CN112231726A

CN112231726A - 访问控制方法、装置、计算机设备及可读存储介质

Info

Publication number: CN112231726A
Application number: CN202011107565.1A
Authority: CN
Inventors: 杨俊权; 陶文伟; 吴金宇; 陈刚; 胡海生; 庞晓健
Original assignee: China Southern Power Grid Co Ltd
Current assignee: China Southern Power Grid Co Ltd
Priority date: 2020-10-16
Filing date: 2020-10-16
Publication date: 2021-01-15
Anticipated expiration: 2040-10-16
Also published as: CN112231726B

Abstract

本申请涉及一种访问控制方法、装置、计算机设备及可读存储介质。该方法包括：通过访问控制单元提取截获的访问请求中主客体的安全级别，并通过主客体的安全级别验证主体和客体身份的可信性，通过主客体的安全级别以及操作系统符合性检查策略，判断访问请求是否安全，若访问请求安全，则允许访问请求进行执行；该方法对主体和客体身份的可信性进行验证，以判定访问请求安全，访问请求可继续执行，从而提高了操作系统在计算平台上的安全性。

Description

访问控制方法、装置、计算机设备及可读存储介质

技术领域

本申请涉及操作系统安全技术领域，特别是涉及一种访问控制方法、装置、计算机设备及可读存储介质。

背景技术

随着科学技术的快速发展，互联网技术正以其不可阻挡的趋势影响着社会的发展和人们的生活，网络环境中的信息在现代化生活中发挥的作用也越来越大，已经成为市场竞争的重要手段。因此，如何保证网络环境中的信息安全称为当今研究的热门话题。

在现有操作系统的计算平台上，一般的文件操作访问是访问请求从应用层到操作系统层，再到设备层，操作被逐步细化之后，在文件系统层就看到文件的基本读、写、创建等操作。但是，现有操作系统中，每层操作所在的语境并不清晰，会出现应用层某个安全合理的请求，在文件系统层看来却是不安全的情况，也即操作系统层仅仅给出通用的访问控制机制，从而导致计算平台的安全性较低。

发明内容

基于此，有必要针对上述技术问题，提供一种能够提高计算平台安全性的访问控制方法、装置、计算机设备及可读存储介质。

一种访问控制方法，所述方法包括：

通过访问控制单元提取访问请求中主客体的安全级别，并通过所述主客体的安全级别验证主体和客体身份的可信性；

若所述主体和客体身份的可信性通过，则根据所述主客体的安全级别以及操作系统符合性检查策略，判断所述访问请求是否安全；

若所述访问请求安全，则允许所述访问请求进行执行。

在其中一个实施例中，所述方法还包括：

若所述访问请求不安全，则将所述访问请求发送至操作系统调整审计单元，指示所述操作系统调整审计单元通过操作系统等级调整审核策略，判断所述访问请求是否符合调整安全等级；

若符合，则允许所述访问请求进行执行。

在其中一个实施例中，所述方法还包括：

若不符合，则拒绝所述访问请求执行，并对所述访问请求进行审计警告。

在其中一个实施例中，所述通过访问控制单元提取访问请求中主客体的安全级别，包括：

在操作系统调用过程中，截获操作系统待执行的所述访问请求；

获取所述访问请求中所述主客体的安全级别。

在其中一个实施例中，所述通过所述主客体的安全级别验证主体和客体身份的可信性，包括：

所述访问控制单元将所述主客体的安全级别发送至可信平台控制单元，指示所述可信平台控制单元通过内部的可信度量机制，判定所述主体和所述客体身份的可信性。

在其中一个实施例中，所述主客体的安全级别包括按照等级分类和非等级分类组合的指定敏感标记。

在其中一个实施例中，所述主客体中的客体包括进程、文件、段以及设备。

一种访问控制装置，所述装置包括：

验证模块，用于通过访问控制单元提取访问请求中主客体的安全级别，并通过所述主客体的安全级别验证主体和客体身份的可信性；

第一判断模块，用于所述主体和客体身份的可信性通过时，根据通过所述主客体的安全级别以及操作系统符合性检查策略，判断所述访问请求是否安全；

确定模块，用于所述第一判断模块判定所述访问请求安全时，允许所述访问请求进行执行。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

若所述访问请求安全，则允许所述访问请求进行执行。

一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

若所述访问请求安全，则允许所述访问请求进行执行。

上述访问控制方法、装置、计算机设备及可读存储介质，该方法通过访问控制单元提取访问请求中主客体的安全级别，并通过主客体的安全级别验证主体和客体身份的可信性，若主体和客体身份的可信性通过，则根据主客体的安全级别以及操作系统符合性检查策略，判断访问请求是否安全，若访问请求安全，则允许访问请求进行执行；该方法对主体和客体身份的可信性进行验证，进而判定访问请求安全，访问请求可继续执行，从而提高了操作系统在计算平台上的安全性。

附图说明

图1为一个实施例中访问控制方法的应用环境图；

图2为一个实施例中访问控制方法的流程示意图；

图3为另一个实施例中访问控制单元在操作系统上的逻辑层次结构图；

图4为另一个实施例中获取访问请求中主客体的安全级别的流程示意图；

图5为另一个实施例中访问控制方法的具体流程示意图；

图6为另一个实施例中一种操作系统中的功能单元接口和功能单元之间的连接关系图；

图7为另一个实施例中安全管理中心的内部结构示意图；

图8为一个实施例中访问控制装置的结构示意图；

图9为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的访问控制方法，可以应用于如图1所示的应用环境中。图1中的访问控制系统包括：不同操作系统的服务器、不同操作系统的安全终端、安全管理中心以及交换组。在本实施例中，上述访问控制系统可以理解为强制访问控制系统，该访问控制方法可以适应于强制访问控制，也就是，本实施例中的访问控制可以理解为强制访问控制。可选的，上述操作系统可以为Linux操作系统，也可以为Windows操作系统。可选的，不同操作系统的安全终端与不同操作系统的服务器之间为通信连接，安全管理中心可以管理不同操作系统的安全终端和不同操作系统的服务器；上述安全管理中心可以对操作系统运行环境中的计算环境、区域边界和通信网络实施统一的安全方式，以确保操作系统配置完整可信以及确定用户操作权限，并可以实施应用程序的全部执行过程的审计追踪。可选的，访问控制系统可以理解为一种软硬件结合结构，服务器和安全终端的主机上有一个硬件，即可信平台控制单元，还有一个内核级的软件，该软件可以实现计算平台中操作系统上的访问控制。

其中，上述计算环境安全可以理解为通过安全终端、服务器的操作系统、上层应用系统和数据库的安全机制服务，保障整个应用业务处理过程安全；上述区域边界可以理解为对进入和流出计算环境的信息流进行安全检查和访问控制，确保不会有违背操作系统安全策略的信息流经过边界，上述信息流可以为通过边界的数据流；通信网络可以对通信双方进行可信鉴别验证，建立安全通道，实施传输数据密码保护，以确保数据传输过程中数据不会被窃听、篡改和破坏。可选的，服务器、安全终端、安全管理中心以及交换机之间可以通过无线连接进行通信；无线连接的方式可以是Wi-Fi，移动网络或蓝牙连接。在下述实施例中将具体介绍访问控制方法的具体过程。本实施例中，实现访问控制方法的执行主体可以为访问控制系统，下述实施例中将介绍访问控制方法的具体过程。

图2为一实施例提供的访问控制方法的流程示意图。本实施例涉及的是如何对操作系统执行过程执行访问控制的过程，以该方法应用于图1中的访问控制系统为例进行说明。如图2所示，该方法包括：

步骤S1000、通过访问控制单元提取访问请求中主客体的安全级别，并通过所述主客体的安全级别验证主体和客体身份的可信性。

具体的，访问控制系统中操作系统内核层的访问控制单元可以提取获取的访问请求中主客体的安全级别，并通过主客体的安全级别验证主体和客体身份的可信性。可选的，访问控制单元在提取访问请求中主客体的安全级别之前，访问控制单元需要与安全管理中心中的标记管理单元进行通信；该标记管理单元可以用来管理主体和客体的标记属性，如安全等级、标记特征等。可选的，主客体的安全级别可以称为主客体的安全标识，可以理解为强制访问控制的依据。可选的，主体和客体均有对应的安全级别，该安全级别的形式可以为整形的数字，也可以为字母。可选的，客体可以理解为被主体访问的资源，也可以理解为规定需要保护的资源；主体可以理解为一个主动的实体，规定可以访问客体的实体，通常可以指用户或代表用户执行的程序。

可选的，所述主客体的安全级别包括按照等级分类和非等级分类组合的指定敏感标记。

需要说明的是，访问控制单元可以连接服务器和安全终端的应用层。可选的，上述可信平台控制单元可以为操作系统上的访问控制提供算法和主客体度量支撑，并计算和返回可信验证的结果；该可信验证可以理解为应用程序执行过程的验证。可选的，上述访问控制单元的架构可以分为三层，分别为底层、中层和高层。其中，底层可以为专用的可信平台控制单元；该底层可以为硬件层；中层可以为通用的强制访问控制单元；高层可以为专用的强制访问控制单元。可选的，操作系统内核层上具有监控接口，该监控接口可以发现访问请求，以截获访问请求。

在本实施例中，如图3所示为访问控制单元在操作系统上的逻辑层次结构图；其中，访问控制单元可以包括通用强制访问控制单元和专用强制访问控制单元。可选的，按照实现方式定义，专用强制访问控制单元可以包括应用封装单元和安全操作系统调用单元。可选的，应用封装单元和安全操作系统调用单元均可以用来执行强制访问控制；在执行过程中，应用封装单元无需修改应用程序，而安全操作系统调用单元需要修改应用程序来调用强制访问控制的接口。可选的，通用强制访问控制单元这一层可以按照安全模型匹配策略，检查主体对客体的访问动作是否合法，或者对主体对客体的访问动作进行强制访问控制；专用强制访问控制单元可以为操作系统中的服务程序或安全应用程序量身定制，根据实现方式的不同，按照安全封装方式和安全系统调用接口方式进行检查和强制访问控制。可选的，上述安全模型可以为强制访问控制使用的逻辑匹配方法，该安全模型可以包括完整性访问控制模型和状态机模型等。示例性的，上述主体为word程序，客体为doc文档，该doc文档是否可以被word打开，强制访问控制是可以控制的。

其中，安全封装方式可以适用于已经成熟或源代码不可控的系统服务程序，通过拦截这些程序发出的系统调用，还原出相应的应用语境信息，以便在应用程序发出违背系统安全策略的请求时，对应用语境信息进行调节，以满足业务的正常需求；安全系统调用接口方式可以对经过安全封装的系统调用接口进行封装，目的是确保应用相关的流程及语境信息能够传递到强制访问控制单元中，从而使得强制访问控制单元能够利用应用相关的流程及语境信息进行策略符合性检查和等级调整检查，做出更合理的访问控制决策。可选的，上述系统调用接口可以为安全终端系统内核与上层应用程序进行交互通信的唯一接口，是一种程序，该程序中封装了强制访问控制的一些逻辑功能。可选的，策略符合性检查可以理解为根据主客体的安全级别，按照预定义的完整性访问控制和状态机等模型进行计算，并根据计算结果确定主体是否可以访问客体。

步骤S2000、若所述主体和客体身份的可信性通过，则根据所述主客体的安全级别以及操作系统符合性检查策略，判断所述访问请求是否安全。

具体的，在确定主体和客体身份可信后，访问控制单元可以根据主客体的安全级别和操作系统符合性检查策略，以判断访问请求是否安全。可选的，操作系统符合性检查策略可以理解为根据策略检查操作系统中执行的主体访问客体的行为是否符合策略要求。

步骤S3000、若所述访问请求安全，则允许所述访问请求进行执行。

具体的，当访问控制单元确定访问请求安全时，可以允许访问请求通过，继续执行，进一步，还可以将审计日志发送至审计单元。可选的，审计日志可以是在操作系统访问动作同步执行过程中执行的；不同操作系统的审计日志可以由一系列的事件记录组成。示例性的，Windows操作系统的审计日志中每一个事件记录可以分为三个功能部分，分别包括：头、事件描述和可选的附加数据项。

上述访问控制方法中，通过访问控制单元提取访问请求中主客体的安全级别，并通过主客体的安全级别验证主体和客体身份的可信性，若主体和客体身份的可信性通过，则根据通过主客体的安全级别以及操作系统符合性检查策略，判断访问请求是否安全，若访问请求安全，则允许访问请求进行执行；该方法对主体和客体身份的可信性进行验证，进而判定访问请求安全，访问请求可继续执行，从而提高了操作系统在计算平台上的安全性。

作为其中一个实施例，如图4所示，在步骤S2000之后，上述访问控制方法还可以包括以下步骤：

步骤S4000、若所述访问请求不安全，则将所述访问请求发送至操作系统调整审计单元，指示所述操作系统调整审计单元通过操作系统等级调整审核策略，判断所述访问请求是否符合调整安全等级。

具体的，当访问控制单元确定访问请求不安全时，可以将访问请求发送至操作系统调整审计单元，并指示操作系统调整审计单元通过操作系统等级调整审核策略，判断访问请求是否符合调整安全等级。可选的，访问请求不安全可以表征访问请求携带有入侵事件。可选的，上述操作系统等级调整审核策略可以理解为允许操作系统临时调整主体和客体的安全等级，以获得临时的执行能力，并且在执行之后会恢复原来的策略要求；也可以理解为，在特定条件下给了一个特权执行，在执行之后会恢复要求。

步骤S5000、若符合，则允许所述访问请求进行执行。

具体的，若访问控制单元判定访问请求符合调整安全等级时，表征访问请求安全，可以允许访问请求通过，继续执行。

请继续参见图4所示，在上述步骤S4000之后，所述方法还可以包括：

步骤S6000、若不符合，则拒绝所述访问请求执行，并对所述访问请求进行审计警告。

在本实施例中，若访问控制单元判定访问请求不符合调整安全等级时，表征访问请求不安全，此时，可以拒绝访问请求执行，并对访问请求进行审计警告，以提醒管理员有入侵事件发生。

上述访问控制方法可以对主体和客体身份的可信性进行验证，进而判定访问请求不安全时，继续判断访问请求是否符合调整安全等级，在访问请求符合调整安全等级时，能够提高操作系统在计算平台上的安全性。

在另一个实施例中，如图5所示，上述步骤S1000中通过访问控制单元提取访问请求中主客体的安全级别的步骤，可以通过以下步骤实现：

步骤S1100、在操作系统调用过程中，截获操作系统待执行的所述访问请求。

具体的，访问控制单元可以在操作系统调用过程中，截获操作系统执行的访问请求，进而获取访问请求中携带的信息。在本实施例中，操作系统中的功能单元接口和功能单元之间的连接关系可如图6所示，图6中的应用子系统可以为应用程序，节点子系统可以为操作系统或者操作系统加可信平台控制单元(即硬件平台)；其中，应用子系统与节点子系统之间可以通过系统调用接口通信，不同节点子系统之间、节点子系统与安全管理中心之间可以通过可靠的网络传输协议通信，按照规定的接口协议传输策略数据、审计数据以及其他平台认证数据等，上述安全管理中心的内部结构可以如图7所示。可选的，上述网络传输协议可以为传输控制协议、因特网互联协议或者虚拟专用网络协议等等；上述规定的接口协议可以为自定义的接口协议。

步骤S1200、获取所述访问请求中所述主客体的安全级别。

具体的，访问控制单元可以从访问请求中携带的信息中，分别获取主体和客体的安全级别。

进一步的，上述上述步骤S1000中通过所述主客体的安全级别验证主体和客体身份的可信性的步骤，可以包括：所述访问控制单元将所述主客体的安全级别发送至可信平台控制单元，指示所述可信平台控制单元通过内部的可信度量机制，判定所述主体和所述客体身份的可信性。

在本实施例中，访问控制单元可以将获取到的主客体的安全级别发送至可信平台控制单元，并指示可信平台控制单元通过内部的可信度量机制，验证主体和所客体身份的可信性，以判定主体和客体身份可信，进一步，将判定结果回传至标记管理单元，标记管理单元再传递给访问控制单元，访问控制单元执行访问请求。

上述访问控制方法可以判定主体和客体身份的可信性，进一步确保访问请求安全时允许执行，从而能够提高操作系统在计算平台上的安全性。

应该理解的是，虽然图2、4和5的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2、4和5中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

图8为一实施例提供的访问控制装置的结构示意图。如图8所示，该装置可以包括：验证模块11、第一判断模块12以及确定模块13。

具体的，所述验证模块11，用于通过访问控制单元提取访问请求中主客体的安全级别，并通过所述主客体的安全级别验证主体和客体身份的可信性；

所述第一判断模块12，用于所述主体和客体身份的可信性通过时，根据所述主客体的安全级别以及操作系统符合性检查策略，判断所述访问请求是否安全；

所述确定模块13，用于所述第一判断模块12判定所述访问请求安全时，允许所述访问请求进行执行。

其中，所述主客体的安全级别包括按照等级分类和非等级分类组合的指定敏感标记，所述主客体中的客体包括进程、文件、段以及设备。

本实施例提供的访问控制装置，可以执行上述方法实施例，其实现原理和技术效果类似，在此不再赘述。

在其中一个实施例中，所述访问控制装置还包括：第二判断模块以及确定执行模块。

具体的，所述第二判断模块，用于所述第一判断模块12判定所述访问请求不安全时，将所述访问请求发送至操作系统调整审计单元，指示所述操作系统调整审计单元通过操作系统等级调整审核策略，判断所述访问请求是否符合调整安全等级；

所述确定执行模块，用于第二判断模块的判断结果为是，则允许所述访问请求进行执行。

在其中一个实施例中，所述验证模块11包括：截获单元和安全级别获取单元。

具体的，所述截获单元，用于在操作系统调用过程中，截获操作系统待执行的所述访问请求；

所述安全级别获取单元，用于获取所述访问请求中所述主客体的安全级别。

在其中一个实施例中，所述验证模块11还包括：判定单元。

所述判定单元，用于所述访问控制单元将所述主客体的安全级别发送至可信平台控制单元，指示所述可信平台控制单元通过内部的可信度量机制，判定所述主体和所述客体身份的可信性。

关于访问控制装置的具体限定可以参见上文中对于访问控制方法的限定，在此不再赘述。上述访问控制装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于终端中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图9所示。该计算机设备包括通过系统总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种访问控制方法。

本领域技术人员可以理解，图9中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的终端的限定，具体的终端可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现以下步骤：

若所述访问请求安全，则允许所述访问请求进行执行。

在一个实施例中，提供了一种可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

若所述访问请求安全，则允许所述访问请求进行执行。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims

1.一种访问控制方法，其特征在于，所述方法包括：

若所述访问请求安全，则允许所述访问请求进行执行。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若符合，则允许所述访问请求进行执行。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

4.根据权利要求1-3任一项所述的方法，其特征在于，所述通过访问控制单元提取访问请求中主客体的安全级别，包括：

获取所述访问请求中所述主客体的安全级别。

5.根据权利要求1-3任一项所述的方法，其特征在于，所述通过所述主客体的安全级别验证主体和客体身份的可信性，包括：

6.根据权利要求5所述的方法，其特征在于，所述主客体的安全级别包括按照等级分类和非等级分类组合的指定敏感标记。

7.根据权利要求6所述的方法，其特征在于，所述主客体中的客体包括进程、文件、段以及设备。

8.一种访问控制装置，其特征在于，所述装置包括：

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。

10.一种可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。