[发明专利]一种基于自学习的Linux安全策略配置方法

说明书

技术领域

本发明属于计算机与网络安全技术领域，具体涉及一种基于自学习的Linux安全策略配置方法。

背景技术

随着Linux操作系统的日益普及，其安全性问题也越来越引起人们注意。SELinux是2.6版本的Linux内核中提供的强制访问控制(MAC)系统。

访问控制通常由用户预先配置安全策略，或者系统本身提供基于某个模型的安全策略，然后通过引用监控机来实现对系统资源访问请求的仲裁。访问控制的目的在于维护系统的保密性、完整性和可用性。

对于目前可用的Linux安全模块来说，SELinux是功能最全面，而且测试最充分的，它是在20年的MAC研究基础上建立的。SELinux在类型强制服务器中合并了多级安全性或一种可选的多类策略，并采用了基于角色的访问控制概念。通过配置可以实现对权限最小化控制和防止权限升级等。SELinux改进了对内核对象和服务的访问控制，改进了对进程初始化、继承和程序执行的访问控制，改进了对文件系统、目录、文件和打开文件描述的访问控制，还改进了对端口、信息和网络接口的访问控制。

SELinux主要应用了两项核心技术，类型加强(TE)和基于角色的访问控制(RBAC)。TE给每个主体(进程)和系统中的客体定义了一个类型，这些类型定义在SELinux的安全策略文件中，以安全标签形式存放在文件本身的扩展属性(extended attributes，简称xattrs)里。默认情况下，主体对客体的操作是不允许的，而由策略定义允许的操作。TE使用主体的域和客体类型的数据都存放在策略文件中。

因为Linux操作系统自身的复杂性，以及上层应用的多样性，决定了SELinux的配置过程异常复杂。并且，SELinux涉及到操作系统底层的方方面面，更加大了配置管理员正确进行安全配置的难度；同时，如何为操作系统中每一个主体分配合理的权限，是配置管理员首先要思考的问题，通常这个过程都遵守最小化权限的原则，即分配给一个主体的权限必须刚好是能够满足该主体的合法访问的要求，超过这个要求会造成潜在的安全隐患，低于这个要求会导致主体不能正常工作。

综上所述，为一个全新的业务系统构建一套稳定、安全的SELinux策略，这对每一个配置管理员来说都是一项挑战。

发明内容

针对现有技术的不足，本发明提供一种基于自学习的Linux安全策略配置方法，以简化系统配置的工作流程。

本发明提供一种基于自学习的Linux安全策略配置方法，其改进之处在于，在SeLinux的安全服务器区中嵌入策略学习模块；所述方法包括如下步骤：

（1）安装Linux操作系统，并将改进后的SeLinux作为安装项；

（2）进入Linux操作系统，开启策略学习模块流程，并开启所述策略学习模块的学习开关；

（3）部署应用软件与业务系统；

（4）经过一段时间的安全稳定运行，关闭所述策略学习模块的学习开关；

（5）手动调整，合并部分自动生成的访问控制策略；

（6）经过一段时间的稳定运行，对安全日志进行审计，记录并生成没有正常运行的主体名单及访问的客体名单；

（7）手动调整所述自动生成的访问控制策略，为所述没有正常运行的主体名单中的主体添加对应客体的访问权限；

（8）安全策略配置结束。

其中，步骤（2）所述开启策略学习模块流程包括如下步骤：

1）系统启动，策略学习模块从文件中读取策略信息；

2）操作系统中主体A对客体B进行访问，策略学习模块通过LSM接口拦截这一访问过程；

3）策略学习模块读取主体的安全标示符SID_A和客体的安全标示符SID_B；判断所述策略学习模块的学习开关状态；

4）若所述学习开关为关，则所述策略学习模块未启用，移至步骤8），否则进行步骤5）；

5）向安全服务器提交策略查询请求，判断是否存在<SID_A，SID_B，通过>的策略信息；若策略已经存在，移至步骤8，否则进行步骤6）；

6）所述策略学习模块生成一条策略<SID_A，SID_B，通过>并向安全服务器提交；

7）所述策略学习模块将生成的策略保存到策略文件；

8）转入Selinux策略处理。

其中，步骤8）所述转入Selinux策略处理是指：