【技术实现步骤摘要】
本申请实施例涉及访问控制，尤其涉及一种访问控制方法、系统、设备、介质和程序产品。
技术介绍
1、在早期的计算机系统中，资源(如文件、设备等)通常由单个用户或一小群用户共享，且这些系统往往在相对封闭和受信的环境下运行。随着技术的发展和计算机应用的广泛普及，系统变得更加开放，用户群体也更加多样化，这导致了数据和资源的安全风险显著增加。操作系统作为计算机资源的管理者，需要有效地控制对这些资源的访问，以防止未授权的使用、数据泄露、数据损坏和其他安全威胁。因此操作系统中引入了访问控制机制，基于最小权限原则实施安全策略，防止未经授权的用户访问和修改系统资源，从而保护系统的完整性和机密性。
2、随着访问控制技术的发展，访问控制机制从最初的简单模型发展到更复杂的模型，以适应不断变化的安全需求和技术环境。现代操作系统中主要有两种访问控制机制：自主访问控制(discretionary access control，dac1)和强制访问控制(mandatory accesscontrol，mac)。
3、自主访问控制允许资源的所有者或指定的控制者对其资源的访问进行管理和控制。在dac模型中，用户可以根据自己的判断将访问权限分配给其他用户。自主访问控制由于其用户友好的安全逻辑和简单的配置方式，一直作为基础的访问控制机制在操作系统中运行，但其安全性高度依赖于单个用户的决策，用户可能会无意中授予不安全或不必要的权限，从而引入安全风险。
4、强制访问控制是一种由操作系统管理员或安全策略管理员严格控制的访问控制机制，用于决定
5、现代操作系统中常见的强制访问控制包括selinux和apparmor，其中selinux通过比较主体和客体的安全上下文来决定是否允许特定的访问，其中selinux的结构和策略配置非常复杂，不适合在一些通用的场景中使用。而apparmor主要通过基于路径的配置文件来定义其安全策略，允许系统管理员控制程序可以访问哪些文件和目录，以及它们可以执行哪些操作(读、写、执行)。然而，apparmor的安全策略基于文件路径，难以防御恶意软件攻击，恶意软件通过移动或重命名可以很容易的绕过安全策略，安全性较差。
技术实现思路
1、本申请实施例提供一种访问控制方法、系统、设备、介质和程序产品，以解决现有的基于路径配置的访问控制方法安全性不足的问题。
2、为了解决上述技术问题，本申请是这样实现的：
3、第一方面，本申请实施例提供了一种访问控制方法，包括：
4、截获进程对资源的访问操作；
5、在主体列表中检索与所述进程对应的目标主体，以及所述目标主体对应的标识信息，其中，所述主体列表中包括允许访问所述资源的主体和所述主体的标识信息，所述标识信息中包括度量策略和度量基准值；
6、根据所述目标主体对应的度量策略对所述进程进行度量，得到待检度量基准值；
7、基于度量安全策略、所述待检度量基准值和所述目标主体对应的度量基准值，返回访问结果，所述度量安全策略基于所述标识信息标识所述主体。
8、可选的，所述方法还包括：
9、将所述主体访问资源的原始安全策略转换为所述度量安全策略；其中，所述原始安全策略基于程序路径标识所述主体，所述度量安全策略中还包含包括所述主体对应的程序名；
10、将所述度量安全策略与所述资源绑定。可选的，所述将所述主体访问资源的原始安全策略转换为所述度量安全策略，包括：
11、将所述原始安全策略中指定路径的可执行文件的代码段内存划分为固定大小的内存块，并对每个所述内存块进行索引编号；
12、基于所述索引编号，得到随机数序列；
13、对标号为所述随机数序列的内存页进行度量，生成所述度量基准值；
14、将所述主体对应的程序名、所述随机数序列和所述度量基准值作为所述主体的标识信息，替换所述原始安全策略中的主体的标识信息，得到所述度量安全策略。
15、可选的，所述基于所述索引编号，得到随机数序列，包括：
16、确定需要度量的内存块数量为t；
17、在所述索引编号范围内生成t个随机数，得到随机数序列。
18、可选的，所述在主体列表中检索与所述进程对应的目标主体，包括：
19、根据资源索引，获取所述资源的扩展属性，其中，所述扩展属性中包括所述主体列表；
20、根据所述进程的程序名，在主体列表中检索与所述进程对应的目标主体。
21、可选的，所述获取所述资源的扩展属性，之后还包括：
22、截获对获取所述资源的扩展属性的函数调用；
23、删除对所述函数调用的返回内容中的所述扩展属性中的主体列表。
24、可选的，所述度量策略还包括内存块索引，所述内存块索引的内存块为需要度量的内存块；
25、所述根据所述目标主体对应的度量策略对所述进程进行度量，得到待检度量基准值，包括：
26、根据所述目标主体对应的内存块索引对所述进程的代码段进行度量，得到所述待检度量基准值。
27、可选的，所述基于度量安全策略、所述待检度量基准值和所述目标主体对应的度量基准值，返回访问结果，包括：
28、比较所述待检度量基准值和所述目标主体对应的度量基准值；
29、若所述待检度量基准值和所述目标主体对应的度量基准值匹配，对所述进程的访问权限进行检查；
30、若所述进程的当前访问是所述访问权限的子集，则允许访问；
31、若所述进程的当前访问不是所述访问权限的子集，终止所述进程对文件的访问，并返回错误信息。
32、第二方面，本申请实施例提供了一种访问控制系统，包括：
33、截获模块，用于截获进程对资源的访问操作；
34、检索模块，用于在主体列表中检索与所述进程对应的目标主体，以及所述目标主体对应的标识信息，其中，所述主体列表中包括允许访问所述资源的主体和所述主体的标识信息，所述标识信息中包括度量策略和度量基准值；
35、度量模块，用于根据所述目标主体对应的度量策略对所述进程进行度量，得到待检度量基准值；
36、结果模块，用于基于度量安全策略、所述待检度量基准值和所述目标主体对应的度量基准值，返回访问结果，所述度量安全策略基于所述标识信息标识所述主体。
37、可选的，所述访问控制系统，还包括：
38、转换模块，用于将所述主体访问资源的原始安全策略转换为所述度量安全策略；其中，所述原始安全策略基于程序路径标识所述主体，所述度量安全策略中还包含包括所述主体对应的程序名；
39、将所述度量安全策本文档来自技高网...
【技术保护点】
1.一种访问控制方法，其特征在于，包括：
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
3.根据权利要求2所述的方法，其特征在于，所述将所述主体访问资源的原始安全策略转换为所述度量安全策略，包括：
4.根据权利要求3所述的方法，其特征在于，所述基于所述索引编号，得到随机数序列，包括：
5.根据权利要求1所述的方法，其特征在于，所述在主体列表中检索与所述进程对应的目标主体，包括：
6.根据权利要求5所述的方法，其特征在于，所述获取所述资源的扩展属性，之后还包括：
7.根据权利要求1所述的方法，其特征在于，所述度量策略还包括内存块索引，所述内存块索引的内存块为需要度量的内存块；
8.根据权利要求1所述的方法，其特征在于，所述基于度量安全策略、所述待检度量基准值和所述目标主体对应的度量基准值，返回访问结果，包括：
9.一种访问控制系统，其特征在于，包括：
10.一种电子设备，其特征在于，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被
11.一种计算机可读存储介质，其特征在于，计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至8中任一项所述的访问控制方法。
12.一种计算机程序产品，其特征在于，包括计算机指令，所述计算机指令被处理器执行时实现如权利要求1至8中任一项所述的访问控制方法。
...【技术特征摘要】
1.一种访问控制方法，其特征在于，包括：
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
3.根据权利要求2所述的方法，其特征在于，所述将所述主体访问资源的原始安全策略转换为所述度量安全策略，包括：
4.根据权利要求3所述的方法，其特征在于，所述基于所述索引编号，得到随机数序列，包括：
5.根据权利要求1所述的方法，其特征在于，所述在主体列表中检索与所述进程对应的目标主体，包括：
6.根据权利要求5所述的方法，其特征在于，所述获取所述资源的扩展属性，之后还包括：
7.根据权利要求1所述的方法，其特征在于，所述度量策略还包括内存块索引，所述内存块索引的内存块为需要度量的内存块；
8.根...
【专利技术属性】
技术研发人员：蔡启申，曹洪涛，张胜举，汤中睿，
申请(专利权)人：中移苏州软件技术有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。