（通信与信息系统专业论文）主机主动入侵防御系统的研究与实现.pdf

信息工程大学硕士学位论文 摘要 本课题是郑州市科技局科技攻关重点项目“网络主动入侵防御系统”的子课题，主要 针对目前被动防御的缺陷，研究并实现了更加有效、更加完善的主机主动入侵防御系统， 它有机结合多种安全技术，以主机服务器上的关键资源为中心实施纵深防御。 主机主动入侵防御系统作为安全防御的最后一道防线，根据用户定制的访问控制规 则，从访问用户、访问时间、访问地点、访问进程和进程拥有的访问权限等方面对操作系 统活动和用户行为进行了细粒度的访问控制。本系统实现了对重要文件、文件夹和注册表 项的增强保护；通过进程隐藏和进程终止保护技术对操作系统中重要进程进行保护；通过 驱动隐藏和驱动加卸载保护技术对操作系统中的重要内核模块进行保护，同时可以有效阻 止内核级r o o t k i t s 和后门的恶意加载行为；通过应用程序运行控制，不但可以阻止未知或 者未授权的应用程序的运行，还可以防止恶意程序修改正常的应用程序；实现了访问控制 规则的查看、添加、删除和修改，以及对非法访问进行日志记录的功能。通过这些功能， 对操作系统的安全性进行扩展。 系统的功能测试和性能测试结果表明，本系统实现了设定功能，对操作系统的性能影 响很小。 关键词：入侵防御系统，系统调用截获，访问控制，文件保护，注册表保护，进程隐藏 进程终止保护，驱动加卸载保护，应用程序运行控制 第l 页 信息工程大学硕士学位论文 a b s t r a c t i kp r o j e c ti sab 眦c ho t t n e r ka c t i v ei n n | u s i o np r e v c n t i o ns y s t e m ”如n d e db yt l l e s c i 叻c e 锄dt e c 王1 1 1 0 l o g yd e p a r n l l e n to fz h e n g z h o u a i m i n ga tt l l ef l a w so fp r e s e n tp a s s i v e p r e v e n t i o np r o d u c t s ，t 1 1 em e s i ss t u d j e sa i l di m p l e m e n t sam o r ee 伍c i e n ta i l dp e 疵c th o s ta c t i v c i i l m l s i o np r v e m i o ns y s t e m 0 唱a n i c a l l ya m a l g 锄a 血1 9m l l l t i p l es e c l l r i t yt e c h l l i q u e s ，i tp u t s d e e pd e f b n s ei np 僦c ec e m e r e do nt l l ek e yr e s o u r c e si nt 1 1 eh o s t s e r v e r s h o s ta c t i v ei n 廿u s i o np r e v c n t i o ns y s t c mi st 量玲1 a s ti i n eo fd e f e n s ea g a i n s ts y s t e m c o m p r o i i l i s e nl l s e su s 盼d e f i n e da c c e s sc o n 加lm l e s ，e x a m i i l e ss y s t e ma c t i v i t i e s 觚du s c r b e h a v i o r sa c c o r d i n gt ot h ef h c t o r so fw h o ，w h e i l ，w h e r e ，w h a tp r o c e s sa n dw h i c hr i g h te t c ，锄d p r o v i d e sf i n c rg r a 衄l 撕t ya c c e s sc o n t r o lm 锄t h eo p e r a t i n gs y s t e m w h a th o s ta c t i v ei n 仃l l s i o n p r e v e n t i o ns y s t e mi m p l e m e n t si s 船f o i l o w s ：b yi o c “n gd o w nc r i t i c a lf i l e sa 1 1 dk e y 豫g i “e s ，“ a c h i e v e sf i l ea i l dr e 百s 仃yp r o t e c t i o n ；u s i n gp r o c e s sh i d i n g 锄dp r o c e s st e i m i n a t i o np m t e c t i o i l ，i t p r e v e n t si i n p o r t a n tp r o c e s s 舶mb e i n g e i l ，a n a c k e da n dt e 加i n a t e d ；n l o u g h “v e r h i d i i 培， l o a d i n ga n du 出o a d i n gp r o t c c t i o 王l ，矗p r 铡e n t si n l p o n a n ts y s t c mm o d u l e s 舶mb e i i l gs n ， u 王l l o a d e d ，a i l da l s op r c v e n t sk e m e lm o 伙i t s 锄db a c k d o o r s 舶mb e i n gl o a d e di n t 0k e m e lm e m o r y ； b yc o n t i d l l i n g 印p l i c a t i o n se ) 【e c u t i o n ，i tc 锄b l o c k 凼w no ru i l a u m o r i z c d 印p l i c a t i o i l s m 岫g a n ds t o pm a l i c i o l l sa p p l i c a t i o 邶f 如mm o d i 每i n gn o r n l a la p p l i c a t i o 璐ni sc o n v e i l i e mt o e x 锄i n c ，a d d ，d e l e t e 跚dm o d i 匆m ea c c e s sc o n 血o lm l e si i s i n gh o s ta c t i v eh l t r l 峙i o np r c v e n t i o n s y s t e m ，w h i c ha l s of e c o r d st h ei l l e g a la c c e s sb e h a v i o r s 1 1 l r o u g ht h e s e 如n c t i o n s ，h o s ta c t j v e i n t n l s i o np r c v e 面o ns y s t e me x t e n d ss e c u r i t yp e r f o 加a n c eo fw i r l d o 、s0 p e r a t i i 培s y s t e m f i n a l l y ，w et e s th o s ta c t i v ei m m s i o np r e v e n t i o ns y s t e m ，t l l er e s u hi n d i c a t e st l l a th o s t a c t i v eh 订u s i o np r e v e n t i o ns y s t e m ，w i m1 i t n ei m p a c to n0 s ，h a sr e a l i z c di t s 缸l c t i o n sd e s i 驴c d k e yw o r d s ：i n 仃i l s i o np r e v e n t i o ns y s t e m ，s y s t e mc a l li m e r c e 砸0 1 1 ，a c c e s sc o n t r 0 1 ，f i l e p r o 妣t i o i l ，r e 百s 时p r o t e c t i o n ，p r o c e s sh i d i n g ，p r o c e s st e m i 聃t i o np r o t c c t i 咀d r i v e rl o a d i n g a n du n l o a d i n gp m t e c t i o n ，a p p l i c a t i o ne x e c u t i o nc o nc r o l 第v i i j 页 信息工程大学硕士学位论文 表目录 表1h 讲s 系统的三个防护层面和九种保护方式表6 表2h a i p s 系统的主要功能模块麦。2 6 表3 文件保护模块钩挂的系统调用表。3 5 表4 注册表保护模块钩挂的系统调用表3 8 表5h a i p s 系统功能模块测试表。5 3 表6 原系统调用消耗时间和钩挂函数添加代码消耗时间对比表5 4 第1 v 页 信息工程大学硕士学位论文 图目录 图lc e r l c c 报告的网络安全事件示意图l 图2 攻击复杂度和入侵者知识对比示意图2 图3 基于角色的访问控制。1 4 图4w i n d o w s 系统服务调用的层次化结构1 6 图5m n d o w s 系统服务调用的实现过程1 7 图6w i n d o w s 系统不同层次的系统调用拦截点1 8 图7 应用程序与驱动程序通信的基本机制2 l 图8 事件法程序运行模型2 4 图9 命名事件法程序运行模型。2 4 图1 0 挂起i r _ p 法程序运行模型2 5 图1 1h a i p s 系统总体工作流程图2 7 图1 2 查看访问控制规则2 9 图1 3 添加一个新的文件保护规则3 0 图1 4 添加访问控制规则示意图。3 2 图1 5 访问控制规则匹配流程图3 4 图1 6h o o kz w s e t i i l f o 彻a t i o l l f i l e 访问控制流程图3 7 图1 7 操作系统中活动进程在内存中的组织形式3 9 图1 8 进程隐藏实现流程图4 0 图1 9 进程终止保护实现流程图4 2 图2 0 操作系统中加载的内核模块在内存中的组织形式4 3 图2 1h o o kz 、札m a d d r i v e r 函数工作流程图4 5 图2 2 应用程序运行控制流程图4 7 图2 3 日志记录查看4 8 图2 4h a i p s 系统测试环境4 9 图2 5 使用记事本打开受保护文件5 0 图2 6 受保护文件文件正常被打开5 0 图2 7 使用n 】l 瑚命令切换用户环境5 0 图2 8 用户z i c 、a d m i n j s t r a t o r 使用记事本访问受保护文件5 0 图2 9 记事本拒绝访问对话框5 1 图3 0 星期一下午一点使用记事本访问受保护文件5 1 图3 1 使用写字板打开受保护文件5 2 图3 2 写字板存取拒绝对话框5 2 图3 3 记事本拒绝访问对话框5 2 第v 页 信息工程大学硕士学位论文 图3 4 打开h a j p s 系统的全部功能。5 5 图3 5 使用k e h l r a t e 对h a i p s 系统进行测试5 5 图3 6 使用k 扭m t e 对h a i p s 系统进行测试的测试结果5 5 第v i 页 原创性说明 本人声明所提交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。 尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表和撰写 过的研究成果，也不包含为获得信息工程大学或其他教育机构的学位或证书而使用过的材 料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢 意。 学位论文题目： 圭趋麦塑鹭垂丝缨耋：垒查堑堑窒堑壅i 盈 学位论文作者签名：蕴叁连盛日期：w 7 年弘月，j 7 日 r r 、a 作者指导教师签名： 鸢垂迎! 坠日期：) 护7 年争月，厂日 学位论文版权使用授权书 本人完全了解信息工程大学有关保留、使用学位论文的规定。本人授权信息工程大学 可以保留并向国家有关部门或机构送交论文的复印件和电子文档，允许论文被查阅和借 阅；可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或 扫描等复制手段保存、汇编学位论文。 ( 保密学位论文在解密后适用本授权书。) 学位论文题目：量垫至塑鹫墨隧盟墨：鱼塑盈窒皇宝墨坠 学位论文作者签名： j 量篷盛：日期：硼7 年弘月，r 日 作者指导教师签名： 茵! 未坠日期：枷 年月，j ，日 信息工程大学硕士学位论文 第一章绪论 本课题来源于郑州市科技局科技攻关重点项目“网络主动入侵防御系统”，编号为 m ( 2 0 0 4 0 2 0 8 9 。网络主动入侵防御系统包括：个人防火墙系统、分布式主动入侵检测系统、 病毒防御系统和主机主动入侵防御系统( h a i p s ，h o s t a c t i v ei n t m s i o np r e v e n t i o ns v s t e m ) 。 本人主要负责主机主动入侵防御系统的研究与实现。 1 1 研究背景 2 l 世纪是信息化、网络化的世纪，信息是社会发展的重要资源。随着计算机网络技术 的迅猛发展和i n t e m 嗍n 拓a n e t 用户数量的激增，网络已深入到社会的各个领域，人类社会 各种活动对信息网络的依赖程度已经越来越大。 叵亟巫困 1 9 8 81 9 1 9 1 9 9 11 9 9 2 1 9 9 3 1 9 9 4 1 9 9 51 9 1 9 9 719 1 9 2 0 0 02 0 0 12 0 0 22 0 图lc e r t ，c c 报告的网络安全事件示意图 随着网络应用范围的不断扩大和接入方式的多样化，黑客攻击与破坏手法也与日俱增 ( 见图l 【i i 和图2 【2 】) ，相应的检测难度也增大了许多，政府、军事、金融和媒体等各种网 站都在不同程度上面临着入侵与破坏的巨大威胁。近年来，每年全球因计算机网络安全问 题造成的经济损失已达数千亿美元，专门从事网络安全的r s a 网站，甚至国家安全机构也 曾受到黑客攻击。 由此可见，网络安全问题不仅会造成巨大的经济损失，而且危及公共安全和国家安全。 如何建立安全而又健壮的网络系统，保证重要信息的安全性，已经成为刻不容缓的问题。 第1 页 o 伽瑚抛佃咖墓|咖瑚刚垂|枷湖瑚 信息工程大学硕士学位论文 恶意代码电于邮什传播 隐蔽高级扫描技术 使用n n t p 扩敞攻击 基于d n s 体系扩敞攻击 可执行代 自动扩a g u l 入位 t 童罴刀1 穗社会下张攻小”i拒绝服务攻缶 分审式拒绝服务攻。h 蠕虫增加 i 复杂命令和控制 上乒 反散泣技术 而阳家庭刖j 攻m 分柑a 攻击t 具 特洛伊术马骡增 墒丁w i n d o 知s 远剃控制 攻 m 复 杂 度 ”j，。：飘。，。漏嗣椭技术术_ 国e i 【o r 砺c c ) 广一 f 动刺探，j 捕 “删亿“扳个 。 。 包贼萼辐 1 9 9 0 入侵扦知识 2 0 0 3 +“+ 图2 攻击复杂度和入侵者知识对比示意图 1 1 1 课题背景 目前应用比较广泛的网络安全产品是防火墙，它在内部网络和外部网络之间建立一道 屏障，通过限制、过滤、监测和更改跨越防火墙的数据流来对外部网络屏蔽被保护网络的 信息。防火墙可以防止利用协议漏洞、源路由和地址欺骗等多种攻击手段，并提供安全的 数据通道。但随着技术的发展和网络的日趋复杂，传统的防火墙暴露出许多不足和弱点1 3 1 。 入侵检测系统( s ，i n n l l s i o nd e t e c t i o ns y s t e m ) 可以弥补防火墙的不足，为网络安 全提供实时的入侵检测及采取相应的防护手段，如及时记录、切断网络连接和执行用户的 安全策略等。目前大多数的i d s 都是使用特征码来辨别是否存在攻击行为的，它们只能检 测出已经编入识别程序的特定攻击，而无法防御瞬时攻击( z e r o d a y a t t a c k ) 。瞬时攻击是 新出现的，尚未被广泛认识，在新的特征码被开发出来之前，它们就能绕过这些i d s 。 i d s 不能给网络带来附加的安全，反而会增加管理员的困扰，g a n n e r 研究人员建议用 户使用入侵防御系统( i p s ，h l _ u s i o np r e v e m i o ns y s t e m ) 来代替i d s 【钔。i p s 是种主动的、 积极的入侵防范、阻止系统，它部署在网络的进出口处，当它检测到攻击企图后，它会自 动地将攻击包丢掉或采取措施将攻击源阻断。i d s 就如同火灾预警装置，火灾发生时，它 会自动报警，但无法阻止火灾的蔓延，必须有人来操作进行灭火；而i p s 就像智能灭火装 置，当它发现有火灾发生后，会主动采取措施灭火，中间不需要人的干预【5 j 。 尽管网络攻击的形式千变万化，但其最终目的只有一个，即窃取或破坏用户的数据资 源，而最关键的资源实际上就是驻留在主机服务器上的数据。如果对这些数据进行了强制 和全面的防护，对操作系统进行加固，对问题最多的超级用户的超级权限进行适当的限制， 第2 页 信息工程大学硕士学位论文 就可以达到相当好的防御效果【6 j 。例如，入侵者获取了操作系统超级用户的权限，企图对 主机服务器上的数据进行删除和篡改，我们利用主动入侵防御的方式在主机服务器中限 制了超级用户的权限，而且又通过访问时间、访问地点以及访问采用的应用程序等几个方 面予以限制，入侵者的攻击企图就很难得逞。采用这种主动入侵防御系统就可以对未知攻 击方式进行成功防范，为管理员争取宝贵的处理时间。 正是在这种背景下，主机主动入侵防御系统被推向前台。主机主动入侵防御系统是主 动入侵防御思想在主机朋务器上的一种实现，它是对安全防御系统的增强，它本身并不能 取代防火墙和杀毒软件等安全系统。主机主动入侵防御系统对其它层次的防御系统不能发 现、识别或者阻止的攻击进行阻止，从而达到即使攻击者能够成功的突破某个或几个安全 保护机制，其它的保护机制也能够提供附加的保护，实现保障整体安全的目的。 1 1 2 国内外研究现状 作为防火墙加i d s 联动模式的替代者，i p s 被认为相对于防火墙和i d s 产品有着非常 大的优势，是网络出口处安全防护产品的不二之选。i p s 目前在国际上已经被广泛应用， 并在很多地方已经全部取代了传统i d s 和部分取代了防火墙的应用。 i i 2 1 国外现状 n e t w o r k i c e 公司在2 0 0 0 年9 月1 8 日推出了业界第一款i p s 产品b l a c k i c e g 胁r d ， 它第一次把基于旁路检测的i d s 技术用于在线模式，直接分析网络流量，并把恶意包丢弃。 至此之后，i p s 在欧荚这些发达国家得到了快速发展。 随着产品的不断发展和市场的认可，越来越多的产品具有了i p s 的功能，由于其定位 不同，逐渐形成三大集团1 7 】。第一集团是入侵检测保护厂商，他们对入侵检测，保护技术有 深入研究，比较典型的厂商和产品代表有i s s 公司的p r o v e n t i a 系列【8 】和m c a f e e 公司的 i n n u s i l i e l d 系列产品【9 】；第二集团是集成网关厂商，他们基于防火墙的网关访问控制能力， 在网关中加入多种功能模块，其中很重要的一个就是i p s 功能，代表产品有n c t s c r e e n 公 司的i d p ( 1 1 l 饥峪i o nd 酏e c t i o na n dp r e 、，e i l 廿o n ) 产品【1 川和s o l l i c w a i ，l 公司的防火墙产品【1 1 1 等；第三集团是负载均衡厂商，他们基于对t c p i p 协议的七层分析，在其负载均衡产品 中加入对某些攻击的防御模块，比如t o p l a y e r 公司的a t t a c km i t i g a _ c o rm s 系列产品【1 2 】和 r a d w a r e 公司的a p p d i r e c t o r 产品等。 1 1 2 2 国内现状 与国外i p s 市场的百花齐放相比，国内的i p s 市场仍是一副不温不火的态势。国内业 界由于对这类安全产品接触的较少，对于攻击误报、串接方式和运行效率等问题还存在疑 问，一直处于争论观察期。 在国内i p s 领域，绿盟科技是一个突出代表，自成立以来一直潜心研究国内外项尖的 安全技术，拥有众多安全专家的独立安全研究部门n sf o c l l s 安全小组，一直都关注着口s 技术的发展。经过多年的技术积累和艰苦研发，绿盟科技在2 0 0 5 年9 月1 5 日推出了冰之 第3 页 信息工程大学硕士学位论文 眼网络入侵防护系统( i c e y e n i p s ) 【1 4 j ，这是国内安全厂商推出的第一个拥有自主知识产 权的i p s 产品，打破了国内i p s 市场由国外产品垄断的局面。 启明星辰公司推出的安星个人主机防护系统【1 5 】是专门用于防范入侵或误操作，防止黑 客入侵、木马程序和重要的个人系统信息泄露的信息安全保护系统，保护范围包括操作系 统的网络通信信息、文件访问控制、系统配置信息和防止通过m o d e m 进行电话盗拨，它 以系统默认策略和用户自定义策略为保护依据，从文件、注册表、网络通信和拨号网络四 个方面进行安全控制。 另外，冠群金辰软件有限公司是一家专业的信息网络安全公司，有着长期的信息安全 建设和管理的实践经验，公司也从最早的防计算机病毒领域全面转型到提供整体的信息安 全解决方案。在这个转型过程中，其开发的信息安全产品也随着整体安全解决方案的需求 不断充实，到目前已经逐步形成三大系列七大产品，其中包括龙渊服务器核心防护( e a c ) 【1 6 】，这是目前国内主机入侵防御系统( h i p s ，h o s t1 1 1 n l l s i o np r c v e n t i o ns y s b 锄) 产品的代 表之作。其综合利用多种安全保护机制，在应用程序和操作系统之间建立起一个安全的校 验通道，确保对操作系统资源的合法访问，除此之外的任何行为都将被拒绝并报警。 1 1 2 3 存在的问题 目前市场上的入侵防御产品还有许多不足之处。网络入侵防御系统( n i p s ，n e t w o r k h 1 咖s i o np r e v 锄t i o ns y s t e m ) 可能影响网络的性能和可靠性；漏报和误报率较高，检测效果 还有待提高；报警处理机制、集中管理和配置、规则定义、部署、特征库优化等方面还要 做大量的工作。h i p s 系统防护手段还比较单一；性能和效果还有待改进；在灵活性和易用 性方面也需要不断完善。 1 2 主要研究内容 针对当前h i p s 系统存在的不足，结合国内外的h i p s 系统产品的功能和特点，规划了 h a 口s 系统体系结构，制定并完善了细粒度访问控制规则，对关键的系统调用( s y s t e m c a l l ) 进行了截获和访问控制，实现了内核态系统访问控制的主要功能。从访问用户、访问时间、 访问地点、访问进程和进程拥有的访问权艰等方面对驻留在主机，眼务器上的数据等关键资 源进行深层防护。本论文主要进行以下几个方面的工作： 1 研究国内外h i p s 系统的实现原理以及优缺点，确定h a i p s 系统要实现的具体功 能。 2 深入研究控制能力较强的内核态系统调用截获技术，在操作系统内部实现对关键 和危险的系统调用的拦截。 3 调试跟踪与安全相关的关键系统调用。利用a p i s p y 3 2 ( 监视用户态a p i 的调用) 和n t s p y ( 监视内核系统服务的调用) 等系统调用监视工具对系统调用进行了监视，利用 内核调试工具s o f c i c e 对一些调试语句的输出进行了监视和分析，从而准确进行系统调用 截获。 第4 页 信息工程大学硕士学位论文 4 对操作系统的重要资源实现细粒度的访问控制。这主要包括对操作系统中的重要 文件和注册表的各种类型的访问进行增强性保护。 5 对操作系统中一些关键的运行进程和内核驱动进行保护。主要体现在进程隐藏、 进程终止保护、驱动隐藏、驱动的加卸载保护以及应用程序的运行控制上，对操作系统中 运行的重要进程和内核模块进行了有效的监视和控制，对操作系统的安全性进行扩展。 6 应用层界面的开发以及与内核驱动程序的交互机制的研究。应用层界面可以方便 的对内核规则进行查看、添加、删除和修改操作，并且提供日志记录查看功能。 1 3 论文的组织结构 第一章绪论部分，主要介绍研究本课题的重要意义，当前国内外的发展现状，以及本 论文的主要研究内容。 第二章首先分析当前h i p s 系统的系统结构和实现功能，接着提出h a i p s 系统的设计 思想和设计原则，确定h a i p s 系统的设计目标。 第三章介绍姒i p s 系统的技术设计，分别从访问控制策略、系统调用机制和截获技术 以及应用程序和驱动程序之间的通信机制三个方面进行阐述，在此基础上，设计了h a i p s 系统的细粒度的访闫控制规则，确定了要使用的系统调用截获技术和应用程序与内核驱动 程序之间的通信技术。 第四章首先论述了h a i p s 系统的总体结构和总体工作流程，接着介绍了访问控制规则 的具体实现，然后对文件保护、注册表保护、进程保护、驱动保护、应用程序运行控制和 日志记录等六个功能模块的实现原理和具体实现进行了阐述。 第五章对h a i p s 系统分别进行了功能测试和性能测试。 结束语对前期工作进行总结，并对后续工作进行安排。 参考文献列出了课题研究以及文章撰写过程中所用到的部分知识和技术来源。 最后对关心、支持和帮助过我的人致以诚挚的谢意。 第5 页 信息丁程大学硕士学位论文 第二章主机主动入侵防御系统的系统设计 h i p s 系统是一个驻留在诸如服务器、工作站或者笔记本电脑等主机系统上的软件程 序。现在，许多主机入侵防御安全产品进入了市场，这些产品执行入侵检测和入侵阻止的 技术和机制大不相同，提供的部分防护功能也与现存的杀毒软件和个人防火墙提供的功能 相重叠。 2 1h i p s 系统实现方式概述 为了更好的理解h i p s 系统实现方式的不同，本节使用三个防护层面来介绍h i p s 系统 的九种基本的保护方式。 考察一段设计用来在主机朋酲务器上执行的代码，该段代码存在如下三种可能的状态： 可执行代码正在进入主机服务器系统。 可执行代码已经驻留在主机服务器系统上，但还没有运行。 可执行代码正在主机或者服务器上运行。 这三种状态反映了h i p s 系统对应的三个防护层面：网络层、应用层和行为层。下面 考虑可执行代码在每一个层面上表现出来的行为： 如果在对应层面上的行为是不良行为，那么h i p s 系统将阻止这种行为的发生( 允 许所有其他的行为，即黑名单) 。 如果在对应层面上的行为是良性行为，那么h i p s 系统将允许这种行为的发生( 阻 止所有其他的行为，即白名单) 。 在对应层面上的行为是未知的。 由于可执行代码在不同层面上表现出来的行为不一样，也就造成了如表l i l 7 】所示的同 一防护层面不同的保护方式。 表lh i p s 系统的三个防护层面和九种保护方式表 阻止不良行为放行良性行为未知行为 行为层防护7 资源防护8 应用程序防御 9 行为约束 应用层防护 4 反病毒 5 操作系统加固6 应用程序检查 网络层防护l 面向攻击的网络层检查2 个人防火墙3 面向漏洞的网络层检查 目前许多进入市场的h i p s 系统都使用了显著不同的保护方式，比较优秀的h i p s 系统 使用了这三层保护方式中的多种保护方案。下面根据表1 分别对h i p s 系统的三个防护层 面进行简单的介绍。 2 1 1h i p s 系统的网络层防护 为了在恶意代码进入主机之前进行检测、阻止和移除，网络层的h i p s 系统对进入和 送出主机的网络数据包进行检查。 第6 页 信息工程大学硕士学位论文 第一列的保护方案通过对网络流量进行攻击签名匹配来发现并过滤掉恶意的攻击流 量，例如蠕虫传播和端口扫描等。其中深度包检查产品还可以通过连续检测多个包来检测 攻击行为。 第二列的个人防火墙通过配置，允许良性的应用程序访问网络，从而提供了网络层的 保护。 第三列的保护方案通过对网络流量进行检查试图发现未知的恶意代码，但它不依赖于 检测已知的攻击签名，而是使用面向漏洞的行为过滤技术，该技术比基于已知攻击签名的 检测技术更复杂，也更耗费操作系统资源，它需要进行深度包检查，同时需要熟悉操作系 统中存在的漏洞。 2 1 2h i p s 系统的应用层防护 为了在恶意代码执行之前进行检测、阻止和移除，应用层的h i p s 系统防护方案对主 机上的应用程序的代码特征进行检查。 第一列的反病毒解决方案是一项成熟的技术，它利用签名来检测和移除已知的恶意代 码。在应用程序执行时，大多数反病毒解决方案也执行实时的内存扫描，从而在应用程序 运行时，提供基于应用程序已知不良行为的内存保护，这与资源防护解决方案有点类似。 第二列的操作系统加固解决方案是对已知行为良好的应用程序进行配置，而所有其它 未经过配置的应用程序都得不到运行的机会。这种解决方案对于嵌入式系统、系统功能稳 定的服务器以及变化很少的系统，在阻止用户下载未知的应用程序方面表现尤为出色。 第三列提供的保护方案是应用层h i p s 系统防御中最复杂的，在这种防护方式中，如 果应用程序被运行，必须对应用程序代码进行检查，查看系统调用的类型以及所使用的应 用程序编程接口，从这些前后活动的关系上理解应用程序将要执行的动作，从而对潜伏的 恶意代码进行阻止。通过在模拟环境下监视应用程序执行代码路径或者使用逆向工程技术 对代码的特征进行监视，从而在应用程序保存或者运行之前发现其恶意特征。 2 1 3h 口s 系统的行为层防护 为了对危害主枧安全的恶意代码进行捡测、阻止和移除，行为层的h i p s 系统对可执 行代码的一些特征进行检查。这一层是h i p s 系统防护的最后一道防线，因为恶意代码已 经进入系统并且正在执行了。 第一列中的反病毒产品对恶意执行的应用程序进行已知签名扫描，许多h i p s 系统产 品可以对已知攻击签名的恶意应用程序的行为进行阻止。因为多数病毒和蠕虫通过缓冲区 溢出技术来加载它们的恶意负载，这个层面的h i p s 系统可以检测到这些加载行为，从而 进行阻止。多数操作系统已经集成了这种防护方式的h i p s 系统。 第二列中的应用程序加固保护技术允许良性应用程序去访问它需要访问的系统资源， 包括网络端口、a p i s 、磁盘区域、内存区域和注册表项。对于确认为良性的应用程序，h i p s 系统提供了一个应用程序库以及其可以使用的资源快照。应用程序加固h i p s 系统也应该 第7 页 信息工程大学硕士学位论文 为应用程序提供一种学习模式，可以为应用程序创建另外的可以使用的资源快照。一些新 的操作系统已经提供了这种保护方式的h i p s 系统，并且提供了跨平台的一致性和易管理 性。如果操作系统本身没有提供这种更细粒度的资源访问保护能力，那么应用程序加固 h i p s 系统可以通过在应用程序和应用程序企图访问的资源之间插入一段监视程序来对应 用程序访问的资源进行实时的监控，然后控制良性应用程序使它们仅仅访问那些需要的资 源。 应用程序加固的一个缺点就是：对于未知的应用程序如何处理? 第三列中提及的行为 堵截机制，可以对未知应用程序的恶意行为进行堵截。采用的技术分为被动和主动两种。 被动的行为堵截保护机制采用典型的“s a n d b o x i n g ”，该机制可以有效的降低恶意应用程序 的特权，从而把它造成的危害降到最小。h i p s 系统通过创造虚拟环境来执行未知代码，允 许恶意代码运行，但它不会对操作系统造成破坏。主动的行为堵截h i p s 系统不依赖虚拟 环境，对要检测的应用程序的行为进行审查和监视，对于被认定为是恶意的应用程序进行 堵截或者牵制。还有一些h i p s 系统对应用程序进行长时问的监视，寻找其行为发生的变 化，从其正常的访问模式中发现越轨行为。一般情况下，它们需要花费一段时间对应用程 序的正常行为模式进行学习。还有一些h i p s 系统事先设定好一系列的正常和恶意的应用 程序行为，用这些设定好的行为来对执行中的应用程序的行为进行审查和判决，对于应用 程序的恶意行为予以阻止，这种保护方案不需要花费时间来学习应用程序的行为。 2 2h a i p s 系统设计思想 面对应用层的攻击，传统的杀毒软件和防火墙已经不足以保护主机朋艮务器。当前系统 管理员一直依赖安全供应商提供的补丁来堵塞安全漏洞。当新的安全漏洞发布以后，这些 漏洞的补丁的发布一般都不及时，往往滞后于相应漏洞的入侵工具的开发和流行；另外， 给服务器下的所有设备都打上补丁不但费时、费力，有时这些补丁还会带来一些破坏性。 由于黑客不断地开发新的攻击来逃避现有的安全防范体系，所以最有效的防御系统将 直接瞄准潜在的、新的攻击，找出延迟其破坏的方法。这就提出了对主动入侵防御系统的 需求。 那么到底如何实现主动入侵防御系统呢? 考察目前所有网络系统的关键资源，可以发 现，最关键的资源实际上就是驻留在主机服务器上的数据及其赖以存在的主机服务器系 统。如果对这些数据进行了强制性、全面的防护，并且对其操作系统进行加固，对问题最 多的特权用户的权限进行适当的限制，就可以达到相当好的效果。这样，不管攻击者采用 什么样的攻击方法，我们的防范方式总是能够主动识别攻击者的企图，对于不合适的访问 予以拒绝。 攻击者要访问这些数据和资源就必须使用操作系统，因此最有效的防御攻击的办法就 是在操作系统层面上对操作系统和应用程序进行加固1 1 m 。 操作系统设计最根本的原则就是隐藏所有的系统资源，访问这些系统资源的唯一方式 第8 页 信恳工程大学硕士学位论文 就是调用操作系统提供的预定义的系统服务，又称系统调用，任何企图直接访问系统资源 的行为都会被操作系统阻止。当在操作系统的层面上构建一个可以阻止攻击的安全防护系 统时，可以利用和借鉴操作系统的设计理念。 1 以操作系统为中心进行系统设计。因为操作系统的中枢特性，所有的系统服务请 求都必须使用系统调用的机制。因此，要监视系统活动，只需密切关注系统调用的执行情 况，即使黑客也必须使用相同的接口才能达到自己的目的。 2 实时检测成为可能。在服务执行之前对服务请求进行截获，这样在危害发生之前 终止服务运行变得可行。 3 分层防护成为可能。即使黑客获得了特权，他们的活动仍然可以被监视和控制。 在黑客渗透到系统之后，防火墙和入侵检测系统对此都已经无能为力了，相反地，在操作 系统层面可以对所有的服务请求进行监视，从而可以拥有多次干预的机会。 4 检测准确。系统调用的接口都是已经定义好的，为了服务请求的成功执行，用户 必须提供清晰而准确的参数，因此当进行系统调用时，可以从上下文中得到所有相关信息， 从而可以精确检测到攻击企图。 5 自我防护。操作系统是黑客的首要攻击目标，当黑客获取操作系统特权后，就可 以绕过访问控制和审查认证机制，他实际上已经控制了机器。因此，多数黑客专注于通过 攻击操作系统本身来获取操作系统特权。 认识到在操作系统层面上阻止黑客攻击是很重要的，在这里可以采取多种方式来应对 应用层安全。许多应用程序存在的漏洞可以让攻击者获取操作系统特权，但是，为了得到 这些特权或者对操作系统资源进行破坏，应用程序必须执行系统调用，这就使得操作系统 层面的解决方案变得极其有效。 2 3h a j p s 系统设计原则和设计目标 为了监视并截获内核系统调用，从而阻止攻击并对攻击进行记录，h a j p s 系统必须与 操作系统内核紧密的捆绑在一起，h a i p s 系统必须首先满足以下三个基本的设计原则【l s j ： 1 h a i p s 系统必须非常可靠，否则可能危及操作系统的安全。 2 h a i p s 系统对操作系统性能的影响微乎其微，通常不能高于5 ，否则将严重影响 操作系统的整体性能。 3 h a i p s 系统不能阻止合法或者有效流量。 任何不能满足以上这些最低要求的h a i p s 系统都不能安装在被保护的主机服务器上， 不论它对攻击的阻止是多么的有效。其次还有以下设计原则l l w ： 1 实用性原则。h a i p s 系统要充分考虑实际的需求，并提供方便的操作界面进行相 关设置。另外h a i p s 系统应在用户可接受的响应时间内，尽量具有较高的执行效率，在提 高系统功能的同时，保证性能不明显下降。 2 兼容性原则。h a i p s 系统不能影响操作系统和应用程序的正常运行。另外，应使 第9 页 信息丁= 程大学硕士学位论文 h a i p s 系统对操作系统的依赖性尽可能的小，使之能运行在不同的w i n d o w s 版本上。 3 灵活性原则。允许根据应用需求灵活地使用或禁止某种访问控制策略的实施。 根据h a i p s 系统的设计原则，并通过对同类产品以及当前安全市场需求的深入研究， h a i p s 系统应该拥有下面的功能： 1 基于用户和组设置安全规则 h a i p s 系统应该允许安全管理员( s 0 ，s e c i l r i t yo 伍c e r ) 基于用户和组来设置安全规 则。例如，可限制操作系统系统管理员组以及属于该组成员的用户的权限。 2 限制操作系统系统管理员的权限 在w m d o w s 操作系统中，最为严重的问题之一就是存在系统管理员。系统管理员是具 有特殊权限的用户，可终止操作系统的服务、删除关键文件、访问机密信息并能消除审计 踪迹。系统管理员帐户是黑客们最常攻击的目标，因为他们知道一旦取得该帐户的权限， 就可以做任何想做的事情，因此，必须对系统管理员的访问权限予以限制。根据最小授权 原则，需要有效地对w i l l d o w s 系统管理员的权限进行削弱和再分配。原系统管理员的权限 分别由系统管理员、安全管理员和安全审计员共享，根据各自被授予的权限行使职责。这 样，任何用户即使是系统管理员在访问资源时，必须经过安全管理员的授权，操作才能顺 希j 进行，防止因获取系统管理员权限而引发的攻击。 3 自我保护 自我保护机制可以防止入侵者和非法用户恶意停止h a i p s 系统。 4 增强的文件保护 h a m s 系统通过对访问权限的粒度进行细化，保护操作系统正常运行所需的文件不被 修改，保护用户的重要文件不被非法访闯。 5 增强的注册表保护 h a i p s 系统通过保护注册表，确保未经授权的用户不能更改操作系统参数，经授权的 用户可按需要更新注册表。 6 缓冲区溢出保护 缓冲区溢出漏洞是一个很严重的安全问题，通过缓冲区溢出进行的攻击占所有操作系 统攻击总数的8 0 以上。h a i p s 系统应该防止黑客使用缓冲区溢出方法攻击操作系统和应 用程序。 7 进程隐藏和终止保护 系统中的一些重要的进程，如数据库守护进程、w 曲服务器和应用程序进程等应该一 直运行，不应该被终止。h a j p s 系统应该采用进程隐藏和进程终止技术来保护这些进程不 被恶意枚举和终止。 8 控制内核模块( 驱动程序) 的加载和卸载 内核模块加卸载机制允许操作系统运行时向内核中动态增加一段程序或者卸载某个 内核模块。通过动态地向内核中插入这样一段代码，可以扩充操作系统内核的功能，但如 第l o 页 堕星三矍盔兰堡主堂堡笙皇 果插入的是恶意代码，就会造成严重的安全问题。通过控制内核模块的加卸载可以有效地 防止恶意代码的加载以及恶意卸载受保护的内核模块的行为。 9 控制应用程序的