[發明專利]一種基于文件訪問控制和進程訪問控制的服務器加固方法

有效

• 申請號: 201610730020.3
• 申請日: 2016-08-25
• 公開（公告）號: CN106326699B
• 公開（公告）日: 2020-02-07
• 發明（設計）人: 張軍;肖賽龍
• 申請（專利權）人: 廣東七洲科技股份有限公司
• 主分類號: G06F21/31
• 分類號: G06F21/31;G06F21/34;G06F21/52;G06F21/55;G06F21/60;G06F21/64;H04L29/06
• 代理公司: 11548 北京華仲龍騰專利代理事務所(普通合伙)
• 代理人: 李靜

1.一種基于文件訪問控制和進程訪問控制的服務器加固方法，利用服務器加固裝置對服務器進行加固，使系統成為安裝有安全內核的系統，所述的服務器加固裝置包括雙重身份認證模塊、USB外設管制模塊、注冊表訪問控制模塊、網絡控制模塊、進程保護機制模塊、敏感數據的訪問控制模塊、系統自身防護模塊；雙重身份認證模塊，用戶采用USB Key和密碼雙重身份證方式，只有插入USB Key輸入正確的口令才能登錄，否則無法登錄；USB外設管制模塊，對USB存儲設備進行禁用，未經授權禁止使用，而對非USB存儲設備不影響其正常的使用；注冊表訪問控制模塊，對注冊表訪問進行監控，對于未經授權禁止修改；網絡控制模塊，對于未經授權開放的端口禁止外部網絡訪問，未經授權的進程禁止使用網絡功能，對于已經授權的進程允許外對訪問指定IP或端口；進程保護機制模塊，對于進程采用白名單機制，對進程進行指紋識別，指紋識別方法包MD5值和微軟數字簽名，符合白名單的進程能正常啟動和使用，不在其中的禁止運行；敏感數據的訪問控制模塊，對于敏感的數據采用windows文件過濾驅動技術，對于未經授權的進程禁止訪問，已經授權進程能根據敏感的數據要求授予讀、寫、刪除功能；系統自身防護模塊，采用進程指紋識別、進程防殺和A與B進程方式，保護系統自身進程不被異常終止、偽造，其特征在于，其實現流程如下：

（1）首先建立合法進程的數字簽名和MD5值池并保存到數據庫中，收集數字簽名和MD5值的方法包括靜態方法和動態方法：靜態方法是通過收集工具選取指定的程序，讀取微軟的數字簽名和對進程的二進制文件進行MD5運算；動態的方法是本安裝有安全內核的系統的控制中心下發策略，通過本系統后臺服務向本系統的終端發起讀取數字簽名和MD5值的命令，終端執行完成命令后回傳給后臺服務，后臺服務接收并保存到數據庫中；

（2）建立用戶權限組和用戶帳戶，并將用戶加入到指定的權限組中，用戶能歸屬不同的組，實現一個用戶能兼任多種角色；初始化用戶的身份證的密碼和登錄認證USB Key；用戶第一次登錄本系統時必須修改密碼，之后必須插入USB Key和輸入用戶和密碼才能正確登錄本系統，未登錄本系統將電腦進行鎖屏處理；

（3）進程控制的流程，包括：

31）運行控制，首先通過進程保護機制模塊監控到進程的創建動作，讀取進程文件的數字簽名和對文件內容進行MD5運算，查找本系統控制中心配置的策略來匹配是否為合法進程，如果是合法進程則允許此進程運行，如果不是合法進程則禁止此進程運行，并生成相應的日志上傳到本系統的后臺保存；

32）注冊表訪問控制，首先通過注冊表訪問控制模塊監控到訪問注冊表的讀取或者寫入行為，查找本系統控制中心配置的策略來匹配是否允許訪問，如果允許訪問則放行，如果不允許訪問則返回失敗，并生成相應的日志上傳到本系統的后臺服務保存到數據庫中；

33）網絡訪問控制，首先通過網絡控制模塊監控進程的網絡的訪問，對TCP/IP包進行攔截，查找本系統控制中心配置的策略來匹配是否允許訪問的協議、端口、IP地址，如果是允許訪問的則返回成功，如果是不允許訪問的則返回失敗，并生成相應的日志上傳到本系統的后臺服務保存到數據庫中；

（4）文件訪問控制流程

敏感數據的訪問控制模塊，采用的是基于Windows MiniFilter框架的文件過濾驅動和Linux文件過濾驅動來實現對指定的敏感數據目錄下所有的文件或者敏感數據文件的新建、讀取、修改、覆蓋、刪除操作：

41）首先注冊IRP包處理回調例程接口，對IRP_MJ_CREATE和IRP_MJ_SET_INFORMATION的IRP包進行過濾，就能實現對敏感數據的訪問控制；新建、讀取、修改、覆蓋操作的過濾是在IRP_MJ_CREATE例程中實現，對于刪除文件的過濾是在IRP_MJ_SET_INFORMATION例程實現；

42）設置新建、覆蓋、讀取、修改、刪除標志為TRUE；

43）新建，查找本系統控制中心配置的策略，對文件或目錄進行匹配，如果匹配成功，設置新建標志為FALSE，并對文件或目錄的打開標志進行判斷，如果包含有FILE_CREATE標志，則設置新建標志為TRUE；否則判斷是否包含有FILE_OPEN_IF或FILE_OVERWRITE_IF標志，如果包含再繼續判斷該文件或目錄是否存在，如果該文件或目錄不存在，則設置新建標志為TRUE；

44）覆蓋，查找本系統控制中心配置的策略，對文件進行匹配，如果匹配成功，設置覆蓋標志為FALSE，并對文件或目錄的打開標志進行判斷，如果包含有FILE_SUPERSEDE或者FILE_OVERWRITE標志，則設置覆蓋標志為TRUE，否則判斷是否包含有FILE_OPEN_IF或FILE_OVERWRITE_IF標志，如果包含再繼續判斷該文件是否存在，如果該文件存在，則設置覆蓋標志為TRUE；

45）讀取，查找本系統控制中心配置的策略，對文件進行匹配，如果匹配成功，設置讀取標志為FALSE，并對該文件的讀寫標志進行判斷，如果包含FILE_READ_DATA、FILE_READ_ATTRIBUTES、FILE_READ_EA中的任意一個標志，設置讀取標志為TRUE；

46）修改，查找系統控制中心配置的策略，對文件進行匹配，如果匹配成功，設置修改標志為FALSE，并對文件的讀寫標志進行判斷，如果包含FILE_WRITE_DATA、FILE_APPEND_DATA、FILE_WRITE_EA中的任意一個標志，設置修改標志為TRUE；

47）刪除，查找本系統控制中心配置的策略，對文件進行匹配，如果匹配成功，設置刪除標志為FALSE，判斷查詢文件的信息標志是否為FileDispositionInformation，如果是，設置刪除標志為TRUE；

48）如果新建、覆蓋、讀取、修改、刪除標志都為TRUE，那么文件操作直接放行，否則返回失敗，并設置錯誤標志為拒絕訪問。