[发明专利]一种基于多容器分离处理的安全计算架构方法及装置

说明书

本发明涉及安全计算机架构领域，尤其是一种基于多容器分离处理的安全计算架构方法及装置。本发明提出的计算架构方法中，包含了四个不同的处理容器，采取了容器安全隔离、容器协同防御、外部物理锁与内部逻辑锁安全管控、动态内存安全清洗、软件行为独立监管、敏感文件安全处理与保护、电子支付密码保护、操作系统软件与应用软件分离安装、系统软件安全升级等多种安全机制，在所提出的安全计算架构上通过执行严密的安全处理控制与操作流程，最终达到安全计算的目的。

技术领域

本发明涉及安全计算机架构领域，尤其是一种基于多容器分离处理的安全计算架构方法及装置。

背景技术

现有的计算机系统的运算架构无论是采取单核还是多核，全都是基于单一物理容器的设计思想，软件系统与文件系统都位于同一个物理存储空间内，操作系统与各种应用软件都在同一套内存中运行，攻击代码可以将各种应用软件作为入侵载体，病毒、木马等恶意软件可以通过网卡、光驱、USB等外部接口攻入计算机系统内部，“键盘记录”木马也会给移动电子支付形成严重的安全威胁。传统的单容器运算架构只考虑了运算功能的高效性与可靠性，其安全完全依赖于以软件实现的终端安全防护系统或云安全防护，由于其先天的架构缺陷所致，没有防御弹性，也不具有防御纵深，单容器运算架构很难抵御各种未知的安全威胁，任何一个安全漏洞被利用都可能攻破整个防御体系，这是单容器处理架构天生具有的安全隐患，在网络攻击技术快速发展的今天几乎是不设防的。

网络攻击的实质是篡改目标计算机的系统软件或在应用软件中安插恶意代码，或窃取目标的敏感数据，或潜入目标动态内存中获得执行的机会，或破坏目标的正常运行。如果安全机制能够使得攻击软件代码根本无法安插到目标的软件系统，或者根本不能得到执行的机会，也不能获取敏感信息，那么这种计算机系统在网络空间中则是高安全的。

发明内容

本发明所要解决的技术问题是：针对现有技术存在的问题，提供一种基于多容器分离处理的安全计算架构方法及装置。本发明提出了一种四容器分体式防御的新型安全计算架构，每个容器根据其安全防御目标来分割和实现其相应的计算功能与防御机制。各容器只执行既定的功能，并采取针对性很强的安全防御机制。各容器所采取的各种安全防护机制协调工作，使整个计算架构形成具有安全纵深的防御能力，避免网络攻击给计算机造成严重的后果，消除了受到攻击后成为僵尸计算机的可能性。

本发明采用的技术方案如下：

一种基于多容器分离处理的安全计算架构方法包括：

安全计算机设置步骤：安全计算机设置有四个独立运行的处理容器，分别为面向应用的弹性防御容器(C1)、面向TCP/IP协议栈的弹性防御容器(C2)、安全隔离容器以及安全存储容器，C1和C2通过内部的第一高速通信总线与安全隔离容器连接，安全存储容器通过内部的第二高速通信总线与安全隔离容器连接，基于内部通信协议格式实现高速通信；安全计算机的C1容器连接显卡、光驱、鼠标、USB以及232串口，C2容器连接网络接口，安全隔离容器连接键盘，安全存储容器设置有硬盘和敏感文件FLASH盘、USBKey接口以及生物认证接口，此外每个容器都设置有本地系统软件FLASH盘；

安全隔离容器隔离步骤：作为计算机协同防御的管控核心，实施对所有应用的处理实施全流程的安全管控，在弹性防御容器与安全存储容器之间执行安全隔离控制，阻断对安全存储容器的攻击渗透；

安全防护与管控步骤：安全计算机设置有外部接口锁、外部物理锁以及内部逻辑锁，用于联合实施安全防护与管控；

安全运行监管步骤：安全计算机各处理容器都设置有一个软件行为独立监控模块，安全隔离容器单独设置有一个安全管控模块，它们通过安全控制总线连接，用于实施安全运行监管控制。

进一步的，所述的方法还包括：