Windows XP系統(tǒng)安全防備整體解決方案

千里之行，始于足下。第2頁(yè)/共2頁(yè)精品文檔推薦WindowsXP系統(tǒng)安全防備整體解決方案WindowsXP系統(tǒng)安全防備整體解決方案

20XX年2月

背景

從去年開始微軟曾多次公開宣布在20XX年4月8日之后，將停止對(duì)WindowsXP系統(tǒng)、Office2003系統(tǒng)的技術(shù)支持與安全漏洞修復(fù)。

依照國(guó)內(nèi)聞名問(wèn)機(jī)構(gòu)CNZZ的調(diào)查統(tǒng)計(jì)最新統(tǒng)計(jì)的結(jié)果，截止20XX年10月，國(guó)內(nèi)仍有高達(dá)59%的用戶使用WindowsXP系統(tǒng)。依照顧咨詢《中國(guó)企業(yè)殺毒軟件產(chǎn)品市場(chǎng)調(diào)研報(bào)告》顯示，WindowsXP系統(tǒng)在中國(guó)企業(yè)市場(chǎng)份保有量高達(dá)43%，甚至在部分政府單位和大型企業(yè)中WindowsXP系統(tǒng)應(yīng)用比例超過(guò)了60%。另外，非常多機(jī)關(guān)和企業(yè)的信息系統(tǒng)應(yīng)用是在WindowsXP系統(tǒng)的環(huán)境下舉行開辟，這為系統(tǒng)升級(jí)遷移帶了諸多咨詢題。而經(jīng)過(guò)我們對(duì)各大企事業(yè)單位的調(diào)研，由WindowsXP系統(tǒng)向Windows更高版本系統(tǒng)遷移將持續(xù)1-5年。

受此妨礙，在我國(guó)政府、軍隊(duì)、企業(yè)中WindowsXP系統(tǒng)遷移至更高版本的系統(tǒng)之前，這些系統(tǒng)都將暴漏在各種網(wǎng)絡(luò)威脅之中，機(jī)密信息、業(yè)務(wù)的正常運(yùn)行都將受到嚴(yán)峻威脅，一旦這些威脅發(fā)生，將產(chǎn)生難以估量的災(zāi)害性后果。

為此，我們國(guó)家必須在20XX年4月8日微軟停止服務(wù)之前拿出切實(shí)可行的技術(shù)方案并部署到位，保障我國(guó)境內(nèi)運(yùn)行的WindowsXP系統(tǒng)的安全性別受此次事件的妨礙。

需求分析

全面防護(hù)

微軟停止對(duì)WindowsXP持續(xù)服務(wù)之后，將爆漏出大量的安全漏洞，由此帶來(lái)的威脅需要在各個(gè)層面和也許性上加以防護(hù)，即全面防護(hù)，具體包括：?系統(tǒng)加固：可以在攻擊/防護(hù)原理上解決漏洞利用的咨詢題，經(jīng)過(guò)一套加固防護(hù)機(jī)制，解決各類漏洞（而非某一個(gè)體漏洞）帶來(lái)的潛在安全風(fēng)險(xiǎn)?漏洞修復(fù)：關(guān)于短期內(nèi)難以在原理上、機(jī)制上解決的安全咨詢題，經(jīng)過(guò)打

補(bǔ)丁的方式解決具體某一安全漏洞帶來(lái)的安全威脅

?操作隔離：關(guān)于經(jīng)常浮現(xiàn)安全咨詢題的應(yīng)用，需要將其操作經(jīng)過(guò)某種技術(shù)手段與WindowsXP系統(tǒng)舉行邏輯隔離，保證在該應(yīng)用浮現(xiàn)安全咨詢題的

事情下，對(duì)該應(yīng)用的使用與操作不可能對(duì)WindowsXP系統(tǒng)及系統(tǒng)內(nèi)的重

要數(shù)據(jù)產(chǎn)生威脅

?制度策略：關(guān)于特殊重要的組織（如：軍隊(duì)、金融、能源、政府），需要提供一套幸免攻擊程序/代碼在WindowsXP上運(yùn)行的實(shí)時(shí)監(jiān)控機(jī)制與策

略，保證攻擊程序/代碼在WindowsXP系統(tǒng)上無(wú)法運(yùn)行、或運(yùn)行起來(lái)之

后每一步操作都受到嚴(yán)密監(jiān)控

快速部署

由于距20XX年4月8日時(shí)刻差不多很緊迫，所以我們需要提供簡(jiǎn)單、快速部署的能力，解決我國(guó)企業(yè)、政府、軍隊(duì)、個(gè)人用戶眾多WindowsXP可以在這一天到來(lái)之前快速完成部署，形成防護(hù)能力

穩(wěn)定兼容

思考到目前各大企業(yè)、政府、金融、能源、軍隊(duì)單位已有應(yīng)用系統(tǒng)很復(fù)雜，其應(yīng)用系統(tǒng)的穩(wěn)定運(yùn)行關(guān)于業(yè)務(wù)來(lái)講至關(guān)重要，所以需要方案所采納的技術(shù)必須可以與這些應(yīng)用系統(tǒng)徹底兼容，別存在穩(wěn)定性的咨詢題

持續(xù)運(yùn)行

關(guān)于各大企業(yè)、政府、金融、能源、軍隊(duì)網(wǎng)絡(luò)中所運(yùn)行的各種業(yè)務(wù)系統(tǒng)來(lái)講，系統(tǒng)運(yùn)行的持續(xù)性是一具剛性要求，頻繁重啟業(yè)務(wù)系統(tǒng)無(wú)法同意，故方案采納的技術(shù)應(yīng)該盡可能幸免重啟，或者最多只允許重啟一次設(shè)備，以保障業(yè)務(wù)系統(tǒng)運(yùn)行的持續(xù)性

方案設(shè)計(jì)

設(shè)計(jì)原則：為了完全解決微軟停止WindowsXP系統(tǒng)服務(wù)帶來(lái)的安全威脅，根除WindowsXP漏洞因無(wú)法修復(fù)帶來(lái)的危害，并且又全面滿腳各大企業(yè)、金融、能源、軍隊(duì)中差不多部署的大量應(yīng)用和對(duì)應(yīng)用運(yùn)行穩(wěn)定型、持續(xù)性的要求，我們?cè)谠O(shè)

計(jì)技術(shù)方案的時(shí)候，將始終堅(jiān)持、貫徹如下的設(shè)計(jì)原則

1、以修復(fù)操作系統(tǒng)自身設(shè)計(jì)機(jī)制別腳帶來(lái)的安全缺陷為主（加固），力求從根

本上解決操作系統(tǒng)自身設(shè)計(jì)缺陷導(dǎo)致的安全咨詢題，以從理論上逐類解決安全咨詢題，而別是Casebycase地逐個(gè)封堵、修補(bǔ)安全漏洞為第一目標(biāo)

例如：在本方中，我們采納類似于stackguard的技術(shù)思路禁止在操作系統(tǒng)棧上禁止可執(zhí)行代碼來(lái)解決緩沖區(qū)溢出攻擊的shellcode執(zhí)行，這會(huì)解決一大類漏洞利用的咨詢題（包括已知漏洞和未知漏洞），而非只針對(duì)某一個(gè)體的漏洞利用才有效

2、以修復(fù)操作系統(tǒng)代碼邏輯安全漏洞的熱補(bǔ)丁為輔（修補(bǔ)），目前別能排除某

些漏洞的利用辦法超出了我們現(xiàn)有已掌握的攻擊手段范圍，或者某個(gè)操作系統(tǒng)設(shè)計(jì)機(jī)制上新的缺陷被發(fā)覺(jué)并利用，在這種事情下，我們經(jīng)過(guò)上面提到的操作系統(tǒng)加固（即修復(fù)操作系統(tǒng)設(shè)計(jì)機(jī)制缺陷）的手段就會(huì)失效，而對(duì)加固系統(tǒng)的升級(jí)相對(duì)來(lái)講周期會(huì)比較長(zhǎng)，在這段時(shí)刻內(nèi)，我們能夠經(jīng)過(guò)針對(duì)具體漏洞舉行修復(fù)的方式來(lái)臨時(shí)解決安全咨詢題，待到加固系統(tǒng)升級(jí)包穩(wěn)定之后，再舉行加固升級(jí)，從全然上解決咨詢題，所以，我們將修復(fù)操作系統(tǒng)邏輯安全漏洞的熱補(bǔ)丁作為整體解決方案的輔助技術(shù)手段

3、以隔離安全咨詢題頻出應(yīng)用軟件的執(zhí)行為（隔離）補(bǔ)充，經(jīng)過(guò)我們以往長(zhǎng)時(shí)刻

的研究發(fā)覺(jué)，大量的安全漏洞要緊集中在少數(shù)關(guān)鍵的系統(tǒng)應(yīng)用之上，如：PDF閱讀器、Office軟件、IE掃瞄器等，所以，我們?cè)谠O(shè)計(jì)整體方案的一具重要原則算是，經(jīng)過(guò)技術(shù)手段（比如Sandbox）來(lái)隔離驚險(xiǎn)應(yīng)用（即安全漏洞頻發(fā)的應(yīng)用）的執(zhí)行過(guò)程，幸免這些驚險(xiǎn)應(yīng)用因?yàn)樵馐艿焦舳茐乃拗鱓indowsXP操作系統(tǒng)和對(duì)敏感數(shù)據(jù)的拜訪

4、以非白即黑高強(qiáng)度的安全管控策略自動(dòng)化（制度）為保障，在大多數(shù)對(duì)安全

要求很高的環(huán)境中（如：兵器創(chuàng)造業(yè)、航空航天研發(fā)機(jī)構(gòu)等），要求做到萬(wàn)無(wú)一失，針對(duì)這種事情，我們?cè)诜桨钢性O(shè)計(jì)了“非白即黑”的文件白名單治理原則，同時(shí)將此項(xiàng)治理的執(zhí)行自動(dòng)化，滿腳高度安全可控的強(qiáng)安全需求

整體設(shè)計(jì)：依照設(shè)計(jì)原則的要求，我們采納了多層防護(hù)、標(biāo)本兼治、技術(shù)與安全治理策略相結(jié)合的整體設(shè)計(jì)思路，在WindowsXP系統(tǒng)之上由內(nèi)到外采納了四層防護(hù)手段，包含了加固、修復(fù)、隔離、安全策略自動(dòng)化等多項(xiàng)舉措：

系統(tǒng)加固（核心手段）

熱補(bǔ)丁修復(fù)

驚險(xiǎn)應(yīng)用隔離

“非白即黑”安全策略

圖1.整體方案示意圖

系統(tǒng)加固方案

解決的咨詢題：經(jīng)過(guò)系統(tǒng)加固解決WindowsXP系統(tǒng)自身設(shè)計(jì)機(jī)制上的缺陷帶來(lái)的安全隱患，切斷這些缺陷導(dǎo)致的漏洞利用通路。

在這個(gè)地方，我們針對(duì)WindowsXP系統(tǒng)之上已知的12種可帶來(lái)安全隱患的設(shè)計(jì)機(jī)制舉行了加固性修復(fù)，要緊包括：

WindowsXP缺乏對(duì)執(zhí)行代碼內(nèi)存區(qū)域舉行限制的缺陷

WindowsXP對(duì)系統(tǒng)調(diào)用、關(guān)鍵函數(shù)的內(nèi)存地址分配固定化的缺陷

WindowsXP系統(tǒng)開啟16位VDM子系統(tǒng)的缺陷

WindowsXP系統(tǒng)遠(yuǎn)程加載DLL執(zhí)行代碼的缺陷

WindowsXP系統(tǒng)經(jīng)過(guò)系統(tǒng)調(diào)用進(jìn)入操作系統(tǒng)內(nèi)核的缺陷

WindowsXP系統(tǒng)系統(tǒng)調(diào)用缺乏調(diào)用者、模擬執(zhí)行者身份檢查的缺陷

WindowsXP系統(tǒng)DEP（數(shù)據(jù)執(zhí)行愛(ài)護(hù)）機(jī)制默認(rèn)關(guān)閉的缺陷

WindowsXP系統(tǒng)DEP、ALSR防護(hù)機(jī)制被繞過(guò)的缺陷

WindowsXP系統(tǒng)EAF導(dǎo)出表缺乏過(guò)濾檢查的缺陷

WindowsXP系統(tǒng)SEHOP安全機(jī)制被繞過(guò)的缺陷

WindowsXP系統(tǒng)對(duì)零內(nèi)存頁(yè)缺乏防護(hù)的缺陷

WindowsXP對(duì)Cookie缺乏安全防護(hù)的缺陷

經(jīng)過(guò)對(duì)上述12種WindowsXP系統(tǒng)設(shè)計(jì)機(jī)制上缺陷的安全加固，差不多能夠有效解決目前已知所有經(jīng)過(guò)系統(tǒng)漏洞、應(yīng)用漏洞對(duì)WindowsXP的攻擊，從全然上解決各類漏洞帶來(lái)的安全威脅。系統(tǒng)加固方案是針對(duì)微軟WindowsXP停止服務(wù)后帶來(lái)漏洞無(wú)法修復(fù)等安全威脅的最全然的解決方案，WindowsXP系統(tǒng)的安全咨詢題從本質(zhì)上來(lái)講是操作系統(tǒng)設(shè)計(jì)的過(guò)程中，缺乏對(duì)安全充分思考導(dǎo)致的咨詢題，導(dǎo)致黑客能夠經(jīng)過(guò)各種漏洞在WindowsXP系統(tǒng)中大行其道，屬于操作系統(tǒng)設(shè)計(jì)機(jī)制上的咨詢題，所以惟獨(dú)從全然上解決這些WindowsXP系統(tǒng)設(shè)計(jì)機(jī)制上的缺陷，才干完全解決咨詢題，目前微軟差不多清晰地認(rèn)識(shí)到了這些咨詢題的存在，并逐漸在高版本操作系統(tǒng)上（如：Windows7、Windows8）開始嘗試加固，但別幸的是，由于WindowsXP系統(tǒng)差不多公布超過(guò)10年，所以當(dāng)時(shí)微軟還沒(méi)來(lái)得及發(fā)覺(jué)、思考這些咨詢題，因此這些安全加固的成果并沒(méi)有體如今WindowsXP系統(tǒng)之中，本方案的最大優(yōu)勢(shì)就在于在WindowsXP系統(tǒng)之上將這些安全機(jī)制補(bǔ)齊，使WindowsXP系統(tǒng)即使別升級(jí)到高版本W(wǎng)indows操作系統(tǒng)的事情下，也能擁有健全的安全防護(hù)機(jī)制

熱補(bǔ)丁修復(fù)方案

解決的咨詢題：經(jīng)過(guò)修改替換內(nèi)存中存在安全漏洞的可執(zhí)行代碼，清除存在漏洞的代碼，在別修改二進(jìn)制代碼文件的事情下，實(shí)現(xiàn)對(duì)漏洞的熱修復(fù)

熱補(bǔ)丁方案作為輔助方案，是經(jīng)過(guò)替換掉差不多加載到內(nèi)存中存在安全漏洞邏輯的代碼完成對(duì)系統(tǒng)漏洞、應(yīng)用漏洞的修復(fù)，其設(shè)計(jì)邏輯如下示意圖：

圖2.熱補(bǔ)丁修復(fù)過(guò)程示意圖

熱補(bǔ)丁修復(fù)是在系統(tǒng)內(nèi)存中直截了當(dāng)對(duì)存在安全漏洞的可執(zhí)行代碼舉行精確的“外科手術(shù)”，替換過(guò)程與系統(tǒng)運(yùn)行并且舉行，涉及到操作同步、代碼空間適配等多項(xiàng)復(fù)雜工作，所以精確定位存在安全漏洞代碼的位置，并舉行小心替換是熱補(bǔ)丁修復(fù)成功的關(guān)鍵，假如替換失敗，將直截了當(dāng)導(dǎo)致系統(tǒng)崩潰或應(yīng)用崩潰，所以熱補(bǔ)丁修復(fù)技術(shù)需要有豐富的包括WindowsXP在內(nèi)的微軟操作系統(tǒng)底層開辟經(jīng)驗(yàn)積存，并且也需要長(zhǎng)時(shí)刻Windows系統(tǒng)熱補(bǔ)丁修復(fù)的豐富實(shí)踐，在提供本辦法之前，我們差不多19次先于微軟正式補(bǔ)丁公布向全國(guó)超過(guò)4億網(wǎng)民提供了微軟漏洞的熱補(bǔ)丁，通過(guò)長(zhǎng)時(shí)刻的積存與實(shí)踐，我們差不多徹底有經(jīng)驗(yàn)、有能力在WindowsXP上接著向系統(tǒng)運(yùn)行穩(wěn)定性要求極高的各大政府、金融、能源、企業(yè)、軍隊(duì)提供可修復(fù)微軟WindowsXP漏洞的熱補(bǔ)丁

驚險(xiǎn)應(yīng)用隔離方案

解決的咨詢題：在假想系統(tǒng)加固與熱補(bǔ)丁均已失效的事情下，解決驚險(xiǎn)應(yīng)用（如：PDF閱讀器、Office軟件、IE掃瞄器等）被漏洞利用攻擊時(shí)候?qū)indowsXP系統(tǒng)與系統(tǒng)敏感數(shù)據(jù)造成的威脅

驚險(xiǎn)應(yīng)用隔離方案采納虛擬隔離（或稱為邏輯隔離）的思想，利用沙箱（Sandbox）技術(shù)將驚險(xiǎn)應(yīng)用置于沙箱中隔離運(yùn)行，實(shí)現(xiàn)這些驚險(xiǎn)應(yīng)用關(guān)于系統(tǒng)調(diào)用、注冊(cè)表拜訪、文件拜訪、網(wǎng)絡(luò)IO等涉及到安全咨詢題的敏感操作的虛擬隔離，以此保障在這些驚險(xiǎn)應(yīng)用遭受到漏洞利用攻擊的事情下，也不可能對(duì)其所宿主的Windows

XP系統(tǒng)及其系統(tǒng)資源、數(shù)據(jù)資源造成安全威脅。驚險(xiǎn)應(yīng)用隔離的防護(hù)邏輯如下圖所示：

圖3.驚險(xiǎn)應(yīng)用隔離示意圖

“非白即黑”策略方案（可選）

解決的咨詢題：在假想系統(tǒng)加固方案、熱補(bǔ)丁修復(fù)方案、驚險(xiǎn)應(yīng)用隔離方案均失效的事情下，能夠經(jīng)過(guò)非白即黑的策略保證系統(tǒng)免受各種二進(jìn)制惡意代碼的攻擊“非白即黑”的安全策略采納PE文件白名單的機(jī)制，依托于高純度的PE文件白名單庫(kù)，僅允許白名單庫(kù)中的文件在系統(tǒng)中運(yùn)行（文件確認(rèn)采納MD5的方式），而所有未在白名單庫(kù)中的PE文件均被禁止在WindowsXP系統(tǒng)上加載、運(yùn)行，這就能在理論上保證所有經(jīng)過(guò)WindowsXP系統(tǒng)漏洞滲透進(jìn)來(lái)的惡意代碼均無(wú)法在WindowsXP系統(tǒng)上實(shí)現(xiàn)攻擊，其工作過(guò)程如下圖所示：

圖4.“非白即黑”策略示意圖

“非白即黑”的白名單策略是美國(guó)軍方、高級(jí)不政府所采納的安全防護(hù)方案，因有效防備了“火焰病毒”而受到美國(guó)政府、軍隊(duì)的高度重視并從此廣泛部署，正因這樣，為美國(guó)政府、軍方提供“非白即黑”白名單策略的公司Bit9的產(chǎn)品對(duì)華禁售，所以該策略是一種差不多被美國(guó)證明了行之有效的高級(jí)安全防護(hù)策略，但實(shí)施該策略需要很高的門檻，即要對(duì)世界上浮現(xiàn)的要緊應(yīng)用程序可以做到快速、全面的獵取，如WindowsXP各個(gè)版本上的所有PE文件，要緊應(yīng)用系統(tǒng)（如：數(shù)據(jù)庫(kù)、辦公軟件等）各個(gè)版本的所有文件，這是一項(xiàng)龐大的工程，別但要求有對(duì)這些文件的快速、全面獵取能力，還需要有高純度的鑒不能力，在制定本方案之前，我們差不多建立了國(guó)內(nèi)最大、最快的PE文件獵取平臺(tái)，并積存了國(guó)內(nèi)最大、最全、純凈度最高的PE文件白名單庫(kù)，如今，我們的PE文件白名單庫(kù)的規(guī)模差不多接近1億的白名單規(guī)模，能夠保障本方案的降地

穩(wěn)定性方案

由于大型政府、軍隊(duì)、能源、金融、企業(yè)對(duì)線上業(yè)務(wù)的高可靠性要求，無(wú)比保證系統(tǒng)再實(shí)施本方案之后可以持續(xù)、穩(wěn)定運(yùn)行。所以在提出WindowsXP全面防護(hù)

方案的并且，需要高度關(guān)注本方案在實(shí)施、運(yùn)行過(guò)程中的穩(wěn)定性，在本方案的設(shè)計(jì)中，我們經(jīng)過(guò)線下測(cè)試、線上回滾的方式，保障將浮現(xiàn)咨詢題的概率落至最低，在一旦發(fā)生故障的事情下能快速回滾到本方案實(shí)施之前的狀態(tài)。

充分測(cè)試

我們的方案在公布之前