2024年国家网络安全宣传周即将收尾，但网络安全永不“掉线”。麒麟软件以安全可信操作系统技术为核心，以实际行动完善网络安全保障体系。今天，跟大家分享麒麟软件在DBus安全漏洞治理方面的思路和成果！
DBus安全漏洞从何而来？
DBus安全漏洞难以治理主要有以下三点原因：
■ DBus系统服务提权是Linux操作系统一种非常重要的提权方式，大量系统服务通过DBus提供服务接口，随着银河麒麟操作系统市场影响力的增长，这些系统高权限接口被越来越多的白客、网络安全攻防从业人员关注研究。
■很多系统服务提供的DBus接口没有实施身份认证等鉴权安全设计，在提升操作系统易用性的同时也带来了安全风险。
■ DBus系统服务接口面向所有应用开放，随着应用生态越来越丰富，其攻击面也被逐步放大。
DBus总线安全攻击示意图
落实“安全左移”，治标更治本
目前此类型漏洞尚无借鉴的治理技术，麒麟软件落实安全左移的思想，对Dbus类型漏洞进行根因分析，发现需要从安全开发流程(SDL)的角度进行综合治理，目前已基本实现两大目标：
■ 清理现有问题，包括现有源码“疑似”问题的识别、检测、整改。
■ 根治未来问题，包括研发/测试相关人员知识培训、门禁系统的开发与实现。
具体来说，麒麟软件采用了以下漏洞治理方案。
第一步，从技术层面找到漏洞成因、从流程方面找到研发流程和平台可能存在的问题。
■ 建立Dbus安全开发规范：一种提升dbus接口安全性、研发人员的安全编码能力与意识的开发规范。
■研究Dbus接口管控技术：为国内首创的相关管控技术，可通过简洁的配置完成对DBus接口的管控，防止恶意提权。
■研制自动化检测技术：对疑似存在问题的接口进行自动化检测，提升测试人员安全检测能力同时也大大提高了检测效率质量。
■将以上相关技术吸纳进入“诊脉”，通过将“诊脉”与麒麟的研发流程高度融合建立相关的研发门禁系统。值得一提的是，诊脉（Genmai）是麒麟软件提出的面向漏洞扫描检测的开源解决方案，目前已在银河麒麟操作系统、openKylin社区版应用，并荣获2023年开源创新大赛二等奖。
第二步，清理问题。
■ 通过自动化检测技术，对相关的源码进行检测，识别出现有产品中可能存在的问题，完成专项整改。
■完善安全编码/开发规范，找到安全与易用的平衡点，形成可落地的强约束。
■通过自动化检测技术，实现对已发现问题的门禁约束，避免相关安全隐患进入在售产品，已在售的产品提前准备相关应急预案或解决方案。
第三步，根治隐患问题。
■ 建立代码门禁，通过提取此类漏洞的代码特征、功能特性，形成自动化检测技术，与相关的代码仓库门禁进行融合，当研发人员提交代码触发检测，存在问题的代码会禁止合入。
■建立测试门禁，采用功能验证级别的检测技术，在测试门禁中保障产品的安全质量。
■利用自动化检测技术对在售的产品实施实时质量监控，提前准备修复方案、实施紧急预案等。
DBus安全漏洞治理三步走计划
针对DBus安全漏洞治理，目前麒麟软件已形成《麒麟软件DBus安全开发规范》、诊脉DBus自动化安全检测门禁、诊脉DBus安全检测工具等一系列规范流程和工具。
麒麟软件长期以来在信息安全漏洞管理领域深耕细作、不断创新，并刚刚荣获“国家信息安全漏洞库优秀漏洞管理企业”称号。未来，将持续完善安全漏洞检测、报告和处置机制和标准规范等，提升基础软件安全能力，为行业自主创新保驾护航。
通讯员 | 徐建、罗雨佳
来 源 | 安全研发部
审 核 | 市场与政府事务部
