CN101493873A - 基于内核层技术实现对win平台文件读写操作访问控制方法 - Google Patents
基于内核层技术实现对win平台文件读写操作访问控制方法 Download PDFInfo
- Publication number
- CN101493873A CN101493873A CNA2009100196251A CN200910019625A CN101493873A CN 101493873 A CN101493873 A CN 101493873A CN A2009100196251 A CNA2009100196251 A CN A2009100196251A CN 200910019625 A CN200910019625 A CN 200910019625A CN 101493873 A CN101493873 A CN 101493873A
- Authority
- CN
- China
- Prior art keywords
- write
- system service
- file read
- read
- access control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 16
- 238000005516 engineering process Methods 0.000 title claims abstract description 15
- 239000012792 core layer Substances 0.000 title 1
- 238000012544 monitoring process Methods 0.000 claims abstract description 4
- 230000007246 mechanism Effects 0.000 claims description 5
- 238000004458 analytical method Methods 0.000 description 2
- 238000012550 audit Methods 0.000 description 2
- FLDSMVTWEZKONL-AWEZNQCLSA-N 5,5-dimethyl-N-[(3S)-5-methyl-4-oxo-2,3-dihydro-1,5-benzoxazepin-3-yl]-1,4,7,8-tetrahydrooxepino[4,5-c]pyrazole-3-carboxamide Chemical compound CC1(CC2=C(NN=C2C(=O)N[C@@H]2C(N(C3=C(OC2)C=CC=C3)C)=O)CCO1)C FLDSMVTWEZKONL-AWEZNQCLSA-N 0.000 description 1
- 241000700605 Viruses Species 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 238000007689 inspection Methods 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
Images
Landscapes
- Storage Device Security (AREA)
Abstract
本发明提供一种基于内核层技术实现对WIN平台文件读写操作访问控制方法该方法是在Windows内核执行体中放置一组“钩子”(Hooks)函数来控制对内核文件的访问权限。这样用户进程执行系统调用时，采用线程钩子函数拦截和监控用户线程对系统敏感文件的访问，进行强制访问控制检查，确定是否允许或禁止其访问。实现了对操作系统超级用户权限合理的分散与制约。从而大大的降低了万一出现的超级用户“大权旁落”时，非法人员对文件更改和泄密的威胁风险。
Description
技术领域
本发明涉及一种基于内核层对服务器操作系统文件读写访问控制的方法，针对win操作系统文件更改和泄密等各种攻击分析和操作系统内核原理分析，给出一种基于内核层的文件访问控制方法，属于计算机信息安全领域。
背景技术
人们保护信息系统安全的传统手段通常是运用安全防护软件和硬件，包括防火墙、安全路由器/安全网关、入侵监测系统、漏洞扫描系统等在系统外围进行围堵检查。但随着攻击技术的不断发展，新的安全问题不断出现，传统的安全手段越来越暴露它们的局限性。在计算机安全涉及到的各方面内容中，操作系统、网络系统、数据库管理系统的安全是主要问题，其中操作系统的安全尤为关键的。操作系统是计算机资源的直接管理者，所有应用软件都是基于操作系统来运行的，没有操作系统的安全，就无法保障数据库安全、网络安全和其它应用软件安全。因此开发安全的操作系统，成为提高计算机信息系统安全性的重要手段。实际上，正是服务器上的主流操作系统上安全保护机制的不完善和不健全才是安全问题层出不穷的原因所在。
操作系统的安全问题早已引起人们的广泛关注，国际上对操作系统安全性的研究已有相当的历史。自20世纪70年代以来，起初出于军事目的，美国政府由国防部牵头，投入了大量的人力、物力，从操作系统底层开始，对安全问题开展了广泛、深入的研究，取得了一系列有影响的重要成果，如Multics、可证明的安全操作系统、军用安全操作系统、V基于内核层技术实现对WIN平台文件读写操作访问控制方法X体系的VMM安全内核等。这些成果对操作系统安全性的研究起了重要的推动作用。
但长期以来，我国的计算机操作系统市场基本上被国外产品所占领，因此研制具有自主知识产权的操作系统是关系到我国信息安全未来的一项战略决策。
安全操作系统的含义是在操作系统的工作范围内，提供尽可能强的访问控制和审计机制，在用户或应用程序和系统硬件或资源之间进行符合安全策略的调度，限制非法的访问，在整个软件信息系统的最底层进行保护，按照有关信息系统安全标准的定义，安全的操作系统要有这样的特征：
a)最小特权原则，即每个特权用户只拥有能进行其工作的权力；
b)访问控制原则，包括保密性访问控制和完整性访问控制；
c)安全审计；
d)安全域隔离。
只要有了这些最底层的安全功能，各种病毒、木马程序、网络入侵行为和人为非法操作才能被真正抵制，因为它们违背了操作系统的安全规则，也就失去了运行的基础。
发明内容
本发明的目的是提供一种基于内核层技术实现对WIN平台文件读写操作访问控制方法，具体内容如下：
在操作系统内核层实现对win平台下文件读写操作进行权限分配和访问控制。当用户程序对某一敏感文件读写发起调用，子系统DLL将转化为内部windows文件读写系统服务调用。内核创建相应的文件读写系统线程。系统线程通过正常的系统调用或通过陷阱分发机制中断或异常把相关参数传到系统服务分发器。系统服务分发器利用传递进来的文件读写参数，找到系统服务分发表中的文件读写系统服务信息。系统服务分发表中的每个表项都包含了一个指向某个系统服务的指针。系统服务函数地址被保存在内核中的系统服务分发表中。
为达到对文件读写强制访问控制的目的，使用钩子驱动程序，首先将系统服务分发表中的文件读写地址保存起来，编写钩子函数，用该钩子函数的地址来替换该表项，替换对应的文件读写系统服务调用地址。当文件读写线程调用系统服务分发表时，文件读写相应调用参数会通过钩子函数传递给策略比对程序。
策略程序根据文件读写相应调用参数与预先定义的访问控制策略将该文件读写系统服务调用相关信息遍历策略数据库与相应安全策略相比对。符合安全要求的调用内核模式对应接口执行该文件读写系统服务调用。不符合安全要求转入GUI，显示给管理员。因为所有的windows文件读写线程都会调用系统服务分发器进行文件读写系统服务分发，所以用户对内核层的所有文件读写操作都会被系统监控，从而达到win平台下文件读写操作内核级访问控制的目的。
附图说明
附图1是本发明的系统调用原理图。
具体实施方式
以下通过具体的实施例对本发明做详细的说明，
本发明的基于内核层对服务器操作系统文件读写访问控制的实现方法，其工作原理如下：
1.环境及要求：一政府部门核心电子政务所用服务器，操作系统是windows2003server，其中有一机密文件——jimi.txt，此文件只能是级别是3级以上的管理员阅读，4级以上的管理员更改，需要防止随意拿到操作系统权限的人就可以进行对此文件的读写操作。操作系统管理员基于内核层技术实现对win平台文件读写操作访问控制方法dm1是3级管理员
2.当基于内核层技术实现对win平台文件读写操作访问控制方法dm1操作系统管理员对jimi.txt文件发起读操作要求，windows子系统DLL将应用程序调用信息转化为内部读windows文件系统服务调用。内核创建读jimi.txt文件的系统线程。系统线程通过系统调用机制把相关参数包括jimi.txt和基于内核层技术实现对win平台文件读写操作访问控制方法dm1等传到系统服务分发器。系统服务分发器发现这是对读文件服务调用，找到系统服务分发表中的读文件系统服务信息地址。
3.为达到对文件读写强制访问控制的目的，事先使用钩子驱动程序，首先将系统服务分发表中的读文件地址保存起来，编写duhook函数，用该钩子函数的地址来替换该表项，替换对应的文件读系统服务调用地址。当读文件系统服务地址被调用时，包括jimi.txt和基于内核层技术实现对win平台文件读写操作访问控制方法dm1等相关参数会通过duhook函数传递给策略模块。
4.策略模块通过遍历策略数据库找到jimi.txt是3级以上的管理员阅读，而基于内核层技术实现对win平台文件读写操作访问控制方法dm1是3级管理员，即符合安全要求，调用读文件系统服务信息地址执行该文件读写系统服务调用；同理，若是写操作，策略模块发现jimi.txt是4级以上管理员更改，而基于内核层技术实现对win平台文件读写操作访问控制方法dm1是级系统管理员，权限不够，属于非法访问，即中断调用，禁止访问，并把相关信息转入GUI，作为安全事件显示给安全管理员。这样对jimi.txt文件就实现了强访问控制的目的。
除说明书所述的技术特征外，均为本专业技术人员的已知技术。
Claims (1)
1、基于内核层技术实现对WIN平台文件读写操作访问控制方法，其特征在于步骤如下：
1)在操作系统内核层实现对win平台下文件读写操作进行权限分配和访问控制，当用户程序对某一敏感文件读写发起调用，子系统DLL将转化为内部windows文件读写系统服务调用，内核创建相应的文件读写系统线程，系统线程通过正常的系统调用或通过陷阱分发机制中断或异常把相关参数传到系统服务分发器，系统服务分发器利用传递进来的文件读写参数，找到系统服务分发表中的文件读写系统服务信息，系统服务分发表中的每个表项都包含了一个指向某个系统服务的指针，系统服务函数地址被保存在内核中的系统服务分发表中；
2)使用钩子驱动程序实现对文件读写强制访问控制，首先将系统服务分发表中的文件读写地址保存起来，编写钩子函数，用该钩子函数的地址来替换该表项，替换对应的文件读写系统服务调用地址，当文件读写线程调用系统服务分发表时，文件读写相应调用参数会通过钩子函数传递给策略比对程序；
3)策略程序根据文件读写相应调用参数与预先定义的访问控制策略将该文件读写系统服务调用相关信息遍历策略数据库与相应安全策略相比对，符合安全要求的调用内核模式对应接口执行该文件读写系统服务调用，不符合安全要求转入GUI，显示给管理员，所有的windows文件读写线程都会调用系统服务分发器进行文件读写系统服务分发，用户对内核层的所有文件读写操作都会被系统监控，从而实现win平台下文件读写操作内核级访问控制的目的。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CNA2009100196251A CN101493873A (zh) | 2009-03-04 | 2009-03-04 | 基于内核层技术实现对win平台文件读写操作访问控制方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CNA2009100196251A CN101493873A (zh) | 2009-03-04 | 2009-03-04 | 基于内核层技术实现对win平台文件读写操作访问控制方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN101493873A true CN101493873A (zh) | 2009-07-29 |
Family
ID=40924465
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CNA2009100196251A Pending CN101493873A (zh) | 2009-03-04 | 2009-03-04 | 基于内核层技术实现对win平台文件读写操作访问控制方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN101493873A (zh) |
Cited By (22)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102158347A (zh) * | 2010-12-27 | 2011-08-17 | 畅捷通软件有限公司 | 数据保护方法、装置和服务器 |
| CN101620660B (zh) * | 2009-07-31 | 2012-03-21 | 北京大学 | 一种Windows操作系统下钩子的防御方法 |
| CN102693394A (zh) * | 2012-06-07 | 2012-09-26 | 奇智软件（北京）有限公司 | 一种用于拦截应用程序对服务的调用的方法和装置 |
| CN102693395A (zh) * | 2012-06-07 | 2012-09-26 | 奇智软件（北京）有限公司 | 一种用于拦截应用程序对服务的调用的方法和装置 |
| CN102930205A (zh) * | 2012-10-10 | 2013-02-13 | 北京奇虎科技有限公司 | 一种监测单元及方法 |
| CN103049707A (zh) * | 2012-12-21 | 2013-04-17 | 武汉大学 | 一种基于Android平台的GPS数据拦截控制方法 |
| CN103324885A (zh) * | 2013-06-19 | 2013-09-25 | 山东中创软件商用中间件股份有限公司 | 一种内核级的文件防护方法及系统 |
| CN103955378A (zh) * | 2014-03-31 | 2014-07-30 | 北京奇虎科技有限公司 | 一种针对ie内核浏览器的配置信息处理方法和装置 |
| CN104156661A (zh) * | 2014-07-26 | 2014-11-19 | 珠海市君天电子科技有限公司 | 一种防止账户密码被篡改的方法及装置 |
| CN105095763A (zh) * | 2015-08-10 | 2015-11-25 | 北京金山安全软件有限公司 | 漏洞防御方法及装置、电子设备 |
| CN105279433A (zh) * | 2014-07-10 | 2016-01-27 | 腾讯科技（深圳）有限公司 | 一种应用程序的防护方法及装置 |
| CN105718790A (zh) * | 2016-01-26 | 2016-06-29 | 浪潮电子信息产业股份有限公司 | 一种unix系统下基于用户的程序执行控制方法 |
| CN105718789A (zh) * | 2016-01-25 | 2016-06-29 | 浪潮电子信息产业股份有限公司 | 一种aix系统下基于用户的程序执行控制的方法 |
| CN105740702A (zh) * | 2016-01-25 | 2016-07-06 | 浪潮电子信息产业股份有限公司 | 一种linux系统下基于用户的程序执行控制的方法 |
| CN105740696A (zh) * | 2016-01-26 | 2016-07-06 | 浪潮电子信息产业股份有限公司 | 一种Solaris系统下基于用户的程序执行控制方法 |
| CN106228078A (zh) * | 2016-07-29 | 2016-12-14 | 浪潮电子信息产业股份有限公司 | 一种Linux下基于增强型ROST的安全运行方法 |
| CN106909838A (zh) * | 2015-12-22 | 2017-06-30 | 北京奇虎科技有限公司 | 一种拦截系统调用的方法及装置 |
| WO2017157202A1 (zh) * | 2016-03-18 | 2017-09-21 | 阿里巴巴集团控股有限公司 | 执行系统调用的方法及装置 |
| CN108959918A (zh) * | 2017-05-18 | 2018-12-07 | 北京搜狗科技发展有限公司 | 一种输入法文件的保护方法、装置和电子设备 |
| CN110309661A (zh) * | 2019-04-19 | 2019-10-08 | 中国科学院信息工程研究所 | 一种基于控制流的敏感数据使用权限管理方法及装置 |
| CN105183799B (zh) * | 2015-08-25 | 2019-12-24 | 苏州浪潮智能科技有限公司 | 一种权限管理的方法及客户端 |
| CN113190869A (zh) * | 2021-05-27 | 2021-07-30 | 中国人民解放军国防科技大学 | 基于tee的强制访问控制安全增强框架性能评估方法及系统 |
-
2009
- 2009-03-04 CN CNA2009100196251A patent/CN101493873A/zh active Pending
Cited By (31)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101620660B (zh) * | 2009-07-31 | 2012-03-21 | 北京大学 | 一种Windows操作系统下钩子的防御方法 |
| CN102158347A (zh) * | 2010-12-27 | 2011-08-17 | 畅捷通软件有限公司 | 数据保护方法、装置和服务器 |
| CN102693395B (zh) * | 2012-06-07 | 2015-02-11 | 北京奇虎科技有限公司 | 一种用于拦截应用程序对服务的调用的方法和装置 |
| CN102693394A (zh) * | 2012-06-07 | 2012-09-26 | 奇智软件（北京）有限公司 | 一种用于拦截应用程序对服务的调用的方法和装置 |
| CN102693395A (zh) * | 2012-06-07 | 2012-09-26 | 奇智软件（北京）有限公司 | 一种用于拦截应用程序对服务的调用的方法和装置 |
| WO2013182005A1 (zh) * | 2012-06-07 | 2013-12-12 | 北京奇虎科技有限公司 | 一种用于拦截应用程序对服务的调用的方法和装置 |
| CN102693394B (zh) * | 2012-06-07 | 2015-04-22 | 北京奇虎科技有限公司 | 一种用于拦截应用程序对服务的调用的方法和装置 |
| CN102930205A (zh) * | 2012-10-10 | 2013-02-13 | 北京奇虎科技有限公司 | 一种监测单元及方法 |
| CN103049707A (zh) * | 2012-12-21 | 2013-04-17 | 武汉大学 | 一种基于Android平台的GPS数据拦截控制方法 |
| CN103049707B (zh) * | 2012-12-21 | 2015-09-30 | 武汉大学 | 一种基于Android平台的GPS数据拦截控制方法 |
| CN103324885A (zh) * | 2013-06-19 | 2013-09-25 | 山东中创软件商用中间件股份有限公司 | 一种内核级的文件防护方法及系统 |
| CN103324885B (zh) * | 2013-06-19 | 2017-11-10 | 山东中创软件商用中间件股份有限公司 | 一种内核级的文件防护方法及系统 |
| CN103955378A (zh) * | 2014-03-31 | 2014-07-30 | 北京奇虎科技有限公司 | 一种针对ie内核浏览器的配置信息处理方法和装置 |
| CN105279433A (zh) * | 2014-07-10 | 2016-01-27 | 腾讯科技（深圳）有限公司 | 一种应用程序的防护方法及装置 |
| CN105279433B (zh) * | 2014-07-10 | 2020-10-16 | 腾讯科技（深圳）有限公司 | 一种应用程序的防护方法及装置 |
| CN104156661A (zh) * | 2014-07-26 | 2014-11-19 | 珠海市君天电子科技有限公司 | 一种防止账户密码被篡改的方法及装置 |
| CN105095763A (zh) * | 2015-08-10 | 2015-11-25 | 北京金山安全软件有限公司 | 漏洞防御方法及装置、电子设备 |
| CN105095763B (zh) * | 2015-08-10 | 2018-09-11 | 北京金山安全软件有限公司 | 漏洞防御方法及装置、电子设备 |
| CN105183799B (zh) * | 2015-08-25 | 2019-12-24 | 苏州浪潮智能科技有限公司 | 一种权限管理的方法及客户端 |
| CN106909838A (zh) * | 2015-12-22 | 2017-06-30 | 北京奇虎科技有限公司 | 一种拦截系统调用的方法及装置 |
| CN105740702A (zh) * | 2016-01-25 | 2016-07-06 | 浪潮电子信息产业股份有限公司 | 一种linux系统下基于用户的程序执行控制的方法 |
| CN105718789A (zh) * | 2016-01-25 | 2016-06-29 | 浪潮电子信息产业股份有限公司 | 一种aix系统下基于用户的程序执行控制的方法 |
| CN105740696A (zh) * | 2016-01-26 | 2016-07-06 | 浪潮电子信息产业股份有限公司 | 一种Solaris系统下基于用户的程序执行控制方法 |
| CN105718790A (zh) * | 2016-01-26 | 2016-06-29 | 浪潮电子信息产业股份有限公司 | 一种unix系统下基于用户的程序执行控制方法 |
| WO2017157202A1 (zh) * | 2016-03-18 | 2017-09-21 | 阿里巴巴集团控股有限公司 | 执行系统调用的方法及装置 |
| US11093647B2 (en) | 2016-03-18 | 2021-08-17 | Banma Zhixing Network (Hongkong) Co., Limited | Method and device for executing system scheduling |
| CN106228078A (zh) * | 2016-07-29 | 2016-12-14 | 浪潮电子信息产业股份有限公司 | 一种Linux下基于增强型ROST的安全运行方法 |
| CN108959918A (zh) * | 2017-05-18 | 2018-12-07 | 北京搜狗科技发展有限公司 | 一种输入法文件的保护方法、装置和电子设备 |
| CN110309661A (zh) * | 2019-04-19 | 2019-10-08 | 中国科学院信息工程研究所 | 一种基于控制流的敏感数据使用权限管理方法及装置 |
| CN110309661B (zh) * | 2019-04-19 | 2021-07-16 | 中国科学院信息工程研究所 | 一种基于控制流的敏感数据使用权限管理方法及装置 |
| CN113190869A (zh) * | 2021-05-27 | 2021-07-30 | 中国人民解放军国防科技大学 | 基于tee的强制访问控制安全增强框架性能评估方法及系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN101493873A (zh) | 基于内核层技术实现对win平台文件读写操作访问控制方法 | |
| KR102542720B1 (ko) | 제로 트러스트 보안을 위한 행동 인터넷 기반 지능형 데이터 보안 플랫폼 서비스 제공 시스템 | |
| Claycomb et al. | Insider threats to cloud computing: Directions for new research challenges | |
| US7814021B2 (en) | Managed distribution of digital assets | |
| Ferdous et al. | Decentralised runtime monitoring for access control systems in cloud federations | |
| EP2498198B1 (en) | Information system security based on threat vectors | |
| Pang et al. | Strategic roles of IT modernization and cloud migration in reducing cybersecurity risks of organizations: The case of US federal government | |
| Arunkumar et al. | Malicious attack detection approach in cloud computing using machine learning techniques | |
| Phyo et al. | A detection-oriented classification of insider it misuse | |
| US20220366078A1 (en) | Systems and Methods for Dynamically Granting Access to Database Based on Machine Learning Generated Risk Score | |
| Pang et al. | Security breaches in the US federal government | |
| Saad et al. | Cloud computing architectures based IDS | |
| Kshetri | Recent US cybersecurity policy initiatives: challenges and implications | |
| Jiang | Computer security vulnerabilities and preventive measures | |
| Martsenyuk et al. | Aspects of protection of accounting data in the conditions of use of innovation and information technologies. | |
| Al-Jarrah et al. | Hierarchical detection of insider attacks in cloud computing systems | |
| Joon et al. | Study and investigation of cloud based security policies using machine learning techniques | |
| Fan et al. | Research on Cloud Computing Security Problems and Protection Countermeasures | |
| Ali et al. | Mitis-an insider threats mitigation framework for information systems | |
| Sun et al. | Construction of situation assessment indicator system based on latitude and longitude lines of information security | |
| Wang et al. | Security strategy and research of power protection equipment based on SELinux | |
| Liu | Research on the Security Analysis and Management of the Network Information System Based on the Big Data Decision Making | |
| Shi | Relative Analysis of Network Information Security Technology against the Background of “Cloud Computing” | |
| Bai | Legal Management of Network Information Security Based on Embedded Real‐Time Task Processing | |
| Wang et al. | A Discussion on Computer Security Technology and Security Preventive Measures |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C02 | Deemed withdrawal of patent application after publication (patent law 2001) | ||
| WD01 | Invention patent application deemed withdrawn after publication |
Open date: 20090729 |