虚拟化环境中的强制访问控制方法及装置制造方法及图纸

一种计算机应用技术领域的虚拟化环境中的强制访问控制方法及装置，本发明专利技术方法在虚拟化环境中指定一个虚拟机作为具有安全管理权限的可信虚拟机，可信虚拟机使用（安全密级、安全范畴）作为敏感标签标识单个虚拟机的安全级别，建立访问矩阵设置每个虚拟机对其他虚拟机的访问类型集合；当某个虚拟机主体以某种类型访问某个虚拟机客体的，根据主客体双方的敏感标签和访问矩阵中主体对客体的访问类型集合判定这次访问是否允许。本发明专利技术装置包括访问控制初始化模块、虚拟机状态监视模块、访问判定模块、安全管理协助模块和可信虚拟机中的虚拟机安全信息管理模块。本发明专利技术可以在多级安全的虚拟化环境中有效的控制虚拟机之间的通信和资源共享。

【技术实现步骤摘要】

本专利技术涉及的是一种计算机应用
的方法及装置，具体是一种虚拟化环境中的强制访问控制方法及装置。
技术介绍
虚拟化技术是当前信息技术行业最为热门的技术，应用虚拟化技术可以在下述几个方面带来巨大好处：1、整合服务器，将计算机系统部署到虚拟机中可以提高硬件设备利用率，降低运营成本；2、利用资源虚拟化提升服务质量，减少系统下线时间；3、缩减IT基础设置的准备时间，提升IT投资的灵活性，促进按需配置；4、快速提供测试和开发环境，提高开发效率；5、将遗留的操作系统和应用程序迁移到虚拟机中，保护历史投资；6、利用服务器的虚拟化能力提供标准化的企业桌面环境，提高企业IT设备的利用率和可管理性。虚拟机监控器是虚拟化技术的核心，虚拟机运行在虚拟机监控器之上。虚拟机监控器主要功能包括：1、管理物理硬件资源；2、为运行在它上面的虚拟机提供虚拟的硬件资源；3、为在它上面运行的多个虚拟机提供互相隔离的运行环境，使得多个虚拟机不能互相干扰对方运行；4、为运行在它上面的虚拟机提供虚拟机之间通信和资源共享支持。目前信息技术行业的各大公司不断加大投入推动虚拟化技术发展，携手制定虚拟化技术应用的标准，不同虚拟机之间的通信和共享资源越来越受到重视。为了建立一个安全可信的虚拟化应用环境，必须对虚拟机之间通信和资源共享实施访问控制。在一次通信和资源共享的操作过程中处于施动者地位的对象称为主体，处于受动者地位的对象称为客体。在虚拟化场景中每个虚拟机在通信过程中既可能是主体也可能是客体，根据通信过程中数据的流向判断虚拟机是主体还是客体。在计算机系统上执行访问控制的基本思想是在主体访问客体关键路径中插入用于-->安全目的的函数，这样的函数通常称为安全钩子函数(security hooks)。当主体访问客体时安全钩子函数被执行，它检查主体和客体的安全信息依据特定的安全策略判定主体是否可以访问客体，如果可以访问则它记录相关信息后主体访问客体的过程继续进行，如果不可以访问则它截断主体访问客体的过程，并返回出错消息。安全钩子函数做判定时所采用的安全策略是访问控制的核心内容。经对现有技术文献的检索发现，以Reiner Sailer为主提出控制虚拟机之间通信和资源共享的方法(Reiner Sailer，Trent Jaeger，Enriquillo Valdez.Building a MAC-based Security Architecture for the Xen OpensourceHypervisor，(在Xen开源虚拟机监控器上建立一种基于强制访问控制的安全架构)RC23629(WO506-051)June 8，2005.IBM Research Report.)。该方法是基于中国墙(Chinese wall)和简单类型加强(Simple Type Enforcement)策略，该方法为虚拟化环境中的虚拟机和资源设置不同的标签，标签可以代表不同的组织或部门，同时设置冲突的标签集合。当两个虚拟机上的标签处于冲突集合中时，它们不能同时运行，当两个虚拟机具有相同的标签时，双方可以通信和共享资源。该方法存在如下问题：1)该方法对通信和资源共享的控制粒度较大，不控制具体的通信和资源共享类型；2)假设使用不同的标签代表不同的安全级别，不同安全级别的虚拟机之间无法通信和共享资源。因此该方法不适用于多级安全环境。
技术实现思路
本专利技术的目的是为了克服上述现有技术的不足，提供一种虚拟化环境中的强制访问控制方法及装置，以敏感标签和访问矩阵为核心，包括在虚拟机监控器内的实施强制访问控制，可以满足多级安全环境的要求，包括：用敏感标签标识单个虚拟机安全级别、在访问矩阵中表达虚拟机主体对客体的访问类型、在虚拟机监控器内根据敏感标签和访问矩阵中的信息控制虚拟机之间通信和资源共享。本专利技术是通过如下技术方案实现的。本专利技术涉及一种虚拟化环境中的强制访问控制方法，包括如下步骤：步骤一，在虚拟化场景中指定一个虚拟机作为具有安全管理权限的可信虚拟机，并以这个可信虚拟机为根，其他虚拟机为可信虚拟机的子节点建立层次关系，除可信虚拟机之外的其他所有虚拟机处于同等的地位；-->步骤二，可信虚拟机使用安全密级和安全范畴作为敏感标签，对单个虚拟机安全级别进行标识；步骤三，建立可信虚拟机的访问矩阵，访问矩阵中记录每个虚拟机对其他虚拟机的访问类型集合，访问类型包括：只读、只写和读写三种，访问矩阵中的数据在虚拟机监控器启动时被加载到虚拟机监控器内部；步骤四，当一个虚拟机启动时，把它的ID号、敏感标签作为参数传入虚拟机监控器内部，在虚拟机监控器内部记录这些信息，并为该虚拟机建立一个当前访问集合b，记录代表该虚拟机的主体当前所有以某种类型对客体的访问；步骤五，当通信或资源共享行为发生时，检查虚拟机主体和虚拟机客体的敏感标签和访问矩阵是否满足敏感标签安全特性和访问矩阵安全特性，如果满足则允许主体访问客体，否则不允许主体访问客体并返回出错消息；所述敏感标签安全特性，是指：当虚拟机主体对虚拟机客体进行只读访问时，虚拟机主体的敏感标签必须支配虚拟机客体的敏感标签；当虚拟机主体对虚拟机客体进行只写访问时，虚拟机主体的敏感标签必须被虚拟机客体的敏感标签支配；当虚拟机主体对虚拟机客体进行读写访问时，虚拟机主体的敏感标签必须等于虚拟机客体的敏感标签；所述访问矩阵安全特性，是指当虚拟机主体对虚拟机客体进行只读、只写或者读写类型的访问时，其访问类型存在于访问矩阵中代表虚拟机主体对虚拟机客体的访问类型元素集合中。步骤六，当步骤五返回的结果是允许访问时，在虚拟机主体的当前访问集合b中加入一条这次访问的记录；步骤七，当虚拟机主体结束对虚拟机客体的一次访问时，从当前访问集合b中删除关于这次访问的记录。步骤二中，所述虚拟机的敏感标签，其中的安全密级采用数值形式，数值越大密级越高，安全范畴为特定访问权限的集合，集合中的每个元素代表一项特定的访问权限，两个敏感标签之间的关系是支配与被支配、等于或者不可比较的关系。当敏感标签f1和f2做比较时，如果f1的安全密级高于f2的安全密级同时f1的安全范畴包含f2的安全范畴，则f1支配f2，或者说f2被f1支配，如果f1的安全密级与f2的安全密级相等并且f1的安全范畴与f2的安全范畴相等则f1等于f2，-->否则f1和f2是不可比较的。步骤二中，所述对单个虚拟机的安全级别进行标识，具体如下：如果被标识的虚拟机没有敏感标签，则直接使用敏感标签标识该虚拟机的安全级别；如果被标识的虚拟机已经具有敏感标签，则使用新敏感标签重新标识该虚拟机的安全级别，即调整该虚拟机的安全级别，如果标识安全级别时，虚拟机正在运行则需要所有正在运行虚拟机的当前访问集合b同时满足下述6个当前访问集合b安全特性，标识操作才能成功：①该虚拟机的新敏感标签能够支配所有其他虚拟机的当前访问集合b中对该虚拟机进行只写访问虚拟机的敏感标签；②所有其他虚拟机的当前访问集合b中对该虚拟机进行只读访问的虚拟机敏感标签能够支配该虚拟机的新敏感标签；③所有其他虚拟机的当前访问集合b中对该虚拟机进行读写访问的虚拟机敏感标签等于该虚拟机的新敏感标签；④该虚拟机的新敏感标签必须支配它自己的当前访问集合b中所有被该虚拟机只读访问的其他虚拟机敏感标签；⑤本文档来自技高网...

【技术保护点】
一种虚拟化环境中的强制访问控制方法，其特征在于，包括如下步骤：　步骤一，在虚拟化场景中指定一个虚拟机作为具有安全管理权限的可信虚拟机，并以这个可信虚拟机为根，其他虚拟机为可信虚拟机的子节点建立层次关系，除可信虚拟机之外的其他所有虚拟机 处于同等的地位；　步骤二，可信虚拟机使用安全密级和安全范畴作为敏感标签，对单个虚拟机安全级别进行标识；　步骤三，建立可信虚拟机的访问矩阵，访问矩阵中记录每个虚拟机对其他虚拟机的访问类型集合，访问类型包括：只读、只写和读写三种，访 问矩阵中的数据在虚拟机监控器启动时被加载到虚拟机监控器内部；　步骤四，当一个虚拟机启动时，把它的ＩＤ号、敏感标签作为参数传入虚拟机监控器内部，在虚拟机监控器内部记录这些信息，并为该虚拟机建立一个当前访问集合ｂ，记录代表该虚拟机的主体当 前所有以某种类型对客体的访问；　步骤五，当通信或资源共享行为发生时，检查虚拟机主体和虚拟机客体的敏感标签和访问矩阵是否满足敏感标签安全特性和访问矩阵安全特性，如果满足则允许主体访问客体，否则不允许主体访问客体并返回出错消息；　所 述敏感标签安全特性，是指：当虚拟机主体对虚拟机客体进行只读访问时，虚拟机主体的敏感标签必须支配虚拟机客体的敏感标签；当虚拟机主体对虚拟机客体进行只写访问时，虚拟机主体的敏感标签必须被虚拟机客体的敏感标签支配；当虚拟机主体对虚拟机客体进行读写访问时，虚拟机主体的敏感标签必须等于虚拟机客体的敏感标签；　所述访问矩阵安全特性，是指当虚拟机主体对虚拟机客体进行只读、只写或者读写类型的访问时，其访问类型存在于访问矩阵中代表虚拟机主体对虚拟机客体的访问类型元素集合中；　步骤六 ，当步骤五返回的结果是允许访问时，在虚拟机主体的当前访问集合ｂ中加入一条这次访问的记录；　步骤七，当虚拟机主体结束对虚拟机客体的一次访问时，从当前访问集合ｂ中删除关于这次访问的记录。...

【技术特征摘要】
1、一种虚拟化环境中的强制访问控制方法，其特征在于，包括如下步骤：步骤一，在虚拟化场景中指定一个虚拟机作为具有安全管理权限的可信虚拟机，并以这个可信虚拟机为根，其他虚拟机为可信虚拟机的子节点建立层次关系，除可信虚拟机之外的其他所有虚拟机处于同等的地位；步骤二，可信虚拟机使用安全密级和安全范畴作为敏感标签，对单个虚拟机安全级别进行标识；步骤三，建立可信虚拟机的访问矩阵，访问矩阵中记录每个虚拟机对其他虚拟机的访问类型集合，访问类型包括：只读、只写和读写三种，访问矩阵中的数据在虚拟机监控器启动时被加载到虚拟机监控器内部；步骤四，当一个虚拟机启动时，把它的ID号、敏感标签作为参数传入虚拟机监控器内部，在虚拟机监控器内部记录这些信息，并为该虚拟机建立一个当前访问集合b，记录代表该虚拟机的主体当前所有以某种类型对客体的访问；步骤五，当通信或资源共享行为发生时，检查虚拟机主体和虚拟机客体的敏感标签和访问矩阵是否满足敏感标签安全特性和访问矩阵安全特性，如果满足则允许主体访问客体，否则不允许主体访问客体并返回出错消息；所述敏感标签安全特性，是指：当虚拟机主体对虚拟机客体进行只读访问时，虚拟机主体的敏感标签必须支配虚拟机客体的敏感标签；当虚拟机主体对虚拟机客体进行只写访问时，虚拟机主体的敏感标签必须被虚拟机客体的敏感标签支配；当虚拟机主体对虚拟机客体进行读写访问时，虚拟机主体的敏感标签必须等于虚拟机客体的敏感标签；所述访问矩阵安全特性，是指当虚拟机主体对虚拟机客体进行只读、只写或者读写类型的访问时，其访问类型存在于访问矩阵中代表虚拟机主体对虚拟机客体的访问类型元素集合中；步骤六，当步骤五返回的结果是允许访问时，在虚拟机主体的当前访问集合b中加入一条这次访问的记录；步骤七，当虚拟机主体结束对虚拟机客体的一次访问时，从当前访问集合b中删除关于这次访问的记录。2、根据权利要求1所述的虚拟化环境中的强制访问控制方法，其特征是，步骤二中，所述虚拟机的敏感标签，其中的安全密级采用数值形式，安全范畴为特定访问权限的集合，集合中的每个元素代表一项特定的访问权限，两个敏感标签之间的关系是支配与被支配、等于或者不可比较的关系。3、根据权利要求1所述的虚拟化环境中的强制访问控制方法，其特征是，步骤二中，所述对单个虚拟机的安全级别进行标识，具体如下：如果被标识的虚拟机没有敏感标签，则直接使用敏感标签标识该虚拟机的安全级别；如果被标识的虚拟机已经具有敏感标签，则使用新敏感标签重新标识该虚拟机的安全级别，即调整该虚拟机的安全级别，如果标识安全级别时，虚拟机正在运行则需要所有正在运行虚拟机的当前访问集合b同时满足下述6个当前访问集合b安全特性，标识操作才能成功：①该虚拟机的新敏感标签能够支配所有其他虚拟机的当前访问集合b中对该虚拟机进行只写访问虚拟机的敏感标签；②所有其他虚拟机的当前访问集合b中对该虚拟机进行只读访问的虚拟机敏感标签能够支配该虚拟机的新敏感标签；③所有其他虚拟机的当前访问集合b中对该虚拟机进行读写访问的虚拟机敏感标签等于该虚拟机的新敏感标签；④该虚拟机的新敏感标签必须支配它自己的当前访问集合b中所有被该虚拟机只读访问的其他虚拟机敏感标签；⑤该虚拟机自己的当前访问集合b中所有被它只写访问的虚拟机敏感标签能够支配该虚拟机的新敏感标签；⑥该虚拟机的新敏感标签等于它自己的当前访问集合b中所有被该虚拟机读写访问的虚拟机敏感标签。4、根据权利要求1所述的虚拟化环境中的强制访问控制方法，其特征是，步骤三中，所述每个虚拟机对其他虚拟机的访问类型集合，其中不能设置其他虚拟机对可信虚拟机的访问类型集合，即所有其他虚拟机不能作为主体与可信虚拟机通信，可信虚拟机不能作为客体出现在通信过程中。5、根据权利要求1所述的虚拟化环境中的强制访问控制方法，其特征是，步骤五中，所述访问控制过程，如果在通信过程中主体代表的是可信虚拟机，则不受两个条件的约束，即可信虚拟机主体能够以任意类型访问其他虚拟机客体。6、一种虚拟化环境中的强制访问控制装置，其特征在于，包括：虚拟机安全信息管理模块、访问控制初始化模块、虚拟机状态监视模块、访问判定模块、安全管理协助模块，其中，虚拟机安全信息管理模块设置在可信虚拟机中，将其他虚拟机作为可信虚拟机的子节点，建立起虚拟机的层次关系，同时，使用敏感标签标识其他虚拟机的安全级别，在访问矩阵中设置每个虚拟机对其他虚拟机的访问类型集合，并将上述操作结果一方面保存到可信虚拟机的磁盘文件中，另一方面输出到虚拟机监控器内部；访问控制初始化模块设置在虚拟机监控器内部，访问控制初始化模块在虚拟机监控器启动的过程中，从可信虚拟机的磁盘中把访问矩阵加载到虚拟机监控器的内部，在虚拟机启动与关闭、虚拟机之间通信和资源共享的关键路径上设置安全钩子函数，供虚拟机状态监视模块和访问判定模块使用；虚拟机状态监视模块设置在虚拟机监控器内部，虚拟机状态监视模块使用访问控制初始化模块设置的安全钩子函数监测虚拟机启动事件和关闭事件，当发生一个虚拟机启动事件时，虚拟机状态监视模块获得该虚拟机的ID号和敏感标签，保存在虚拟机监控器内部，为该虚拟机创建一个空的当前访问集合b，当发生一个虚拟机关闭事件时，虚拟机状态监视模块清除该虚拟机在虚拟机监控器内部的ID号、敏感标签和当前访问集合b；访问判定模块设置在虚拟机监控器内部，访问判定模块使用访问控制初始化模块设置的安全钩子函数监测虚拟机之间通信和资源共享的事件，判断虚拟机主体和虚拟机客体的敏感标...

【专利技术属性】
技术研发人员：翁楚良，王观海，骆源，李明禄，
申请(专利权)人：上海交通大学，
类型：发明
国别省市：31[中国|上海]