虚拟安全域为核心 椒图科技建安全应用环境

在企业级信息网络中，根据安全等级、安全需求的差异，将物理上分散的各类计算机划入相应的安全区域，在此基础上分别对各区域内的计算机进行集中防护，从而提升整个IT网络的安全水平，这种被称为“虚拟安全域”的防护措施是用户开展信息安全建设时普遍采用的一个重要手段。近年来，伴随着恶意软件的激增和黑客攻击活动的日益频繁，信息化应用环境面临的安全威胁不断加大，“虚拟安全域”防护思想逐渐从整个网络层面向内部的应用层、操作系统层延伸，通过更加精准的防护体系为用户创造出安全的信息化应用环境。

攻防重心转移引发新安全变数

在我国，信息化建设已经实施了几十年，随着信息化应用深入推进，企业级信息网络内的IT 系统数量、复杂度不断提高，网络边界变得越来越模糊，传统针对网络边界的防护措施逐渐显得力不从心。另一方面，近几年爆发的信息安全事件也表明，网络攻击的重心正从网络层向核心层偏移，应用软件、操作系统等面临着越来越大的安全压力。特别是对应用软件来说，由于软件开发商在安全方面的投入相对较少，很多应用软件本身就存在着安全隐患，成为黑客实施网络攻击的突破口和重灾区，为整个信息网络的安全防护体系带来了新的变数。

为了增强应用软件的安全性，部分操作系统厂商提出了基于虚拟操作系统的技术解决方案，将原操作系统划分为多个互相独立的虚拟操作系统，在各虚拟操作系统上运行不同的应用软件，从而实现应用软件之间的相互隔离，避免了由于某个应用软件遭受攻击而给其他软件和操作系统的正常运行带来危害。然而，在实际应用中，由于虚拟化解决方案需要重新部署现有的应用软件，势必对业务系统的连续性造成影响，并且，部分虚拟化解决方案存在着二进制转换、特权指令嵌入及模拟等限制，客观上降低了应用软件运行的效率，从而导致安全性与实用性难以两全的尴尬局面。

依托专利技术打造虚拟安全域

针对现有技术中存在的上述问题，作为国内专业的信息安全厂商，椒图科技发明了“一种强化应用软件安全性的方法及装置”，通过在操作系统上构建多个虚拟安全域，在不影响应用软件运行效率且无需重新部署应用软件及其所在的业务系统的基础上，保证应用软件的安全性，有效规避了传统虚拟化解决方案为了安全性而“牺牲”实用性的弊端。目前，“强化应用软件安全性的方法及装置”已经通过国家知识产权局的认定，成为软件安全技术领域的一项国家发明专利(专利号：201110169741.9)。

从发明专利的内容上看，强化应用软件安全性的方法包括如下几个方面：首先，为操作系统中每个需要保护的应用软件创建一个虚拟的安全域;其次，利用虚拟化技术，将目标应用软件的应用进程、所需资源、安全需求映射为安全域内的主体、客体及域内安全属性，操作系统内其他应用软件的进程、资源等则映射为域外主体和客体;之后，拦截系统内所有应用进程的资源请求，并根据应用进程的位置、资源请求权限等控制主体对客体的访问。此外，本发明还提供了安全域配置管理模块、资源请求拦截模块、安全域访问约束审查模块、实体资源分配及虚拟化模块、安全审计模块等装置，支撑“强化应用软件安全性方法”从理论化为现实。

椒图科技精细化构建安全应用环境

为了将“强化应用软件安全性的方法及装置”发明专利投入到实际应用中，椒图科技推出了 ASVE(Application Security Virtualization Environment)可视化虚拟安全域，通过增强型DTE安全模型的应用，在操作系统中创建出多个虚拟空间(即“安全域”)，将被保护应用软件的进程、所需资源(例如：文件、进程、服务、磁盘、设备、通信端口等)、最严客观安全需求映射进被保护应用软件所对应的安全域内，分别成为该安全域的域内主体、域内客体以及域内安全属性，其他进程和资源则分别映射成域外主体和域外客体，并通过主客体访问约束机制的实施，保证安全域之间、安全域与外部空间之间的安全隔离。同时，椒图科技还对安全域、域内安全属性等元素和主客体访问约束机制作了详细的定义，使ASVE(可视化虚拟安全域)真正发挥出保障应用软件安全运行的作用。

首先是在安全域、域内安全属性等元素的定义方面，通过安全域标识进行区分，如安全域 ID，并通过数值表示安全域的安全等级，从而使每个安全域在操作系统内都具有唯一性。域内安全属性则包括域内主体安全属性和域内客体安全属性，其中，域内主体安全属性细分为Gout(逃离门)属性和特权属性：

Gout属性界定了安全域内主体逃离其所在安全域后所剩余的访问能力，特权属性限定了域内主体除访问能力之外的其他特殊能力;域内客体安全属性细分为Gin(闯入门)属性和域内访问属性：Gin属性界定了非本域中主体在闯入客体所在安全域后对该客体所剩余的访问能力，域内访问属性限定了该安全域内的客体为使同一安全域内主体完成正常业务功能所必需提供给主体的访问能力。

其次是在主客体访问约束机制的定义方面，ASVE(可视化虚拟安全域)遵循权限最小化原则，对主客体处于一个安全域、主客体分布于多个安全域等情况作了详细的定义，具体包括如下五个方面：首先，当域内主体对同一安全域内的域内客体进行访问时，遵循该被访问客体的域内访问属性。当被访问域内客体针对该访问主体的域内访问属性未设置时，该访问仅遵循模型所在操作系统的资源请求约束;其次，当域内主体试图逃离所在安全域访问域外客体时，通过遵循该域内主体的Gout属性，剥离其对域外客体的访问能力，从而限制安全域对域外空间的破坏能力，起到安全隔离的作用;第三，当域外主体试图闯入安全域内访问该安全域的域内客体时，通过遵循该域内客体的Gin属性，剥离其对域内客体的访问能力，从而限制域外空间对安全域的破坏能力，起到安全隔离的作用;第四，当域内主体跨域访问非同一安全域内的客体时，通过遵循该域内主体的Gout属性和被访问安全域内的域内客体的Gin属性，剥离该主体对客体的访问能力，从而限制了安全域间的破坏能力，起到安全隔离不同安全域的作用;第五、当域外主体访问域外客体时，该访问仅遵循模型所在操作系统的资源请求约束。这种实现方法真正做到了强制访问控制与隔离思想的紧密结合，最大程度地实现了数据的完整性保护，再配合动态透明加解密功能，实现数据的机密性保护，从而组成一套完整的数据保护解决方案。

在实际应用中，基于椒图科技ASVE技术构建的虚拟安全域在操作系统中的示意图如下：

安全域示意图

可以看出，虚拟安全域横跨用户空间和操作系统内核空间，其中，用户空间存在着各种安全风险，但是在安全域的保护机制下，将不同的应用封闭在一个个独立的相对隔离的安全域内，应用软件可以安全、可靠地访问内核空间，即使此域内的应用出了安全问题，也不会涉及到整个系统，保障业务系统安全运行。需要特别指出的是，无论是安全域的划分或是域内主客体、安全属性的添加，还是主客体访问约束机制的实施，这些对于应用软件来说都是透明完成的，从而在无需重新部署应用软件及其所在业务系统的前提下，以安全域的形式为应用软件提供了一个安全的运行环境，进而为整个信息网络的正常运作保驾护航。

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]