Linux内核即时入侵检测安全增强－系统调用运行步骤

二．系统调用运行步骤
冰块
　　 我们的系统安全增强是建立在一个内核后面的参考监视器上的。

　　 用户的进程要想访问系统的调用就必须经过这个参考的监视器。如图1。这个系统调用参考的监视器包括两个重要的功能部分：参考功能函数和认证功能函数。参考功能函数是用来生成一个结果，这个结果是关于是否允许或是拒绝一个基于访问控制数据库系统调用请求的。这个访问控制数据库概念性的包括入口和访问控制的规则（规则涉及进程，系统调用，访问模式）。在ACD中的访问控制规则能捕捉在系统调用和他们相关参数的情况。举例，一个execve系统调用的控制规则可以在executable文件列表中指定访问的模式来控制调用这个进程的调用execve的系统调用。这个文件就是调用进程对execve的合法通行凭证。这样的功能可以允许阻止一个有特权的没有正确注册的进程（如，setuid）如交互的shell对系统的非授权攻击或是滥用。

　　 ACD不是参考监视器的一部分，但是对这个数据库的所有控制都是通过参数监视器来控制的。这就是我们说的第二个组件，认证功能组件。

　　 这个组件是用来监视对个别访问控制规则改变的。参考监视器的一个基本的规则就是全部的，也就是所有的访问都必须在这里调停。然而，一般方法在系统调用的高端级别来实现这个功能会有很到的资源的消耗。大约会对系统调用有30%的资源浪费。为了减少这样的消耗，我们提出了一个更加有效率的方法，就是在基于拦截系统内核的系统调用来实现这个参考监视器的功能。我们这个方法能尽量少的改变本地操作系统，也不会改变操作系统内部的官方接口。如类UNIX系统，还有其他的一些公开源代码的操作系统（如，Linux、xxBSD、Solaris）。我们的目的是建立一个参考的监视妻来截获系统调用，并把截获到的系统调用和访问控制数据库进行比较，来确定是不是合法的系统调用和参数。

　　 因为这样的方法是在系统调用生效前就截获的，所以他可以阻止任何由入侵者对系统非法的恶意的系统调用。从而起到保护系统的功能。

原文转自：http://www.ltesting.net