一種自動處理語義沖突的SeLinux策略模塊合并方法技術

本發明專利技術提供一種自動處理語義沖突的SeLinux策略模塊合并方法，包括如下步驟：1)規則信息提取階段：a.輸入新舊SeLinux策略模塊源代碼文件；b.鎖定規則關鍵詞；c.依據規則依賴關系多遍掃描提取規則信息；d.結束。2)規則合并階段：a.輸入格式化的規則信息數據；b.合并元規則；c.消除轉移規則語義歧義；d.處理訪問向量規則沖突；e.合并安全上下文規則；f.結束。在應用SeLinux模塊對操作系統安全管理目標增加新的安全需求時，本發明專利技術自動處理新增SeLinux策略模塊與原策略模塊之間的語義沖突，為迭代開發SeLinux策略模塊提供了新的解決方案。避免了直接分析原策略模塊中的復雜規則關系，對結構復雜，耦合度高的原策略模塊語義進行了規避。

A method for automatically processing semantic conflict in SeLinux policy module merging method

The invention provides an automatic processing of semantic conflict SeLinux strategy module combination method, which comprises the following steps: 1) the rules of information extraction phase: A. input the new SeLinux strategy module source code file; B. lock rules according to the rules of C. keywords; dependence of multi scanning information extraction rules; the end of d.. 2) the rule merging phase: A. input formatted rule information data; B. merge meta rule; C. eliminate the transfer rule semantic ambiguity; D. process access vector rule conflict; e. merge security context rule; f. end. The increase of operating system safety management objectives of the new security requirements in the application of SeLinux module, the automatic processing of semantic conflict between the new SeLinux strategy module with the original strategy module, which provides a new solution for iterative development strategy SeLinux module. It avoids the direct analysis of the complex rules in the original policy module, and avoids the complex structure and the high degree of coupling.

【技術實現步驟摘要】

本專利技術涉及一種SeLinux安全策略迭代開發過程中的新舊模塊合并方法，以及在新舊模塊規則語義發生沖突時的自動化處理技術。
技術介紹
由美國國家安全局NSA開發的SeLinux安全增強模型，支持TE類型增強策略、RBAC基于角色的訪問控制策略以及MLS多級安全策略，其細粒度的權限控制，使SeLinux有能力提供“最小特權原則”的策略語義。然而SeLinux的策略配置十分復雜，配置語言之間依賴性強，策略模塊的開發經常需要多次迭代完成，能否有效的實現系統安全需求取決于SeLinux策略配置的正確性，這就對策略模塊開發與維護工作帶來巨大的困難。在對安全管理目標增加新的安全需求時，傳統的策略模塊開發過程將對原策略模塊中的規則語句進行深度剖析，從而分析出規則語句之間的依賴關系，根據新的安全需求語義，對涉及到的規則語句進行定位更改。一般的SeLinux策略模塊具有結構復雜，規則語句之間耦合度高的共性，通過人工處理的方式極容易發生分析偏差，從而難以保證需求目標與策略規則的一致性。本專利技術實現了一種針對SeLinux安全策略迭代開發過程中新舊模塊的合并方法，自動處理策略模塊之間定義重復、轉移類規則語義歧義、訪問向量規則沖突等問題。最終得到疊加了新的安全需求的一致可信的策略模塊。
技術實現思路
本專利技術所要解決的技術問題是實現新舊SeLinux策略模塊合并，并在合并過程中自動處理策略模塊規則語義發生的沖突。為解決這個問題，本專利技術開發實現的新舊模塊規則語義發生沖突時的自動化處理步驟如下：1)規則信息提取階段：a輸入新舊SeLinux策略模塊源代碼文件；b鎖定規則關鍵詞；c依據規則依賴關系多遍掃描提取規則信息；d結束。2)規則合并階段：a輸入格式化的規則信息數據；b合并元規則；c消除轉移規則語義歧義；d處理訪問向量規則沖突；e合并安全上下文規則；f結束。步驟1)-a中首先將新舊SeLinux策略模塊源代碼文件輸入系統，其中舊策略文件指既有的安全策略文件，新策略文件指完成新的安全需求的策略文件，亦可指迭代開發策略模塊過程中的需求調整部分的策略文件，策略文件包括te文件、if文件和fc文件。步驟1)-b中對策略模塊源代碼文件中規則語句的關鍵詞進行鎖定，這些關鍵詞包括：1)基本規則關鍵詞：class、permission、common、inherit。2)TE策略相關關鍵詞：type、alias、attribute、allow、neverallow、auditallow、dontaudit、type_transition。3)RBAC策略相關關鍵詞：role、dominance、role_allow、role_transition、user。步驟1)-c中依據SeLinux中規則之間依賴關系，對策略源代碼文件進行多遍掃描提取規則信息，要求每遍掃描之間不存在定義依賴，且保證每遍掃描之內涉及的規則具有相關性，本專利技術采取五遍掃描的方式對策略規則信息進行完整提取，掃描完成后，針對不同的規則類型，采用相適應的數據結構來構建格式化規則信息數據。步驟2)-a中輸入由步驟1)-c中構建的格式化規則信息數據。步驟2)-b中元規則是指對類、權限、類型、角色、用戶等進行聲明定義與包含、繼承規定的規則。對元規則的合并處理有重復定義刪除、相同名稱規則所包含的屬性列表合并、原名替換別名、common、attribute規則展開、繼承規則的繼承操作。步驟2)-c中轉移類規則是指TE策略中的類型轉移規則和RBAC策略中的角色轉移規則。以類型轉移規則為例，由新舊策略中所有類型轉移規則中的類型轉移關系構建的轉移關系有向圖，如果發現有向圖類型節點中訪問相同的target type時，轉移到的new type不唯一，此時發生轉移規則語義歧義，應對歧義節點依照新策略語義進行消歧義處理。步驟2)-d中首先對TE策略中訪問向量規則構建主客體訪問控制矩陣。新舊策略模塊中對相同的一對主客體權限控制映射，可能出現新舊語義沖突的問題，依據訪問向量規則類型的限定含義，提供三種沖突解決方案，分別為寬容性方案，嚴格性方案和默認的以新策略為語義基準的方案。步驟2)-e中對靜態標記的安全上下文規則進行合并操作。具有相同安全上下文的客體對象，對其標記規則語句進行合并處理，相同客體對象的安全標記發生矛盾時，以新策略語義為基準進行處理。本專利技術的自動處理語義沖突的SeLinux策略模塊合并方法，通過對策略模塊之間定義重復、轉移類規則語義歧義、訪問向量規則沖突等問題自動處理。規避了人工分析策略模塊規則的繁瑣易錯的工作，得到了一致可信的合并策略模塊源代碼文件。附圖說明圖1為本專利技術的流程圖。圖2為SeLinux策略語言關鍵詞依賴關系圖。圖3為規則信息提取部分流程圖。圖4為策略合并部分處理時序圖圖5為合法轉移關系有向圖圖6為非法轉移關系有向圖圖7為轉移關系有向圖構建流程圖圖8為基于DFS的轉移關系消歧義流程圖圖9為訪問控制矩陣圖具體實施方式為了更好的了解本專利技術的
技術實現思路
，下面結合附圖對本專利技術進行詳細說明。圖1是本專利技術實施自動處理語義沖突的SeLinux策略模塊合并方法的流程圖，包括兩個階段：規則信息提取階段和規則合并階段。步驟0為本專利技術的起始狀態；在規則信息提取階段(步驟1-4)，步驟1是向處理系統輸入待合并的新舊SeLinux策略源代碼文件；步驟2鎖定SeLinux策略源代碼文件中規則語句的關鍵詞，后續掃描基于關鍵詞搜索處理；步驟3為對輸入的策略源代碼文件進行多遍掃描，提取規則信息；步驟4為經過多遍掃描之后得到了格式化的規則信息數據；在規則合并階段(步驟5-8)，步驟5為對SeLinux策略元規則進行合并，對元規則的合并處理有重復定義刪除、相同名稱規則所包含的屬性列表合并、原名替換別名、common、attribute規則展開、繼承規則的繼承操作；步驟6為消除轉移類規則中發生語義歧義的規則語句，首先構建轉移關系有向圖，如果發現有向圖類型節點中訪問相同的target type時，轉移到的new type不唯一，此時發生轉移規則語義歧義，應對歧義節點依照新策略語義進行消歧義處理；步驟7對訪問向量規則沖突依照所選擇的沖突解決方案進行處理，提供三種沖突解決方案，分別為寬容性方案，嚴格性方案和默認的以新策略為語義基準的方案；步驟8為合并靜態標記的客體安全上下文規則，具有相同安全上下文的客體對象，對其標記規則語句進行合并處理，相同客體對象的安全標記發生矛盾時，以新策略語義為基準進行處理；步驟9為結束步驟。圖2為SeLinux策略語言關鍵詞依賴關系有向圖，從中可以看出，從源端到終端的不同路徑中，步長最長距離為五，所以多遍掃描的遍數為五遍才可以將所有的規則信息放置在不同遍中，保證每遍之中的關鍵詞都不存在依賴關系。圖3為規則信息提取部分的多遍掃描流程圖，要求每遍掃描之間不存在定義依賴，且保證每遍掃描之內涉及的規則具有相關性，本專利技術采取五遍掃描的方式對策略規則信息進行完整提取。步驟10為規則信息提取起始步驟；步驟11為第一次掃描，包括公共類定義規則與類型定義規則語句，關鍵詞有：common、inherit、type、alias、attribute；步驟12為第二次掃描，包括類定義規則和訪問向量規則語句，關鍵詞有：cla本文檔來自技高網...

【技術保護點】
一種自動處理語義沖突的SeLinux策略模塊合并方法，其特征體現于如下步驟：1)規則信息提取階段：a輸入新舊SeLinux策略模塊源代碼文件；b鎖定規則關鍵詞；c依據規則依賴關系多遍掃描提取規則信息；d結束。2)規則合并階段：a輸入格式化的規則信息數據；b合并元規則；c消除轉移規則語義歧義；d處理訪問向量規則沖突；e合并安全上下文規則；f結束。

【技術特征摘要】
1.一種自動處理語義沖突的SeLinux策略模塊合并方法，其特征體現于如下步驟：1)規則信息提取階段：a輸入新舊SeLinux策略模塊源代碼文件；b鎖定規則關鍵詞；c依據規則依賴關系多遍掃描提取規則信息；d結束。2)規則合并階段：a輸入格式化的規則信息數據；b合并元規則；c消除轉移規則語義歧義；d處理訪問向量規則沖突；e合并安全上下文規則；f結束。2.根據權利要求1所述的自動處理語義沖突的SeLinux策略模塊合并方法，其中步驟1)-a中首先將新舊SeLinux策略模塊源代碼文件輸入系統，其中舊策略文件指既有的安全策略文件，新策略文件指完成新的安全需求的策略文件，亦可指迭代開發策略模塊過程中的需求調整部分的策略文件，策略文件包括te文件、if文件和fc文件。3.根據權利要求1所述的自動處理語義沖突的SeLinux策略模塊合并方法，其中步驟1)-b中對策略模塊源代碼文件中規則語句的關鍵詞進行鎖定，這些關鍵詞包括：1)基本規則關鍵詞：class、permission、common、inherit。2)TE策略相關關鍵詞：type、alias、attribute、allow、neverallow、auditallow、dontaudit、type_transition。3)RBAC策略相關關鍵詞：role、dominance、role_allow、role_transition、user。4.根據權利要求1所述的自動處理語義沖突的SeLinux策略模塊合并方法，其中步驟1)-c中依據SeLinux中規則之間依賴關系，對策略源代碼文件進行多遍掃描提取規則信息，要求每遍掃描之間不存在定義依賴，且保證每遍掃描之內涉及的規則具有相關性，本發明采取五遍掃描的方式對策略規則信息進行完整提取，掃描完成后，...

【專利技術屬性】
技術研發人員：王金今，谷鳳偉，陳鵬，趙冠軍，黃皓，
申請(專利權)人：南京大學，
類型：發明
國別省市：江蘇;32