[發(fā)明專利]一種容器內(nèi)腳本執(zhí)行管控的方法、系統(tǒng)及介質(zhì)

在審

• 申請?zhí)枺?/td>: 202310028277.4
• 申請日: 2023-01-09
• 公開（公告）號: CN116126470A
• 公開（公告）日: 2023-05-16
• 發(fā)明（設(shè)計(jì)）人: 陳博翰;張洲;陳剛;王震;楊詔鈞
• 申請（專利權(quán)）人: 麒麟軟件有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 湖南兆弘專利事務(wù)所(普通合伙) 43008
• 代理人: 譚武藝

1.一種容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，包括：

S101，在容器內(nèi)創(chuàng)建腳本文件時(shí)，為腳本文件建立與創(chuàng)建腳本文件的父進(jìn)程的關(guān)聯(lián)；

S102，在監(jiān)測到容器內(nèi)的腳本文件被執(zhí)行時(shí)，判斷執(zhí)行該腳本文件的執(zhí)行程序?yàn)殛P(guān)聯(lián)的父進(jìn)程是否成立，若成立則允許該腳本文件被執(zhí)行，否則禁止該腳本文件被執(zhí)行。

2.根據(jù)權(quán)利要求1所述的容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，步驟S101中為腳本文件建立與創(chuàng)建腳本文件的父進(jìn)程的關(guān)聯(lián)時(shí)，父進(jìn)程的關(guān)聯(lián)信息是指父進(jìn)程的文件絕對路徑或者父進(jìn)程的文件絕對路徑的哈希值。

3.根據(jù)權(quán)利要求1所述的容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，步驟S101中為腳本文件建立與創(chuàng)建腳本文件的父進(jìn)程的關(guān)聯(lián)時(shí)，是指將父進(jìn)程的關(guān)聯(lián)信息記錄到腳本文件的擴(kuò)展屬性中以形成與創(chuàng)建腳本文件的父進(jìn)程的關(guān)聯(lián)。

4.根據(jù)權(quán)利要求3所述的容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，所述將父進(jìn)程的關(guān)聯(lián)信息記錄到腳本文件的擴(kuò)展屬性中是指將父進(jìn)程的身份信息記錄到腳本文件的擴(kuò)展屬性中，并為腳本文件添加不可執(zhí)行標(biāo)記。

5.根據(jù)權(quán)利要求4所述的容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，步驟S101之前還包括在拉取容器鏡像時(shí)為容器鏡像中的目錄和文件自動添加安全標(biāo)記的步驟，且自動添加安全標(biāo)記的類型包括：為腳本解釋器文件添加腳本解釋器標(biāo)記，為腳本解釋器以外的所有文件全部添加父進(jìn)程標(biāo)記。

6.根據(jù)權(quán)利要求5所述的容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，所述在拉取容器鏡像時(shí)為容器鏡像中的目錄和文件自動添加安全標(biāo)記的步驟是通過容器引擎在為容器拉取容器鏡像后，通過容器檢查函數(shù)獲取下載完成的鏡像的圖形驅(qū)動以獲取對應(yīng)的目錄，然后調(diào)用內(nèi)核中添加安全標(biāo)記的函數(shù)對獲取到的目錄遞歸添加上對應(yīng)的安全標(biāo)記。

7.根據(jù)權(quán)利要求6所述的容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，所述在拉取容器鏡像時(shí)為容器鏡像中的目錄和文件自動添加安全標(biāo)記的步驟之前，還包括安裝容器補(bǔ)丁對容器引擎進(jìn)行修改，使容器引擎增加在拉取容器鏡像時(shí)為容器鏡像中的目錄和文件自動添加安全標(biāo)記的功能。

8.根據(jù)權(quán)利要求5所述的容器內(nèi)腳本執(zhí)行管控的方法，其特征在于，步驟S102中在監(jiān)測到容器內(nèi)的腳本文件被執(zhí)行時(shí)的響應(yīng)處理包括：

S201，分別讀取該腳本文件以及該腳本文件的執(zhí)行程序的安全標(biāo)記；

S202，檢查該腳本文件的執(zhí)行程序的安全標(biāo)記的類型，若為腳本解釋器標(biāo)記，則跳轉(zhuǎn)步驟S203，若為父進(jìn)程標(biāo)記則跳轉(zhuǎn)步驟S204；

S203，檢查該腳本文件的安全標(biāo)記的類型，若為不可執(zhí)行標(biāo)記，則禁止該腳本文件被執(zhí)行；否則，否則允許該腳本文件被執(zhí)行，退出；

S204，檢查該腳本文件的安全標(biāo)記的類型，若為不可執(zhí)行標(biāo)記，則跳轉(zhuǎn)步驟S205；否則，否則允許該腳本文件被執(zhí)行，退出；

S205，檢查該腳本文件的安全標(biāo)記中所攜帶的父進(jìn)程的身份信息、執(zhí)行該腳本文件的執(zhí)行程序的身份信息兩者一致是否成立，若成立則允許該腳本文件被執(zhí)行，否則禁止該腳本文件被執(zhí)行。

9.一種容器內(nèi)腳本執(zhí)行管控的系統(tǒng)，包括相互連接的微處理器和存儲器，其特征在于，所述微處理器被編程或配置以執(zhí)行權(quán)利要求1～8中任意一項(xiàng)所述容器內(nèi)腳本執(zhí)行管控的方法。

10.一種計(jì)算機(jī)可讀存儲介質(zhì)，所述計(jì)算機(jī)可讀存儲介質(zhì)中存儲有計(jì)算機(jī)程序，其特征在于，所述計(jì)算機(jī)程序用于被微處理器編程或配置以執(zhí)行權(quán)利要求1～8中任意一項(xiàng)所述容器內(nèi)腳本執(zhí)行管控的方法。