基于Windows内核的服务器安全检测系统 .pdfVIP

基于Windows内核的服务器安全检测系统

50

内核的服务器安全检测系统

张秋水1，吴鸿伟2

（1.厦门市美亚柏科信息股份有限公司，福建厦门361008；2.厦

门大学电子工程系，福建厦门361005）摘要：随着互联网技术的发

展，尤其是云计算的兴起，服务器中存储的信息越来越多，而且也越

来越重要，随之而来的安全问题也日益突出；因此，如何检测服务器

存在的安全隐患是非常必要的。本系统

在通过分析和研究服务器安全方面的技术与Windows内核驱动程

序的基础上，设计并实现了基于Windows

系统的服务器安全检测系统。该系统基于文件系统过滤驱动、

SSDTHook、TDI驱动及NDIS中间层驱动四

种类型的驱动，对服务器中的文件系统、网络通信等进行全面的

监控。这样检测更全面、准确率更高，也

更容易检测出木马后门等程序。

关键词：服务器安全；Windows内核；驱动程序；监控采集；攻

击

中图分类号：TP393.08文献标识码：A

作者简介：张秋水（1982-），男，硕士，主要研究方向：信息

安全；吴鸿伟（1976-），男，博士，主要研究方向：信息安全。

0引言

近年来，随着互联网技术的发展，尤其是云计算的兴起，服务器

中存储的信息越来越多，而且也越来越重要。各种类型的服务器，如

WEB服务器、DATA服务器、MAIL服务器、DNS服务器，支撑着大

量的业务应用；然而伴随而来的安全问题也日益突出，如分布式拒绝

服务攻击（DDOS），木马病毒等。为防止服务器发生意外或受到意

外攻击，而导致大量重要的数据丢失，服务器一般都会采用许多重要

的安全保护技术来确保其安全。但在实施保护措施之前，首先需要对

服务器安全进行强有力的检测，以发现系统存在的安全隐患。

据IDC必威体育精装版出炉的研究指出[1]，微软Windows服务器在去年销

售金额达177亿美元，超越Unix的175亿，Windows市场份额超过

Unix，登上服务器操作系统龙头，在2009年第四季度，Windows

Server占据的市场份额为73.9%，Linux为21.2%。因此，针对采用

Windows操作系统的服务器安全检测技术具有更大的意义。

本系统在通过分析和研究服务器安全方面的技术与Windows内核

驱动程序的基础上，设计并实现了基于Windows系统的服务器安全检

测系统。该系统基于文件系统过滤驱动、系统服务描述符表(System

ServicesDescriptorTable,SSDT)Hook、网络传输层接口

（TransportDriverInterface,TDI）驱动及网卡驱动接口标准

（NetworkDriverInterfaceSpecification,NDIS）中间层驱动四种

类型的驱动，对服务器中的文件系统、网络通信等关键模块进行全面

的监控、检测。与传统的特征检测方式不同，本系统采用行为检测的

方式，这样准确率更高，也更容易检测伪装的木马病毒等恶意程序。

1Windows总体结构

1.1Windows体系架构

Windows系统中，应用程序与系统程序本身是隔离的，系统程序

代码

运行在处理器的特权模式下（称为内核模式，KernelMode），

可以访问系

统数据和硬件；应用程序代码运行在处理器的非特权模式下（称

为用户

模式，UserMode），只有有限的一组接口可以使用，对系统数

据的访问受

到限制，只能通过系统程序通过服务的形式调用，并且无法直接

访问硬

件

[2]，如图1所示。