WindowsXP系统加固和热修复方案.docxVIP

Windows XP系统加固与热修复方案2014年2月背景从去年开始微软曾多次公开宣布在2014年4月8日之后，将停止对Windows XP系统、Office 2003系统的技术支持与安全漏洞修复。根据国内著名咨询机构CNZZ的调查统计最新统计的结果，截止2013年10月，国内仍有高达59%的用户使用Windows XP系统。根据顾问 《中国企业杀毒软件产品市场调研报告》显示，Windows XP系统在中国企业市场份保有量高达43%，甚至在部分政府单位和大型企业中Windows XP系统应用比例超过了60%。另外，很多机关和企业的信息系统应用是在Windows XP系统的环境下进行开发，这为系统升级迁移带了诸多问题。而通过我们对各大企事业单位的调研，由Windows XP系统向Windows更高版本系统迁移将持续1-5年。受此影响，在我国政府、军队、企业中Windows XP系统迁移至更高版本的系统之前，这些系统都将暴漏在各种网络威胁之中，机密信息、业务的正常运行都将受到严重威胁，一旦这些威胁发生，将产生难以估量的灾难性后果。为此，我们国家必须在2014年4月8日微软停止服务之前拿出切实可行的技术方案并部署到位，保障我国境内运行的Windows XP系统的安全性不受此次事件的影响。需求分析全面防护微软停止对Windows XP持续服务之后，将爆漏出大量的安全漏洞，由此带来的威胁需要在各个层面和可能性上加以防护，即全面防护，具体包括：系统加固：能够在攻击/防护原理上解决漏洞利用的问题，通过一套加固防护机制，解决各类漏洞（而非某一具体漏洞）带来的潜在安全风险漏洞修复：对于短期内难以在原理上、机制上解决的安全问题，通过打补丁的方式解决具体某一安全漏洞带来的安全威胁操作隔离：对于经常出现安全问题的应用，需要将其操作通过某种技术手段与Windows XP系统进行逻辑隔离，保证在该应用出现安全问题的情况下，对该应用的使用与操作不会对Windows XP系统及系统内的重要数据产生威胁制度策略：对于特别重要的组织（如：军队、金融、能源、政府），需要提供一套避免攻击程序/代码在Windows XP上运行的实时监控机制与策略，保证攻击程序/代码在Windows XP系统上无法运行、或运行起来之后每一步操作都受到严密监控快速部署由于距2014年4月8日时间已经非常紧迫，因此我们需要提供简单、快速部署的能力，解决我国企业、政府、军队、个人用户众多Windows XP能够在这一天到来之前快速完成部署，形成防护能力稳定兼容考虑到目前各大企业、政府、金融、能源、军队单位已有应用系统非常复杂，其应用系统的稳定运行对于业务来说至关重要，因此需要方案所采用的技术必须能够与这些应用系统完全兼容，不存在稳定性的问题持续运行对于各大企业、政府、金融、能源、军队网络中所运行的各种业务系统来说，系统运行的持续性是一个刚性要求，频繁重启业务系统无法接受，故方案采用的技术应该尽量避免重启，或者最多只允许重启一次设备，以保障业务系统运行的持续性方案设计设计原则：为了彻底解决微软停止Windows XP系统服务带来的安全威胁，根除Windows XP漏洞因无法修复带来的危害，同时又全面满足各大企业、金融、能源、军队中已经部署的大量应用和对应用运行稳定型、持续性的要求，我们在设计技术方案的时候，将始终坚持、贯彻如下的设计原则以修复操作系统自身设计机制不足带来的安全缺陷为主（加固），力求从根本上解决操作系统自身设计缺陷导致的安全问题，以从理论上逐类解决安全问题，而不是Case by case地逐个封堵、修补安全漏洞为第一目标例如：在本方中，我们采用类似于stackguard的技术思路禁止在操作系统栈上禁止可执行代码来解决缓冲区溢出攻击的shellcode执行，这会解决一大类漏洞利用的问题（包括已知漏洞和未知漏洞），而非只针对某一具体的漏洞利用才有效以修复操作系统代码逻辑安全漏洞的热补丁为辅（修补），目前不能排除某些漏洞的利用方法超出了我们现有已掌握的攻击手段范围，或者某个操作系统设计机制上新的缺陷被发现并利用，在这种情况下，我们通过上面提到的操作系统加固（即修复操作系统设计机制缺陷）的手段就会失效，而对加固系统的升级相对来说周期会比较长，在这段时间内，我们可以通过针对具体漏洞进行修复的方式来暂时解决安全问题，待到加固系统升级包稳定之后，再进行加固升级，从根本上解决问题，因此，我们将修复操作系统逻辑安全漏洞的热补丁作为整体解决方案的辅助技术手段以隔离安全问题频出应用软件的执行为（隔离）补充，通过我们以往长时间的研究发现，大量的安全漏洞主要集中在少数关键的系统应用之上，如：PDF阅读器、Office软件、IE浏览器等，因此，我们在设计整体方案的一个重要原则就是，通过技术手段（比如Sand