隨著云計算和大數(shù)據(jù)技術的快速發(fā)展，分布式計算對企業(yè)數(shù)據(jù)安全的挑戰(zhàn)越來越大，信息安全的需求也隨之水漲船高，特別是在一些諸如能源、金融以及政府等關系到國計民生的關鍵性行業(yè)，更是如此。針對信息安全這一新興市場，浪潮推出了自主研發(fā)的SS系列主機安全解決方案，打造“三點一面，縱深防御”的安全解決方案，并成功應用于某大型油田。

作為能源行業(yè)的細分行業(yè)，石油行業(yè)涉及到很多國家級、公司級的保密資料，比如區(qū)域、構造、層位、巖性等地質(zhì)資料，地震、測井、錄井、鉆井、試井、開采、管道建設和油庫建設等勘探、工程和生產(chǎn)資料，以及各種新技術的研究和實驗資料，對信息安全極為看重。

某油田是一個資源豐富、技術與人才密集的國有特大型企業(yè)，工作區(qū)域主要分布在其所在省的8個地市及28個縣(區(qū))內(nèi)。隨著油田業(yè)務的不斷拓展，支撐油田運轉的信息化應用系統(tǒng)越來越多，主要包括生產(chǎn)指揮系統(tǒng)、源頭數(shù)據(jù)采集系統(tǒng)、地理信息系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、辦公自動化系統(tǒng)等。由于業(yè)務空間上的分散，來自網(wǎng)絡內(nèi)外的信息安全問題也隨即增多。

該油田服務器上普遍部署的是國際通用的主流商業(yè)服務器操作系統(tǒng)，這些操作系統(tǒng)在美國的TECSE(橘皮書)標準中都屬于C2級操作系統(tǒng)，其本身不具備完善安全的防護功能，存在諸多的漏洞和后門，很多來自內(nèi)外網(wǎng)應用層的攻擊，通過包裝重組技術可以透過傳統(tǒng)的網(wǎng)絡安全防護設備，直接進入油田內(nèi)任何一臺服務器，一旦油田系統(tǒng)的核心應用被破壞或關鍵數(shù)據(jù)被竊取，將造成不可彌補的損失或影響。

基于這樣的考慮，該油田與浪潮合作，為油田的服務器操作系統(tǒng)安全、應用安全等量身定做了相關的解決方案，通過批量部署浪潮SSR，極大規(guī)避了服務器應用的安全風險。

浪潮SSR安全應用架構圖

從操作系統(tǒng)入手，打造內(nèi)核級安全

操作系統(tǒng)是銜接服務器硬件與服務器應用軟件的橋梁，橋梁的安全、可靠，決定了應用系統(tǒng)和數(shù)據(jù)的安全、可靠。

針對于此，浪潮SSR增加目標應用服務器上操作系統(tǒng)的內(nèi)核級安全，對操作系統(tǒng)的文件、注冊表、服務、進程等資源實現(xiàn)強制訪問控制，消除病毒等惡意程序的生存環(huán)境，使服務器能夠免疫針對操作系統(tǒng)的攻擊，實現(xiàn)對已知或未知病毒程序、ROOTKIT級后門威脅的主動防御，避免出現(xiàn)油田信息系統(tǒng)因新的蠕蟲等感染型病毒的出現(xiàn)，而導致的網(wǎng)絡癱瘓、應用服務中斷等安全事故。

四管其下，有效降低運維風險

在系統(tǒng)的運維過程中，如果系統(tǒng)缺乏身份認證以及授權機制，來自內(nèi)、外部的頻繁訪問有可能使得不法分子獲得很好的偽裝身份，從而輕而易舉的獲取到重要信息。針對于此，浪潮SSR采用了規(guī)范系統(tǒng)管理員行為、強制訪問控制、關鍵業(yè)務進程保護機制以及建立安全審計機制4個維度的管控機制，有效降低了內(nèi)、外部的運維風險。

浪潮SSR加強對操作系統(tǒng)管理員行為的管理，實現(xiàn)對不同廠商的運維人員的“最小授權”，通過技術和制度手段對ROOT賬號的權力加以分散。即使擁有ROOT賬號的運維人員，如果需要訪問不屬于自己的資源，也必須取得相關部門的授權。這樣既保證了運維工作的正常進行，又能夠規(guī)避因為運維人員權限過大而帶來的風險。

而對服務器的資源，尤其是業(yè)務信息系統(tǒng)資源，浪潮SSR實現(xiàn)細粒度的強制訪問控制，使得運維人員或惡意攻擊人員不能夠隨意安裝和開啟遠程控制軟件，即便在利用SSH等方式遠程登錄后，也不能對系統(tǒng)關鍵資源實施竊取、破壞等行為。

同時，浪潮SSR也能夠建立行之有效的進程保護機制，確保業(yè)務進程不會因為運維人員的誤操作等原因終止，也不會被病毒、木馬等惡意程序注入而導致業(yè)務過程被破壞。

最后，浪潮SSR能夠建立安全審計機制，通過“三權分立”機制實現(xiàn)對操作人員的最小授權。當出現(xiàn)操作人員企圖越權訪問核心數(shù)據(jù)資產(chǎn)的情況時，會及時的按照訪問用戶、程序、時間、動作等信息記錄在系統(tǒng)中，在日后的企業(yè)內(nèi)審中作為技術判斷依據(jù)。在發(fā)生病毒、木馬等惡意程序通過移動介質(zhì)企圖進入系統(tǒng)時，浪潮SSR也會及時的定位病毒文件，便于安全運維人員清理和刪除這些危險程序。

化被動為主動

在電影《偷天陷阱》中，凱瑟琳·澤塔瓊斯扮演的女主角曾利用千年蟲漏洞，成功洗劫了吉隆坡的一家國際銀行。而電影中所展現(xiàn)的利用系統(tǒng)漏洞牟利的畫面并非純粹的想象，而是確實存在這樣的風險。眾所周知，業(yè)內(nèi)主流、商用的服務器操作系統(tǒng)基本為國外產(chǎn)品，本身存在漏洞和后門，而且一旦出現(xiàn)漏洞、后門后，系統(tǒng)補丁升級需要時間。在此期間，服務器系統(tǒng)的應用、數(shù)據(jù)安全如何得到保證，一直是困擾用戶的一個難題。

浪潮SSR利用安全內(nèi)核技術構建一個自身免疫的系統(tǒng)，從根本上實現(xiàn)一個安全操作系統(tǒng)模型。它主要根據(jù)國家信息安全等級保護三級的安全標識保護級別的標準，為系統(tǒng)中的信息交換的主客體分別加上安全標記，從而達到了強制訪問控制(MAC)，制約了操作系統(tǒng)原有的自主訪問控制策略(DAC)，從根本上控制了信息的交換，實現(xiàn)安全的信息交換的方法。

不論來自內(nèi)部還是來自外部的攻擊行為(包括病毒的攻擊)的最終目的就是為了對信息的竊取以及監(jiān)聽，浪潮SSR利用安全標識保護了系統(tǒng)中每一條信息交互的通道，以主動的智能化方式，從根本上實現(xiàn)了系統(tǒng)本身免疫。

浪潮SSR工作模型

值得一提的是，浪潮SSR部署無需改變現(xiàn)有應用架構，且與服務器系統(tǒng)、業(yè)務應用系統(tǒng)等存在良好的兼容性。而某油田在批量部署浪潮SSR服務器操作系統(tǒng)加固系統(tǒng)之后，扭轉了傳統(tǒng)安全被動防御的風險。通過與網(wǎng)絡、終端等安全設備組成整個信息系統(tǒng)的縱深防御，浪潮SSR為油田信息系統(tǒng)的運行連續(xù)性、穩(wěn)定性、安全性及可靠性提供堅實的支撐，構筑了其主機安全長城。