[发明专利]一种强制访问控制方法及其系统

权利要求书

1.一种强制访问控制的方法，其特征在于包括如下步骤：

(1)强制访问控制执行模块截获主体的操作请求，并将其转发至决策模块，由决策模块向策略模块发出操作许可请求；

(2)策略模块依据系统安全管理员的设置，判断当前工作状态为正常状态或学习模式，若为学习模式，则执行步骤(4)；若为正常状态，则查询初始强制访问控制策略数据库和细化的强制访问策略数据库，如果当前操作请求在上述两个策略数据库中都找到相应的允许策略，则将当前操作向策略序列分析模块传递允许操作请求，执行步骤(3)；否则向决策模块提交拒绝操作请求并转至步骤(7)；

(3)策略序列模块接受由策略模块转来的操作许可请求，查询策略序列数据库并作出判断，将允许当前操作或拒绝当前操作的判断结果提交给决策模块后转至步骤(7)；

(4)策略模块进入学习模式，查询初始强制访问控制策略数据库，判断当前操作是否符合初始的强制访问控制策略，若符合初始的强制访问控制策略，执行步骤(5)；否则向决策模块提交拒绝操作请求并转到步骤(7)；

(5)策略模块将当前操作许可请求转至策略序列模块，策略序列模块对当前操作进行策略序列分析，并与系统安全管理员进行交互；

(6)策略模块接收策略序列模块和系统安全管理员交互的允许当前操作的结果，对当前操作进行策略细化分析，并与系统安全管理员进行交互；更新细化的强制访问控制策略库；以系统安全管理员判断的结果作为最终的判断结果提交给决策模块；

(7)决策模块将系统的决策结果交予强制访问控制执行模块实施对主体的操作请求的允许或拒绝。

2.根据权利要求1所述的一种强制访问控制的方法，其特征在于：步骤(5)中所述的策略序列分析的具体方法为：

(a)策略序列模块将当前操作转换成初始的强制访问控制策略，作为当前策略存储在缓存中；

(b)策略序列模块将当前策略和之前的策略组合成不定长策略序列，查询策略序列库，判断是否允许当前操作序列，若当前操作序列存在于策略序列库中，则向决策模块提交操作许可请求执行步骤(6)；否则将该序列结果与系统安全管理员进行交互，执行步骤(c)；

(c)若系统安全管理员允许当前操作，则策略序列模块将当前操作对应的初始强制访问控制策略与之前操作序列所对应的初始强制访问控制策略序列组成当前操作序列，更新到策略序列库中，执行步骤(6)；若系统安全管理员拒绝当前操作，则向决策模块提交拒绝操作请求并转至步骤(7)。

3.根据权利要求1所述的一种强制访问控制的方法，其特征在于：步骤(6)中所述的策略细化分析的具体方法是：

(A)策略模块接受决策模块发出操作许可请求，查询当前操作请求在细化的策略数据库中是否有相应的类型，若为允许当前操作序列，提交操作允许请求到决策模块，执行步骤(7)，否则与系统安全管理员进行交互，执行步骤(B)；

(B)策略模块获得系统安全管理员对当前操作的判断结果，若为允许当前操作，则将其单独定义一个类型，把当前操作作为一条策略更新到细化的策略数据库中，并将当前的策略序列更新到策略序列模块中的策略序列库中，提交操作允许请求到决策模块，否则提交操作拒绝请求到决策模块，执行步骤(7)。

4.一种强制访问控制系统，其特征在于它包括访问控制执行模块、决策模块、策略模块和策略序列模块；其工作状态包括正常状态和学习模式，由系统安全管理员选择；所述的访问控制执行模块，用于截获主体的初始强制访问控制策略数据库和细化的强制访问策略数据库操作请求并转发至决策模块；执行决策模块所返回的操作请求的允许或拒绝判断结果；所述的决策模块，用于将访问控制执行模块截获的主体的操作请求转发给策略模块；所述的策略模块包括初始强制访问控制策略数据库和细化的强制访问策略数据库；策略模块将查询上述两个策略数据库的结果提交给决策模块；在学习模式下更新细化的策略数据库，并将当前的操作请求所对应的初始强制访问控制策略发送给策略序列模块；所述的策略序列模块包括策略序列数据库，策略序列模块用于接受由策略模块传来的操作许可请求，根据之前的系统调用对应的初始强制访问控制策略与当前的系统调用对应的初始强制访问控制策略组合成策略序列，将查询策略序列数据库的结果提交给决策模块，并在学习模式下更新策略序列数据库。