[發(fā)明專利]一種基于可信操作系統(tǒng)的應(yīng)用隔離方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010550458.X
• 申請日: 2020-06-16
• 公開（公告）號: CN111709023B
• 公開（公告）日: 2023-04-28
• 發(fā)明（設(shè)計）人: 王志皓;趙保華;高昆侖;梁瀟;安寧鈺;任春卉;王樹才
• 申請（專利權(quán)）人: 全球能源互聯(lián)網(wǎng)研究院有限公司;國家電網(wǎng)有限公司;國網(wǎng)山東省電力公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/57
• 代理公司: 北京三聚陽光知識產(chǎn)權(quán)代理有限公司 11250
• 代理人: 胡曉靜

本發(fā)明公開了一種基于可信操作系統(tǒng)的應(yīng)用隔離方法及系統(tǒng)，該方法通過獲取各應(yīng)用進程的運行需求；根據(jù)運行需求將操作系統(tǒng)的內(nèi)核資源的存儲空間劃分為公共資源域和多個應(yīng)用業(yè)務(wù)域，應(yīng)用業(yè)務(wù)域與應(yīng)用進程一一對應(yīng)，每個應(yīng)用業(yè)務(wù)域包括應(yīng)用進程及應(yīng)用進程運行所需的程序文件、數(shù)據(jù)文件和配置文件；根據(jù)預(yù)設(shè)訪問策略建立各應(yīng)用業(yè)務(wù)域之間的訪問關(guān)系；根據(jù)預(yù)設(shè)容器配置策略建立各應(yīng)用業(yè)務(wù)域的容器模板。通過實施本發(fā)明，建立各應(yīng)用業(yè)務(wù)域的容器模板以及各應(yīng)用業(yè)務(wù)域之間的訪問關(guān)系，提高了應(yīng)用運行效率，避免了沙箱完全斬斷應(yīng)用之間的聯(lián)系而導(dǎo)致業(yè)務(wù)連續(xù)性遭到破壞。

技術(shù)領(lǐng)域

本發(fā)明涉及操作系統(tǒng)安全技術(shù)領(lǐng)域，具體涉及一種基于可信操作系統(tǒng)的應(yīng)用隔離方法及系統(tǒng)。

背景技術(shù)

隨著信息技術(shù)的發(fā)展，計算機系統(tǒng)所處的環(huán)境進一步復(fù)雜化和多樣化，傳統(tǒng)的基于軟件的安全解決方案(如防火墻、入侵檢測、防病毒)，往往很難抵擋住黑客，病毒，內(nèi)部竊密者的侵襲。針對這些問題，為了增強計算機平臺的內(nèi)部免疫力，近年來以可信平臺模塊為核心的可信計算平臺技術(shù)迅速發(fā)展，可信計算提供了基于可信硬件提供的可信度量、可信證明、可信封裝等安全功能，保證了平臺的完整性、機密性和可用性。由國際大型IT公司(如Intel，IBM，Microsoft等)組成的可信計算組織(TCG)自成立以來，一直致力于可信計算的規(guī)范化和應(yīng)用的推廣，提出了面向多個分布式環(huán)境的基于可信平臺的解決方案，極大地擴展了可信計算技術(shù)的應(yīng)用范圍，同時諸多科研機構(gòu)和學(xué)術(shù)機構(gòu)也將可信計算作為重點研究課題，可信計算已經(jīng)成為信息安全中最熱門的技術(shù)之一。

另一方面，應(yīng)用的復(fù)雜性對于可信操作系統(tǒng)的性能和功能有了更高的要求，傳統(tǒng)的應(yīng)用隔離機制將應(yīng)用業(yè)務(wù)域完全隔離，這種完全隔離機制雖然保障了運行環(huán)境的安全，但是破壞了業(yè)務(wù)運行的連續(xù)性。并且在運行過程中可信操作系統(tǒng)需對多種業(yè)務(wù)甄別提取，降低了應(yīng)用運行效率。

發(fā)明內(nèi)容

因此，本發(fā)明要解決的技術(shù)問題在于克服現(xiàn)有技術(shù)中無法完整運行業(yè)務(wù)且應(yīng)用運行效率低的缺陷，從而提供一種基于可信操作系統(tǒng)的應(yīng)用隔離方法及系統(tǒng)。

為達到上述目的，本發(fā)明提供如下技術(shù)方案：

本發(fā)明實施例提供一種基于可信操作系統(tǒng)的應(yīng)用隔離方法，包括：獲取各應(yīng)用進程的運行需求；根據(jù)所述運行需求將操作系統(tǒng)的內(nèi)核資源的存儲空間劃分為公共資源域和多個私有的應(yīng)用業(yè)務(wù)域，所述應(yīng)用業(yè)務(wù)域與所述應(yīng)用進程一一對應(yīng)，每個應(yīng)用業(yè)務(wù)域包括所述應(yīng)用進程及所述應(yīng)用進程運行所需的程序文件、數(shù)據(jù)文件和配置文件；根據(jù)預(yù)設(shè)訪問策略建立各所述應(yīng)用業(yè)務(wù)域之間的訪問關(guān)系；根據(jù)預(yù)設(shè)容器配置策略建立各所述應(yīng)用業(yè)務(wù)域的容器模板。

在一實施例中，建立所述預(yù)設(shè)訪問策略，包括：獲取待執(zhí)行業(yè)務(wù)的業(yè)務(wù)需求；根據(jù)所述業(yè)務(wù)需求確定所述待執(zhí)行業(yè)務(wù)需要執(zhí)行的各所述應(yīng)用進程及各所述應(yīng)用進程對應(yīng)的應(yīng)用業(yè)務(wù)域之間的訪問需求；根據(jù)所述訪問需求生成所述預(yù)設(shè)訪問策略。

在一實施例中，建立所述預(yù)設(shè)容器配置策略，包括：獲取待執(zhí)行業(yè)務(wù)的業(yè)務(wù)需求；根據(jù)所述業(yè)務(wù)需求確定所述待執(zhí)行業(yè)務(wù)需要執(zhí)行的各所述應(yīng)用進程，及各所述應(yīng)用進程對應(yīng)的應(yīng)用業(yè)務(wù)域之間的運行關(guān)系；根據(jù)所述運行關(guān)系生成所述預(yù)設(shè)容器配置策略。

在一實施例中，基于可信操作系統(tǒng)的應(yīng)用隔離方法，還包括：監(jiān)測各所述應(yīng)用業(yè)務(wù)域之間的訪問關(guān)系狀態(tài)和/或容器配置狀態(tài)；當(dāng)所述訪問關(guān)系狀態(tài)和/或所述容器配置狀態(tài)發(fā)生變化時，生成狀態(tài)變化結(jié)果。

在一實施例中，基于可信操作系統(tǒng)的應(yīng)用隔離方法，還包括：將所述訪問關(guān)系狀態(tài)與預(yù)設(shè)應(yīng)用隔離基準進行比較，和/或?qū)⑺鋈萜髋渲脿顟B(tài)與預(yù)設(shè)容器配置基準進行比較，生成比較結(jié)果。

在一實施例中，基于可信操作系統(tǒng)的應(yīng)用隔離方法，還包括：根據(jù)所述比較結(jié)果調(diào)整所述預(yù)設(shè)訪問策略和/或所述預(yù)設(shè)容器配置策略。

在一實施例中，基于可信操作系統(tǒng)的應(yīng)用隔離方法，還包括：根據(jù)所述比較結(jié)果取消各所述應(yīng)用業(yè)務(wù)域之間的訪問關(guān)系和/或各所述應(yīng)用業(yè)務(wù)域的容器配置。