一种对网络数据包进行强制访问控制的方法

摘要

本发明涉及计算机信息安全技术领域，特别涉及一种对网络数据包进行强制访问控制的方法。其通过由操作系统内核扩展模块的对本操作系统将发送到网络上的IP数据包的包头的IPOPTIONS字段，添加CIPSO安全标记信息；在该数据包接收方由操作系统内核扩展模块对带有CIPSO标记的IP数据包根据本机预先配置的用户CIPSO标记策略，进行强制访问控制.本方法不需要重新编译整个内核，及定制或专用的操作系统，只需使用内核模块机制在现有操作系统上添加功能扩展即可实现，操作容易实现，且能够有效提高网络安全性，达到信息安全等级要求。

主权项

一种对网络数据包进行强制访问控制的方法，是通过为操作系统的内核扩展模块对将要发送到网络上的IP数据包的包头的IP OPTIONS字段添加CIPSO安全标记信息，并在该数据包接收方由操作系统内核扩展模块对带有CIPSO安全标记信息的IP数据包根据预先配置的用户CIPSO标记策略，进行强制访问控制的方法，操作系统启用内核扩展标记模块后，当操作系统内的用户进程与外部其它系统进行IPv4网络通信时，会进行内核扩展标记模块的CIPSO标记设置及CIPSO标记检查过程。