安浪公司及產(chǎn)品介紹(合作伙伴版)課件

構(gòu)建安全內(nèi)核保服務(wù)器安全整體概述THEFIRSTPARTOFTHEOVERALLOVERVIEW,PLEASESUMMARIZETHECONTENT第一部分公司介紹市場機會安全挑戰(zhàn)產(chǎn)品介紹解決方案構(gòu)建安全內(nèi)核保服務(wù)器安全目錄北京安浪信息科技有限公司SECUVECHINACo.,LTD.北京安浪信息科技公司，由SECUVE控股，主要向企業(yè)和機構(gòu)客戶提供服務(wù)器內(nèi)核安全產(chǎn)品和服務(wù)。SECUVE公司，是全球領(lǐng)先的服務(wù)器安全廠商。公司名稱由來SECUVE

=

SECURITY+WAVE安浪

=安全＋浪潮安浪創(chuàng)造信息安全的新浪潮SECUVE安浪公司介紹

SECUVE

公司成立(2000.3)

安全內(nèi)核：獲得新技術(shù)(NewTechnology)認(rèn)證(2001.3)

與HP、SUN、IBM

建立合作伙伴關(guān)系(2001)

為NCA(國際計算組織)、國家中央公安部互聯(lián)網(wǎng)(韓國)等單位建立網(wǎng)絡(luò)安全系統(tǒng)(2001)北京安浪信息科技有限公司成立(

2001.10)北京安浪信息科技有限公司獲得“新技術(shù)企業(yè)認(rèn)定證書”(2001.11)

北京安浪信息科技有限公司與HP/SUN

中國公司建立合作伙伴關(guān)系(2002.2)

SECUVETOS

獲得中國公安部的計算機信息系統(tǒng)安全專用產(chǎn)品銷售許可證(2002.4)

SECUVETOS

榮獲美國

VeriTestS/WQualityCertification

國際軟件質(zhì)量認(rèn)證(2002.8）

“SecureOSForum&Conference”成功舉辦兩屆(2002.9

漢城和2003.10北京)

SECUVEIDS

獲得中國公安部的計算機信息系統(tǒng)安全專用產(chǎn)品銷售許可證(2003.7)

NEC公司成為SECUVE系列產(chǎn)品在日本的總代理(2003.8)

SECUVETOS通過CC國際標(biāo)準(zhǔn)認(rèn)證(2004.6)和惠普公司合作，保護(hù)工行4000臺多種操作系統(tǒng)服務(wù)器(2006.12)發(fā)展歷程DigitalSignatureCertificateBasedSecurityKernelMethodforFileSystemProtection(PatentApplicationNo.:10-2000-0019727)InternationalPatent

(InternationalPatentApplicationNo.:PCT/KR00/00875)Products:SecuveTOSWG&SecuveTOSFGDigitalSignatureCertificateBasedSecurityKernelMethodforMulti-LevelSecurity(PatentApplicationNo.:10-2000-0019728)inKorea

DigitalSignatureCertificateBasedSecurityKernelMethodforRole-BasedAccessControl(PatentApplicationNo.:10-2000-0019729)inKorea

TheMethodofReal-TimeIntrusionDetectionandAutomaticHackingPrevention(PatentApplicationNo.:10-2000-0055323)inKorea

TheMethodofIdentifyingSecurityVulnerabilitiesbasedonHybridTechnology新技術(shù)企業(yè)信息協(xié)會會員HPISVSUNISV公安部銷售許可證榮譽與技術(shù)專利產(chǎn)品評價

2005年世界著名專業(yè)信息安全媒體測試評價“優(yōu)秀”美國VeriTestS/WQualityCertification

國際軟件質(zhì)量認(rèn)證獲得新技術(shù)(NewTechnology)認(rèn)證獲得TTA軟件技術(shù)品質(zhì)認(rèn)證通過CC國際標(biāo)準(zhǔn)認(rèn)證獲得產(chǎn)業(yè)技術(shù)大獎(IR52)SECUVE公司的SecuveTOS主機保護(hù)產(chǎn)品通過國際'CC標(biāo)準(zhǔn)'認(rèn)證構(gòu)建安全內(nèi)核保服務(wù)器安全目錄公司介紹市場機會安全挑戰(zhàn)產(chǎn)品介紹解決方案DiskArray數(shù)據(jù)庫安全現(xiàn)狀：邊界與網(wǎng)絡(luò)視角WWW服務(wù)器前臺服務(wù)器網(wǎng)管PCPCPCPCPCLAN應(yīng)用服務(wù)器VPN

PSTN/ADSL主機：UNIX/LinuxDB數(shù)據(jù)庫App中間件WEBServer外部用戶業(yè)務(wù)應(yīng)用系統(tǒng)內(nèi)部用戶UNIX主機管理員數(shù)據(jù)庫管理員應(yīng)用系統(tǒng)管理員業(yè)務(wù)系統(tǒng)管理基線業(yè)務(wù)系統(tǒng)應(yīng)用基線惡意攻擊

基于漏洞的攻擊基于應(yīng)用的攻擊誤用設(shè)備或系統(tǒng)故障惡意攻擊誤用安全現(xiàn)狀：應(yīng)用與數(shù)據(jù)視角企業(yè)計算的變化互聯(lián)網(wǎng)安全的復(fù)雜性要求采用MLSA(Ｍulti-layeredSecurityApproach)1970198019902000時間70年代前后80年代90年代中期以后計算工具大型機/小型機、終端PC機互聯(lián)網(wǎng)主要威脅假冒帳戶，文件非法存取病毒…安全措施口令機制，文件權(quán)限，日志文件防病毒…用戶需求發(fā)展與安全市場的機會邊界安全網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全核心外圍1995200020052010IDSServersClientsDB防火墻VPNFirewallUTMAVGatewayHypeCycleforInfoSecurity2005HIPSoverServerHypeCycleforInfoSecurity2006HIPSoverServerServerOS2001年2002年2003年2004年2005年2006年防火墻/VPN63.382.0103.45122.2135.8144.4IDS/IPS17.323.532.7638.246.967.9單位：US$服務(wù)器安全市場規(guī)模推測市場中有超過3萬臺IDS，至少有1萬個用戶有可能在07/08年購買服務(wù)器安全產(chǎn)品。ServerOS2005年2006年Unix61,00085,000Windows233,000298,000單位：臺SECUVETOSIBM-AIXHP–UXSUN–SolarisLinuxWindowsNTWindows2000ServerMarketIBMHPSUNLenovo浪潮中國服務(wù)器安全市場服務(wù)器安全市場規(guī)模推測構(gòu)建安全內(nèi)核保服務(wù)器安全目錄公司介紹市場機會安全挑戰(zhàn)產(chǎn)品介紹解決方案DiskArray數(shù)據(jù)庫網(wǎng)絡(luò)安全現(xiàn)狀WWW服務(wù)器前臺服務(wù)器網(wǎng)管PCPCPCPCPCLAN應(yīng)用服務(wù)器VPN

PSTN/ADSL安裝比例出問題比例殺毒軟件(AV)90％85％防火墻89％90％入侵檢測系統(tǒng)

(IDS)60％40％虛擬專用網(wǎng)

(VPN)40%40%資料來源：President’sCriticalInfrastructureProtectionBoard網(wǎng)絡(luò)安全現(xiàn)狀網(wǎng)絡(luò)安全現(xiàn)狀

對企業(yè)和機構(gòu)用戶而言，最關(guān)鍵的信息資產(chǎn)是：對內(nèi)外部提供服務(wù)的應(yīng)用，以及與之相關(guān)的存儲數(shù)據(jù)。對這些關(guān)鍵資產(chǎn)而言，現(xiàn)有的安全措施未達(dá)到預(yù)期效果，存儲的重要信息、對公司內(nèi)外部提供服務(wù)的關(guān)鍵服務(wù)器并未得到有效保護(hù)

服務(wù)器安全是企業(yè)信息安全保障的核心與基石。用戶面臨的主要威脅來源：IDC2006用戶遇到的安全問題統(tǒng)計來源：IDC2006用戶認(rèn)為安全問題嚴(yán)重度排名24%已知漏洞措施:補丁防護(hù)（系統(tǒng)加固）21%未知漏洞措施防護(hù)（系統(tǒng)加固）漏洞45%配置31%暴力攻擊12%12%其他Source:Z操作系統(tǒng)遭到的主要攻擊服務(wù)器安全保護(hù)現(xiàn)狀系統(tǒng)安全機制不完善，內(nèi)核保護(hù)不夠用戶帳號/文件系統(tǒng)權(quán)限/日志文件自主訪問控制(DAC)與超級用戶系統(tǒng)漏洞多，需要頻繁地打補丁系統(tǒng)資源的使用缺乏細(xì)粒度的控制服務(wù)器安全保護(hù)措施大規(guī)模部署不方便自愈式防護(hù)體系發(fā)現(xiàn)加固強制管理締造全新的防護(hù)體系對服務(wù)器資源細(xì)粒度控制用戶、文件、程序、進(jìn)程、注冊表讀、寫、執(zhí)行、轉(zhuǎn)換、瀏覽、時間、IP防止惡意攻擊(如緩沖區(qū)溢出攻擊等)內(nèi)核加固主機防火墻/IPS支持多種操作系統(tǒng)Windows、Linux、Solaris、HP-UX、IBMAIX

用戶對服務(wù)器安全的期望構(gòu)建安全內(nèi)核保服務(wù)器安全目錄公司介紹市場機會安全挑戰(zhàn)產(chǎn)品介紹解決方案新一代安全內(nèi)核技術(shù)“SECUVETOS”針對不斷變化的黑客入侵技術(shù)、克服網(wǎng)絡(luò)安全的局限性，由系統(tǒng)核心內(nèi)核安全技術(shù)組成的新一代安全技術(shù)

根據(jù)美國國防部信息安全基本方案而設(shè)計的SecureOS產(chǎn)品

SECUVETOS是主動防御信息泄漏及非法入侵者破壞的服務(wù)器安全解決方案SECUVETOS技術(shù)理念UserOSKernelSystemServiceInterfaceOriginalOperationFlowNewOperationFlowAccessControlRuleDBReferenceMonitorDeviceDriverKernelLayerApplicationLayer修改內(nèi)核訪問流程實現(xiàn)原理

對用戶的識別及驗證功能

保護(hù)操作系統(tǒng)及文件系統(tǒng)

保護(hù)系統(tǒng)服務(wù)

內(nèi)核層的審計日志

彌補基本操作系統(tǒng)的漏洞

對多種系統(tǒng)集中統(tǒng)一管理

SecureOS

自身保護(hù)功能

對沒有許可的外部訪問的控制

強制訪問控制(MAC,MandatoryAccessControl)

基于角色的訪問控制(RBAC,RoleBasedAccessControl)

多層安全(MLS,Multi-LevelSecurity)

超級用戶(Super

User)的權(quán)限分離SecureOS(安全操作系統(tǒng))認(rèn)證SynchronizationConcurrencyControlDeadlockManagementCommunicationAccounting服務(wù)訪問控制CPU訪問控制訪問控制服務(wù)控制訪問控制訪問控制訪問控制訪問控制共享數(shù)據(jù)分離程序庫內(nèi)存用戶分離安全操作系統(tǒng)的主要功能防止主頁及系統(tǒng)重要信息和資料被非法破壞、防止數(shù)據(jù)文件被越權(quán)使用和破壞限制系統(tǒng)管理員權(quán)限，并具有

程序自我保護(hù)功能(Self

Security)在突然停電而重新載入時保持以前的安全功能與配置、賦予

執(zhí)行周期性程序所需的權(quán)限通過安全內(nèi)核保護(hù)主頁及系統(tǒng)、防止重要daemon及程序

被非法中止防止非法入侵者重啟系統(tǒng)、為用戶提供審計所需的內(nèi)核級日

志記錄提供可集成管理不同操作系統(tǒng)的管理控制臺模塊、控制

未授權(quán)者訪問系統(tǒng)SECUVETOS核心功能SolarisHP-UXAIXWindows

監(jiān)控

安全管理SecuveTOS?ManagerInternetSecuveTOSAgentSecuveTOS?

DomainLANSecuveTOSAgentSecuveTOSAgentSecuveTOSAgent產(chǎn)品結(jié)構(gòu)圖產(chǎn)品結(jié)構(gòu)圖

通過使用電子簽名的DLKM(DynamicallyLoadableKernelModule)實現(xiàn)對受保護(hù)資源的訪問控制功能使用電子簽名認(rèn)證用戶/權(quán)限內(nèi)核層的電子簽名認(rèn)證方式支持X.509V3

數(shù)字證書RBAC,MAC

訪問控制與電子簽名方式結(jié)合，提供強制訪問控制23個系統(tǒng)調(diào)用訪問控制文件的訪問控制保護(hù)系統(tǒng)的重要文件防止由攻擊造成的主頁篡改進(jìn)程的訪問控制保護(hù)系統(tǒng)的重要守護(hù)進(jìn)程保護(hù)inetd，httpd等重要進(jìn)程網(wǎng)絡(luò)的訪問控制根據(jù)端口，IP

控制根據(jù)端口和IP

進(jìn)行設(shè)置TOS主要功能(訪問控制)防止BOF(緩沖區(qū)溢出)

等最新攻擊在內(nèi)核層檢測攻擊并阻止獲得rootshell強制結(jié)束進(jìn)程及自動阻斷IP

實時報警發(fā)生安全事件時通過管理員控制臺,文字信息，E-Mail

等實時報警豐富的審計日志詳細(xì)的審計日志實時傳送日志系統(tǒng)自身日志審計(syslog)安全危險要素管理管理及控制有潛在危險的setuid

程序TOS主要功能(入侵檢測及響應(yīng))分散部署，集中統(tǒng)一管理用一個管理工具監(jiān)控及管理多個服務(wù)器可對多個服務(wù)器同時進(jìn)行安全管理系統(tǒng)管理服務(wù)用戶帳號及組管理系統(tǒng)狀態(tài)監(jiān)控(網(wǎng)絡(luò)，磁盤，進(jìn)程狀態(tài)等)方便的站點管理搜索安裝在同一IP

網(wǎng)段內(nèi)的目標(biāo)系統(tǒng)管理目標(biāo)系統(tǒng)、組管理及One-Click

多重連接日志報表基于用戶，執(zhí)行文件，訪問IP等信息提供報告可生成圖表報告TOS主要功能(系統(tǒng)管理)測試模式通過測試模式方式減少由安全策略應(yīng)用而發(fā)生的問題通過測試模式的結(jié)果分析應(yīng)用安全策略自身保護(hù)保護(hù)產(chǎn)品目錄及模塊KernelSealingKernelStealth防止非法的ModuleUnload&UninstallDLKM(DynamicLoadableKernelModule)

方式不修改/影響OriginalKernel安裝及卸載時不需RebootingTOS主要功能(其它功能)為什么TOS不會影響服務(wù)器的正常運轉(zhuǎn)和性能?產(chǎn)品設(shè)計原理 采用動態(tài)內(nèi)核模塊技術(shù)(DKLM)，保證與操作系統(tǒng)內(nèi)核的不沖突產(chǎn)品安裝與卸載 采用動態(tài)內(nèi)核模塊加載技術(shù)，產(chǎn)品在安裝和卸載時均不需重啟，并且對原操作系統(tǒng)本身不做修改，保證原操作系統(tǒng)的完整性運行模式 系統(tǒng)配置時提供測試模式(testmode)，在經(jīng)過大量測試保證與服務(wù)器系統(tǒng)及原有應(yīng)用服務(wù)的兼容性，才應(yīng)用正常模式TOS與原操作系統(tǒng)完美兼容，無縫集成

通過電子簽名認(rèn)證用戶及權(quán)限

使用內(nèi)核層的電子簽名認(rèn)證方式

根據(jù)證書區(qū)分權(quán)限管理(RBAC)

系統(tǒng)管理員(root)和安全管理員的嚴(yán)格分離(MAC)23個以上的系統(tǒng)調(diào)用訪問控制(文件，系統(tǒng)，進(jìn)程，Role)TOS詳細(xì)功能(1)

保護(hù)文件系統(tǒng)及服務(wù)

對保護(hù)的重要信息(文件)根據(jù)用戶,組，權(quán)限，角色進(jìn)行訪問控制

通過鼠標(biāo)簡單完成安全設(shè)置

根據(jù)用戶，權(quán)限，任務(wù)等制定多種訪問控制策略

基于強制訪問控制(MAC)的用戶及任務(wù)范圍控制

對重要進(jìn)程及守護(hù)進(jìn)程的反kill

對進(jìn)程根據(jù)用戶，組，角色進(jìn)行控制TOS詳細(xì)功能(2)

防攻擊功能(Anti-hacking)

防止最新攻擊

在內(nèi)核層檢測攻擊及防止獲得

rootshell

強制結(jié)束進(jìn)程及自動阻斷

IP

管理及控制有潛在危險的

setuid屬性程序

檢測及阻斷Bufferoverflow等后門和緩沖區(qū)溢出程序TOS詳細(xì)功能(3)

Network訪問控制功能操作系統(tǒng)內(nèi)核層的防入侵系統(tǒng)

-根據(jù)IP，服務(wù)，端口進(jìn)行訪問控制

-Deny，Allowconfiguration

-個別，范圍,全體等多種控制對有些系統(tǒng)內(nèi)部服務(wù)阻斷從外部的連接TOS詳細(xì)功能(4)

權(quán)限分離和最小權(quán)限原則(SeparationofPrivilege&LeastPrivilege)

嚴(yán)格分開系統(tǒng)管理員和安全管理員的權(quán)限

控制系統(tǒng)管理員的權(quán)限

-控制內(nèi)外人員通過非法獲得系統(tǒng)管理員權(quán)限修改文件系統(tǒng)信息

-可以分開安全設(shè)置，證書生成等安全管理權(quán)限，分擔(dān)安全管理角色TOS詳細(xì)功能(5)

利用ACLEditor

詳細(xì)配置訪問控制策略

生成及管理訪問控制目錄

文件系統(tǒng)，進(jìn)程，網(wǎng)絡(luò)，權(quán)限等訪問控制

全面控制Kernel的

systemcallforkTOS詳細(xì)功能(6)

運行環(huán)境“零影響”

以DLKM(DynamicLoadableKernelModule)

技術(shù)維持系統(tǒng)環(huán)境同時應(yīng)用安全

TOS

安裝或卸載時不需要重啟系統(tǒng)

極少占用

CPU，Memory，不影響服務(wù)器性能

可方便地導(dǎo)入／導(dǎo)出安全策略配置文件TOS詳細(xì)功能(7)

ACL(AccessControlList)

調(diào)優(yōu)：PerformanceLoadbalancing

根據(jù)服務(wù)器選擇訪問控制功能提高服務(wù)器的性能

根據(jù)服務(wù)器的功能應(yīng)用基于管理員安全策略的服務(wù)器安全

實時調(diào)整，改變運行模式，可以應(yīng)用一般模式或測試模式TOS詳細(xì)功能(8)

分散部署，集中統(tǒng)一管理

對多個系統(tǒng)統(tǒng)一管理提高安全管理效率

管理網(wǎng)絡(luò)內(nèi)的多個服務(wù)，對不同操作系統(tǒng)進(jìn)行配置

用一個管理工具監(jiān)控和管理多臺服務(wù)器

對多個服務(wù)器使用相同的安全策略(同樣的環(huán)境)

不需要額外的服務(wù)器，安裝在管理員PC使用

GUI程序TOSLinuxAgentTOSSolarisAgentTOSHPUXAgentTOSAdminManagerTOSTOSTOSTOSTOSTOSTOSHPUXAgentTOSSolarisAgentTOS詳細(xì)功能(9)

Realtimealert及

AuditLogManagement

實時監(jiān)控訪問控制事件(同時監(jiān)控多個服務(wù)器)

詳細(xì)的日志內(nèi)容

利用管理工具實時傳送日志

系統(tǒng)自身日志審計(syslog)

定期的日志備份及空間限制功能TOS詳細(xì)功能(10)

對訪問控制策略審計結(jié)果的Reporting

專用

(與TOS日志信息聯(lián)動)

利用統(tǒng)計資料的報告

-利用統(tǒng)計報表生成基于用戶，程序，訪問

IP等的報告

-利用圖表等生成報告

TOS詳細(xì)功能(11)

以測試模式(Simulation)運行加強安全策略的制定

可以對全部或個別

Resource運行測試模式

通過對錯誤的安全策略的提前分析，保證服務(wù)器的正常運行

TOS提供測試模式功能，幫助管理員制定安全策略，并且可以提前測試制定的安全策略

TOS詳細(xì)功能(12)

SiteManager(WindowsManager)

方便的站點管理-自動搜索同一

IPClass內(nèi)安裝的管理目標(biāo)系統(tǒng)

-管理目標(biāo)系統(tǒng)、組管理及

One-Click多重連接

單擊鼠標(biāo)實現(xiàn)主頁及系統(tǒng)安全功能的應(yīng)用

對要應(yīng)用安全的目標(biāo)文件管理員應(yīng)用

Rule-Setting

-應(yīng)用安全

Rule-Setting，保護(hù)主要進(jìn)程及守護(hù)進(jìn)程

-添加，刪除用戶，安全管理員的密碼更改，訪問

LogView功能等

TOS詳細(xì)功能(13)

服務(wù)器資源管理

(SMS,SystemManagementService)

用戶帳號管理功能(利用GUI的用戶管理)

提供設(shè)置安全的文件,進(jìn)程等信息界面

服務(wù)器的基本狀態(tài)信息(系統(tǒng)狀態(tài),安全設(shè)置狀態(tài)信息)

服務(wù)器的CPU,Memory,Swap狀態(tài)信息

服務(wù)器的網(wǎng)絡(luò)信息

服務(wù)器的

Disk使用信息

服務(wù)器的進(jìn)程/守護(hù)進(jìn)程狀態(tài)

服務(wù)器性能的實時運行狀況信息等TOS詳細(xì)功能(14)

程序自身保護(hù)功能(Self-Security)

程序目錄及執(zhí)行文件的自動保護(hù)(default)

KernelSealing(Kernelmoduleunload

防止)

KernelStelath(Kernel

模塊隱藏)

Moduleunload&uninstall

保護(hù)TOS詳細(xì)功能(15)

其它功能

Manager連接時登錄控制(對安全管理員的2階段訪問控制(登錄/證書))

顯示已連接的agent的狀態(tài)

安全管理員登錄次數(shù)限制及使用時間限制

日志信息的正常日志和高級日志,查看詳細(xì)日志功能TOS詳細(xì)功能(16)構(gòu)建安全內(nèi)核保服務(wù)器安全目錄公司介紹市場機會安全挑戰(zhàn)產(chǎn)品介紹解決方案網(wǎng)站保護(hù)(網(wǎng)頁防篡改)方案網(wǎng)站保護(hù)(網(wǎng)頁防篡改)方案只有經(jīng)過數(shù)字簽名認(rèn)證的管理員才能對系統(tǒng)進(jìn)行規(guī)定的操作SECUVETOS實現(xiàn)了MAC，RBAC等訪問控制機制，超級用戶(Unix中的Root/Windows中的Administrator)的權(quán)限被分解開，即使黑客通過非正常手段獲得了超級用戶權(quán)限，也無法更改受保護(hù)的網(wǎng)頁文件、系統(tǒng)文件和關(guān)鍵進(jìn)程支持主流操作系統(tǒng)(Windows/Linux/Solaris/Unixware/HP-UX/IBMAIX)知識產(chǎn)權(quán)保護(hù)方案只有經(jīng)過數(shù)字簽名認(rèn)證的管理員才能對系統(tǒng)進(jìn)行規(guī)定的操作SECUVETOS實現(xiàn)了MAC，RBAC等訪問控制機制，超級用戶(Unix中的Root/Windows中的Administrator)的權(quán)限被分解開，即使非法入侵者通過非正常手段獲得了超級用戶權(quán)限，也無法損壞系統(tǒng)或竊取關(guān)鍵信息SECUVETOS對系統(tǒng)中文件和目錄的訪問權(quán)限進(jìn)行了更為細(xì)致地劃分，可以真正根據(jù)業(yè)務(wù)系統(tǒng)的需要定義，如把對文件的訪問權(quán)限擴(kuò)展為讀、寫、執(zhí)行、刪除、改模式、改屬主等多種，對目錄的訪問權(quán)限擴(kuò)展為進(jìn)入、搜索和刪除，這就大大增加了控制的細(xì)致靈活程度對訪問服務(wù)器的IP地址和服務(wù)等進(jìn)行限制，保證了網(wǎng)絡(luò)層訪問的安全。此外SECUVETOS系統(tǒng)可提供全面的審計報告支持主流操作系統(tǒng)(Windows/Li