【技术实现步骤摘要】
本专利技术涉及系统安全，具体涉及一种linux系统的完整性保护方法及系统。
技术介绍
1、随着计算机技术和网络技术的快速发展，在linux系统上开发适配的应用也越来越多，而应用的质量参差不齐，导致系统可受攻击的点越来越多，一旦某个应用被病毒木马等恶意软件攻陷，很可能会劫持该应用来恶意篡改系统关键资源和获取用户隐私数据等，破坏系统运行的完整性。同时也存在部分应用可能为了保证自身的运行，在安装时引入不同版本的系统动态库来替换系统原本的动态库，导致系统或其他应用运行异常。因此怎么在运行环境日益复杂的系统中确保系统的完整性，成了当前急需攻克的一个安全难题。从操作系统角度考虑，即要保证系统运行的安全性和完整性，又要确保系统运行的性能不受影响，还得不能影响用户的正常操作使用，也不能增加用户的操作开销，对于已适配好的应用也得兼容等。
2、从目前已有的技术来看，都只是片面的解决了系统的完整性保护问题，没有从系统的整体角度来解决问题。如：公开号为cn 117077219 a的中国专利申请文献公开了一种操作系统完整性保护方法、系统、设备及存储介质，其中描述当程序对目标文件进行完整性破坏时，先从程序扩展属性中获取程序的可信状态，当程序可信状态为未知状态时，通过映射方式替换目标文件，让程序实际篡改克隆分区中的替身文件，而当程序为可信状态时，则可以篡改目标文件，此处在不影响未知程序正常运行的情况下，保证未知程序无法篡改真实文件，有效防止未知程序破坏操作系统的完整性。该方法中将可信状态放到扩展属性中，容易被仿冒，安全性不够，同时还需单独创建一个
3、总而言之，目前已有的技术只是片面的解决了系统的完整性保护问题，没有从系统的整体角度来解决问题，如何从系统的整体角度来解决系统的完整性保护问题，不仅考虑其实用性和安全性，也考虑其对系统性能的损耗影响，则仍然是一项亟待解决的关键技术问题。
技术实现思路
1、本专利技术要解决的技术问题：针对现有技术的上述问题，提供一种linux系统的完整性保护方法及系统，本专利技术旨在实现一种开销损耗低、实用性和安全性好的系统分级分层和应用隔离管控以达到对系统完整性保护的目的、防止系统的关键资源和应用不被非法破坏。
2、为了解决上述技术问题，本专利技术采用的技术方案为：
3、一种linux系统的完整性保护方法，包括：
4、s101，为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中；
5、s102，在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的id属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护。
6、可选地，步骤s101为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中包括：在系统中的文件被创建时，通过系统中内核安全模块默认根据给被创建文件设置id属性值，所述id属性值的分类继承该文件的父目录或创建该文件的主体进程。
7、可选地，步骤s101为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中包括：在系统中的安装包被安装时，根据安装包的信息确定安装包对应的分类信息，根据安装包对应的分类信息为安装包对应文件分配id属性值并记录在文件的inode节点中，所述安装包的信息包括安装包的类型、包名、应用名、描述信息中的部分或者全部。
8、可选地，步骤s101为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中包括：利用系统内核外的程序主动调用预设的设置接口给指定的文件设置包含分类信息的id属性值并记录在文件的inode节点中。
9、可选地，所述分类信息包括系统类、应用类、用户数据类和临时类，其中系统类为系统自带文件，应用类为安装的应用对应的文件，用户数据类为用户主目录下的文件，临时类为临时文件；所述系统类包括通用类别和特殊类别，通用类别包括所有系统通用库、通用命令和常规配置文件，特殊类别为系统类中除通用类别以外的类别，且特殊类别包括多种子类别。
10、可选地，步骤s102中根据主体进程、客体文件对应文件的id属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，预设的主客体管控策略包括：策略a，所有分类信息类型的文件的主体进程对系统类的客体文件具有读权限，但是没有写、删除和重命名权限；策略b，系统类中的特殊类别下跨子类别间的主体进程对客体文件的访问均只有读权限，没有写、删除和重命名权限；系统类中特殊类别下文件的主体进程对于通用类别的客体文件具有所有访问权限；策略c，应用类文件的主体进程对id属性值不同的应用类和用户数据类的客体文件均没有任何权限；策略d，所有分类信息类型的文件的主体进程对临时类的客体文件具有所有权限，同时临时类文件的主体进程只对系统类中的通用类别下的客体文件有读权限，对系统类中特殊类别下的客体文件没有任何权限。
11、可选地，步骤s102中根据主体进程、客体文件对应文件的id属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，还包括在根据主体进程、客体文件对应文件的id属性值及其分类信息结合预设的主客体管控策略确定主体进程对客体文件没有权限时，发起用户交互请求以通过用户授权认证的方式进行授权以使得主体进程对客体文件具有相应的访问权限。
12、此外，本专利技术还提供一种linux系统的完整性保护方法，包括：
13、文件属性设置程序单元，用于为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中；
14、主客体管控程序单元，用于在系统中的主体进程访问客体文件时，根据主体进程、客体文件对应文件的id属性值及其分类信息结合预设的主客体管控策略进行访问权限的系统分级分层和应用隔离管控以实现完整性保护。
15、此外，本专利技术还提供一种linux系统的完整性保护系统，包括相互连接的微处理器和存储器，所述微处理器本文档来自技高网...
【技术保护点】
1.一种Linux系统的完整性保护方法，其特征在于，包括：
2.根据权利要求1所述的Linux系统的完整性保护方法，其特征在于，步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的文件被创建时，通过系统中内核安全模块默认根据给被创建文件设置ID属性值，所述ID属性值的分类继承该文件的父目录或创建该文件的主体进程。
3.根据权利要求1所述的Linux系统的完整性保护方法，其特征在于，步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：在系统中的安装包被安装时，根据安装包的信息确定安装包对应的分类信息，根据安装包对应的分类信息为安装包对应文件分配ID属性值并记录在文件的inode节点中，所述安装包的信息包括安装包的类型、包名、应用名、描述信息中的部分或者全部。
4.根据权利要求1所述的Linux系统的完整性保护方法，其特征在于，步骤S101为系统中的文件赋予包含分类信息的ID属性值并记录在文件的inode节点中包括：利用系统内核外的程序主动调用预设的设置接口给指定
5.根据权利要求1所述的Linux系统的完整性保护方法，其特征在于，所述分类信息包括系统类、应用类、用户数据类和临时类，其中系统类为系统自带文件，应用类为安装的应用对应的文件，用户数据类为用户主目录下的文件，临时类为临时文件；所述系统类包括通用类别和特殊类别，通用类别包括所有系统通用库、通用命令和常规配置文件，特殊类别为系统类中除通用类别以外的类别，且特殊类别包括多种子类别。
6.根据权利要求5所述的Linux系统的完整性保护方法，其特征在于，步骤S102中根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，预设的主客体管控策略包括：策略a，所有分类信息类型的文件的主体进程对系统类的客体文件具有读权限，但是没有写、删除和重命名权限；策略b，系统类中的特殊类别下跨子类别间的主体进程对客体文件的访问均只有读权限，没有写、删除和重命名权限；系统类中特殊类别下文件的主体进程对于通用类别的客体文件具有所有访问权限；策略c，应用类文件的主体进程对ID属性值不同的应用类和用户数据类的客体文件均没有任何权限；策略d，所有分类信息类型的文件的主体进程对临时类的客体文件具有所有权限，同时临时类文件的主体进程只对系统类中的通用类别下的客体文件有读权限，对系统类中特殊类别下的客体文件没有任何权限。
7.根据权利要求6所述的Linux系统的完整性保护方法，其特征在于，步骤S102中根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略进行访问权限管控以实现完整性保护时，还包括在根据主体进程、客体文件对应文件的ID属性值及其分类信息结合预设的主客体管控策略确定主体进程对客体文件没有权限时，发起用户交互请求以通过用户授权认证的方式进行授权以使得主体进程对客体文件具有相应的访问权限。
8.一种Linux系统的完整性保护方法，其特征在于，包括：
9.一种Linux系统的完整性保护系统，包括相互连接的微处理器和存储器，其特征在于，所述微处理器被编程或配置以执行权利要求1～7中任意一项所述Linux系统的完整性保护方法。
10.一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，其特征在于，所述计算机程序用于被微处理器编程或配置以执行权利要求1～7中任意一项所述Linux系统的完整性保护方法。
...【技术特征摘要】
1.一种linux系统的完整性保护方法，其特征在于，包括：
2.根据权利要求1所述的linux系统的完整性保护方法，其特征在于，步骤s101为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中包括：在系统中的文件被创建时，通过系统中内核安全模块默认根据给被创建文件设置id属性值，所述id属性值的分类继承该文件的父目录或创建该文件的主体进程。
3.根据权利要求1所述的linux系统的完整性保护方法，其特征在于，步骤s101为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中包括：在系统中的安装包被安装时，根据安装包的信息确定安装包对应的分类信息，根据安装包对应的分类信息为安装包对应文件分配id属性值并记录在文件的inode节点中，所述安装包的信息包括安装包的类型、包名、应用名、描述信息中的部分或者全部。
4.根据权利要求1所述的linux系统的完整性保护方法，其特征在于，步骤s101为系统中的文件赋予包含分类信息的id属性值并记录在文件的inode节点中包括：利用系统内核外的程序主动调用预设的设置接口给指定的文件设置包含分类信息的id属性值并记录在文件的inode节点中。
5.根据权利要求1所述的linux系统的完整性保护方法，其特征在于，所述分类信息包括系统类、应用类、用户数据类和临时类，其中系统类为系统自带文件，应用类为安装的应用对应的文件，用户数据类为用户主目录下的文件，临时类为临时文件；所述系统类包括通用类别和特殊类别，通用类别包括所有系统通用库、通用命令和常规配置文件，特殊类别为系统类中除通用类别以外的类别，且特殊类别包括多种子类别。
6.根据权利要求5所述的linux系统的完整性保护方法，其特征在于，步骤s102中根据主体进程、...
【专利技术属性】
技术研发人员：杨钊，刘毅，姬一文，郇福喜，于博，杨诏钧，
申请(专利权)人：麒麟软件有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。