计算机核心配置自动化系统设计和实现.docVIP

计算机核心配置自动化系统设计和实现 　　摘 要： 　　计算机核心配置是提高上网计算机安全性的重要手段之一。从核心配置的概念及其基本方法出发，提出了基于客户端代理实现核心配置的自动化方法，研制了完整包含编辑、验证、分发执行和符合性监测等功能的自动化配置系统。该系统适用于各种机构保护上网计算机安全。 　　关键词：计算机核心配置；配置清单；配置基线包；自动化配置；客户端代理 　　0 引言 　　上网计算机常常受到病毒、木马、黑客软件的攻击。受攻击的主要原因，一是计算机系统存在漏洞，二是计算机核心配置不当。有统计[1]表明，高达65%的终端安全事件是由于配置不当造成的。 　　核心配置是对计算机操作系统、办公软件、浏览器和基本输入输出系统（Basic Input Output System，BIOS）等基础软件的关键安全选项进行参数设置[2]。主要通过限制或禁止这些基础软件中存在安全隐患或漏洞的功能，启用或加强必要的安全保护功能，来增强计算机抵抗攻击的能力。对于有一定规模的机构，手工对每一台计算机逐项进行核心配置显然是不现实的，必须采用自动化配置方法。 　　核心配置自动化有三种方法：一是统一预装带安全配置的操作系统镜像，如美国空军实施的标准桌面配置计划（Standard Desktop Configuration，SDC）[3]，但该方法在计算机使用过程中无法根据外部安全环境的变化自动调整核心配置；二是利用Windows操作系统的域控管理机制，实现域环境下的自动化配置[4]，但此方法只适用于计算机域管理模式，而且不支持安全配置符合性检查；三是采用客户端代理机制研制一套自动化配置工具，实现配置的分发执行，同时实现配置的符合性监测。美国标准技术研究院（National Institute of Standardsand Technology，NIST）制定了用于支持配置符合性检查的安全内容自动化协议（Security Content Automation Protocol，SCAP）[5]，Arellia、McAfee和Symantec等公司根据该协议研制出了配置符合性检查工具[6]，同济大学研制出针对服务器配置加固的安全基线管理系统[7]。但到目前为止还没有看到文献介绍一个完整的包含编辑、验证、分发执行和符合性监测等功能的自动化配置系统。 　　本文重点研究基于客户端代理的核心配置自动化方法和系统框架，并通过实例验证了方法的有效性。 　　1 核心配置基本方法 　　在计算机操作系统、办公软件、浏览器和BIOS系统等基础软件中，有多种可进行参数设置的选项，如开关项、枚举项、区间项和复合项。我们把其中可能影响计算机安全的可选项称为核心配置项，可以根据安全要求对其进行赋值。按照基本安全要求对配置项设置的最低参数称为配置项基值。 　　利用基础软件本身提供的相关工具就可以对配置项进行手工赋值[8]。例如： 　　安全要求：在锁定用户账户之前允许尝试登录的次数不超过5次。 　　配置方法： 　　1）启动组策略编辑器gpedit.msc； 　　2）按如下路径找到配置项的值：Computer Configurtion＼WindowsSettings＼Windows＼SecuritySettings＼AccountPolicies＼AccountLockoutPolicy； 　　3）把“账户锁定阈值”项设为5。 　　2 自动化配置方法 　　手工配置方法效率低，不适合大规模应用，大规模应用时对计算机进行自动化配置是必要的。本文提出一种基于客户端代理的核心配置自动化方法，这种方法包括制定基本配置要求、编制核心配置清单、生成核心配置基线包和分发执行四个步骤。 　　2.1 制定基本配置要求 　　一个机构在开展终端安全配置管理时，首先要制定本单位的基本配置要求。制定基本配置要求的依据：一是我国等级保护基本要求，二是本单位信息系统的安全环境。 　　基本配置要求是安全主管与安全管理员之间交流的一种文件。 通常从以下方面提出基本配置要求：身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范和资源控制。下面给出了等保三级对身份鉴别的要求及其对应的一种配置要求示例。 　　等保三级要求[9]：“操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。” 　　对应的配置要求： 　　1）账户登录时，应启动身份验证机制，限制连续登录失败次数，连续多次登录失败后应锁定账户； 　　2）应配置安全的口令长度、复杂度、有效期和加密强度，禁止不设置口令； 　　3）启动账户登录界面时，应禁止无关进程的启动和运行，防止鉴别信息被窃听。 　　2.2