一种加固系统技术方案

本发明专利技术公开了一种加固系统，其包括：双因子身份验证子系统，基于安全标记的强制访问控制子系统，可执行代码的保护验证执行子系统，剩余信息保护子系统，基于角色的权限管理子系统，安全审计子系统，内置LDAP目录服务子系统；在这些子系统的共同作用下，增加了一般商业UNIX操作系统不具有的强制访问控制、双因子身份认证、防客体重用、系统和应用程序完整性保护、重要数据保护等安全功能，满足了铁路、电力等重要信息系统的等级保护技术要求，为关键业务应用提供安全可靠的运行环境的安全增强系统。

【技术实现步骤摘要】

本专利技术涉及一种UNIX的上层中间件系统，尤其涉及一种UNIX的安全增强系统。
技术介绍
商用UNIX系统在很多用户的关键业务信息系统中被采用，但是随着其应用逐渐成熟，其安全弱点也不断暴露并被利用，给用户业务带来安全风险。在这些安全弱点中，系统结构上的安全缺陷是最根本的。商用UNIX系统安全结构缺陷使得黑客或其他攻击者能够通过系统后门入侵系统、运行非法程序、破坏系统正常服务，或未经允许访问业务敏感数据等；同时系统在软件工程中的编码缺陷导致系统存在溢出攻击漏洞，这些漏洞可以使得攻击者获取没有控制的权限、绕开系统安全机制的检查并躲避系统审计。商用UNIX系统在用户身份及帐户管理方面也存在安全强度不足的问题，它可能导致合法用户的身份被窃取和冒用，从而带来非法访问等安全隐患。另外商用UNIX系统在安全管理权限不能很好地支持“最小特权”和“权限分离”的安全原则，系统管理员或超级用户拥有不受控的权限，一旦这些管理身份和角色被非法窃取或被恶意利用，系统无法采取充分的安全措施来保护自身，也无法对这些行为进行追踪。此外，商用UNIX系统还缺乏充分或足够强度的安全机制措施，难以满足用户对重要应用或敏感信息的高强度保护要求。比如铁路、电力等行业中，其管理和组织结构往往具有明确的上下级层次和部门关系，这一管理层次和部门关系也会映射到相关的业务系统中，但是一般商用UNIX系统不具备与这一业务结构相适应的多级访问控制机制，因此难以满足对系统重要资源或敏感信息的安全保护和管理要求。一方面商用UNIX系统存在以上重大安全弱点，另一方面，国外商用UNIX系统厂商开发的操作系统安全产品无论从技术功能上还是从政策上都不能满足我们国家信息安全的要求。
技术实现思路
本专利技术的目的是提供一种具有基于数字证书和用户口令的双因子身份认证，基于安全标记的强制访问控制，可执行代码的保护验证执行，剩余信息保护，基于角色的权限管理分离，安全审计，内置LDAP目录服务功能，为关键业务应用提供安全可靠运行环境的加固系统。为达到上述目的，本专利技术采用如下技术方案一种用于UNIX系统的加固系统，包括双因子身份验证系统，基于安全标记的强制访问控制子系统，可执行代码的保护验证执行子系统，剩余信息保护子系统，基于角色的权限管理子系统，安全审计子系统，内置LDAP目录服务子系统；双因子身份验证子系统对用户身份进行验证，用户通过验证进入系统后，在基于角色的权限管理子系统的控制下，进行操作，其中，基于安全标记的强制访问控制子系统控制用户操作，执行代码的保护验证执行子系统对系统服务和应用程序进行控制，只有通过验证的系统服务和应用程序才可以运行，程序运行完毕后，由剩余信息保护子系统清理与之相关的信息，安全审计子系统记录上述用户操作、系统服务调用和应程序运行的信息，内置LDAP目录服务子系统根据上级服务端的安全策略的情况随时更新本地策略。双因子身份验证子系统实现了证书与密码双重认证，其包括字验证模块与用户口令验证模块。所述数字验证模块包括用于输入用户名与密码并显示登陆状态的登录单元， 用于证书文件的读取的数字证书输入单元，证书文件传输单元与数字证书验证单元；所述登录单元将用户名与密码信息传输给所述的数字证书验证单元，所述证书文件传输单元将所述数字证书信息传输给所述的数字证书验证单元，所述数字证书验证单元用于验证用户名、密码以及证书中数字签名。所述用户口令验证单元包括用于输入用户名与密码并显示登陆状态的信息登录单元，用于传输用户名与密码信息的数据传输单元，以及用于验证密码的密码验证单元。其中，基于安全标记的强制访问控制子系统包括有关主体及客体的安全标记模块，安全策略配置模块与执行控制模块；用户通过所述的安全标记系统模块对有待控制的主体及客体指定安全标记，并通过安全策略配置模块配置相应的安全策略，所述执行控制模块根据所指定的安全标记与相应的安全策略控制相应的的主体及客体。其中，所述可执行代码的保护验证执行子系统包括白名单，白名单读取模块与解析模块；白名单读取模块读取白名单，并由解析模块对所读取的内容进行解析，只有白名单中的系统服务和应用程序被允许运行。其中，所述剩余信息保护子系统包括监听模块，初始化模块；程序运行完毕，监听模块监听到后，进行下一步操作之前，相应的程序所用过的系统存储或内存被所述初始化模块初始化为O或1。其中，所述基于角色的权限管理子系统包括角色配置模块与角色验证模块；所述角色验证模块通过由角色配置模块的配置信息，控制各个用户操作。作为一种优选方案，所述角色配置模块所配置的信息包括系统管理员，安全管理员与安全审计员三种角色；其中，系统管理员负责构建系统基本环境；安全管理员负责安全策略的制定，还负责对用户的管理；安全审计员负责审计系统重要状态变化以及系统一般用户、系统管理员和安全管理员角色的操作，并对相关操作做出记录。其中，所述安全审计子系统是数据库系统或文件系统。所述内置LDAP目录服务子系统包括监听模块与更新模块；当监听模块监视到上级服务端的安全策略变化的时候，由更新模块下载或接受最新的安全策略。其中，所述安全增强系统支持AIX、HP-UX、Solaris、Linux平台。本专利技术提供的加固系统包括双因子身份验证子系统，基于安全标记的强制访问控制子系统，可执行代码的保护验证执行子系统，剩余信息保护子系统，基于角色的权限管理子系统，安全审计子系统，内置LDAP目录服务子系统，在这些子系统的共同作用下，增加了一般商业UNIX操作系统不具有的强制访问控制、双因子身份认证、防客体重用、系统和应用程序完整性保护、重要数据保护等安全功能，满足了铁路、电力等重要信息系统的等级保护技术要求，为关键业务应用提供安全可靠的运行环境的加固系统。附图说明下面结合附图对本专利技术作详细说明。图1为本专利技术的加固系统的结构层次图；图2为本专利技术的加固系统的双因子身份验证子系统的流程图。具体实施例方式为了使本专利技术的目的、技术方案及优点更加清楚明白，下面结合附图及实施例，对本专利技术进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本专利技术，并不用于限定本专利技术。如图1所示本专利技术的加固系统处于UNIX操作系统之上，应用程序之下，其包括 双因子身份验证子系统；基于安全标记的强制访问控制子系统；可执行代码的保护验证执行子系统；剩余信息保护子系统；基于角色的权限管理子系统；安全审计子系统；内置LDAP 目录服务子系统；双因子身份验证子系统对用户身份进行验证，用户通过验证进入系统后， 在基于角色的权限管理子系统的控制下，进行操作，其中，基于安全标记的强制访问控制子系统控制用户操作，执行代码的保护验证执行子系统对系统服务和应用程序进行控制，只有通过验证的系统服务和应用程序才可以运行，程序运行完毕后，由剩余信息保护子系统清理与之相关的信息，安全审计系统记录上述用户操作、系统服务调用和应程序运行的信息，内置LDAP目录服务子系统根据上级服务端的安全策略的情况随时更新本地策略。正是所述加固系统所具有的各个子系统，提供了增加强制访问控制、双因子身份认证、防客体重用、系统和应用程序完整性保护、重要数据保护等安全功能，满足铁路、电力等重要信息系统的等级保护技术要求，为关键业务应用提供安全可靠的运行环境。图2是本专利技术的加本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种用于UNIX系统的加固系统，其特征在于，所述加固系统包括双因子身份验证子系统，基于安全标记的强制访问控制子系统，可执行代码的保护验证执行子系统，剩余信息保护子系统，基于角色的权限管理子系统，安全审计子系统，内置LDAP目录服务子系统；所述双因子身份验证子系统用于对用户身份进行验证；所述基于角色的权限管理子系统用于对通过验证进入系统的用户的权限进行管理； 所述基于安全标记的强制访问控制子系统用于控制用户操作； 所述执行代码的保护验证执行子系统用于对系统服务和应用程序进行控制； 所述剩余信息保护子系统用于在程序运行完毕后，清理与所述程序相关的信息； 所述安全审计子系统用于记录用户操作、系统服务调用和应程序运行的信息； 所述内置LDAP目录服务子系统用于根据上级服务端的安全策略的情况随时更新本地策略。2.根据权利要求1所述的加固系统，其特征在于，所述双因子身份验证子系统包括数字证书验证模块及用户口令验证模块； 其中，所述数字验证模块包括用于输入用户名与密码并显示登陆状态的登录单元，用于证书文件的读取的数字证书输入单元，证书文件传输单元与数字证书验证单元；所述登录单元将用户名与密码信息传输给所述的数字证书验证单元，所述证书文件传输单元将所述数字证书信息传输给所述的数字证书验证单元，所述数字证书验证单元用于验证用户名、密码以及证书中数字签名；所述用户口令验证模块包括用于输入用户名与密码并显示登陆状态的信息登录单元，用于传输用户名与密码信息的数据传输单元，以及用于验证密码的密码验证单元。3.根据权利要求1所述的加固系统，其特征在于，所述基于安全标记的强制访问控制子系统包括对相关主体及客体进行配置的安全标记模块，对安全策略...

【专利技术属性】
技术研发人员：白竟，李毓才，刘刚，葛维，孙绍钢，李晓勇，
申请(专利权)人：中铁信息工程集团有限公司，中铁信弘远北京信息软件开发有限公司，
类型：发明
国别省市：