虛擬化環(huán)境下安全多級訪問控制機(jī)制研究與實(shí)現(xiàn).pdf

1、在當(dāng)今社會，信息已成為一種極其重要的戰(zhàn)略資源，因而一個國家的信息安全保障能力也成為其綜合國力的良好體現(xiàn)。一方面，由于科技水平和信息技術(shù)正處于空前繁榮的階段，信息產(chǎn)業(yè)成為當(dāng)今世界第一大產(chǎn)業(yè)；另一方面，危害信息安全的事件發(fā)生頻率逐漸升高，信息安全方面所面臨的問題迫在眉睫。
　　隨著互聯(lián)網(wǎng)的不斷發(fā)展，尤其是云計(jì)算、分布式系統(tǒng)等網(wǎng)絡(luò)應(yīng)用的逐漸興起，人們的生活由于可以從網(wǎng)絡(luò)中獲取越來越多的數(shù)據(jù)而變得越來越便捷。隨著人民對網(wǎng)絡(luò)的依賴性逐漸增強(qiáng)

2、，人們對其網(wǎng)絡(luò)中得到數(shù)據(jù)的安全性要求也日益變高。與此同時，云計(jì)算由于虛擬化技術(shù)作為構(gòu)建其基礎(chǔ)架構(gòu)的關(guān)鍵技術(shù)之一，而提供了一種更加開放、交互性更強(qiáng)的網(wǎng)絡(luò)環(huán)境，人們逐漸傾向從云計(jì)算網(wǎng)絡(luò)中獲取各種需要的數(shù)據(jù)和信息。正是由于云計(jì)算網(wǎng)絡(luò)區(qū)別于傳統(tǒng)的網(wǎng)絡(luò)系統(tǒng)，而傳統(tǒng)的訪問控制技術(shù)如防火墻，難以防止主動泄密及惡意木馬的攻擊，所以傳統(tǒng)的訪問控制技術(shù)已不能完全適用于虛擬化環(huán)境。因此，如何使得虛擬化環(huán)境中的數(shù)據(jù)在得到充分共享的同時，又能夠?qū)崿F(xiàn)嚴(yán)格的訪問控制

3、已是當(dāng)下亟待克服的難題。
　　一般來說，用于傳統(tǒng)系統(tǒng)的安全訪問控制模型主要是通過設(shè)置用戶權(quán)限實(shí)現(xiàn)對數(shù)據(jù)訪問的控制。這種訪問控制機(jī)制使得數(shù)據(jù)的管理控制過分依賴用戶，導(dǎo)致系統(tǒng)受到的攻擊不僅來源于一些外部攻擊者，有時來自一些內(nèi)部用戶。為了克服這種訪問控制機(jī)制的弊端，多級安全模型應(yīng)運(yùn)而生。多級安全模型利用用戶和數(shù)據(jù)分離的這種管理機(jī)制，將對數(shù)據(jù)的自主訪問控制提升到強(qiáng)制訪問控制，因而在一定程度上，實(shí)現(xiàn)數(shù)據(jù)的安全訪問控制。迄今為止，已有很多多級

4、安全模型用于不同的環(huán)境，例如軍隊(duì)、商業(yè)等，但是往往由于模型語義的不合理性以及模糊性使得其實(shí)用性支持不足，應(yīng)用不廣泛。
　　本文中，在多級關(guān)系模型MLR的基礎(chǔ)上，提出了一種通用的基于實(shí)體的多級關(guān)系模型E-MLR模型。在E-MLR模型中，我們重新定義了語義以及語句操作，以保證在傳統(tǒng)網(wǎng)絡(luò)中不同實(shí)體間的安全隔離以及實(shí)體內(nèi)部的安全通信。
　　然后，本文以 KVM虛擬機(jī)作為研究參考環(huán)境，將E-MLR模型延伸于虛擬化環(huán)境中，針對虛擬機(jī)間的

5、數(shù)據(jù)訪問安全需求，提出了虛擬化多級分組安全模型V-MGSM。旨在將虛擬機(jī)按照其對應(yīng)的實(shí)體進(jìn)行分組，用于控制不同組、同組內(nèi)虛擬機(jī)之間的通信過程和虛擬化環(huán)境中內(nèi)存共享問題。在此基礎(chǔ)上，本文給出了訪問控制機(jī)制在虛擬化平臺KVM環(huán)境下的實(shí)現(xiàn)過程以及測試結(jié)果。
　　主要包括以下內(nèi)容：
　　1.針對目前普遍流行的多級安全模型所存在的弊端，克服其語義的不合理性和模糊性，在 MLR模型基礎(chǔ)上，提出通用的基于實(shí)體的多級關(guān)系模型 E-MLR，重

6、新定義數(shù)據(jù)語義并提出數(shù)據(jù)借用的思想，再此基礎(chǔ)上定義了四條通用的數(shù)據(jù)操作指令以實(shí)現(xiàn)低級別用戶無法修改高級別用戶視圖的目標(biāo)，最終達(dá)到系統(tǒng)信息安全的目的；
　　2.將通用的E-MLR模型延伸到虛擬化系統(tǒng)中，制定虛擬化環(huán)境中虛擬機(jī)之間通信的安全訪問控制機(jī)制，提出V-MGSM模型并給出數(shù)據(jù)解釋、完整性性質(zhì)、操作指令和安全性證明；
　　3.在KVM虛擬機(jī)平臺下，給出了虛擬機(jī)訪問控制機(jī)制的實(shí)現(xiàn)過程以及測試結(jié)果，通過演示結(jié)果我們得出結(jié)論：我