摘 要

本发明公布了一种基于微过滤驱动的文件强制访问控制方法，通过结合文件系统微过滤驱动和强制访问控制多级安全策略模型，实现文件的访问控制和安全防护，包括设定文件强制访问控制的规则存入配置文件；产生I/O请求并下传；处理I/O请求并下传IRP消息；进行IRP消息拦截、获取和解析；通过轮询配置文件，对IRP消息予以放行或返回拒绝消息。本发明使得过滤器加载顺序更易控制；能极大提高开发效率；对多平台和应用程序提供更好的支持；安全好用，适用于具有办公保密特殊需求的军工等部门。

 

 

背景技术

 

[0002] 随着电子办公技术的逐渐普及，电子文档资料的安全性显得越来越重要。Windows 系统作为当今最主流的C2级商务操作系统，其针对文件的访问控制仍停留在自主访问控制 阶段(DAC)，显然无法满足军工部门甚至是航天部门对文档资料处理的高机密性搞完整性 要求。

[0003] 强制访问控制是实现操作系统安全的一个重要的方法，是对操作系统的各种客体 (如文件、socket、系统FIF0、IPC等)进行细粒度的访问，即当用户或用户程序访问系统的某 个客体时，强制访问控制机制对这种访问的安全性进行检查。与自主访问控制机制不同，强 制访问控制对用户及用户程序的行为进行限制，从而达到更高的安全级别。

[0004]为了判定访问行为是安全的，引入安全策略的概念。安全策略是一组检查条件，它 为每次访问的主体(用户或用户程序)和被访问的客体(如文件等)定义一个安全标记，再根 据主体和客体的安全标记来决定这次访问是否安全。目前已经开发出多种安全策略，其中 多级安全策略MLS用得最多。它的基本思想是定义一些安全级，如从低到高分普通、机密、绝 密等安全级，要求高安全级别的信息不能泄露给低安全级别的用户，这样就要求低安全级 的主体不能读高安全级的客体，同时高安全级的主体不能写低安全级的客体。

[0005]当前业内针对Windows平台文件的访问控制技术主要有两种：系统默认的自主访 问控制(DAC)技术和HOOK (钩子)技术;其中：

[0006]自主访问控制技术，允许具有管理员权限的用户决定系统上的资源可以被哪些用 户或进程访问，这种滥用信任基础的操作不仅难以防止那些以某个用户的身份运行恶意程 序的访问，也明显违背了信息安全基本原则:最小权限化原则和一切未知事物不可信原则。 [0007] H00K技术是通过对Windows系统提供的文件操作函数及文件操作所触发的系统消 息进行钩子过滤，经过有针对性的处理来实现文件访问控制的效果，但该技术最大的缺点 是在Windows 7及更高系统上稳定性和兼容性都非常差。

[000S]综上所述，现有的技术难以实现具有强大的安全防护的满足安全好用需要的文件 访问控制方法。