基于双处理器网络隔离模式的安全客户端系统研究

摘要

当前Internet应用已广泛地融入到工作和生活的方方方面,人们在受益其快捷便利的同时,也遭受到日益严重的网络安全威胁。其中,对网络客户端用户而言,主机的数据信息安全是尤为重要的一个方面。值得关注的是以Windows作为操作系统的客户端长期受困于系统的漏洞以及各种基于漏洞的病毒和木马的袭扰,使得客户端上的敏感信息屡屡被网络黑客窃取。因此,如何在保证系统较高可用性的前提下提升网络客户端主机整体安全水平是当前网络安全的重要研究方向之一。
　　 本文提出采用主/辅式双处理器、双操作系统的网络隔离架构来解决Windows客户端的安全问题。在该架构中,主机“X86主核”与板卡(NetworkSecurityPreventionCard,NSPC)上的“ARM9辅核”协同处理,“Windows”和“高安全的嵌入式操作系统”协同工作,通过部署在NSPC上的高安全嵌入式操作系统实施网络安全防护措施,以尽可能避免’Windows客户端由于自身安全弱点、漏洞和后门程序而导致的安全弊端。论文开展的主要工作如下:
　　 1)提出了一种基于“双处理器、双操作系统”的网络隔离架构,并给出了能够有效保护客户端主机信息安全安全防护机制;
　　 2)设计了一种基于网络协议的数据包认证技术,对所有流经辅核系统的数据包进行基于数据分析的流量控制,从而有效防范由外网发起的针对协议漏洞的攻击;
　　 3)设计了一种基于进程的访问控制模型PBAC(Process-BasedAccessControl),,该模型将进程权限从用户权限分离,动态获取并更新进程的安全等级,既能满足最小特权原则,同时也克服了网络服务的动态性与传统访问控制模型主客体安全标签静态赋值之间的矛盾。
　　 4)设计实现了基于双处理器的Windows客户端网络安全防护原型系统,初步完成了协议认证模块、访问控制模块和内核服务模块的各项预定功能。
　　 最后,对论文中存在的不足和未来可进一步研究的问题进行了展望。