[發(fā)明專利]一種容器環(huán)境下的文件防篡改方法及裝置

在審

• 申請?zhí)枺?/td>: 202110873872.9
• 申請日: 2021-07-30
• 公開（公告）號: CN113590264A
• 公開（公告）日: 2021-11-02
• 發(fā)明（設(shè)計(jì)）人: 譚皇;李明;樊宇;何坤;葉曉虎
• 申請（專利權(quán)）人: 綠盟科技集團(tuán)股份有限公司;北京神州綠盟科技有限公司;神州綠盟成都科技有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/62
• 代理公司: 北京同達(dá)信恒知識產(chǎn)權(quán)代理有限公司 11291
• 代理人: 李海波

1.一種容器環(huán)境下的文件防篡改方法，其特征在于，包括：

獲取進(jìn)程發(fā)起的文件修改請求，其中，所述文件修改請求中至少包括所述進(jìn)程的名字空間信息和待修改文件對應(yīng)的文件名或文件路徑信息；

根據(jù)所述名字空間信息、預(yù)設(shè)的容器實(shí)例標(biāo)識計(jì)算算法，以及各名字空間信息與容器實(shí)例標(biāo)識之間的對應(yīng)關(guān)系，計(jì)算所述進(jìn)程所屬的容器實(shí)例對應(yīng)的容器實(shí)例標(biāo)識，其中，宿主機(jī)內(nèi)核管理各容器實(shí)例標(biāo)識，每一個(gè)容器實(shí)例標(biāo)識對應(yīng)于一種預(yù)先配置的文件防護(hù)策略；

根據(jù)所述容器實(shí)例標(biāo)識，查找到所述容器實(shí)例對應(yīng)的文件防護(hù)策略，其中，所述文件防護(hù)策略中至少包括各防護(hù)目錄或具體的防護(hù)文件路徑和對應(yīng)的訪問權(quán)限；

根據(jù)所述文件防護(hù)策略和所述文件路徑，確定是否阻止所述進(jìn)程對所述待修改文件進(jìn)行修改。

2.如權(quán)利要求1所述的方法，其特征在于，獲取進(jìn)程發(fā)起的文件修改請求之前，進(jìn)一步包括：

獲取防護(hù)策略配置請求，其中，所述防護(hù)策略配置請求中至少包括配置服務(wù)進(jìn)程對應(yīng)的名字空間信息，防護(hù)目錄或具體的防護(hù)文件路徑，以及所述各文件的訪問權(quán)限；

根據(jù)所述配置服務(wù)進(jìn)程對應(yīng)的名字空間信息，計(jì)算所述配置服務(wù)進(jìn)程所屬的容器實(shí)例標(biāo)識；

針對具體的容器實(shí)例，從宿主機(jī)內(nèi)核管理的容器實(shí)例防護(hù)信息表中分配一個(gè)空白防護(hù)信息項(xiàng)，將當(dāng)前容器實(shí)例標(biāo)識及配置請求中攜帶的每個(gè)防護(hù)策略信息字段填充到該新分配的防護(hù)信息項(xiàng)對應(yīng)的內(nèi)容字段中。

3.如權(quán)利要求1所述的方法，其特征在于，若所述文件防護(hù)策略中至少包括待防護(hù)列表，則根據(jù)所述文件防護(hù)策略和所述文件路徑，確定是否阻止所述進(jìn)程對所述待修改文件進(jìn)行修改，具體包括：

判斷所述文件路徑是否包含在所述待防護(hù)列表中，其中，所述待防護(hù)列表中至少包括容器實(shí)例中的防護(hù)目錄或具體防護(hù)文件對應(yīng)的路徑，所述待防護(hù)列表用于確定待修改文件是否處于防護(hù)狀態(tài)；

若確定所述文件路徑包含在所述待防護(hù)列表中，則確定阻止所述進(jìn)程對所述待修改文件進(jìn)行修改；

若確定所述文件路徑未包含在所述待防護(hù)列表中，則確定所述待修改文件未處于防護(hù)狀態(tài)，允許所述進(jìn)程對所述待修改文件進(jìn)行修改。

4.如權(quán)利要求3所述的方法，其特征在于，若所述文件防護(hù)策略中還包括排除列表，則確定所述文件路徑包含在所述待防護(hù)列表中之后，進(jìn)一步包括：

判斷所述文件路徑是否包含在所述排除列表中，其中，所述排除列表中至少包括容器實(shí)例中排除防護(hù)的目錄或具體文件對應(yīng)的路徑，所述排除列表用于確定待修改文件是否處于排除防護(hù)狀態(tài)；

若確定所述文件路徑包含在所述排除列表中，則確定所述待修改文件處于排除防護(hù)狀態(tài)，允許所述進(jìn)程對所述待修改文件進(jìn)行修改；

若確定所述文件路徑未包含在所述排除列表中，則確定阻止所述進(jìn)程對所述待修改文件進(jìn)行修改。

5.如權(quán)利要求4所述的方法，其特征在于，若所述文件防護(hù)策略中還包括進(jìn)程信任列表，則確定所述文件路徑未包含在所述排除列表中之后，進(jìn)一步包括：

判斷所述文件修改請求中攜帶的進(jìn)程名稱是否包含在所述進(jìn)程信任列表中，其中，所述進(jìn)程信任列表中至少包括容器實(shí)例中的處于可信任狀態(tài)的各進(jìn)程，所述進(jìn)程信任列表用于確定進(jìn)程是否處于可信任狀態(tài)；

若確定所述進(jìn)程名稱包含在所述進(jìn)程信任列表中，則確定允許所述進(jìn)程對所述待修改文件進(jìn)行修改；

若確定所述進(jìn)程名稱未包含在所述進(jìn)程信任列表中，則確定阻止所述進(jìn)程對所述待修改文件進(jìn)行修改。

6.如權(quán)利要求1-5任一項(xiàng)所述的方法，其特征在于，所述名字空間信息至少包括以下一種：進(jìn)程間通信名字空間、網(wǎng)絡(luò)名字空間、文件系統(tǒng)掛載名字空間、進(jìn)程編號名字空間、用戶名字空間、主機(jī)名名字空間。