CN117436079B - 一种Linux系统的完整性保护方法及系统 - Google Patents
一种Linux系统的完整性保护方法及系统 Download PDFInfo
- Publication number
- CN117436079B CN117436079B CN202311754781.9A CN202311754781A CN117436079B CN 117436079 B CN117436079 B CN 117436079B CN 202311754781 A CN202311754781 A CN 202311754781A CN 117436079 B CN117436079 B CN 117436079B
- Authority
- CN
- China
- Prior art keywords
- file
- class
- files
- classification information
- attribute value
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 108
- 230000008569 process Effects 0.000 claims abstract description 72
- 238000002955 isolation Methods 0.000 claims abstract description 15
- 238000011217 control strategy Methods 0.000 claims abstract description 13
- 238000009434 installation Methods 0.000 claims description 35
- 238000004590 computer program Methods 0.000 claims description 13
- 238000013475 authorization Methods 0.000 claims description 3
- 230000003993 interaction Effects 0.000 claims description 3
- 230000000977 initiatory effect Effects 0.000 claims 1
- 238000010586 diagram Methods 0.000 description 8
- 230000006870 function Effects 0.000 description 8
- 230000008901 benefit Effects 0.000 description 5
- 238000012545 processing Methods 0.000 description 5
- 241000700605 Viruses Species 0.000 description 3
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 3
- 230000006978 adaptation Effects 0.000 description 2
- 238000012423 maintenance Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000005192 partition Methods 0.000 description 2
- 239000002699 waste material Substances 0.000 description 2
- 230000002159 abnormal effect Effects 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000013507 mapping Methods 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000010998 test method Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/604—Tools and structures for managing or administering access control systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Automation & Control Theory (AREA)
- Bioethics (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开了一种Linux系统的完整性保护方法及系统，本发明Linux系统的完整性保护方法包括：为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中；在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护。本发明旨在实现一种开销损耗低、实用性和安全性好的访问权限的系统分级分层和应用隔离管控以达到对系统完整性保护的目的、防止系统的关键资源和应用被非法破坏。
Description
技术领域
本发明涉及系统安全技术领域，具体涉及一种Linux系统的完整性保护方法及系统。
背景技术
随着计算机技术和网络技术的快速发展，在Linux系统上开发适配的应用也越来越多，而应用的质量参差不齐，导致系统可受攻击的点越来越多，一旦某个应用被病毒木马等恶意软件攻陷，很可能会劫持该应用来恶意篡改系统关键资源和获取用户隐私数据等，破坏系统运行的完整性。同时也存在部分应用可能为了保证自身的运行，在安装时引入不同版本的系统动态库来替换系统原本的动态库，导致系统或其他应用运行异常。因此怎么在运行环境日益复杂的系统中确保系统的完整性，成了当前急需攻克的一个安全难题。从操作系统角度考虑，即要保证系统运行的安全性和完整性，又要确保系统运行的性能不受影响，还得不能影响用户的正常操作使用，也不能增加用户的操作开销，对于已适配好的应用也得兼容等。
从目前已有的技术来看，都只是片面的解决了系统的完整性保护问题，没有从系统的整体角度来解决问题。如：公开号为CN 117077219 A的中国专利申请文献公开了一种操作系统完整性保护方法、系统、设备及存储介质，其中描述当程序对目标文件进行完整性破坏时，先从程序扩展属性中获取程序的可信状态，当程序可信状态为未知状态时，通过映射方式替换目标文件，让程序实际篡改克隆分区中的替身文件，而当程序为可信状态时，则可以篡改目标文件，此处在不影响未知程序正常运行的情况下，保证未知程序无法篡改真实文件，有效防止未知程序破坏操作系统的完整性。该方法中将可信状态放到扩展属性中，容易被仿冒，安全性不够，同时还需单独创建一个分区来存放替身文件，对于整个操作系统来说，需要存放整个系统的资源文件，会造成磁盘空间的浪费，并且目标文件是需要预先确定好，导致部分需要被保护的文件可能得不到保护，造成保护不够彻底的问题。该方法也解决不了程序运行中进程被病毒木马入侵后篡改系统真实数据文件的问题。该方法也会导致可信状态的程序在运行过程中释放的临时程序或脚本被当作不可信的程序，出现临时程序不能正常修改真实目标文件的问题。公开号为CN 114818005 A的中国专利申请文献公开了一种Linux系统完整性检查方法与系统，其中描述通过保护文件元数据完整性来保护系统完整性，对于文件元数据的修改行为进行验证，并验证元数据的完整性，同时还存在更新元数据基准值等。元数据中存在访问时间元素，在每次读文件时都会触发元数据中的访问时间的更改，因此该方法中对每个文件的访问都会触发元数据的完整性校验，并且基准值更新等操作，此时会对系统的性能造成很大的影响，不适合用于对整个系统的完整性检查。
总而言之，目前已有的技术只是片面的解决了系统的完整性保护问题，没有从系统的整体角度来解决问题，如何从系统的整体角度来解决系统的完整性保护问题，不仅考虑其实用性和安全性，也考虑其对系统性能的损耗影响，则仍然是一项亟待解决的关键技术问题。
发明内容
本发明要解决的技术问题：针对现有技术的上述问题，提供一种Linux系统的完整性保护方法及系统，本发明旨在实现一种开销损耗低、实用性和安全性好的系统分级分层和应用隔离管控以达到对系统完整性保护的目的、防止系统的关键资源和应用不被非法破坏。
为了解决上述技术问题，本发明采用的技术方案为：
一种Linux系统的完整性保护方法，包括：
S101，为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中；
S102，在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护。
可选地，步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的文件被创建时，通过系统中内核安全模块默认根据给被创建文件设置ID属性值，所述ID属性值的分类继承该文件的父目录或创建该文件的主体进程。
可选地，步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的安装包被安装时，根据安装包的信息确定安装包对应的分类信息，根据安装包对应的分类信息为安装包对应文件分配ID属性值并记录在文件的inode节点中，所述安装包的信息包括安装包的类型、包名、应用名、描述信息中的部分或者全部。
可选地，步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：利用系统内核外的程序主动调用预设的设置接口给指定的文件设置包含分类信息的ID属性值并记录在文件的inode节点中。
可选地，所述分类信息包括系统类、应用类、用户数据类和临时类，其中系统类为系统自带文件，应用类为安装的应用对应的文件，用户数据类为用户主目录下的文件，临时类为临时文件；所述系统类包括通用类别和特殊类别，通用类别包括所有系统通用库、通用命令和常规配置文件，特殊类别为系统类中除通用类别以外的类别，且特殊类别包括多种子类别。
可选地，步骤S102中根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，预设的主客体管控策略包括：策略a，所有分类信息类型的文件的主体进程对系统类的客体文件具有读权限，但是没有写、删除和重命名权限；策略b，系统类中的特殊类别下跨子类别间的主体进程对客体文件的访问均只有读权限，没有写、删除和重命名权限；系统类中特殊类别下文件的主体进程对于通用类别的客体文件具有所有访问权限；策略c，应用类文件的主体进程对ID属性值不同的应用类和用户数据类的客体文件均没有任何权限；策略d，所有分类信息类型的文件的主体进程对临时类的客体文件具有所有权限，同时临时类文件的主体进程只对系统类中的通用类别下的客体文件有读权限，对系统类中特殊类别下的客体文件没有任何权限。
可选地，步骤S102中根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，还包括在根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略确定主体进程对客体文件没有权限时，发起用户交互请求以通过用户授权认证的方式进行授权以使得主体进程对客体文件具有相应的访问权限。
此外，本发明还提供一种Linux系统的完整性保护方法，包括：
文件属性设置程序单元，用于为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中；
主客体管控程序单元，用于在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护。
此外，本发明还提供一种Linux系统的完整性保护系统，包括相互连接的微处理器和存储器，所述微处理器被编程或配置以执行所述Linux系统的完整性保护方法。
此外，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序用于被微处理器编程或配置以执行所述Linux系统的完整性保护方法。
和现有技术相比，本发明主要具有下述优点：
（1）更全面的安全保护：本发明方法包括根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控，能全方位保护系统完整性，不管是应用程序文件被恶意入侵，还是应用程序进程被恶意入侵，均只能访问该应用被授权范围内的系统资源数据，不能对被授权范围外的系统资源数据进行破坏。
（2）性能影响小：本发明的主客体管控策略进行访问权限管控是基于ID属性值实现的，进程的ID属性值在安全域数据中，两者均可以在内核中直接读取，因此在内核中对文件访问权限做决策时对系统的性能损耗很小。
附图说明
图1为本发明实施例方法的基本流程示意图。
图2为本发明实施例中分类信息及其控制策略示意图。
具体实施方式
如图1所示，本实施例Linux系统的完整性保护方法包括：
S101，为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中；
S102，在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护。
本实施例主客体管控策略进行访问权限管控是基于ID属性值实现的，ID属性值的定义规则本身包含了分类信息，ID属性值并记录在文件的inode节点（索引节点）中即可，在Linux系统中，inode节点为存储文件的记录文件的创建者、创建日期、大小等元数据信息的区域，利用inode节点来记录ID属性值，占用资源小，对系统性能的损耗影响小，具有开销损耗低的优点，该方法可以支持Linux系统所有的文件系统，具有良好的适应性。在程序执行时会根据程序文件的ID属性值，将其设置到进程安全域数据中，使得进程也具备ID属性值的属性。该方法不需要额外的磁盘空间来存储替身文件，也不会在每次文件访问时进行元数据的完整性度量，对系统的实际空间和性能损失最小，更符合实际的操作系统应用场景。通过在文件inode节点中扩展的ID属性值来对文件进行标识，再通过定义ID属性值的取值范围来对系统资源进行分级分层划分，最后通过对被ID属性标识的主客体进行访问权限（读、写、删除和重命名）管控来实现具体的系统分级分层和应用隔离功能，达到对系统完整性保护的目的。
ID属性值包含分类信息的方式可根据实际需要来指定所需的规则，例如可将不同分类设置固定的位区间，仅仅在该位区间为不同的文件生成不同的ID属性值，将所有分类的位组合形成包含分类信息的ID属性值。此外，也可以在ID属性值中增加一个类型字段用来区分不同分类即可，其具体可以根据实际需要进行选择。通过对ID值进行分类划分成不同层级，并通过基于ID属性值的策略控制主客体访问权限，来实现不同层级间数据访问控制，以限制应用对系统数据的篡改和不同应用之间的相互访问隔离等功能，达到对系统完整性保护的目的。在某个应用访问系统资源时，判断应用进程的ID属性值对被访问的资源文件ID属性值是否具有该访问权限，从而控制应用对该资源文件的访问权限。在系统分级分层和应用隔离的模型下，能全方位保护系统完整性，不管是应用程序文件被恶意入侵，还是应用程序进程被恶意入侵，均只能访问该应用被授权范围内的系统资源数据，不能对被授权范围外的系统资源数据进行破坏。
文件的ID属性值设置存在两种情况，一种是被动设置，即在文件创建时内核安全模块默认根据ID属性值继承规则给文件设置ID属性值，此时文件继承的ID属性值来源是文件父目录或者主体进程；而另一种则是主动设置，即核外主动调用接口给文件设置相应的ID属性值。作为被动设置的实现方式，本实施例步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的文件被创建时，通过系统中内核安全模块默认根据给被创建文件设置ID属性值，所述ID属性值的分类继承该文件的父目录或创建该文件的主体进程。
作为主动设置的实现方式包括两种：
a. 安装包的方式：在安装包中预先定义好该包的用途或分类（如系统库、应用等），和该包所装文件运行时所需的权限。在该安装包被安装时系统安装工具自动根据安装包中定义的包类别和包名（或应用名）给安装出的文件设置相应的ID属性值，并根据定义的所需权限配置相应的ID属性值。具体地步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的安装包被安装时，根据安装包的信息确定安装包对应的分类信息，根据安装包对应的分类信息为安装包对应文件分配ID属性值并记录在文件的inode节点中，安装包的信息包括安装包的类型、包名、应用名、描述信息中的部分或者全部。
b. 安全维护工具的方式：用户使用安全维护工具给外来文件设置ID属性，但是默认只会设置临时ID，以免扰乱整个系统的ID属性规则等。具体地步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：利用系统内核外的程序主动调用预设的设置接口给指定的文件设置包含分类信息的ID属性值并记录在文件的inode节点中。
如图2所示，本实施例分类信息包括系统类、应用类、用户数据类和临时类，可根据系统文件的作用不同给文件赋予不同类别的ID属性值，具体定义如下：
a. 系统类：系统类为系统自带文件，系统类包括通用类别和特殊类别，通用类别包括所有系统通用库、通用命令和常规配置文件，特殊类别为系统类中除通用类别以外的类别，且特殊类别包括多种子类别。参见图2，系统类用于表示系统资源，包括系统配置文件、系统库、系统命令等，又根据作用将系统类分成不同的细分类别，如通用类别和特殊类别，其中特殊类别的子类别包含网络类别、账户类别、蓝牙类别等，具体可以根据涉及的功能进行细粒度划分，通用类别是包含所有系统通用库、通用命令和常规配置文件等，网络类别包含网络相关命令和配置文件，账户类别包含用户、用户组管理相关命令、账户配置文件和密码文件等。
b. 应用类：应用类为安装的应用对应的文件。应用于用于表示应用，包括应用所属的应用程序、配置文件、应用独有的库等，如wps安装出来的所有文件均属于wps应用类。
c. 用户数据类：用户数据类为用户主目录下的文件，表示用户私有数据。
d. 临时类：临时类为临时文件，如临时测试程序等。
如图2所示，本实施例步骤S102中根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，预设的主客体管控策略包括：
策略a，所有分类信息类型的文件的主体进程对系统类的客体文件具有读权限，但是没有写、删除和重命名权限；
策略b，系统类中的特殊类别下跨子类别间的主体进程对客体文件的访问均只有读权限，没有写、删除和重命名权限；系统类中特殊类别下文件的主体进程对于通用类别的客体文件具有所有访问权限；
策略c，应用类文件的主体进程对ID属性值不同的应用类和用户数据类的客体文件均没有任何权限；
策略d，所有分类信息类型的文件的主体进程对临时类的客体文件具有所有权限，同时临时类文件的主体进程只对系统类中的通用类别下的客体文件有读权限，对系统类中特殊类别下的客体文件没有任何权限。
此外本实施例步骤S102中根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，还包括在根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略确定主体进程对客体文件没有权限时，发起用户交互请求以通过用户授权认证的方式进行授权以使得主体进程对客体文件具有相应的访问权限。
系统完整性保护的目标是保护系统关键资源和应用不被非法破坏，保证系统运行的完整性。本实施例Linux系统的完整性保护方法通过对系统资源进行分级分层和应用隔离，来限制应用对系统资源的访问范围，并防止恶意篡改系统资源等，达到保护系统完整性的目的。本实施例Linux系统的完整性保护方法将系统资源通过文件ID属性划分成不同的层级，再通过对被ID属性标记的文件的访问权限进行管控，禁止不同层级间的资源相互访问，尤其是禁止写相关权限，确保系统正常运行的前提下尽可能的减小应用对系统资源的访问范围。即使某个应用需要授权对某个系统资源的访问权限，通过系统分级分层的功能，该应用也只会被授权访问系统资源该类别的资源数据，对其他类别系统资源仍然是没有访问权限，可以一定程度上减小授权对系统带来的权限扩大化问题。其中，系统分级分层是根据文件ID属性分类，对系统所有文件进行了一定的层级划分，并根据各分类的默认访问权限来限制不同层级间的访问，达到系统分级分层的目的。应用隔离是根据限制应用类之间默认不允许互相访问来达到应用隔离的目的。本实施例通过给文件设置ID属性值，并对ID属性值进行分类处理，来实现系统分级分层和应用隔离模型，达到对系统完整性进行保护的目的。以wps应用为例描述具体实施，如下：（1）从软件商店中直接下载安装wps应用；（2）系统安装工具自动给所有wps安装文件设置属于wps应用的ID属性值，并设置wps应用ID属性值访问用户私有数据的权限策略（因为用户需要使用wps去访问用户家目录下的模板文件和用户的私有doc文档等），此时wps应用所具有的权限如下：能访问用户家目录下的隐私数据；对系统资源数据具有读权限（读权限是为了保证wps应用程序能正常调用系统动态库运行），但没有写、删除、重命名等相关权限；对其他应用没有任何权限，做到应用隔离。假如wps应用被恶意病毒木马劫持后，只能对wps应用本身和用户数据进行破坏，并不能破坏系统数据，对系统完整性的破坏有限，如：仅能访问和获取用户隐私数据；不能篡改系统任何关键数据；不能访问和篡改任何其他应用的数据资源，因此不能转而劫持其他应用。
综上所述，本实施例Linux系统的完整性保护方法具有下述优点：（1）更全面的安全保护：在系统分级分层和应用隔离的模型下，能全方位保护系统完整性，不管是应用程序文件被恶意入侵，还是应用程序进程被恶意入侵，均只能访问该应用被授权范围内的系统资源数据，不能对被授权范围外的系统资源数据进行破坏。（2）性能影响小：文件的ID属性值在inode节点中，进程的ID属性值在安全域数据中，两者均可以在内核中直接读取，因此在内核中对文件访问权限做决策时对系统的性能损耗很小，占用资源小，对系统性能的损耗影响小，具有开销损耗低的优点。由此可见，本实施例方法既能满足对系统完整性保护的要求，也不会造成资源的浪费和性能的损失，具有实用性和安全性好的优点。
此外，本实施例还提供一种Linux系统的完整性保护方法，包括：
文件属性设置程序单元，用于为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中；
主客体管控程序单元，用于在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护。
此外，本实施例还提供一种Linux系统的完整性保护系统，包括相互连接的微处理器和存储器，所述微处理器被编程或配置以执行所述Linux系统的完整性保护方法。此外，本实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序用于被微处理器编程或配置以执行所述Linux系统的完整性保护方法。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可读存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。
以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。
Claims (5)
1.一种Linux系统的完整性保护方法，其特征在于，包括：
S101，为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中；
S102，在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护；
步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的文件被创建时，通过系统中内核安全模块默认根据给被创建文件设置ID属性值，所述ID属性值的分类继承该文件的父目录或创建该文件的主体进程；在系统中的安装包被安装时，根据安装包的信息确定安装包对应的分类信息，根据安装包对应的分类信息为安装包对应文件分配ID属性值并记录在文件的inode节点中，所述安装包的信息包括安装包的类型、包名、应用名、描述信息中的部分或者全部；利用系统内核外的程序主动调用预设的设置接口给指定的文件设置包含分类信息的ID属性值并记录在文件的inode节点中；
所述分类信息包括系统类、应用类、用户数据类和临时类，其中系统类为系统自带文件，应用类为安装的应用对应的文件，用户数据类为用户主目录下的文件，临时类为临时文件；所述系统类包括通用类别和特殊类别，通用类别包括所有系统通用库、通用命令和常规配置文件，特殊类别为系统类中除通用类别以外的类别，且特殊类别包括多种子类别；
所述预设的主客体管控策略包括：策略a，所有分类信息类型的文件的主体进程对系统类的客体文件具有读权限，但是没有写、删除和重命名权限；策略b，系统类中的特殊类别下跨子类别间的主体进程对客体文件的访问均只有读权限，没有写、删除和重命名权限；系统类中特殊类别下文件的主体进程对于通用类别的客体文件具有所有访问权限；策略c，应用类文件的主体进程对ID属性值不同的应用类和用户数据类的客体文件均没有任何权限；策略d，所有分类信息类型的文件的主体进程对临时类的客体文件具有所有权限，同时临时类文件的主体进程只对系统类中的通用类别下的客体文件有读权限，对系统类中特殊类别下的客体文件没有任何权限。
2.根据权利要求1所述的Linux系统的完整性保护方法，其特征在于，步骤S102中根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，还包括在根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略确定主体进程对客体文件没有权限时，发起用户交互请求以通过用户授权认证的方式进行授权以使得主体进程对客体文件具有相应的访问权限。
3.一种Linux系统的完整性保护方法，其特征在于，包括：
文件属性设置程序单元，用于为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中；
主客体管控程序单元，用于在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护；
所述文件属性设置程序单元为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的文件被创建时，通过系统中内核安全模块默认根据给被创建文件设置ID属性值，所述ID属性值的分类继承该文件的父目录或创建该文件的主体进程；在系统中的安装包被安装时，根据安装包的信息确定安装包对应的分类信息，根据安装包对应的分类信息为安装包对应文件分配ID属性值并记录在文件的inode节点中，所述安装包的信息包括安装包的类型、包名、应用名、描述信息中的部分或者全部；利用系统内核外的程序主动调用预设的设置接口给指定的文件设置包含分类信息的ID属性值并记录在文件的inode节点中；
所述分类信息包括系统类、应用类、用户数据类和临时类，其中系统类为系统自带文件，应用类为安装的应用对应的文件，用户数据类为用户主目录下的文件，临时类为临时文件；所述系统类包括通用类别和特殊类别，通用类别包括所有系统通用库、通用命令和常规配置文件，特殊类别为系统类中除通用类别以外的类别，且特殊类别包括多种子类别；
所述预设的主客体管控策略包括：策略a，所有分类信息类型的文件的主体进程对系统类的客体文件具有读权限，但是没有写、删除和重命名权限；策略b，系统类中的特殊类别下跨子类别间的主体进程对客体文件的访问均只有读权限，没有写、删除和重命名权限；系统类中特殊类别下文件的主体进程对于通用类别的客体文件具有所有访问权限；策略c，应用类文件的主体进程对ID属性值不同的应用类和用户数据类的客体文件均没有任何权限；策略d，所有分类信息类型的文件的主体进程对临时类的客体文件具有所有权限，同时临时类文件的主体进程只对系统类中的通用类别下的客体文件有读权限，对系统类中特殊类别下的客体文件没有任何权限。
4.一种Linux系统的完整性保护系统，包括相互连接的微处理器和存储器，其特征在于，所述微处理器被编程或配置以执行权利要求1或2所述Linux系统的完整性保护方法。
5.一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，其特征在于，所述计算机程序用于被微处理器编程或配置以执行权利要求1或2所述Linux系统的完整性保护方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311754781.9A CN117436079B (zh) | 2023-12-20 | 2023-12-20 | 一种Linux系统的完整性保护方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311754781.9A CN117436079B (zh) | 2023-12-20 | 2023-12-20 | 一种Linux系统的完整性保护方法及系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN117436079A CN117436079A (zh) | 2024-01-23 |
| CN117436079B true CN117436079B (zh) | 2024-04-05 |
Family
ID=89558599
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202311754781.9A Active CN117436079B (zh) | 2023-12-20 | 2023-12-20 | 一种Linux系统的完整性保护方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117436079B (zh) |
Citations (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20050077664A (ko) * | 2004-01-30 | 2005-08-03 | 주식회사 전유시스템 | 암호화 파일 시스템을 지원하는 보안 커널 시스템 |
| US7958147B1 (en) * | 2005-09-13 | 2011-06-07 | James Luke Turner | Method for providing customized and automated security assistance, a document marking regime, and central tracking and control for sensitive or classified documents in electronic format |
| CN102341809A (zh) * | 2009-03-12 | 2012-02-01 | 国际商业机器公司 | 分布式文件系统访问 |
| CN103176817A (zh) * | 2012-12-21 | 2013-06-26 | 中国电力科学研究院 | 一种基于自学习的Linux安全策略配置方法 |
| KR101414580B1 (ko) * | 2013-01-24 | 2014-07-16 | 한남대학교 산학협력단 | 다중 등급 기반 보안 리눅스 운영 시스템 |
| CN105743667A (zh) * | 2014-12-08 | 2016-07-06 | 中国移动通信集团公司 | 一种访问管控方法、装置及系统 |
| CN106095817A (zh) * | 2016-06-01 | 2016-11-09 | 常熟理工学院 | 基于微内核的可扩展文件系统及文件访问方法 |
| CN107783776A (zh) * | 2016-08-26 | 2018-03-09 | 阿里巴巴集团控股有限公司 | 固件升级包的处理方法及装置、电子设备 |
| WO2019084737A1 (zh) * | 2017-10-30 | 2019-05-09 | 华为技术有限公司 | 更新SELinux安全策略的方法及终端 |
| CN109977092A (zh) * | 2019-03-26 | 2019-07-05 | 武汉深之度科技有限公司 | 一种复制文件的方法和计算设备 |
| CN110321709A (zh) * | 2019-07-01 | 2019-10-11 | 电子科技大学 | 基于mils的策略配置管理工具 |
| CN111259375A (zh) * | 2020-01-09 | 2020-06-09 | 青岛海尔科技有限公司 | 应用于物联网操作系统的访问请求的处理方法及装置 |
| CN111656352A (zh) * | 2018-03-15 | 2020-09-11 | 华为技术有限公司 | 一种应用程序数据的保护方法及终端 |
| CN114021176A (zh) * | 2022-01-06 | 2022-02-08 | 麒麟软件有限公司 | 一种SELinux动态授权的方法及系统 |
| WO2022100246A1 (zh) * | 2020-11-11 | 2022-05-19 | 中兴通讯股份有限公司 | 客户端设备、信息处理方法及计算机可读存储介质 |
| CN115733681A (zh) * | 2022-11-14 | 2023-03-03 | 贵州商学院 | 一种防止数据丢失的数据安全管理平台 |
| CN115758425A (zh) * | 2022-11-30 | 2023-03-07 | 中科方德软件有限公司 | 一种安全访问控制方法、装置和可读存储介质 |
| CN116702126A (zh) * | 2023-05-26 | 2023-09-05 | 统信软件技术有限公司 | 应用访问控制方法和装置、计算设备和可读存储介质 |
| CN116881933A (zh) * | 2023-05-23 | 2023-10-13 | 华东师范大学 | 一种基于属性访问控制的文件访问控制方法及访问控制系统 |
| CN117235735A (zh) * | 2023-09-15 | 2023-12-15 | 西安热工研究院有限公司 | 一种可信dcs控制器系统的主客体安全访问控制方法及系统 |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7103914B2 (en) * | 2002-06-17 | 2006-09-05 | Bae Systems Information Technology Llc | Trusted computer system |
| US7600117B2 (en) * | 2004-09-29 | 2009-10-06 | Panasonic Corporation | Mandatory access control scheme with active objects |
-
2023
- 2023-12-20 CN CN202311754781.9A patent/CN117436079B/zh active Active
Patent Citations (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20050077664A (ko) * | 2004-01-30 | 2005-08-03 | 주식회사 전유시스템 | 암호화 파일 시스템을 지원하는 보안 커널 시스템 |
| US7958147B1 (en) * | 2005-09-13 | 2011-06-07 | James Luke Turner | Method for providing customized and automated security assistance, a document marking regime, and central tracking and control for sensitive or classified documents in electronic format |
| CN102341809A (zh) * | 2009-03-12 | 2012-02-01 | 国际商业机器公司 | 分布式文件系统访问 |
| CN103176817A (zh) * | 2012-12-21 | 2013-06-26 | 中国电力科学研究院 | 一种基于自学习的Linux安全策略配置方法 |
| KR101414580B1 (ko) * | 2013-01-24 | 2014-07-16 | 한남대학교 산학협력단 | 다중 등급 기반 보안 리눅스 운영 시스템 |
| CN105743667A (zh) * | 2014-12-08 | 2016-07-06 | 中国移动通信集团公司 | 一种访问管控方法、装置及系统 |
| CN106095817A (zh) * | 2016-06-01 | 2016-11-09 | 常熟理工学院 | 基于微内核的可扩展文件系统及文件访问方法 |
| CN107783776A (zh) * | 2016-08-26 | 2018-03-09 | 阿里巴巴集团控股有限公司 | 固件升级包的处理方法及装置、电子设备 |
| WO2019084737A1 (zh) * | 2017-10-30 | 2019-05-09 | 华为技术有限公司 | 更新SELinux安全策略的方法及终端 |
| CN111656352A (zh) * | 2018-03-15 | 2020-09-11 | 华为技术有限公司 | 一种应用程序数据的保护方法及终端 |
| CN109977092A (zh) * | 2019-03-26 | 2019-07-05 | 武汉深之度科技有限公司 | 一种复制文件的方法和计算设备 |
| CN110321709A (zh) * | 2019-07-01 | 2019-10-11 | 电子科技大学 | 基于mils的策略配置管理工具 |
| CN111259375A (zh) * | 2020-01-09 | 2020-06-09 | 青岛海尔科技有限公司 | 应用于物联网操作系统的访问请求的处理方法及装置 |
| WO2022100246A1 (zh) * | 2020-11-11 | 2022-05-19 | 中兴通讯股份有限公司 | 客户端设备、信息处理方法及计算机可读存储介质 |
| CN114021176A (zh) * | 2022-01-06 | 2022-02-08 | 麒麟软件有限公司 | 一种SELinux动态授权的方法及系统 |
| CN115733681A (zh) * | 2022-11-14 | 2023-03-03 | 贵州商学院 | 一种防止数据丢失的数据安全管理平台 |
| CN115758425A (zh) * | 2022-11-30 | 2023-03-07 | 中科方德软件有限公司 | 一种安全访问控制方法、装置和可读存储介质 |
| CN116881933A (zh) * | 2023-05-23 | 2023-10-13 | 华东师范大学 | 一种基于属性访问控制的文件访问控制方法及访问控制系统 |
| CN116702126A (zh) * | 2023-05-26 | 2023-09-05 | 统信软件技术有限公司 | 应用访问控制方法和装置、计算设备和可读存储介质 |
| CN117235735A (zh) * | 2023-09-15 | 2023-12-15 | 西安热工研究院有限公司 | 一种可信dcs控制器系统的主客体安全访问控制方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN117436079A (zh) | 2024-01-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9881013B2 (en) | Method and system for providing restricted access to a storage medium | |
| US11093625B2 (en) | Adaptive file access authorization using process access patterns | |
| US8234477B2 (en) | Method and system for providing restricted access to a storage medium | |
| US7536524B2 (en) | Method and system for providing restricted access to a storage medium | |
| EP1946238B1 (en) | Operating system independent data management | |
| US5870467A (en) | Method and apparatus for data input/output management suitable for protection of electronic writing data | |
| JP4828199B2 (ja) | アンチウィルスソフトウェアアプリケーションの知識基盤を統合するシステムおよび方法 | |
| CN106295355B (zh) | 一种面向Linux服务器的主动安全保障方法 | |
| CA2352948A1 (en) | System and method for providing data security | |
| CN105827645B (zh) | 一种用于访问控制的方法、设备与系统 | |
| US20110061112A1 (en) | System and method for enforcing data encryption on removable media devices | |
| KR20180017028A (ko) | 객체 지향 콘텍스트들에서의 이행 문제를 완화하기 위한 데이터 모니터링을 위한 기술들 | |
| US20180189415A1 (en) | Controlling access to one or more datasets of an operating system in use | |
| US8132261B1 (en) | Distributed dynamic security capabilities with access controls | |
| CN102663313B (zh) | 一种实现计算机系统信息安全的方法 | |
| KR101227187B1 (ko) | 보안영역 데이터의 반출 제어시스템과 그 제어방법 | |
| EP3779747B1 (en) | Methods and systems to identify a compromised device through active testing | |
| KR101954421B1 (ko) | 하드디스크나 ｓｓｄ 기반의 ｗｏｒｍ 저장장치에서 실시간으로 위변조를 방지하는 데이터 기록 방법 | |
| KR20220085786A (ko) | 랜섬웨어 방지 | |
| CN117436079B (zh) | 一种Linux系统的完整性保护方法及系统 | |
| KR101040765B1 (ko) | 확장된 보안 레이블을 이용하는 프로세스 및 파일 추적 시스템 및 프로세스 및 파일 추적 방법 | |
| KR100960358B1 (ko) | 다중 등급 보안 방식에 기초한 강제적 프로세스 메모리접근 제어 방법 및 이를 프로그램화하여 수록한 컴퓨터로읽을 수 있는 기록매체 | |
| JP4444604B2 (ja) | アクセス制御装置ならびにそのプログラム | |
| KR102338774B1 (ko) | 스토리지 운영체제의 커널 수준에서 파일 내용 읽기 및 쓰기를 방지하여 데이터 유출 및 훼손을 방지하는 데이터 보호 방법 | |
| KR102227558B1 (ko) | 프로그램 보호를 기반으로 한 데이터 보안 방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |