發(fā)動零日攻擊的攻擊者是企業(yè)網(wǎng)絡(luò)當(dāng)今面臨的最大威脅之一。盡管很多廠商推廣零日保護(hù)機(jī)制，但是如果他們不處理整個操作系統(tǒng)，就會給攻擊留下洞開的大門。
今天的操作系統(tǒng)在設(shè)計上提供對資源的不同級別的訪問。分級保護(hù)域常常被稱為特權(quán)環(huán)——保護(hù)操作系統(tǒng)免受缺陷和不穩(wěn)定性的影響。這些范圍從特權(quán)最高或最可信的（通常為零）到特權(quán)最低或可信度最低（通常為最高數(shù)字）的域，它們提供在操作系統(tǒng)中執(zhí)行安全性的能力。
應(yīng)用程序在可信度最低或特權(quán)最小的域中執(zhí)行，而操作系統(tǒng)在最可信或特權(quán)最高的域中執(zhí)行。這種隔離使操作系統(tǒng)能夠分配資源和防止可能會造成連鎖反應(yīng)的令人不快的行為。如果缺少這層屏障，病毒和其他惡意軟件會輕易地跨進(jìn)程復(fù)制，恣意傳播。受這層屏障保護(hù)的操作系統(tǒng)要求每個應(yīng)用程序請求訪問不同操作系統(tǒng)資源或執(zhí)行更高特權(quán)操作的許可。
微軟和很多安全廠商投入大量的時間和精力來開發(fā)保護(hù)客戶的增強(qiáng)型安全特性。這些增強(qiáng)型安全特性通常涉及內(nèi)核空間，監(jiān)測運(yùn)行在用戶空間中的應(yīng)用程序發(fā)出的資源請求。
此外，基于主機(jī)的安全產(chǎn)品通常使用多種其他方法來保護(hù)應(yīng)用程序不受隱藏在表面之下安全漏洞的影響。這些方法包括把棧和內(nèi)存地址標(biāo)記為不可執(zhí)行或隨機(jī)打亂內(nèi)存分配子程序返回的內(nèi)存地址。
另一類基于主機(jī)的保護(hù)（通常叫行為分析）截獲和檢查應(yīng)用程序發(fā)出的各種系統(tǒng)請求，以根據(jù)策略執(zhí)行限制。這種方法的一種變種是將應(yīng)用程序加載到虛擬機(jī)仿真程序中，后者使指令而不是系統(tǒng)調(diào)用可以在執(zhí)行前被截獲和分析。
雖然基于主機(jī)的保護(hù)機(jī)制以難以在企業(yè)網(wǎng)絡(luò)中配置和使用而聞名，但它們代表著目前一些可供使用的最好的方法。部署這類保護(hù)措施的機(jī)構(gòu)仍面臨風(fēng)險，因?yàn)檫@類安全產(chǎn)品只是在應(yīng)用層上而不是在操作系統(tǒng)內(nèi)核中提供零日保護(hù)。
這就給客戶造成一種虛假的安全感。一個熟練的對手可以通過利用內(nèi)核中的安全漏洞進(jìn)入網(wǎng)絡(luò)。任何聲稱提供零日保護(hù)和應(yīng)用層安全性的產(chǎn)品都必須把同樣水平的安全性擴(kuò)展到操作系統(tǒng)。
雖然目前市場上沒有可以保護(hù)整個操作系統(tǒng)免受各種安全漏洞影響的安全產(chǎn)品，但虛擬化技術(shù)和硬件的最新進(jìn)步使直接將下一代安全技術(shù)內(nèi)置到虛擬機(jī)中成為可能。
更重要的是，通過開發(fā)可信的、具有安全意識的虛擬機(jī)監(jiān)控程序，將可以取得更高水平的可見性。
許多可能出現(xiàn)的情景之一是，我們可以開發(fā)和部署虛擬專用設(shè)備，這種專用設(shè)備允許一臺或多臺服務(wù)器并行運(yùn)行，同時安全軟件在下面運(yùn)行，提供所需要的保護(hù)。由于安全軟件運(yùn)行在操作系統(tǒng)之下的位置，因此，操作系統(tǒng)中的安全漏洞再也不能損害安全產(chǎn)品發(fā)揮作用的能力或繞過安全產(chǎn)品。此外，這類安全漏洞還可以被輕松地檢測到和阻止。
這類解決方案提供比當(dāng)前解決方案更強(qiáng)的保護(hù)，并通過整合關(guān)鍵服務(wù)器實(shí)現(xiàn)節(jié)省費(fèi)用，消除對額外的安全軟件的需要。雖然這種方法展現(xiàn)的是一種保護(hù)企業(yè)服務(wù)器安全的方法，但類似的概念也可以應(yīng)用于保護(hù)用戶。
保護(hù)環(huán)示意圖
分級保護(hù)域——常常被稱為特權(quán)環(huán)——保護(hù)操作系統(tǒng)免受缺陷和不穩(wěn)定性的影響。一個環(huán)是設(shè)計用于在操作系統(tǒng)內(nèi)執(zhí)行專門任務(wù)的硬件和軟件組件的一個邏輯劃分。
