HuaTech应用安全防护系统
- 一、产品架构
HuaTech应用安全防护系统是由四大模块共同组成，包括服务器加固模块、终端安全保护模块、应用安全增强模块和安全管理中心模块四个组成部分。
HuaTech应用安全防护系统整体架构图
- 二、各模块介绍
-
- 1、安全管理中心模块
- 支持对用户身份的管理、平台身份的管理、对移动存储设备的管理、对执行程序的管理;支持对文件访问的授权、对网络访问的授权 、对程序执行的授权、对移动存储设备使用的授权，授权操作包括读、写、执行、删除、改名等，客体粒度细化到文件级;支持对审计信息的收集、归并、查询、备份等。
2、服务器加固模块
功能摘要：
- 双因子身份鉴别：采用双因子身份认证方式，用户只有拥有合法的USB-KEY，并且输入正确的服务器操作系统口令+ USB-KEY口令，才能登录服务器；当授权用户离开时，提供拔KEY锁屏的功能。
- 操作系统完整性保护：通过可执行程序的只读保护和一致性校验，保护终端的完整性不被破坏，实现了终端对于病毒、木马等恶意代码自免疫；通过执行程序最小权限控制，规定执行程序权限，使其在满足用户权限访问控制规则的前提下，只拥有正常完成任务的最小权限。
- 网络访问控制：支持网络控制，管理员可以规定哪个终端可以与受保护服务器系统进行通信。
- 自主访问控制：提供文件保密柜功能，保护服务器中存放的敏感数据不会泄露。
- 强制访问控制：1）提供对主体（用户、进程）及客体（文件、执行程序、外部设备等）进行安全标识，根据客体类型的不同，分别制定了不同的访问控制规则，操作类型包括读、写、执行、删除、改名等。通过严格控制“谁”可以“做什么”，确保服务器中的重要数据的 “拿不走”；2）其次通过对执行程序的强制访问控制，规定用户在服务器上可以执行什么样的程序，确保只有经过系统安全性检查并且得到授权的应用程序才能被用户使用，这样就降低了恶意程序感染并破坏服务器系统安全的可能性。
- 数据完整性保护：通过对文件的强制访问控制，实现主要数据的完整性保护，禁止恶意篡改行为。
- 数据保密性保护：通过基于硬件USB-KEY的加密算法实现对于硬盘上的重要数据的加密保护，实现即使终端重要数据被盗取，数据盗取者也“看不懂”的效果。
- 用户权限控制：对于用户权限的划分，用户能干什么不能干什么都要受到管理中心的策略控制。
- 管理员职责分离：引入以下三个角色：系统管理员、安全管理员和安全审计员。根据最小权限原则，系统只赋予每个角色完成任务所需的最小权限。通过上述“三权分立”的机制，使得终端系统中的不同用户相互监督、相互制约，每个角色各司其职，共同保障终端系统的安全。
- 行为审计监控：任何行为都有证可查，达到非法行为“赖不掉”的效果。
3、终端安全保护模块
功能摘要：
- 双因子身份鉴别：采用双因子身份认证方式，用户只有拥有合法的USB-KEY，并且输入正确的服务器操作系统口令+ USB-KEY口令，才能登录服务器；当授权用户离开时，提供拔KEY锁屏的功能
- 操作系统完整性保护：通过可执行程序的只读保护和一致性校验，保护终端的完整性不被破坏，实现了终端对于病毒、木马等恶意代码自免疫；通过执行程序最小权限控制，规定执行程序权限，使其在满足用户权限访问控制规则的前提下，只拥有正常完成任务的最小权限。
- 网络访问控制：支持网络控制，管理员可以规定哪个终端可以与受保护终端系统进行通信；支持平台对URL的访问控制、对IP地址的访问控制、进程访问网络的控制，控制的粒度为主机、用户或者进程。
- 自主访问控制：提供文件保密柜功能，保护终端中存放的敏感数据不会泄露。
- 强制访问控制：1）提供对主体（用户、进程）及客体（文件、执行程序、外部设备等）进行安全标识，根据客体类型的不同，分别制定了不同的访问控制规则，操作类型包括读、写、执行、删除、改名等。通过严格控制“谁”可以“做什么”，确保服务器中的重要数据的 “拿不走”；2）其次通过对执行程序的强制访问控制，规定用户在服务器上可以执行什么样的程序，确保只有经过系统安全性检查并且得到授权的应用程序才能被用户使用，这样就降低了恶意程序感染并破坏服务器系统安全的可能性。
- 数据完整性保护：通过对文件的强制访问控制，实现主要数据的完整性保护，禁止恶意篡改行为。
- 数据保密性保护：通过基于硬件USB-KEY的加密算法实现对于重要数据的加密保护，实现即使终端重要数据被盗取，数据盗取者也“看不懂”的效果。
- 移动介质权限管理：提供对移动介质的控制，所有移动介质在使用之前都需经过授权，未经授权的移动介质一律禁止在终端上使用。对于已授权的移动介质进行标记管理，对其使用行为进行全程的严格控制，从而防止通过移动介质非法拷贝终端敏感信息等恶意事件的发生。
- 移动设备信息加密保护：支持对活动硬盘和优盘的控制，只能使用注册过的移动存储设备，并且使用全系统统一的密钥对数据加密，加解密动作对用户和应用透明。
- 用户权限控制：对于用户权限的划分，用户能干什么不能干什么都要受到管理中心的策略控制。
- 管理员职责分离：引入以下三个角色：系统管理员、安全管理员和安全审计员。根据最小权限原则，系统只赋予每个角色完成任务所需的最小权限。通过上述“三权分立”的机制，使得终端系统中的不同用户相互监督、相互制约，每个角色各司其职，共同保障终端系统的安全。
行为审计监控：任何行为都有证可查，达到非法行为“赖不掉”的效果。
终端安全保护模块安全防御体系示意图
4、应用安全增强模块
设计思想：
如下图，上层过滤模块完成www服务请求的安全检测和过滤功能。在终端用户的http请求被www服务解析之前，过滤引擎捕获该请求，并与策略规则库中进行特征匹配，如果确定该请求有攻击性质，则丢弃该请求，否则给予放行。这样就可以有效防御诸如SQL注入、跨站脚本漏洞、CGI等流行攻击等等。
图：过滤模块工作流程示意图
功能摘要：
- 防SQL注入攻击：通过高效的URL过滤技术，应用安全增强模块会截获包含SQL注入关键字的数据包，并将其丢弃，从而起到防SQL注入的效果；
- 防跨站脚本攻击：利用数据包正则表达式匹配原理，应用安全增强模块会截获包含跨站攻击关键字的数据包，并将其丢弃，从而起到防跨站脚本攻击的效果；
- 抗拒绝服务攻击：使用应用安全增强模块的速率限制和TCP连接数限制实现；
- 防缓冲区溢出攻击：通过过滤http协议头长度，如果超过系统所规定的长度，应用安全增强模块阻止该数据包通过，从而实现防缓冲区溢出攻击；
- 防目录遍历：基于特征分析，检查用户提交的参数数据，检查用户提交的参数数据，及时发现和阻断攻击；
- 防网页盗链：应用安全增强模块会对指定的文件类型进行参考域的检查，有效阻止网页盗链攻击；
- 防网络爬虫：在http头中过滤reference参数，如果含有spinder、selected 等关键字，应用安全增强模块会阻止该数据包通过，从而起到防网络爬虫攻击；
- 轻量级SSL终止：终止SSL安全连接，对数据流进行解码，以便检查明文格式是否含有恶意的流量；
- 抗黑客扫描：基于特征分析，及时发现并阻断黑客的恶意扫描行为。
-
|
