[發明專利]一種虛擬環境下的強制訪問控制方法

在審

• 申請號: 201610025141.8
• 申請日: 2016-01-15
• 公開（公告）號: CN105678176A
• 公開（公告）日: 2016-06-15
• 發明（設計）人: 劉毅;錢春虎;吳崢;肖霄;李淵;周潔
• 申請（專利權）人: 瑞達信息安全產業股份有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60
• 代理公司: 武漢凌達知識產權事務所(特殊普通合伙) 42221
• 代理人: 劉念濤;宋國榮

1.一種虛擬環境下的強制訪問控制方法，其特征在于：包括以下步驟

a)、在Xen虛擬機系統中設置一臺權限較高的虛擬機作為可信虛擬機來管理其它的虛 擬機，以該可信虛擬機為根，以其它虛擬機作為子節點建立層次關系；

b)、可信虛擬機采用敏感標簽對單個的虛擬機進行標識，所述的敏感標簽包括安全密 級、完整級以及安全范疇；

c)、通過可信虛擬機建立訪問矩陣文件，該矩陣文件中的數據在虛擬機監控器啟動的 時候被加載到其內部，訪問矩陣文件中有每個虛擬機對其它的虛擬機訪問類型的集合，所 述的訪問類型包括讀寫、只讀以及只寫；

d)、當某一臺虛擬機啟動的時候將它的敏感標簽和ID號作為參數傳到虛擬機監控器內 部，在虛擬機監控器內部將這些信息記錄下來，并且為這個虛擬機建立一個當前訪問集合 B，該集合用來記錄這個虛擬機作為主體時所有當前以某一種類型對作為客體的虛擬機的 訪問信息；

e)、當作為主體的虛擬機訪問作為客體的虛擬機時，需要按照虛擬環境下BLP改進模型 的安全策略來判斷，如果符合安全策略，則允許訪問，如果不符合，則拒絕訪問；

f)、如果步驟e)中允許作為主體的虛擬機對作為客體的虛擬機進行訪問，那么在作為 主體的虛擬機的當前訪問集合B中將這次的訪問記錄加入進去，當作為主體的虛擬機對作 為客體的虛擬機的這次訪問結束時，從當前訪問集合B中將這次記錄刪除。

2.根據權利要求1所述的一種虛擬環境下的強制訪問控制方法，其特征在于，所述步驟 b)中的安全密級由2位二進制數來表示，其集合定義為

C＝{C₁,C₂,C₃,C₄}，其中，C₁＞C₂＞C₃＞C₄。

3.根據權利要求1所述的一種虛擬環境下的強制訪問控制方法，其特征在于，所述步驟 b)中的完整級由2位二進制數來表示，其集合定義為

C′＝{C₁,C₂,C₃,C₄}，其中，C₁＞C₂＞C₃＞C₄。

4.根據權利要求1所述的一種虛擬環境下的強制訪問控制方法，其特征在于，所述步驟 b)中的安全范疇由8位二進制表示，定義K＝{K₁,K₂,…,K₈}的任何一個子集為一個保密范 疇，表示保密范疇的8位二進制位分別表示是否有特定的訪問權限K₁，K₂…K₈。

5.根據權利要求1所述的一種虛擬環境下的強制訪問控制方法，其特征在于，所述步驟 c)中的矩陣文件以一維有序數組的形式存在，數組元素用五元組表示：SID用來標識主體， 表示主體的ID號，用10位2進制數表示；OID用來標識客體，表示客體的ID號，用10為2進制數 表示；W表示讀寫，用1位二進制數表示，W設置為1時，表示主體對客體有讀寫的屬性，設置為 0時表示沒有；R表示只讀，用1位2進制數表示；A表示只寫，用1位2進制數表示；同一個虛擬 機SID與OID是相等的。

6.根據權利要求5所述的一種虛擬環境下的強制訪問控制方法，其特征在于，所述步驟 d)中的當前訪問集合B中的元素為(OID,X),OID表示作為客體的虛擬機的ID號，X∈{r,a, w}。