[发明专利]强化应用软件安全性的方法及装置

说明书

技术领域

本发明涉及软件安全技术领域，更具体地说，涉及一种强化应用软件安全性的方法及装置。

背景技术

随着商业操作系统厂商对操作系统自身安全性投入力度的加大，并将软件安全开发生命周期等提高产品安全性的开发模型引入操作系统的开发过程后，操作系统的安全漏洞数量逐渐减少，漏洞利用难度越来越大，漏洞利用成本逐渐提高，使得黑客及病毒的制造者将视线逐渐转移到安全性相对较差的应用软件上。与操作系统厂商相比，应用软件的开发商普遍存在软件安全意识较差，安全成本投入相对较少，针对应用软件的攻击逐年递增，应用软件的安全问题迫切需要解决。

目前，部分操作系统厂商为保护应用软件安全提供了基于虚拟操作系统的技术解决方案，即将自身操作系统划分为多个相互完全独立的虚拟操作系统，并通过将不同应用软件分别安装在各自的虚拟操作系统中，使得不同应用软件之间相互隔离，进而保证了可能存在安全问题的应用软件在遭受攻击后的影响被限制在其所在虚拟操作系统范围内，从而保证了操作系统自身及系统中其它应用软件的安全性。

虚拟机软件厂商也试图利用虚拟机技术解决应用软件的安全问题，通过在本地操作系统或者裸机上创建多个虚拟机，并将应用软件安装在不同的虚拟机中，从而达到隔离应用的目的。

在实现本发明的过程中，发明人发现现有的虚拟机软件厂商的基于虚拟机技术方案至少存在以下缺点：

1.需要重新部署现有应用软件，对现有业务系统影响较大，实施困难，甚至无法实施。

2.随着硬件厂商在计算机CPU、北桥芯片等硬件中增加了虚拟化能力，使得基于硬件虚拟化技术的虚拟机效率明显提升，但由于影子页表与物理页表切换、动态二进制翻译、特权指令陷入及模拟等实现虚拟机所必备技术的限制，其效率仍低于真实物理机。

发明内容

本发明实施例针对现有技术中存在的上述问题，提供一种强化应用软件安全性的方法及装置，在不影响应用软件运行效率且无需重新部署应用软件及其所在的业务系统的基础上，保证应用软件的安全性。

为此，本发明实施例提供如下技术方案：

一种强化应用软件安全性的方法，包括：

为操作系统中每个被保护应用软件创建一个虚拟的安全域；

将所述被保护应用软件的应用进程、所需资源以及安全需求映射为所述应用软件对应的安全域内的主体、客体和域内安全属性，所述域内安全属性包括域内主体安全属性和域内客体安全属性，并将所述操作系统中的其它应用进程及资源映射为域外主体和域外客体；

拦截所述操作系统中应用进程发送的资源请求，所述资源请求中包括资源请求权限及所需资源的信息；

如果所述应用进程映射的主体在安全域内，则根据所述资源请求权限及所述域内安全属性控制所述应用进程映射的主体对所述所需资源映射的客体的访问。

可选地，同一安全域内有一个或多个域内主体、以及一个或多个域内客体。

优选地，所述域内主体安全属性包括逃离门属性，所述逃离门属性表示本安全域内主体访问非本安全域内客体的能力；所述域内客体安全属性包括闯入门属性和域内访问属性，所述闯入门属性表示非本域中主体访问本安全域内客体的能力，所述域内访问属性表示本安全域内客体被本安全域内主体访问的能力；每一个域内访问属性都唯一对应一个域内主体。

优选地，所述根据所述资源请求权限及所述域内安全属性控制所述应用进程映射的安全域内主体对所述所需资源映射的客体的访问包括：

如果所述客体在安全域内，并且与所述主体属于同一安全域，则根据所述资源请求权限及所述客体对应所述主体的域内访问属性控制所述主体对所述客体的访问；

如果所述客体在安全域内，并且与所述主体属于不同安全域，则根据所述资源请求权限、以及所述主体的逃离门属性和所述客体的闯入门属性控制所述主体对所述客体的访问；

如果所述客体不在安全域内，则根据所述资源请求权限及所述主体的逃离门属性控制所述主体对所述客体的访问。

优选地，所述应用进程映射的安全域内主体同时存在于多个安全域内，和/或所述所需资源映射的客体同时存在于多个安全域内，每个安全域具有一个安全级别；

如果一对所述应用进程映射的安全域内主体和所述所需资源映射的安全域内客体同时存在于多个安全域内，并且这些安全域具有不同的安全级别，则所述客体在不同安全域内针对所述主体的域内访问属性为具有最高安全级别的安全域内针对所述主体的域内访问属性；