CN1204496C - 优利克斯计算机系统中安全转换用户的方法和系统 - Google Patents

Abstract

一种监视进程，用于在基于UNIX的计算机系统中定义和检测用户转换犯规行为和问题，该监视进程周期性地向系统管理员发出存在潜在安全风险的警告。这个监视进程按预定时间表执行，或者通过人工命令调用。先由系统管理员定义一套规则，并且在UNIX用户转换日志中找出的与任何规则相符的任何用户转换事件都被标记为犯规行为或潜在安全问题，并把警告通知发送到诸如电子邮件地址之类的特定输出设备。

Description

优利克斯计算机系统中安全转换用户的方法和系统

                          技术领域

本发明涉及计算机用户安全技术和访问控制技术，尤其涉及应用在UNIX(优利克斯)和类UNIX操作系统中的那些计算机用户的安全技术和访问控制技术。

                          背景技术

各种不同形式的UNIX操作系统，也包括类似操作系统，是执行关键性任务的应用程序赖以存在的强有力工具。它的安全性、可伸缩性和稳健性使它经得起时间的考验，今天，大多数互联网服务器都以UNIX计算机作为寄主。尽管它如此强大，但是，仍然存在着利用其能力的方法。消除、或至少减轻发生恶意行为的可能性，是UNIX系统管理人员的主要目标。

UNIX系统可能易于操纵的一个方面，是一个用户把ID转换成其它不同用户(“SU′ing”)的方面。在某些情况下，这可能被人恶意利用。在无安全措施的控制台根目录(root)上，不怀好意的用户不到15秒内就可能为他或她的ID启用SU功能。之后，那个用户可能接管机器上的根目录权限，并窥视或毁坏系统上的敏感数据，该系统本是赋予特权给根用户、而不是赋予给不怀好意用户一般ID的。

这样的“用户转换”也可能因手指的轻轻一碰而无意地发生，或者授权系统管理员可能粗心大意地把SU权限授予一个用户。

无论是恶意地还是无意地实施了这种转换，其后果是相同的，因为受影响的用户现在已经完全控制了整个系统，并在整个系统上具有特权。

有两种措施可以让管理人员发现这样的权限已经被授予了和/或被使用了。系统管理人员可以人工地审查每个用户ID的特性。由于大型机构往往拥有数百个、甚至数千个被配置成使用他们系统的用户，因此，这样的周期性检查是不切实际的。

可以使用的第二种方法是用眼睛去审查‘SULOG’文件，这个文件包含了‘转换用户’各种活动的历史记录。由于这个文件可以是非常巨大的，并在系统目录结构中埋得很深，因此，对SULOG文件的审查也只不过偶尔为之。一般来说，管理人员通常太专心于其它职责，以致于不能周期性地检查这个文件。

应该注意到，可以授予SU权限，以便给予特定用户以转换成根ID的能力，或者，也可以授予SU权限，以便使用户也能够利用其它ID。后一种情况常发生的例子包括允许某些用户把他们的登录名(log-in)转换成‘oracle’ID或‘备份(backup)’ID。由于这样的ID往往具有扩展的和关键性的功能和可用于它们的数据，因此，留意这样的活动也是重要的。

因此，已经被授予了低级或限制级特权或“许可访问权限”的用户可以具有指定给他的初始登录ID，然而，通过对根ID进行SU操作，他可以获得更高级的特权。目前，在一些有此默认功能的UNIX或其它类UNIX的操作系统中，这是非常难以跟踪和检测的。

因此，在技术上，需要一种在基于UNIX和类UNIX的系统上监视非授权用户转换或用户切换，以便一旦检测到非授权用户转换活动，就可以采取适当的纠正动作的系统和方法。最好，这个系统应该是系统管理员无需对操作系统或已经定义的用户ID作显著改变就能够容易实现的。最好，该系统和方法将提供诸如电子邮件通知之类的远程通知功能，以便把检测到的犯规行为通知系统管理员。

                            发明内容

本发明提供一种方法，用于在与用户ID切换和转换相关的计算机系统中检测潜在安全犯规行为和问题，所述计算机统含有用户ID切换和转换的日志，所述方法包括下列步骤：提供一套规则，用于定义将被认为存在潜在安全问题的用户ID切换和转换的条件；根据所述一套规则，提供适合于评估用户ID切换和转换的所述日志的方法；评估用户ID切换和转换的所述日志，以找出所述日志中与所述一套规则中的一个或多个所定义条件相符的任何条目；和输出对找出符合所述条件的一个或多个日志条目作出响应的警告消息。

本发明还提供一种系统，用于在与用户ID切换和转换相关的多用户计算机中检测潜在安全犯规行为和问题，所述多用户计算机含有用户ID切换和转换的日志，所述系统包括：一套规则，用于定义将被认为存在潜在安全问题的用户ID切换和转换的条件；日志评估器，用于评估所述用户ID切换和转换的日志，以找出所述日志中与所述一套规则中的一个或多个所定义条件相符的任何条目；和警告消息输出装置，用于输出对找出符合所述条件的一个或多个日志条目作出响应的警告消息。

这里公开的监视进程，用于在基于UNIX的计算机系统中定义和检测用户转换犯规行为和问题，该监视进程周期性地向系统管理人员发出存在潜在安全风险的警告。这个监视进程优选按照预定的时间表执行，或者通过人工命令调用。先由系统管理人员定义一套规则，在UNIX用户转换日志中找出的与任何规则相符的任何用户转换事件都被标记为犯规行为或潜在安全问题，并把警告通知发送到诸如电子邮件地址之类的特定输出设备。

犯规规则被方便地以文本文件定义，和在优选实施例中，UNIX时间安排守护程序(daemon)CRON被配置成周期性地执行监视脚本。因此，系统管理员可以制订各种规则、监视的周期、警告输出目的地、甚至是源用户转换日志文件，从而便于系统管理员极其灵活地找出和检测各种各样可能出现的安全问题。

                         附图说明

如下结合附图的详细描述将全面公开本发明。

图1陈列了基于UNIX的计算机系统的一般结构；

图2显示了用户转换监视脚本或进程的逻辑流图。

                       具体实施方式

UNIX操作系统和诸如IBM公司的AIX、BSD、惠普(Hewlett Packard)公司的HP-UX、LINUX、和SUN微系统公司的Solaris操作系统之类的类似操作系统都是使本发明得以实施的重要可选对象。由于在技术上，这些操作系统都是众所周知的，因此，在这里公开的发明将一般地针对UNIX来描述。使所公开的发明适用于特定的类UNIX操作系统，应在本领域普通技术人员的知识范围之内。

转到图1，图1显示了基于UNIX的计算机系统的一般性结构1。硬件平台2通常包括中央处理单元或微处理器、系统存储器、和诸如键盘、显示器、指示设备、和多媒体外设之类的用户接口设备。硬件平台可以是个人计算机、或多用户服务器类计算机。UNIX内核3提供了系统管理功能，它管理执行软件进程和守护程序的系统存储器。内核3还管理系统硬件设备、调度所有命令的执行、和包含控制系统硬件的设备驱动程序。设备驱动程序是使软件进程和系统守护程序与诸如硬盘驱动器、网络接口卡、显示器和打印机之类的硬件平台部件配接的设备专用软件模块和文件。

UNIX外壳4是系统的用户接口命令行部件，该系统允许简单自然的命令输入到其中。通过外壳4输入的命令，被传给内核3、软件进程、或系统守护程序，用以处理和执行。

一些基于UNIX的系统配备了诸如窗口环境之类，用户界面更加友好的图形用户界面(“GUI”)或公用桌面环境(“CDE”)5。

另外，诸如工作站之类的一些UNIX系统含有诸如键盘、监视器和指示设备之类的直接用户接口设备6。但是，一些基于UNIX的系统通过诸如以太网卡和调制解调器之类各种形式众所周知的网络接口，与计算机网络7形成网状连接，这使得基于UNIX的系统1可以被位于远端的许多用户共享。几乎所有基于UNIX的系统都配备了诸如硬盘驱动器之类的系统硬盘9。

在优选实施例中，本发明在图1所示的基于UNIX的系统上得以实施。本发明的逻辑部分以根据预定时间表和/或根据系统管理员所作的特定调用执行的脚本得以实施。

以后要作更详细描述的脚本，优选由系统的“CRON”守护程序根据预定时间表来执行。CRON守护程序是读出配置文件、和按照配置文件的内容行事的公用UNIX系统守护程序。这是根据周期运行SUMON脚本的方便方法，但是，对于脚本的这种周期性执行来说，这不是唯一可能的实现手段。例如，脚本可以是自定时的，循环运行直到系统时钟到达预定值为止；或者可以把它指定成系统定时器中断。这样，CRON守护程序的使用只不过是优选实施例的一个方面，本发明并不仅限于此。

典型地，CRON配置文件包含要执行的一个命令或数个命令，执行命令的星期几、日期和时间、和应该执行命令的用户名。在大多数类UNIX的系统中，这些配置文件被称为“CRONTAB”文件。

CRON守护程序和CRONTAB文件在技术上是众所周知的。因此，在优选实施例中，把脚本在基于UNIX的系统上提供，然后，利用要由CRON守护程序根据周期执行的CRONTAB文件调度它。这使系统管理员不再需要周期性地或定期地监视SULOG文件。但是，任何时候如果系统管理员想运行本发明，他可以通过简单的命令行输入调用它。

被称为“SUMON”的用户转换(或用户切换)监视脚本由如表1的例子所示的、象每天一次那样周期性地执行的CRONTAB文件构成。

----------------------------------------------------------

                表1：CRONTAB文件内容的例子

<time>sumon-f<sourcefile>-e<emailaddress>-r<rulesfilename>

----------------------------------------------------------

如表1所示，<time>规定执行SUNON脚本的星期几、某月、该月的某日、某时和某分。例如，为了把CRON安排成在下午11点55分每天一次地运行SUMON脚本，把参数<time>设置成“55 23 ***”，此处，通配符“*”表示该星期的任何一天、任何一个月、和该月的任何一天。

并且，如表1所示，“-f<sourcefile>”参数规定在其中搜索SULOG信息的文件。如果省略，就搜索系统默认SULOG文件，譬如“/var/adm/syslog”。

参数“-e<emailaddress>”规定了一个如果检测到报警条件，就向其发送警告消息的电子邮件地址。如果省略这个参数，就可以把警告消息发送到默认电子邮件地址，譬如root@<host_name>，其中<host_name>是正在运行SUMON脚本的主计算机的名称。

参数“-r<rulesfilename>”规定包含一系列将触发警告通知的用户转换条件的文件。

为了参考起见，表2显示了SULOG的例子，它包含系统上“切换用户”命令使用的历史记录。SULOG，或它的等效物，是每当用户调用SU命令时，由系统内核自动创建的。

----------------------------------------------------------

                 表2：SULOG文件内容的例子

----------------------------------------------------------

    SU 07/05 15:29+pts/2 notes-root

    SU 07/07 15:17+pts/1 root-root

    SU 07/07 15:17+pts/1 root-notes

    SU 06/31 09:25-pts/1 notes-root

    SU 09/08 08:56+pts/1 root-root

    SU 09/08 09:06+pts/3 notes-root

    SU 09/08 09:06+pts/3 notes-root

----------------------------------------------------------

与在真正基于UNIX的系统上找出的典型SULOG文件相比，表2给出的SULOG的例子是非常简短的。实际上，对于单个一天的活动，大多数SULOG文件包含数以百计、甚至数以千计的条目。

一个报警条件文件，或“RULES”文件，包含在SULOG中搜索犯规的次数或时间范围的定义、被认为是犯规的用户转换条件、和在创建警告消息之前可以容忍多少个犯规事件。例如，系统管理人员可以想要接收满足如下用户转换条件的警告消息：

1.if ANYONE switches to ROOT；(如果任何人转移到根)

2.if ANYONE switches to ANY OTHER SPECIFIED ID；(如果任何人转换到任何其它特定ID)

3.if SPECIFIC USER switches to another ID between CERTAIN HOURS(如果特定用户转换到确定时间的另一个ID)；或

4.if SPECIFIC USER switches over an absolute number of occasions

within a set window of time。(如果特定用户在一组时间窗内转换超过一绝对次数)

表3显示了RULES文件的示范性内容。如果在执行SUMON脚本时，检测到由系统管理员设置的特定规则的某些条款被违反了，那么，把警告消息发送到特定的电子邮件地址(通常被配置成指向系统管理员的电子邮件地址)。

----------------------------------------------------------

                表3：RULES文件内容的例子

----------------------------------------------------------

from-id   to-id   time-start   time-stop   occurences

  *        root     *             *           -1

  batch    oracle   0600          1700        -1

  joe      backup   *             *           5

----------------------------------------------------------

示范性RULES文件的第一行规定在任何时候，从任何ID转换到ROOT都是犯规的。“-1”表示这种情况的任何发生都是不能容忍的。

在示范性规则文件的第二行中，把另一种犯规定义为在6:00AM与5:00PM之间，BTACH ID转换成ORACLE的任何时候。

在示范性规则文件的第三行中，把第三种犯规定义为在SULOG文件内用户“joe”转换成BACKUP ID多于5次的任何时候。这种类型的规则可用于检测通常可允许的转换，但是，当用得太频繁时，可能暗示着安全问题。通过周期性清除SULOG，系统管理人员可以控制允许5次转换的时间长度。

因此，如上所述，SUMON脚本用于实现在SULOG中搜索违反了在规则文件中所建立的规则的日志文件中的条目的逻辑部分。UNIX脚本文件，或‘外壳脚本’，包含一系列在那时可以通过人工调用或通过自动系统调用执行的文件中的命令。脚本在技术上是众所周知的，通常用于使外壳级上采取的一系列人工动作自动化。脚本可以包含执行循环的命令、IS-THEN语句、以及其它命令。此外，脚本可以从命令行或从脚本文件接受把输入到脚本中进行处理的任务。

转到图2，图2公开了SUMON脚本的基本逻辑部分。在初始化(21)系统之后，通过规定如表1那样的适当CRONTAB文件，调度(22)要由CRON守护程序执行的SUMON脚本。然后，UNIX CRON守护程序连续监视(23)系统时钟，以确定是否到了运行SUMON脚本的时候。

如果到了运行SUMON脚本的时候(或者，如果脚本被系统管理人员人工调用)，那么，从RULES文件(25)读出(24)第一条规则。然后，在SULOG(27)中搜索(26)与当前规则相匹配或违反当前规则的任何条目。如果找到(28)与当前规则相匹配的条目，那么，创建(29)输出的警告消息，譬如，发给特定电子邮件接收者的电子邮件消息，或写入警告文件的条目。

接着，检验(30)RULES文件(25)，以确定是否还有什么其它规则需要检验。如果存在其它规则，那么，读出(31)下一条规则，和在SULOG(27)中再次搜索(26)相匹配的条目。

一旦所有规则都经过了处理(30)，SUMON就终止执行，并且直到在CRON守护程序检测到是再次执行SUMON脚本的时候(23)，或者，在SUMON脚本被系统管理员人工调用时，才再次运行。

因此，通过利用所公开的SUMON脚本，周期性地自动审查SULOG，提高了UNIX环境的安全性，系统管理员从查遍数以百计到数以千计的SULOG条目，找出许多可能犯规条件的任何一条的乏味工作中解脱出来。本领域的普通技术人员应该认识到，许多修正、改进和替换可以用在本发明的实施中，譬如，SUMON功能用C++或Java程序实施，使用另一种操作系统等，均不偏离本发明的精神和范围。由于在这里给出的描述只是为了示范的目的，本发明的范围应该由如下的权利要求书限定。

Claims (11)

1.一种方法，用于在与用户ID切换和转换相关的计算机系统中检测潜在安全犯规行为和问题，所述计算机统含有用户ID切换和转换的日志，所述方法包括下列步骤：

提供一套规则，用于定义将被认为存在潜在安全问题的用户ID切换和转换的条件；

根据所述一套规则，提供适合于评估用户ID切换和转换的所述日志的方法；

评估用户ID切换和转换的所述日志，以找出所述日志中与所述一套规则中的一个或多个所定义条件相符的任何条目；和

输出对找出符合所述条件的一个或多个日志条目作出响应的警告消息。

2.根据权利要求1所述的方法，其特征在于：提供适合于评估所述日志的方法的所述步骤包括配置一个由具有类UNIX操作系统的系统中的CRON守护程序周期性执行的脚本。

3.根据权利要求1所述的方法，其特征在于：提供适合于评估所述日志的方法的所述步骤包括配置一个由具有类UNIX操作系统的系统中的CRON守护程序周期性执行的进程。

4.根据权利要求1所述的方法，其特征在于：评估用户ID切换和转换的所述日志的所述步骤包括评估含有类UNIX操作系统的系统中的SULOG文件。

5.根据权利要求1所述的方法，其特征在于：输出警告消息的所述步骤包括把电子消息发送到预定目的地址。

6.一种系统，用于在与用户ID切换和转换相关的多用户计算机中检测潜在安全犯规行为和问题，所述多用户计算机含有用户ID切换和转换的日志，所述系统包括：

一套规则，用于定义将被认为存在潜在安全问题的用户ID切换和转换的条件；

日志评估器，用于评估所述用户ID切换和转换的日志，以找出所述日志中与所述一套规则中的一个或多个所定义条件相符的任何条目；和

警告消息输出装置，用于输出对找出符合所述条件的一个或多个日志条目作出响应的警告消息。

7.根据权利要求6所述的系统，其特征在于：还包括调度器，用于周期性地操作所述日志评估器。

8.根据权利要求7所述的系统，其特征在于：所述调度器包括CRON守护程序，和所述日志评估器包括含有类UNIX操作系统的多用户计算机中的脚本。

9.根据权利要求7所述的系统，其特征在于：所述调度器包括CRON守护程序，和所述日志评估器包括含有类UNIX操作系统的多用户计算机中的可执行UNIX进程。

10.根据权利要求6所述的系统，其特征在于：所述调度器适用于评估含有类UNIX操作系统的多用户计算机系统中的SULOG文件。

11.根据权利要求6所述的系统，其特征在于：所述警告消息输出装置包括发送器，用于把电子消息发送到预定目的地址。