[发明专利]一种基于SELinux安全子系统的策略适配系统及方法

说明书

技术领域

本发明涉及Linux操作系统领域，特别涉及安全服务器领域，具体是指一种基于SELinux安全子系统的策略适配系统及方法。

背景技术

SELinux(Security-Enhanced Linux)是美国国家安全局(简称NSA)对于强制访问控制的实现，是Linux上最杰出的新安全子系统。NSA在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在它的任务中所需要的文件。通常，SELinux默认安装在Fedora操作系统和Red Hat Enterprise Linux操作系统上，还可以安装在其他相关的系统中，如CentOS，NeoKylinOS等。

Linux增加了一个通用的安全访问控制框架，它通过Hook函数来控制程序的执行，这个框架是LSM(Linux Secuirty Module)，在LSM框架中可以使用各种安全控制机制(如Flask机制)来实现对程序的控制。

SELinux系统应用了类型加强(Type Enforcement，简称TE)和基于角色的访问控制(Role-Based Access Control，简称RBAC)，其相比通用Linux系统来说，安全性较高，SELinux系统通过细粒度访问控制的方法，使用户及进程权限最小化，即使受到攻击，进程或者用户权限被夺去，也不会对整个系统造成重大影响。SELinux具有以下特点：对访问的控制彻底化，对于进程只赋予最小权限，防止权限升级，对于用户赋予最小权限。

SELinux能够有效地防止0-day漏洞，更好的控制系统的安全性。SELinux的访问控制规则存放在安全策略文件中，策略文件分为二进制文件和源代码文件，因为SELinux细粒度的影响造成策略文件源代码的难以编写和维护。源代码编译后便被加载到内核空间，形成内存中的策略库及缓存。由于这一特征，很多系统工程师便手工修改SELinux工作模式，当SELinux工作模式降为Permissive(只是警告违反SELinux规则但并不阻止)状态或Disabled状态便失去了作用。

因此，亟需一种针对于SELinux安全子系统的策略适配方法，以更好地处理SELinux所需要的策略文件，提高系统的安全性。

发明内容

本发明所要解决的技术问题之一是需要提供一种基于SELinux安全子系统的策略适配系统及方法。

为了解决上述技术问题，本发明提供了一种基于SELinux安全子系统的策略适配系统，该系统包括：信息采集模块，其用于采集SELinux安全子系统及SELinux安全子系统中所运行的服务的信息；策略模板存储模块，其用于以数据库的存储方式来存储原子性策略模板和预先设定服务的策略库；策略生成模块，其利用所述原子性策略模板和所述策略库，根据所采集的信息来生成策略语句；策略测试模块，其测试所述策略生成模块所生成的策略语句的语法是否合法；以及策略修复模块，其在所述策略测试模块的测试结果为合法时，重新启动系统，通过降低或升高SELinux安全子系统的安全等级来测试已加载的所述策略语句在不同的安全等级中是否运行正常，在所述策略测试模块的测试结果为不合法时，则进入所述策略生成模块重新利用所述原子性策略模板和所述策略库根据所采集的信息来生成策略语句，其中，

所述原子性策略模板包括关键字策略模板和宏定义策略模板。

根据本发明另一方面的基于SELinux安全子系统的策略适配系统，在所述策略修复模块中，当所述策略语句在所述不同安全等级的其中一个安全等级中运行不正常时，

所述信息采集模块采集处于所述安全等级中的SELinux安全子系统的扩展属性资源信息；

所述策略修复模块，其基于扩展属性资源信息生成补充策略语句，将所述补充策略语句添加至所述策略语句中以生成新的策略语句以使所生成的新的策略语句在所述安全等级中运行正常，以及

在所述策略模板存储模块中存储运行正常的所述新的策略语句。

根据本发明另一方面的基于SELinux安全子系统的策略适配系统，还包括：

日志存储模块，其对运行正常的所述新的策略语句所产生的日志信息进行存储，所述日志信息包括新的策略语句的生成的时间和新的策略语句所存储的位置。

根据本发明另一方面的基于SELinux安全子系统的策略适配系统，

所述信息采集模块，其基于细粒度权限来采集SELinux安全子系统及SELinux安全子系统的服务的信息，其中，