[發明專利]專用強制訪問控制方法、系統、電子設備及存儲介質

有效

• 申請號: 202011563015.0
• 申請日: 2020-12-25
• 公開（公告）號: CN112685729B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 孟丹;于愛民;肖麗芳;馬建剛;蔡利君;劉濕潤;白鑫
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/45
• 分類號: G06F21/45
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王宇楊

1.一種專用強制訪問控制方法，其特征在于，基于SELinux強制訪問控制策略規則，包括：

導入專用訪問控制的判定依據和根據用戶、軟件、資源三層聯動協同的專用訪問控制邏輯對訪問請求進行判定；

其中，所述根據用戶、軟件、資源三層聯動協同的專用訪問控制邏輯對訪問請求進行判定包括：

接收訪問請求；

獲取所述訪問請求處理過程中主體和客體的安全上下文信息；

從用戶執行軟件層面、軟件訪問資源層面以及用戶訪問資源層面，分別對所述訪問請求進行判定，得到各個層面判定結果；

根據所述各個層面的判定結果，得到專用訪問控制的判定結果；

所述從用戶執行軟件層面，對訪問控制請求進行判定，包括：

基于所述判定依據中用戶與軟件的關系文件、所述安全上下文信息中主體的角色字段和客體的類型字段，判斷用戶對軟件的執行權限與執行方式，得到用戶執行軟件層面的判定結果。

2.根據權利要求1所述的專用強制訪問控制方法，其特征在于，所述判定依據中用戶與軟件的關系文件中包括：

各個軟件所要求的操作權限；以及

用戶執行軟件時安全上下文信息的強制類型轉換和保留用戶類型。

3.根據權利要求1所述的專用強制訪問控制方法，其特征在于，從軟件訪問資源層面，對訪問控制請求進行判定，包括：

基于所述判定依據中可信軟件與敏感資源文件、所述安全上下文信息中主體的類型字段和客體的類型字段，對軟件是否有權訪問資源進行判斷，得到軟件訪問資源層面的判定結果。

4.根據權利要求3所述的專用強制訪問控制方法，其特征在于，所述判定依據中可信軟件與敏感資源文件中包括：

基于系統的安全性因素對各個資源的保護情況；其中將資源分為普通資源和敏感資源；

對各個軟件的操作請求的授權情況；其中將軟件分為可信軟件和普通軟件，采用最小授權原則對可信軟件訪問敏感資源進行授權。

5.根據權利要求1所述的專用強制訪問控制方法，其特征在于，從用戶訪問資源層面，對訪問控制請求進行判定，包括：

基于所述判定依據中用戶及其私有數據文件、所述安全上下文信息中主體的角色字段和客體的類型字段，對用戶是否有權訪問資源進行判斷，得到用戶訪問資源層面的判定結果。

6.根據權利要求5所述的專用強制訪問控制方法，其特征在于，所述判定依據中用戶及其私有數據文件中包括：

對用戶訪問資源的授權情況；其中將僅授權所述用戶訪問的資源定義為所述用戶的私有數據。

7.一種專用強制訪問控制系統，其特征在于，包括：

位于內核層的訪問控制管理模塊，用于根據用戶、軟件、資源三層聯動協同的專用訪問控制邏輯對訪問請求進行判定；

位于應用層的數據導入模塊，用于系統初始化過程中導入專用訪問控制的判定依據；

位于應用層的彈框提示模塊，用于記錄和/或提示拒絕訪問控制請求的多種違規操作的信息，當系統中重復出現同一違規操作時只彈框提示一次；當同一時刻出現多條違規操作時，只對第一條違規操作彈框；

其中，所述根據用戶、軟件、資源三層聯動協同的專用訪問控制邏輯對訪問請求進行判定包括：

接收訪問請求；

獲取所述訪問請求處理過程中主體和客體的安全上下文信息；

從用戶執行軟件層面、軟件訪問資源層面以及用戶訪問資源層面，分別對所述訪問請求進行判定，得到各個層面判定結果；

根據所述各個層面的判定結果，得到專用訪問控制的判定結果；

所述從用戶執行軟件層面，對訪問控制請求進行判定，包括：

基于所述判定依據中用戶與軟件的關系文件、所述安全上下文信息中主體的角色字段和客體的類型字段，判斷用戶對軟件的執行權限與執行方式，得到用戶執行軟件層面的判定結果。

8.一種電子設備，包括存儲器、處理器及存儲在所述存儲器上并可在所述處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現根據權利要求1至6任一項所述的專用強制訪問控制方法的步驟。

9.一種非暫態計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，所述計算機程序被處理器執行時實現根據權利要求1至6任一項所述的專用強制訪問控制方法的步驟。