定义的安全模块。具体实施时，可通过将LSM提供的一个静态指针（security_ops）引向到自定义的安全模块，通过利用合理的链式调用方法实现，能够在不影响原有优化可信基础组件的实现系统安全机制的前提下，使自定义的安全模块能够正常运行。较优的，还包括利用文件扩展属性方式替换已有的白名单方式，从而减轻了数据维护成本，同时能够解决白名单数据不同步、依赖文件绝对路径、信任链建立等存在的问题和风险。较优的，还包括对指定的特权进程进行防杀保护，以及对优化可信基础组件的实现系统自身的内核模块进行防卸载保护。较优的，还包括将脚本文件和内核模块的LSM控制点转移到文件管控（dentry_open）中，同时添加判定规则以指定受控文件只能被规定的主体进程调用，在此操作中，其它的操作不作管控。较优的，还包括增加动态度量，并将完整性异常情况及时上报。具体实施时，所述动态度量包括对内核模块符号表、系统调用本文档来自技高网...

【技术保护点】
1.一种优化可信基础组件的实现系统，其特征在于：包括管理子模块、度量子模块、判定子模块、周期性主动控制子模块、控制子模块及日志管理子模块，各模块分别完成各自功能，且可通过预定接口进行数据交互和协同工作，其中，管理子模块用于接收应用层传输给内核层的数据；度量子模块用于根据指定的度量算法完成对度量对象的完整性度量计算；判定子模块用于对受控文件进行综合性判定；周期性主动控制子模块用于对系统运行环境信息进行周期性主动度量；控制子模块用于在控制点处收集度量对象的上下文信息，依据判定子模块返回的判定结果对度量对象进行处置；日志管理子模块用于收集控制子模块的所有拒绝操作信息和完整性异常信息。

【技术特征摘要】
1.一种优化可信基础组件的实现系统，其特征在于：包括管理子模块、度量子模块、判定子模块、周期性主动控制子模块、控制子模块及日志管理子模块，各模块分别完成各自功能，且可通过预定接口进行数据交互和协同工作，其中，管理子模块用于接收应用层传输给内核层的数据；度量子模块用于根据指定的度量算法完成对度量对象的完整性度量计算；判定子模块用于对受控文件进行综合性判定；周期性主动控制子模块用于对系统运行环境信息进行周期性主动度量；控制子模块用于在控制点处收集度量对象的上下文信息，依据判定子模块返回的判定结果对度量对象进行处置；日志管理子模块用于收集控制子模块的所有拒绝操作信息和完整性异常信息。2.如权利要求1所述的优化可信基础组件的实现系统，其特征在于：所述应用层传输给内核层的数据包括配置信息、判定规则、控制策略及度量实施方式；所述度量对象的上下文信息包括主体、客体及操作信息；所述控制子模块对度量对象进行处置的操作包括拒绝、允许及交互；所述系统运行环境信息包括内核模块符号表、系统调用表、中断描述符表、全局描述符、代码正文段及系统关键文件。3.一种基于权利要求1所述的优化可信基础组件的实现系统的实现方法，其特征在于：包括利用链式调用方法将LSM提供的一个静态指针引向到自定义的安全模块。4.如...

【专利技术属性】
技术研发人员：史俊，申利飞，
申请(专利权)人：中标软件有限公司，
类型：发明
国别省市：上海,31