[发明专利]基于行为的操作系统动态强制访问控制方法、系统及介质

说明书

本发明公开了一种基于行为的操作系统动态强制访问控制方法、系统及介质，本发明包括：将预先建立的安全规则库载入内核，安全规则库包括行为‑安全规则集和通用安全规则集；在主体发出访问请求时，捕获访问请求并获取行为信息，基于访问请求和行为信息结合内核中的行为‑安全规则集以及通用安全规则集进行强制访问控制决策，并根据强制访问控制决策的结果选择允许或拒绝主体发出的访问请求。本发明将经典操作系统访问控制机制的主体‑安全规则集映射拓展为行为‑安全规则集映射，可根据行为要素的变化动态切换生效的安全规则，能够实现不同应用场景下权限的动态调控，具有保护全面、安全可靠、通用性好、可扩展性强的优点。

技术领域

本发明涉及计算机信息安全技术领域，具体涉及一种基于行为的操作系统动态强制访问控制方法、系统及介质。

背景技术

访问控制作为数据保护的基石性技术之一，既能使合法用户获得相应的访问权限，又能阻止非授权访问，可实现数据和资源的“有限公开”，受控共享。传统访问控制模型主要有自主访问控制模型(DAC)、强制访问控制模型(MAC)和基于角色的访问控制模型(RBAC)三种。其中强制访问控制由系统机制来控制用户对客体的访问，通过一系列的安全策略，由系统(而非某个用户)来确定主体对客体的访问权限。资源所有者不能对访问规则进行改变，能够很好地增强系统安全性，并对上层应用程序进行保护，被广泛应用于操作系统访问控制机制中。操作系统作为计算机系统的基石，其内核具有更高的运行特权级，因此在操作系统内核实现的访问控制机制比相比应用层更难被绕过，从而安全性更强。

随着5G技术的发展，云原生、安全敏感应用和BYOD(Bring Your Own Device)等使用场景对操作系统访问控制机制的灵活性提出了更高要求。在云原生应用的部署运行中，存在根据其运行环境动态调整权限，以使系统资源访问权限最小化的需求。运行平台方面，部署在公司内部办公平台上时可授予较高权限，而因协同办公需求部署在个人设备上时可授予较低权限。运行时间方面，工作时间段内可授予较高权限，而其余时间段可适度降低权限。在安全敏感应用运行生命周期中，初始部署时因需要进行一系列设置和初始化，可授予较高权限；正常运行后，授予正常工作所需权限即可；当需更新配置或维护升级时，需要适度提高权限；在废弃时，应将所有权限归零，以防止其废弃后被非法利用。在BYOD环境下，为满足员工随时随地使用各种智能终端安全访问公司数据和应用程序资源的需求，需要根据其使用的设备类型、位置、时间、访问对象等因素对其访问权限进行动态放缩，以平衡办公效率与安全。虽然经典操作系统访问控制机制由于采用静态策略，可扩展性不足，表达能力已不能满足以上应用场景提出的细粒度和强动态性需求。但由于其具有应用广泛，稳定性和可靠性强的特点，对经典操作系统访问控制进行拓展，可使其适应新形势下的细粒度动态访问控制需求，从而焕发出新的活力。

发明内容

本发明要解决的技术问题：针对现有技术的上述问题，提供一种保护全面、安全可靠、通用性好、可扩展性强的基于行为的操作系统动态强制访问控制方法、系统及介质，旨在解决经典操作系统访问控制技术存在灵活性不足，不能满足多场景下权限动态调控的问题。

为了解决上述技术问题，本发明采用的技术方案为：

一种基于行为的操作系统动态强制访问控制方法，包括：

S101，将预先建立的安全规则库载入内核，所述安全规则库包括与行为相关的行为-安全规则集、和与行为无关的通用安全规则集；

S102，在主体发出访问请求时，捕获访问请求并跳转下一步；

S103，获取系统当前的行为信息；

S104，基于访问请求及其获取的行为信息，结合内核中安全规则库的行为-安全规则集以及通用安全规则集进行强制访问控制决策；

S105，根据强制访问控制决策的结果选择允许或拒绝主体发出的访问请求。

可选地，步骤S104中进行强制访问控制决策包括：