主机安全等保三级要求及其实现.docVIP

主机安全等保三级要求及其实现 ● 国家保密局文件（国家保密标准BMB17-2006）: 系统内重要服务器和安全保密设备应尽可能采用安全操作系统或对操作系统采取安全加固措施。 ● 中华人民共和国国家标准《信息安全技术信息系统安全等级保护基本要求》（信息安全技术操作系统安全技术要求）： 第三级主机安全、系统安全要实现：信息主、客体安全标记；强制访问控制；管理分权控制；数据完整性、保密性；安全审计。 信息安全体系相当于整个信息系统的免疫系统，免疫系统不健全，信息系统不仅是低效的，甚至是危险的。 国家计算机信息系统安全保护条例要求，信息安全等级保护要实现五个安全层面（即物理层、网络层、系统层、应用层和管理层）的整体防护。其中系统层面所要求的安全操作系统是全部安全策略中的重要一环，也是国内外安全专家提倡的建立可信计算环境的核心。操作系统的安全是网络系统信息安全的基础。所有的信息化应用和安全措施都依赖操作系统提供底层支持。操作系统的漏洞或配置不当有可能导致整个安全体系的崩溃。各种操作系统之上的应用要想获得运行的高可靠性和信息的完整性、机密性、可用性和可控性，必须依赖于操作系统提供的系统软件基础，任何脱离操作系统的应用软件的安全性都是不可能的。目前，普遍采用的国际主流C级操作系统其安全性远远不够，访问控制粒度粗、超级用户的存在以及不断被发现的安全漏洞，是操作系统存在的几个致命性问题。中共中央办公厅、国务院办公厅近期印发的《2006-2020年国家信息化发展战略》中明确指出: “我国信息技术领域存在着自主创新技术不足，核心技术和关键设备主要依赖进口。”长期以来，我国广泛应用的主流操作系统都是产品。当今的信息系统产生安全问题的基本原因是操作系统的结构和机制不安全。这样就导致：资源配置可以被篡改恶意程序被植入执行利用缓冲区（栈）溢出攻击非法接管系统管理员权限等安全事故。病毒在世界范围内传播泛滥，黑客利用各种漏洞攻击入侵，非授权者任意窃取信息资源，使得安全防护形成了防火墙、防病毒入侵检测老样的被动局面。没有安全操作系统的保护，就不可能有网络系统的安全，也不可能有应用软件信息处理的安全性。因此，安全操作系统是整个信息系统安全的基础。信息安全的根本解决，需要建立安全操作系统构建动态、完整的安全体系。操作系统内核加固技术对操作系统内核实施保护，对网络中的不安全因素实现“有效控制”，从而构造出一个具有“安全内核”的操作系统，使“加固”后的操作系统的安全等级能 1