2024龍蜥大會技術實踐分論壇：操作系統安全一體化解決方案-劉贏.pdf

《2024龍蜥大會技術實踐分論壇：操作系統安全一體化解決方案-劉贏.pdf》由會員分享，可在線閱讀，更多相關《2024龍蜥大會技術實踐分論壇：操作系統安全一體化解決方案-劉贏.pdf（27頁珍藏版）》請在三個皮匠報告上搜索。

1、安全一體化操作系統安全一體化解決方案中科方德OS產品研發中心研發經理、技術專家劉贏安全一體化方案安全威脅一體化框架方案安全分層分類框架0101產品介紹0202應用場景0303CentOS停服背景及方案介紹行業及方案介紹應用案例介紹產品功能標準支撐產品優勢安全機制安全開發流程一體化框架、安全分層分類框架01丨安全一體化方案操作系統面臨的安全威脅惡意軟件網絡攻擊系統漏洞利用數據泄露與不安全配置 病毒：能夠自我復制并感染其他文件的程序。蠕蟲：自我復制并通過網絡傳播的惡意軟件，不需要用戶交互。特洛伊木馬：偽裝成合法軟件的惡意程序，通常用來竊取信息或造成損害。勒索軟件：通過加密用戶的文件并要求支付贖金來

2、解鎖的惡意軟件。拒絕服務攻擊：通過大量請求淹沒系統資源，使服務不可用。中間人攻擊：攻擊者在通信雙方之間攔截或篡改信息。網絡釣魚：通過偽裝成可信網站來騙取用戶的敏感信息。緩沖區溢出：當程序向緩沖區寫入數據超出其容量時，可能覆蓋內存中的其他數據，攻擊者利用這些漏洞執行任意代碼。權限提升：通過利用系統漏洞，攻擊者可能獲得更高級別的訪問權限。零日漏洞：尚未被發現或修補的軟件漏洞，通常被秘密利用。數據泄露：未經授權的數據訪問或泄露，可能包括個人信息、企業秘密等。由于系統配置不當，可能使得攻擊者更容易利用系統弱點。來自組織內部人員的威脅，可能因誤操作或惡意意圖導致安全事件。1.操作系統面臨的安全威脅是多方

3、面的2.操作系統的安全性需要通過持續的更新、安全配置和使用多層防御策略來加強3.培訓用戶關于安全意識和安全最佳實踐也是非常重要的安全一體化方案統一的安全管理入口，簡化策略配置，可視化的策略配置和流程管理，支持批量分組策略配置、可視化的漏洞管理流程安全標準制定企業級的安全標準，承載安全生態，依賴操作系統，為安全方案提供支撐安全生態安全生態聯盟、各行業OS安全解決方案內生安全文件度量、訪問控制、系統保護、審計日志、安全趨勢分析，符合20272安全操作系統四級的要求，滿足22239等保2.0對計算環境的安全要求安全支撐全棧支持國密，在操作系統各個環節，包括內核，密碼學庫層、應用生態層和算法工具等國密

4、支持安全擴展可信計算的支持，安全硬件的支持，機密計算的統一框架統一管理自身安全安全管理方德安全一體化方案安全管理中心安全接口安全方案安全加固國密算法可信計算機密計算安全一體化分層分類框架安全審計遠程證明終端管理安全軟件倉庫基準值掃描管理國密支持硬件層固件層安全固件TPCM/TCM/TCM2.0TPM2.0密碼卡USBKey其它安全設備方德操作系統數據加密安全接口基準值更新數據備份軟件包驗簽安全審計管理PCR管理身份鑒別可信鏈接應用層服務層NFSsec引導程序t內核層完整性度量靜態度量動態度量自主訪問控制強制訪問控制訪問控制外設訪問控制網絡訪問控制安全框架進程保護文件/目錄保護數據保護內核模塊防

5、卸載自身保護安全管理安全審計下發下發安全協議接口可信報告度量度量度量軟件包簽名基準值掃描接口策略管理安全管理中心策略下發安全一體化目標生態安全安全規范接口軟件倉庫安全安全廠商科研機構合作 安全套件 證書體系 漏洞共享自身安全可信計算機密計算國密算法 可信計算平臺 安全隔離運行環境 全棧國密安全標準體系GB/T 20272 2019商密二級證書GB/T 22239 2019 安全加固 可信計算標準等保2.0標準核心內容安全管理中心系統審計安全計算環境計算部件防護部件邊界網絡通訊用戶終端核心：“一個中心”管理下的“三重防護”體系，總結：可信、可控、可管安全策略管控請求連接管控應用軟件操作系統系統固

6、件計算組件可信軟件基(TSB)可信密碼模塊（TCM）TPCM計算部件防護部件主動監控機制密碼機制網絡邊界的可控和可審計性安全可靠的網絡傳輸（可信網絡連接）要求統一的安全管理、審計和管控可信、可靠的安全計算環境可信擴展操作系統的阻斷策略計算環境計算環境計算環境計算環境計算環境計算環境計算環境網絡設備網絡設備（邊界）（邊界）安全管理中心接口接口業務通道（網絡）業務系統安全通道完整性報告策略下發阻斷網絡環境安全軟件倉庫軟件倉庫安全模塊掃描工具加密傳輸通道安全管理中心簽名驗簽模塊安全硬件證書安全硬件證書掃描簽名軟件包度量審計記錄度量值審批、簽名、入庫軟件包安裝安全模塊安全模塊操作系統安全硬件度量度量驗

7、簽驗簽證書證書軟件軟件軟件包軟件包軟件包軟件包軟件包軟件軟件軟件軟件國密支持完整性度量與報告身份認證數據安全保護SM3SM2SM4國密算法國密即國家密碼局認定的國產密碼算法，即商用密碼。是指能夠實現商用的加密、解密和認證等功能的密碼算法。主要有 SM2，SM3，SM4隨機算法保密性、完整性、可用性國密12對稱加密算法：SM1、SM4、SM7、祖沖之算法(ZUC)非對稱加密算法：SM2、SM9雜湊算法：SM3國密安全協議：TLCP34云場景下的安全應用虛擬機虛擬機TCMTCM驅動驅動虛擬機應用虛擬機應用虛擬機虛擬機TCMTCM驅動驅動虛擬機應用虛擬機應用tpm/tcm物理硬件宿主層硬件宿主層OS

8、tpm/tcm物理環境驅動程序物理接口管理層物理接口管理層vTcm實例虛擬層OS虛擬機TCM驅動虛擬機應用宿主機應用國密支持物理接口管理層內核虛擬化調度模塊虛擬化調度模塊虛擬化調度模塊研發過程安全管理需求階段設計階段開發階段測試階段發布階段維護階段漏洞發現產品發布評審自動化安全測試編碼規范威脅建模設計需求評審漏洞驗證產品安全狀態安全測試靜態代碼掃描記錄設計評審安全需求漏洞修復漏洞修復代碼審查安全方案設計風險評估漏洞發布測試驗證漏洞修復應急流程安全一體化平臺功能02丨產品介紹安全一體化平臺產品介紹從服務器操作系統安全的角度，以訪問控制為核心，可信計算為基礎，圍繞安全操作系統四級的要求，構建了方德

9、服務器的防御體系，從根本上保障服務器操作系統運行環境的安全。提供統一的對外安全接口服務，提供安全套件接口能力，保障服務器的安全。在停服背景下，對使用CentOS系列的操作系統的業務環境進行安全加固，提升系統安全性，可用性?？尚?、可控、可管安全一體化平臺(NFSsec)：是中科方德自研的一體化安全框架，內置私有數據隔離保護技術，通過該技術包括管理員在內的任何其他用戶都不能進行非授權訪問，支持內核和核外統一的自主研發的訪問控制安全框架（NFSsec框架），給予服務器操作系統的主動防御能力，保證了服務器的運行安全和數據安全，為服務器操作系統提供全面的保護。NFSsec遵照GB/T 22239-201

10、9網絡安全等級保護基本要求和GB/T 20272-2019操作系統安全技術要求進行設計，并提供多種安全解決方案。等保合規主動防御安全接口安全加固安全一體化平臺主要功能一鍵加固一鍵三權安全基線審計日志系統日志靜態度量動態度量可信引導可信報告強制訪問控制自主訪問控制網絡訪問控制外設訪問控制自身保護進程保護內核文件保護關鍵目錄防篡改關鍵文件防篡改應用簽名驗簽方德操作系統安全一體化平臺加固方案完整性度量訪問控制系統保護系統審計產品優勢滿足標準要求依據GB/T 22239-2019 網絡安全等級保護基本要求和GB/T 20272-2019 操作系統安全技術要求進行設計，從訪問控制、可信計算、漏洞管理、安

11、全審計、網絡控制入侵防范等幾個方面對操作系統進行了有效的安全加固，能夠滿足安全操作系統四級的要求，也同時滿足了等保2.0對計算環境安全的基本要求，適用于各個行業的安全需求。內核級的安全防護主動防御能力通過NFSsec安全框架，當有惡意代碼運行時進行有效的攔截并進行審計，通過可信計算的主動防御技術，在操作系統內核層建立安全策略，提高操作系統的安全性。內置私有數據隔離保護技術，通過該技術包括管理員在內的任何其他用戶都不能進行非授權訪問，支持內核和核外統一的自主研發的訪問控制安全框架（NFSsec框架），給予操作系統的主動防御能力，保證了操作系統的運行安全和數據安全，為操作系統提供全面的保護?？刂婆c

12、度量相結合的加固策略通過“度量與審計”結合的加固策略全方位實現對服務器操作系統的加固。提供文件度量、核心目錄/文件防篡改、核心進程防護和統一集中管理（系統管理、安全配置、策略下發、安全審計）等安全技術。針對服務器“運行安全、數據安全、安全管理”三個層面進行安全防護設計，打造操作系統全生命周期的安全防護，全方位保障操作系統的安全。CentOS停服背景及方案介紹、行業及方案介紹03丨應用場景CentOS 停服背景背景2020年12月8日CentOS官方宣布CentOS項目將停止維護，推出新的CentOS Stream項目，并制定和公布了具體的停服計劃；現已于2021年12月底停止了CentOS 8

13、系列開源服務器操作系統的維護，并將于2024年6月30日停止維護CentOS 7 系列服務器操作系統產品。風險CentOS正式宣布停服，意味著CentOS社區將不再繼續投入和技術支持，隨著停服計劃的執行，后續CentOS系列服務器操作系統將面臨無人維護的重大風險，大量基于CentOS開發和適配的工具、軟件及相關應用平臺將存在重大安全隱患，已經部署的CentOS操作系統也將面臨后續無法升級和維護的尷尬處境，運行于CentOS之上的業務應用系統、數據庫服務、關鍵中間件組件等都必然會遭受波及，從而面臨嚴重的安全風險考驗。CentOS 停服的影響 CentOS維護服務中斷 安全漏洞補丁服務中斷 軟件缺

14、陷補丁服務中斷 繼續使用CentOS系列，安全風險成倍增加 購買昂貴的RHEL，同樣存在斷供風險 軟件供應鏈安全，維護和生態無法發展 安全公司具備全面支撐能力的很少替換成國產操作系統+安全加固產品2+3+N安全接管方案介紹服務+產品的方式2個產品+3種服務+N個行業場景產品：安全加固產品 可信軟件倉庫產品服務：安全加固策略配置服務 漏洞訂閱服務 系統運維服務可信軟件倉庫提供針對CentOS7/8的可信軟件倉庫，為用戶提供安全漏洞補丁修復及系統更新維護。安全加固對于CentOS系列的系統，提供安全加固產品為系統進行安全加固。適用CentOS7/8適用CentOS 5/6/7/8 方德安全加固平臺

15、 方德可信應用倉庫管理軟件安全加固策略協助用戶進行安全加固策略配置，滿足等保2.0的安全基線要求；滿足操作系統安全標準要求；協助用戶進行安全策略配置，增強系統安全能力。適用CentOS 5/6/7/8安全加固策略服務 漏洞訂閱服務 系統運維服務漏洞訂閱服務為用戶提供漏洞補丁公告的發布和訂閱服務。第一時間發送漏洞補丁公告郵件到客戶郵箱。使用戶快速獲得安全通知。公告內容包含：漏洞基本信息、修復方式、下載方式等信息。適用CentOS7/8系統運維服務提供定制化的運維服務。包括系統巡檢，安全加固產品策略配置，現場技術支持，重大節日保障等各項運維服務?？梢越Y合用戶整體安全管理要求，形成完整的運維服務方案

16、。適用CentOS 5/6/7/8產品服務行業場景安全接管服務為CentOS7、8的用戶提供安全加固產品為系統進行安全加固，能滿足當下CentOS 95%以上的應用場景，包含漏洞修復與安全基線。等級保護對于有等級保護的用戶場景，實現一鍵加固的策略配置，圖形化配置，無技術門檻。支持可信計算、商密。行業要求滿足各個行業的標準要求，支持終端管理，策略下發，策略配置等功能。服務：為CentOS7、8案例-某市衛健委CentOS遷移適配和安全加固項目背景 遷移到方德高可信服務器操作系統可以確保企業繼續獲得安全補丁和更新，從而保護系統免受新發現的漏洞和安全威脅。方德遷移工具實現無縫遷移和適配可以避免因操作

17、系統停止支持而導致的系統中斷，從而減少停機時間和業務中斷成本。通過遷移和優化，可以充分利用方德高可信服務器操作系統的特性和優勢，提升系統整體性能。對不具備遷移條件的業務系統進行了安全加固，滿足等保2.0的標準要求。100余套待遷移環境。包含衛生健康基礎人臉數據庫、特定人群就診即時報銷、E護士智能提醒系統、全民健康信息平臺等32個核心系統。系統環境復雜，包含nginx、tomcat、MySQL，RocketMQ、Redis、zookeeper、Oracle、K8s等軟件CentOSOracleMySQLnginx衛生健康基礎人臉數據庫特定人群就診即時報銷服務器ANFSnginxMySQLOrac

18、le衛生健康基礎人臉數據庫特定人群就診即時報銷服務器A項目成果成果展示案例-某金融機構CentOS遷移、安全接管項目項目背景 充分考慮了業務應用的兼容性、遷移可行性、快速驗證實施等方面因素，耗時一個月完成了數百套CentOS操作系統的遷移工作，遷移成功率高達98%。遷移完成后，方德高可信服務器操作系統展現出了穩定的運行狀態，所有應用程序均運行平穩，業務系統功能保持正常，業務數據完整無損。這一系列結果充分驗證了方德系統及其遷移工具的高效性和可靠性。對不具備遷移條件的業務系統進行了安全加固，滿足金融行業合規和審計要求。系統環境復雜，CentOS系統涉及6、7、8數十個版本，同時業務系統涉及大量的應

19、用軟件、數據庫和中間件，需要在新操作系統上進行全面的兼容性測試和適配。業務系統需要處理大量的實時交易和復雜的數據分析，對操作系統的性能和可靠性有著極高的要求。業務系統需要嚴格的安全保障措施，包括數據加密、訪問控制和安全審計，遷移過程中需要確保這些安全措施在新系統上的有效性。項目成果方案特點 業務系統全棧改造遷移：在業務系統擴容與業務系統新建的場景下，可選擇進行全棧創新架構改造。方德遷移工具針對性地提供了遷移評估工具幫助用戶評估CentOS遷移到方德高可信服務器操作系統的適配性，降低業務系統改造適配難度，將遷移風險降到最低，提升遷移效率，助力應用軟件完成全棧創新架構業務系統開發。業務系統平滑遷移

20、：多數用戶的業務系統仍運行在Intel架構服務器上，短期內升級為全棧信創架構工作量較大，為了協助用戶平穩過渡，方德遷移工具可實現利舊設備，不進行業務系統變更，完成服務器操作系統存量平滑遷移工作。CentOS安全接管服務：對于目前不具備遷移條件的業務系統，保障現有操作系統安全穩定運行，中科方德依托于自身技術服務體系，形成安全接管服務解決方案。安全接管服務覆蓋CentOS 6、7、8和其他未停止服務產品。前期業務系統都在Vmware中部署，操作系統以CentOS為主，涉及到CentOS6、7、8多個版本。業務應用開發語言沒有統一的標準，由各個業務部門自行決策。數據庫和中間件以mysql、redis、ngnix等開源軟件為主。需要同步將環境由VMware遷移到某國產云廠商。在友商遷移失敗的情況下，排查并解決了導致遷移失敗的問題。使用方德服務器V4.0兼容版與主線版統一接管CentOS7、8眾多版本。兼容多類型、多版本的開發語言。系統遷移與上云一次完成。虛擬機CentOStomcatnginx.虛擬機NFS V4.0tomcatnginx.虛機1虛機2云上虛機N案例-某市地鐵系統遷移項目項目成果成果展示項目背景