椒图科技李科:由内而外的"服务器安全"

　　事实告诉我们，只注重网络层和应用层安全并不能高枕无忧，对系统层的防护已经成为信息系统安全不可或缺的部分。然而现状却是，人们对系统层安全防护的认知还未到应有的高度，善于概念炒作的IT界对计算机防护等级的要求并不高，从不时发生的IT企业被拖库便可见一斑。

　　近日，深圳市安盾椒图科技有限公司（简称“椒图科技”）成功举办的“JHSE椒图主机安全环境全球有奖公测”活动，将系统层 “服务器（主机）安全”这一概念引入人们的视野。在线上活动进行当中，椒图科技还参加了4月1日开幕的中国国防信息技术与装备展览会，并在现场搭建测试环境进行实地攻防演练。为了进一步了解相关的概念和产品，笔者在椒图科技展区专门采访了椒图科技常务副总经理李科先生。作为国内信息安全领域资深技术专家，他向我们详细阐释了椒图科技的“服务器安全”理念。

椒图科技常务副总经理 李科

　　携服务器安全产品亮相国防信息化装备展

　　椒图科技此次参加国防信息化装备展，带来了包括JHSE椒图主机安全环境系统、JFORT椒图内控管理平台（堡垒主机）、JWEB椒图网站应用防火墙、JDB-AUDIT 椒图数据库安全审计在内的一系列安全产品，以及专门针对军工行业推出的JHSE主机安全管理解决方案，为构建具有军工行业特色的信息安全保障体系提供专业支持。

　　目前国内军工行业的大部分业务系统依然离不开国外产品，在信息安全方面亟需自主产品来担当，椒图科技瞄准了这个需求。李科说：“军队、军工、公安对计算机防护等级有不同的要求，我们的JHSE产品已经获得了军用信息安全产品认证证书、涉密信息系统产品检测证书等资质，完全达到军队应用的标准要求。”

　　事实上，椒图科技展出的安全产品面向的行业比较广。“不限于国防信息领域，只要有服务器操作系统的地方就需要安全保护，机密等级越高，业务重要性越高的地方，越需要我们的产品。”李科提到椒图科技的产品优势在于将服务器安全系列产品的功能结合起来，例如JFORT堡垒主机，堡垒主机并不是一个新概念，但JFORT集合了椒图科技的操作系统防护技术，这是别的产品达不到的。

　　实战检验产品，5000美金悬赏公测

　　椒图科技设立5000美金大奖对JHSE这一产品进行公测，吸引了国内外广大的技术爱好者关注和参与。据了解，JHSE严格按照国标三级操作系统安全标准，解决整个操作系统层面的安全问题，为信息系统提供纵深防御体系，适用于目前主流的商用操作系统及各个行业领域，是我国首款通过国标三级检测的通用型安全操作系统。

　　从某种意义上说，开展这样的测试活动不仅是为椒图科技自己测试产品，也是在替客户测试产品。“我们很欣赏国外一些厂商的做法，比如Google、微软，它们经常拿出自己的产品来进行有奖测试。这样既能够完善自己的产品，给客户提供更好的服务，又能推动产品技术在该领域的向前发展。”李科表示，“举办产品有奖公测，也是借鉴国外的这种成功模式。我们将产品放在了最真实的环境中，接受全球技术高手最 ‘严酷’的实战测试，在全面检验产品的可靠性的同时，也让客户直观地了解产品性能，给予客户信心。”

　　这是一次真正的攻防对决。“我们认为这个做法是良性的。通过这个活动真正检验产品的可靠性，用户也会获得很好的体验。同时通过这样的技术交流，又推动中国信息安全整个行业方案、技术向前发展。”李科补充道。

　　“由内而外”——椒图科技的“服务器安全”理念

　　目前，业内对“服务器安全”的认识一般包含两个方面：一是操作系统安全，包含终端和服务器；二是数据库安全。椒图科技倡导的“服务器安全”理念不是简单的业务服务器“操作系统安全”。据李科介绍，椒图科技提出的服务器安全防护体系和传统解决方案是完全不同的两个架构：传统的解决方案以边界防护为核心，层层包围，最后才到服务器操作系统；而椒图科技所倡导的服务器安全理念，是以操作系统作为核心，由内而外，从系统层向应用层、网络层辐射。

　　“服务器安全的核心是对服务器操作系统提供内核级的保护”，李科认为这是服务器安全涉及的最基本的功能。“我们产品最大的优势在于实现了‘三权分立’和细粒度的‘强制访问控制’，不论在管理平台还是业务服务器上，给予管理员、操作员和审计员的都是最小权限。”在操作系统防护的基础上，集合内控审计和应用防护，形成一个完整的服务器安全防护的概念。“从最底层、最核心的地方，数据存在的地方，由内而外，从操作系统层向外辐射。”——JHSE和堡垒主机实现对服务器的防护，JWEB实现对应用的防护——“这是一个大的“服务器安全”的概念。”

　　这样的防护理念，保证了系统在外围被攻击渗透之后，核心依然受到保护。在面对APT攻击时，基于“服务器安全”理念优势明显。李科说：“任何不符合特征的行为都会被拒绝。以这种思路去做，就能够对恶意代码免疫，APT攻击没有了潜伏的环境。”系统内部的任何操作都会被监控记录，再通过审计分析，任何蛛丝马迹都会被发现。

　　最后，李科还介绍了椒图科技的技术团队情况。椒图科技拥有国内顶尖的操作系统安全人才，他们对Unix（AIX、Solaris、HP-UX 等大型商用系统）、Linux以及Windows系统内核有着十年以上的研究。多年的技术积累，打造出一系列优秀的服务器安全防护产品，也造就了椒图科技今天的业内领先地位。