长期以来网络安全界对基于网络应用的外部防范技术关注较多而当前通过系统内核加固对用户信息的保密性完整性可靠性进行有效的保护正在成为继应用层网络安全产品后又一行之有效的技术手段
网络安全有局限服务器是隐患
现有主流的服务器操作系统管理员权限具有至高无上的权力可谓无所不能他可操控整个系统随意修改系统资源如浏览修改所有数据文件格式化硬盘终止重要进程终止进程修改注册表等
而这种权限在现有操作系统中极易被非法盗取一旦落入非法用户或网络攻击者手中对整个系统安全产生的威胁后果不堪设想所以服务器操作系统的安全越来越引起更多的关注
北京中航嘉信计算机信息技术有限公司推出的内核加固技术通过对服务器的超级用户权限进行合理分散与适度制约可以使万一出现的超级用户大权旁落的风险与破坏程度大大降低中航嘉信公司副总经理艾奇伟表示特别是就Internet上众多的信息洩露来自于企业内部这一现实而言内核加固技术的实现具有重要意义
对于来自外部网络的攻击当前常用的网络安全技术与工具主要有防火墙技术入侵检测系统技术（IDS）漏洞扫描技术VPN技术和防病毒技术等艾奇伟认为这些工具对于服务器安全存在着一定的局限性
比如号称一夫当关万夫莫开的防火墙在一定程度上简化了网络的安全管理但网络入侵者可能寻找到某些防火墙背后可能敞开的后门对于这种入侵者可能在防火墙内的网络内部攻击基本无法防范
正是由于上述常用网络安全技术与工具存在的一些局限所以构建由应用层网络安全产品与内核加固技术内外结合的立体网络系统防护体系将成网络安全防护技术的一种发展趋势艾奇伟说内核加固技术作为应用层网络安全技术的一个坚强后备与补充使企业网络中服务器的安全技术应用由治标转入治本成为可能
现场访谈
艾奇伟（中航嘉信副总经理高级网络安全工程师国家《信息系统安全保护等级》相关技术标准文件编写参与者）
记者为什么贵公司将解决方案定在国家信息系统安全等级保护的第三级？
艾奇伟国家信息系统安全等级保护分为五级第一二三级提出了整个等级保护的所有技术要求从第四级开始便不再增加技术要求而是针对这些技术要求的实现设计方法上有了更严格的要求
因此第三级是个分水岭它包括了所有等级保护的技术要求并且它在设计方法上也不是太过苛求所以它是目前政府企业包括金融电信等行业单位最适合的一种安全等级而且它对应用的影响比较小
安全操作系统起到承上启下的作用
目前网络安全市场以防火墙IDS等应用层网络安全产品居多中航嘉信独辟蹊径在网络安全技术领域引入了针对操作系统安全的内核加固理念并成功开发了内核加固安全模块产品
安全操作系统结构如下
安全操作系统=操作系统加固技术+普通操作系统
这是基于操作系统加固技术（ROST）的安全操作系统ROST是一项利用安全内核来提升操作系统安全等级的技术这项技术的核心就是在操作系统的核心层重构操作系统的权限访问的模型实现真正的强制访问控制使操作系统达到国家信息系统安全等级保护标准体系中的第三等级的安全技术要求
ROST是国家信息系统安全等级保护标准体系中系统层面的解决方案起到承上启下的作用即可以很好地支持各种操作系统及硬件平台也能对操作系统上层的各种现有的大型应用有很好的安全支撑作用
当然安全操作系统还有其它概念比如通过重构操作系统源代码的技术来实现安全操作系统艾奇伟进一步阐述道而我们安全操作系统的概念是提供了各种应用的普通操作系统与ROST技术结合ROST技术只是一个安全模块不会影响原有操作系统的上层应用这是我们的安全操作系统与传统的安全操作系统概念的本质不同
基于ROST的内核模块技术是在驱动层装上安全内核模块拦截所有的内核访问路径从而达到了三级的技术标准安全效果和重构操作系统源代码技术差不多但它的优点是不影响用户的业务连续性对上层的所有应用都支持对下层的所有系统和设备都支持并保证上层应用的安全是服务器安全标准的基础
安全服务器通过可信接口保障系统安全
那么服务器安全是指什么呢？艾奇伟解释道服务器安全就是各个层面的安全即安全的物理设备安全的操作系统安全的应用系统以及专业的管理系统将它们加起来以后我们就称其为安全服务器
安全服务器结构如下
安全服务器=安全操作系统+安全的应用系统+普通服务器
但这种相加不是堆砌！艾奇伟话锋一转不是说装上一套安全的物理设备一套安全的操作系统一套安全的应用系统再上一套专业的管理系统就是安全服务器了我们所说的网络安全方案是不是将防火墙IDS防病毒等全部堆进去就是网络安全方案了呢？肯定不是将它们相加起来是有条件的！
艾奇伟所说的条件就是需要在系统的每个层与层之间建立联系这个联系就是国家等级保护标准里的可信接口国家等级保护的基本理念可以理解为网络安全的一切问题都是在解决访问控制的问题因此服务器本身的系统安全就是访问控制的安全
所谓的安全服务器就是系统的每个层次之间都有一个可信的接口通过可信的接口互联互通互操作用户都将接受管理层可信产品的管理统一配置策略查询审计等通过安全服务器用户可以在一个界面上就能够兼顾到服务器范围内安全的各个方面
