基于安全增強(qiáng)的嵌入式Linux的硬件防火墻設(shè)計(jì)與實(shí)現(xiàn).pdf

1、由于網(wǎng)絡(luò)攻擊行為的日益多樣化,單一的網(wǎng)絡(luò)安全技術(shù)已經(jīng)不能滿足當(dāng)前的安全需求.本文介紹了一種新的分布式防火墻系統(tǒng)-主動(dòng)式防火墻.主動(dòng)式防火墻集成了網(wǎng)絡(luò)地址轉(zhuǎn)換NAT、虛擬專用網(wǎng)VPN、一次性口令認(rèn)證OTP等技術(shù),通過(guò)防火墻和入侵檢測(cè)IDS、漏洞掃描Scanner等多種網(wǎng)絡(luò)安全技術(shù)的聯(lián)動(dòng),實(shí)現(xiàn)了動(dòng)態(tài)防御.本文的研究工作主要分為兩大部分.一是主動(dòng)式防火墻系統(tǒng)框架的設(shè)計(jì),包括主動(dòng)式防火墻中的聯(lián)動(dòng)設(shè)計(jì)和基于安全增強(qiáng)的嵌入式Linux的硬件防火墻設(shè)

2、計(jì).二是安全增強(qiáng)的嵌入式Linux內(nèi)核實(shí)現(xiàn)以及通用安全接口的實(shí)現(xiàn).針對(duì)防火墻模塊和IDS、Scanner等模塊的聯(lián)動(dòng),提出了一個(gè)包括聯(lián)動(dòng)策略接口、通用安全接口、安全信息管理等的整體框架.管理員通過(guò)聯(lián)動(dòng)策略接口制定系統(tǒng)的策略;安全信息管理主要對(duì)日志進(jìn)行規(guī)格化并分析;通用安全接口保證傳輸數(shù)據(jù)的安全性.一旦IDS檢測(cè)到入侵行為或者Scanner發(fā)現(xiàn)漏洞,安全信息管理通過(guò)對(duì)日志的分析后,通知防火墻修改過(guò)濾規(guī)則來(lái)主動(dòng)的保護(hù)內(nèi)部網(wǎng)絡(luò).通過(guò)對(duì)目前防火

3、墻軟硬件方案的優(yōu)缺點(diǎn),以及嵌入式Linux作為操作系統(tǒng)的優(yōu)點(diǎn)的比較分析,提出并設(shè)計(jì)了基于Intel x86工業(yè)主板的硬件防火墻方案,實(shí)現(xiàn)了作為主動(dòng)式防火墻平臺(tái)的嵌入式Linux系統(tǒng).由于嵌入式Linux在安全上的缺陷,無(wú)法滿足作為防火墻平臺(tái)的安全需要.在研究了現(xiàn)有的安全增強(qiáng)的Linux技術(shù)的基礎(chǔ)上,實(shí)現(xiàn)了基于Linux capabilities的安全增強(qiáng)的嵌入式Linux系統(tǒng).通過(guò)使用Linux capabilities這種強(qiáng)制訪問(wèn)控制