[發明專利]虛擬域內訪問控制系統的保護系統

有效

• 申請號: 201110423115.8
• 申請日: 2011-12-16
• 公開（公告）號: CN102521547A
• 公開（公告）日: 2012-06-27
• 發明（設計）人: 金海;鄒德清;楊凱;段培;胡剛;項國富;陳剛;代煒琦
• 申請（專利權）人: 華中科技大學
• 主分類號: G06F21/20
• 分類號: G06F21/20;G06F9/455
• 代理公司: 華中科技大學專利中心 42201
• 代理人: 朱仁玲

技術領域

本發明屬于計算機資源虛擬化和計算機系統安全領域，具體涉及一種虛擬域內訪問控制系統的保護系統。

背景技術

強制訪問控制(Mandatory?Access?control，簡稱MAC)是一種有效防止計算機系統遭受攻擊的方法。MAC能夠防止惡意用戶或模仿合法用戶操作的惡意代碼濫用資源，這是因為MAC訪問規則只能被系統管理員修改，惡意代碼沒有系統的許可是不能修改安全策略的。各種各樣的模式和系統已經應用于不同的操作系統，如SELinux，Trustees、安全性擴展的Linux(Security?Enhanced?Linux，簡稱SELinux)，是其中最具有代表性的，擁有一個靈活而強制性的訪問控制結構，能夠提高Linux系統的安全性，提供強健的安全保證，可防御未知攻擊。

然而，現有訪問控制系統存在不能保證自身安全性的問題。MAC系統運行在用戶模式或者內核模式。惡意程序(例如Rootkit等)往往運行在內核模式，不僅能夠看到所有的用戶程序的內存信息，還能夠繞過安全系統的檢查，還能使安全系統不能夠正常啟動。傳統的強制訪問控制系統存在不能有效地保證自身的安全性，這個問題在傳統架構下是無法解決的。

發明內容

本發明的目的在于提供一種虛擬域內訪問控制系統的保護系統，其能夠保護虛擬域內訪問控制系統，使其免于遭遇攻擊，提高虛擬域內訪問控制系統的安全性。

本發明是通過以下技術方案實現的：

一種虛擬域內訪問控制系統的保護系統，包括策略執行模塊、策略決策緩存模塊、策略服務器模塊和內存保護模塊，策略執行模塊用于攔截低級語義，將攔截的低級語義轉換為高級語義，將高級語義傳送到策略決策緩存模塊，并從策略決策緩存模塊獲取策略決策結果，策略決策緩存模塊用于從策略執行模塊接收高級語義，將高級語義傳送到策略服務器模塊，策略決策緩存模塊從策略服務器模塊獲取策略決策結果，將策略決策結果傳送到策略執行模塊，并對策略決策結果進行緩存，策略服務器模塊用于根據高級語義查找其安全策略庫，以生成策略決策結果，并將策略決策結果傳送到策略決策緩存模塊，內存保護模塊用于保護策略執行模塊和策略決策緩存模塊免受攻擊。

本發明的系統還包括調度管理模塊，用于在虛擬機啟動之前將安全策略加載到策略服務器模塊中，在虛擬機撤銷時將安全策略從策略服務器模塊刪除，并在虛擬機啟動時初始化并管理存儲于調度管理模塊中的內存保護列表。

內存保護模塊是通過內存保護列表中內存區域的寫權限來保護策略執行模塊和策略決策緩存模塊免受攻擊。

策略執行模塊包括操作攔截子模塊和操作解析子模塊，操作攔截子模塊用于攔截低級語義，操作解析子模塊用于將低級語義轉換為進程信息、文件操作信息和網絡鏈接信息等高級語義，將高級語義傳送到策略服務器模塊，并從策略決策緩存模塊獲取策略決策結果。

策略決策緩存模塊包括查詢子模塊、消息準備子模塊、消息子模塊、策略讀取子模塊、更新子模塊和緩沖子模塊，查詢子模塊用于根據查詢緩沖區模塊中是否存在高級語義，如果存在，則直接將策略決策結果返回給策略執行模塊，否則調用消息準備子模塊和消息子模塊從策略服務器模塊的安全策略庫獲取安全策略，消息準備子模塊用于在不存在高級語義時將高級語義寫入共享內存區域中，并調用消息發送消息子模塊通知策略服務器模塊來讀取共享內存區域中的高級語義，消息子模塊用于通知策略服務器模塊讀取共享內存區域中的高級語義，共享內存區域中，策略讀取子模塊用于讀取安全策略庫中的安全策略，并將安全策略傳遞給更新子模塊，更新子模塊用于刪除緩沖子模塊中最近最少使用的一條記錄，將新的記錄插入到緩沖子模塊中，以備下次查詢，并將策略決策結果返回給查詢子模塊，緩沖子模塊用于保存最近最多使用的策略決策結果。

策略服務器模塊包括通知子模塊、讀共享內存子模塊、策略決策子模塊、寫共享內存子模塊和策略庫，通知子模塊用于接收消息子模塊的通知消息，并調用讀共享內存子模塊讀取通知消息，并在寫共享內存子模塊向共享內存區域寫入策略決策結果后，通知策略決策緩存模塊取走策略決策結果，讀共享內存子模塊用于讀取高級語義共享內存區域中，并將高級語義傳送到策略決策子模塊，策略決策子模塊根據高級語義查詢安全策略庫以獲取相關的安全策略，根據安全策略得到策略決策結果，并將策略決策結果傳送到寫共享內存子模塊，寫共享內存子模塊用于將策略決策結果寫入共享內存區域中，安全策略庫用于存放安全策略。