一种基于域的访问控制方法及系统技术方案

一种基于域的访问控制方法及系统，该方法包括以下步骤：按照用户对系统保护的需求，针对不同应用的域，在系统内各应用的主体与客体上，设定各应用的域标签，建立基于域的访问控制策略库；拦截系统中主体对客体的访问请求；将访问请求提交到基于域的访问控制策略库，进行域标签检测；判断是否允许当前操作，如果允许，则放行当前请求，反之拒绝请求。所述系统包括：用于拦截、过滤系统中应用程序对数据访问请求的拦截过滤模块、用于判断主客体域标签是否相同，并确定访问行为是否被允许的访问控制判断模块、用于保存访问控制策略库信息的所述域信息库模块、用于修改访问控制策略库信息以及查询安全日志的域信息管理模块，以及用于存储违反访问控制策略的危险操作信息的安全日志查询模块。本发明专利技术的基于域的访问控制方法及系统，能够有效地保护应用程序，提高应用程序以及操作系统的安全性。

【技术实现步骤摘要】

本专利技术涉及一种操作系统，尤其涉及一种操作系统的访问控制方法及系统。
技术介绍
现有操作系统的访问控制，一般包括自主访问控制模型(Discretionary Access Control )、强制访问控制模型(Mandatory Access Control )、基于角色的访问控制 (Role-Based Access Control) Bell- Lapadula 模型，以及 Biba 模型，其中，自主访问控制模型(Discretionary Access Control )，主体可以自主地把自己所拥有客体的访问控制权限授予其他主体或从其他主体收回所授予的权限，将赋予或取消访问权限的一部分权利留给用户个人，管理员难以确定哪些用户对哪些资源有访问权限，不利于实现统一的全局访问控制。在许多组织中，用户对他所能访问的资源并不具有所有权， 组织本身才是系统中资源的真正所有者。各组织一般希望访问控制与授权机制的实现结果能与组织内部的规章制度相一致，并且由管理部门统一实施访问控制，不允许用户自主地处理。而强制访问控制模型(Mandatory Access Control)则是根据客体的敏感级和主体的许可级来限制主体对客体的访问，多用于多级军用系统。Bell-Iapadula使用主体，客体，访问操作(读，写，读/写)以及安全级别这些概念，当主体和客体位于不同的安全级别时，主体对客体就存在一定的访问限制。实现该模型后，它能保证信息不被非授权主体所访问。Biki模型是在Bell-lapadula模型之后开发的，它跟Bell-lapadula模型很相似， 被用于解决应用程序数据的完整性问题。Bell-lapadula使用安全级别(绝密，机密，秘密等)，这些安全级别用于保证敏感信息只被授权的个体所访问，而Bib模型不关心信息保密性的安全级别，因此它的访问控制不是建立在安全级别上，而是建立在完整性级别上。面对当前的应用安全问题，上述访问控制模型并不能针对应用的安全性进行有效的解决，比如基于角色的访问控制(Role-Based Access Control )，主要关注的是系统不同角色的权力、责任分离；自主访问控制(Discretionary Access Control)主体对它所属的对象和运行的程序拥有全部的控制权，当前主流的操作系统默认提供的就是这个访问控制模型，安全性很差。
技术实现思路
为了解决现有技术存在的不足，本专利技术提供一种基于域的访问控制Domain-Based Access Control, DBAC)方法及系统，将各个应用划分到不同的域中，限制各应用对非本域数据的访问，对各应用进行隔离；在各应用域的内部设定应用对自身数据的访问权限，只赋予应用最小运行权限。为实现上述目的，本专利技术提供的基于域的访问控制方法，该方法包括以下步骤 1)按照用户对系统保护的需求，针对不同应用的域，设定访问权限列表，并在系统内各应用的主体与客体上，设定各应用的域标签，建立基于域的访问控制策略库；2)拦截系统中主体对客体的访问请求；3)对请求访问的主体进行域标签检测；4)判断是否允许当前操作，如果允许，则放行当前请求，反之拒绝请求。其中，所述步骤1)在客体上设定各应用的域标签，进一步包括设定该客体在当前域内的访问权限，同域主体只允许对该客体进行域内权限允许的操作。其中，所述步骤2)拦截访问请求采用的是Η00Κ系统调用表中，对客体操作的内核调用。其中，所述步骤3)对请求访问的主体进行域标签检测是指，利用拦截的访问请求的主体、客体去查询访问控制策略库的访问权限列表，找到后对主客体的标签进行比较。其中，所述步骤4)进一步包括以下步骤 如果判断请求客体没有域标签，则允许当前操作； 如果判断主、客体的域标签不同，则拒绝当前操作；如果判断主、客体的域标签相同，而且具体操作行为在域内允许权限内，则允许当前操作；否则拒绝当前操作。为实现上述目的，本专利技术还提供了一种基于域的访问控制系统，包括拦截过滤模块、访问控制判断模块、域信息库模块，以及域信息管理模块，其特征在于，所述拦截过滤模块，连接所述访问控制判断模块，用于拦截、过滤系统中应用程序对数据的访问请求；所述访问控制判断模块，分别所述连接拦截过滤模块、所述域信息库模块，用于判断主客体域标签是否相同，并确定访问行为是否被允许；所述域信息库模块，分别连接所述访问控制判断模块和所述域信息管理模块，用于保存访问控制策略库信息；所述域信息管理模块，分别连接所述域信息库模块和所述安全日志查询模块，用于修改访问控制策略库信息。其中，所述访问控制系统还包括安全日志查询模块，所述安全日志查询模块，分别连接所述访问控制判断模块和所述域信息管理模块，用于存储违反访问控制策略的危险操作信息。本专利技术的基于域的访问控制方法及系统，针对应用安全当前存在的问题，通过域将各个应用隔离，为每个应用建立一个虚拟的安全运行环境，使各应用互不影响。即使某个应用出现漏洞，也会将其危害限制在其自己的域中，不会危害操作系统及其它应用；在各域内部，通过设定各客体的访问权限，向应用的主体只提供正常运行所需要的最小权限，即使应用出现漏洞，也无法执行正常行为以外的恶意操作；针对应用系统有很强的适用性和易用性。本专利技术的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本专利技术而了解。附图说明附图用来提供对本专利技术的进一步理解，并且构成说明书的一部分，并与本专利技术的内容和实施例一起，用于解释本专利技术，并不构成对本专利技术的限制。在附图中 图1为根据本专利技术的基于域的访问控制方法流程图； 图2为根据本专利技术的基于域的访问控制系统原理框图。具体实施例方式以下结合附图对本专利技术的优选实施例进行说明，应当理解，此处所描述的实施例仅用于说明和解释本专利技术，并不用于限定本专利技术。图1为根据本专利技术的基于域的访问控制方法流程图，下面将参考图1，对本专利技术的基于域的访问控制方法进行详细描述首先，在步骤101，按照用户对系统保护的需求，建立一个DBAC策略库，安全管理员定义一系列针对不同应用的域，设定访问权限列表，然后在系统内各应用的主体与客体上，设定各应用的域标签，建立基于域的访问控制策略库；当给客体设定域标签时，还可设定此客体在当前域内的访问权限，同域主体只允许对此客体进行域内权限允诉的操作。设ID = Domain =域，一个应用的运行环境；IS = Subject =系统内的主体(操作发起者)；10= Object =系统内的客体(操作目标)；IP = Permissions =操作权限(S对0可以进行那些操作)；IA = Action =在一个操作中S对0的具体操作行为。创建一个用于保护web应用的域，域名称为web_d，将apache web server的主进程添加到域web_d中，再将apache web server需要访问的数据添加到web_d域中，并设置合理的访问权限。设置如下访问权限web客体为web的网页文件；访问权限为r当配置完以上基于域的访问控制(DBAC)域后，httpd进程将对web的网页文件只读，而其它主体将不能访问网页文件。在步骤102，系统内的主体向客体发送包含具体操作行为的访问请求，该操作行为表示为Al:Sl -&本文档来自技高网...

【技术保护点】

【技术特征摘要】

【专利技术属性】
技术研发人员：艾奇伟，
申请(专利权)人：北京诺思恒信科技有限公司，
类型：发明
国别省市：