[发明专利]基于SELinux的自学习可信策略构建方法及系统

说明书

本发明实施例提供的一种基于SELinux的自学习可信策略构建方法及系统，该方法包括：获取需要添加进策略文件的应用程序；进入策略学习模式，将SELinux设置为宽容模式；允许并执行应用程序的所有操作，获取日志文件里记录的拒绝信息；读取拒绝信息，将拒绝信息转化成策略文件；将策略文件加载至内核。本发明实施例提供的自学习可信策略构建方法及系统，对新安装的应用程序，通过将SELinux设置为宽容模式，以一个训练过程构建策略文件，执行需要添加进策略文件的应用程序操作，在不添加前置操作策略的情况下，后置操作仍被允许执行而不会使学习过程停止，实现在不影响程序运行的情况下，构建应用程序所需的可信策略。

技术领域

本发明涉及计算机技术领域，尤其涉及一种基于SELinux的自学习可信策略构建方法及系统。

背景技术

SELinux安全模块的默认规则是，在强制模式下，策略文件中没有定义的一切操作都将被拒绝执行并把拒绝信息写入日志文件；在宽容模式下，SELinux允许应用程序的所有操作，将策略文件中没有定义的操作信息写入日志文件。日志文件里的拒绝信息主要包含：主体和客体信息以及安全上下文、主体对客体的操作等。如果策略文件中定义了某个操作信息，执行该操作时不会被SELinux拒绝，日志文件里也就不会记录相应的拒绝信息。当系统新安装一个应用程序时，该应用程序的任何操作都会被拒绝。保证应用程序的可信受控运行需要为应用程序构建合理的访问策略规则。为了保证策略规则的完整性及可信性，该构建过程建立在受保护的可信系统基础之上。

现有技术中存在着诸多关于可信策略构建方法，其中专利申请号为CN201210563375.X的专利文件中，公开了一种基于自学习的Linux安全策略配置方法，用于解决Linux操作系统安全策略配置困难的问题，包括：在SELinux的安全服务器区嵌入策略学习模块；该策略学习模块对配置管理员用户提供了一个自动学习开关，使得安全服务器通过判断开关状态来自动生成访问控制策略。开关处于开启状态时，记录LSM拦截的所有主客体之间的访问请求，自动生成相应的访问控制策略，同时放行请求；当开关关闭，策略学习模块将不发挥作用，安全服务器将返回现有的访问控制策略。

该方案的实施步骤主要包括：(1)安装Linux操作系统，并将改进后的SELinux作为安装项；(2)进入Linux操作系统，开启策略学习模块流程，并开启所述策略学习模块的学习开关；(3)部署应用软件与业务系统；(4)经过一段时间的安全稳定运行，关闭所述策略学习模块的学习开关；(5)手动调整，合并部分自动生成的访问控制策略；(6)经过一段时间的稳定运行，对安全日志进行审计，记录并生成没有正常运行的主体名单及访问的客体名单；(7)手动调整所述自动生成的访问控制策略，为所述没有正常运行的主体名单中的主体添加对应客体的访问权限；(8)安全策略配置结束。

由于上述方案公开的安全策略的构建方法是利用LSM接口拦截获取主客体安全上下文，并且逐条生成安全策略，导致对于有依赖关系的操作，需要先添加前置操作的安全策略，才能添加后置操作的安全策略。因此，其在构建策略时，会影响了程序运行；且在安全策略构建结束后，制定的可信策略可能被恶意篡改，无法保证策略的完整性。

在专利申请号为CN201610031855.X的专利文件中，公开了一种安全配置方法，包括：确定应用是否设置有安全标识；当所述应用设置有所述安全标识时，采用本地预设的强制访问控制安全系统SELinux安全策略保护所述应用的安全。本发明实施例还公开了一种安全配置方法，包括：接收用户输入的标记指示；根据所述标记指示，为应用设置安全标识。

由于上述方案是利用本地预设的安全策略，对不同的安全标识配置策略，然后为新安装的应用程序配置需要的安全标识，导致该方案无法为特定应用程序配置特定策略。

综上所述，亟需提供一种可信策略构建方法，能够对每个特定应用程序配置特定策略，并在策略构建的过程中，保证程序的正常运行。

发明内容