基于网格LINUX文件完整性校验工具原理.docVIP

基于网格LINUX文件完整性校验工具原理 　　摘要：文件完整性校验是一种基于主机的入侵检测技术，可以检测出入侵者对主机文件的非法修改。针对目前文件系统完整性校验中存在的运算复杂性问题，结合网格技术的应用背景，提出一种基于网格的文件系统完整性校验的应用模型，并对其产生的原因、特点、应用平台、工作流程进行了详细的阐述。目的是实现网格虚拟环境下提高文件完整性校验的速度。 　　关键词：文件系统；完整性校验；网格；入侵检测 　　中图分类号：TP309 文献标识码：A 文章编号：1009-3044（2013）01-0041-03 　　文件完整性是LINUX系统安全的一个重要特性。文件完整性校验是对入侵前后的系统状态进行比较，通过状态的变动来判断系统是否受到入侵。入侵发生一定为引起系统文件的改动。在确定了初始系统状态后，文件完整性校验程序定期检查当前系统状态并与初始系统状态进行比对，发现可疑或非法的修改时触发警报。文件完整性校验工具工作原理如下：在数据库中保存待检测系统文件的特征码。每次校验时重新计算每个文件的特征码并与数据库中的相应特征码进行比对，如果相同则说明文件正常；如果不同则说明文件已经被修改，触发警报并向系统管理者报告该文件的异常改动。因为校验工具无法区分被检测文件的变动是由于正常修改引起的还是由于入侵引起的，所以在正常修改了被监测文件后应当立即更新特征码数据库内的数据，从而避免校验时产生误报。 　　文件完整性校验的优点：发现入侵行为很重要的一个方面就是保证数据和系统的完整性。一旦入侵者成功入侵，为逃避检测和方便下次入侵，一般会通过更改系统中的相关文件来隐藏他的活动；同时做一些改动，例如植入后门程序，保证下次能够继续入侵。这两种活动都能够被文件完整性校验系统检测出。同时，文件完整性校验系统又具有相当的灵活性，可以为系统中的所有文件或某些重要文件进行单独配置。 　　文件完整性校验的弱点：文件完整性校验的结论依赖于本地的数据库，而这些数据是可以被入侵者修改的。当入侵者取得管理员权限后篡改文件完整性校验系统，更新数据库，那么文件完整性校验??统就会失效。同时，文件完整性校验不能实时监控， 无法第一时间发现攻击行为并采取防御措施。因为文件完整性校验时需要处理的数据量非常大（如果检测全面文件的话），所有进行一次针对所有文件的文件完整性校验是一件非常耗时的工作。 　　而本文主要解决的问题就是如何提高文件完整性校验的速度。 　　1 关键技术及特点 　　1.1 文件完整性校验 　　用密码学的方法来检验文件的完整性是大多数软件的共同考虑。文件的特征码，也称校验和、数字文摘或数字签名，由文件内容通过Hash函数计算得出。不同的文件几乎不可能得到相同的Hash结果；同时Hash算法是一个单向函数，无法进行逆推。所以通过特征码进行文件完整性校验是一种非常成熟的方法。当文件一被修改，就可检测出来。因此，利用文件的特征码可方便地检测出入侵者对文件的修改。 　　1.2 网格技术的特点及其模型 　　网格是一种高性能计算平台，由分布在Internet 上的各类资源组成。网格将所有资源虚拟为一台超级计算机，在这个虚拟环境下进行资源共享和协同工作，为用户提供一体化信息和计算、存储、访问等应用服务 [1]。组成网格系统的资源是动态变化的，所有资源由网格统一管理。网格能够动态监视和管理网格资源，实现任务的动态迁移，从可利用的资源中选取最佳资源服务。 　　Ian Foster于2001年提出了网格计算协议体系结构，将网格技术的核心定义为标准化的协议与服务，并与互联网协议进行类比（如图1）。该结构主要包括以下五个层次[2]： 　　（1） 构造层（Fabric） 　　构造层的基本功能是向上提供网格中可共享的资源。常用的构造层资源包括处理能力、存储系统、网络资源、分布式文件系统、分布式计算机池、计算机集群等。构造层资源提供的功能越丰富，则可以支持的高级共享操作就越多。 　　（2） 连接层（Connectivity） 　　连接层的基本功能是实现网格共享资源间便利安全的通信。它定义了核心的安全通信、网络资源处理与认证授权控制等协议。通信协议允许在构造层资源之间通过传输、路由及名字解析等机制进行数据交换和授权认证、安全控制。 　　（3） 资源层（Resource） 　　资源层的主要功能是实现单一资源共享。资源层主要定义了资源共享间的安全握手、资源初始化、资源运行状况、统计与付费等使用数据。该层建立在连接层的安全通信和认证授权控制协议之上，通过调用构造层函数来访问和控制局部资源。 　　（4） 汇集层（Collective） 　　汇集层的主要功能是协调各种资源。该层将资源层提交的受控资源汇集在一起，供虚拟组织的应用程序共享和调用。汇聚层对来自应用