电子商务安全(第2版)-金山私有云解决方案.pdf

金山私有云解决方案

金山私有云安全系统是金山安全系统有限公司开发的一款防御APT攻击的

高级主机安防系统。金山私有云安全系统是一种以私有云技术为基石，以可信应

用控制和主机安全策略为主线，以程序动态安全分析为手段的APT攻击防御系

统。

1工作原理

金山私有云安全系统的主要功能是防御APT攻击，对于APT的防御，需要

建立一套完

整的安全体系，而非单纯依靠杀毒软件附带的黑名单。金山私有云在组织机构内

部建立了一个“可信应用集合”，用这个集合来掌控、洞察、提升和优化内部网

络主机的安全软件环境。将传统安防软件的“泛安全逻辑”转变为“精确安全逻

辑”，再配合主机安全策略、对未知文件的捕获和后期安全性分析，最后实现对

APT的防御。如图1所示。

图1可信应用集合划分精确黑白世界

来源金山私有云安全系统技术白皮书

总之，使用金山私有云安全系统防范APT攻击，分为以下几个具体的步骤：

（1）建立专属可信应用基线【白名单防御】

1

（2）定制主机安全策略【未知文件处置策略】

（3）程序动态安全性鉴定【未知文件安全性分析】

如图2所示：

图2金山私有云安全系统三要素

参考了金山私有云安全系统技术白皮书图2.2

（1）建立可信应用集合

对需要防护的主机进行应用扫描，获取这些主机中所有可执行体集合，并将

该集合与云

端服务器的可信应用库进行匹配，确认所有可执行体的安全性，去除不安全的执

行体，收集未知安全性的执行体，从而形成组织机构自有的知识库。

这个操作将企业内部主机上的所有文件划分为：

可信的（白名单）+恶意的（黑名单）+未知的（灰名单）。

（2）定制主机安全策略

定制主机的强制和弹性行为准则，定制针对灰名单文件的处置方案，如禁止

未知文件执行，未知文件上报，对未知文件的执行日志进行记录或者审计等，以

便在未知文件安全性尚未确认时，确保重要主机的安全性。

（3）程序动态安全性鉴定

对“可信应用集合”挑出来的未知文件（灰文件）做后期的检测，将灰名单

文件送入云

端程序动态分析鉴定器进行鉴定，以确认灰名单中文件是否安全。如果文件安全，

则转为白

名单，否则转入黑名单。基本逻辑用流程示意图如图3所示：

2

图3金山私有云安全系统运行逻辑

参考了金山私有云安全系统技术白皮书图2.3

由上可知金山私有云安全系统的基本运行机制。

（1）可信应用集合的建立是解决APT问题的“关键”。首先根据用户的具体

需求和使用环境，自动化建立主机的可信应用集合。根据这把尺子，彻底地消除

各种已知、未知威胁，使得所有威胁得到有效控制，没有机会在网络内部活动。

（2）可信应用基线的管理是解决APT问题的“本质”。可信应用基线的日

常管理是解决问题的“本质”。知识库的建立，使得用户有了基本的安全底线，

但知识库并非静态数据，而是动态集合，需根据用户环境的变化而变化，所以知

识库的高效自动化管理是APT防御系统的实质。

2安全系统组件

金山私有云安全系统是一套复杂的网络软件系统，它由后端云平台系统与主

机端驻留软件两部分构成，后台云平台系统按照功能划分为：分布式的自动采集

服务器、云安全策略中心、文件云鉴定器、环境基线服务器、客户端管理服务器、

日志审计和鉴权服务中心等多个模块。整个私有云系统各个部件部署关系如图4

3

所示：

图4金山私有云安全系统功能组件

参考了金山私有云安全系统技术白皮书图3.1

3安全系统后端云平台

金山私有云后端云平台，承载了整个私有云的核心功能，负责对所有客户端

提交的可信

应用请求进行匹配，然后返回文件的安全属性；收集整个系统中各个主机