CN119420490A 云应用环境的安全控制方法、装置、设备及存储介质 （杭州阿里云飞天信息技术有限公司）

本申请实施例提供一种云应用环境的安全的情况下禁止进程运行，确保云应用的运行安2所述安全控制监测模块通过所述系统内核模块监测所述宿主机上是否有进程被创建，所述安全控制执行模块根据所述进程的标识获取所述进程的详所述安全控制监测模块在启动时调用所述系统内核模块提供的回通过所述回调函数获取所述系统内核模块创建的进程的标识，并提供给在所述安全控制策略为多个的情况下，所述安全控根据所述进程的详情信息，查询所述进程是否在所述根据所述多个安全控制策略的优先级，确定优先级最高的安全控制根据安全管控节点最新下发的生效指令，确定所述生效指令指示的根据所述进程的详情信息，判断所述进程是否属于目标控制等若是，则执行根据所述进程的详情信息，查询所述若所述目标控制等级为用户级，则根据所述进程的详情信息中若所述目标控制等级为会话级，则根据所述进程的详情信3所述消息分发模块接收安全管控节点在所述安全控制策略更新时动态下发的策略消8.一种云应用环境的安全控制方法，其特征在所述安全控制监测模块通过所述系统内核模块监测所述宿主机上是否有进程被创建，根据所述进程的详情信息和用于云应用环境的安全控制策略所述安全控制执行模块在接收到所述安全控制监测模块提供的所述进程的标识的情所述安全控制监测模块，用于通过所述系统内核模块监测所述宿主机所述安全控制执行模块，用于根据所述进程的标识获取所述进程的详所述安全控制监测模块，用于通过所述系统内核模块监测所述宿主机所述安全控制执行模块，用于在接收到所述安全控制监测模块提供456[0010]本申请实施例还提供一种计算机程序产品，计算机程序产品包括计算机程序和/或指令，当计算机程序和/或指令被处理器执行时，致使处理器能够实现以上方法中的步7为系统调用(systemcall)的接口呈现给用户态。系统调用把来自用户态的请求传递给内8安全控制监测模块12的功能描述以及如何相互配合对云应用环境进行安全控制的过程可于获取安全控制策略，并将安全控制策略下发至安全控制监测模块12和/或安全控制执行及具有过特定处理功能的其它设备，例如输入输出内存管理单元(Input/OutputMemory收安全控制节点16发送的安全控制策略，并将安全控制策略下发给安全控制监测模块129[0039]从安全控制的维度来看，策略库15和安全管控节点16属于安全控制策略的提供组件对宿主机提供的云应用环境进行安全控制上的消息分发模块；消息分发模块从策略消息中解析出用于云应用环境的安全控制策略，并将用于云应用环境的安全控制策略提供给安制节点还可以将这些安全控制策略存储或更新[0047]下面结合图1c和图1d对示例性实施方式A中的安全控制策略的下发过程以及安全分发模块从策略消息中解析出安全控制策略，并将安全控制策略提供给安全控制执行模该回调注册函数是Windows操作系统下的函数，是用于通过设置回调函数实现进程监测的[0053]在一可选实施例中，安全控制执行模块在根据进程的标识获取进程的详情信息[0056]在一可选实施例中，可以针对不同控制等级的安全控制策略设置不同的优先级，[0061]若目标安全控制策略属于用户级别的安全控制策略，即机上的消息分发模块；消息分发模块从策略消息中解析出用于云应用环境的安全控制策[0068]下面结合图1e和图1f对示例性实施方式B中的安全控制策略的下发过程以及安全进程的请求创建进程，并通过回调函数回调的方式将进程的标识提供给安全控制监测模[0075]在一可选实施例中，可以针对不同控制等级的安全控制执行根据进程的详情信息，查询进程是否在目标安全控制策略的黑名单或白名单中的操[0090]关于本方法实施例中各步骤的详细实施方式以及有益效果已经在前述实施例中[0093]202b、安全控制执行模块在接收到安全控制监测模块提供的进程的标识的情况[0100]关于本方法实施例中各步骤的详细实施方式以及有益效果已经在前述实施例中实施例中该装置还可以作为上述实施例中的安全控制组件，部署在云应用所在宿主机上。如图3a所示，该装置包括：内核态的安全控制监测模块31a和用户态的安全控制执行模块[0104]在一可选实施例中，安全控制监测模块31a在通过系统内核模块监测宿主机上是[0105]在一可选实施例中，安全控制执行模块32a在根据进程的详情信息和用于云应用块33a用于接收安全管控节点在安全控制策略更新时动态下发的策略消息，从策略消息中[0110]本实施例方法中各模块的详细实施方式以及有益效果已经在前述实施例中进行[0114]在一可选实施例中，安全控制监测模块31b在通过系统内核模块监测宿主机上是[0115]在一可选实施例中，安全控制监测模块31b在根据进程的详情信息和用于云应用[0120]本实施例中各模块的详细实施方式以及有益效果已经在前述实施例中进行了详[0124]可选地，处理器40a在从多个安全控制策略中，确定当前生效的目标安全控制策[0129]本实施例中各模块的详细实施方式以及有益效果已经在前述实施例中进行了详图4所示实施例的电子设备的区别主要在于：处理器执行存储器中存储的各种程序代码所[0139]本申请示例性实施例还提供一种存储有计算机程序/指令的计算机可读存储介[0140]上述存储器可以由任何类型的易失性或非易失性存储设读存储器(ErasableProgrammableReadOnlyMemory，EPROM)，可编程只读存储器[0141]上述通信组件被配置为便于通信组件所在设备和其他设备之间有线或无线方式于射频识别(RadioFrequencyIdentification，RFID)技术，红外数据协会(Infrared[0142]上述显示器包括屏幕，其屏幕可以包括液晶显示器(LiquidCrystalDisplay，可读存储介质(包括但不限于磁盘存储器、只读光盘(CompactDiscRead_OnlyMemory，现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定[0147]这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一[0149]在一个典型的配置中，计算设备包括一个或多个处理器(CentralProcessing[0150]内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(Random计算机的存储介质的例子包括，但不限于相变内存(Phase_changeRandomAccessMemory，PRAM)、静态随机存取存储器(SRAM)、动态随