CN116861411A - 基于Seccomp机制的安全沙箱数据保护方法及系统 - Google Patents
基于Seccomp机制的安全沙箱数据保护方法及系统 Download PDFInfo
- Publication number
- CN116861411A CN116861411A CN202310656842.1A CN202310656842A CN116861411A CN 116861411 A CN116861411 A CN 116861411A CN 202310656842 A CN202310656842 A CN 202310656842A CN 116861411 A CN116861411 A CN 116861411A
- Authority
- CN
- China
- Prior art keywords
- information
- module
- module program
- program
- linux kernel
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 244000035744 Hura crepitans Species 0.000 title claims abstract description 86
- 230000007246 mechanism Effects 0.000 title claims abstract description 46
- 238000000034 method Methods 0.000 title claims abstract description 37
- 238000004458 analytical method Methods 0.000 claims abstract description 92
- 230000005540 biological transmission Effects 0.000 claims abstract description 82
- 238000012544 monitoring process Methods 0.000 claims abstract description 14
- 230000008859 change Effects 0.000 claims description 49
- 238000012545 processing Methods 0.000 claims description 26
- 230000006870 function Effects 0.000 claims description 14
- 230000008569 process Effects 0.000 claims description 9
- 230000010365 information processing Effects 0.000 claims description 6
- 238000012986 modification Methods 0.000 description 6
- 230000004048 modification Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 5
- 230000006978 adaptation Effects 0.000 description 2
- 230000002159 abnormal effect Effects 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000007429 general method Methods 0.000 description 1
- 239000002699 waste material Substances 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
- G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/602—Providing cryptographic facilities or services
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Storage Device Security (AREA)
Abstract
本发明提供了一种基于Seccomp机制的安全沙箱数据保护方法及系统，其方法包括：建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；通过安全传输通道针对Linux内核进行模块程序初始化信息获取，并加密处理后进行存储；通过安全传输通道针对Linux内核进行监测获取模块程序监测信息；根据模块程序信息调取得到模块程序初始化信息和Linux内核模块权限信息，并分析敏感信息，确定安全分析结果；根据安全分析结果对模块程序监测信息进行初始化处理。本发明采用简单的方法基于Linux内核的seccomp机制利用安全沙箱实现对模块程序及敏感数据的保护，避免了其他程序或个人访问敏感资源数据，造成安全泄露。
Description
技术领域
本发明涉及信息安全保护技术领域，特别涉及一种基于Seccomp机制的安全沙箱数据保护方法及系统。
背景技术
安全沙箱是一种按照安全策略限制程序行为的执行环境，seccomp是Linux的一种安全机制，对于Linux内核来说模块程序是非常重要的，模块程序的被修改将会影响原本的功能，模块程序被攻击也会造成程序的正常使用或者信息泄露，所以说对于模块程序的保护非常至关重要，然而在现有技术方案中往往是使用libseccomp库实现linux程序开发及敏感数据保护，不仅繁琐，而且还不方便，因此，本发明提出一种基于Seccomp机制的安全沙箱数据保护方法及系统，采用简单的方法基于Linux内核的seccomp机制利用安全沙箱实现对模块程序及敏感数据的保护，避免了其他程序或个人访问敏感资源数据，造成安全泄露。
发明内容
本发明的目的在于提供一种基于Seccomp机制的安全沙箱数据保护方法及系统，以解决上述背景技术中提出的问题。
为实现上述目的，本发明提供如下技术方案：一种基于Seccomp机制的安全沙箱数据保护方法，包括：
建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；
通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，得到初始程序存储库；
通过安全传输通道针对Linux内核进行监测，获取模块程序监测信息；
根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息；
将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，确定Linux内核模块程序是否存在安全问题，得到安全分析结果；
根据安全分析结果对模块程序监测信息进行初始化处理，实现对对应模块程序的保护。
进一步地，建立Linux内核与安全沙箱之间的信任关系时，针对Linux内核中的模块分别进行检测，确定模块程序的传输路径，并且根据模块程序的传输路径针对Linux内核中的模块进行注册，根据注册结果在安全沙箱中获取Linux内核中的模块程序信息。
进一步地，通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，包括：
根据注册结果针对Linux内核进行模块程序获取，通过安全传输通道将模块程序从Linux内核传输到安全沙箱；
在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息进行加密处理，得到模块程序初始化信息加密信息，同时得到加密秘钥；
针对加密秘钥进行管理，同时将模块程序初始化信息加密信息按照模块进行存储。
进一步地，根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息，包括：
根据模块程序信息在初始程序存储库进行匹配调取，获得对应的模块程序初始信息加密信息；
基于加密处理过程针对获得的对应的模块程序初始信息加密信息进行解密，得到模块程序初始信息；
根据模块程序信息在seccomp机制中调取对应模块程序的黑名单和白名单，得到模块程序的权限信息。
进一步地，将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，包括：
将模块程序监测信息与模块程序初始化信息进行比较，分析模块程序监测信息相对于模块程序初始化信息是否发生了变化，得到第一分析判断结果；
根据第一分析判断结果在模块程序监测信息相对于模块程序初始化信息发生了变化时，将变化信息结合模块程序的功能分析是否为敏感信息，得到第二分析判断结果；
根据第二分析判断结果当变化信息为敏感信息时，对应Linux内核中的模块程序存在安全问题，当变化信息不是敏感信息时，将变化信息结合模块程序的权限信息，当信息变化是由白名单中的程序或个人访问导致的时，对应Linux内核中的模块程序不存在安全问题，当信息变化是由黑名单中的程序或个人访问导致的时，对应Linux内核中的模块程序存在安全问题。
一种基于seccomp机制的安全沙箱数据保护系统，包括：安全通道建立模块、初始数据获取模块、实时监测模块、数据调取模块、安全分析模块和安全保护模块；
安全通道建立模块，用于建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；
初始数据获取模块，用于通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，得到初始程序存储库；
实时监测模块，用于通过安全传输通道针对Linux内核进行监测，获取模块程序监测信息；
数据调取模块，用于根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息；
安全分析模块，用于将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，确定Linux内核模块程序是否存在安全问题，得到安全分析结果；
安全保护模块，用于根据安全分析结果对模块程序监测信息进行初始化处理，实现对对应模块程序的保护。
进一步地，安全通道建立模块包括多个安全通道建立子单元，安全通道建立子单元分别针对Linux内核中的模块进行检测，确定模块程序的传输路径，并且根据模块程序的传输路径针对Linux内核中的模块进行注册，根据注册结果在安全沙箱中获取Linux内核中的模块程序信息。
进一步地，初始数据获取模块包括：获取接收单元、信息处理单元和管理存储单元；
获取接收单元，用于根据注册结果针对Linux内核进行模块程序获取，通过安全传输通道将模块程序从Linux内核传输到安全沙箱；
信息处理单元，用于在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息进行加密处理，得到模块程序初始化信息加密信息，同时得到加密秘钥；
管理存储单元，用于针对加密秘钥进行管理，同时将模块程序初始化信息加密信息按照模块进行存储。
进一步地，数据调取模块，包括：初始信息调取单元、初始信息解密单元和模块程序权限单元；
初始信息调取单元，用于根据模块程序信息在初始程序存储库进行匹配调取，获得对应的模块程序初始信息加密信息；
初始信息解密单元，用于基于加密处理过程针对获得的对应的模块程序初始信息加密信息进行解密，得到模块程序初始信息；
模块程序权限单元，用于根据模块程序信息在seccomp机制中调取对应模块程序的黑名单和白名单，得到模块程序的权限信息。
进一步地，安全分析模块包括：第一分析判断单元、第二分析判断单元和结果分析单元；
第一分析判断单元，用于将模块程序监测信息与模块程序初始化信息进行比较，分析模块程序监测信息相对于模块程序初始化信息是否发生了变化，得到第一分析判断结果；
第二分析判断单元，用于根据第一分析判断结果在模块程序监测信息相对于模块程序初始化信息发生了变化时，将变化信息结合模块程序的功能分析是否为敏感信息，得到第二分析判断结果；
结果分析单元，用于根据第二分析判断结果当变化信息为敏感信息时，对应Linux内核中的模块程序存在安全问题，当变化信息不是敏感信息时，将变化信息结合模块程序的权限信息，当信息变化是由白名单中的程序或个人访问导致的时，对应Linux内核中的模块程序不存在安全问题，当信息变化是由黑名单中的程序或个人访问导致的时，对应Linux内核中的模块程序存在安全问题。
本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。
下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。
附图说明
附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：
图1为本发明所述的一种基于Seccomp机制的安全沙箱数据保护方法的步骤示意图；
图2为本发明所述的一种基于Seccomp机制的安全沙箱数据保护方法中步骤二的示意图；
图3为本发明所述的一种基于Seccomp机制的安全沙箱数据保护方法中步骤四的示意图；
图4为本发明所述的一种基于Seccomp机制的安全沙箱数据保护方法中步骤五的示意图；
图5为本发明所述的一种基于Seccomp机制的安全沙箱数据保护系统的示意图。
具体实施方式
以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。
如图1所示，本发明实施例提供了一种基于Seccomp机制的安全沙箱数据保护方法，包括：
步骤一、建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；
步骤二、通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，得到初始程序存储库；
步骤三、通过安全传输通道针对Linux内核进行监测，获取模块程序监测信息；
步骤四、根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息；
步骤五、将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，确定Linux内核模块程序是否存在安全问题，得到安全分析结果；
步骤六、根据安全分析结果对模块程序监测信息进行初始化处理，实现对对应模块程序的保护。
上述技术方案提供了一种基于seccomp机制的安全沙箱数据保护方法，在针对Linux内核进行模块程序保护时结合seccomp机制中对于Linux内核的安全保护信息进行保护时，首先建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；然后通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，得到初始程序存储库；接着通过安全传输通道针对Linux内核进行监测，获取模块程序监测信息；然后再根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息；接着再将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，确定Linux内核模块程序是否存在安全问题，得到安全分析结果；最后根据安全分析结果对模块程序监测信息进行初始化处理，将模块程序监测信息中的监测到的模块程序根据模块程序初始化信息进行初始化处理，把模块程序复原到初始化状态，实现对对应模块程序的保护。
上述技术方案基于Seccomp机制开发出一套简单有效的安全沙箱通用方法，在敏感信息部位初始化对代码程序实现保护，避免了其他程序或个人访问敏感资源数据，造成安全泄露，而且通过建立Linux内核与安全沙箱之间的信任关系使得在安全沙箱中能够针对Linux内核中的模块进行安全保护，通过初始程序存储库的获取使得对于Linux内核中的模块程序形成一个初始化标本，从而能够对于模块程序监测信息进行分析，而且初始程序存储库在的信息时通过加密处理后进行存储，提高存储信息的安全性，避免被修改，通过将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析使得能够及时发现模块程序被修改影响模块程序的正常功能，同时也能够避免其他程序或个人访问敏感资源数据，造成安全泄露，而且结合了seccomp机制中的Linux内核模块权限信息使得明确模块的黑名单和白名单，避免对所有的模块程序修改都被认为是存在安全问题。
本发明提供的一个实施例中，建立Linux内核与安全沙箱之间的信任关系时，针对Linux内核中的模块分别进行检测，确定模块程序的传输路径，并且根据模块程序的传输路径针对Linux内核中的模块进行注册，根据注册结果在安全沙箱中获取Linux内核中的模块程序信息。
上述技术方案在建立Linux内核与安全沙箱之间的信任关系时，针对Linux内核中的模块分别进行检测，确定模块程序的传输路径，并且根据模块程序的传输路径针对Linux内核中的模块进行注册，根据注册结果在安全沙箱中获取Linux内核中的模块程序信息。
上述技术方案通过针对Linux内核中的模块分别进行检测，确定模块程序的传输路径使得针对Linux内核中的每个模块都能够建立一个安全传输通道，进而使得模块程序的传输路径能够更好的进行模块程序信息传输，而且通过根据模块程序的传输路径针对Linux内核中的模块进行注册不仅提高了模块程序的传输路径的安全性，而且还确保了模块程序的传输路径专一性，使得只针对目标信息进行传输。
如图2所示，本发明提供的一个实施例中，通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，包括：
A1、根据注册结果针对Linux内核进行模块程序获取，通过安全传输通道将模块程序从Linux内核传输到安全沙箱；
A2、在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息进行加密处理，得到模块程序初始化信息加密信息，同时得到加密秘钥；
A3、针对加密秘钥进行管理，同时将模块程序初始化信息加密信息按照模块进行存储。
上述技术方案在通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储的过程中，首先，根据注册结果针对Linux内核进行模块程序获取，通过安全传输通道将模块程序从Linux内核传输到安全沙箱；然后在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息采用对称算法创建16字节对称密钥作为应用存储区数据加解密的保护密钥，并使用终端提交的非对称密钥对对称密钥数据进行加密处理，得到模块程序初始化信息加密信息，同时得到加密秘钥；
针对加密秘钥进行管理，在安全沙箱中创建文件存储区，绑定数据保护密钥；解析服务端反馈的注册结果，根据文件存储区标识创建对应的文件存储区，各文件存储区之间是相互隔离、不可见的，且沙箱内部所有文件存储区对终端系统不可见；解析服务端反馈的注册结果，将数据保护密钥与文件存储区进行关联，其中数据保护密钥存储在文件存储区内，对外不可见，同时将模块程序初始化信息加密信息按照模块进行存储。
其中，在安全传输通道将模块程序从Linux内核传输到安全沙箱时，其安全传输通道的传输链路数目通过如下步骤确定：将模块程序的大小结合模块程序在进行传输时传世信号的重复周期和调制电平数确定预估时间，并根据预估时间与预设时间确定安全传输通道的传输链路数目，如果预估时间不大于预设时间，则安全传输通道的传输链路数目为1，只需要采用1条安全传输通道链路来针对模块程序进行传输即可，如果预估时间大于预设时间，则分析预估时间比预设时间大多少，确定预估时间是预设时间的倍数关系，并根据倍数关系取安全传输通道的传输链路数目，安全传输通道的传输链路数目是整数，当倍数关系中存在不足1的部分时要增加1条安全传输通道链路进行传输。
上述技术方案通过根据注册结果针对Linux内核进行模块程序获取确保了安全传输通道的安全性，避免造成模块程序泄露，而且通过在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息进行加密处理使得在安全沙箱中对模块程序初始化信息的保护，避免模块程序初始化信息被人获取造成信息泄露，同时也能够避免模块程序初始化信息被篡改影响安全沙箱对模块程序监测信息安全性分析，此外，在安全传输通道将模块程序从Linux内核传输到安全沙箱时，通过确定安全传输通道的传输链路数目使得能够根据模块程序的大小自动化在安全传输通道中确定传输链路，从而确保了模块程序的传输效率，同时又不会造成传输链路资源浪费和增加传输链路丢失传输数据的风险，提高安全传输通道传输模块程序的成功率。
如图3所示，本发明提供的一个实施例中，根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息，包括：
B1、根据模块程序信息在初始程序存储库进行匹配调取，获得对应的模块程序初始信息加密信息；
B2、基于加密处理过程针对获得的对应的模块程序初始信息加密信息进行解密，得到模块程序初始信息；
B3、根据模块程序信息在seccomp机制中调取对应模块程序的黑名单和白名单，得到模块程序的权限信息。
上述技术方案在根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息时，分别根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，在初始程序存储库中通过匹配调取对应模块在初始程序存储库中对应的信息，获得对应的模块程序初始信息加密信息，在seccomp机制中通过匹配调取对应模块程序的黑名单和白名单，得到模块程序的权限信息，而且在获得对应的模块程序初始信息加密信息之后还基于加密处理过程在安全沙箱中根据模块程序对应的加密秘钥针对获得的对应的模块程序初始信息加密信息进行解密，从而得到模块程序初始信息。
上述技术方案通过根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取不仅效率高，而且准确性还高，而且在获得对应的模块程序初始信息加密信息之后还基于加密处理过程在安全沙箱中根据模块程序对应的加密秘钥针对获得的对应的模块程序初始信息加密信息进行解密使得将初始程序存储库中对应的加密信息明文化，方便直接与模块程序监测信息进行分析。
如图4所示，本发明提供的一个实施例中，将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，包括：
C1、将模块程序监测信息与模块程序初始化信息进行比较，分析模块程序监测信息相对于模块程序初始化信息是否发生了变化，得到第一分析判断结果；
C2、根据第一分析判断结果在模块程序监测信息相对于模块程序初始化信息发生了变化时，将变化信息结合模块程序的功能分析是否为敏感信息，得到第二分析判断结果；
C3、根据第二分析判断结果当变化信息为敏感信息时，对应Linux内核中的模块程序存在安全问题，当变化信息不是敏感信息时，将变化信息结合模块程序的权限信息，当信息变化是由白名单中的程序或个人访问导致的时，对应Linux内核中的模块程序不存在安全问题，当信息变化是由黑名单中的程序或个人访问导致的时，对应Linux内核中的模块程序存在安全问题。
上述技术方案在将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析时，首先将模块程序监测信息与模块程序初始化信息进行比较，分析模块程序监测信息与模块程序初始化信息之间的相同信息和不同信息，从而明确模块程序监测信息相对于模块程序初始化信息是否发生了变化，进而得到第一分析判断结果；然后根据第一分析判断结果在模块程序监测信息相对于模块程序初始化信息发生了变化时，获取模块程序监测信息相对于模块程序初始化信息发生了变化的变化信息，并将变化信息结合模块程序的功能分析变化信息在模块程序中是否为重要程序片段或者是关键操作从而确定变化信息是否为敏感信息，进而得到第二分析判断结果；接着，根据第二分析判断结果当变化信息为敏感信息时，对应Linux内核中的模块程序存在安全问题，当变化信息不是敏感信息时，将变化信息结合模块程序的权限信息，当信息变化是由白名单中的程序或个人访问导致的时，对应Linux内核中的模块程序不存在安全问题，当信息变化是由黑名单中的程序或个人访问导致的时，对应Linux内核中的模块程序存在安全问题。
上述技术方案通过将模块程序监测信息与模块程序初始化信息进行比较使得根据模块程序监测信息进行辨别，从而及时发现模块程序被篡改，而且通过将变化信息结合模块程序的功能分析是否为敏感信息使得能够明确模块程序被修改的部分是否产生了重大影响，而且还结合seccomp机制中Linux内核模块权限信息进行分析，从而区分出来正常的修改与访问与非正常的修改与访问，进而在避免模块程序被恶意篡改或者访问造成的安全问题，同时又不影响正常合理的调整修改。
如图5所示，本发明提供了一种基于seccomp机制的安全沙箱数据保护系统，所述系统包括：安全通道建立模块、初始数据获取模块、实时监测模块、数据调取模块、安全分析模块和安全保护模块；
安全通道建立模块，用于建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；
初始数据获取模块，用于通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，得到初始程序存储库；
实时监测模块，用于通过安全传输通道针对Linux内核进行监测，获取模块程序监测信息；
数据调取模块，用于根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息；
安全分析模块，用于将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，确定Linux内核模块程序是否存在安全问题，得到安全分析结果；
安全保护模块，用于根据安全分析结果对模块程序监测信息进行初始化处理，实现对对应模块程序的保护。
本发明提供的一个实施例中，安全通道建立模块包括多个安全通道建立子单元，安全通道建立子单元分别针对Linux内核中的模块进行检测，确定模块程序的传输路径，并且根据模块程序的传输路径针对Linux内核中的模块进行注册，根据注册结果在安全沙箱中获取Linux内核中的模块程序信息。
本发明提供的一个实施例中，初始数据获取模块包括：获取接收单元、信息处理单元和管理存储单元；
获取接收单元，用于根据注册结果针对Linux内核进行模块程序获取，通过安全传输通道将模块程序从Linux内核传输到安全沙箱；
信息处理单元，用于在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息进行加密处理，得到模块程序初始化信息加密信息，同时得到加密秘钥；
管理存储单元，用于针对加密秘钥进行管理，同时将模块程序初始化信息加密信息按照模块进行存储。
本发明提供的一个实施例中，数据调取模块，包括：初始信息调取单元、初始信息解密单元和模块程序权限单元；
初始信息调取单元，用于根据模块程序信息在初始程序存储库进行匹配调取，获得对应的模块程序初始信息加密信息；
初始信息解密单元，用于基于加密处理过程针对获得的对应的模块程序初始信息加密信息进行解密，得到模块程序初始信息；
模块程序权限单元，用于根据模块程序信息在seccomp机制中调取对应模块程序的黑名单和白名单，得到模块程序的权限信息。
本发明提供的一个实施例中，安全分析模块包括：第一分析判断单元、第二分析判断单元和结果分析单元；
第一分析判断单元，用于将模块程序监测信息与模块程序初始化信息进行比较，分析模块程序监测信息相对于模块程序初始化信息是否发生了变化，得到第一分析判断结果；
第二分析判断单元，用于根据第一分析判断结果在模块程序监测信息相对于模块程序初始化信息发生了变化时，将变化信息结合模块程序的功能分析是否为敏感信息，得到第二分析判断结果；
结果分析单元，用于根据第二分析判断结果当变化信息为敏感信息时，对应Linux内核中的模块程序存在安全问题，当变化信息不是敏感信息时，将变化信息结合模块程序的权限信息，当信息变化是由白名单中的程序或个人访问导致的时，对应Linux内核中的模块程序不存在安全问题，当信息变化是由黑名单中的程序或个人访问导致的时，对应Linux内核中的模块程序存在安全问题。
一种基于seccomp机制的安全沙箱数据保护系统与一种基于seccomp机制的安全沙箱数据保护方法是对应的，基于seccomp机制的安全沙箱数据保护系统的工作原理及有益效果在对应方法权利要求中已经说明，此处不再赘述。
本领域技术人员应当理解的是，本发明中的第一、第二仅仅指的是不同应用阶段而已。
本领域技术客户员在考虑说明书及实践这里公开的公开后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。
应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。
Claims (10)
1.一种基于seccomp机制的安全沙箱数据保护方法，其特征在于，所述方法包括：
建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；
通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，得到初始程序存储库；
通过安全传输通道针对Linux内核进行监测，获取模块程序监测信息；
根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息；
将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，确定Linux内核模块程序是否存在安全问题，得到安全分析结果；
根据安全分析结果对模块程序监测信息进行初始化处理，实现对对应模块程序的保护。
2.根据权利要求1所述的安全沙箱数据保护方法，其特征在于，建立Linux内核与安全沙箱之间的信任关系时，针对Linux内核中的模块分别进行检测，确定模块程序的传输路径，并且根据模块程序的传输路径针对Linux内核中的模块进行注册，根据注册结果在安全沙箱中获取Linux内核中的模块程序信息。
3.根据权利要求2所述的安全沙箱数据保护方法，其特征在于，通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，包括：
根据注册结果针对Linux内核进行模块程序获取，通过安全传输通道将模块程序从Linux内核传输到安全沙箱；
在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息进行加密处理，得到模块程序初始化信息加密信息，同时得到加密秘钥；
针对加密秘钥进行管理，同时将模块程序初始化信息加密信息按照模块进行存储。
4.根据权利要求3所述的安全沙箱数据保护方法，其特征在于，根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息，包括：
根据模块程序信息在初始程序存储库进行匹配调取，获得对应的模块程序初始信息加密信息；
基于加密处理过程针对获得的对应的模块程序初始信息加密信息进行解密，得到模块程序初始信息；
根据模块程序信息在seccomp机制中调取对应模块程序的黑名单和白名单，得到模块程序的权限信息。
5.根据权利要求1所述的安全沙箱数据保护方法，其特征在于，将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，包括：
将模块程序监测信息与模块程序初始化信息进行比较，分析模块程序监测信息相对于模块程序初始化信息是否发生了变化，得到第一分析判断结果；
根据第一分析判断结果在模块程序监测信息相对于模块程序初始化信息发生了变化时，将变化信息结合模块程序的功能分析是否为敏感信息，得到第二分析判断结果；
根据第二分析判断结果当变化信息为敏感信息时，对应Linux内核中的模块程序存在安全问题，当变化信息不是敏感信息时，将变化信息结合模块程序的权限信息，当信息变化是由白名单中的程序或个人访问导致的时，对应Linux内核中的模块程序不存在安全问题，当信息变化是由黑名单中的程序或个人访问导致的时，对应Linux内核中的模块程序存在安全问题。
6.一种基于seccomp机制的安全沙箱数据保护系统，其特征在于，所述系统包括：安全通道建立模块、初始数据获取模块、实时监测模块、数据调取模块、安全分析模块和安全保护模块；
安全通道建立模块，用于建立Linux内核与安全沙箱之间的信任关系，确定安全传输通道；
初始数据获取模块，用于通过安全传输通道针对Linux内核进行模块程序获取，得到模块程序初始化信息，并将模块程序初始化信息通过加密处理后进行存储，得到初始程序存储库；
实时监测模块，用于通过安全传输通道针对Linux内核进行监测，获取模块程序监测信息；
数据调取模块，用于根据模块程序信息在初始程序存储库和seccomp机制中进行信息调取，得到模块程序初始化信息和Linux内核模块权限信息；
安全分析模块，用于将模块程序监测信息结合模块程序初始化信息和Linux内核模块权限信息进行敏感信息分析，确定Linux内核模块程序是否存在安全问题，得到安全分析结果；
安全保护模块，用于根据安全分析结果对模块程序监测信息进行初始化处理，实现对对应模块程序的保护。
7.根据权利要求6所述的安全沙箱数据保护系统，其特征在于，安全通道建立模块包括多个安全通道建立子单元，安全通道建立子单元分别针对Linux内核中的模块进行检测，确定模块程序的传输路径，并且根据模块程序的传输路径针对Linux内核中的模块进行注册，根据注册结果在安全沙箱中获取Linux内核中的模块程序信息。
8.根据权利要求6所述的安全沙箱数据保护系统，其特征在于，初始数据获取模块包括：获取接收单元、信息处理单元和管理存储单元；
获取接收单元，用于根据注册结果针对Linux内核进行模块程序获取，通过安全传输通道将模块程序从Linux内核传输到安全沙箱；
信息处理单元，用于在安全沙箱中针对模块程序设置安全沙箱管理密码，利用安全沙箱管理密码针对安全传输通道传输的模块程序初始化信息进行加密处理，得到模块程序初始化信息加密信息，同时得到加密秘钥；
管理存储单元，用于针对加密秘钥进行管理，同时将模块程序初始化信息加密信息按照模块进行存储。
9.根据权利要求8所述的安全沙箱数据保护系统，其特征在于，数据调取模块，包括：初始信息调取单元、初始信息解密单元和模块程序权限单元；
初始信息调取单元，用于根据模块程序信息在初始程序存储库进行匹配调取，获得对应的模块程序初始信息加密信息；
初始信息解密单元，用于基于加密处理过程针对获得的对应的模块程序初始信息加密信息进行解密，得到模块程序初始信息；
模块程序权限单元，用于根据模块程序信息在seccomp机制中调取对应模块程序的黑名单和白名单，得到模块程序的权限信息。
10.根据权利要求6所述的安全沙箱数据保护系统，其特征在于，安全分析模块包括：第一分析判断单元、第二分析判断单元和结果分析单元；
第一分析判断单元，用于将模块程序监测信息与模块程序初始化信息进行比较，分析模块程序监测信息相对于模块程序初始化信息是否发生了变化，得到第一分析判断结果；
第二分析判断单元，用于根据第一分析判断结果在模块程序监测信息相对于模块程序初始化信息发生了变化时，将变化信息结合模块程序的功能分析是否为敏感信息，得到第二分析判断结果；
结果分析单元，用于根据第二分析判断结果当变化信息为敏感信息时，对应Linux内核中的模块程序存在安全问题，当变化信息不是敏感信息时，将变化信息结合模块程序的权限信息，当信息变化是由白名单中的程序或个人访问导致的时，对应Linux内核中的模块程序不存在安全问题，当信息变化是由黑名单中的程序或个人访问导致的时，对应Linux内核中的模块程序存在安全问题。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310656842.1A CN116861411A (zh) | 2023-06-05 | 2023-06-05 | 基于Seccomp机制的安全沙箱数据保护方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310656842.1A CN116861411A (zh) | 2023-06-05 | 2023-06-05 | 基于Seccomp机制的安全沙箱数据保护方法及系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN116861411A true CN116861411A (zh) | 2023-10-10 |
Family
ID=88232992
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202310656842.1A Pending CN116861411A (zh) | 2023-06-05 | 2023-06-05 | 基于Seccomp机制的安全沙箱数据保护方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116861411A (zh) |
Citations (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20050077664A (ko) * | 2004-01-30 | 2005-08-03 | 주식회사 전유시스템 | 암호화 파일 시스템을 지원하는 보안 커널 시스템 |
| CN103221961A (zh) * | 2010-10-20 | 2013-07-24 | 超威半导体公司 | 包括用于保护多用户敏感代码和数据的架构的方法和装置 |
| CN106778244A (zh) * | 2016-11-28 | 2017-05-31 | 北京奇虎科技有限公司 | 基于虚拟机的内核漏洞检测进程保护方法及装置 |
| CN107203716A (zh) * | 2017-05-03 | 2017-09-26 | 中国科学院信息工程研究所 | 一种Linux内核轻量级结构化保护方法及装置 |
| WO2018129916A1 (zh) * | 2017-01-16 | 2018-07-19 | 华为技术有限公司 | 沙箱检测的方法、沙箱系统和沙箱设备 |
| CN108491249A (zh) * | 2018-03-16 | 2018-09-04 | 中国人民解放军战略支援部队信息工程大学 | 一种基于模块权能的内核模块隔离方法及系统 |
| CN113849811A (zh) * | 2021-09-03 | 2021-12-28 | 支付宝(杭州)信息技术有限公司 | 一种共享虚拟资源分析方法及装置 |
| CN114329444A (zh) * | 2021-12-31 | 2022-04-12 | 杭州数梦工场科技有限公司 | 系统安全提升方法及装置 |
| CN114547595A (zh) * | 2022-02-18 | 2022-05-27 | 浙江大学 | 一种面向安全容器的调用路径分析方法 |
| WO2022184998A1 (fr) * | 2021-03-02 | 2022-09-09 | Orange | Procede et module d'installation d'un programme de mitigation dans le noyau d'un equipement informatique |
| CN115329389A (zh) * | 2022-10-17 | 2022-11-11 | 中安网脉(北京)技术股份有限公司 | 一种基于数据沙箱的文件保护系统及方法 |
| US20230092214A1 (en) * | 2021-09-17 | 2023-03-23 | Huazhong University Of Science And Technology | Container-oriented linux kernel virtualizing system and method thereof |
| CN115935373A (zh) * | 2022-12-12 | 2023-04-07 | 北京瑞莱智慧科技有限公司 | 用于保护操作系统内核的方法和装置 |
| CN115935390A (zh) * | 2022-12-09 | 2023-04-07 | 西北工业大学 | 一种基于属性的安全沙盒内文件动态访问控制和加密方法 |
-
2023
- 2023-06-05 CN CN202310656842.1A patent/CN116861411A/zh active Pending
Patent Citations (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20050077664A (ko) * | 2004-01-30 | 2005-08-03 | 주식회사 전유시스템 | 암호화 파일 시스템을 지원하는 보안 커널 시스템 |
| CN103221961A (zh) * | 2010-10-20 | 2013-07-24 | 超威半导体公司 | 包括用于保护多用户敏感代码和数据的架构的方法和装置 |
| CN106778244A (zh) * | 2016-11-28 | 2017-05-31 | 北京奇虎科技有限公司 | 基于虚拟机的内核漏洞检测进程保护方法及装置 |
| WO2018129916A1 (zh) * | 2017-01-16 | 2018-07-19 | 华为技术有限公司 | 沙箱检测的方法、沙箱系统和沙箱设备 |
| CN107203716A (zh) * | 2017-05-03 | 2017-09-26 | 中国科学院信息工程研究所 | 一种Linux内核轻量级结构化保护方法及装置 |
| CN108491249A (zh) * | 2018-03-16 | 2018-09-04 | 中国人民解放军战略支援部队信息工程大学 | 一种基于模块权能的内核模块隔离方法及系统 |
| WO2022184998A1 (fr) * | 2021-03-02 | 2022-09-09 | Orange | Procede et module d'installation d'un programme de mitigation dans le noyau d'un equipement informatique |
| CN113849811A (zh) * | 2021-09-03 | 2021-12-28 | 支付宝(杭州)信息技术有限公司 | 一种共享虚拟资源分析方法及装置 |
| US20230092214A1 (en) * | 2021-09-17 | 2023-03-23 | Huazhong University Of Science And Technology | Container-oriented linux kernel virtualizing system and method thereof |
| CN114329444A (zh) * | 2021-12-31 | 2022-04-12 | 杭州数梦工场科技有限公司 | 系统安全提升方法及装置 |
| CN114547595A (zh) * | 2022-02-18 | 2022-05-27 | 浙江大学 | 一种面向安全容器的调用路径分析方法 |
| CN115329389A (zh) * | 2022-10-17 | 2022-11-11 | 中安网脉(北京)技术股份有限公司 | 一种基于数据沙箱的文件保护系统及方法 |
| CN115935390A (zh) * | 2022-12-09 | 2023-04-07 | 西北工业大学 | 一种基于属性的安全沙盒内文件动态访问控制和加密方法 |
| CN115935373A (zh) * | 2022-12-12 | 2023-04-07 | 北京瑞莱智慧科技有限公司 | 用于保护操作系统内核的方法和装置 |
Non-Patent Citations (2)
| Title |
|---|
| 戴月华;史椸;谢锋涛;冯雨声;齐勇;: "基于cc-NUMA多核处理器构架的虚拟机监控器原型设计与实现", 计算机与数字工程, no. 08, 20 August 2010 (2010-08-20) * |
| 温柏坚 等著: "《大数据运营与管理：数据中心数字化转型之路》", 31 May 2021, 北京：机械工业出版社, pages: 115 - 116 * |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN101755269B (zh) | 具有安全虚拟机的设备 | |
| CN110049021A (zh) | 信息系统数据安全防护方法及系统 | |
| CN112217835B (zh) | 报文数据的处理方法、装置、服务器和终端设备 | |
| US20140344933A1 (en) | Method and apparatus for detecting an intrusion on a cloud computing service | |
| CN202795383U (zh) | 一种保护数据的设备和系统 | |
| CN102624699A (zh) | 一种保护数据的方法和系统 | |
| CN115499844B (zh) | 一种移动终端信息安全防护系统及方法 | |
| CN106982204A (zh) | 可信安全平台 | |
| US7100205B2 (en) | Secure attention instruction central processing unit and system architecture | |
| CN115310084A (zh) | 一种防篡改的数据保护方法及系统 | |
| CN113709513B (zh) | 设备指纹的处理方法、用户端、服务器、系统及存储介质 | |
| Wen et al. | An empirical study of sdk credential misuse in ios apps | |
| Borhan et al. | A framework of TPM, SVM and boot control for securing forensic logs | |
| CN116821928A (zh) | 一种提高电力边缘计算芯片内部数据安全性的方法及系统 | |
| CN116599750A (zh) | 一种利用加密技术确保数据变更可追溯的系统和方法 | |
| CN116861411A (zh) | 基于Seccomp机制的安全沙箱数据保护方法及系统 | |
| CN113608907B (zh) | 数据库审计方法、装置、设备、系统及存储介质 | |
| CN112565279A (zh) | 一种基于安全网络用传感器信号处理系统 | |
| Al-Wosabi et al. | Framework for software tampering detection in embedded systems | |
| CN115879087A (zh) | 一种面向电力终端的安全可信启动方法及系统 | |
| CN112380544A (zh) | 一种软件系统的数据安全防护方法 | |
| Murti et al. | Security in embedded systems | |
| CN115688071B (zh) | 一种防止智能手表信息篡改的处理方法及系统 | |
| CN116992494B (zh) | 一种用于景区数据流通的安全保护方法、设备和介质 | |
| Surendrababu | System Integrity–A Cautionary Tale |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |