虛擬安全域為核心 椒圖科技建安全應用環境

在企業級信息網絡中，根據安全等級、安全需求的差異，將物理上分散的各類計算機劃入相應的安全區域，在此基礎上分別對各區域內的計算機進行集中防護，從而提升整個IT網絡的安全水平，這種被稱為“虛擬安全域”的防護措施是用戶開展信息安全建設時普遍采用的一個重要手段。近年來，伴隨著惡意軟件的激增和黑客攻擊活動的日益頻繁，信息化應用環境面臨的安全威脅不斷加大，“虛擬安全域”防護思想逐漸從整個網絡層面向內部的應用層、操作系統層延伸，通過更加精準的防護體系為用戶創造出安全的信息化應用環境。

攻防重心轉移引發新安全變數

在我國，信息化建設已經實施了幾十年，隨著信息化應用深入推進，企業級信息網絡內的IT 系統數量、復雜度不斷提高，網絡邊界變得越來越模糊，傳統針對網絡邊界的防護措施逐漸顯得力不從心。另一方面，近幾年爆發的信息安全事件也表明，網絡攻擊的重心正從網絡層向核心層偏移，應用軟件、操作系統等面臨著越來越大的安全壓力。特別是對應用軟件來說，由于軟件開發商在安全方面的投入相對較少，很多應用軟件本身就存在著安全隱患，成為黑客實施網絡攻擊的突破口和重災區，為整個信息網絡的安全防護體系帶來了新的變數。

為了增強應用軟件的安全性，部分操作系統廠商提出了基于虛擬操作系統的技術解決方案，將原操作系統劃分為多個互相獨立的虛擬操作系統，在各虛擬操作系統上運行不同的應用軟件，從而實現應用軟件之間的相互隔離，避免了由于某個應用軟件遭受攻擊而給其他軟件和操作系統的正常運行帶來危害。然而，在實際應用中，由于虛擬化解決方案需要重新部署現有的應用軟件，勢必對業務系統的連續性造成影響，并且，部分虛擬化解決方案存在著二進制轉換、特權指令嵌入及模擬等限制，客觀上降低了應用軟件運行的效率，從而導致安全性與實用性難以兩全的尷尬局面。

依托專利技術打造虛擬安全域

針對現有技術中存在的上述問題，作為國內專業的信息安全廠商，椒圖科技發明了“一種強化應用軟件安全性的方法及裝置”，通過在操作系統上構建多個虛擬安全域，在不影響應用軟件運行效率且無需重新部署應用軟件及其所在的業務系統的基礎上，保證應用軟件的安全性，有效規避了傳統虛擬化解決方案為了安全性而“犧牲”實用性的弊端。目前，“強化應用軟件安全性的方法及裝置”已經通過國家知識產權局的認定，成為軟件安全技術領域的一項國家發明專利(專利號：201110169741.9)。

從發明專利的內容上看，強化應用軟件安全性的方法包括如下幾個方面：首先，為操作系統中每個需要保護的應用軟件創建一個虛擬的安全域;其次，利用虛擬化技術，將目標應用軟件的應用進程、所需資源、安全需求映射為安全域內的主體、客體及域內安全屬性，操作系統內其他應用軟件的進程、資源等則映射為域外主體和客體;之后，攔截系統內所有應用進程的資源請求，并根據應用進程的位置、資源請求權限等控制主體對客體的訪問。此外，本發明還提供了安全域配置管理模塊、資源請求攔截模塊、安全域訪問約束審查模塊、實體資源分配及虛擬化模塊、安全審計模塊等裝置，支撐“強化應用軟件安全性方法”從理論化為現實。

椒圖科技精細化構建安全應用環境

為了將“強化應用軟件安全性的方法及裝置”發明專利投入到實際應用中，椒圖科技推出了 ASVE(Application Security Virtualization Environment)可視化虛擬安全域，通過增強型DTE安全模型的應用，在操作系統中創建出多個虛擬空間(即“安全域”)，將被保護應用軟件的進程、所需資源(例如：文件、進程、服務、磁盤、設備、通信端口等)、最嚴客觀安全需求映射進被保護應用軟件所對應的安全域內，分別成為該安全域的域內主體、域內客體以及域內安全屬性，其他進程和資源則分別映射成域外主體和域外客體，并通過主客體訪問約束機制的實施，保證安全域之間、安全域與外部空間之間的安全隔離。同時，椒圖科技還對安全域、域內安全屬性等元素和主客體訪問約束機制作了詳細的定義，使ASVE(可視化虛擬安全域)真正發揮出保障應用軟件安全運行的作用。

首先是在安全域、域內安全屬性等元素的定義方面，通過安全域標識進行區分，如安全域 ID，并通過數值表示安全域的安全等級，從而使每個安全域在操作系統內都具有唯一性。域內安全屬性則包括域內主體安全屬性和域內客體安全屬性，其中，域內主體安全屬性細分為Gout(逃離門)屬性和特權屬性：

Gout屬性界定了安全域內主體逃離其所在安全域后所剩余的訪問能力，特權屬性限定了域內主體除訪問能力之外的其他特殊能力;域內客體安全屬性細分為Gin(闖入門)屬性和域內訪問屬性：Gin屬性界定了非本域中主體在闖入客體所在安全域后對該客體所剩余的訪問能力，域內訪問屬性限定了該安全域內的客體為使同一安全域內主體完成正常業務功能所必需提供給主體的訪問能力。

其次是在主客體訪問約束機制的定義方面，ASVE(可視化虛擬安全域)遵循權限最小化原則，對主客體處于一個安全域、主客體分布于多個安全域等情況作了詳細的定義，具體包括如下五個方面：首先，當域內主體對同一安全域內的域內客體進行訪問時，遵循該被訪問客體的域內訪問屬性。當被訪問域內客體針對該訪問主體的域內訪問屬性未設置時，該訪問僅遵循模型所在操作系統的資源請求約束;其次，當域內主體試圖逃離所在安全域訪問域外客體時，通過遵循該域內主體的Gout屬性，剝離其對域外客體的訪問能力，從而限制安全域對域外空間的破壞能力，起到安全隔離的作用;第三，當域外主體試圖闖入安全域內訪問該安全域的域內客體時，通過遵循該域內客體的Gin屬性，剝離其對域內客體的訪問能力，從而限制域外空間對安全域的破壞能力，起到安全隔離的作用;第四，當域內主體跨域訪問非同一安全域內的客體時，通過遵循該域內主體的Gout屬性和被訪問安全域內的域內客體的Gin屬性，剝離該主體對客體的訪問能力，從而限制了安全域間的破壞能力，起到安全隔離不同安全域的作用;第五、當域外主體訪問域外客體時，該訪問僅遵循模型所在操作系統的資源請求約束。這種實現方法真正做到了強制訪問控制與隔離思想的緊密結合，最大程度地實現了數據的完整性保護，再配合動態透明加解密功能，實現數據的機密性保護，從而組成一套完整的數據保護解決方案。

在實際應用中，基于椒圖科技ASVE技術構建的虛擬安全域在操作系統中的示意圖如下：

安全域示意圖

可以看出，虛擬安全域橫跨用戶空間和操作系統內核空間，其中，用戶空間存在著各種安全風險，但是在安全域的保護機制下，將不同的應用封閉在一個個獨立的相對隔離的安全域內，應用軟件可以安全、可靠地訪問內核空間，即使此域內的應用出了安全問題，也不會涉及到整個系統，保障業務系統安全運行。需要特別指出的是，無論是安全域的劃分或是域內主客體、安全屬性的添加，還是主客體訪問約束機制的實施，這些對于應用軟件來說都是透明完成的，從而在無需重新部署應用軟件及其所在業務系統的前提下，以安全域的形式為應用軟件提供了一個安全的運行環境，進而為整個信息網絡的正常運作保駕護航。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]