1、硕士学位论文Windows 访问控制实施框架研究、设计与实现University of Science and Technology of ChinaA thesis for masters degreeResearch Design and Implementation Of Windows Access-control Enforcement Facility Framework书脊摘 要I摘 要操作系统的安全特性从操作系统诞生之日就成为研究人员关注的焦点，如何构建一个安全的操作系统正是当前安全研究的热点课题。通过访问控制对系统进行加固，能够有效地增强操作系统安全性。BLP、BIBA、DT
2、E 等安全模型的提出，标志着对于访问控制的研究已经日趋成熟。基于各种模型实现的Selinux、DTE、Smack 等模块的应用则意味着访问控制的研究已经到了实用阶段。为更好地支持这些模型，各个操作系统提供了各种实现框架。Linux 提供了LSM，并基于 LSM 重新实现了 Selinux、DTE、Smack、Apparmor 等众多安全模块。FreeBSD 也提供了 TrustedBSD MAC 框架，它与 LSM 实现同样功能。然而，Windows 系统不支持强制访问控制，并缺少支持不同访问控制模型的通用框架，导致在 Windows 上实施访问控制时，需要自行设计底层实现，重复了大量工作。本
3、文针对上述问题，提出了一套 Windows 实施访问控制策略的框架，通过提供多安全模块支持解决方案、Windows 内核对象安全标签设置方案和敏感操作的 Hook 方案，为安全模型的研究和安全模块的开发提供了一个通用、安全、高效的平台。本文主要的工作和特色为：（1）需求分析。论文首先阐述了访问控制机制在安全操作系统中的重要地位，访问控制模型和实施框架的发展历史以及典型的实施框架功能结构。然后通过研究访问控制的概念、自主访问控制和强制访问控制的特点，结合访问控制实施框架的通用需求，针对 Windows 操作系统原有安全机制及特点，总结出了 Windows 下访问控制实施框架应满足的需求；（2）框
4、架设计。论文通过研究 LSM、TrustedBSD MAC 框架的设计思想，根据 Windows 下访问控制实施框架的需求分析，提出了一个工作在 Windows内核态，可以加载各种访问控制模块，并为安全模块提供底层支持的通用的访问控制实施框架(Windows Access-control Enforcement Facility Framework，WAEF)，并从 Hook 架构设计、框架启动方式以及多安全模块加载方案三方面进行了框架设计；（3）具体实现。论文针对 Windows 系统的特点提供了为 Windows 内核中各种敏感对象打上安全标签的方法以及对 Windows 关键操作进行 H
5、ook 的解决方案；（4）性能分析。论文对基于 WAEF 开发的对所有系统调用进行 Hook 并加摘 要II载全允许策略的安全模块以及操作系统安全加固软件研发及产业化项目（PFAC ）实现的部分强制访问控制功能模块进行了性能测试，并对测试结果进行了分析。关键词：Windows 安全模块实施框架 Hook 安全加固 WAEFAbstractIIIAbstractOperating system security has attracted the attention of researchers since the very beginning. How to build a secure op
6、erating system has become a hot topic of current research. Access control enforcement of the system can effectively enhance system security. The emergence of security models such as BLP, BIBA, DTE, showed research has matured. Various security modules which based on the security models such as Selin
7、ux, DTE, Smack, showed that security research has been used as practical application. In order to support these models, each OS offers a variety of realization framework. Linux provides the LSM，and LSM-based realized Selinux, DTE, Smack, Apparmor and many other security modules. FreeBSD also provide
8、s TrustedBSD MAC framework to achieve the same functions with the LSM. However, Windows do not support mandatory access control, and lack of generic framework which can support different access control model, resulting in the difficulties of the implementation of access control under Windows. In res
9、ponse to these issues, this paper provided a windows access-control enforcement facility framework which provides a common, secure, efficient platform for research and development of security models by offering multi security module support, windows kernel object security-label and sensitive Hook op
10、eration set solution. The main research works include: (1) Requirement Analyses. First of all, we described the importance of security access control mechanisms, the history of access control model and access control enforcement facility framework. After that, we summarized the requirements of Windo
11、ws access control enforcement facility framework by studying the concept of access control mechanism, the features of discretionary access control and mandatory access control, the general requirement of the enforcement facility access control and the demand for the original windows operating system
12、 security mechanisms.(2) Framework design. Thesis provided security model research with a windows access-control enforcement facility framework by studying the framework of LSM, TrustedBSD MAC, the requirement of access control implementation under windows. The framework can load multi security modu
13、les and offer them kernel level support.(3) Realization. We designed and realized the solution of security label set AbstractIVfunction as well as sensitive kernel api hook set. (4) Performance analysis. We analyzed the performance of a WAEF-based security module which hooked all system calls and lo
14、aded all-allow policy, as well as the WAEF-based MAC module realized by PFAC program. We also made an analysis according to the data.Keywords: Windows, AEF framework, Hook, Security enforcement Hook, WAEF * This work is supported by Electronic Information Industry Development Fund (Operating System
15、security reinforcement, CaiJian2008329, GongXinBuYun200897).目录V目 录摘 要 .IAbstract.III第 1 章 绪论 .11.1 引言 .11.2 国内外研究现状 .21.2.1 访问控制与访问控制实施框架的历史 .21.2.2 主流的访问控制实施框架 .61.2.3 Windows 下的访问控制与访问控制框架 .121.3 主要工作 .121.4 文章的组织结构 .13第 2 章 Windows 访问控制实施框架需求 .152.1 访问控制机制介绍 .152.1.1 访问控制的概念 .152.1.2 自主访问控制 .152.
16、1.3 强制访问控制 .152.2 访问控制实施框架的通用需求 .162.2.1 通用需求 .162.2.2 Windows 下访问控制实施框架的需求 .172.3 本章小结 .19第 3 章 WAEF 框架设计 .203.1 WAEF Hook 架构设计 .203.2 WAEF 的启动 .223.2.1 启动方式选择 .223.2.2 WAEF 启动步骤 .243.3 WAEF 多安全模块支持 .253.3.1 多安全模块支持方式选择 .253.3.2 栈式加载方法 .253.3.3 链式加载方法 .263.3.4 WAEF 多安全模块解决方案 .273.3.5 WAEF 多安全模块加载与卸
17、载 .29目录VI3.4 本章小结 .30第 4 章 WAEF 安全标签管理 .314.1 进程标签 .314.2 IPC 标签 .334.3 文件标签 .354.4 注册表标签 .364.5 网络标签 .374.6 本章小结 .38第 5 章 WAEF 的 Hook 集实现 .395.1 进程/线程操作 Hook.395.2 IPC Hook.395.3 文件操作 Hook.405.4 注册表操作 Hook.415.5 网络 Hook.415.6 其他 Hook.425.7 本章小结 .42第 6 章 WAEF 的性能分析 .436.1 实验方法和实验环境 .436.1.1 实验环境 .43
18、6.2 实验方法和结果 .446.2.1 实验方法 .446.2.2 全允许策略模块测试结果 .446.2.3 PFAC 项目测试结果 .456.3 本章小结 .46第 7 章 结论与展望 .477.1 本文工作总结 .477.2 本文所做的贡献 .487.3 进一步工作展望 .49参考文献 .50在读期间发表的学术论文与取得的其他研究成果 .54致谢 .55插图目录VII插图目录图 1.1 安全模块中的引用监视器 .2图 1.2 GFAC 框架结构 .4图 1.3 flask 框架结构 .5图 1.4 LSM Hook 架构 .7图 1.5 TrustedBSD MAC 框架 .10图 3.1 常用 Hook 方法 .21图 3.2 WAEF Hook 架构 .22图 3.3 Windows 预启动 .23图 3.4 WAEF 多安全模块支持 .27图 3.5 security_ops_entry 与 security_context_entry.28图 3.6 WAEF Hook 多安全模块工作流程 .30图 4.1 典型文件结构属性 .35图 5.1 Windows 系统的网络架构 .41
