CN116842536A - 操作系统的访问控制方法、装置、设备及存储介质 - Google Patents

Abstract

本发明涉及计算机技术领域，公开了一种操作系统的访问控制方法、装置、设备及存储介质。其中，该方法包括：获取针对于用户进程所分配的属性信息和标签访问信息；当接收到用户进程发起的访问请求时，基于属性信息和标签访问信息，确定用户进程的访问权限；基于用户进程的资源访问状态，对访问权限进行动态更新。通过实施本发明技术方案，融合属性信息和标签访问信息确定用户进程的访问权限，结合该访问权限对用户进程进行安全可靠的内核级操作系统强制访问控制，从而保证了操作系统强制访问控制的安全性。同时，实现了对于用户进程的动态强制访问控制，保证了操作系统访问控制的灵活性。

Description

操作系统的访问控制方法、装置、设备及存储介质

技术领域

本发明涉及计算机技术领域，具体涉及一种操作系统的访问控制方法、装置、设备及存储介质。

背景技术

随着计算机网络与应用技术的不断发展，信息系统的安全问题越来越引起关注，若信息系统一旦遭受破坏，使用该信息系统的用户则将遭受重大的损失。因此，对信息系统进行有效的保护，是必须面对和解决的问题。由于操作系统在计算机系统的整体安全中至关重要，加强操作系统的安全是实现信息系统安全的关键环节，而访问控制则是操作系统的安全控制核心。

强制访问控制作为访问控制中一种强有力的访问控制手段，目前操作系统主要采用的强制访问控制方法是基于安全标记的，即通过对主、客体设置安全标记来确定主体对客体的访问。然而，随着网络技术的不断更新发展，当前操作系统采用的强制访问控制方法逐渐难以满足数据资源的安全防护。提升操作系统强制访问控制的安全性和灵活性成为亟待解决的技术问题。

发明内容

有鉴于此，本发明实施例提供了一种操作系统的访问控制方法、装置、设备及存储介质，以解决操作系统强制访问控制的安全性难以保证的问题。

根据第一方面，本发明实施例提供了一种操作系统的访问控制方法，包括：获取针对于用户进程所分配的属性信息和标签访问信息；当接收到所述用户进程发起的访问请求时，基于所述属性信息和所述标签访问信息，确定所述用户进程的访问权限；基于所述用户进程的资源访问状态，对所述访问权限进行动态更新。

本发明实施例提供的操作系统的访问控制方法，通过为用户进程分配相应的属性信息和标签访问信息，由此在用户进程发起访问请求时，能够融合属性信息和标签访问信息确定用户进程的访问权限，结合该访问权限对用户进程进行安全可靠的内核级操作系统强制访问控制，从而保证了操作系统强制访问控制的安全性。同时，通过分析用户进程的资源访问状态，对其访问权限进行动态更新，实现了对于用户进程的动态强制访问控制，保证了操作系统访问控制的灵活性。

结合第一方面，在第一方面的第一实施方式中，所述当接收到所述用户进程发起的访问请求时，基于所述属性信息和所述标签访问信息，确定所述用户进程的访问权限，包括：当接收到所述用户进程发起的访问请求时，验证所述属性信息是否满足授权访问条件；当所述属性信息满足所述授权访问条件时，基于所述标签访问信息为所述用户进程匹配相应的访问权限。

本发明实施例提供的操作系统的访问控制方法，通过分析用户进程的访问请求是否满足授权访问条件，以确定是否为用户进程分配相应的访问权限，由此能够最大程度上保证操作系统的访问安全性。

结合第一方面或第一方面第一实施方式，在第一方面的第二实施方式中，所述方法还包括：确定可访问资源对应的属性权重以及安全等级；基于所述可访问资源的安全等级，生成所述可访问资源的数据安全标签，并采用与所述安全等级相对应的所述属性权重对所述可访问资源进行加密，得到加密数据资源；将加密数据资源存储至本地存储空间。

本发明实施例提供的操作系统的访问控制方法，通过基于可访问资源的安全等级生成相应的数据安全标签，并根据属性权重为可访问资源进行加密处理，得到加密数据资源，将携带有数据安全标签的加密数据资源存储至本地，由此只有用户进程具有针对于加密数据资源的访问权限，其才能够解密该加密数据资源，从而在限制用户进程解密的同时也保护了加密数据资源。

结合第一方面第二实施方式，在第一方面的第三实施方式中，所述方法还包括：将所述标签访问信息与所述数据安全标签进行匹配，得到标签匹配结果；基于所述匹配结果验证所述用户进程的访问权限。

本发明实施例提供的操作系统的访问控制方法，通过将标签访问信息与数据安全标签进行匹配以确定用户进程针对于加密数据资源的访问权限，保证了加密数据资源的安全性。

结合第一方面，在第一方面的第四实施方式中，所述基于所述用户进程的资源访问状态，对所述访问权限进行动态更新，包括：分析所述用户进程对资源的访问行为，确定所述用户进程是否存在恶意访问行为；当所述用户进程存在恶意访问行为时，降低所述用户进程的访问权限。

结合第一方面第四实施方式，在第一方面的第五实施方式中，所述方法还包括：当所述用户进程不存在所述恶意访问行为时，基于所述用户进程发起的访问权限提升请求，升级所述用户进程的访问权限。

本发明实施例提供的操作系统的访问控制方法，通过分析用户进程是否存在恶意访问行为，根据分析结果更新用户进程的属性信息和访问标签信息以动态的降低或升级用户进程的访问权限，实现了对于操作系统中的数据资源的动态强制访问控制。

结合第一方面，在第一方面的第六实施方式中，在所述获取针对于用户进程所分配的属性信息和标签访问信息的同时，还包括：获取访问控制框架的数据结构；采用预设函数对所述数据结构对应的钩子函数进行替换。

本发明实施例提供的操作系统的访问控制方法，通过捕获访问控制框架的数据结构，并通过预设函数对其钩子函数进行替换，由此能够通过预设函数接管访问控制框架的数据结构，最大程度上实现了更加安全可靠的内核级操作系统强制访问控制。

根据第二方面，本发明实施例提供了一种操作系统的访问控制装置，包括：获取模块，用于获取针对于用户进程所分配的属性信息和标签访问信息；访问控制模块，用于当接收到所述用户进程发起的访问请求时，基于所述属性信息和所述标签访问信息，确定所述用户进程的访问权限；访问更新模块，用于基于所述用户进程的资源访问状态，对所述访问权限进行动态更新。

根据第三方面，本发明实施例提供了一种电子设备，包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行第一方面或第一方面任一实施方式所述的操作系统的访问控制方法。

根据第四方面，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使计算机执行第一方面或第一方面任一实施方式所述的操作系统的访问控制方法。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例的操作系统的访问控制方法的流程图；

图2是根据本发明实施例的操作系统的访问控制方法的另一流程图；

图3是根据本发明实施例的操作系统的访问控制方法的又一流程图；

图4是根据本发明实施例的操作系统的访问控制装置的结构框图；

图5是本发明实施例提供的子设备的硬件结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

根据本发明实施例，提供了一种操作系统的访问控制方法的实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

在本实施例中提供了一种操作系统的访问控制方法，可用于电子设备(如电脑、服务器等)的操作系统，集中管控中心可以对该操作系统进行控制，该操作系统具有相应的数据资源中心以供用户进程访问。

图1是根据本发明实施例的操作系统的访问控制方法的流程图，如图1所示，该流程包括如下步骤：

S11，获取针对于用户进程所分配的属性信息和标签访问信息。

属性信息是用于描述用户进程对于数据资源的访问权重的属性集合，该属性信息可以是根据用户进程身份信息的特征(例如用户进程ID)信息确定。标签访问信息用于表征用户进程的安全等级，该安全等级可以根据用户进程的业务类别、行为目的等进行定义。

电子设备的操作系统可以向集中管控中心发送针对于用户进程的分配请求，并将用户进程身份信息的特征信息、用户进程的业务类别、行为目的等信息发送至集中管控中心。集中管控中心则可以根据用户进程身份信息的特征信息为其分配属性信息，同时根据用户进程的业务类别、行为目的等为用户进程定义相应的标签访问信息，并将其分配好的属性信息和标签访问信息下发至电子设备的操作系统。相应地，电子设备的操作系统则可以获取到该属性信息和标签访问信息，并将接收到的属性信息和标签访问信息分配至各个用户进程。

S12，当接收到用户进程发起的访问请求时，基于属性信息和标签访问信息，确定用户进程的访问权限。

当用户进程要访问电子设备操作系统中的数据资源时，用户进程可以向操作系统的数据资源中心发起访问请求，数据资源中心则可以对用户进程的属性信息和标签访问信息进行验证，以确定当前用户进程是否具备数据资源的访问权限。当确定用户进程具有访问权限时，则响应该用户进程发起的访问请求；当确定用户进程不具有访问权限时，则不予响应该用户进程发起的访问请求。

S13，基于用户进程的资源访问状态，对访问权限进行动态更新。

资源访问状态用于表征用户进程针对于数据资源的访问情况，即确定用户进程在资源访问过程中是否存在不正当行为或恶意行为。继而，结合用户进程对于数据资源的访问状态对其访问权限进行更新，具体可以包括升级访问权限和降低访问权限。由此，即可实现针对于操作系统中数据资源的动态强制访问控制。

本实施例提供的操作系统的访问控制方法，通过为用户进程分配相应的属性信息和标签访问信息，由此在用户进程发起访问请求时，能够融合属性信息和标签访问信息确定用户进程的访问权限，结合该访问权限对用户进程进行安全可靠的内核级操作系统强制访问控制，从而保证了操作系统强制访问控制的安全性。同时，通过分析用户进程的资源访问状态，对其访问权限进行动态更新，实现了对于用户进程的动态强制访问控制，保证了操作系统访问控制的灵活性。

在本实施例中提供了一种操作系统的访问控制方法，可用于(如电脑、服务器等)的操作系统，集中管控中心可以对该操作系统进行控制，该操作系统具有相应的数据资源中心以供用户进程访问。

图2是根据本发明实施例的操作系统的访问控制方法的流程图，如图2所示，该流程包括如下步骤：

S21，获取针对于用户进程所分配的属性信息和标签访问信息。详细说明参见上述方法实施例对应的相关描述，此处不再赘述。

S22，当接收到用户进程发起的访问请求时，基于属性信息和标签访问信息，确定用户进程的访问权限。

具体地，上述步骤S22可以包括：

S221，当接收到用户进程发起的访问请求时，验证属性信息是否满足授权访问条件。

将属性信息对应的属性结合转化为属性权重序列，数据资源中心的数据资源存在相应的属性权重。当操作系统的数据资源中心接收到用户进程针对于数据资源的访问请求时，其可以将属性信息对应的属性权重序列与数据资源的属性权重进行对比，以确定其是否满足针对于数据资源的授权访问条件。当属性信息满足授权访问条件时，执行步骤S222，否则表示该用户进程对其请求访问的数据资源不具有访问权限。

S222，当属性信息满足授权访问条件时，基于标签访问信息为用户进程匹配相应的访问权限。

当属性信息满足授权访问条件时，进一步的分析用户进程的标签访问信息，以从中解析当前用户进程所具有的安全等级，数据资源中心则可以根据其所具备的安全等级为其分配相应等级的数据资源访问权限。

作为一个可选的实施方式，上述方法还可以包括：

(1)确定可访问资源对应的属性权重以及安全等级。

(2)基于所述可访问资源的安全等级，生成所述可访问资源的数据安全标签，并采用与所述安全等级相对应的所述属性权重对所述可访问资源进行加密，得到加密数据资源。

(3)将加密数据资源存储至本地存储空间。

可访问资源为用户进程具有访问权限即可访问的数据资源，属性权重为预先设定的针对于各个可访问资源的权重，安全等级用于表征可访问资源的保密等级。具体地，属性权重能够根据可访问资源所对应的保密等级进行设定，此处不作具体限定。

数据安全标签是为了表征可访问资源的保密等级所设定的资源等级，该数据安全标签所表征的资源等级与标签访问信息所表征的安全等级具有对应关系。操作系统中的分享资源进程采用加密算法，按照预先设定的属性权重为相应的可访问资源进行加密处理，并基于可访问资源的安全等级生成相应的数据安全标签，以得到加密数据资源，并将该加密数据资源存储于本地存储空间，即本机操作系统的数据资源中心。

通过基于可访问资源的安全等级生成相应的数据安全标签，并根据属性权重为可访问资源进行加密处理，得到加密数据资源，将携带有数据安全标签的加密数据资源存储至本地，由此只有用户进程具有针对于加密数据资源的访问权限，其才能够解密该加密数据资源，从而在限制用户进程解密的同时也保护了加密数据资源。同时，利用属性权重加密可访问资源，通过属性集合提高了鉴别授权用户进程的可靠性，并通过验证属性权重的方式降低了属性集合在交互过程中泄露的可能性。

作为一个可选的实施方式，上述方法还可以包括：

(1)将标签访问信息与数据安全标签进行匹配，得到标签匹配结果。

(2)基于匹配结果验证用户进程的访问权限。

如上所述，数据安全标签所表征的资源等级与标签访问信息所表征的安全等级具有对应关系。在用户进程满足加密数据资源的授权访问条件时，进一步的将用户进程的标签访问信息与数据安全标签进行匹配，得到标签匹配结果。只有用户进程所请求访问的数据资源的资源等级与其标签访问信息所表征的安全等级相匹配，其才具备相应的访问权限。由此，结合标签匹配结果确定用户进程所能够访问数据资源的资源等级，由此在用户进程发起数据资源的访问请求时，据此即可验证用户进程是否具备其所请求访问的数据资源的访问权限。

通过将标签访问信息与数据安全标签进行匹配以限制用户进程针对于加密数据资源的访问权限，进一步提高了加密数据资源的强制访问控制安全性。

S23，基于用户进程的资源访问状态，对访问权限进行动态更新。

具体地，上述步骤S23可以包括：

S231，分析用户进程对资源的访问行为，确定用户进程是否存在恶意访问行为。

操作系统将用户进程每次对于数据资源的访问状态以及在访问过程中的访问行为上传至集中管控中心进行分析，以使集中管控中心根据用户进程的访问行为判别其是否属于恶意访问。当用户进程存在恶意访问行为时，执行步骤S232，否则执行步骤S233。

S232，当用户进程存在恶意访问行为时，降低用户进程的访问权限。

当用户进程存在恶意访问行为时，表示该用户进程的访问存在安全隐患，此时，集中管控中心可以对该用户进程对于数据资源的访问权重进行降级，同时对其访问标签信息所表征的安全级别进行降级，并将降级后的访问权重和访问标签信息下发至操作系统。相应地，操作系统则可以根据降级后的访问权重和访问标签信息降低用户进程的访问权限，避免保密数据被恶意泄露、传播等。

S233，当用户进程不存在恶意访问行为时，基于用户进程发起的访问权限提升请求，升级用户进程的访问权限。

当用户进程不存在恶意访问行为时，表示该用户进程对于数据资源的访问是安全的。当该用户进程通过操作系统向集中管控中心申请增加访问权重时，集中管控中心可以接收该申请，为该用户进程升级对于数据资源的访问权重，同时升级其访问标签信息所表征的安全级别，并将升级后的访问权重和访问标签信息下发至操作系统。相应地，操作系统则可以根据升级后的访问权重和访问标签信息，对用户进程的访问权限进行升级。

作为一个可选的实施方式，如图3所示，在获取针对于用户进程所分配的属性信息和标签访问信息的同时，上述方法还可以包括：

S31，获取访问控制框架的数据结构。

操作系统中挂载有安全模块(Linux Security Modules，LSM)，即操作系统的访问控制框架。访问控制框架的数据结构为security_ops，该数据结构为指针集结构，其不同指针指向LSM模块中各个hook点所对应的处理函数。

S32，采用预设函数对数据结构对应的钩子函数进行替换。

预设函数为技术人员自主编写的具有信息获取功能的处理函数，例如获取用户进程pid的函数。数据资源中心可以通过捕获security_ops数据结构，采用自定义的函数接管其hook点处理函数，以发挥访问控制功能。

本实施例提供的操作系统的访问控制方法，通过分析用户进程的访问请求是否满足授权访问条件，以确定是否为用户进程分配相应的访问权限，由此能够最大程度上保证操作系统的访问安全性。通过分析用户进程是否存在恶意访问行为，根据分析结果更新用户进程的属性信息和访问标签信息以动态的降低或升级用户进程的访问权限，实现了对于操作系统中的数据资源的动态强制访问控制。通过捕获访问控制框架的数据结构，并通过预设函数对其钩子函数进行替换，由此能够通过预设函数接管访问控制框架的数据结构，最大程度上实现了更加安全可靠的内核级操作系统强制访问控制。

在本实施例中还提供了一种操作系统的访问控制装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

本实施例提供一种操作系统的访问控制装置，如图4所示，包括：

获取模块41，用于获取针对于用户进程所分配的属性信息和标签访问信息。

访问控制模块42，用于当接收到用户进程发起的访问请求时，基于属性信息和标签访问信息，确定用户进程的访问权限。

访问更新模块43，用于基于用户进程的资源访问状态，对访问权限进行动态更新。

可选地，上述访问控制模块42具体包括：

验证子模块，用于当接收到用户进程发起的访问请求时，验证属性信息是否满足授权访问条件。

权限匹配子模块，用于当属性信息满足授权访问条件时，基于标签访问信息为用户进程匹配相应的访问权限。

可选地，上述访问控制模块42具体还可以包括：

权重获取子模块，用于确定可访问资源对应的属性权重以及安全等级。

加密子模块，用于基于可访问资源的安全等级，生成可访问资源的数据安全标签，并采用与安全等级相对应的属性权重对可访问资源进行加密，得到加密数据资源。

存储子模块，用于将加密数据资源存储至本地存储空间。

可选地，上述访问控制模块42具体还可以包括：

标签匹配子模块，用于将标签访问信息与数据安全标签进行匹配，得到标签匹配结果。

权限确定子模块，用于基于匹配结果验证用户进程的访问权限。

可选地，上述访问更新模块43具体还可以包括：

分析子模块，用于分析用户进程对资源的访问行为，确定用户进程是否存在恶意访问行为。

降低子模块，用于当用户进程存在恶意访问行为时，降低用户进程的访问权限。

升级子模块，用于当用户进程不存在恶意访问行为时，基于用户进程发起的访问权限提升请求，升级用户进程的访问权限。

可选地，上述操作系统的访问控制装置还可以包括：

数据结构获取模块，用于获取访问控制框架的数据结构。

替换模块，用于采用预设函数对数据结构对应的钩子函数进行替换。

本实施例中的操作系统的访问控制装置是以功能单元的形式来呈现，这里的单元是指ASIC电路，执行一个或多个软件或固定程序的处理器和存储器，和/或其他可以提供上述功能的器件。

上述各个模块以及各个子模块的更进一步的功能描述与上述对应实施例相同，在此不再赘述。

本实施例提供的操作系统的访问控制装置，通过为用户进程分配相应的属性信息和标签访问信息，由此在用户进程发起访问请求时，能够融合属性信息和标签访问信息确定用户进程的访问权限，结合该访问权限对用户进程进行安全可靠的内核级操作系统强制访问控制，从而保证了操作系统强制访问控制的安全性。同时，通过分析用户进程的资源访问状态，对其访问权限进行动态更新，实现了对于用户进程的动态强制访问控制，保证了操作系统访问控制的灵活性。

本发明实施例还提供一种电子设备，具有上述图4所示的操作系统的访问控制装置。

请参阅图5，图5是本发明可选实施例提供的一种电子设备的结构示意图，如图5所示，该电子设备可以包括：至少一个处理器501，例如中央处理器(Central ProcessingUnit，CPU)，至少一个通信接口503，存储器504，至少一个通信总线502。其中，通信总线502用于实现这些组件之间的连接通信。其中，通信接口503可以包括显示屏(Display)、键盘(Keyboard)，可选通信接口503还可以包括标准的有线接口、无线接口。存储器504可以是高速易挥发性随机存取存储器(Random Access Memory，RAM)，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。存储器504可选的还可以是至少一个位于远离前述处理器501的存储装置。其中处理器501可以结合图4所描述的装置，存储器504中存储应用程序，且处理器501调用存储器504中存储的程序代码，以用于执行上述任一方法步骤。

其中，通信总线502可以是外设部件互连标准(peripheral componentinterconnect，PCI)总线或扩展工业标准结构(extended industry standardarchitecture，EISA)总线等。通信总线502可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

其中，存储器504可以包括易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，RAM)；存储器也可以包括非易失性存储器(non-volatilememory)，例如快闪存储器(flash memory)，硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)；存储器504还可以包括上述种类的存储器的组合。

其中，处理器501可以是中央处理器(central processing unit，CPU)，网络处理器(network processor，NP)或者CPU和NP的组合。

其中，处理器501还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路(application-specific integrated circuit，ASIC)，可编程逻辑器件(programmablelogic device，PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(complexprogrammable logic device，CPLD)，现场可编程逻辑门阵列(field-programmable gatearray，FPGA)，通用阵列逻辑(generic array logic,GAL)或其任意组合。

可选地，存储器504还用于存储程序指令。处理器501可以调用程序指令，实现如本申请上述实施例中所示的操作系统的访问控制方法。

本发明实施例还提供了一种非暂态计算机存储介质，所述计算机存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的操作系统的访问控制方法。其中，所述存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(HardDisk Drive，HDD)或固态硬盘(Solid-State Drive，SSD)等；所述存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下做出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (10)

1.一种操作系统的访问控制方法，其特征在于，包括：

获取针对于用户进程所分配的属性信息和标签访问信息；

当接收到所述用户进程发起的访问请求时，基于所述属性信息和所述标签访问信息，确定所述用户进程的访问权限；

基于所述用户进程的资源访问状态，对所述访问权限进行动态更新。

2.根据权利要求1所述的方法，其特征在于，所述当接收到所述用户进程发起的访问请求时，基于所述属性信息和所述标签访问信息，确定所述用户进程的访问权限，包括：

当接收到所述用户进程发起的访问请求时，验证所述属性信息是否满足授权访问条件；

当所述属性信息满足所述授权访问条件时，基于所述标签访问信息为所述用户进程匹配相应的访问权限。

3.根据权利要求1或2所述的方法，其特征在于，还包括：

确定可访问资源对应的属性权重以及安全等级；

基于所述可访问资源的安全等级，生成所述可访问资源的数据安全标签，并采用与所述安全等级相对应的所述属性权重对所述可访问资源进行加密，得到加密数据资源；

将加密数据资源存储至本地存储空间。

4.根据权利要求3所述的方法，其特征在于，还包括：

将所述标签访问信息与所述数据安全标签进行匹配，得到标签匹配结果；

基于所述匹配结果验证所述用户进程的访问权限。

5.根据权利要求1所述的方法，其特征在于，基于所述用户进程的资源访问状态，对所述访问权限进行动态更新，包括：

分析所述用户进程对资源的访问行为，确定所述用户进程是否存在恶意访问行为；

当所述用户进程存在恶意访问行为时，降低所述用户进程的访问权限。

6.根据权利要求5所述的方法，其特征在于，还包括：

当所述用户进程不存在所述恶意访问行为时，基于所述用户进程发起的访问权限提升请求，升级所述用户进程的访问权限。

7.根据权利要求1所述的方法，其特征在于，在所述获取针对于用户进程所分配的属性信息和标签访问信息的同时，还包括：

获取访问控制框架的数据结构；

采用预设函数对所述数据结构对应的钩子函数进行替换。

8.一种操作系统的访问控制装置，其特征在于，包括：

获取模块，用于获取针对于用户进程所分配的属性信息和标签访问信息；

访问控制模块，用于当接收到所述用户进程发起的访问请求时，基于所述属性信息和所述标签访问信息，确定所述用户进程的访问权限；

访问更新模块，用于基于所述用户进程的资源访问状态，对所述访问权限进行动态更新。

9.一种电子设备，其特征在于，包括：

存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行权利要求1-7任一项所述的操作系统的访问控制方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使计算机执行权利要求1-7任一项所述的操作系统的访问控制方法。