一种基于强制访问控制的策略容器设计方法
【技术领域】
[0001]本发明公开一种策略容器设计方法，属于信息安全技术领域，具体地说是一种基于强制访问控制的策略容器设计方法。
【背景技术】
[0002]目前，制约电子政务、电子商务、云服务等全面普及应用的主要因素之一就是计算机系统和网络安全，随着Internet越来越多地融入到社会的各个方面，出于各种目的的网络入侵和攻击越来越频繁。普遍采取的信息安全机制包括防火墙、入侵检测、漏洞扫描、身份认证、加密和防病毒等。但尽管采用了上述防护手段，依然无法保障目前的信息安全，例如国家保密局数字表明，防火墙的攻破率高达47%。网络系统遭受入侵和攻击，不仅造成巨大的经济损失，严重地甚至会危及国家的安全和社会的稳定。而且，随着网络攻击方式和黑客技术的不断提高，网络攻击与病毒结合的趋向明显，对安全措施的提高与丰富提出了更高更多的要求。面对新型网络攻击手段的出现和数据中心高安全等级的安全性需求，本发明提出一种基于强制访问控制的策略容器设计方法，利用强制访问控制技术构建一个容器，通过配置策略构建一个安全域，使得域内的受保护进程运行时不受域外的进程攻击，同时它也不能攻击域外的进程或操作系统的运行及安全，起到安全隔离的作用，以抵御针对服务器操作系统的APT攻击，以及其他恶意软件、Rootkit攻击和类似恶意活动。
[0003]本发明中提及的强制访问控制，其中主体通常指用户，或代表用户意图运行进程或设备。主体有时也会成为访问或受控的对象，如一个主体可以向另一个主体授权，一个进程可能控制几个子进程等情况，这时受控的主体或子进程也是一种客体。
[0004]强制访问控制(Mandatory Access Control--MAC)，用于将系统中的信息分密级和类进行管理，以保证每个用户只能访问到那些被标明可以由他访问的信息的一种访问约束机制。通俗的来说，在强制访问控制下，用户(或其他主体)与文件(或其他客体)都被标记了固定的安全属性，如安全级、访问权限等，在每次访问发生时，系统检测安全属性以便确定一个用户是否有权访问该文件。其中多级安全(MultiLevel Secure, MLS)就是一种强制访问控制策略。
【发明内容】
[0005]本发明针对新型网络攻击手段的出现和数据中心高安全等级的安全性需求的问题，提供一种基于强制访问控制的策略容器设计方法，利用强制访问控制技术构建一个容器，通过配置策略构建一个安全域，建立以抵御针对服务器操作系统的APT攻击，以及其他恶意软件、Rootkit攻击和类似恶意活动。
[0006]本发明提出的具体方案是:
一种基于强制访问控制的策略容器设计方法，具体步骤为:
①用户操作创建安全容器，填写容器名称及容器信息，容器内尚未配置策略；
②用户选择放入容器的应用程序和程序要访问的文件，容器系统自动分析应用程序访问其需要的文件，并设置容器入口，在容器入口任意进程具有读、执行权限，设置系统库支持容器内应用程序运行，则设置支持通配符，对系统的文件具有只读权限，保证程序正常运行，并根据分析结果配置应用程序目录及对文件的访问权限，从而自动生成主客体容器策略，当访问容器时，只有满足规定的策略才能访问容器里的客体，否则被拒绝，同时容器里的客体也被限制对外面的资源；
③用户初始化容器，自动加载安全策略，构建安全域，即开始构建容器相关配置，当容器启动时，默认应用程序将被容器启动；
④用户启用容器，容器策略生效，同时启动容器中的默认应用程序，策略容器生成并实现安全隔离的目的。
[0007]所述的步骤②中分析结果配置应用程序对文件的访问权限包括读、写、执行、删除的权限。
[0008]一种基于强制访问控制的策略容器设计方法，具体步骤为:
①用户操作创建apache安全容器，填写容器名称及容器信息，apache容器内尚未配置策略；
②用户选择放入容器的应用程序和程序要访问的文件，容器系统自动分析应用程序访问其需要的文件，并设置容器入口，在容器入口任意进程具有读、执行权限，设置系统库支持容器内应用程序运行，则设置支持通配符，对系统的文件具有只读权限，保证程序正常运行，并根据分析结果配置应用程序目录及对文件的访问权限，从而自动生成主客体容器策略，当访问容器时，只有满足规定的策略才能访问容器里的客体，否则被拒绝，同时容器里的客体也被限制对外面的资源；
③用户初始化容器，自动加载安全策略，构建安全域，即开始构建容器相关配置，当容器启动时，默认应用程序将被容器启动；
④用户启用容器，容器策略生效，同时启动容器中的默认应用程序，策略容器生成并实现安全隔离的目的。
[0009]所述的步骤②中根据分析结果配置两个目录/usr/local/apache和/var/www，及其对文件的访问权限包括读、写、执行、删除的权限。
[0010]所述的步骤②中配置/etc/init.d/httpd为容器入口，在容器入口任意进程具有读、执行权限。
[0011]所述的步骤②中容器策略为:
主体策略是:/usr/local/apache
/var/www
/etc/init.d/httpd客体策略是:/usr/local/apache/var/www
/etc/init.d/httpd ；
最终形成的apache容器的后台策略为:
主体策略是:/usr/local/apache /var/www
/etc/init.d/httpd 客体策略是:/usr/local/apache读、写、执行、删除 /var/www读
/etc/init.d/httpd读、写、执行、任意进程
*读
即当访问apache时，只有满足以上规定的策略才能访问容器里的客体，否则被拒绝，同时容器里的客体也被限制对外面的资源。
[0012]本发明的有益之处是:本发明利用强制访问控制技术构建一个容器，通过配置策略构建一个安全域，使得域内的受保护进程运行时不受域外的进程攻击，同时它也不能攻击域外的进程或操作系统的运行及安全，起到安全隔离的作用，以抵御针对服务器操作系统的APT攻击，以及其他恶意软件、Rootkit攻击和类似恶意活动，实现满足面对新型网络攻击手段的出现和数据中心高安全等级的安全性需求的要求。
【具体实施方式】