◆莫懷海

?

操作系統(tǒng)安全加固技術(shù)研究

◆莫懷海

（國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心廣東分中心 廣東 510665）

隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的飛躍發(fā)展，特別近年來(lái)大數(shù)據(jù)和云計(jì)算技術(shù)的創(chuàng)新演進(jìn)，信息系統(tǒng)的安全面臨嚴(yán)峻挑戰(zhàn)，對(duì)作為信息系統(tǒng)主要組成部分的服務(wù)器與終端操作系統(tǒng)進(jìn)行安全加固已是信息系統(tǒng)安全必不可少的防御措施，本文結(jié)合重要信息系統(tǒng)等級(jí)保護(hù)及系統(tǒng)安全實(shí)際運(yùn)維的安全加固經(jīng)驗(yàn)，對(duì)信息系統(tǒng)安全加固的原理、方法、流程進(jìn)行了分析，并專門針對(duì)Windows操作系統(tǒng)和Linux操作系統(tǒng)常用安全加固技術(shù)手段進(jìn)行了研究。

安全加固；操作系統(tǒng)；系統(tǒng)安全

0 引言

隨著計(jì)算機(jī)網(wǎng)絡(luò)與應(yīng)用技術(shù)的不斷發(fā)展，信息系統(tǒng)安全問題越來(lái)越引起人們的關(guān)注，信息系統(tǒng)一旦遭受破壞，用戶及單位將受到重大的損失，對(duì)信息系統(tǒng)進(jìn)行有效的保護(hù)，是必須面對(duì)和解決的迫切課題，而操作系統(tǒng)安全在計(jì)算機(jī)系統(tǒng)整體安全中至關(guān)重要，加強(qiáng)操作系統(tǒng)安全加固和優(yōu)化服務(wù)是實(shí)現(xiàn)信息系統(tǒng)安全的關(guān)鍵環(huán)節(jié)。我國(guó)目前所使用的操作系統(tǒng)，基本上是國(guó)外的，而且是Ｃ2級(jí)以下的，安全機(jī)制不符合國(guó)家等級(jí)保護(hù)的要求，也不符合信息系統(tǒng)實(shí)際的安全需求[1]。當(dāng)前，操作系統(tǒng)安全構(gòu)成威脅的問題主要有系統(tǒng)漏洞、脆弱的登錄認(rèn)證方式、訪問控制形同虛設(shè)、計(jì)算機(jī)病毒、特洛伊木馬、隱蔽通道、系統(tǒng)后門惡意程序和代碼感染等，加強(qiáng)操作系統(tǒng)安全加固工作是整個(gè)信息系統(tǒng)安全的基礎(chǔ)。

1 安全加固技術(shù)概述

1.1 安全加固原理

安全加固是指按照系統(tǒng)安全配置標(biāo)準(zhǔn)，結(jié)合用戶信息系統(tǒng)實(shí)際情況，對(duì)信息系統(tǒng)涉及的終端主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)及應(yīng)用中間件等軟件系統(tǒng)進(jìn)行安全配置加固、漏洞修復(fù)和安全設(shè)備調(diào)優(yōu)。通過安全加固，可以合理加強(qiáng)信息系統(tǒng)安全性，提高其健壯性，增加攻擊入侵的難度，可以使信息系統(tǒng)安全防范水平得到大幅提升。

1.2 安全加固方法

安全加固主要通過人工對(duì)系統(tǒng)進(jìn)行漏洞掃描，針對(duì)掃描結(jié)果使用打補(bǔ)丁、強(qiáng)化賬號(hào)安全、修改安全配置、優(yōu)化訪問控制策略、增加安全機(jī)制等方法加固系統(tǒng)以及堵塞系統(tǒng)漏洞、“后門”，完成加固工作。

1.3 安全加固流程

安全加固主要包含以下幾個(gè)環(huán)節(jié)：

（1）安全加固范圍確定

收集需要進(jìn)行安全加固的信息系統(tǒng)所涉及的計(jì)算機(jī)設(shè)備、網(wǎng)絡(luò)、數(shù)據(jù)庫(kù)及應(yīng)用中間件的設(shè)備情況。

（2）制訂安全加固方案

根據(jù)信息系統(tǒng)的安全等級(jí)劃分和具體要求，利用網(wǎng)絡(luò)安全經(jīng)驗(yàn)和漏洞掃描技術(shù)和工具，對(duì)加固范圍內(nèi)的計(jì)算機(jī)操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)系統(tǒng)及應(yīng)用中間件系統(tǒng)進(jìn)行安全評(píng)估，從內(nèi)、外部對(duì)信息系統(tǒng)進(jìn)行全面的評(píng)估，檢查這些系統(tǒng)目前安全狀況，根據(jù)現(xiàn)狀制定相應(yīng)的安全加固措施，形成安全加固方案。

（3）安全加固方案實(shí)施

根據(jù)制定的安全加固實(shí)施方案實(shí)施加固，完成后對(duì)加固后的系統(tǒng)進(jìn)行全面的測(cè)試和檢查，確保加固對(duì)系統(tǒng)業(yè)務(wù)無(wú)影響，并填寫加固實(shí)施記錄。

（4）安全加固報(bào)告輸出

根據(jù)安全加固實(shí)施記錄，編寫最終的安全加固實(shí)施報(bào)告，對(duì)加固工作進(jìn)行總結(jié)，對(duì)已加固的項(xiàng)目、加固效果、遺留問題進(jìn)行匯總統(tǒng)計(jì)。

1.4 信息安全等級(jí)保護(hù)與安全加固

信息系統(tǒng)安全等級(jí)保護(hù)是指對(duì)信息以及信息系統(tǒng)分等級(jí)進(jìn)行安全保護(hù)和監(jiān)管;對(duì)信息安全產(chǎn)品的使用進(jìn)行分等級(jí)管理;對(duì)信息系統(tǒng)中發(fā)生的信息安全事件分等級(jí)響應(yīng)、處置的綜合性工作制度[2]。信息安全等級(jí)保護(hù)是我國(guó)信息安全保障的一項(xiàng)基本制度，是國(guó)家通過制定統(tǒng)一的信息安全等級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)。對(duì)信息系統(tǒng)所依賴的服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)及安全設(shè)備進(jìn)行安全加固是信息安全等級(jí)保護(hù)標(biāo)準(zhǔn)中的重要技術(shù)措施。

Windows和Linux系統(tǒng)是目前主流的終端和服務(wù)器操作系統(tǒng)，下面結(jié)合重要信息系統(tǒng)等級(jí)保護(hù)、系統(tǒng)運(yùn)維的經(jīng)驗(yàn)，分析這兩種操作系統(tǒng)的常用安全加固技術(shù)。

2 Windows操作系統(tǒng)安全加固技術(shù)

2.1 Windows系統(tǒng)版本號(hào)和最新補(bǔ)丁檢查

在Windows系統(tǒng)下可運(yùn)行winver 命令或使用其他方法檢查操作系統(tǒng)的版本；運(yùn)行systeminfo命令或使用控制面板的“添加或刪除程序”的“顯示更新”功能進(jìn)行檢查重要檢查補(bǔ)丁安裝日期以及重要的補(bǔ)丁號(hào)；安全加固應(yīng)確保操作系統(tǒng)的重要補(bǔ)丁及時(shí)更新，其他補(bǔ)丁可定期更新。

2.2 審計(jì)及賬號(hào)策略加固

Windows系統(tǒng)審計(jì)及賬號(hào)策略加固主要包括密碼、賬號(hào)鎖定、審核策略、日志文件大小、用戶權(quán)限分配及安全選項(xiàng)等安全加固。

（1）密碼、賬號(hào)鎖定：根據(jù)信息系統(tǒng)保護(hù)以及用戶安全要求，密碼、賬號(hào)鎖定可運(yùn)行g(shù)pedit.msc命令進(jìn)入相關(guān)配置選項(xiàng)進(jìn)行設(shè)置。

(2) 審核策略設(shè)置：運(yùn)行g(shù)pedit.msc命令進(jìn)入本地策略下的審核策略頁(yè)面，檢查以下9項(xiàng)內(nèi)容的“安全設(shè)置”是否都包括了“成功”和“失敗”：審核策略更改、審核登錄事件、審核對(duì)象訪問、審核過程追蹤、審核目錄服務(wù)訪問、審核特權(quán)使用、審核系統(tǒng)事件、審核賬戶登錄事件、審核賬戶管理。

(3) 日志文件大小:進(jìn)入系統(tǒng)工具下的事件查看器，應(yīng)包括：應(yīng)用程序、安全、Setup、系統(tǒng)等4項(xiàng)或更多項(xiàng)，檢查每一項(xiàng)的屬性中 “日志最大大小”是否符合要求。

(4) 本地策略：運(yùn)行g(shù)pedit.msc命令進(jìn)入本地策略下的“安全選項(xiàng)”，按表1進(jìn)行安全設(shè)置。

表1 安全設(shè)置

2.3 系統(tǒng)服務(wù)加固

運(yùn)行net start命令檢查運(yùn)行的系統(tǒng)服務(wù)，對(duì)不必要的服務(wù)及危險(xiǎn)服務(wù)手動(dòng)修改為停止及禁用，可對(duì)DHCP Client、DNS Client、Remote Access Auto Connection Manager、Remote Registry、Routing and Remote Access、Server、Worksation等系統(tǒng)服務(wù)按實(shí)際需求進(jìn)行檢查。

2.4 注冊(cè)表項(xiàng)加固

通過修改注冊(cè)表相應(yīng)表項(xiàng)值，常用的可以設(shè)置禁止自動(dòng)登錄、禁止CD自動(dòng)運(yùn)行、刪除操作系統(tǒng)默認(rèn)隱藏的共享等注冊(cè)表項(xiàng)值進(jìn)行安全加固；運(yùn)行net start命令檢查運(yùn)行的系統(tǒng)服務(wù)，對(duì)不必要的服務(wù)及危險(xiǎn)服務(wù)手動(dòng)修改為停止及禁用。

2.5 防火墻和殺毒安全加固

檢查防火墻的安裝和設(shè)置情況；檢查殺毒軟件的安裝、設(shè)置為自動(dòng)更新以及特征碼和檢查引擎已經(jīng)更新到最新；打開殺毒軟件殺毒歷史記錄，檢查是否存在沒被清除的病毒。

2.6 后門排查

后門查找可通過檢查系統(tǒng)賬號(hào)、端口服務(wù)(運(yùn)行netstat -an命令)、系統(tǒng)服務(wù)(運(yùn)行net start命令)檢查是否存在異常以及運(yùn)行msconfig命令檢查自動(dòng)運(yùn)行項(xiàng)中是否存在異常程序等方法進(jìn)行一一排查。

3 Linux操作系統(tǒng)安全加固技術(shù)

Linux的核心安全機(jī)制是身份認(rèn)證、授權(quán)與訪問控制、安全審計(jì)三部分[3]。Linux的安全加固應(yīng)根據(jù)用戶和系統(tǒng)的安全需要圍繞核心安全機(jī)制進(jìn)行配置。

3.1 Linux版本及內(nèi)核檢查

可運(yùn)行l(wèi)sb_release -a命令查看發(fā)行版本，用uname -a檢查內(nèi)核版本；Linux應(yīng)使用最新的穩(wěn)定版內(nèi)核版本。

3.2 賬號(hào)及賬號(hào)策略加固

檢查/etc/passwd文件中root賬號(hào)是否唯一以及是否有不必要用戶。

3.3 訪問控制加固

Liunx系統(tǒng)訪問控制加固常做以下檢查：

（1）運(yùn)行umask命令查看系統(tǒng)是否設(shè)定了正確UMASK值0022；

（2）查看/etc/passwd是否鎖定系統(tǒng)中不必要的系統(tǒng)用戶；

（3）查看系統(tǒng)中是否刪除了不必要的系統(tǒng)用戶組；

（4）禁止root用戶遠(yuǎn)程登錄；

（5）系統(tǒng)重要文件訪問權(quán)限是否為644或600；

（6）系統(tǒng)與其他主機(jī)不存在信任關(guān)系，檢查系統(tǒng)中是否存在.rhosts、.netrc、hosts.equiv等文件，以及內(nèi)容是否為空。

3.4 禁止不必要的系統(tǒng)服務(wù)

使用chkconfig --list命令列出系統(tǒng)所有的服務(wù)啟動(dòng)情況，禁止不必要的系統(tǒng)服務(wù)。

3.5 文件目錄控制加固

對(duì)/tmp和/var/tmp目錄設(shè)置粘滯位，防止非授權(quán)用戶去刪除這些文件里的內(nèi)容

4 結(jié)束語(yǔ)

本文分析了信息系統(tǒng)安全加固原理、方法、流程，并研究了Windows、Linux系統(tǒng)系統(tǒng)的安全加固技術(shù)。目前，隨著大數(shù)據(jù)和云計(jì)算等新技術(shù)不斷發(fā)展，在新的時(shí)代下，進(jìn)一步加強(qiáng)安全加固工作是信息系統(tǒng)安全防范工作新的挑戰(zhàn)和課題。

[1]李科.操作系統(tǒng)安全加固技術(shù)在重要信息系統(tǒng)安全保護(hù)中的作用[A].首屆全國(guó)信息安全等級(jí)保護(hù)技術(shù)大會(huì)論文集，2012.

[2]張偉麗.信息安全等級(jí)保護(hù)現(xiàn)狀淺析[J].信息安全與技術(shù)，2014.

[3]劉仁維，李杜，翟琛.Linux系統(tǒng)安全與加固[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2018．