Windows XP系統(tǒng)安全防備整體解決方案

千里之行，始于足下。第2頁/共2頁精品文檔推薦WindowsXP系統(tǒng)安全防備整體解決方案WindowsXP系統(tǒng)安全防備整體解決方案

20XX年2月

背景

從去年開始微軟曾多次公開宣布在20XX年4月8日之后，將停止對WindowsXP系統(tǒng)、Office2003系統(tǒng)的技術(shù)支持與安全漏洞修復(fù)。

依照國內(nèi)聞名問機構(gòu)CNZZ的調(diào)查統(tǒng)計最新統(tǒng)計的結(jié)果，截止20XX年10月，國內(nèi)仍有高達(dá)59%的用戶使用WindowsXP系統(tǒng)。依照顧咨詢《中國企業(yè)殺毒軟件產(chǎn)品市場調(diào)研報告》顯示，WindowsXP系統(tǒng)在中國企業(yè)市場份保有量高達(dá)43%，甚至在部分政府單位和大型企業(yè)中WindowsXP系統(tǒng)應(yīng)用比例超過了60%。另外，非常多機關(guān)和企業(yè)的信息系統(tǒng)應(yīng)用是在WindowsXP系統(tǒng)的環(huán)境下舉行開辟，這為系統(tǒng)升級遷移帶了諸多咨詢題。而經(jīng)過我們對各大企事業(yè)單位的調(diào)研，由WindowsXP系統(tǒng)向Windows更高版本系統(tǒng)遷移將持續(xù)1-5年。

受此妨礙，在我國政府、軍隊、企業(yè)中WindowsXP系統(tǒng)遷移至更高版本的系統(tǒng)之前，這些系統(tǒng)都將暴漏在各種網(wǎng)絡(luò)威脅之中，機密信息、業(yè)務(wù)的正常運行都將受到嚴(yán)峻威脅，一旦這些威脅發(fā)生，將產(chǎn)生難以估量的災(zāi)害性后果。

為此，我們國家必須在20XX年4月8日微軟停止服務(wù)之前拿出切實可行的技術(shù)方案并部署到位，保障我國境內(nèi)運行的WindowsXP系統(tǒng)的安全性別受此次事件的妨礙。

需求分析

全面防護

微軟停止對WindowsXP持續(xù)服務(wù)之后，將爆漏出大量的安全漏洞，由此帶來的威脅需要在各個層面和也許性上加以防護，即全面防護，具體包括：?系統(tǒng)加固：可以在攻擊/防護原理上解決漏洞利用的咨詢題，經(jīng)過一套加固防護機制，解決各類漏洞（而非某一個體漏洞）帶來的潛在安全風(fēng)險?漏洞修復(fù)：關(guān)于短期內(nèi)難以在原理上、機制上解決的安全咨詢題，經(jīng)過打

補丁的方式解決具體某一安全漏洞帶來的安全威脅

?操作隔離：關(guān)于經(jīng)常浮現(xiàn)安全咨詢題的應(yīng)用，需要將其操作經(jīng)過某種技術(shù)手段與WindowsXP系統(tǒng)舉行邏輯隔離，保證在該應(yīng)用浮現(xiàn)安全咨詢題的

事情下，對該應(yīng)用的使用與操作不可能對WindowsXP系統(tǒng)及系統(tǒng)內(nèi)的重

要數(shù)據(jù)產(chǎn)生威脅

?制度策略：關(guān)于特殊重要的組織（如：軍隊、金融、能源、政府），需要提供一套幸免攻擊程序/代碼在WindowsXP上運行的實時監(jiān)控機制與策

略，保證攻擊程序/代碼在WindowsXP系統(tǒng)上無法運行、或運行起來之

后每一步操作都受到嚴(yán)密監(jiān)控

快速部署

由于距20XX年4月8日時刻差不多很緊迫，所以我們需要提供簡單、快速部署的能力，解決我國企業(yè)、政府、軍隊、個人用戶眾多WindowsXP可以在這一天到來之前快速完成部署，形成防護能力

穩(wěn)定兼容

思考到目前各大企業(yè)、政府、金融、能源、軍隊單位已有應(yīng)用系統(tǒng)很復(fù)雜，其應(yīng)用系統(tǒng)的穩(wěn)定運行關(guān)于業(yè)務(wù)來講至關(guān)重要，所以需要方案所采納的技術(shù)必須可以與這些應(yīng)用系統(tǒng)徹底兼容，別存在穩(wěn)定性的咨詢題

持續(xù)運行

關(guān)于各大企業(yè)、政府、金融、能源、軍隊網(wǎng)絡(luò)中所運行的各種業(yè)務(wù)系統(tǒng)來講，系統(tǒng)運行的持續(xù)性是一具剛性要求，頻繁重啟業(yè)務(wù)系統(tǒng)無法同意，故方案采納的技術(shù)應(yīng)該盡可能幸免重啟，或者最多只允許重啟一次設(shè)備，以保障業(yè)務(wù)系統(tǒng)運行的持續(xù)性

方案設(shè)計

設(shè)計原則：為了完全解決微軟停止WindowsXP系統(tǒng)服務(wù)帶來的安全威脅，根除WindowsXP漏洞因無法修復(fù)帶來的危害，并且又全面滿腳各大企業(yè)、金融、能源、軍隊中差不多部署的大量應(yīng)用和對應(yīng)用運行穩(wěn)定型、持續(xù)性的要求，我們在設(shè)

計技術(shù)方案的時候，將始終堅持、貫徹如下的設(shè)計原則

1、以修復(fù)操作系統(tǒng)自身設(shè)計機制別腳帶來的安全缺陷為主（加固），力求從根

本上解決操作系統(tǒng)自身設(shè)計缺陷導(dǎo)致的安全咨詢題，以從理論上逐類解決安全咨詢題，而別是Casebycase地逐個封堵、修補安全漏洞為第一目標(biāo)

例如：在本方中，我們采納類似于stackguard的技術(shù)思路禁止在操作系統(tǒng)棧上禁止可執(zhí)行代碼來解決緩沖區(qū)溢出攻擊的shellcode執(zhí)行，這會解決一大類漏洞利用的咨詢題（包括已知漏洞和未知漏洞），而非只針對某一個體的漏洞利用才有效

2、以修復(fù)操作系統(tǒng)代碼邏輯安全漏洞的熱補丁為輔（修補），目前別能排除某

些漏洞的利用辦法超出了我們現(xiàn)有已掌握的攻擊手段范圍，或者某個操作系統(tǒng)設(shè)計機制上新的缺陷被發(fā)覺并利用，在這種事情下，我們經(jīng)過上面提到的操作系統(tǒng)加固（即修復(fù)操作系統(tǒng)設(shè)計機制缺陷）的手段就會失效，而對加固系統(tǒng)的升級相對來講周期會比較長，在這段時刻內(nèi)，我們能夠經(jīng)過針對具體漏洞舉行修復(fù)的方式來臨時解決安全咨詢題，待到加固系統(tǒng)升級包穩(wěn)定之后，再舉行加固升級，從全然上解決咨詢題，所以，我們將修復(fù)操作系統(tǒng)邏輯安全漏洞的熱補丁作為整體解決方案的輔助技術(shù)手段

3、以隔離安全咨詢題頻出應(yīng)用軟件的執(zhí)行為（隔離）補充，經(jīng)過我們以往長時刻

的研究發(fā)覺，大量的安全漏洞要緊集中在少數(shù)關(guān)鍵的系統(tǒng)應(yīng)用之上，如：PDF閱讀器、Office軟件、IE掃瞄器等，所以，我們在設(shè)計整體方案的一具重要原則算是，經(jīng)過技術(shù)手段（比如Sandbox）來隔離驚險應(yīng)用（即安全漏洞頻發(fā)的應(yīng)用）的執(zhí)行過程，幸免這些驚險應(yīng)用因為遭受到攻擊而破壞宿主WindowsXP操作系統(tǒng)和對敏感數(shù)據(jù)的拜訪

4、以非白即黑高強度的安全管控策略自動化（制度）為保障，在大多數(shù)對安全

要求很高的環(huán)境中（如：兵器創(chuàng)造業(yè)、航空航天研發(fā)機構(gòu)等），要求做到萬無一失，針對這種事情，我們在方案中設(shè)計了“非白即黑”的文件白名單治理原則，同時將此項治理的執(zhí)行自動化，滿腳高度安全可控的強安全需求

整體設(shè)計：依照設(shè)計原則的要求，我們采納了多層防護、標(biāo)本兼治、技術(shù)與安全治理策略相結(jié)合的整體設(shè)計思路，在WindowsXP系統(tǒng)之上由內(nèi)到外采納了四層防護手段，包含了加固、修復(fù)、隔離、安全策略自動化等多項舉措：

系統(tǒng)加固（核心手段）

熱補丁修復(fù)

驚險應(yīng)用隔離

“非白即黑”安全策略

圖1.整體方案示意圖

系統(tǒng)加固方案

解決的咨詢題：經(jīng)過系統(tǒng)加固解決WindowsXP系統(tǒng)自身設(shè)計機制上的缺陷帶來的安全隱患，切斷這些缺陷導(dǎo)致的漏洞利用通路。

在這個地方，我們針對WindowsXP系統(tǒng)之上已知的12種可帶來安全隱患的設(shè)計機制舉行了加固性修復(fù)，要緊包括：

WindowsXP缺乏對執(zhí)行代碼內(nèi)存區(qū)域舉行限制的缺陷

WindowsXP對系統(tǒng)調(diào)用、關(guān)鍵函數(shù)的內(nèi)存地址分配固定化的缺陷

WindowsXP系統(tǒng)開啟16位VDM子系統(tǒng)的缺陷

WindowsXP系統(tǒng)遠(yuǎn)程加載DLL執(zhí)行代碼的缺陷

WindowsXP系統(tǒng)經(jīng)過系統(tǒng)調(diào)用進(jìn)入操作系統(tǒng)內(nèi)核的缺陷

WindowsXP系統(tǒng)系統(tǒng)調(diào)用缺乏調(diào)用者、模擬執(zhí)行者身份檢查的缺陷

WindowsXP系統(tǒng)DEP（數(shù)據(jù)執(zhí)行愛護）機制默認(rèn)關(guān)閉的缺陷

WindowsXP系統(tǒng)DEP、ALSR防護機制被繞過的缺陷

WindowsXP系統(tǒng)EAF導(dǎo)出表缺乏過濾檢查的缺陷

WindowsXP系統(tǒng)SEHOP安全機制被繞過的缺陷

WindowsXP系統(tǒng)對零內(nèi)存頁缺乏防護的缺陷

WindowsXP對Cookie缺乏安全防護的缺陷

經(jīng)過對上述12種WindowsXP系統(tǒng)設(shè)計機制上缺陷的安全加固，差不多能夠有效解決目前已知所有經(jīng)過系統(tǒng)漏洞、應(yīng)用漏洞對WindowsXP的攻擊，從全然上解決各類漏洞帶來的安全威脅。系統(tǒng)加固方案是針對微軟WindowsXP停止服務(wù)后帶來漏洞無法修復(fù)等安全威脅的最全然的解決方案，WindowsXP系統(tǒng)的安全咨詢題從本質(zhì)上來講是操作系統(tǒng)設(shè)計的過程中，缺乏對安全充分思考導(dǎo)致的咨詢題，導(dǎo)致黑客能夠經(jīng)過各種漏洞在WindowsXP系統(tǒng)中大行其道，屬于操作系統(tǒng)設(shè)計機制上的咨詢題，所以惟獨從全然上解決這些WindowsXP系統(tǒng)設(shè)計機制上的缺陷，才干完全解決咨詢題，目前微軟差不多清晰地認(rèn)識到了這些咨詢題的存在，并逐漸在高版本操作系統(tǒng)上（如：Windows7、Windows8）開始嘗試加固，但別幸的是，由于WindowsXP系統(tǒng)差不多公布超過10年，所以當(dāng)時微軟還沒來得及發(fā)覺、思考這些咨詢題，因此這些安全加固的成果并沒有體如今WindowsXP系統(tǒng)之中，本方案的最大優(yōu)勢就在于在WindowsXP系統(tǒng)之上將這些安全機制補齊，使WindowsXP系統(tǒng)即使別升級到高版本W(wǎng)indows操作系統(tǒng)的事情下，也能擁有健全的安全防護機制

熱補丁修復(fù)方案

解決的咨詢題：經(jīng)過修改替換內(nèi)存中存在安全漏洞的可執(zhí)行代碼，清除存在漏洞的代碼，在別修改二進(jìn)制代碼文件的事情下，實現(xiàn)對漏洞的熱修復(fù)

熱補丁方案作為輔助方案，是經(jīng)過替換掉差不多加載到內(nèi)存中存在安全漏洞邏輯的代碼完成對系統(tǒng)漏洞、應(yīng)用漏洞的修復(fù)，其設(shè)計邏輯如下示意圖：

圖2.熱補丁修復(fù)過程示意圖

熱補丁修復(fù)是在系統(tǒng)內(nèi)存中直截了當(dāng)對存在安全漏洞的可執(zhí)行代碼舉行精確的“外科手術(shù)”，替換過程與系統(tǒng)運行并且舉行，涉及到操作同步、代碼空間適配等多項復(fù)雜工作，所以精確定位存在安全漏洞代碼的位置，并舉行小心替換是熱補丁修復(fù)成功的關(guān)鍵，假如替換失敗，將直截了當(dāng)導(dǎo)致系統(tǒng)崩潰或應(yīng)用崩潰，所以熱補丁修復(fù)技術(shù)需要有豐富的包括WindowsXP在內(nèi)的微軟操作系統(tǒng)底層開辟經(jīng)驗積存，并且也需要長時刻Windows系統(tǒng)熱補丁修復(fù)的豐富實踐，在提供本辦法之前，我們差不多19次先于微軟正式補丁公布向全國超過4億網(wǎng)民提供了微軟漏洞的熱補丁，通過長時刻的積存與實踐，我們差不多徹底有經(jīng)驗、有能力在WindowsXP上接著向系統(tǒng)運行穩(wěn)定性要求極高的各大政府、金融、能源、企業(yè)、軍隊提供可修復(fù)微軟WindowsXP漏洞的熱補丁

驚險應(yīng)用隔離方案

解決的咨詢題：在假想系統(tǒng)加固與熱補丁均已失效的事情下，解決驚險應(yīng)用（如：PDF閱讀器、Office軟件、IE掃瞄器等）被漏洞利用攻擊時候?qū)indowsXP系統(tǒng)與系統(tǒng)敏感數(shù)據(jù)造成的威脅

驚險應(yīng)用隔離方案采納虛擬隔離（或稱為邏輯隔離）的思想，利用沙箱（Sandbox）技術(shù)將驚險應(yīng)用置于沙箱中隔離運行，實現(xiàn)這些驚險應(yīng)用關(guān)于系統(tǒng)調(diào)用、注冊表拜訪、文件拜訪、網(wǎng)絡(luò)IO等涉及到安全咨詢題的敏感操作的虛擬隔離，以此保障在這些驚險應(yīng)用遭受到漏洞利用攻擊的事情下，也不可能對其所宿主的Windows

XP系統(tǒng)及其系統(tǒng)資源、數(shù)據(jù)資源造成安全威脅。驚險應(yīng)用隔離的防護邏輯如下圖所示：

圖3.驚險應(yīng)用隔離示意圖

“非白即黑”策略方案（可選）

解決的咨詢題：在假想系統(tǒng)加固方案、熱補丁修復(fù)方案、驚險應(yīng)用隔離方案均失效的事情下，能夠經(jīng)過非白即黑的策略保證系統(tǒng)免受各種二進(jìn)制惡意代碼的攻擊“非白即黑”的安全策略采納PE文件白名單的機制，依托于高純度的PE文件白名單庫，僅允許白名單庫中的文件在系統(tǒng)中運行（文件確認(rèn)采納MD5的方式），而所有未在白名單庫中的PE文件均被禁止在WindowsXP系統(tǒng)上加載、運行，這就能在理論上保證所有經(jīng)過WindowsXP系統(tǒng)漏洞滲透進(jìn)來的惡意代碼均無法在WindowsXP系統(tǒng)上實現(xiàn)攻擊，其工作過程如下圖所示：

圖4.“非白即黑”策略示意圖

“非白即黑”的白名單策略是美國軍方、高級不政府所采納的安全防護方案，因有效防備了“火焰病毒”而受到美國政府、軍隊的高度重視并從此廣泛部署，正因這樣，為美國政府、軍方提供“非白即黑”白名單策略的公司Bit9的產(chǎn)品對華禁售，所以該策略是一種差不多被美國證明了行之有效的高級安全防護策略，但實施該策略需要很高的門檻，即要對世界上浮現(xiàn)的要緊應(yīng)用程序可以做到快速、全面的獵取，如WindowsXP各個版本上的所有PE文件，要緊應(yīng)用系統(tǒng)（如：數(shù)據(jù)庫、辦公軟件等）各個版本的所有文件，這是一項龐大的工程，別但要求有對這些文件的快速、全面獵取能力，還需要有高純度的鑒不能力，在制定本方案之前，我們差不多建立了國內(nèi)最大、最快的PE文件獵取平臺，并積存了國內(nèi)最大、最全、純凈度最高的PE文件白名單庫，如今，我們的PE文件白名單庫的規(guī)模差不多接近1億的白名單規(guī)模，能夠保障本方案的降地

穩(wěn)定性方案

由于大型政府、軍隊、能源、金融、企業(yè)對線上業(yè)務(wù)的高可靠性要求，無比保證系統(tǒng)再實施本方案之后可以持續(xù)、穩(wěn)定運行。所以在提出WindowsXP全面防護

方案的并且，需要高度關(guān)注本方案在實施、運行過程中的穩(wěn)定性，在本方案的設(shè)計中，我們經(jīng)過線下測試、線上回滾的方式，保障將浮現(xiàn)咨詢題的概率落至最低，在一旦發(fā)生故障的事情下能快速回滾到本方案實施之前的狀態(tài)。

充分測試

我們的方案在公布之前