基于Linux操作系统的审计增强.pdfVIP

第31 卷 第12 期 计 算 机 工 程 2005 年6 月 Vol.31 12 Computer Engineering June 2005 基金项目论文 文章编号 1000 3428(2005)12 0049 03 文献标识码 A 中图分类号 TP393;TP312 基于Linux操作系统的审计增强 刘 嘉 訾小超 潘 理 李建华 上海交通大学信息安全学院 上海200030 摘 要 论述了基于Linux 基础平台开发高可靠性安全操作系统中审计系统的设计思想与实现 在此审计系统中 通过审计系统调用实现 了细粒度的系统级审计数据的收集 并且基于B/S 架构 实现了具有自动分析功能的图形化安全远程审计管理平台 关键词 审计收集 远程审计管理 审计分析 Enhancement of Auditing in Linux LIU Jia, ZI Xiaochao, PAN Li, LI Jianhua (College of Information Security, Shanghai Jiaotong University, Shanghai 200030) Abstract This paper discusses how to develop the audit module for secure operating system based on the Linux kernel. This audit subsystem can collect all the core-level information by mounting audit points in the kernel, and provide secure audit management with automate analysis from remote terminal through website. Key words Audit collect; Audit remote management; Audit analysis 随着互联网的蓬勃发展 计算机系统遭受入侵的可能性 一类是核心级的安全操作事件 如 open exec read write 急剧增加 安全问题变得日益复杂和突出 审计系统作为安 等系统调用 另一类为应用层中执行的某些重要事件 如 全操作系统的重要组成部分 保证了操作系统对各种与安全 login passwd useradd 等系统命令和特权命令 它们跟系统 相关事件的跟踪 分析及反应能力 目前半数以上的网络服 的安全密切相关 因此 可从总体上采取以下技术路线 务器以 Linux 作为操作系统 然而迄今为止 Linux 还没有 (1) 应用层的审计事件收集 直接利用Linux 原有的审计功能 提供除syslog 和acct(或pacct) 以外的独立的审计子系统 因 即应用进程主动调用相应的审计收集函数把自己的事件汇报给审计 而Linux 也就无法达到C1 级以上的安全级别 系统 或利用大型服务器自带的审计系统收集 对某些特殊的应用 程序(init logi userdel 等)则需要在程序相应的地方增加审计代码 本文针对Linux 审计功能的不足进行分析和改进 介绍 (2) 核心事件的审计收集 利用 Linux 系统的 LKM (Loadble 了一种符合B1 级安全操作系统需求的具有完整审计机制的