[发明专利]操作系统中网络驱动层的数据访问控制方法

说明书

技术领域

本发明涉及计算机科学与技术领域，特别涉及一种操作系统中网络驱动层的数据访问控制方法。

背景技术

访问控制是按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用。通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。传统的通用操作系统基本都是采用在IP层或应用层来加入访问控制，从而允许或限制数据的传输。采用这种方法的问题是，当操作系统出现漏洞时，通常能够轻易的绕过IP层或应用层，使得操作系统网络的安全性遭到破坏。

发明内容

本发明的目的旨在至少解决上述技术缺陷之一。

为此，本发明提出一种操作系统中网络驱动层的数据访问控制方法，该方法动态管理权限规则库，使用网卡访问控制监视器实时监测分析网络数据包以及相关信息并根据权限规则库规则进行处理。该方法通过在操作系统的网络驱动层引入访问控制技术，提高了操作系统对网络设备及网络数据的控制，增强了操作系统网络的安全性。

本发明的实施例提出了一种操作系统中网络驱动层的数据访问控制方法，包括如下步骤：设置权限规则库，并对所述权限规则库进行动态管理，其中所述权限规则库记录操作系统的网络设备和网络数据包采用的规则；网卡访问控制监视器实时监测网卡的发送数据包和接收数据包以及所述发送数据包和接收数据包的信息，并抓取所述网络的当前数据通路上的数据包以及所述当前数据通路上的数据包对应的数据信息；所述网卡访问控制监视器加载所述权限规则库，并将所述当前数据通路上的数据包对应的数据信息与所述权限规则库中的规则进行匹配，根据匹配结果处理所述当前数据通路上的数据包。

根据本发明的操作系统中网络驱动层的数据访问控制方法，在操作系统的网络驱动层引入访问控制技术，提高了操作系统对网络设备及网络数据的控制，增强了操作系统网络的安全性。

在本发明的一个实施例中，所述权限规则库设置在所述操作系统内核所在的内存区域。

在本发明的一个实施例中，所述对权限规则库进行动态管理，包括如下步骤：

对所述权限规则库的更新实时生效，以及将更新的所述权限规则实时推送至所述网卡访问控制监视器。

在本发明的一个实施例中，所述权限规则库记录的权限规则包括：

默认规则，所述默认规则为系统预设的对网络设备和网络数据包采用的规则；和

自定义规则，所述自定义规则为根据网络情况自定义的权限规则，

其中，所述自定义规则的优先级高于所述默认规则。

在本发明的一个实施例中，所述网卡访问控制监视器位于网络驱动的抽象层和实际网卡驱动之间的数据通路上，能够实时监测分析网卡需要发送和接收的数据包及相关信息。

在本发明的一个实施例中，所述抓取所述网络的当前数据通路上的数据包，包括如下步骤：

对于每个当前数据通路上的数据包，所述网卡访问控制监视器建立网络数据包，并将当前数据通路上的数据包复制到所述网络数据包中，对所述网络数据包中的数据进行分析处理。

在本发明的一个实施例中，所述当前数据通路上的数据包对应的数据信息包括：MAC地址、源IP地址、目的IP地址以及对应的网卡设备的标识信息。

在本发明的一个实施例中，所述将所述当前数据通路上的数据包对应的数据信息与所述权限规则库中的规则进行匹配，包括如下步骤：

所述网卡访问控制监视器检测所述MAC地址，并将所述当前数据通路上的数据包对应的数据信息与所述权限规则库规则中的规则进行匹配，

如果所述当前数据通路上的数据包对应的数据信息与所述权限规则库规则中的规则匹配，则对所述数据包进行放行处理，否则丢弃所述数据包。

在本发明的一个实施例中，所述对数据包进行放行处理，包括如下步骤：

将所述数据包发送给TCP/IP协议栈进行处理。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为根据本发明实施例的操作系统中网络驱动层的数据访问控制方法流程框图；

图2为根据本发明实施例在计算机体系结构中所处位置示意图；以及

图3为根据本发明实施例的网卡访问控制监视器的处理流程框图。

具体实施方式