CN117807623A - 一种显示设备及应用数据隔离预警方法 - Google Patents

Abstract

本申请一些实施例示出一种显示设备及应用数据隔离预警方法，所述方法包括：接收应用程序发送的文件访问请求；获取权限文件；如果权限文件中不包括应用程序对被访问文件的允许访问规则，则拒绝文件访问请求，以及将应用程序及被访问文件的标识记录到非法访问日志中；将非法访问日志发送至服务器；如果接收到服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息，控制显示器显示非法访问提示界面。本申请实施例设置权限文件，只接受与权限文件中允许访问规则匹配的访问请求，拒绝与允许访问规则不匹配的访问请求，并将该访问记录到日志中，通过日志来确定是否预警。本申请通过应用数据隔离和及时预警的方式提高系统安全性。

Description

一种显示设备及应用数据隔离预警方法

技术领域

本申请涉及显示设备技术领域，尤其涉及一种显示设备及应用数据隔离预警方法。

背景技术

智能系统被广泛应用于各种设备，如手机、平板电脑、智能家居、工业控制系统等。这些系统中的每个应用都可能会访问和操作敏感数据或系统资源，因此系统的安全性至关重要。然而，传统的嵌入式Linux系统中通过设置黑名单的方式管理访问权限，即只拒绝黑名单中的进程或应用程序的访问请求。但是在有外部软件获取到本机的权限时，由于外部软件并不在黑名单中，可能对系统进行大范围攻击。因此，由于对权限管理不够完善，应用之间的隔离性不足，无法及时发现和处理潜在的安全风险。

发明内容

本申请一些实施例提供了一种显示设备及应用数据隔离预警方法，设置权限文件，只接受与权限文件中允许访问规则匹配的访问请求，拒绝与允许访问规则都不匹配的访问请求，并记录到日志中，通过日志进行预警，提高系统安全性。

第一方面，本申请一些实施例中提供一种显示设备，包括：

显示器；

控制器，被配置为：

接收应用程序发送的文件访问请求，所述文件访问请求包括被访问文件的标识；

获取权限文件，所述权限文件包括至少一条允许访问规则；

如果所述权限文件中不包括所述应用程序对所述被访问文件的允许访问规则，则拒绝所述文件访问请求，以及将所述应用程序及所述被访问文件的标识记录到非法访问日志中；

将所述非法访问日志发送至服务器；

如果接收到所述服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息，控制所述显示器显示非法访问提示界面。

在一些实施例中，所述控制器，被配置为：

如果接收到所述服务器在检测到所述非法访问日志的访问记录为合法后下发的第一应用程序升级包，所述第一应用程序升级包用于在所述权限文件中添加所述应用程序对所述被访问文件的允许访问规则；

安装所述第一应用程序升级包。

在一些实施例中，所述控制器执行如果接收到所述服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息后，控制所述显示器显示非法访问提示界面，被进一步配置为：

如果接收到所述服务器在确定非法访问日志的安全分数超过第一预设分数后发送的提示消息后，控制所述显示器显示非法访问提示界面，所述安全分数为预设时间内接收到非法访问日志中被访问文件的标识对应权重之和。

在一些实施例中，所述控制器，被配置为：

如果接收到所述服务器基于所述非法访问日志下发的第二应用程序升级包，所述第二应用程序升级包用于更新显示设备的操作系统和软件，实施访问控制策略，加强身份验证和授权机制，和/或加强网络安全配置；

安装所述第二应用程序升级包。

在一些实施例中，所述权限文件包括默认权限对应的允许访问规则和白名单权限对应的允许访问规则，所述默认权限对应的允许访问规则包括应用程序对共享文件和所述应用程序的私有文件的允许访问规则，所述白名单权限对应的允许访问规则为第一应用程序对非第一应用程序的私有文件的允许访问规则。

在一些实施例中，所述白名单权限对应的允许访问规则是在应用程序开发运行阶段收集访问日志并解析所述访问日志生成的允许访问规则。

在一些实施例中，所述允许访问规则包括被访问文件的名称，所述被访问文件的名称包括文件类别及与所述文件类别对应的文件路径，所述文件类别包括系统文件、应用文件和共享文件，所述文件路径用于提供被访问文件的路径。

在一些实施例中，所述控制器，被配置为：

如果所述权限文件中包括所述应用程序对所述被访问文件的允许访问规则，则响应所述文件访问请求，将被访问文件的名称中文件路径发送至所述应用程序，以使所述应用程序根据所述文件路径访问所述被访问文件。

在一些实施例中，在将所述应用程序及所述被访问文件的名称记录到非法访问日志中后，所述控制器，被配置为：

基于所述非法访问日志中被访问文件的标识对应权重计算安全分数；

如果所述安全分数超过第二预设分数，控制所述显示器显示非法访问提示界面。

第二方面，本申请一些实施例中提供一种应用数据隔离预警方法，包括：

接收应用程序发送的文件访问请求，所述文件访问请求包括被访问文件的标识；

获取权限文件，所述权限文件包括至少一条允许访问规则；

如果所述权限文件中不包括所述应用程序对所述被访问文件的允许访问规则，则拒绝所述文件访问请求，以及将所述应用程序及所述被访问文件的标识记录到非法访问日志中；

将所述非法访问日志发送至服务器；

如果接收到所述服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息，控制所述显示器显示非法访问提示界面。

本申请的一些实施例提供一种显示设备及应用数据隔离预警方法。显示设备接收应用程序发送的文件访问请求，其中，文件访问请求包括被访问文件的标识；获取权限文件，其中，权限文件包括至少一条允许访问规则；如果所述权限文件中不包括所述应用程序对所述被访问文件的允许访问规则，则拒绝所述文件访问请求，以及将所述应用程序及所述被访问文件的标识记录到非法访问日志中；将所述非法访问日志发送至服务器；服务器在确定非法访问日志的数量超过第一预设阈值后会发送提示消息至显示设备，显示设备在接收到提示消息后显示非法访问提示界面。本申请实施例设置权限文件，只接受与权限文件中允许访问规则匹配的访问请求，拒绝与允许访问规则不匹配的访问请求，并将该访问记录到日志中，通过日志来确定是否预警。本申请通过应用数据隔离和及时预警的方式提高系统安全性。

附图说明

图1示出了根据一些实施例的显示设备与控制装置之间操作场景；

图2示出了根据一些实施例的控制设备的硬件配置框图；

图3示出了根据一些实施例的显示设备的硬件配置框图；

图4示出了根据一些实施例的显示设备中软件配置图；

图5示出了根据一些实施例提供的一种应用数据隔离预警方法的流程图；

图6示出了根据一些实施例提供的一种编译态权限设定规则的示意图；

图7示出了根据一些实施例提供的一种开发阶段系统运行的时序图；

图8示出了根据一些实施例提供的一种非法访问提示界面的示意图；

图9示出了根据一些实施例提供的一种强制关闭提示界面的示意图；

图10示出了根据一些实施例提供的一种发行阶段系统运行的时序图。

具体实施方式

为使本申请的目的和实施方式更加清楚，下面将结合本申请示例性实施例中的附图，对本申请示例性实施方式进行清楚、完整地描述，显然，描述的示例性实施例仅是本申请一部分实施例，而不是全部的实施例。

需要说明的是，本申请中对于术语的简要说明，仅是为了方便理解接下来描述的实施方式，而不是意图限定本申请的实施方式。除非另有说明，这些术语应当按照其普通和通常的含义理解。

本申请中说明书和权利要求书及上述附图中的术语“第一”和“第二”等是用于区别类似或同类的对象或实体，而不必然意味着限定特定的顺序或先后次序，除非另外注明。应该理解这样使用的用语在适当情况下可以互换。

术语“包括”以及他们的任何变形，意图在于覆盖但不排他的包含，例如，包含了一系列组件的产品或设备不必限于清楚地列出的所有组件，而是可包括没有清楚地列出的或对于这些产品或设备固有的其它组件。

本申请实施方式提供的显示设备可以具有多种实施形式，例如，可以是电视、智能电视、激光投影设备、显示器(monitor)、电子白板(electronic bulletin board)、电子桌面(electronic table)等。图1和图2为本申请的显示设备的一种具体实施方式。

图1为根据实施例中显示设备与控制装置之间操作场景的示意图。如图1所示，用户可通过智能设备300或控制装置100操作显示设备200。

在一些实施例中，控制装置100可以是遥控器，遥控器和显示设备的通信包括红外协议通信或蓝牙协议通信，及其他短距离通信方式，通过无线或有线方式来控制显示设备200。用户可以通过遥控器上按键、语音输入、控制面板输入等输入用户指令，来控制显示设备200。

在一些实施例中，也可以使用智能设备300(如移动终端、平板电脑、计算机、笔记本电脑等)以控制显示设备200。例如，使用在智能设备上运行的应用程序控制显示设备200。

在一些实施例中，显示设备可以不使用上述的智能设备或控制设备接收指令，而是通过触摸或者手势等接收用户的控制。

在一些实施例中，显示设备200还可以采用除了控制装置100和智能设备300之外的方式进行控制，例如，可以通过显示设备200设备内部配置的获取语音指令的模块直接接收用户的语音指令控制，也可以通过显示设备200设备外部设置的语音控制设备来接收用户的语音指令控制。

在一些实施例中，显示设备200还与服务器400进行数据通信。可允许显示设备200通过局域网(LAN)、无线局域网(WLAN)和其他网络进行通信连接。服务器400可以向显示设备200提供各种内容和互动。服务器400可以是一个集群，也可以是多个集群，可以包括一类或多类服务器。

图2示例性示出了根据示例性实施例中控制装置100的配置框图。如图2所示，控制装置100包括控制器110、通信接口130、用户输入/输出接口140、存储器、供电电源。控制装置100可接收用户的输入操作指令，且将操作指令转换为显示设备200可识别和响应的指令，起用用户与显示设备200之间交互中介作用。

如图3，显示设备200包括调谐解调器210、通信器220、检测器230、外部装置接口240、控制器250、显示器260、音频输出接口270、存储器、供电电源、用户接口中的至少一种。

在一些实施例中控制器包括处理器，视频处理器，音频处理器，图形处理器，RAM，ROM，用于输入/输出的第一接口至第n接口。

显示器260包括用于呈现画面的显示屏组件，以及驱动图像显示的驱动组件，用于接收源自控制器输出的图像信号，进行显示视频内容、图像内容以及菜单操控界面的组件以及用户操控UI界面。

显示器260可为液晶显示器、OLED显示器、以及投影显示器，还可以为一种投影装置和投影屏幕。

显示器260还包括触控屏，触控屏用于接收用户手指在触控屏上滑动或点击等动作输入控制指令。

通信器220是用于根据各种通信协议类型与外部设备或服务器进行通信的组件。例如：通信器可以包括Wifi模块，蓝牙模块，有线以太网模块等其他网络通信协议芯片或近场通信协议芯片，以及红外接收器中的至少一种。显示设备200可以通过通信器220与外部控制设备100或服务器400建立控制信号和数据信号的发送和接收。

用户接口，可用于接收控制装置100(如：红外遥控器等)的控制信号。

检测器230用于采集外部环境或与外部交互的信号。例如，检测器230包括光接收器，用于采集环境光线强度的传感器；或者，检测器230包括图像采集器，如摄像头，可以用于采集外部环境场景、用户的属性或用户交互手势，再或者，检测器230包括声音采集器，如麦克风等，用于接收外部声音。

外部装置接口240可以包括但不限于如下：高清多媒体接口(HDMI)、模拟或数据高清分量输入接口(分量)、复合视频输入接口(CVBS)、USB输入接口(USB)、RGB端口等任一个或多个接口。也可以是上述多个接口形成的复合性的输入/输出接口。

调谐解调器210通过有线或无线接收方式接收广播电视信号，以及从多个无线或有线广播电视信号中解调出音视频信号，如以及EPG数据信号。

在一些实施例中，控制器250和调谐解调器210可以位于不同的分体设备中，即调谐解调器210也可在控制器250所在的主体设备的外置设备中，如外置机顶盒等。

控制器250，通过存储在存储器上中各种软件控制程序，来控制显示设备的工作和响应用户的操作。控制器250控制显示设备200的整体操作。例如：响应于接收到用于选择在显示器260上显示UI对象的用户命令，控制器250便可以执行与由用户命令选择的对象有关的操作。

在一些实施例中控制器包括中央处理器(Central Processing Unit，CPU)，视频处理器，音频处理器，图形处理器(Graphics Processing Unit，GPU)，RAM(Random AccessMemory，RAM)，ROM(Read-Only Memory，ROM)，用于输入/输出的第一接口至第n接口，通信总线(Bus)等中的至少一种。

用户可在显示器260上显示的图形用户界面(GUI)输入用户命令，则用户输入接口通过图形用户界面(GUI)接收用户输入命令。或者，用户可通过输入特定的声音或手势进行输入用户命令，则用户输入接口通过传感器识别出声音或手势，来接收用户输入命令。

“用户界面”，是应用程序或操作系统与用户之间进行交互和信息交换的介质接口，它实现信息的内部形式与用户可以接受形式之间的转换。用户界面常用的表现形式是图形用户界面(Graphic User Interface，GUI)，是指采用图形方式显示的与计算机操作相关的用户界面。它可以是在电子设备的显示屏中显示的一个图标、窗口、控件等界面元素，其中控件可以包括图标、按钮、菜单、选项卡、文本框、对话框、状态栏、导航栏、Widget等可视的界面元素。

如图4所示，将显示设备的系统分为三层，从上至下分别为应用层、中间件层和硬件层。

应用层主要包含电视上的常用应用，以及应用框架(Application Framework)，其中，常用应用主要是基于浏览器Browser开发的应用，例如：HTML5 APPs；以及原生应用(Native APPs)；

应用框架(Application Framework)是一个完整的程序模型，具备标准应用软件所需的一切基本功能，例如：文件存取、资料交换...，以及这些功能的使用接口(工具栏、状态列、菜单、对话框)。

原生应用(Native APPs)可以支持在线或离线，消息推送或本地资源访问。

中间件层包括各种电视协议、多媒体协议以及系统组件等中间件。中间件可以使用系统软件所提供的基础服务(功能)，衔接网络上应用系统的各个部分或不同的应用，能够达到资源共享、功能共享的目的。

硬件层主要包括HAL接口、硬件以及驱动，其中，HAL接口为所有电视芯片对接的统一接口，具体逻辑由各个芯片来实现。驱动主要包含：音频驱动、显示驱动、蓝牙驱动、摄像头驱动、WIFI驱动、USB驱动、HDMI驱动、传感器驱动(如指纹传感器，温度传感器，压力传感器等)、以及电源驱动等。

智能系统被广泛应用于各种设备，如手机、平板电脑、智能家居、工业控制系统等。这些系统中的每个应用都可能会访问和操作敏感数据或系统资源，因此系统的安全性至关重要。然而，传统的嵌入式Linux系统中通过设置黑名单的方式管理访问权限，即只拒绝黑名单中的进程或应用程序的访问请求。但是在有外部软件获取到本机的权限时，由于外部软件并不在黑名单中，可能对系统进行大范围攻击。因此，由于对权限管理不够完善，应用之间的隔离性不足，无法及时发现和处理潜在的安全风险。

为了解决以上技术问题，本申请实施例提供一种显示设备200，显示设备200的结构及各部分的功能可以参阅上述实施例。此外，在上述实施例示出的显示设备200的基础上，本实施例对显示设备200的一些功能做进一步的完善。如图5所示，控制器250执行以下步骤：

步骤S501：接收应用程序发送的文件访问请求；

文件访问请求包括被访问文件的标识。被访问文件的标识包括被访问文件所属文件类别及该文件类别下的文件类型。例如：被访问文件为应用B的配置文件，标识为B-config。

文件访问请求包括被访问文件的操作类型。操作类型包括读(r)、写(w)和/或执行(x)。读表示可读取此文件中的实际内容，例如，可以对文件执行cat、more、less、head、tail等文件查看命令。写表示可以编辑、新增或者修改文件中的内容，例如，可以对文件执行vim、echo等修改文件数据的命令。其中无权限不赋予用户删除文件的权利，除非用户对文件的上级目录拥有写权限才可以。执行表示该文件具有被系统执行的权限。在Linux系统中，文件是否能被执行，是通过看此文件是否具有x权限来决定的。也就是说，只要文件拥有x权限，则此文件就是可执行文件。但是，文件到底能够正确运行，还要看文件中的代码是否正确。

应用程序在运行过程中为了满足用户的需求可能需要访问不同文件，在想要访问文件会发送文件访问请求到SELinux(Security-Enhanced Linux，安全模块)。

SELinux是一种基于安全策略(Security Policy)的访问控制机制，通过在Linux内核中添加安全模块，实现更为严格的资源访问控制。SELinux的核心思想是将系统资源(如文件、目录、网络端口等)与用户(或其他安全实体)关联起来，根据预先定义的安全策略，对系统中的所有对象(如文件、进程、网络端口等)进行权限管理。

SELinux采用强制访问控制，即所有对系统资源的访问都要符合SELinux策略。即使拥有者也不能违反策略规定。SELinux通过强制访问控制可以有效防止非法访问和攻击可提高安全性。SELinux策略可以根据实际需求进行定制和扩展。MLS(Multi-LevelSecurity，多级安全)策略能够满足不同安全级别用户的需求，支持多级安全。

步骤S502：获取权限文件；

其中，权限文件包括至少一条允许访问规则。允许访问规则包括访问者、被访问文件的名称和操作类型。所述被访问文件的名称包括文件类别及与所述文件类别对应的文件路径，所述文件类别包括系统文件、应用文件和共享文件，所述文件路径用于提供被访问文件的路径。

示例性的，允许访问规则为：A允许对A-data_tv:aaa/bbb进行读/写/执行。A为访问者，A-data_tv:aaa/bbb为被访问文件的名称，A-data为文件类别，tv:aaa/bbb为文件路径。读/写/执行为操作类型。

SELinux在接收到应用程序发送的文件访问请求后，获取权限文件，即SELinux策略。权限文件包括安装在显示设备200中所有应用程序或进程的允许访问规则。在安装新的应用程序后，可将新应用程序对应的允许访问规则添加到权限文件中，权限文件预存到本地内存中。

权限文件包括默认权限对应的允许访问规则和白名单权限对应的允许访问规则，其中，默认权限对应的允许访问规则包括应用程序对共享文件和所述应用程序的私有文件的允许访问规则。在应用程序开发阶段中，可直接将默认权限对应的允许访问规则写入权限文件中。白名单权限对应的允许访问规则为第一应用程序对非第一应用程序的私有文件的允许访问规则。白名单权限对应的允许访问规则是在应用程序开发运行阶段收集访问日志并解析所述访问日志生成的允许访问规则。

需要说明的是，应用程序分为开发阶段和发行阶段。

在应用程序的开发阶段，整套系统分为编译态部分和运行态部分。

在编译态部分，需要为整个系统的文件创建标记，然后为应用程序或进程增加权限。根据应用隔离的需求，将系统中的文件类别分为以下几大类：

系统文件：系统级别的文件，包括操作系统相关的文件、库和配置文件等。

应用文件：各个应用特有的文件，包括程序、数据文件、配置文件等。

共享文件：多个应用共享的文件，如公共库、配置文件等。

在编译文件系统时，将按照“文件类别_文件路径“的命名方式为系统中的所有文件设定标记。

如图6所示，对于应用程序或进程权限分为两部分，默认权限+白名单权限。默认权限为默认不可访问系统文件，默认可以访问自身应用文件，默认不可访问其他应用文件，默认可以访问共享文件。白名单权限为业务明确需要增加的权限。

将编译后的应用程序安装到显示设备中，并开始试运行阶段。在一些实施例中，权限文件可仅设置默认权限对应的允许访问规则，即允许该应用程序访问其自身的私有文件和共享文件。在一些实施例中，权限文件可针对当前应用程序的权限文件可设为空。

示例性的，默认权限对应的允许访问规则为：

A允许对A-data_tv:aaa/bbb进行读/写/执行；

A允许对A-config_tv:aaa/bbb进行读/写/执行。

在运行态部分，即系统运行过程中，SELinux会检查所有文件的访问请求是否与权限文件中的允许访问规则相匹配，即判断权限文件中是否包括访问请求的允许访问规则；

如果文件访问请求与权限文件中的允许访问规则相匹配，即权限文件中包括访问请求的允许访问规则，则响应文件访问请求，使其访问成功；如果文件访问请求与权限文件中的允许访问规则不匹配，即权限文件中不包括访问请求的允许访问规则，则按照一定格式记录日志。

示例性的，进程A当前默认权限可以访问自身的文件，但不可访问进程B的文件。当系统运行时，进程A访问自身文件不会受到限制，当尝试访问进程B文件时会访问失败，并将进程名和访问文件的标记记录在日志中。

系统在开机时会启动系统进程MonitorProcess(监视进程)，监视进程会定期收集日志并上传至服务器400，在开发阶段默认所有应用程序的访问都是合法的，所以服务器400中的日志解析模块会按照固定格式对该应用程序的访问日志进行解析，得到权限指令。响应于所述权限指令，将访问日志变成权限，作为应用进程的白名单权限部分，在后续编译权限文件内容中起作用。

MonitorProcess是一款系统进程监视软件。MonitorProcess相当于Filemon(文件系统监视软件)+Regmon(注册表数据库监视软件)，其中的Filemon专门用来监视系统中的任何文件操作过程，而Regmon用来监视注册表的读写操作过程。运行MonitorProcess后，使用者就可以对系统中的任何文件和注册表操作同时进行监视和记录，通过注册表和文件读写的变化，有助于帮助诊断系统故障或是发现恶意软件、病毒或木马。

示例性的，白名单权限对应的允许访问规则为：

A允许对B-config_tv:aaa/bbb进行读/写/执行；

A允许对C-data_tv:aaa/bbb进行读。

应用程序A开发完成后，显示设备200安装应用程序A后，系统的权限文件中包括：

A允许对A-data_tv:aaa/bbb进行读/写/执行；

A允许对A-config_tv:aaa/bbb进行读/写/执行；

A允许对B-data_tv:aaa/bbb进行读/写/执行；

A允许对C-config_tv:aaa/bbb进行读；

……

在一些实施例中，如图7所示，在应用程序开发阶段系统运行过程中，应用程序发送被访问文件的请求至SELinux安全模块，SELinux安全模块如果确定权限文件中包括应用程序对被访问文件的允许访问规则，则允许应用程序访问被访问文件；如果确定权限文件中不包括所述应用程序对被访问文件的允许访问规则，则将应用程序及被访问文件记录到日志中。监视进程收集日志并将日志发送至服务器。服务器通过日志解析模块解析日志，生成权限指令，并将权限指令发送至权限生成模块，权限生成模块基于权限指令生成允许访问规则，并将允许访问规则发送至编译系统，添加到应用程序的白名单权限中。

在一些实施例中，权限文件只有一个，安装在显示设备200中所有应用程序或进程的允许访问规则均在该权限文件中。

在一些实施例中，权限文件可设置多个，例如：每个应用程序设置一个权限文件，获取权限文件为获取所述应用程序对应的权限文件。每个应用程序的权限文件中允许访问规则数量相对较少，便于及时查找到当前文件访问请求是否与允许访问规则匹配，有助于提升文件访问速度。

本申请实施例在开发阶段为应用设定权限，仅可访问自身文件，对于其他文件，通过设置白名单的方式增加权限。白名单权限依靠系统自动收集访问日志并根据访问日志增加权限，大大减少人工操作的成本，提高效率，同时也可以保证应用程序权限的准确性和一致性。

步骤S503：判断权限文件中是否包括应用程序对被访问文件的允许访问规则；

判断权限文件中是否包括所述应用程序对所述被访问文件的允许访问规则的步骤，包括：

判断权限文件中的访问者是否与所述应用程序相同；

如果权限文件中的访问者与所述应用程序均不相同，则确定权限文件中不包括所述应用程序对所述被访问文件的允许访问规则；

如果权限文件中的访问者与所述应用程序相同，判断所述访问者对应的被访问文件的名称中文件类别是否与被访问文件的标识相同；

如果所述访问者对应的被访问文件的名称中文件类别与被访问文件的标识均不相同，则确定权限文件中不包括所述应用程序对所述被访问文件的允许访问规则；

如果所述访问者对应的被访问文件的名称中文件类别与被访问文件的标识相同，则判断所述文件类别对应的操作类型是否与被访问文件的操作类型相同；

如果所述文件类别对应的操作类型与被访问文件的操作类型不相同，则确定权限文件中不包括所述应用程序对所述被访问文件的允许访问规则；

如果所述文件类别对应的操作类型与被访问文件的操作类型相同，则确定权限文件中包括所述应用程序对所述被访问文件的允许访问规则。

示例性的，应用A请求读取应用B的数据文件，如果权限文件中的访问者没有应用A，或访问者应用A的允许访问规则中文件类别没有应用B的数据文件，或者访问者应用A、文件类别为应用B的数据文件的允许访问规则中操作类型并没有读的操作，则确定权限文件中不包括所述应用程序对所述被访问文件的允许访问规则。如果权限文件中有访问者应用A、文件类别为应用B的数据文件、操作类型为读的允许访问规则，例如：A允许对B-data_tv:aaa/bbb进行读/写/执行，确定权限文件中包括应用程序对被访问文件的允许访问规则。

如果所述权限文件中不包括所述应用程序对所述被访问文件的允许访问规则，则执行步骤S504：拒绝所述文件访问请求，以及将应用程序及被访问文件的标识记录到非法访问日志中；

SELinux安全模块在确定权限文件中不包括应用程序对被访问文件的允许访问规则后，发送请求失败的消息至应用程序，以使应用程序无法访问被访问文件，并将应用程序及被访问文件的标识以非法访问数据记录到日志中。

步骤S505：将非法访问日志发送至服务器400；

在显示设备200开机时会启动系统进程MonitorProcess，MonitorProcess会定期收集日志并上传至服务器400。

在一些实施例中，MonitorProcess可以筛选预设时间段日志中与非法访问相关日志发送至服务器400。

在一些实施例中，MonitorProcess将预设时间段所有日志都发送至服务器400，由服务器400自行将非法访问日志筛选出来。

步骤S506：如果接收到服务器400在确定非法访问日志的数量超过第一预设阈值后发送的提示消息，控制显示器260显示非法访问提示界面。

在一些实施例中，服务器400在接收到非法访问日志后，检测非法访问日志的访问记录是否为合法；

检测非法访问日志的访问记录是否为合法的步骤，包括：

基于非法访问日志的访问记录生成发送越权访问邮件，并将越权访问邮件发送至工程师；

将历史非法访问日志存储至预设位置，如果检测到当前访问记录与已存储的历史非法访问日志的访问记录都不相同，则基于该访问记录生成发送越权访问邮件并发送至工程师，以及将该非法访问日志存储至预设位置。如果检测到当前访问记录与已存储的历史非法访问日志的访问记录相同，则无需生成发送越权访问邮件。

接收工程师在与应用方进行沟通后回复的消息；

如果基于回复的消息确定该访问记录是正常业务请求，则确定非法访问日志的访问记录为合法；

如果基于回复的消息确定该访问记录不是正常业务请求，则确定非法访问日志的访问记录为非法。

服务器400在检测到所述非法访问日志的访问记录为合法后生成第一应用程序升级包，其中，第一应用程序升级包用于在所述权限文件中添加所述应用程序对所述被访问文件的允许访问规则；第一应用程序升级包对应的版本号为最新版本号。应用程序升级为OTA(Over The Air，空中下载技术)升级。

显示设备200定期获取应用程序的最新版本号或在打开应用程序时获取应用程序的最新版本号。显示设备200在检测到最新版本号与本机版本号不同时，可显示升级提醒界面。如果接收到用户输入同意升级的指令，下载并安装第一应用程序升级包，可在权限文件中添加应用程序对被访问文件的允许访问规则，以使应用程序可以对被访问文件进行访问。

服务器400在检测到所述非法访问日志的访问记录仍为非法后，不执行与非法访问相关处理。

在一些实施例中，服务器400在接收到非法访问日志后或在检测到所述非法访问日志的访问记录仍为非法后，统计非法访问日志的数量；

判断非法访问日志的数量是否超过第一预设阈值；

如果非法访问日志的数量超过第一预设阈值，则发送提示消息至显示设备200，显示设备200显示非法访问提示界面，非法访问提示界面用于提示用户当前运行的应用程序可能是非法应用，或应用程序或系统可能存在被攻击的风险等，建议关闭应用程序或重启系统。

示例性的，如图8所示，非法访问提示界面包括提示信息81、关闭控件82、忽略控件83及焦点84。提示信息81为应用A为非法应用，建议您关闭并删除。如果接收到用户输入选中关闭控件82的指令，则关闭应用A。如果接收到用户输入选中忽略控件82的指令，取消显示非法访问提示界面。

需要说明的是，控件是指在显示设备中用户界面的各展示区中显示以表示诸如图标、缩略图、视频剪辑、链接等对应内容的视觉对象，这些控件可以为用户提供通过数据广播接收的各种传统节目内容、以及由内容制造商设置的各种应用和服务内容。

控件的展示形式通常多样化。例如，控件可以包括文本内容和/或用于显示与文本内容相关的缩略图的图像，或与文本相关的视频剪辑。又如，控件可以是应用程序的文本和/或图标。

焦点用于指示其中任一控件已被选择。一方面，可根据用户通过控制装置100的输入，控制显示设备中显示焦点对象的移动来选择或控制控件。如：用户可通过控制装置100上方向键控制焦点对象在控件之间的移动来选择和控制控件。另一方面，可根据用户通过控制装置100的输入，控制显示设备中显示的各控件的移动来使得焦点对象选择或控制控件。如：用户可通过控制装置100上方向键控制各控件一并进行左右移动，以在保持焦点对象的位置不变时使得焦点对象选择和控制控件。

焦点的标识形式通常多样化。示例的，可通过放大项目来实现或标识焦点对象的位置，还通过设置项目背景色来实现或标识焦点对象的位置，也可以通过改变聚焦项目的文本或图像的边框线、尺寸、颜色、透明度和轮廓和/或字体等标识焦点对象的位置。

如果非法访问日志的数量不超过第一预设阈值，则不发送提示消息至显示设备200。

在一些实施例中，定期将非法访问日志的数量清零，或者，将不在预设时间段的非法访问日志清除。

在一些实施例中，非法访问日志的数量是指所有应用程序非法访问日志的总数量，在非法访问日志的数量超过第一预设阈值后，获取非法访问日志中数量相对较多的一个或多个应用程序的名称，提示消息可携带该应用程序的名称发送至显示设备200。显示设备200的非法访问提示界面可建议用户关闭该应用程序。

在一些实施例中，非法访问日志的数量是指单个应用程序非法访问日志的数量，在某个应用程序的非法访问日志的数量超过第一预设阈值后，将提示消息发送至显示设备200，提示消息携带该应用程序的名称。显示设备200的非法访问提示界面可建议用户关闭该应用程序。

在一些实施例中，服务器400在接收到非法访问日志后或在检测到所述非法访问日志的访问记录仍为非法后，获取非法访问日志中被访问文件的标识对应权重；

需要说明的是，对不同被访问文件设置不同权重。例如，比较重要的文件权重数值相对高一些，而不太重要的文件权重数值相对低一些。

确定非法访问日志的安全分数为被访问文件的标识对应权重之和；

判断非法访问日志的安全分数是否超过第一预设分数；

如果非法访问日志的安全分数超过第一预设分数，则发送提示消息至显示设备200，显示设备200显示非法访问提示界面。

如果非法访问日志的安全分数不超过第一预设分数，则不发送提示消息至显示设备200。

本申请实施例对不同文件设置不同权重，使得在重要文件被攻击较少次数时，也能发送提示消息，在不重要文件被攻击较多次数时，可以不发送提示消息。通过以上方式可以避免一些不重要文件的非法访问记录触发提示消息的发送而给用户带来不必要的恐慌，同时，在有重要文件的非法访问记录可以及时提醒用户。

在一些实施例中，非法访问日志的安全分数是指所有应用程序非法访问的总分数，在非法访问日志的安全分数超过第一预设分数后，获取非法访问日志中安全分数相对较多的一个或多个应用程序的名称，提示消息可携带该应用程序的名称发送至显示设备200。显示设备200的非法访问提示界面可建议用户关闭该应用程序。

在一些实施例中，非法访问日志的安全分数是指单个应用程序非法访问的分数，在某个应用程序的非法访问日志的安全分数超过第一预设分数后，将提示消息发送至显示设备200，提示消息携带该应用程序的名称。显示设备200的非法访问提示界面可建议用户关闭该应用程序。

在一些实施例中，服务器400在确定非法访问日志的数量超过第一预设阈值或非法访问日志的安全分数超过第一预设分数后，基于非法访问日志生成的第二应用程序升级包，所述第二应用程序升级包用于更新显示设备的操作系统和软件，实施访问控制策略，加强身份验证和授权机制，和/或加强网络安全配置。第二应用程序升级包对应的版本号为最新版本号。

其中，更新显示设备200的操作系统和软件是指及时更新显示设备的操作系统和软件，从而修复已知的漏洞和安全问题。

实施访问控制策略是指通过OTA远程配置显示设备200的访问控制策略，例如限制特定用户或ip地址的访问权限，以防止未经授权的访问。

加强身份验证和授权机制是指更新显示设备200的身份验证和授权机制，例如使用更强的密码策略，多因素身份验证等。

加强网络安全配置是指远程配置网络安全配置，例如防火墙规则等。

显示设备200定期获取应用程序的最新版本号或在打开应用程序时获取应用程序的最新版本号。显示设备200在检测到最新版本号与本机版本号不同时，可显示升级提醒界面。如果接收到用户输入同意升级的指令，显示设备200下载并安装所述第二应用程序升级包。

在一些实施例中，服务器400在接收到非法访问日志后，统计非法访问日志的数量；

判断非法访问日志的数量是否超过第一预设阈值；

如果非法访问日志的数量超过第一预设阈值，判断非法访问日志的数量超过第三预设阈值；第三预设阈值大于第一预设阈值。

如果非法访问日志的数量不超过第三预设阈值，则发送提示消息至显示设备200，显示设备200显示非法访问提示界面。

如果非法访问日志的数量超过第三预设阈值，则发送强制关闭消息至显示设备200，显示设备200显示强制关闭提示界面并强制关闭应用程序。强制关闭提示界面用于提示用户当前正在运行的应用程序是非法应用或存在被攻击的风险，已强制关闭。

示例性的，如图9所示，强制关闭提示界面包括提示信息91，提示信息91为应用A为非法应用，已强制关闭。

服务器400基于非法访问日志的数量超过第三预设阈值的情况生成第二应用程序升级包。在接收到用户输入主动升级指令或在打开应用程序后被动选择，下载并安装所述第二应用程序升级包，通过第二应用程序升级包可阻断应用程序被攻击的路径。

如果非法访问日志的数量不超过第一预设阈值，则不发送提示消息至显示设备200。

在一些实施例中，服务器400在接收到非法访问日志后，获取非法访问日志中被访问文件的标识对应权重；

确定非法访问日志的安全分数为被访问文件的标识对应权重之和；

判断非法访问日志的安全分数是否超过第一预设分数；

如果非法访问日志的安全分数超过第一预设分数，判断非法访问日志的安全分数是否超过第三预设分数；第三预设分数大于第一预设分数。

如果非法访问日志的安全分数不超过第三预设分数，则发送提示消息至显示设备200，显示设备200显示非法访问提示界面。

如果非法访问日志的安全分数超过第三预设分数，则发送强制关闭消息至显示设备200，显示设备200显示强制关闭提示界面并强制关闭应用程序。

服务器400基于非法访问日志的安全分数超过第三预设分数的情况生成第二应用程序升级包。通过第二应用程序升级包可阻断应用程序被攻击的路径。

如果非法访问日志的安全分数不超过第一预设分数，则不发送提示消息至显示设备200。

在一些实施例中，在将所述应用程序及所述被访问文件的名称记录到非法访问日志后，可以不将非法访问日志发送至服务器400，而是由显示设备200根据非法访问日志确定是否显示非法访问提示界面。

在一些实施例中，确定非法访问日志的数量；

判断非法访问日志的数量是否超过第二预设阈值；

如果非法访问日志的数量超过第二预设阈值，则控制显示器260显示非法访问提示界面；

如果非法访问日志的数量不超过第二预设阈值，则不执行控制显示器260显示非法访问提示界面的步骤。

在一些实施例中，获取非法访问日志中被访问文件的标识对应权重；

确定安全分数为非法访问日志中被访问文件的标识对应权重之和；

判断安全分数是否超过第二预设分数；

如果安全分数超过第二预设分数，控制显示器260显示非法访问提示界面。

如果安全分数不超过第二预设分数，不执行控制显示器260显示非法访问提示界面的步骤。

显示设备200对非法访问日志处理方式可与服务器400对非法访问日志处理方式相同。第一预设阈值和第二预设阈值可以相同，也可以不同。第一预设分数和第二预设分数可以相同，也可以不同。

在一些实施例中，在检测到非法访问日志的数量超过第二预设阈值或安全分数超过第二预设分数后，将该时间段接收到的非法访问日志发送至服务器400，并由服务器400针对非法访问日志的合法性以及阻断应用程序被攻击的途径生成对应的应用程序升级包。

在一些实施例中，在将应用程序及被访问文件的名称记录到非法访问日志后，可以将非法访问日志发送至服务器400，同时显示设备200根据非法访问日志确定是否显示非法访问提示界面。服务器400不负责发送提示消息，而是针对非法访问日志的合法性以及阻断应用程序被攻击的途径生成对应的应用程序升级包。

如果权限文件中包括所述应用程序对所述被访问文件的允许访问规则，则执行步骤S507：响应文件访问请求，以使应用程序访问被访问文件。

SELinux安全模块在确定权限文件中包括应用程序对被访问文件的允许访问规则后，将包含文件路径的请求成功消息至应用程序，以使应用程序根据文件路径访问被访问文件。

在一些实施例中，如图10所示，在应用程序发行阶段系统运行过程中，应用程序发送被访问文件的请求至SELinux安全模块，SELinux安全模块确定如果权限文件中包括应用程序对被访问文件的允许访问规则，则允许应用程序访问被访问文件；如果确定权限文件中不包括所述应用程序对被访问文件的允许访问规则，则将应用程序及被访问文件记录到日志中。监视进程收集日志并将日志发送至服务器。服务器在确定非法访问日志的安全分数超过预设分数后，发送提示消息至显示设备，并且将非法访问日志新增越权访问发送至工程师。显示设备在接收到提示消息后控制显示器显示非法访问提示界面。

在应用程序的发行阶段，由于可能存在恶意应用、错误配置或应用被攻击等行为，此时应用的访问行为是存在风险的，需要进行审核。本申请实施例搜集非法访问日志上报至服务器。若确定访问行为合法，则通过应用升级增加权限；否则依赖于SELinux对行为进行限制。服务器同时会通过积分制判断显示设备的被攻击风险，若达到阈值，可以判断显示设备有被攻击的风险，及时进行风险预警，并采取相应的措施，如发送提示消息以系统弹窗提醒用户，或进行必要的权限限制等。本申请实施例适用于存在多个应用的场景，即使在有外部软件获取到本机的权限时，但由于权限文件中并没有外部软件的允许访问规则，避免对系统进行大范围攻击。同时，也能防止一个应用被攻击时影响到其他应用，可实现应用隔离并及时预警，提高系统的安全性。

本申请的一些实施例提供一种应用数据隔离预警方法，所述方法适用于显示设备，显示设备包括显示器和控制器，所述控制器被配置为：接收应用程序发送的文件访问请求，所述文件访问请求包括被访问文件的标识；获取权限文件，所述权限文件包括至少一条允许访问规则；如果所述权限文件中不包括所述应用程序对所述被访问文件的允许访问规则，则拒绝所述文件访问请求，以及将所述应用程序及所述被访问文件的标识记录到非法访问日志中；将所述非法访问日志发送至服务器；如果接收到所述服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息，控制所述显示器显示非法访问提示界面。本申请实施例设置权限文件，只接受与权限文件中允许访问规则匹配的访问请求，拒绝与允许访问规则不匹配的访问请求，并将该访问记录到日志中，通过日志来确定是否预警。本申请通过应用数据隔离和及时预警的方式提高系统安全性。

最后应说明的是：以上各实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述各实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。

为了方便解释，已经结合具体的实施方式进行了上述说明。但是，上述示例性的讨论不是意图穷尽或者将实施方式限定到上述公开的具体形式。根据上述的教导，可以得到多种修改和变形。上述实施方式的选择和描述是为了更好的解释原理及实际的应用，从而使得本领域技术人员更好的使用所述实施方式以及适于具体使用考虑的各种不同的变形的实施方式。

Claims (10)

1.一种显示设备，其特征在于，包括：

显示器；

控制器，被配置为：

接收应用程序发送的文件访问请求，所述文件访问请求包括被访问文件的标识；

获取权限文件，所述权限文件包括至少一条允许访问规则；

如果所述权限文件中不包括所述应用程序对所述被访问文件的允许访问规则，则拒绝所述文件访问请求，以及将所述应用程序及所述被访问文件的标识记录到非法访问日志中；

将所述非法访问日志发送至服务器；

如果接收到所述服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息，控制所述显示器显示非法访问提示界面。

2.根据权利要求1所述的显示设备，其特征在于，所述控制器，被配置为：

如果接收到所述服务器在检测到所述非法访问日志的访问记录为合法后下发的第一应用程序升级包，所述第一应用程序升级包用于在所述权限文件中添加所述应用程序对所述被访问文件的允许访问规则；

安装所述第一应用程序升级包。

3.根据权利要求1所述的显示设备，其特征在于，所述控制器执行如果接收到所述服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息后，控制所述显示器显示非法访问提示界面，被进一步配置为：

如果接收到所述服务器在确定非法访问日志的安全分数超过第一预设分数后发送的提示消息后，控制所述显示器显示非法访问提示界面，所述安全分数为预设时间内接收到非法访问日志中被访问文件的标识对应权重之和。

4.根据权利要求1所述的显示设备，其特征在于，所述控制器，被配置为：

如果接收到所述服务器基于所述非法访问日志下发的第二应用程序升级包，所述第二应用程序升级包用于更新显示设备的操作系统和软件，实施访问控制策略，加强身份验证和授权机制，和/或加强网络安全配置；

安装所述第二应用程序升级包。

5.根据权利要求1所述的显示设备，其特征在于，所述权限文件包括默认权限对应的允许访问规则和白名单权限对应的允许访问规则，所述默认权限对应的允许访问规则包括应用程序对共享文件和所述应用程序的私有文件的允许访问规则，所述白名单权限对应的允许访问规则为第一应用程序对非第一应用程序的私有文件的允许访问规则。

6.根据权利要求5所述的显示设备，其特征在于，所述白名单权限对应的允许访问规则是在应用程序开发阶段系统运行过程中收集访问日志并解析所述访问日志生成的允许访问规则。

7.根据权利要求1所述的显示设备，其特征在于，所述允许访问规则包括被访问文件的名称，所述被访问文件的名称包括文件类别及与所述文件类别对应的文件路径，所述文件类别包括系统文件、应用文件和共享文件，所述文件路径用于提供被访问文件的路径。

8.根据权利要求7所述的显示设备，其特征在于，所述控制器，被配置为：

如果所述权限文件中包括所述应用程序对所述被访问文件的允许访问规则，则响应所述文件访问请求，将被访问文件的名称中文件路径发送至所述应用程序，以使所述应用程序根据所述文件路径访问所述被访问文件。

9.根据权利要求1所述的显示设备，其特征在于，在将所述应用程序及所述被访问文件的名称记录到非法访问日志中后，所述控制器，被配置为：

基于所述非法访问日志中被访问文件的标识对应权重计算安全分数；

如果所述安全分数超过第二预设分数，控制所述显示器显示非法访问提示界面。

10.一种应用数据隔离预警方法，其特征在于，包括：

接收应用程序发送的文件访问请求，所述文件访问请求包括被访问文件的标识；

获取权限文件，所述权限文件包括至少一条允许访问规则；

如果所述权限文件中不包括所述应用程序对所述被访问文件的允许访问规则，则拒绝所述文件访问请求，以及将所述应用程序及所述被访问文件的标识记录到非法访问日志中；

将所述非法访问日志发送至服务器；

如果接收到所述服务器在确定非法访问日志的数量超过第一预设阈值后发送的提示消息，控制显示器显示非法访问提示界面。