SSR模块组成、各模块功能和特性
1 ．身份认证技术
SSR运用数字签名的认证方法认证安全管理员的身份。对于基于web的访问界面来说，它只是一个规则设置界面，SSR的安全管理员用数字签名方式登陆进去后就可以对界面进行操作，对主客体进行安全标记的设置，界面关闭后不影响SSR的运行。
2． 强制访问控制MAC
SSR 的强制访问控制MAC分为两大块：一个是基于用户对文件的访问控制，另一块是基于进程对文件的访问控制。进程在运行的时候就绑定了用户主体，所以进程本身也是一个主体，当一个客体受到安全标记的保护的时候即使root用户也无法访问该客体，除非拥有MAC的权限。
我们在系统访问界面上（如写操作，读操作，杀进程操作等）建立访问控制列表，根据内存中的，也就是应用层传过来的标记表，决定主体对客体在该访问界面上是否有权限。
3． 基于web的配置管理界面
我们通过Web的方式实现用户对SSR的管理配置，在B/S的通讯模式中我们实现通讯的加密以及证书传递，以保证管理者更加方便安全的管理SSR，也就是用户在远程的windows机器利用IE就可以实现对SSR的远程管理。
4． 进程保护机制
SSR提供了一套进程保护机制，可以防止恶意用户杀掉重要的系统进程以及服务进程，从而保障系统的正常运转，这里客体是进程，即使是root用户也无法终止被保护的进程。
通过在进程操作访问界面上，我们判断内存中的进程，和用户的标记，来判断是否有权限让该用户终止该进程。
5． 网络强制访问控制
这里主体是用户，客体是网络资源，SSR把网络资源分为两类，一个是自主的绑定socket端口，另一种是远程连接网络资源，SSR默认情况下是禁止任何主体（用户）使用这两个网络资源的，也就是不允许所有用户绑定端口以及远程连接网络资源，这样可以防止非法取得DAC控制权限的黑客制造系统的隐蔽信道以及窃取网络资源等等。
这里的客体是网络资源，主体是用户，我们在相应的网络访问界面上，根据内存中的主客体的安全标记，来判断在该网络访问界面上该用户是否有权限使用网络资源。
产品部署
SSR的部署非常简单，在对目标服务器的操作系统和应用系统进行细致的安全分析和适当配置后，直接将SSR产品按照说明安装即可。由于采用的是B/S结构的管理方式，管理中心也不需要进行安装，只要通过网络能够访问到服务器即可。
SSR的防护离不开完善的权限分配策略，需要制定详细的文件、进程、注册表等相关访问控制列表，这需要管理人员虽自己的应用和系统非常了解。因此，浪潮的技术工程师在安装了SSR系统后还需要对客户的管理人员进行培训，并且在一段时间内帮助客户的管理员完善策略，以更好的体现出浪潮服务为本的理念。
综述
浪潮SSR服务器安全加固系统在设计时综合考虑了Intranet上的安全问题，具有强大的功能。浪潮SSR可以提供给客户系统安全管理员最有效的方法，保证网络最大限度的安全，同时可以使用户非常方便地使用内部的网络应用。
针对客户的操作系统的多样性，浪潮专门开发了不同操作系统的安全加固产品，目前已经开发出包括：Winodws Server系列、AIX、Solaris、HP-UNIX、Redhat等主流的操作系统得安全加固系统。
(责任编辑：罗洪泽)
<<上一页
1
2
