本发明涉及信息安全技术领域，特别是涉及一种基于强制访问控制的文件权限管理方法及系统。
背景技术
ssr(serversecurityreinforcement，操作系统安全增强系统)是基于先进的rost(reinforcementoperatingsystemtechnique，强化操作系统技术)技术理论从系统底层对操作系统进行加固的安全解决方案，其主要原理是通过对文件、目录、进程、注册表和服务的强制访问控制，有效的制约和分散了原有系统管理员的权限，综合了对文件和服务的完整性检测、和防缓冲区溢出等功能，能够把普通的操作系统从体系上升级，使其符合国家信息安全等级保护服务器操作系统安全的三级标准，可以实时的把普通的服务器操作系统从体系上升级，具有三级的安全技术功能，从根本上免疫现有的各种针对操作系统的攻击行为，如：病毒，蠕虫，黑客攻击等。
现有技术中，ssr由客户端和管理平台两部分组成，客户端安装在需要防护的服务器上，然后从管理端对其进行防护策略的管理。强制访问控制是针对客户端下发防护策略，然后起到对应防护效果。
然而，策略下发后，所有的客户端用户对文件都拥有同一权限，不利于权限控制，影响了客户端安全性。
技术实现要素：
本发明实施例中提供了一种基于强制访问控制的文件权限管理方法，以解决现有技术中客户端安全性低的问题。
为了解决上述技术问题，本发明实施例公开了如下技术方案：
本发明第一方面提供了一种基于强制访问控制的文件权限管理方法，包括：
获取客户端id；
将防御策略发送给所述客户端id；
获取用户级别和待读取文件级别；
根据所述防御策略对所述用户级别和待读取文件级别进行权限甄别；
根据权限甄别结果进行相应操作。
优选地，确定所述防御策略具体包括：
获取文件信息和客户端用户信息；
根据所述文件信息设置文件保护规则；
根据所述客户端用户信息设置用户保护规则；
将所述文件保护规则以及用户保护规则打包为防御策略。
优选地，所述文件保护规则具体包括：
将文件级别划分为极高、高、中、低、极低五个等级；
获取待设置文件重要程度；
根据所述文件重要程度为待设置文件设置安全级别。
优选地，所述用户保护规则具体包括：
将用户级别划分为极高、高、中、低、极低五个等级；
获取客户端用户重要程度；
根据所述用户重要程度为用户设置安全级别。
优选地，所述防御策略发送给客户端后自动运行；所述防御策略的停止通过管理端控制。
优选地，根据所述防御策略对所述用户级别和待读取文件级别进行权限甄别具体包括：
判断所述用户级别是否等于所述文件级别；
如果是则为同级别权限，否则判断所述用户级别是否大于所述文件级别；
如果是则为高级别权限，否则为低级别权限。
优选地，同级别权限时，用户对文件拥有读写权限；
高级别权限时，用户对文件仅拥有读权限；
低级别权限时，用户对文件不拥有任何权限。
优选地，所述方法还包括：
获取用户权限请求；
根据所述用户权限请求设置文件更新保护规则；
将所述文件更新保护规则打包为防御策略发送给请求用户所在客户端。
优选地，所述方法还包括：将发送的防御策略保存在日志文件中。
优选地，所述防御策略对于每个客户端的每个用户具有唯一性。
本发明第二方面提供的一种基于强制访问控制的文件权限管理系统，包括：通信连接的管理端和客户端，所述管理端包括信息获取模块和策略设置发送模块，所述客户端包括信息接收模块、级别获取模块和判断控制模块，其中，所述信息获取模块用于获取客户端id和用户权限请求；策略设置发送模块用于设置并发送防御策略的策略设置发送模块；信息接收模块用于接受控制端发送的防御策略；所述级别获取模块用于获取用户级别和文件级别；所述判断控制模块用于对用户级别和文件级别进行权限判断并进行操作控制。
由以上技术方案可见，本发明中在ssr系统的管理端对文件以及用户的安全等级进行划分，并根据每个文件以及用户的重要程度分配具体的等级，打包为防御策略之后发送给客户端，防御策略发送到客户端之后会自动运行并不会随机器的开关机而停止，可以在没有进行修改或者停止的前提下持续运行，在用户对设置了安全等级的文件进行访问时，会对用户以及文件的安全等级进行匹配，按照安全等级进行相应的操作，提高了客户端的安全性。
附图说明
了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种基于强制访问控制的文件权限管理方法的流程示意图；
图2为本发明实施例提供的确定防御策略的方法的流程示意图；
图3为本发明实施例提供的另一种基于强制访问控制的文件权限管理方法的流程示意图；
图4为本发明实施例提供的又一种基于强制访问控制的文件权限管理方法的流程示意图；
图5为本发明实施例提供的一种基于强制访问控制的文件权限管理系统的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
参见图1，为本发明实施例提供的一种基于强制访问控制的文件权限管理方法的流程示意图，如图1所示，本发明实施例提供的基于强制访问控制的文件权限管理方法。包括：
s10：获取客户端id。
每个客户端上所登陆的用户以及保存的文件均不相同，为了确保管理端进行准确的控制需要获取准确的客户端id，通过客户端id下发响应防御策略。
s20：将防御策略发送给所述客户端id。
防御策略通过内核驱动由管理到下发到客户端，其中既包括对于用户的相关设置也包括对于文件的相关设置，其具体确定过程参见图2，为本发明实施例提供的确定防御策略的方法的流程示意图，如图2所示，确定防御策略的过程具体包括：
s21：获取文件信息和客户端用户信息。
因为防护策略中既包括对于用户的相关设置也包括对于文件的相关设置，因此在获取文件信息的的同时对客户端用户也进行获取，因为在客户端会保存有大量的文件，如果对于每个文件多进行权限设置将会耗费大量时间，且对于绝大多数文件不需要进行权限保护，因此在获取文件时只需要获取需要进行保护的文件即可，对于用户信息，因为一个客户端上可以设置多个用户名从而实现多种用户的登陆，例如管理员和游客，不用的用户在登陆之后对于客户端中文件的权限不同，因此，需要对客户端上设置的全部用户信息进行获取
s22：根据所述文件信息设置文件保护规则。
设置文件保护规则通过为不同重要程度的文件设置安全等级来实现的，在本发明实施例中，将将文件级别划分为极高、高、中、低、极低五个等级，根据每个文件重要程度为其设置响应的安全等级。
s23：根据所述客户端用户信息设置用户保护规则。
同样的，为了使用户等级与文件等级匹配，也将用户级别划分为极高、高、中、低、极低五个等级，根据每个用户在登陆时对重要文件的暴露程度，以及可能实用该用户的操作人员类别确定用户重要程度，根据用户的重要程度为用户设置安全级别，例如某客户端只设置有一个用户即管理员，则可以使用该管理员用户的操作人员必为内部人员，则可以将管理员用户安全等级设置为高或极高，对于非管理员以为的其他人员登录客户端时可以认为是游客，对于客户端内的文件基本不允许操作，则可以将游客用户的安全等级设置为低或极低。
s24：将所述文件保护规则以及用户保护规则打包为防御策略。
因为文件保护规则以及用户保护规则是在管理端设置的，鉴于管理端与客户端之间的文件交互特点以及只有两种保护规则均生效时候才可以执行本发明实施例，因此将文件保护规则以及用户保护规则一起打包成防御策略下发给客户端。
因为每个客户端上的文件和用户均不相同，因此在进行文件保护规则以及用户保护规则需要针对具体的客户端进行，打包后的防御策略也只能发送给该客户端，从而使防御策略对于每个客户端的每个用户具有唯一性，即一个防御策略只能对一个客户端生效。
防御策略在下发给客户端之后会自动运行，而且不会随客户端的开关机而关闭，如果需要停止防御策略的运行必须通过管理端下发响应关闭指令，因此在没有对客户端的防御策略进行修改或关闭前，防御策略会持续运行。
s30：获取用户级别和待读取文件级别。
防御策略运行期间，如果登陆客户端的用户想要读取某设置了防御策略的文件时，系统将会同时读取用户的安全等级以及待读取的文件的等级。
s40：根据所述防御策略对所述用户级别和待读取文件级别进行权限甄别。
用户安全等级和文件安全等级获取后需要对两者进行甄别，确定两者安全等级为防御策略中的哪种设置，然后执行步骤s50：根据权限甄别结果进行相应操作。
本发明实施例中对用户级别和待读取文件级别进行权限甄别的过程具体为：首先判断所述用户级别是否等于所述文件级别，如果是则用户具有同级别权限，否则继续判断所述用户级别是否大于所述文件级别，如果是则用户具有高级别权限，否则用户为低级别权限。
在防御策略中设置了用户具有同级别权限、高级别权限或低级别权限是对于文件的相应操作，具体为：同级别权限时，用户对文件拥有读写权限；高级别权限时，用户对文件仅拥有读权限；低级别权限时，用户对文件不拥有任何权限。
参见图3，为本发明实施例提供的另一种基于强制访问控制的文件权限管理方法的流程示意图，如图3所示，所述方法还包括：
s60：获取用户权限请求。
s70：根据所述用户权限请求设置文件更新保护规则。
s80：将所述文件更新保护规则打包为防御策略发送给请求用户所在客户端。
对于客户端保存的文件，如果有新需要设置访问权限的文件存入或者对于用户在访问过程中因为需要访问响应文件但是权限不允许时，需要针对该问文件重新设置防御策略，此时需要发送用户全向请求，请求中包括了请求的用户信息和待读取文件的信息(队友新增文件只需发送新增文件的信息)，通过判断如果可以对该用户开放其请求的文件或者判断文件的重要程度，对文件的安全等级等级等级进行重新设置，生成新的文件更新保护规则，将文件更新保护规则打包为防御策略发送给请求用户所在客户端进行运行，通过上述的防御策略对于客户端的唯一性，其他客户端的权限不会改变，而本客户端中因为只修改了文件的重要等级，因此，只更改了一个用户对于一个文件的操作权限，也不会影响该客户端上其他用户对其他文件的操作权限。
参见图4，为本发明实施例提供的又一种基于强制访问控制的文件权限管理方法的流程示意图，如图4所示，所述方法还包括：
s90：将发送的防御策略保存在日志文件中。
为了便于管理端的工作人员查看防御策略的下发情况，避免误操作或非法操作，每次进行防御策略下发是都需要将此次下发的防御策略中的相关信息保存在日志文件中，其中包括了下发防御策略的客户端id、用户信息以及文件信息。
参见图5，为本发明实施例提供的一种基于强制访问控制的文件权限管理系统的结构示意图，如图5所示，本发明实施例提供的基于强制访问控制的文件权限管理系统，包括：管理端和客户端。
管理端和客户端通信连接，所述管理端包括互相连接的信息获取模块和策略设置发送模块，所述信息获取模块用于获取客户端id和用户权限请求，策略设置发送模块用于设置并发送防御策略的策略设置发送模块，信息获取模块将获取到的客户端id以及用户权限请求发送给策略设置发送模块，策略设置发送模块根据客户端id发送防御策略、根据用户权限请求设置新的防御策略。
所述客户端包括信息接收模块、级别获取模块和判断控制模块，级别获取模块与判断控制模块连接，其中，信息接收模块用于接受控制端发送的防御策略；所述级别获取模块用于获取用户级别和文件级别；所述判断控制模块用于对用户级别和文件级别进行权限判断并进行操作控制，信息接收模块接收到控制端发送的防御策略之后立即进行执行，当用户对设置有防御策略的文件进行读取时，级别获取模块对用户级别以及文件级别进行获取，并发送给判断控制模块，判断控制模块通过对两个级别大比较判断出用户的权限并控制用户进行相应的操作。
本发明中在ssr系统的管理端对文件以及用户的安全等级进行划分，并根据每个文件以及用户的重要程度分配具体的等级，打包为防御策略之后发送给客户端，防御策略发送到客户端之后会自动运行并不会随机器的开关机而停止，可以在没有进行修改或者停止的前提下持续运行，在用户对设置了安全等级的文件进行访问时，会对用户以及文件的安全等级进行匹配，按照安全等级进行相应的操作，提高了客户端的安全性。
以上所述仅是本发明的具体实施方式，使本领域技术人员能够理解或实现本发明。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。