[發明專利]虛擬域內訪問控制系統的保護系統

有效

• 申請號: 201110423115.8
• 申請日: 2011-12-16
• 公開（公告）號: CN102521547A
• 公開（公告）日: 2012-06-27
• 發明（設計）人: 金海;鄒德清;楊凱;段培;胡剛;項國富;陳剛;代煒琦
• 申請（專利權）人: 華中科技大學
• 主分類號: G06F21/20
• 分類號: G06F21/20;G06F9/455
• 代理公司: 華中科技大學專利中心 42201
• 代理人: 朱仁玲

1.一種虛擬域內訪問控制系統的保護系統，包括策略執行模塊(1)、策略決策緩存模塊(2)、策略服務器模塊(3)和內存保護模塊(5)，其特征在于，

所述策略執行模塊(1)用于攔截低級語義，將攔截的低級語義轉換為高級語義，將所述高級語義傳送到所述策略決策緩存模塊(2)，并從所述策略決策緩存模塊(2)獲取策略決策結果；

所述策略決策緩存模塊(2)用于從所述策略執行模塊(1)接收所述高級語義，將所述高級語義傳送到所述策略服務器模塊(3)，策略決策緩存模塊(2)從所述策略服務器模塊(3)獲取所述策略決策結果，將所述策略決策結果傳送到所述策略執行模塊(1)，并對所述策略決策結果進行緩存；

所述策略服務器模塊(3)用于根據所述高級語義查找其安全策略庫，以生成所述策略決策結果，并將所述策略決策結果傳送到所述策略決策緩存模塊(2)；

所述內存保護模塊(5)用于保護所述策略執行模塊(1)和所述策略決策緩存模塊(2)免受攻擊。

2.根據權利要求1所述的保護系統，其特征在于，

還包括調度管理模塊(4)，用于在虛擬機啟動之前將安全策略加載到所述策略服務器模塊(3)中，在所述虛擬機撤銷時將所述安全策略從所述策略服務器模塊(3)刪除，并在所述虛擬機啟動時初始化并管理存儲于所述調度管理模塊(4)中的內存保護列表。

3.根據權利要求2所述的保護系統，其特征在于：

所述內存保護模塊(5)是通過所述內存保護列表中內存區域的寫權限來保護所述策略執行模塊(1)和所述策略決策緩存模塊(2)免受攻擊。

4.根據權利要求1所述的保護系統，其特征在于：

所述策略執行模塊(1)包括操作攔截子模塊(11)和操作解析子模塊(12)；

所述操作攔截子模塊(11)用于攔截所述低級語義；

所述操作解析子模塊(12)用于將所述低級語義轉換為所述進程信息、文件操作信息和網絡鏈接信息等高級語義，將所述高級語義傳送到所述策略服務器模塊(3)，并從所述策略決策緩存模塊(2)獲取所述策略決策結果。

5.根據權利要求1所述的系統，其特征在于：

所述策略決策緩存模塊(2)包括查詢子模塊(21)、消息準備子模塊(22)、消息子模塊(23)、策略讀取子模塊(24)、更新子模塊(25)和緩沖子模塊(26)；

查詢子模塊(21)用于根據查詢所述緩沖區模塊(26)中是否存在所述高級語義，如果存在，則直接將所述策略決策結果返回給所述策略執行模塊(1)，否則調用所述消息準備子模塊(22)和所述消息子模塊(23)從所述策略服務器模塊(3)的安全策略庫獲取安全策略；

所述消息準備子模塊(22)用于在不存在所述高級語義時將所述高級語義寫入共享內存區域中，并調用所述消息發送消息子模塊(23)通知所述策略服務器模塊(3)來讀取所述共享內存區域中的高級語義；

所述消息子模塊(23)用于通知所述策略服務器模塊(3)讀取所述共享內存區域中的高級語義；共享內存區域中；

策略讀取子模塊(24)用于讀取所述安全策略庫中的安全策略，并將所述安全策略傳遞給所述更新子模塊(25)；

所述更新子模塊(25)用于刪除所述緩沖子模塊(26)中最近最少使用的一條記錄，將新的記錄插入到所述緩沖子模塊(26)中，以備下次查詢，并將所述策略決策結果返回給所述查詢子模塊(21)；

所述緩沖子模塊(26)用于保存最近最多使用的策略決策結果。