端点管理指南：用于 UNIX › 保护文件和程序 › 内核模块加载和下载保护

内核模块加载和下载保护

内核模块是 UNIX 操作系统的组件，您可以加载此组件以扩展运行的内核，并可在不再需要时进行卸载。 这提高了灵活性，您可以根据需要加载功能，而不会浪费内存资源，这些内存资源将可用于基本内核中所有可能的预期功能。

您可以在 CA ControlMinder 中禁用和启用内核模块保护。 如果您启用内核模块保护，则 CA ControlMinder 会拦截加载和卸载内核模块的系统调用，之后根据数据库中的关联记录（KMODULE 类的记录）检查请求的访问权限。 如果请求对内核模块记录 CA ControlMinder 的访问权限，则请求的访问权限为“加载”或“下载”。

在所有的非 Linux 系统上，KMODULE 记录的名称必须匹配内核模块文件的名称（而不是完整路径）。 这是因为模块的名称与文件的名称相同。 在 Linux 上，KMODULE 记录的名称仅需要匹配内核模块的名称，后者可能不同于实际的文件名。 如果在 Linux 上更改文件名，不会更改 Linux 使用的模块的名称，且 KMODULE 记录仍然有效。

如果您在加载内核模块时启用文件路径检查，并加载请求的访问权限，则 CA ControlMinder 将执行以下其他检查：

• KMODULE 记录中的 filepath 属性仅保留有效的绝对文件路径。
• 使用路径名 filepath 的文件具有与 KMODULE 记录名称匹配的模块。
• 内核模块与 KMODULE 属性（非 Linux 系统的文件路径、Linux 系统的签名）匹配。

  注意：CA ControlMinder 为 Linux 系统上的内核模块文件生成一个唯一的签名，并将该签名作为签名属性值插入内核模块记录中。 CA ControlMinder 在每次访问时检查签名。 您无需自己输入签名，因为 CA ControlMinder 会自动计算和插入该签名。 不过，您可以使用 seretrust 实用程序自己输入签名。