基于Linux Shell的安全审计机制

用户登录后在Linux Shell中留下的历史记录是审计信息的重要来源,但未能包含判断入侵与否的足够信息,且很容易被篡改。文中基于shell机制,利用可装入内核模块/、proc虚拟文件系统和系统调用劫持技术,实现了一个较全面的入侵检测的审计机制,同时给出了一个用其进行安全监测的简单实例以及该方法的优点。     

Linux Shell安全审计机制的扩展

Unix Shell生成的命令历史记录是系统审计信息的重要来源,但它未能包含检测入侵所需的足够信息,且容易被用户本人篡改.利用可装入内核模块和系统调用劫持技术实现了对Linux Shell安全审计机制的扩展,并给出了用其进行安全监测的例子.     

Linux系统调用劫持:技术原理、应用及检测

系统调用劫持是黑客入侵系统后保留后门常用的一项技术。文章提出了利用可装入内核模块修改系统调用表和中断描述符表两种实现Linux系统调用劫持的方法,探讨了系统调用劫持技术在rootkit、入侵检测等方面的应用,并给出了利用kmem进行系统调用劫持检测的一般方法。该文的分析基于Intelx86平台上的2.4内核。     

基于Linux的仪器系统审计机制的研究

Linux系统现行的审计机制是应用级审计,不能满足操作系统的安全要求,为此许多文献提出了Linux内核级的审计,增强了Linux的审计能力。但是在审计能力增加的同时,审计容量和运行时间也增加。根据仪器系统的特点,本文提出了可控内核审计的机制。内核级审计能够被应用程序控制,这样在实现安全性提高的同时,可控制内核审计范围,保证实时测试程序的实时性。内核审计功能的控制通过Linux的proc文件系统实现,本文详细地描述了实现过程。     

利用LKM的Linux审计功能实现

安全和完整地获得信息对于审计和入侵检测系统是极其重要的,但是Linux的shell记录并没有提供充足的信息并且历史记录可以被用户轻易地修改。分析了当前审计系统的缺点,给出了一个利用可加载内核模块的方法实现审计功能的例子。     

Linux安全操作系统的审计机制的研究与实现

安全审计作为安全操作系统的一个重要安全机制。对于监督系统的正常运行、保障安全策略的正确实施、构造计算机入侵检测系统等都有重要的意义。论文研究了安全审计的相关原理,分析了现有审计机制存在的相关问题,提出了一个内核级安全审计模型,在此基础上实现了一个基于Linux资源的审计系统。     

基于强制访问控制的安全Linux系统设计与实现

论文首先研究强制访问控制模型,分析了基于信息保密性的Bell-Lapadula模型与基于信息完整性的Biba模型。在此基础上提出了安全增强型Linux系统的体系结构,详细描述了安全系统的各功能组件及关键技术。安全系统对Linux系统资源实施强制访问控制,保护资源的机密性、完整性,系统具有入侵追踪功能,能够很好地抵御本地与网络入侵。     

基于双空间审计迹的Linux安全审计技术

在研究Linux安全审计技术的基础上,提出一种基于双空间审计迹的安全审计方法,融合操作系统内核空间的系统调用和用户空间的库函数调用,提高对操作系统内核层攻击和恶意用户行为的识别能力。对LSM框架进行审计扩展,用于设计审计模型的数据获取模块,增强了模型的审计粒度、安全性和灵活性。为了提高安全审计的实时性,引入典型集方法压缩正常行为特征库。     

一种增强的Linux系统安全审计机制

提出了一个增强Linux系统安全审计功能的机制。该机制以可装载内核模块技术为基础,提供系统层和应用层两个层次的审计功能。系统审计为每个安全相关的系统调用生成审计记录。应用层审计改变了传统的完全依赖于应用程序在用户空间写日志文件的方式,由应用程序和内核共同产生审计记录。最后给出用该审计机制进行入侵检测的例子。     

基于LKM的Linux安全检测器的设计与实现

分析两个Linux 后门工具的实现机制,指出它们的原理及其危害;针对Linux操作系统的特点提出两种保护Linux内核的方法,即单模块内核方式和带安全检测的LKM方式。给出了基于LKM的Linux 安全检测器的实现方法,实验表明,该安全检测器能有效地记录LKM后门工具以及病毒对系统的攻击和非法访问,能够帮助系统管理员维护Linux操作系统的安全。     

Linux下基于交叉视图的隐蔽恶意代码检测

Rootkit是攻击者入侵操作系统后,用于秘密保留对目标机器的超级访问权限的一项技术.首先分析了内核级rootkit的原理,分析了现有的Iinux rootkit的检测方法并指出其中的不足.在此基础上,提出一种基于交叉视图的隐藏恶意代码自动检测方法,并提出了系统恢复的机制.提及的检测和恢复系统以可加载内核模块的形式实现,可还原被恶意修改的系统调用表的内容,终止隐藏的进程,移除隐藏的文件,阻止攻击网络流.实验数据表明提出的方法是有效可行的.     

基于LKM的RootKit技术

后门技术是网络安全领域一个十分重要的研究对象。本文简要地介绍了传统后门技术和基于LKM的后门技术的区别,并详细分析了当前LKM rootkit广泛采用的一些技术手段。     

基于角色模型的Linux文件血统及其安全机制

文章分析了Linux系统文件访问授权及控制机制的不足———孤立地看待文件之间的关联关系,借鉴数据血统思想提出了文件血统的概念,用以描述文件的安全关联。角色模型忽略了被访问客体的安全关联,使安全机制存在无法克服的漏洞,文章引入文件血统对角色模型的权限定义、权限配置、权限审查、访问控制四个与系统安全密切相关的问题进行了讨论,重点描述了文件血统和访问控制的结合方法。     

Proc文件系统的研究与应用

当前驱动调试过程中,获取某些寄存器的值大都采用把该值输出到日志文件的方式来查看;在嵌入式Linux应用开发中,父进程检测子进程的状态往往通过子进程主动向父进程发送消息的方式来获得.通过分析proc文件系统的注册、安装、管理发现该文件系统可以对上述问题进行优化,提出proc文件系统用于驱动程序的调试和监视子进程状态的解决方案,对加快驱动调试和提高应用程序的稳定性有十分重要的意义.     

采用统一接口采集Linux内核信息的方法研究

Linux操作系统本身为用户程序提供了大量接口用于采集内核信息,每一种类型的内核信息都有一个相应的接口。一个对Linux内核进行全面监控的监控系统需要采集大量的内核信息,这就需要调用大量的接口,这给监控系统带来了很大的复杂性。文中提出了一种采用统一接口采集内核信息的方法,并对其进行了研究与实现,采用这种方法。用户程序从同一个接口可以采集到所有的内核信息,简化了用户程序对内核信息的访问。