CN102521547B - 虚拟域内访问控制系统的保护系统 - Google Patents

Abstract

本发明公开了一种虚拟域内访问控制系统的保护系统，包括策略执行模块、策略决策缓存模块、策略服务器模块和内存保护模块，策略执行模块用于拦截低级语义，将拦截的低级语义转换为高级语义，将高级语义传送到策略决策缓存模块，并从策略决策缓存模块获取策略决策结果，策略决策缓存模块用于从策略执行模块接收高级语义，将高级语义传送到策略服务器模块，策略决策缓存模块从策略服务器模块获取策略决策结果，将策略决策结果传送到策略执行模块，并对策略决策结果进行缓存，策略服务器模块用于根据高级语义查找其安全策略库，以生成策略决策结果。本发明能够保护虚拟域内访问控制系统，使其免于遭遇攻击，提高虚拟域内访问控制系统的安全性。

Description

虚拟域内访问控制系统的保护系统

技术领域

本发明属于计算机资源虚拟化和计算机系统安全领域，具体涉及一种虚拟域内访问控制系统的保护系统。

背景技术

强制访问控制(Mandatory Access control，简称MAC)是一种有效防止计算机系统遭受攻击的方法。MAC能够防止恶意用户或模仿合法用户操作的恶意代码滥用资源，这是因为MAC访问规则只能被系统管理员修改，恶意代码没有系统的许可是不能修改安全策略的。各种各样的模式和系统已经应用于不同的操作系统，如SELinux，Trustees、安全性扩展的Linux(Security Enhanced Linux，简称SELinux)，是其中最具有代表性的，拥有一个灵活而强制性的访问控制结构，能够提高Linux系统的安全性，提供强健的安全保证，可防御未知攻击。

然而，现有访问控制系统存在不能保证自身安全性的问题。MAC系统运行在用户模式或者内核模式。恶意程序(例如Rootkit等)往往运行在内核模式，不仅能够看到所有的用户程序的内存信息，还能够绕过安全系统的检查，还能使安全系统不能够正常启动。传统的强制访问控制系统存在不能有效地保证自身的安全性，这个问题在传统架构下是无法解决的。

发明内容

本发明的目的在于提供一种虚拟域内访问控制系统的保护系统，其能够保护虚拟域内访问控制系统，使其免于遭遇攻击，提高虚拟域内访问控制系统的安全性。

本发明是通过以下技术方案实现的：

一种虚拟域内访问控制系统的保护系统，包括策略执行模块、策略决策缓存模块、策略服务器模块和内存保护模块，策略执行模块用于拦截低级语义，将拦截的低级语义转换为高级语义，将高级语义传送到策略决策缓存模块，并从策略决策缓存模块获取策略决策结果，策略决策缓存模块用于从策略执行模块接收高级语义，将高级语义传送到策略服务器模块，策略决策缓存模块从策略服务器模块获取策略决策结果，将策略决策结果传送到策略执行模块，并对策略决策结果进行缓存，策略服务器模块用于根据高级语义查找其安全策略库，以生成策略决策结果，并将策略决策结果传送到策略决策缓存模块，内存保护模块用于保护策略执行模块和策略决策缓存模块免受攻击。

本发明的系统还包括调度管理模块，用于在虚拟机启动之前将安全策略加载到策略服务器模块中，在虚拟机撤销时将安全策略从策略服务器模块删除，并在虚拟机启动时初始化并管理存储于调度管理模块中的内存保护列表。

内存保护模块是通过内存保护列表中内存区域的写权限来保护策略执行模块和策略决策缓存模块免受攻击。

策略执行模块包括操作拦截子模块和操作解析子模块，操作拦截子模块用于拦截低级语义，操作解析子模块用于将低级语义转换为进程信息、文件操作信息和网络链接信息等高级语义，将高级语义传送到策略服务器模块，并从策略决策缓存模块获取策略决策结果。

策略决策缓存模块包括查询子模块、消息准备子模块、消息子模块、策略读取子模块、更新子模块和缓冲子模块，查询子模块用于根据查询缓冲区模块中是否存在高级语义，如果存在，则直接将策略决策结果返回给策略执行模块，否则调用消息准备子模块和消息子模块从策略服务器模块的安全策略库获取安全策略，消息准备子模块用于在不存在高级语义时将高级语义写入共享内存区域中，并调用消息发送消息子模块通知策略服务器模块来读取共享内存区域中的高级语义，消息子模块用于通知策略服务器模块读取共享内存区域中的高级语义，共享内存区域中，策略读取子模块用于读取安全策略库中的安全策略，并将安全策略传递给更新子模块，更新子模块用于删除缓冲子模块中最近最少使用的一条记录，将新的记录插入到缓冲子模块中，以备下次查询，并将策略决策结果返回给查询子模块，缓冲子模块用于保存最近最多使用的策略决策结果。

策略服务器模块包括通知子模块、读共享内存子模块、策略决策子模块、写共享内存子模块和策略库，通知子模块用于接收消息子模块的通知消息，并调用读共享内存子模块读取通知消息，并在写共享内存子模块向共享内存区域写入策略决策结果后，通知策略决策缓存模块取走策略决策结果，读共享内存子模块用于读取高级语义共享内存区域中，并将高级语义传送到策略决策子模块，策略决策子模块根据高级语义查询安全策略库以获取相关的安全策略，根据安全策略得到策略决策结果，并将策略决策结果传送到写共享内存子模块，写共享内存子模块用于将策略决策结果写入共享内存区域中，安全策略库用于存放安全策略。

内存保护模块包括截获子模块、处理子模块和内存保护列表，截获子模块用于截获虚拟域内存的写操作，并调用处理子模块对写操作进行处理，处理子模块用于将写操作对应的内存区域的地址与内存保护列表中内存区域的地址进行比对，若结果一致则阻止写操作，内存保护列表用于存储受保护内存区域的地址。

本发明具有以下优点及技术效果：

(1)同时抵御用户态和内核态攻击

本系统对访问控制系统不同的模块采取不同保护方法，利用虚拟机的影子页表机制，对客户操作系统中的安全模块进行保护，防止来自客户操作系统中的恶意程序(例如Rootkit等)攻击。将策略服务器和策略管理模块放入管理域中，利用虚拟机的隔离性，增加恶意软件攻击的难度。管理域和客户操作系统之间的通信采用共享内存机制，VMM能够有效的保证该通信的安全。因此，整个MAC能够同时抵御来自用户态和内核态的攻击；

(2)通信开销接近本地开销

通信是整个系统性能瓶颈所在，由于采用缓存技术，适当调整缓冲区大小，可以将查找的存在率提高到99％左右，因此访问安全策略的速度接近访问本地内存的速度，大大降低整个系统开销；

(3)统一管理安全策略

在虚拟可执行环境下，一台物理机器上可以运行多台客户操作系统，如果要为客户操作系统配置安全策略，必须登录该客户操作系统中进行管理操作。随着客户操作系统个数的增加，安全管理员需要频繁的登录或退出虚拟机，给安全策略管理带来很大的不便。本发明中，将所有的客户操作系统的安全策略放在管理域中，可以很好的进行集中管理。以前Xen的安全策略和客户操作系统的安全策略都是分开的，在本发明中，可以在同一界面中进行配置。对安全策略统一管理，能够大大减轻安全管理员的负担；

(4)通用性

本发明是在Linux安全模块(Linux Security Module，简称LSM)的基础上完成的原型系统，因为LSM提供的是通用的接口，本发明能够保护我们的强制访问控制系统，也能够利用LSM开发强制访问控制系统。

附图说明

图1是本发明虚拟域内访问控制系统的保护系统的示意框图。

具体实施方式

以下首先对本发明的技术术语进行解释和说明。

低级语义：系统执行时机器可以识别的操作语义

高级语义：系统执行时系统管理员可以识别的操作语义

安全策略：以信息安全性为目的而制定的系统运行时的准则。

进程信息：进程运行时的进程号，进程号等信息。

文件操作信息：系统对文件的读、写、删除、创建等

下面结合附图对本发明作进一步详细的说明。

如图1所示，本发明虚拟域内访问控制系统的保护系统包括策略执行模块1、策略决策缓存模块2、策略服务器模块3、调度管理模块4和内存保护模块5。

策略执行模块1用于拦截低级语义，将拦截的低级语义转换为高级语义，将高级语义传送到策略决策缓存模块2，并从策略决策缓存模块2获取策略决策结果。

策略决策缓存模块2用于从策略执行模块1接收高级语义，将高级语义传送到策略服务器模块3，策略决策缓存模块2从策略服务器模块3获取策略决策结果，将策略决策结果传送到策略执行模块1，并对策略决策结果进行缓存。

策略决策缓存模块2处在客户操作系统的内核空间，采用驱动的方式加载，利用缓存技术减小通信开销。

策略服务器模块3用于根据高级语义查找其安全策略库，以生成策略决策结果，并将策略决策结果传送到策略决策缓存模块2；

策略服务器模块3是对多个客户操作系统的安全策略进行管理的一个内核模块，它处在管理域的内核态。它提供安全策略的解析和存储，加载的安全策略并对其进行解析并存储，以利于查询操作。客户操作系统运行的服务不尽相同，所需要的安全级别也不一样，所以不同客户操作系统的安全策略是分开管理。

调度管理模块4对安全策略进行管理，并提供对内存保护列表进行管理的接口。当用户需要对某个客户操作系统的安全策略进行管理，只需要在管理域中对虚拟机的安全策略进行修改，不需要进入该虚拟机。在虚拟机创建或关闭时，需要创建策略库或释放策略库资源。虚拟机架构本身具有的隔离性，能够很好的保护安全策略的安全。

内存保护模块5用于保护策略执行模块1和策略决策缓存模块2免受攻击。

客户操作系统是不安全的，系统最高权限很容易被窃取，为了保证在这种情况下访问控制系统系统能够正常、有效的运行，我们必须对客户操作系统中的安全模块提供保护。内存保护模块5是处在虚拟机管理层，它的特权级比客户操作系统内核的特权级更低，拥有更高的管理权限。虚拟机管理层可以对客户操作系统中所有的修改内存操作进行干涉，我们利用这种机制来保护安全模块的内存和内核内存不被恶意代码修改。

策略执行模块1包括操作拦截子模块11和操作解析子模块12。

操作拦截子模块11用于拦截低级语义。

操作解析子模块12用于将低级语义转换为进程信息、文件操作信息和网络链接信息等高级语义，将高级语义传送到策略服务器模块3，并从策略决策缓存模块2获取策略决策结果。

操作解析子模块12基于LSM访问控制架构，目前大多数操作Linux操作系统都有这种架构，它提供了安全接口，用户可以根据自己的需求编写自己的事件处理函数。实现对系统中的进程、文件等操作进行拦截。这个是在系统启动的时候进行注册。操作解析子模块12处理在进程操作过程中产生的事件，包括进程创建、进程信息的获取、设置进程优先级等，对这些操作进行安全策略检查；对文件的操作进行安全策略检查，如读、写、执行、连接等操作。文件包括普通文件，目录文件和特殊文件；对网络操作进行安全策略检查，如网络链接的创建，地址绑定等。

策略决策缓存模块2包括查询子模块21、消息准备子模块22、消息子模块23、策略读取子模块24、更新子模块25和缓冲子模块26；

查询子模块21用于根据查询缓冲区模块26中是否存在高级语义，如果存在，则直接将策略决策结果返回给策略执行模块1，否则调用消息准备子模块22和消息子模块23从策略服务器模块3的安全策略库获取安全策略。

消息准备子模块22用于在不存在高级语义时将高级语义写入共享内存区域中，并调用消息发送消息子模块23通知策略服务器模块3来读取共享内存区域中的高级语义。

消息子模块23用于通知策略服务器模块3读取共享内存区域中的高级语义。

策略决策缓存模块2在和策略服务器模块3通信时，需要通过消息机制来保证通信的同步。消息子模块23就是完成这个功能，使管理域与客户虚拟机操作系统之间的通信能够正常进行。

策略读取子模块24用于读取安全策略库中的安全策略，并将安全策略传递给更新子模块25。

更新子模块25用于删除缓冲子模块26中最近最少使用的一条记录，将新的记录插入到缓冲子模块26中，以备下次查询，这样可以减少回收频繁执行回收操作所带来的性能开销；同时并将策略决策结果返回给查询子模块21。

缓冲子模块26用于保存最近最多使用的策略决策结果。

策略服务器模块3包括通知子模块31、读共享内存子模块32、策略决策子模块33、写共享内存子模块34和策略库35。

通知子模块31用于接收消息子模块23的通知消息，并调用读共享内存子模块32读取通知消息，并在写共享内存子模块34向共享内存区域写入策略决策结果后，通知策略决策缓存模块2取走策略决策结果。

读共享内存子模块32用于读取高级语义共享内存区域中，并将高级语义传送到策略决策子模块33。

策略决策子模块33根据高级语义查询安全策略库以获取相关的安全策略，根据安全策略得到策略决策结果，并将策略决策结果传送到写共享内存子模块34。

写共享内存子模块34用于将策略决策结果写入共享内存区域中，具体而言，写共享内存子模块34将策略子模块33作出的安全决策数据写入到共享内存区域中，并让通知子模块31通知客户虚拟机操作系统的策略决策缓存模块2读取策略决策结果数据。

安全策略库35用于存放安全策略。

内存保护模块5包括截获子模块51、处理子模块52和内存保护列表53。

截获子模块51用于截获虚拟域内存的写操作，并调用处理子模块52对写操作进行处理。

处理子模块52用于将写操作对应的内存区域的地址与内存保护列表53中内存区域的地址进行比对，若结果一致则阻止写操作。

内存保护列表53用于存储受保护内存区域的地址。

本发明的工作原理如下：

在整个系统实施之前，先需要建立安全策略库。安全管理员通过调度管理模块4将安全策略加载到内核态的策略服务器模块3，安全策略还需要传入虚拟机的标识，用以区分不同的虚拟域的安全策略。在加入到内核后，由策略服务器模块3将安全策略根据不同的类别，选择不同的解析方式建立对应的策略库35。到此，安全策略库已准备完成。

其后，需要在客户操作系统中加载策略执行模块1、策略决策缓存模块2同时调度管理模块4完成内存保护列表的初始化和添加保护地址，等待事件触发。事件触发后，就会调用策略执行模块1，策略执行模块1根据完成的功能不一样，可以分为：操作拦截子模块11和操作解析子模块12。拦截子模块11是对程序加载过程中的操作进行访问控制检查，对进程操作的权限检查，对文件操作进行权限检查，对网络操作的权限检查。经过执行模块对事件触发后传递的信息进行解析，将低级语义转化为高级语义。

经过策略执行模块1的处理后，需要对相应的操作进行权限检查，这就要需要查询安全策略。因此，将获得的语义信息，包括主体的信息，客体信息，操作信息等，传递给策略决策缓存模块2的查询子模块21，查询子模块21会根据传递过来的信息，访问缓冲子模块26，如果存在，即查找到决策结果，立即将结果返回给策略执行模块1。否则，需要到策略服务器模块3中获取决策结果。因为安全策略和策略执行不是在同一个域中，所以他们之间需要通过安全的通信方法来保证信息交换的安全，本发明采用的是共享内存的方式进行安全通信。当查询缓冲子模块26存在缺失时，需要将请求信息写入共享内存区，这个功能是由消息准备子模块22完成。然后，消息子模块23通知管理域中的策略服务器模块的通知子模块31将决策结果从共享内存区中取走。

策略服务器模块3的通知子模块31收到来自策略决策缓存模块的通知后，调用读共享内存子模块32完成获取请求的操作，并将该请求发送给策略决策子模块33。策略决策子模块33根据读共享内存子模块32发送过来的请求信息，从策略库35中获取相应的安全策略，并做出综合决策，最后将决策结果返回。然后，由写共享内存子模块34写入共享内存区，并调用通知子模块31告诉策略决策缓存模块2的消息子模块23。

当消息子模块23收到来自虚拟域中的通知消息，通知策略读取子模块24，读取返回的决策结果，获得决策结果后，调用更新子模块25，将该条记录插入到缓冲子模块26中，并将结果返回给查询子模块21，最后由查询子模块21将结果返回给策略执行模块1。

最后，由策略执行模块1来执行策略决策的结果，完成对该操作的权限检查。如果该操作符合安全策略的规定，则可以继续执行，否则终止该操作。

Claims (5)

1.一种虚拟域内访问控制系统的保护系统，包括策略执行模块(1)、策略决策缓存模块(2)、策略服务器模块(3)和内存保护模块(5)，其特征在于，

所述策略执行模块(1)用于拦截低级语义，将拦截的低级语义转换为高级语义，将所述高级语义传送到所述策略决策缓存模块(2)，并从所述策略决策缓存模块(2)获取策略决策结果；

所述策略决策缓存模块(2)用于从所述策略执行模块(1)接收所述高级语义，将所述高级语义传送到所述策略服务器模块(3)，策略决策缓存模块(2)从所述策略服务器模块(3)获取所述策略决策结果，将所述策略决策结果传送到所述策略执行模块(1)，并对所述策略决策结果进行缓存；

所述策略服务器模块(3)用于根据所述高级语义查找其安全策略库，以生成所述策略决策结果，并将所述策略决策结果传送到所述策略决策缓存模块(2)；

所述内存保护模块(5)用于保护所述策略执行模块(1)和所述策略决策缓存模块(2)免受攻击；

所述策略决策缓存模块(2)包括查询子模块(21)、消息准备子模块(22)、消息子模块(23)、策略读取子模块(24)、更新子模块(25)和缓冲子模块(26)；

查询子模块(21)用于根据查询所述缓冲子模块(26)中是否存在所述高级语义，如果存在，则直接将所述策略决策结果返回给所述策略执行模块(1)，否则调用所述消息准备子模块(22)和所述消息子模块(23)从所述策略服务器模块(3)的安全策略库获取安全策略；

所述消息准备子模块(22)用于在不存在所述高级语义时将所述高级语义写入共享内存区域中，并调用所述消息子模块(23)通知所述策略服务器模块(3)来读取所述共享内存区域中的高级语义；

所述消息子模块(23)用于通知所述策略服务器模块(3)读取所述共享内存区域中的高级语义；

策略读取子模块(24)用于读取所述安全策略库中的安全策略，并将所述安全策略传递给所述更新子模块(25)；

所述更新子模块(25)用于删除所述缓冲子模块(26)中最近最少使用的一条记录，将新的记录插入到所述缓冲子模块(26)中，以备下次查询，并将所述策略决策结果返回给所述查询子模块(21)；

所述缓冲子模块(26)用于保存最近最多使用的策略决策结果；

所述策略服务器模块(3)包括通知子模块(31)、读共享内存子模块(32)、策略决策子模块(33)、写共享内存子模块(34)和策略库(35)；

所述通知子模块(31)用于接收所述消息子模块(23)的通知消息，并调用所述读共享内存子模块(32)读取所述通知消息，并在所述写共享内存子模块(34)向所述共享内存区域写入所述策略决策结果后，通知所述策略决策缓存模块(2)取走所述策略决策结果；

所述读共享内存子模块(32)用于读取所述共享内存区域中的高级语义，并将所述高级语义传送到所述策略决策子模块(33)；

所述策略决策子模块(33)根据所述高级语义查询所述安全策略库以获取相关的安全策略，根据所述安全策略得到所述策略决策结果，并将所述策略决策结果传送到所述写共享内存子模块(34)；

写共享内存子模块(34)用于将所述策略决策结果写入所述共享内存区域中；

安全策略库(35)用于存放所述安全策略。

2.根据权利要求1所述的保护系统，其特征在于，

还包括调度管理模块(4)，用于在虚拟机启动之前将安全策略加载到所述策略服务器模块(3)中，在所述虚拟机撤销时将所述安全策略从所述策略服务器模块(3)删除，并在所述虚拟机启动时初始化并管理存储于所述调度管理模块(4)中的内存保护列表。

3.根据权利要求2所述的保护系统，其特征在于：

所述内存保护模块(5)是通过所述内存保护列表中内存区域的写权限来保护所述策略执行模块(1)和所述策略决策缓存模块(2)免受攻击。

4.根据权利要求1所述的保护系统，其特征在于：

所述策略执行模块(1)包括操作拦截子模块(11)和操作解析子模块(12)；

所述操作拦截子模块(11)用于拦截所述低级语义；

所述操作解析子模块(12)用于将所述低级语义转换为进程信息、文件操作信息和网络链接信息等高级语义，将所述高级语义传送到所述策略服务器模块(3)，并从所述策略决策缓存模块(2)获取所述策略决策结果。

5.根据权利要求1所述的保护系统，其特征在于：

所述内存保护模块(5)包括截获子模块(51)、处理子模块(52)和内存保护列表(53)；

截获子模块(51)用于截获虚拟域内存的写操作，并调用所述处理子模块(52)对所述写操作进行处理；

所述处理子模块(52)用于将所述写操作对应的内存区域的地址与所述内存保护列表(53)中内存区域的地址进行比对，若结果一致则阻止所述写操作；

所述内存保护列表(53)用于存储受保护内存区域的地址。