[发明专利]虚拟化安全管理方法、运行内核驱动的设备及存储介质

权利要求书

1.一种虚拟化安全管理方法，其特征在于，包括：

内核驱动接收进程的访问请求；

所述内核驱动获取所述进程的访问权限和/或请求类型；

所述内核驱动根据所述访问权限和/或所述请求类型，向所述进程分配访问策略；

所述内核驱动根据所述访问策略，从宿主机处获取访问资源；

所述内核驱动将所述访问资源发送给所述进程。

2.根据权利要求1所述的方法，其特征在于，所述内核驱动根据所述访问策略，向所述进程分配访问资源，之前还包括：

所述内核驱动劫持所述宿主机的操作系统的系统调用；

所述内核驱动根据所述访问策略，向所述进程分配访问资源，包括：

所述内核驱动根据所述访问策略，向所述进程分配通过劫持所述系统调用得到的访问资源。

3.根据权利要求2所述的方法，其特征在于，所述内核驱动接收进程的访问请求，之前还包括：

在内核驱动中为进程分配访问权限，生成权限列表，所述权限列表为访问进程与访问权限的对应关系列表；

所述内核驱动获取所述进程的访问权限和/或请求类型，包括：

所述内核驱动根据所述权限列表获取所述进程的访问权限；

所述内核驱动根据所述访问权限和/或所述请求类型，向进程分配访问策略，包括：

当所述内核驱动在所述权限列表中获取不到所述进程时，向所述进程分配的访问策略为拒绝访问；

当所述内核驱动在所述权限列表中获取到所述进程只有部分权限时，所述内核驱动对所述进程中无权限的操作进行拦截，向所述进程分配的访问权限为部分访问；

当所述内核驱动在所述权限列表中获取到所述进程为完全开放权限时，向所述进程分配的访问策略为完全访问；

所述内核驱动根据所述访问策略，向所述进程分配访问资源，包括：

当所述进程被分配访问策略为拒绝访问时，所述内核驱动不向所述进程分配访问资源；

当所述进程被分配访问策略为部分访问时，所述内核驱动仅向所述进程中有权限的操作分配访问资源；

当所述进程被分配访问策略为完全访问时，所述内核驱动向所述进程分配所有访问资源。

4.根据权利要求2所述的方法，其特征在于，所述内核驱动接收进程的访问请求，之前还包括：

内核驱动为所有进程和资源分配标签，其中，一个进程与其有权限访问的资源具有相同的标签；

所述内核驱动获取所述进程的访问权限和/或请求类型，包括：

所述内核驱动获取所述进程的第一标签；

所述内核驱动根据所述访问权限和/或所述请求类型，向所述进程分配访问策略，包括：

所述内核驱动获取标签为第二标签的资源；

所述内核驱动比对所述第二标签与所述第一标签，向所述进程分配访问策略；

其中，当所述第二标签与所述第一标签相同时，所述内核驱动向所述进程分配的访问策略为允许访问；

当所述第二标签与所述第一标签不同时，所述内核驱动向所述进程分配的访问策略为拒绝访问；

所述内核驱动根据所述访问策略，向所述进程分配访问资源，包括：

当所述进程被分配访问策略为允许访问时，所述内核驱动仅向所述进程分配标签为第二标签的资源；

当所述进程被分配访问策略为拒绝访问时，所述内核驱动不向所述进程分配资源。

5.根据权利要求2所述的方法，其特征在于，

所述内核驱动获取所述进程的访问权限和/或请求类型，包括：

所述内核驱动获取所述进程的请求类型为通过CPUID调用接口获取资源；

所述内核驱动根据所述访问权限和/或所述请求类型，向所述进程分配访问策略，包括：

所述内核驱动根据所述CPUID调用接口，向所述进程分配访问策略为隐藏虚拟化软件的类型；

所述内核驱动根据所述访问策略，向所述进程分配访问资源，包括：

所述内核驱动通过CPUID调用接口接收所述宿主机中的资源；

所述内核驱动隐藏所述资源的软件类型，生成隐藏类型的资源；

所述内核驱动将所述隐藏类型的资源发送给所述进程。