2023龙蜥操作系统大会全面建设安全生态分论坛.pdf

2023龙蜥操作系统大会全面建设安全生态分论坛平安之舟：构建安全无忧的龙蜥家园浪潮信息KeyarchOS内生安全能力建设操作系统内生安全创新与探索浪潮信息 吴保锡演讲人内生安全网络安全趋势内生安全要求KeyarchOS内生安全0101系统安全可信系统可信含义KeyarchOS可信增强KeyarchOS安全增强数据安全服务数据安全模型机密计算服务商用密码服务系统安全左移安全左移框架系统安全构建应急响应措施020203030404“内生安全”是服务器操作系统持续进化的“安全基因”内生安全业务数据保护 防止数据泄露 防止数据篡改 数据伪造仿冒安全防御体系 可信计算 主动防御 零信任生命周期安全 安全左移源头预防 业务稳定升级 降低漏洞影响基于内生安全构建关键信息基础设施安全能力已成为业界共识内生安全是一种从源头上保障系统安全的思想，通过设计、实施、运行等环节的安全防护，实现数据和业务的安全。内生安全具有前瞻性、主动性和全面性等特点，强调预防为主，注重从整体上提升系统的安全防御能力。内生安全是服务器操作系统进化的安全基因KeyarchOS数据安全服务数据存储时数据传输时数据使用时构建安全产品全生命周期安全维护及应急响应系统安全可信启动时运行时可信启动可信验证文件及核心配置防护进程及模块防护勒索病毒防御入侵检测安全启动网络防护编码安全威胁建模供应链安全安全构建渗透测试安全基线漏洞态势监控应急响应合规检测多方安全同态加密机密计算漏洞检测与修复可信是系统健康运行的前提，安全是用户业务持续运行的保障系统安全可信硬件整机系统可信根内置软件系统建立可信链标识平台身份保护密钥加电BBMB主引导区可信根OS 引导OS内核可信服务及可信应用认证控制模块密码处理模块信任链 抵御恶意攻击模块内产生一对密钥权威签发数字证书表征平台可信身份保护数据的密钥密封在密码模块内 识别假冒平台 保护敏感数据 增强数据安全可信应用可信终端可信网络可信物联网可信云端可信区块链基于可信计算夯实系统信任基础硬件固件可信验证内核及系统程序可信验证安全模块可信验证系统运行可信验证防止来自硬件的BootKit攻击、RootKit攻击防止引导过程的BootKit攻击、保障内核配置可信、确保内核正确启动防止安全模块启动前的恶意攻击及篡改、保障安全模块配置可信、正确启动容器/虚拟机/工作负载启动可信验证、数据安全防护操作系统KTrusted系统安全模块虚拟化软件容器系统业务应用可信服务器安全合规安全收益安全特性采用可信计算技术构筑系统安全信任基石KeyarchOS内置可信增强组件KTrusted，KTrusted依据网络安全等级保护系列标准及可信计算相关规范标准设计，为操作系统提供可信支撑能力，为运行于操作系统之上的应用程序提供安全可信的计算环境10新一代零侵入式安全防御组件浪潮信息云峦KeyarchOS内置轻量化的安全防御组件KSecure，基于eBPF的系统内多层次hook技术，提供系统安全检测和防御能力，提升操作系统安全性和合规性，为服务器操作系统的稳定运行提供更加强大的安全保障。安全基线：基于等保和CIS标准，支持基线检测和修复 入侵检测：基于规则引擎的主机入侵检测，支持Rootkit攻击、本地提权、反弹shell等行为检测；基于诱饵的勒索病毒检测和防御文件防护：对系统关键文件进行保护，防止被恶意篡改或运维人员误操作进程防护：保护核心业务进程不被被恶意终止进程控制：对进程运行进行控制，保护系统资源用户态eBPF map动态加载命令行管理CLIAgent主程序内核态Hook点System callsKprobeNetworkLSM检测策略防御策略阻断处置响应结束进程监控日志上报信息获取日志封装基础模块特性模块配置解析策略管理日志管理eBPF管理文件防护合规性检测入侵检测进程防护策略匹配gRPC服务自适应安全检测和防御软件浪潮信息云峦KeyarchOS研发安全检测和防御软件EDREDR，采用自适应的安全防护模型，构建系统、应用和网络的安全防御能力，提供持续的安全检测、防御和自动化响应，帮助用户快速处置安全风险。一键查杀病毒隔离基线修复攻击溯源系统加固程序管控网络微隔离预防检测防御响应持续检测主动防御快速响应资产清点可视化 轻量化 智能化病毒查杀漏洞扫描基线检查入侵检测基于业务细粒度控制和自适应的策略管理，速隔离失陷主机网络仅允许合法应用程序对客户的关键业务进行安全防护，防止黑客入侵及内部违规操作对系统安全配置和漏洞进行安全检测，及时识别系统安全风险病毒查杀数据安全是服务器操作系统用户业务的安全“红线”数据安全服务KeyarchOS提供全面的数据安全防护服务KeyarchOS提供全面的数据安全防护服务，涵盖数据存储时、传输时及使用时等数据全状态场景安全需求运行时机密计算服务恶意应用程序利用漏洞获得特权，然后篡改操作系统或其他应用程序应用无法阻止特权软件攻击okAPPMalicious AppBad codeOS attackAttackProtected Mode存储时lukscryptofs传输时HttpsTLSKeyarchOS释放服务器硬件数据安全防护能力提供架构无关的机密计算服务，向用户提供简单易用的芯片级机密计算服务，助力数据安全流通支持x86、ARM等主流CPU配套机密计算服务 防护边界：进程/容器/虚拟机 独立性：每一个内存的加密密钥是唯一的 部署复杂度：少量修改即可使用机密计算服务，对于机密虚拟机则无需任何修改 机密性：服务提供者的可信性无强要求 远程证明：提供架构无关的远程证明服务，保障可信域的可信服务器KeyarchOS机密计算引擎驱动使用时数据安全防护解决方案SGX运行时服务机密容器/进程/虚拟机编程框架SEVCSV内核态用户态KeyarchOS数据使用时安全防护方案KeyarchOS基于不同处理器，创建进程级、容器级、虚拟机级的可信执行环境，满足客户机密计算应用开发及机密计算解决方案构建需求服务器SGXSEVCSV服务器CSVSEVSGX进程级可信执行环境容器级可信执行环境虚拟机级可信执行环境服务器SGXCSVSEVKeyarchOShypervisor机密虚拟机KeyarchOS机密虚拟机机密虚拟机SGX driverSGX SDKOcclum应用SGX PSWSGX DCAP应用应用KeyarchOSlibOS(occlum)RuneletEnclave Agent镜像管理远程证明代理容器执行引擎容器镜像仓库KBSKMS远程证明服务Intel PCS基于SGX的机密容器通用组件机密容器相关组件接口适配层（TCP、REST、API、Device）硬件加密机硬件加密卡软件加密库软件加密机KMS(HTTP/KMIP)应用层存储数据盘云数据盘池化层资源虚拟化、容器化、多租户管理敏感信息保护全栈商密服务满足用户商密及合规需求 多协议支持：多协议支持：自研密钥管理系统KMS支持HTTP、KMIP双协议，提供密钥全生命周期管理,并支持分布式部署、无缝对接主流生态厂商KMS。多语言支持：多语言支持：软件加密库提供支持C、Java、Python、Go、js等主流国密算法库封装。简单易用：提供加密机适配库，上层应用无需更改业务逻辑，方便切换多款国密硬件设备。应用支撑：国密套件为不同国密应用场景提供更多元的解决方案，为国密应用开发赋能。软件加密机提供兼容硬件加密机的API，通过国密全栈定制化的系统运行时镜像，为云原生服务提供更灵活的部署方式和更稳定资源负载。KeyarchOS提供全栈商用密码服务，提供多种语言的开发接口，支持不同层面的API访问接口，兼容主流硬件加密设备安全左移，防患于未然，赋能产品全生命周期安全能力建设安全左移浪潮信息制定产品总体安全策略，制定“安全基线”，围绕基线展开产品安全建设，确保产品线安全属性固化到产品基础质量属性安全需求安全设计安全开发安全测评安全认证当前安全基线活动覆盖产品安全需求、安全设计、编码安全、安全测评等领域，已发布内部规范70+，充分做到产品安全建设落地有“法”可依。漏洞响应安全左移让安全属性固化为产品质量属性安全左移安全开发流程内鉴于产品开发生命周期将安全开发流程内建于KeyarchOS开发生命周期全过程中，确保始终能为客户持续交付可信赖的产品和服务的能力专业安全组织先进安全技术安全度量与持续改进安全赋能法规标准客户需求安全需求安全设计安全开发安全测试安全交付与维护计划概念发布生命周期开发产品安全基线威胁建模与风险评估产品安全需求安全架构设计安全CBB开源软件与第三方组件安全管控安全编码规范代码检查安全工具扫描安全基线测试漏洞扫描渗透测试安全应急响应病毒扫描漏洞闭环管理安全加固数字签名与防篡改安全左移安全开发流程实施第三方组件安全管控安全测评体系产品安全应急响应流程产品安全应急响应体系自动化安全测试平台（迭代开发）第三方扫描工具独立安全测测评团队编码开发系统测试需求开发系统设计产品研发白盒审计安全测试安全需求安全设计评审第三方组件管理规范扫描工具不可信第三方组件开源组件商用组件部件开源社区上游供应商安全第三方组件开源组件商用组件部件人工审核法务人员人工审核安全SE遵循ISO/IEC 29147、ISO/IEC 30111、GB/T 30276等建立的产品漏洞披露和处理流程安全团队供应商内部客户其他利益相关方客户中心公众/客户专业安全团队PSIRT产品漏洞库PDT/LMTPSIRT漏洞接收分析验证方案开发披露浪潮信息将安全开发流程内建于产品开发生命周期全过程中，确保始终能为客户持续交付可信赖的产品和服务的能力OpenAnolis Attestation Service For Confidential ComputingOAAS：龙蜥机密计算远程证明服务龙蜥社区云原生机密计算SIG Maintainer张家乐背景简介CNCC SIG简介机密计算远程证明OAAS需求来源0101OAAS功能介绍OAAS定位主要优势使用方法OAAS技术架构整体架构策略引擎认证令牌场景&展望场景案例更新规划总结020203030404CNCC SIG简介、机密计算远程证明、AS服务化需求来源背景简介降低机密计算使用门槛，简化云上部署和应用，拓展机密计算应用场景，多项目自主运营龙蜥社区云原生机密计算SIG芯片厂商：AMD SEV(-ES)/Intel SGX 2.0/Intel TDX 1.0龙蜥社区云原生机密计算SIG（合作SIG：Cloud Kernel、Intel Arch、虚拟化、云原生）安全业务场景ISV/OSV方案/社区产品终端用户底层技术能力产品安全能力开源/产品软件JavaEnclaveOcclumIntel DCAP云原生机密容器方案零信任网络OAAS安全密钥管理服务金融分布式机器学习公有云/混合云区块链解决方案&社区服务机密计算技术落地的关键痛点：安全特性的真实可自证性机密计算远程证明技术机密计算TEE的可自证如何向使用者证明机密计算TEE自身的真实性，以及声称的安全能力是符合预期的软件架构标准模型RATS定义了Attestation实体的抽象架构和证据评估过程提供了一个体系结构、声明内容和协议的中立标准模型硬件厂商的原生支持Intel PCK密码学基础设施AMD认证报告、证书链ARM Veraison证明服务EndorserReference Value ProviderVerifier OwnerVerifierRelying PartyRelying PartyOwaerVerifierEndorsementsReference ValuesAppraisalPolicy for EvidenceEvidenceAttestation ResultsAppraisai Policy forAttestation Results直接在方案中集成远程证明体系机密计算远程证明的集成门槛：TEE Special、流程复杂、验证背书可控性应用需求-远程证明服务化工作负载侧（TEE）依赖方服务器侧TEE证明驱动程序平台固件&硬件证据收集程序平台厂商证明背书基础设施硬件签名验证程序参考值&证书链获取程序证据解析程序版本&度量值校验程序用户态共享库证明结果Evidence工作负载侧（TEE）依赖方服务器侧TEE证明驱动程序平台固件&硬件远程证明服务客户端平台厂商证明背书基础设施证明结果Evidence远程证明服务在方案中使用服务化远程证明OAAS定位、主要优势、使用方法OAAS功能介绍龙蜥机密计算SIG为社区用户和合作伙伴提供的公开免部署的TEE远程证明服务龙蜥社区远程证明服务OAAS 提供安全高效、通用可控的远程证明服务中心，以统一形式兼容多种TEE平台类型 简化远程证明集成和部署，解决其技术门槛高、软件流程复杂和平台差异性大的问题 海光CSV保护的OAAS实例运行环境，支持平台自证明 OpenAnolis证书保护的令牌签名，龙蜥CNCC SIG技术团队背书&维护 核心功能模块在国际化中立社区开源：https:/ Policy Agent实现的内部策略引擎，强大灵活的Rego策略细粒度自定义控制验证流程，支持多策略管理。第三方担保的信任背书信任建立和证明验证统一收口，独立于硬件提供商的额外信任保障，使能自主可控的系统安全认证。相比直接集成TEE原生Attestation软件配套，OAAS带来的优势如下：OAAS远程证明应用优势CSVTDXSNPCCA抽象内部封装统一调用参数格式统一证据格式统一结果格式证明结果RS384 签名X.509公钥证书链OAAS服务TEE本地环境Rely Party 本地环境ClientEvidence证明验证结果一键创建OAAS实例登陆主页即可创建实例：https:/【可选】设置自定义验证策略参考用户文档编写Rego语法验证策略或直接基于OAAS提供的参考模版修改：https:/ RESTful API 端点发起请求获得证明结果令牌：龙蜥远程证明服务OAAS社区文档：https:/ Policy Agent(OPA),这是一种强大且灵活的策略引擎实现，来自于CNCF的毕业开源项目输出JWT格式的证明结果报告令牌JWT标准格式(RFC 7519)的结果报告令牌，OpenAnolis密钥的RS384签名标准完备的认证结果令牌龙蜥X.509证书HeaderPayloadSignatureOAAS Attestation Result Tokentyp 令牌格式声明：JWTalg 签名算法声明：RS384exp 令牌过期时间iss 令牌签发时间iss 签发者名称:OAASnbf 令牌生效时间jti 防重放随机数jwk 令牌验签公钥（JSON Web Key格式结构，包含证书地址）策略ID列表（字符串数组）证明评估报告（结构体数组）TCB Status 序列化证据原内容RSA公钥 JWK公钥密码学组件x5u:X.509证书地址URLhttps:/ idpassed result(ture/false)OPA输出报告 包含多个报告结构体，分别对应本次验证所使用的策略在一次验证中，可能某些策略通过而某些策略未通过用户可以通过合适的策略编写来控制OPA输出报告的内容TCB Status“.”:场景案例、技术演进规划、总结应用场景&未来展望定制化安全认证、机密数据注入、异构TEE机密互联OAAS应用场景概述拓展应用场景定制化认证秘密注入未来：机密互联 公有云实例的第三方认证 私有云实例的自定义认证 跨云部曙TEE环境的认证 机密容器启动密钥注入 全磁盘加密解密凭证注入 容器集群安全策略注入 多CPU-TEE节点分布式计算 GPU TEE/设备TEE认证互联 OAAS场景案例：机密数据注入访问OAAS获得认证令牌证明获取令牌目标数据服务器验证OpenAnolis签名数据服务器验签确认TEE可信向TEE传输数据机密数据注入诚邀您参与OAAS测试体验OAAS邀测&体验反馈钉钉群OAAS社区文档：https:/ SIG交流群龙蜥可信SBOM能力探索和实践阿里云技术专家龙蜥软件供应链安全架构负责人郑耿阿里云技术专家龙蜥攻击面管理技术负责人周彭晨软件物料清单(SBOM)软件供应链SBOM龙蜥软件物料清单0101可信SBOM可信SBOM的定义社区实践(redhat)社区实践(容器镜像)0202龙蜥统一签名服务威胁模型供应链签名需求统一签名服务架构设计030301 软件物料清单(SBOM)图片来源：CNCF Software Supply Chain Best Practicehttps:/ XcodeGhost事件截至 2023 年 4 月的 12 个月内，近三分之二(61%)的美国企业直接受到软件供应链攻击的影响1。1 https:/ Orion的DLL库，影响美国关键基础设施、政府等多达18000企业客户2020年12月 SolarWinds攻击事件RubyGems被植入了超725个恶意软件包，总下载量接近100,000次2020年4月RubyGems遭投毒攻击is-promise更新发布v22.0,但并未遵循正确的E5模块标准。导致所有在构建时使用is-promise的项目几乎全部发生故障，依赖该库的项目超340万2020年4月两行代码险些搞垮JS生态攻击者使用PHP作者和Jetbrains开发者的账号，向服务器上的php-src推送两次恶意提交，植入后门，获得运行PHP的网站系统的远程代码执行权限2021年3月 PHP Git服务器被入侵一名安全研究人员通过微软Visual Studio Code的持续集成脚本中的一个漏洞，渗透进其官方GitHub存储并向其提交文件2021年1月 VS Code代码库被入侵一名安全研究员成功侵入微软苹果、特斯拉等35家国际大型科技公司的内网：数周内，NPM和PyPi涌入了五干多个概念验证攻击包2021年2月 依赖混淆攻击事件Log4j-2中存在JNDI注入漏洞。当程序将用户输入的数据日志记录时，可触发此漏洞，成功利用此漏洞可以在目标服务器上执行任意代码2021年12月Log4j远程代码执行漏调软件物料清单SBOMSoftware Bill of Materials(SBOM)，软件物料清单，是一种正式的、机器可读的软件元数据信息，包含了软件的基本信息和软件依赖的所有开源代码和第三方组件的列表。SBOM中还列出了管理这些组件的许可证、代码库中使用的组件的版本以及它们的补丁状态，这允许安全团队快速识别任何相关的安全或许可证风险。场景:软件供应链安全管理、安全漏洞管理、应急响应、软件合规管理用途:帮助软件生产者、运营方和使用方更高效地识别软件成分，排查License风险/合规风险，快速识别安全漏洞影响范围等据Gartner预测，到 2026 年，至少 60%的采购方将在关键设施的采购中要求交付软件物料清单(SBOM)龙蜥 SBOM龙蜥软件信息中心SPDX格式的rpm包SBOM02 可信SBOM可验证性verifiability来源可信From trusted source内容的准确性correctness完整性completenessSimply producing an SBOM is not sufficient,instead we must ensure that such SBOMs are trustworthy什么是可信SBOM？Redhat SBOM(Beta)https:/ producing an SBOM is not sufficient,instead we must ensure that such SBOMs are trustworthy容器镜像(syft+cosign+in-toto)ContainerRegistryCustomersGenerate SBOM(spdx,cyclonedx or syft format)cosignGenerate in-toto attestation and attach attestation to container imageSBOM AttestationSBOM Attestationcosign签名信息03 龙蜥统一签名服务软件供应链 SBOM 安全问题从何而来软件供应链SBOM Threat Model源码完整性构建完整性系统完整性元数据完整性编写不安全的代码；绕过 Code Review；入侵源码管理系统；使用不可信源码进行构建；入侵构建系统；打包和发布在官方流程之外构建的软件；入侵内部或外部代码库和制品库；使用被破坏的组件进行部署；破坏部署过程；部署被破坏或不合规的软件；运行软件中存在漏洞或配置错误；使用不健康的依赖；软件供应链SBOM 安全边界与攻击向量统一签名服务Unified Digital Signature Service,UDSSMitigation存在安全风险，例如本地存储密钥；与软件供应链是脱节的松耦合分散在不同的阶段，没有统一的身份鉴权；能力缺失没有集成，对各类标准、格式、工具、KMS 缺乏统一支持；软件供应链上碎片化签名引发的系统风险签名服务问题：以 Anolis OS 场景为例简单、透明、安全、高度集成的软件供应链统一签名服务龙蜥统一签名服务公有云机密计算中的IntelTrust Domain Extensions(TDX)架构英特尔先进软件事业部云研发工程师胡志明胡志明长期致力于安全与机密计算领域在Linux Kernel层面的研究与应用。对IntelTDX,SGX,Kata Container,Inclavare Containers有过深入研究。英特尔先进软件事业部云研发工程师目前已经在龙蜥社区的Anolis5.10 kernel branch上成功使能了TDXguest1.0和TDX Attestation相关功能，相关实现已经被应用在Alibaba ECSTDX Instance产品上。20202021202220232024Intel Sapphire RapidsTDX1.0Intel Emerald RapidTDX1.5TDX2.0Intel Granite RapidsIntel Sierra ForestIntelTrust Domain Extensions(TDX)Roadmap20192025TB continued.1.0 Feature Lists:TDX Host CoreTDX Guest CoreTDX QEMU CoreTDX Module Core1.5 Feature Lists:TDX Live Migration-POR TBDTDX Preserving-POR TBD2.0 Feature Lists:TDX Connect-POR TBDNonNon-SEAM ModeSEAM ModeSEAM ModeSEAM ModeVMX VMX NonNon-RootRootVMX VMX RootRootOut of Out of VMXVMXHost VMMHost VMMIntel Total Memory Encryption Multi-Key(Intel TME-MK)shared keyVMX OnVMX OnVMX OffVMX OffVMX EntryVMX EntryVMX EntryVMX EntryVMX ExitVMX ExitVMX ExitVMX ExitSEAM CALLSEAM CALLSEAM RETSEAM RETLegacy VMLegacy VMTDX ModuleTDX ModuleTDX VMTDX VMDefaultDefaultIntel Total Memory Encryption Multi-Key(Intel TME-MK)shared keyIntel Total Memory Encryption Multi-Key(Intel TME-MK)private keyIntel TDX Modes State-Transition MechanismIntel TDX Supported Series CPUs(w/SGX,TDX)Intel TDX Aware Host OS/KVM/QEMU Intel TDX ModuleLegacy VM 1User WorkloadLegacy OSOVMF/BIOSIntel TDX Software StackEnlightened Guest KernelUser WorkloadTDX VM 1Guest BIOS(TDVF)Enlightened Guest KernelUser WorkloadTDX VM nGuest BIOS(TDVF)Legacy VM nUser WorkloadLegacy OSOVMF/BIOSIntel TDX Supported Series CPUsIntel TDX Aware Host OS/KVM Intel TDX ModuleAttestation ComponentsDCAP TDX DriverTDX Get Qoute DriverTDX Get Report DriverIntel TDX Attestation StackEnlightened Guest KernelUser WorkloadTDX VM Guest BIOS(TDVF)Orchestration ComponentsKubernetes,Open stackLibvirtTDXQEMU TDX TDX Container龙蜥社区CVE响应工程体系阿里云技术专家龙蜥社区基础设施SIG Contributor陈宇翱安全漏洞响应流程漏洞生命周期漏洞管理社区现状漏洞修复SLO0101漏洞管理平台CVECenter介绍漏洞处理交互流程多角色协作与自动化能力龙蜥安全公告ANAS介绍总结020203030404工程体系建设规划安全漏洞响应流程漏洞感知漏洞评估漏洞修复漏洞披露安全漏洞情报收集安全漏洞有效性、影响域确认，漏洞评分定级漏洞处理分发受限披露（0day）公开披露（已公开漏洞）测试验证漏洞修复缓解热补丁制作漏洞生命周期安全漏洞响应流程开源社区安全漏洞管理工作艰巨且复杂开源社区安全漏洞建设现状Linux kernel超过3000w行代码；Anolis OS达到了4亿+CVE数量连年增长，2022年披露的CVE达到了34,553个复杂困难OS发行版涵盖大量软件包，漏洞管理工作艰巨针对开源软件供应链的攻击加剧，供应链安全事件频发操作系统的复杂性和底层性使其易受攻击根据统计，有超过35,863个开源软件 Java 组件依赖于 Log4j，意味着超过8%的软件包里至少有一个版本会受此漏洞影响操作系统作为基础软件，任何操作系统级别的漏洞都可能影响到其上运行的应用程序和服务安全漏洞响应流程龙蜥社区安全漏洞SLO建立起一个标准化、流程化、自动化的漏洞管理平台，实时跟踪漏洞处理进度、取代重复劳动，提升漏洞处理效率，达到保障用户产品安全、支撑评测需求的目标CVE等级CriticalModerate修复策略修复时效ImportantLow3天1周3月-1.发布安全公告；2.发布软件包安全更新；3.发布hotfix(kernel)；4.发布修复镜像1.发布软件包安全更新；2.发布hotfix(kernel)；3.月度镜像更新1.发布软件包安全更新；2.例行版本镜像更新1.发布软件包安全更新；2.例行版本镜像更新龙蜥漏洞管理平台CVECenter 完全自动化的漏洞感知 可分级、可定制的漏洞预警推送 一体化漏洞评估与审核流程 高度自动化的漏洞修复机制 一键式漏洞披露公告 漏洞处理全流程跟踪目标 可定制的漏洞预警&分级化的处理策略 打通响应流程，支持多团队协作 系统自动化能力特性安全漏洞一站式响应、管理平台漏洞管理平台（CVECenter）介绍漏洞来源库漏洞评估库漏洞正式库配置中心CVECenter Backend漏洞管理漏洞分拣漏洞修复订阅配置展示层应用层预警订阅CVECenter Frontend预警推送上报统计数据看板SLO统计产品影响分析DashBoardCVEController自动化流程控制自动化工单管理自动化漏洞披露统一API封装工单系统安全公告代码托管配置管理权限控制产品配置漏洞评估漏洞自动化修复自动热补丁制作构建系统测试系统数据层CVECenter FrontendMySQLRedisElasticSearch漏洞来源库，融合多源异构CVE情报，为社区安全人员开展漏洞评估提供底层数据支撑图片图片漏洞评估页面，对CVE严重程度（评分、等级、攻击向量）和CVE影响域进行评估判定，并交由对应的管理人员审核漏洞处理交互演示漏洞管理平台（CVECenter）介绍图片漏洞修复跟踪，展示漏洞当前修复进度漏洞感知漏洞评估漏洞处理CVE处理过程中的角色协同，通过CVE状态流转、转交完成各职能之间的协作图片图片CVE修复过程中，平台自动化与人工介入互相支撑，通过自动化能力尽可能取代人工介入处理，减少流程中不必要的重复工作，提升流转效率多角色协同与平台自动化能力漏洞管理平台（CVECenter）介绍龙蜥安全公告ANAS龙蜥安全公告平台ANAS1.研发流程的最末端，承载着数据透出的职责，是社区与用户/下游在安全信息上的桥梁2.CVE/Errata。三种类型的公告：ANSA、ANBA、ANEA3.目标：完善数据维度、提升数据质量，为用户/下游提供多样化的信息获取渠道 Web Security Data API OVAL file download RSS/Mail subscriptionhttps:/ANAS系统页面总结响应体系自动化更高的自动化程度，提高CVE处理效率，缩短CVE响应时长数据透明提升数据透明度，支持更多数据标准，完善信息共享响应流程智能化智能化手段辅助安全人员进行CVE评估分析开放协同加强社区合作和外部安全生态建设，建立更紧密的协作机制安全工程建设规划构建数字领域的坚不可摧堡垒操作系统安全加固实践统信软件科技有限公司服务器操作系统产线安全技术部覃芝锛系统安全综述系统安全的背景系统的入侵案例0101系统的入侵应对安全加固的措施安全加固的突破点现有的加固工具统信有固有固的介绍基线的定制加固功能实现流程02020303背景与入侵案例系统安全综述系统安全综述-系统安全的背景网络化的世界随着信息技术的迅速发展，计算机系统越来越多与网络相连接，使得系统面临更广泛、更复杂的威胁持续演变的威胁黑客和恶意软件的技术不断进步，攻击手法越来越难以检测数字化转型加速组织和个人存储大量敏感数据，包括个人身份信息、财务数据、公司机密等。这些重要的数据对于黑客和恶意软件来说极具吸引力全球化业务的威胁全球化业务的不断增加，使得系统暴露于各种国家和地区的法规的网络威胁，需要更全面的安全策略新兴技术的应用随着新技术的涌现，如云计算、物联网和人工智能，系统安全面临新的挑战。这些技术广泛应用使得系统更加复杂，也为潜在攻击者提供新的攻击面系统安全综述-系统的入侵案例腾讯QQ号大规模泄露事件2011年，大量腾讯QQ号码和密码被泄露，导致数百万用户的账号受到威胁。这次泄露事件引起了广泛关注，用户被建议及时修改密码。360安全卫士勒索软件事件2013年，一款冒充360安全卫士的勒索软件传播，要求用户支付赎金以解锁被加密的文件。这次事件导致一些用户受到财产损失。百度贴吧大量账号泄露事件2016年，百度贴吧平台上大量用户账号和密码遭到泄露，涉及数千万用户。这导致一些用户的个人信息被泄露，可能面临账户被滥用的风险。网易邮箱大规模密码泄露2013年，网易邮箱服务遭到黑客攻击，导致数百万用户的账号和密码泄露。黑客通过社会工程学手段获得了部分用户的密码，进而导致用户信息泄露。O2O平台大规模用户信息泄露2016年，一些国内O2O（OnlinetoOffline）平台的用户信息被泄露，包括用户名、密码等，影响了数百万用户。系统的入侵应对入侵应对策略概览系统的入侵应对-安全加固的措施增强抵御攻击的难度多层防御：给系统提供多层防御措施，提高攻击者入侵的难度阻碍横向移动：合适的配置和安全实践，限制攻击者在服务器内部的活动范围保护敏感数据和服务隐私和合规性：系统可能会包含个人的身份信息、财务数据等敏感信息，安全加固有助于维护隐私和合规性服务可用性：确保关键服务的可用性，避免因安全漏洞导致的服务中断防止未经授权的访问身份验证和授权：确保只有授权用户可访问缓解潜在漏洞的风险漏洞管理：对系统进行定期的扫描和修复快速响应：及时应对新的威胁和漏洞系统的入侵应对-安全加固的突破点身份验证和访问控制强密码策略多因素身份验证用户权限管理文件系统和文件权限文件权限设置文件系统加密检测文件系统的变化网络安全和防火墙防火墙配置禁用不必要的服务网络检测日志和审计审计日志规则配置集中日志管理安全策略和配置管理安全配置管理访问控制应用程序安全应用程序权限配置WEB服务安全系统的入侵应对-现有的加固工具openscap通过使用SCAP格式来定义和描述安全策略，并提供工具和库来执行这些策略通过强制访问控制框架（MAC），限制进程的权限，实现安全加固selinux提供现成的安全加固定制基线，可直接在GUI界面调用后端加固服务实现一键加固uharden由相关的组织（如CIS-CenterforInternet Security）发布，用于指导系统管理员和安全专业人员执行安全加固selinux-benchmark统信有固统信UOS现有的加固对策统信有固-有固的介绍统信UOS系统安全软件简称：统信有固，UHarden作为统信UOS服务器版的安全套件，在全栈系统安全防护体系中扮演着重要的角色，提供了系统安全加固、完整性度量、应用管控、可信保护、三权分立等功能，并支持客户一键切换系统的安全等级，保障系统的安全稳定运行enhance基线高等级加固基线：安全等级优于base，在base的基础之上添加细化的安全防护redline基线安全红线基线：根据商业项目的加固需求，筛选通用加固项，定制常规加固base基线基础基线：基于现有环境之上，添加常规的安全加固功能centos7/8基线针对centos的环境，制定加固方案，编写规则，使加固功能在centos环境同样适用统信有固-常用基线统信有固-基线的定制安全加固配置文件生成工具作为有固中的一部分，面向于用户层的使用，工具中汇总了常用的规则，展示于GUI界面，方便用户进行自定义加固基线的定制，使操作更简单统信有固-加固功能功能名称功能描述相关实例us检查关键字，存在则整行替换，不存在则在最后一行添加101usLogLevelLogLevel VERBOSE/etc/ssh/sshd_configuhn检查关键字，存在则整行替换，不存在则在正数第n行添加102uhHISTSIZEHISTSIZE=10010/etc/profileucm命令行的执行103ucmsource/etc/profileecho追加指定内容到文件中104echoexport TMOUT=300/etc/profiled注释指定行105d/etc/sudoersincludedir统信有固-安全加固实现流程制定方案选择加固项生成加固配置文件加固配置文件导入选择加固基线开始加固加固完成返回报告七大步骤七大步骤