一种主机防护可信计算系统

技术领域

本发明涉及主机防护技术领域，具体涉及一种主机防护可信计算系统。

背景技术

基于电力业务的特殊性,其信息安全保障体系的建设，除了要满足系统安全可靠运行的需求,还必须符合国家和电力行业相关政策和要求。国家对信息安全保障工作非常重视，国家相关部门陆续出台了相应的文件和要求。

为了确保电力信息系统安全保障体系建设的先进性和规范性，基于对信息安全保障体系进行全面、深入的规划和设计，本发明提出了一种主机防护可信计算系统。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种主机防护可信计算系统，克服了现有技术的不足，结构设计简单，有效的改进了电力信息系统安全持续深入保障的问题。

(二)技术方案

为实现以上目的，本发明通过以下技术方案予以实现：

一种主机防护可信计算系统，包括网络交换机和至少一个服务器，其特征在于：所述网络交换机和所述服务器之间通过以太网连接，所述服务器硬件平台上增加一个作为系统的信任根以及用户身份的唯一标识的硬件模块USB-KEY，所述服务器操作系统内核层上安装有用于执行安全策略的服务器安全代理，所述网络交换机通过以太网连接有安全管理中心。

作为本发明的一种优选技术方案，所述服务器的种类有数据服务器、邮件服务器和数据库服务器。

作为本发明的一种优选技术方案，所述硬件模块USB-KEY为可信防护的功能模块，所述可信防护的功能模块包括脚本程序可信、可信执行程序、网络连接可信、进程强制访问控制、文件强制访问、软件分发管理、注册表强制访问控制、可信移动介质控制、配置可信验证等可信计算功能，功能通过可信管理平台统一管理。

作为本发明的一种优选技术方案，所述安全管理中心包括安全管理中心模块和可信审计模块。

作为本发明的一种优选技术方案，所述机防护可信计算系统还包括：散热设备，所述散热设备包括液冷散热单元和风冷散热单元，且冷散热单元和风冷散热单元可单独使用对服务器或网络交换机进行降温，也可以组合使用。

作为本发明的一种优选技术方案，多个所述服务器与网络交换机之间可通过线路并联连接。

作为本发明的一种优选技术方案，所述安全管理中心和网路交换机之间通过专网连接。

作为本发明的一种优选技术方案，所述安全管理中心通过防火墙和路由器与以太网连接

(三)有益效果。

本发明实施例提供了一种主机防护可信计算系统，具备以下有益效果：

1、为所有的服务器部署可信计算安全防护系统安全加固系统软件，该系统由三部分组成：可信计算安全防护系统安全加固系统软件安全管理中心、可信计算安全防护系统安全加固系统软件安全代理程序和用户身份认证USB－KEY，可以提高电力信息系统在传输过程中的系统安全性，改进了电力信息系统安全存在一定不足的现象；

2、本系统以用户身份可信、执行程序可信为基础，通过限制程序及用户的访问控制，实现对用户及程序进程的行为的限制，从而从身份、权限以及安全审计三个层面建立服务器自身主动安全防御机制，降低服务器自身被攻击的风险；

3、本系统提供服务器安全集中管控中心，以B/S架构部署，支持服务器基线配置、安全策略备份与恢复、安全策略集中下发等功能，减少管理员重复工作，大大提高管理员安全运维效率；

4、本软件提供服务器安全集中管控中心，以B/S架构部署，支持服务器基线配置、安全策略备份与恢复、安全策略集中下发等功能，减少管理员重复工作，大大提高管理员安全运维效率。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。

图1为本发明整体连接结构示意图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明：

如图1所示：一种主机防护可信计算系统，包括网络交换机和至少一个服务器，所述网络交换机和所述服务器之间通过以太网连接，所述服务器硬件平台上增加一个作为系统的信任根以及用户身份的唯一标识的硬件模块USB-KEY，所述服务器操作系统内核层上安装有用于执行安全策略的服务器安全代理，所述网络交换机通过以太网连接有安全管理中心。

其中，所述服务器的种类有数据服务器、邮件服务器和数据库服务器，服务器种类多，可以使得该种防护系统的应用范围更广。

其中，所述硬件模块USB-KEY为可信防护的功能模块，所述可信防护的功能模块包括脚本程序可信、可信执行程序、网络连接可信、进程强制访问控制、文件强制访问、软件分发管理、注册表强制访问控制、可信移动介质控制、配置可信验证等可信计算功能，功能通过可信管理平台统一管理；

用户身份可信模块提供基于可信计算用户身份标识验证，将可信验证设备与用户身份、服务器进行绑定，实现用户身份的双因子身份鉴别，支持登录认证失败锁定功能；支持用户登录后空闲超时锁定功能，控制用户登录权限，有效防止通过非授权认证而导致服务器受到破坏；

基于可信计算技术，采用可信验证机制，提供执行程序可信度量，阻止非授权及不符合预期的执行程序运行，实现对已知/未知恶意代码的主动防御，降低操作系统完整性及可用性被破坏的风险，支持程序安装控制，提供程序安装接口，仅允许通过此接口在服务器上安装应用程序，严格控制程序安装行为。通过上述规则，限制非授权用户安装新应用程序的能力，有效防止内部精通业务、懂技术、会编程的专业人士对服务器系统的安全威胁，

采用主动免疫系统防御机制，提供脚本执行程序可信校验，阻止非授权及不符合预期的执行程序运行，实现对已知/未知恶意攻击的主动防御，

提供基于内核层实现的文件强制访问控制，有效解决操作系统自身文件访问控制薄弱和操作系统超级用户带来的安全风险。安全机制采用对用户或进程授权读写权限的方式，限制用户或进程(主体)对系统目录、文件(客体)的访问权限，权限包括读、读写、拒绝等；通过文件强制访问控制，拒绝攻击者对重要系统文件的篡改和破坏，

提供业务程序划分系统安全进程域和文件域；支持根据业务访问需求授权进程对文件的访问权限，确保受保护的文件不被其他进程违规访问；同时支持设置进程对授权文件以外的文件访问权限，强制限制进程只拥有合理的业务访问权限,

提供业务程序划分系统安全进程域和文件域；支持根据业务访问需求授权进程对文件的访问权限，确保受保护的文件不被其他进程违规访问；同时支持设置进程对授权文件以外的文件访问权限，强制限制进程只拥有合理的业务访问权限。即使用户由于误操作或被欺骗，为攻击病毒赋予了可执行权限，平台也可以通过为数据文件指定合法的访问进程，阻止病毒破坏关键数据。真正实现“进不来、拿不走、改不了”,

提供基于内核层实现的注册表实体行为控制，支持在现有windows服务器版本系统；保护windows系统敏感注册表项或值不被删除或篡改；提供注册表维护接口，只允许通过接口对受保护的注册表进行修改或删除；根据安全需求，自定义添加注册表保护策略，对注册表项或值设置强制保护策略；提供针对widnows系统注册表的安全防护模版，防护模版策略提供对包含常见恶意程序或攻击者常用的注册表项及与系统安全运行相关的注册表项的保护.

其中，所述安全管理中心包括安全管理中心模块和可信审计模块，设置的两组模块，可以进一步提高系统的安全性,可信审计模块提供操作系统集中审计功能，审计内容包括：用户登录信息、文件操作信息、进程控制信息、策略加载审计、移动存储审计、管理中心审计信息、特权监管信息等，了解整体服务器操作系统运行状况,同时提供审计查询，审计报表等功能。

其中，所述机防护可信计算系统还包括：散热设备，所述散热设备包括液冷散热单元和风冷散热单元，且冷散热单元和风冷散热单元可单独使用对服务器或网络交换机进行降温，也可以组合使用，设置的散热设备可以延长设备的使用寿命。

其中，多个所述服务器与网络交换机之间可通过线路并联连接，通过并联多个服务器，可以使得安全系统保护的范围更广。

其中，所述安全管理中心和网路交换机之间通过专网连接，通过设置的专网连接，可以进一步提高信息传输中的安全性。

其中，所述安全管理中心通过防火墙和路由器与以太网连接。

本发明的工作原理：通过可信计算技术，确保登陆到服务器的用户是可信的、系统运行的程序是可信的，防止非法用户身份冒充及已知或未知的病毒木马攻击，

进一步，通过访问控制技术，确保访问服务器的IP、经过服务器的网络流量、登陆到服务器的用户、系统运行的进程等权限是最小的，防止用户越权访问或程序越权操作，

然后通过各项检测及数据采集功能，自定义检测主机多项安全基线配置情况；实时掌握主机资产信息；掌握关键目录或注册表项的状态属性变更情况﹔掌握主机和FTP登录口令密码强度；

最后通过统一的管理平台，实现对被加固服务器的统—管理、统一配置，审计信息统一存储、统一分析，实现了对整个信息传输系统的安全提升。

最后应说明的是：在本发明的描述中，需要说明的是，术语“竖直”、“上”、“下”、“水平”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。

在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“设置”、“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。