[发明专利]强制访问控制方法、装置和物理主机

说明书

本发明公开了一种强制访问控制方法、装置和物理主机，该方法包括：VMM从至少一个虚拟机获取用户下发的M个输入输出访问指令，M个访问指令中每一个访问指令包括访问的主体和访问的客体；VMM根据M个访问指令中每一个访问指令的主体和客体，确定符合预设的强制访问规则的N个访问指令；VMM访问N个访问指令中每一个访问指令的客体对应的物理设备。该方法基于VMM管理虚拟机内部的强制访问控制，使得强制访问控制的实现更加灵活，并且操作系统无需修改，系统兼容性更好。

技术领域

本发明实施例涉及虚拟机领域，并且更具体地，涉及一种强制访问控制方法、装置和物理主机。

背景技术

当前，不同行业，例如教育、企业、政府、军工、运营商、医疗和金融等对于安全的需求是不同的。目前应用于各行业的产品实现了一般等级的安全需求，对于高级的安全需求涉及则较少。

访问控制是安全需求中的一种，分为自主访问控制和强制访问控制。根据GB17859-1999等安全标准，定义三级及以上的安全系统必须使用强制访问控制。强制访问控制是军工、政府等核心内容保护的行业门槛，是访问控制的后续发展方向。

当前在多种操作系统下大多实现了自主访问控制。现有的多种操作系统下的自主访问控制大多都采用类似Linux操作系统的自主访问控制来实现。自主访问控制是指客体的属主能够决定其他对该客体的访问权限。Linux操作系统实现了基于“权限位”的自主访问控制。权限位分为“本人”，“群组”，“其他”三类。当用户决定将客体消息传递给其他用户时，只能选择“群组”或“其他”权限，类似共享策略。基于权限位的自主访问控制机制粒度粗，无法适应于安全性较高的场景。而强制访问控制要求为系统中的主体和客体分配安全等级。当主体对客体提出访问请求时，系统根据主体、客体的安全等级以及访问类型做出授权(可读/可写)判断。

在操作系统层实现强制访问控制通常需要修改内核机制，还需要考虑不同系统的差异性，实现难度很大。当前实现强制访问控制的方法较单一，只有部分定制化系统实现了强制访问控制。SELinux是基于Linux开发的安全增强模块，通过对内核和用户空间进行修改，对现有的GNU/Linux操作系统进行扩展实现了基于强制类型(Type Enforce，TE)策略的强制访问控制。SELinux通过修改GNU/Linux操作系统的内核态的代码，针对每一个访问，在访问的主体和客体上打一个标签，使得程序根据标签逐个实现对每一个访问进行强制访问控制。该方案是通过修改GNU/Linux操作系统的内核态的代码实现的，不能推广到其它操作系统中。因此，SELinu访问不支持Windows操作系统，并且该方案会为GNU/Linux操作系统带来5％～10％的性能损耗。

发明内容

本发明实施例提供一种强制访问控制方法、装置和物理主机，能够不修改操作系统灵活地实现强制访问控制。

本发明基于虚拟机监控器VMM来管理虚拟机内部的强制访问控制。由于VMM本身用于获取并执行虚拟机内部的访问指令，因此，强制访问控制在VMM中实现可以更加灵活，并且操作系统无需修改，系统兼容性更好。

第一方面，本发明提供了一种强制访问控制方法，包括：虚拟机监控器VMM从至少一个虚拟机获取用户下发的M个访问指令，所述M个访问指令中每一个访问指令包括访问的主体和访问的客体，其中，M为正整数；所述VMM根据所述M个访问指令中每一个访问指令的主体和客体，确定符合预设的强制访问规则的N个访问指令，其中，N为小于或等于M的正整数；所述VMM访问所述N个访问指令中每一个访问指令的客体对应的硬件层设备。

其中，所述M个访问指令是所述用户从所述虚拟机的用户态生成并下发到所述虚拟机的内核态的。

本发明中，被访问的硬件层设备可以与虚拟机监控器VMM和至少一个虚拟机集成在一台物理主机上，也可以存在于其他的物理主机上。