CN111177761B - 一种基于敏感标记的文件访问控制方法、装置以及设备 - Google Patents

Abstract

本发明公开了一种基于敏感标记的文件访问控制方法、装置、设备及计算机可读存储介质，包括：利用内核驱动遍历系统上所有运行的进程，提取各进程的用户信息与路径，以确定各进程的主体敏感标记；当内核驱动拦截到文件的访问操作时，通过文件的扩展属性中敏感标记判断文件是否设置敏感标记；若文件设置了敏感标记，则提取文件敏感标记为目标客体敏感标记；通过访问操作的PID，在各进程的主体敏感标记中查找访问操作的目标主体敏感标记；将目标主体敏感标记与目标客体敏感标记进程比较，以确定访问操作对文件的访问权限。本发明所提供的方法、装置、设备及计算机可读存储介质，可有效控制不同主体只能访问其有权访问的资源，实现了多级安全访问。

Description

一种基于敏感标记的文件访问控制方法、装置以及设备

技术领域

本发明涉及网络安全技术领域，特别是涉及一种基于敏感标记的文件访问控制方法、装置、设备以及计算可读存储介质。

背景技术

在一些保密性要求比较高的环境中，往往要求对某些保密性比较高的文件只能由相同密级的用户或进程进行读写，或者由比其密级高的用户或进程进行读取，以保证网络的安全性。但现有中，没有为系统中用户、进程和文件统一设置密级的策略，因此无法有效控制系统中不同主体只能访问其有权访问的资源；有可能会造成密级低的用户或进程读取了密级高的文件的现象，导致多级访问的安全性较低。

综上所述可以看出，如何提高多级访问的安全性是目前有待解决的问题。

发明内容

本发明的目的是提供一种基于敏感标记的文件访问控制方法、装置、设备以及计算机可读存储介质，已解决现有技术中由于无法有效控制系统中不同主体只能访问其有权访问的资源导致网络文件安全性低的问题。

为解决上述技术问题，本发明提供一种基于敏感标记的文件访问控制方法，包括：利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记；当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记；若所述文件设置敏感标记，则提取所述文件的敏感标记为目标客体敏感标记；通过所述访问操作的PID，在所述各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记；将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限。

优选地，所述利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记包括：

利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径；

根据预先设置的用户敏感标记策略，判断当前进程的用户是否设置敏感标记；

若所述当前进程的用户设置敏感标记，则根据预先设置的进程敏感标记策略判断所述当前进程是否设置敏感标记；

若所述当前进程设置敏感标记，则取所述当前进程的用户敏感标记与进程敏感标记的最小集作为所述当前进程的主体敏感标记。

优选地，所述若所述当前进程的用户设置敏感标记，则根据预先设置的进程敏感标记策略判断所述当前进程是否设置敏感标记后包括：

若所述当前进程未设置敏感标记，则根据所述当前进程的路径判断所述当前进程是否存在父进程；

若所述当前进程存在父进程，则将所述父进程的主体敏感标记设置为所述当前进程的主体敏感标记。

优选地，所述利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径前包括：

将所述预先设置的用户敏感标记策略下发至所述内核驱动，为用户设置敏感标记；

将所述预先设置的进程敏感标记策略下发至所述内核驱动，为进程设置敏感标记；

为目标文件设置敏感标记，将所述目标文件的敏感标记保存至所述目标文件的扩展属性中；

为目标目录设置敏感标记，遍历所述目标目录中所有的文件，将所述目标目录中各个文件的敏感标记保存至所述各个文件的扩展属性中。

优选地，所述将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限包括：

将所述目标主体敏感标记与所述目标客体敏感标记进程比较；

若所述目标主体敏感标记等于或包含于所述目标客体敏感标记，则所述访问操作具有所述文件的所有访问权限；

若所述目标主体敏感标记大于所述目标客体敏感标记，则所述访问操作对所述文件具体读权限；

若所述目标主体敏感标记小于所述目标客体敏感标记，则所述访问操作无所述文件的访问权限。

优选地，所述当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记后包括：

若所述文件未设置敏感标记，则允许所述文件的访问操作。

本发明还提供了一种基于敏感标记的文件访问控制装置，包括：

遍历模块，用于利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记；

判断模块，用于当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记；

标记模块，用于若所述文件设置敏感标记，则提取所述文件的敏感标记为目标客体敏感标记；

查找模块，用于通过所述访问操作的PID，在所述各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记；

访问权限确定模块，用于将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限。

优选地，所述遍历模块包括：

提取单元，用于利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径；

第一判断单元，用于根据预先设置的用户敏感标记策略，判断当前进程的用户是否设置敏感标记；

第二判断单元，用于若所述当前进程的用户设置敏感标记，则根据预先设置的进程敏感标记策略判断所述当前进程是否设置敏感标记；

主体敏感标记获取单元，若所述当前进程设置敏感标记，则取所述当前进程的用户敏感标记与进程敏感标记的最小集作为所述当前进程的主体敏感标记。

本发明还提供了一种基于敏感标记的文件访问控制设备，包括：

存储器，用于存储计算机程序；处理器，用于执行所述计算机程序时实现上述一种基于敏感标记的文件访问控制方法的步骤。

本发明还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述一种基于敏感标记的文件访问控制方法的步骤。

本发明所提供的基于敏感标记的文件访问控制方法，利用内核驱动遍历系统上所有运行的进程，通过提取到的各个进程的用户信息及路径，确定所述各个进程的主体敏感标记。当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性获取所述文件的敏感标记，判断所述文件是否设置敏感标记。若所述文件设置了敏感标记，则提取所述文件的敏感标记为目标客体敏感标记。通过所述访问操作的PID，在所述各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记。判断所述目标主体敏感标记是否等于、包含于、大于或小于所述目标客体敏感标记，根据判断结果确定所述访问操作对所述文件的访问权限。本发明所提供的方法，通过对用户、进程、文件设置敏感标记，从而实现设置了敏感标记的文件只能由相应的用户、进程进行访问。本发明可以有效控制不同主体只能访问其有权访问的资源，保证了多级安全访问。

附图说明

为了更清楚的说明本发明实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所提供的基于敏感标记的文件访问控制方法的第一种具体实施例的流程图；

图2为获取系统中运行进程的主体敏感标记的具体流程示意图；

图3为本发明所提供的基于敏感标记的文件访问控制方法的第二种具体实施例的流程图；

图4为本发明实施例提供的一种基于敏感标记的文件访问控制装置的结构框图。

具体实施方式

本发明的核心是提供一种基于敏感标记的文件访问控制方法、装置、设备以及计算机可读存储介质，可有效控制不同主体只能访问其有权访问的资源，保证了多级安全访问。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参考图1，图1为本发明所提供的基于敏感标记的文件访问控制方法的第一种具体实施例的流程图；具体操作步骤如下：

步骤S101：利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记；

在本实施例中，利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径前，设置用户敏感标记策略并下发到所述内核驱动，如设置用户testA敏感标记为S3-S7，用户testB敏感标记为S2；设置进程敏感标记策略并下发到所述内核驱动，如设置A.EXE程序敏感标记为S3-S7，B.EXT程序敏感标记为S2；设置某个文件或目录的敏感标记，将敏感标记保存到文件的扩展属性中，如果设置的是目录，则遍历目录中所有的文件并将敏感标记保存到文件的扩展属性中。

在本实施例中，将文件敏感标记存储在文件的扩展属性中，使文件的敏感标记可以随着文件的复制而流动到目标文件，保证了重要文件复制后的保密性。并且可以在所述内核驱动中增加文件敏感标记修改的保护功能，只允许指定程序可以修改文件的敏感标记，禁止恶意破坏文件敏感标记。

在本实施例中，可将用户、进程、文件的敏感标记范围设置为S1-S10，S0表示没有设置敏感标记：用户敏感标记可以设置为单个标记如S5、标记范围如S2-S5、多个标记[S2、S4、S5]；进程敏感标记可以设置为单个标记如S5、标记范围如S2-S5、多个标记[S2、S4、S5]；文件敏感标记只可以设置单个标记如S5或无标记。

步骤S102：当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记；

在本实施例中，只有被访问的文件设置了敏感标记才需要进行访问控制判断，没有设置敏感标记的文件将允许任何访问。因此若所述文件未设置敏感标记，则允许本次访问操作。

步骤S103：若所述文件设置敏感标记，则提取所述文件的敏感标记为目标客体敏感标记；

步骤S104：通过所述访问操作的PID，在所述各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记；

步骤S105：将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限。

本实施例通过对用户、进程、文件设置敏感标记，从而实现设置了敏感标记的文件只能由相应的用户、进程进行访问。且文件敏感标记设置在文件扩展属性上，保证了文件敏感标记随文件复制流动。本实施例中用户敏感标记、进程敏感标记可以设置为单标记、多标记或范围标记，在保证了多级安全访问的同时又提高了系统的课配置性。

在进程敏感标记策略中设置A.EXE的敏感标记后，为了保证文件的正常访问，由A.EXE创建的子程序如果没有策略标明其敏感标记，那么A.EXE的子程序应该继承其敏感标记，基于此本发明在内核中用一个缓存表来维护主体的敏感标记。请参考图2，图2为获取系统中运行进程的主体敏感标记的具体流程示意图；上述实施例中S101的具体操作步骤如下：

步骤S201：利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径；

步骤S202：根据预先设置的用户敏感标记策略，判断当前进程的用户是否设置敏感标记；

步骤S203：若所述当前进程的用户未设置敏感标记，则将所述当前进程的主体敏感标记设置为S0，执行步骤S209；

步骤S204：若所述当前进程的用户设置敏感标记，则根据预先设置的进程敏感标记策略判断所述当前进程是否设置敏感标记；

步骤S205：若所述当前进程未设置敏感标记，则根据所述当前进程的路径判断所述当前进程是否存在父进程；

步骤S206：若所述当前进程存在父进程，则将所述父进程的主体敏感标记设置为所述当前进程的主体敏感标记；

步骤S207：若所述当前进程没有父进程，则将所述当前进程的主体敏感标记设置为S0，执行步骤S209；

步骤S208：若所述当前进程设置敏感标记，则取所述当前进程的用户敏感标记与进程敏感标记的最小集作为所述当前进程的主体敏感标记；

取用户敏感标记和进程敏感标记的最小集获取主体敏感标记，如用户标记为S3-S6，进程标记为S4-S5，则主体敏感标记为S4-S5。

步骤S209：以所述当前进程的<PID、主体敏感标记>插入缓存，并设置所述当前进程的父子进程关系。

当所述内核驱动在拦截到新建进程后，执行所述步骤S201至所述步骤S209。当所述内核驱动在拦截到程序的退出后将该进程从缓存中删除。

本实施例中所提供的主体敏感标记的维护方法：子进程继承父进程的主体敏感标记，可以很好的适用于多进程程序。

基于上述实施例，在本实施例中，判断目标主体敏感标记是否等于、包含于、大于或小于目标客体敏感标记，并根据判断结果确定访问操作对文件的访问权限。

请参考图3，图3为本发明所提供的基于敏感标记的文件访问控制方法的第二种具体实施例的流程图；具体操作步骤如下：

步骤S301：当内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记；

步骤S302：若所述文件未设置敏感标记，则允许所述文件的访问操作；

步骤S303：若所述文件设置敏感标记，则提取所述文件的敏感标记为目标客体敏感标记；

步骤S304：通过所述访问操作的PID，在各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记；

步骤S305：将所述目标主体敏感标记与所述目标客体敏感标记进程比较；

步骤S306：若所述目标主体敏感标记等于或包含于所述目标客体敏感标记，则所述访问操作具有所述文件的所有访问权限；

步骤S307：若所述目标主体敏感标记大于所述目标客体敏感标记，则所述访问操作对所述文件具体读权限；

步骤S308：若所述目标主体敏感标记小于所述目标客体敏感标记，则所述访问操作无所述文件的访问权限。

在本实施例中，当所述内核驱动拦截到对文件的访问操作时，将该进程的主体敏感标记设为主体敏感标记，获取文件的敏感标记为客体敏感标记。若主体敏感标记包含或等于客体敏感标记，主体对客体具有所有访问权限，例如主体敏感标记为S3-S6，客体敏感标记为S4。若主体敏感标记大于客体敏感标记，主体对客体具有读权限，例如主体敏感标记为S3-S6，客体敏感标记为S2。若主体敏感标记小于客体敏感标记，主体对客体没有读写权限，例如主体敏感标记为S3-S6，客体敏感标记为S7。

本实施例可以有效控制不同主体只能访问其有权访问的资源，适用于需要构建多级安全保护的系统。

请参考图4，图4为本发明实施例提供的一种基于敏感标记的文件访问控制装置的结构框图；具体装置可以包括：

遍历模块100，用于利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记；

判断模块200，用于当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记；

标记模块300，用于若所述文件设置敏感标记，则提取所述文件的敏感标记为目标客体敏感标记；

查找模块400，用于通过所述访问操作的PID，在所述各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记；

访问权限确定模块500，用于将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限。

本实施例的基于敏感标记的文件访问控制装置用于实现前述的基于敏感标记的文件访问控制方法，因此基于敏感标记的文件访问控制装置中的具体实施方式可见前文中的基于敏感标记的文件访问控制方法的实施例部分，例如，遍历模块100，判断模块200，标记模块300，查找模块400，访问权限确定模块500，分别用于实现上述基于敏感标记的文件访问控制方法中步骤S101，S102，S103，S104和S105，所以，其具体实施方式可以参照相应的各个部分实施例的描述，在此不再赘述。

本发明具体实施例还提供了一种基于敏感标记的文件访问控制设备，包括：存储器，用于存储计算机程序；处理器，用于执行所述计算机程序时实现上述一种基于敏感标记的文件访问控制方法的步骤。

本发明具体实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述一种基于敏感标记的文件访问控制方法的步骤。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本发明所提供的基于敏感标记的文件访问控制方法、装置、设备以及计算机可读存储介质进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (7)

1.一种基于敏感标记的文件访问控制方法 ，其特征在于，包括：

利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记；当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记；

若所述文件设置敏感标记，则提取所述文件的敏感标记为目标客体敏感标记；

通过所述访问操作的PID，在所述各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记；

将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限;

其中，所述利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记包括：

利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径；

根据预先设置的用户敏感标记策略，判断当前进程的用户是否设置敏感标记；

若所述当前进程的用户设置敏感标记，则根据预先设置的进程敏感标记策略判断所述当前进程是否设置敏感标记；

若所述当前进程设置敏感标记，则取所述当前进程的用户敏感标记与进程敏感标记的最小集作为所述当前进程的主体敏感标记；

其中，所述将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限包括：

将所述目标主体敏感标记与所述目标客体敏感标记进程比较；

若所述目标主体敏感标记等于或包含于所述目标客体敏感标记，则所述访问操作具有所述文件的所有访问权限；

若所述目标主体敏感标记大于所述目标客体敏感标记，则所述访问操作对所述文件具体读权限；

若所述目标主体敏感标记小于所述目标客体敏感标记，则所述访问操作无所述文件的访问权限。

2.如权利要求1所述的方法，其特征在于，所述若所述当前进程的用户设置敏感标记，则根据预先设置的进程敏感标记策略判断所述当前进程是否设置敏感标记后包括：

若所述当前进程未设置敏感标记，则根据所述当前进程的路径判断所述当前进程是否存在父进程；

若所述当前进程存在父进程，则将所述父进程的主体敏感标记设置为所述当前进程的主体敏感标记。

3.如权利要求1所述的方法，其特征在于，所述利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径前包括：

将所述预先设置的用户敏感标记策略下发至所述内核驱动，为用户设置敏感标记；

将所述预先设置的进程敏感标记策略下发至所述内核驱动，为进程设置敏感标记；

为目标文件设置敏感标记，将所述目标文件的敏感标记保存至所述目标文件的扩展属性中；

为目标目录设置敏感标记，遍历所述目标目录中所有的文件，将所述目标目录中各个文件的敏感标记保存至所述各个文件的扩展属性中。

4.如权利要求1所述的方法，其特征在于，所述当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记后包括：

若所述文件未设置敏感标记，则允许所述文件的访问操作。

5.一种基于敏感标记的文件访问控制装置，其特征在于，包括：

遍历模块，用于利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径，根据所述各个进程的用户信息与路径，确定所述各个进程的主体敏感标记；

判断模块，用于当所述内核驱动拦截到文件的访问操作时，通过所述文件的扩展属性中文件敏感标记位信息判断所述文件是否设置敏感标记；

标记模块，用于若所述文件设置敏感标记，则提取所述文件的敏感标记为目标客体敏感标记；

查找模块，用于通过所述访问操作的PID，在所述各个进程的主体敏感标记中查找所述访问操作的目标主体敏感标记；

访问权限确定模块，用于将所述目标主体敏感标记与所述目标客体敏感标记进程比较，根据比较结果确定所述访问操作对所述文件的访问权限；

其中，所述遍历模块具体用于：利用内核驱动遍历系统上所有运行的进程，提取各个进程的用户信息与路径；

根据预先设置的用户敏感标记策略，判断当前进程的用户是否设置敏感标记；

若所述当前进程的用户设置敏感标记，则根据预先设置的进程敏感标记策略判断所述当前进程是否设置敏感标记；

若所述当前进程设置敏感标记，则取所述当前进程的用户敏感标记与进程敏感标记的最小集作为所述当前进程的主体敏感标记；

所述访问权限确定模块具体用于：将所述目标主体敏感标记与所述目标客体敏感标记进程比较；

若所述目标主体敏感标记等于或包含于所述目标客体敏感标记，则所述访问操作具有所述文件的所有访问权限；

若所述目标主体敏感标记大于所述目标客体敏感标记，则所述访问操作对所述文件具体读权限；

若所述目标主体敏感标记小于所述目标客体敏感标记，则所述访问操作无所述文件的访问权限。

6.一种基于敏感标记的文件访问控制设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至4任一项所述一种基于敏感标记的文件访问控制方法的步骤。

7.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至4任一项所述一种基于敏感标记的文件访问控制方法的步骤。

Images