操作系统安全防护浅析

前    言

操作系统作为计算机系统的核心，其安全性直接关系到个人隐私、企业数据和国家信息的安全。在信息技术快速发展的今天，信息泄露已成为常见的安全威胁，因此保障操作系统安全是防止计算机中重要信息泄露的基本要求。本文分上下两篇从操作系统的各个层面分析操作系统中可能存在的安全问题及其防护措施。

本文为上篇，从五个方面对操作系统安全防护进行简要介绍，主要包括操作系统版本、标准操作环境、操作系统防护配置、应用程序管理和应用程序控制，期望可以使读者对操作系统安全防护有初步的了解。

操作系统版本

旧版本的操作系统，特别是供应商不再支持的操作系统，可能会遭受恶意行为者利用已暴露的漏洞进行攻击。较新的操作系统版本通常会引入安全功能方面的改进，这使得恶意行为者难以对他们发现的漏洞进行攻击利用。此外，64位版本的操作系统支持32位版本不具备的额外安全功能。因此使用最新版本的操作系统，并在系统支持的情况下，使用64位版本的操作系统会提高操作系统的安全性。

标准操作环境

允许用户配置、维护他们自己的工作站和服务器可能导致不一致的操作环境。因为工作站和服务器配置或维护不当时，这样的操作环境会帮助恶意行为者在网络上获得最初的立足点，为他们进行恶意攻击提供机会。此外，当国有企业从服务提供商等第三方获得时，还应考虑额外的网络供应链风险，例如意外或故意包含恶意代码或配置。

标准操作环境(Standard Operating Environment ，SOE)是通过自动化构建过程或映像提供的，旨在促进标准化和一致化的操作环境。为了减少恶意攻击发生的可能性，应该努力从可信的第三方获取它们的SOE，同时扫描它们的恶意代码和配置。同时由于操作环境自然会随着时间的推移而变化，例如应用补丁或更新、更改配置、添加或删除应用程序，因此必须至少每年审查和更新SOE，以确保维护最新的版本。

操作系统防护配置

当操作系统以默认状态部署或使用未经批准的配置时，可能会导致不安全的操作环境，从而允许恶意行为者在网络上获得初始立足点。操作系统中存在许多设置，允许将操作系统配置为批准的安全状态，以便将这种安全风险降至最低。澳大利亚信号理事会(Australian Signals Directorate ，ASD)和供应商制定防护指导，以帮助防护操作系统的配置。

常见的操作系统安全配置如下：

• 开发、实施和维护经过批准的操作系统配置。
• 当ASD和供应商防护指导对操作系统进行防护发生冲突时，要优先考虑最严格的防护指导。
• 禁用或删除不需要的帐户、组件、服务和操作系统的功能。
• 更改操作系统的默认帐户或任何预配置的帐户。
• 禁用可移动介质的自动执行功能。
• 禁用或删除Internet Explorer 11。
• 禁用或删除. Net Framework 3.5(包括.Net 2.0和3.0)。
• 开启操作系统漏洞保护功能。
• 不允许非特权用户绕过、禁用或修改操作系统的安全功能。
• 禁止非特权用户运行脚本执行引擎，包括:
• Windows脚本主机(cscript.exe和wscript.exe)
• PowerShell (PowerShell .exe、powershell_ise.exe和pwsh.exe)
• 命令提示符(cmd.exe)
• Windows管理工具(wmic.exe)
• Microsoft超文本标记语言(Hypertext Markup Language，HTML)应用主机(mshta.exe)。

应用程序管理

非特权用户安装任何应用程序的能力可以被恶意行为者利用，通过使用社会工程来说服他们安装恶意应用程序。减轻这种安全风险的一种方法是，允许非特权用户从组织管理的软件存储库或受信任的应用程序市场安装经过批准的应用程序，同时也可以减轻系统管理员的负担。同时，为了防止非特权用户删除安全功能或破坏系统功能，非特权用户不应该有卸载或禁用批准软件的能力，即：

• 非特权用户没有能力安装未经批准的软件。
• 非特权用户没有能力卸载或禁用已批准的软件。

应用程序控制

应用程序控制是一种有效的方法，不仅可以防止恶意代码在工作站和服务器上执行，还可以确保只有经过批准的应用程序才能执行。在开发应用程序控制规则集时，确定批准的文件有：

• 可执行文件(例如.exe和.com文件)
• 软件库(例如.dll和..ocx文件)
• 脚本(例如.ps1、.bat、.cmd、.vbs和.js文件)
• 安装程序(例如.msi、.msp和.mst文件)
• 编译的HTML(例如.chm文件)
• HTML应用程序(例如.hta文件)
• 控制面板小程序(例如.cpl文件)
• 基于业务需求的驱动程序

此外，用户最好定义自己的应用程序控制规则集，而不是依赖于来自应用程序控制供应商的规则集，并每年或更频繁地验证它们。在实现应用程序控制时，用户应该使用可靠的方法或方法的组合，例如加密散列规则、发布者证书规则或路径规则。根据所选择的方法，可能需要进一步加强，以确保应用程序控制机制和应用程序控制规则集不能被恶意参与者绕过。最后，集中记录和分析应用程序控制事件可以帮助监控系统的安全状态，检测恶意行为并有助于网络安全事件后的调查。

应用程序控制具有以下特点：

• 应用程序控制可在工作站、面向internet的服务器和非面向internet的服务器上实现。
• 应用程序控制应用于操作系统、web浏览器及电子邮件客户端使用的用户配置文件和临时文件夹。
• 应用程序控制将可执行文件、软件库、脚本、安装程序、编译后的HTML、HTML应用程序和控制面板小程序的执行限制在用户批准的范围内。
• 应用程序控制将驱动程序的执行限制为用户批准的集合。
• 应用程序控制使用加密哈希规则、发布者证书规则或路径规则实现。
• 使用发行者证书规则实现应用控制时，使用发行者名称和产品名。
• 使用路径规则进行应用控制时，只有经过审批的用户才能修改和写入经过审批的文件和文件夹。
• 使用路径规则进行应用控制时，只有经过审批的用户才能对经过审批的文件和文件夹修改文件系统权限。

小  结

本文主要从操作系统版本、标准操作环境、操作系统防护配置、应用程序管理和应用程序控制五个方面对操作系统安全防护进行简要介绍，期望可以对想要初步了解操作系统安全防护的读者有所帮助。下篇将对操作系统安全防护中防护软件、日志等方面进行介绍。

参考文献

《Information Security Manual (June 2024)》