[发明专利]基于标记的进程强制行为控制方法和系统

说明书

本发明涉及一种基于标记的进程强制行为控制方法和系统。该方法包括：1)在程序文件中设置安全标记，安全标记优选存储于程序文件的扩展属性中；2)具有安全标记的程序文件运行时，操作系统内核读取其安全标记的规则内容，并将规则内容存储在进程的进程控制块中；3)当进程需要执行新程序时，将新程序的路径与进程控制块中存储的规则内容进行规则匹配；4)根据所述规则匹配的结果，进行进程的强制行为控制。本发明采用强制性的机制限制进程的行为范围，一旦超出限定的范围则强制终止进程执行，能够有效防范进程被代码注入后执行任意程序，避免发生服务器被被劫持的安全事件。

技术领域

本发明属于计算机技术领域，具体涉及一种基于标记的进程强制行为控制方法和系统。

背景技术

“黑客”攻击服务器系统的主要方法是所谓的“代码注入”。“代码注入”主要包括“缓冲器溢出”和“格式化数据”等方法，其根本原理都是利用C语言的固有缺陷，用大量的数据填充程序的数据区，在程序不保护其堆栈边界时，自动执行保留在堆栈中的程序，从而成功闯入服务器。由于被攻破的服务器进程往往具有系统的最高运行权限，攻击程序就自然地继承了这些特权。具有特权的进程能够超越系统中安全策略的限制，认证与鉴别、访问控制等安全机制名存实亡，形同虚设，入侵者可以任意拷贝、篡改、删除服务器中的信息。

针对“代码注入”这种普遍存在而又危害严重的网络威胁，国内外的学者和专家提出了许多种解决方案。其中比较著名的有：数据地雷(Data Mine)方案、堆栈不可执行方案、数据和代码分离方案和边界检查方案。

但上述这些方案都不能完全防止使用“代码注入”的方法获得的服务器最高控制权。堆栈不可执行和数据、代码分离方案已被证明不成立。边界检查方案逻辑上虽然成立，但是完全实施会将系统的效率降低为原来的1/20到1/30，因此也就成为一个不切实际的解决方案。

具体来说，现有技术中存在的问题包括：

1.不能防止“代码注入”后执行任意代码。在发生“代码注入”攻击时，如果系统服务被黑客利用，由于被攻击程序往往具有系统特权，从而可以执行任意程序。造成对系统的完全控制。这种只依赖操作系统原有的访问控制策略防范“代码注入”攻击的方法是不充分的，需要提供一种强制性的机制，可以限制进行的行为范围，一旦超出限定的范围，则强制终止进程执行，防止执行任意代码等破坏操作系统的安全事件发生。

2.标记无法与客体建立关联。安全标记的设定一般通过配置文件完成，无法实现与客体的紧耦合。

3.判断逻辑单一。采用传统访问控制策略的访问控制判断逻辑较为简单，未对进程进行基于复杂策略的强制控制。

4.对程序运行效率影响大。为防止“代码注入”破坏系统安全，边界检查等方法会大大降低系统的运行效率。

发明内容

根据现有技术中的上述问题，必须提供适当的机制保护和监视服务器中运行的进程主体，保证该进程主体以恰当的方式对外提供服务。本发明提供一种基于标记的进程强制行为控制方法，能够有效防范进程被“代码注入”后执行任意程序，避免发生服务器被被劫持的安全事件。

本发明的强制行为控制方法用一种形式化的语言描述进程，能够设定改变其进程映象的程序范围，一旦进程的行为超出了限定的范围，即判定该进程进行了有害操作，系统将自动停止该进程继续运行，并记录所有关于该事件的安全相关信息。强制运行控制机制的控制范围是所有以特定程序形成的进程映象家族，而不是特定的进程，对于受控进程映象家族的子进程、孤儿进程、SESSION LEADER进程，强制运行控制机制都同样有效。从而有效防范进程被“代码注入”后执行任意程序，不会发生服务器被被劫持的安全事件。

本发明采用的技术方案如下：

一种基于标记的进程强制行为控制方法，包括以下步骤：

1)在程序文件中设置安全标记；