服務器加固產品分析

公司	深信達	360	中軟華泰	浪潮	威努特	安點科技	北信源
產品名稱	MCK雲私鑰	服務器安全管理系統	節點-操作系統安全加固	主機安全增強系統InCloud   ×××	主機安全加固系統	主機安全防護系統	信源工控衛士
適用場景	終端加固/服務器加固	服務器加固	終端加固/服務器加固	服務器加固	終端加固/服務器加固	終端加固/服務器加固	終端加固/服務器加固
核心功能	安全容器技術，場景級可信控制，磁盤加密，文件訪問控制與恢復，運維管理，可視化集中管理。	禁止非法提權、禁止惡意代碼執行、禁止加載沒有數字簽名的驅動;通過Web中間件流量過濾探針，高效檢測惡意網絡流量，有效抵禦CC***、sql注入、XSS跨站等常規網絡***。另外，基於腳本虛擬機（沙盒）的無簽名WebShell檢測技術，有效檢測各種加密WEBSHELL、變形WEBSHELL等未知安全威脅。	雙因素身份認證, 文件自主訪問控制, 執行程序控制:結合可信計算技術，採用白名單機制，提供執行程序可信度量，阻止非授權及不符合預期的執行程序運行，實現對已知/未知惡意代碼的主動防禦，降低操作系統完整性及可用性被破壞的風險。	降低超級用戶權限被竊取後系統被肆意非法操作的風險, 僅允許白名單庫中的應用程序運行，而所有未在白名單庫中的應用程序均被禁止，防止惡意軟件加載, 移動存儲介質使用行爲的檢測與控制, 通過黑白名單來禁止或允許源IP對目的IP的訪問, 日誌審計, 關鍵事件告警, 統計報表。	USB Key和密碼雙重身份鑑別, 文件、進程、註冊表及服務的強制訪問控制, 詳細記錄安全事件、管理員對操作系統的操作、安全管理員和審計管理員對服務器安全加固系統的操作。	合規檢查：對主機硬件資源的使用情況、口令策略、安全配置等信息進行合規性檢查。 主機加固：從硬件層、內核層和應用層三個層次對系統進行加固增強。 進程管控：採用實時監控進程信息，控制主機的可信進程運行，對非法進程進行阻攔報警。 文件管控 ：阻止對主機應用程序文件的非法操作，並支持文件還原恢復。 外聯管控：對接入USB設備的讀、寫和執行等操作行爲監控，防止未知USB存儲設備接入。 防護審計：對操作日誌、業務日誌、系統日誌等信息進行收集、展示、查詢、統計，並生成可定製的審計報表。	智能識別應用並生成白名單, 限制未經授權的USB外設在特定的主機上運行, 採用獨有的工控網絡防護方法，能有效阻止Havex、沙蟲等最新工控病毒、BadUSB等最新針對工控網絡的***方法, 在不影響正常業務的運行下，採用白名單策略來實現對進程、外設、網絡的防護，實現可持續的行爲安全性。
實現原理	容器技術，強制訪問控制，運維流程審批審計	內核級加固，強制訪問控制，應用自保護，沙盒, Web中間件, 運行時應用自我防護	進程控制，文件保險櫃（估計配合進程訪問控制）	在操作系統內核層實現文件，註冊表，進程等對象的強制訪問控制	以可信認證爲基礎、訪問控制爲核心，採用“三權分立”的管理機制，通過對文件、目錄、進程、註冊表和服務的強制訪問控制	進程控制，訪問控制，漏洞掃描，外設控制	只允許操作系統運行受信任的對象，能有效的防止未知惡意程序（病毒、***及其變種）的運行。它尤其適用於工控環境，能爲工控上位機（工程師站、操作員站等）與工控服務器（應用服務器、實時數據服務器、歷史數據服務器、OPC服務器等）提供全面的安全管理、檢測、防禦和安全加固。
支持的OS	Windows/Linux	Windows/Linux	windows、linux、Aix、solaris	Windows/Linux	Windows/Linux
防火牆	基礎防火牆+內容過濾	流量級防火牆	無	ip過濾防火牆+tcp監控	無	無	工控網絡防護
進程控制	場景級可信進程控制	簽名判斷進程控制	白名單進程控制	白名單進程控制	白名單進程控制	白名單進程控制	動態白名單進程控制
進程劫持防護	有，安全容器攔截所有惡意dll注入	部分，虛擬化攔截對業務系統的惡意dll注入	無	無	無	無	無
反病毒***	安全容器環境機制	病毒庫機制	進程白名單機制	進程白名單機制	進程白名單機制	進程白名單機制	工控病毒防護
防******	禁止不符合預期程序執行	防止提權，一旦提權成功，無法限制	限制不符合預期程序執行。管理員可以卸載	限制白名單外程序執行，無法限制管理員	訪問控制、無法限制管理員	限制白名單外程序執行，無法限制管理員	限制白名單外程序執行
漏洞掃描	無	無	無	安全基線機制	無	合規性檢測	無
敏感數據訪問控制	磁盤加密，基於進程訪問控制	根據行爲規則限制	文件保密櫃，文件加解密	無	訪問控制	訪問控制	無
文件防篡改	輪巡式文件恢復	無	無	文件完整性定期檢測	文件完整性檢測	文件恢復	無
權限限制	額外的權限校驗	無	無	額外的權限控制	制約和分離權限機制	無	無
數據庫防護加固	SQL語句過濾	無	無	無	無	無	無
集中化管理	有	有	有	有	有	有	有
高級運維管理，管控運維流程	三權分立運維管控，運維行爲審計	無	無	無	無	無	無
安全環境	容器技術定格安全環境，限制一切非法程序，腳本。並防止容器內數據竊取	新的虛擬化安全域，限制服務在受限環境內運行；內核探針技術，限制進程和網絡	進程限制	分等級的安全策略模板，移動介質監控	強制訪問控制，外設控制	進程可信控制，外設控制	工控主機的“白名單”環境,外設控制
操作系統管理員權限丟失時是否繼續保護	可以	不能	不能	不能	不能	不能	不能
優點	新的容器技術機制，加大***破解難度。完善的運維管控及多因素身份認證，防止了內部不安全的操作	新的虛擬化防禦技術機制，隔離了業務服務。網絡防護能力優秀，對網站服務器防護比較偏重	多系統支持，多因素身份識別	防護功能比較全面，分等級的安全防控	多因素身份識別,外設控制	基於合規性的安全掃描，防止弱密碼等低級安全漏洞。外設控制	針對工控系統的安全防護，動態白名單機制
缺點	邊界防護較弱，對外設及網絡邊界控制力不夠	文件保護較弱，且對繞過防火牆***的防護較弱。業務服務隔離保護了業務系統，但是對整體系統保護欠缺	文件防護能力較弱，進程控制技術落後，安裝繁瑣	防護技術比較平庸，無特別強的防禦機制	防禦機制單一，需要採購其他產品配套防禦	進程控制技術落後	對文件數據防護較弱,防護機制簡單