Linux主机接入网络系统安全增强方法
【技术领域】
[0001]本发明涉及一种网络信息安全领域，特别是涉及一种Linux主机接入网络系统安全增强方法。
【背景技术】
[0002]信息系统安全等级保护是我国实行的一项信息系统安全保障制度，国家制定了相关的标准和法规，信息系统安全等级保护标准从物理安全、网络安全、主机安全、应用安全和数据安全等五个方面提出了基本要求。这里的主机安全是指接入网络系统的计算机安全，也是信息系统安全的重要组成部分。
[0003]主机上所使用的操作系统主要有Windows和Linux，因此将采用Windows操作系统的计算机称为Windows主机，将采用Linux操作系统的计算机称为Linux主机。目前，接入网络系统的计算机主要是Windows主机。随着基于Linux内核的国产操作系统的推广应用，接入网络系统的Linux主机将会越来越多，Linux主机安全越来越受到人们关注和重视。
[0004]虽然Linux操作系统内部提供了一定的安全机制，但是它采用的是自主型安全策略，由用户自主选择是否采用安全机制及其安全强度，这种自主型安全策略比较适合在单机环境下使用。而在网络环境下应用时，Linux主机需要接入网络信息系统，主机用户的任何违规操作行为都会危及到网络信息系统安全。因此，在高级别的信息系统安全等级保护中，需要通过部署Linux主机接入安全增强系统来增强Linux主机安全性，通过全局安全策略，对所有接入网络信息系统的Linux主机用户的系统登录、外设使用、网络通信等操作行为进行安全监控和审计，增强用户操作行为的可信性、可控性以及可追溯性，提升了网络信息系统安全保障水平。
[0005]Linux主机安全增强技术主要是对单机环境下应用的Linux操作系统进行安全增强，并不涉及网络环境下的Linux主机接入安全增强问题。
[0006]文献I “Linux主机安全系统的研宄与实现，信息技术，Vol.27，N0.7，2003，PP.12-16”公开了一种Linux主机安全系统，将防火墙对网络信息的处理和操作系统中用户使用资源的访问控制紧密结合起来，让防火墙模块和操作系统配合起来协同工作，从而对主机进行更为完善的保护。
[0007]文献2“基于Linux主机身份验证系统的研宄与实现，计算机工程，Vol.32，N0.13，2006，pp.185-186，189”公开了一种Linux主机身份验证系统，通过修改内核源代码，结合计算机硬件加密卡，实施基于策略的强制访问控制，实现了一个基于Linux2.6.x内核的主机身份验证系统。
[0008]以上两个文献均不涉及对接入网络系统的Linux主机用户行为进行安全监控和审计问题。
【发明内容】
[0009]为了克服现有Linux主机接入网络系统安全性差的不足，本发明提供一种Linux主机接入网络系统安全增强方法。该方法在网络系统中设置一个安全监控中心，安全监控中心的计算机上安装并运行安全监控中心软件，负责统一设置和管理网络中所有Linux主机的全局安全策略，并对每个Linux主机的安全状态进行监控和审计。全局安全策略包括各个Linux主机的系统登录策略、外设使用策略和网络通信策略，并通过网络将全局安全策略下发给相应的Linux主机执行。每个Linux主机安装并运行经过安全增强的Linux操作系统，按照全局安全策略对用户的系统登录、外设使用、网络通信等操作行为进行安全监控和审计。本发明通过部署和运行Linux主机接入安全增强系统，对所有接入网络系统的Linux主机用户的系统登录、外设使用、网络通信等操作行为进行安全监控和审计，能够及时发现并阻断用户的违规行为，增强了用户操作行为的可信性、可控性以及可追溯性，可以提高接入主机以及网络信息系统的安全性。
[0010]本发明解决其技术问题所采用的技术方案是:一种Linux主机接入网络系统安全增强方法，其特点是采用以下步骤:
[0011](I)在网络系统中，设置一个称为安全监控中心的计算机，在所述计算机上安装并运行安全监控中心软件，负责统一设置和管理网络中所有Linux主机的全局安全策略，并对每个Linux主机的安全状态进行监控和审计。全局安全策略包括各个Linux主机的系统登录策略、外设使用策略和网络通信策略，并通过网络将全局安全策略下发给相应的Linux主机执行。
[0012](2)每个Linux主机安装并运行经过安全增强的Linux操作系统，按照全局安全策略对用户的系统登录、外设使用以及网络通信操作行为进行安全监控和审计。对Linux操作系统的安全增强包括如下几个方面:
[0013]①按照系统登录策略对Linux主机用户的系统登录行为进行强制性监控，系统将分两种情况进行处理:
[0014]a.对于用户的首次系统登录行为，系统首先检查登录时间是否符合系统登录策略中规定的时间窗口，如果不符合则禁止登录，并给出警告信息；如果符合则提示用户输入初始的用户名和口令，然后进行用户身份鉴别。如果身份鉴别为真则允许登录，然后提示用户更改初始口令，并对用户输入的新口令进行检查，判别新口令字符串长度和复杂度是否符合系统登录策略中规定的口令长度和复杂度要求，符合则修改成功；不符合则需要重新输入新口令，直到符合要求为止；如果身份鉴别为假则拒绝登录，并检查登录失败次数是否达到系统登录策略中规定的最大尝试登录失败次数，如果未达到则允许用户继续尝试登录，如果达到则禁止用户继续尝试登录，系统进入屏幕锁定状态，保留尝试登录的屏幕状态。
[0015]b.对于用户的非首次系统登录行为，系统首先检查登录时间是否符合系统登录策略中规定的时间窗口，如果不符合则禁止登录，并给出警告信息；如果符合则提示用户输入用户名和口令，然后进行用户身份鉴别，如果身份鉴别为真则允许登录，并判别口令使用周期是否达到系统登录策略中规定的最大口令更新周期，如果达到则提示用户输入新口令，并对新口令的长度和复杂度进行检查，直到用户输入符合要求的新口令为止；如果身份鉴别为假则拒绝登录，并检查登录失败次数是否达到系统登录策略中规定的最大尝试登录失败次数，如果未达到则允许用户继续尝试登录，如果达到则禁止用户继续尝试登录，系统进入屏幕锁定状态，保留尝试登录的屏幕状态。
[0016]对成功和不成功的系统登录行为进行日志记录，记录的信息有登录用户名、登录日期和时间、登录失败次数以及是否更改口令，以便于事后取证和追踪。
[0017]②按照外设使用策略对用户的外设使用行为进行强制性监控，受监控的外部设备包括移动硬盘、移动优盘、光盘、打印机以及扫描仪，在外设使用策略中规定了每个主机允许使用的外部设备。对于用户的外设使用行为，系统从操作系统内核中捕获用户发出的外设使用请求，提取其中的特征参数，检查是否与外设使用策略中允许使用的外部设备相符合，如果不符合则拒绝使用，拦截该请求并报警；如果符合则允许使用，正常处理该请求，并做日志记录，记录的信息有设备类型、操作类型、文件名、日期和时间，以便于事后取证和追足示O
[0018]③按照网络通信策略对用户的外设使用行为进行强制性监控，受监控的网络通信接口包括以太网接口、各种无线网接口、各种串行通信接口等，在网络通信策略中规定了每个主机允许使用的网络通信接口。对于用户的网络通信行为，系统从操作系统内核中捕获用户发出的网络通信请求，提取其中的特征参数，检查其网络通信接口是否与网络通信策略中允许使用的网络通信接口相符合，如果不符合则拒绝访问，拦截该请求并报警；如果符合则做进一步检查:
[0019]a.提取数据包中的源IP地址、目的IP地址、源端口号、目的端口号以及协议类型信息，检查是否与网络通信策略中所规定的相符合，如果不符合则拒绝访问，拦截该请求并报警；如果符合则允许访问，正常处理该请求，将数据包输出到网络通信接口。
[0020]b.做日志记录，记录的信息有网络通信接口类型、物理地址、源IP地址、目的IP地址、源端口号、目的端口号、协议类型、日期和时间以及允许/拒绝信息，以便于事后取证和追足示O
[0021]本发明的有益效果是:该方法在网络系统中设置一个安全监控中心，安全监控中心的计算机上安装并运行安全监控中心软件，负责统一设置和管理网络中所有Linux主机的全局安全策略，并对每个Linux主机的安全状态进行监控和审计。全局安全策略包括各个Linux主机的系统登录策略、外设使用策略和网络通信策略，并通过网络将全局安全策略下发给相应的Linux主机执行。每个Linux主机安装