CN102761555A - 基于访问历史的强制访问控制系统及控制方法 - Google Patents

Abstract

本发明涉及一种基于访问历史的强制访问控制系统及控制方法，包括负责完成对用户身份验证身份的认证模块，负责对用户访问裁决的访问控制模块，负责对用户的级别进行动态调整的用户级别调整模块，用于存放用户、资源的级别信息及用户的访问历史信息的访问控制数据库，为管理员提供基于WEB的管理界面并对用户和资源信息进行配置的WEB管理模块，访问控制模块更新用户历史访问信息，用户级别调整模块读取分析该历史访问信息，本发明能够根据用户的访问情况，对用户访问权限进行动态调整，以增强系统的安全性，用户级别的动态调整主要采用用户级别调整曲线，通过将用户最近违规次数代入级别调整曲线，得到用户调整后的级别。

Description

基于访问历史的强制访问控制系统及控制方法

技术领域

本发明属于计算机信息安全技术领域，涉及一种根据用户访问的历史情况，对用户访问访问权限进行动态调整的基于访问历史的强制访问控制系统及控制方法。

背景技术

访问控制是安全系统的重要功能，通过访问控制能够限制用户对关键资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏。

可信计算机系统评估准则（TCSEC）将访问控制分为两类：自主访问控制和强制访问控制。自主访问控制由客体的属主对自己的客体进行管理，由属主自己决定是否将自己的客体访问权或部分访问权授予其他主体。强制访问控制是“强加”给访问主体的，即系统强制主体服从访问控制策略，与自主访问控制相比，强制访问控制拥有更好的安全性。

强制访问控制以系统中的主体和客体指定敏感标记作为实施强制访问控制的依据，这些标记是等级分类和非等级类别的组合，系统通过比较主体和客体的敏感标记来决定一个主体是否能够访问某个客体。

目前常用的强制访问控制模型包括BLP、BIBA、中国墙等，其中最有代表性的是BLP模型，然而，这些强制访问控制模型对用户权限的控制是静态的，当用户受到攻击、木马病毒感染或用户进行非法操作时，其访问权限仍不变，此时就会带来资源被窃取、滥用等问题。因此，需要研究一种机制，能够根据用户当前状况来决定用户的访问权限，增强强制访问控制的灵活性。

发明内容

为了增加目前强制访问控制的灵活性，本发明提供一种基于访问历史的强制访问控制系统及控制方法，根据用户的访问情况，能够对用户访问权限进行动态调整，以增强系统的安全性。

本发明的技术方案如下：

一种基于访问历史的强制访问控制系统，其特征在于：包括：

身份认证模块：用于负责完成对用户的身份的验证，

与身份认证模块相连接的访问控制模块：用于负责对用户访问的裁决，

与访问控制模块相连接的用户级别调整模块：用于负责对用户的级别进行动态调整，

分别与访问控制模块和用户级别调整模块相连接的访问控制数据库：用于存放用户、资源的级别信息及用户的访问历史信息，访问控制模块更新用户历史访问信息，而用户级别调整模块读取分析该历史访问信息，

与访问控制数据库相连接的WEB管理模块：用于为管理员提供基于WEB的管理界面，能够使管理员对用户和资源信息进行配置。

一种基于访问历史的强制访问控制方法，其特征在于：其步骤如下：

步骤一、采用身份鉴别机制验证用户身份的合法性，用户身份通过用户名口令、数字证书或硬件令牌方法表示；

步骤二、提取用户和其访问资源的安全级别，根据系统的强制访问控制策略对用户的访问进行决策，如果用户访问符合策略要求，则允许其访问相应的资源，否则拒绝其访问；

步骤三、记录用户此次访问的相关信息到该用户的历史访问信息库中，这些信息包括访问控制的用户、资源、结果、时间以及其它一些附加信息；

步骤四、根据用户的历史访问信息，采用用户级别调整算法对用户的级别进行调整，并使之在下一个用户访问过程中生效。

在步骤一中，如果用户身份鉴别失败，则拒绝其访问系统的所有资源。

在步骤二中，用户的安全级别和资源的安全级别是由系统管理员事先指定的，其安全级别范围一般根据系统的实际使用场景指定。

在步骤三中，为了减轻数据库存储和运算的负担，用户的访问历史信息只保存一定时间范围内的，对于超过一定期限的数据进行放到备份数据库中，并且放到备份数据库中的数据在工作数据库中只记录其统计数据。

在步骤四中，采用用户级别调整算法对用户的级别进行调整，其步骤如下：

步骤1.制定用户级别调整曲线，该曲线所在坐标的x轴为用户访问失败次数，y轴为用户级别；

步骤2.统计用户访问历史库中最近连续非法访问的次数a；

步骤3.将a代入x，计算得到y的值b；

步骤4.取不大于b的整数作为用户的最新级别。

本发明的特点及效果如下：

本发明利用用户的历史访问信息，通过用户级别调整曲线对用户的级别进行动态调整，有效地解决了目前强制访问控制不够灵活的问题。

以BLP为代表的强制访问控制模型对用户的静态的，即使用户受到攻击而进行非法操作也无法对其进行控制，通过对用户的访问历史进行分析，能够对用户的安全状态进行评估，如果用户受到攻击则限制其访问的资源，保障了系统中资源的安全性。

附图说明

图1是本发明的访问控制中心系统结构图。

图2是本发明的用户级别调整曲线。

具体实施方式

基于历史的强制访问控制方法的实施由访问控制中心完成，访问控制中心的系统结构图如图1所示，基于访问历史的强制访问控制系统包括：身份认证模块：用于负责完成对用户的身份的验证；与身份认证模块相连接的访问控制模块：用于负责对用户访问的裁决；与访问控制模块相连接的用户级别调整模块：用于负责对用户的级别进行动态调整；分别与访问控制模块和用户级别调整模块相连接的访问控制数据库：用于存放用户、资源的级别信息及用户的访问历史信息，访问控制模块更新用户历史访问信息，而用户级别调整模块读取分析该历史访问信息；与访问控制数据库相连接的WEB管理模块：用于为管理员提供基于WEB的管理界面，能够使管理员对用户和资源信息进行配置。

一种基于访问历史的强制访问控制方法，实施方法如下：

步骤一、采用身份鉴别机制验证用户身份的合法性，该功能由身份认证模块负责完成，根据系统的特点，用户身份可通过用户名口令、数字证书或硬件令牌等方法表示，在实施时一般采用SSL或等安全协议，防止重放、嗅探、中间人等攻击的发生。

步骤二、提取用户和其访问资源的安全级别，根据系统的强制访问控制策略对用户的访问进行决策，该功能由访问控制模块完成，当用户级别大于或等于被访问资源级别时，该访问被允许，当用户级别小于被访问资源级别时，该访问被拒绝。

用户级别和资源级别均存放于访问控制数据库中，为了加快访问控制速度，在访问控制模块中设置了一个高速缓存，存放了当前用户和资源的相关信息，包括名称、级别等，这些信息采用一定的数据结构组织，用户信息采用平衡二叉树进行组织，关键字为定长的用户标识，资源信息采用哈希表进行组织，关键字为非定长的资源名称。

步骤三、记录用户此次访问的相关信息到该用户的历史访问信息库中，这些信息包括访问控制的用户、资源、结果、时间以及其它一些附加信息，为了减小数据库写入带来的延迟，这些内容首先会放入到高速缓存中，然后在访问控制模块中启动一个单独的线程异步地写入到数据库中。数据库采用oracle、db2等性能较好的大型数据库，便于对大量日志的存放和检索。

步骤四、根据用户的历史访问信息，采用用户级别调整算法对用户的级别进行调整，该功能由用户级别调整模块完成，每当访问控制模块产生用户访问历史信息后，用户级别调整模块便提取该用户的所有历史访问信息，按照时间顺序对用户的访问进行排序，并将以该序列为输入进行用户级别调整运算，得到用户的最新级别，然后将最新级别信息写入到数据库中，同时通知访问控制模块，使其更新高速缓存中的用户信息，这样，在下一个该用户访问过程中，新的用户级别就会生效。

在上述步骤一中，如果用户身份鉴别失败，则直接拒绝其访问系统的所有资源，该用户的访问请求也不交给访问控制模块。

在上述步骤二中，用户的安全级别和资源的安全级别是由系统管理员事先指定的，该功能由WEB管理模块完成，系统管理员经过认证登录后，能够录入用户、资源，并能够指定每个用户和资源的级别，系统中用户和资源的安全级别是在一定范围内的，可以由管理员在WEB管理界面中根据系统的实际使用场景指定。

在上述步骤三中，为了减轻数据库存储和运算的负担，用户的访问历史信息只保存一定时间范围内的，对于超过一定期限的数据进行放到备份数据库中。并且放到备份数据库中的数据在工作数据库中只记录其统计数据，用户访问历史信息的保存时间由管理员根据系统的实际使用场景进行配置，在系统资源满足的情况下，应尽量保存长时间的用户历史访问信息。

在上述步骤四中所述的用户级别调整算法，其实施方式如下：

步骤1.制定用户级别调整曲线，如图2所示，该曲线所在坐标的x轴为用户访问失败次数，y轴为用户级别，一个推荐的曲线方程为：                                                

，此时用户的级别范围为0至4。

步骤2.统计用户访问历史库中最近连续失败的次数a，实现时采用一个计数器对某个用户历史访问信息进行统计，计数器的初值为0，按照时间的由近到远的顺序遍历用户历史访问信息，当某条信息访问结果为拒绝时，则计数器加1，当某条信息访问结果为允许时，则计数器停止遍历，将此时计数器的结果赋值为a。

步骤3.将a代入x，根据曲线方程，计算得到y的值，对于高次曲线方程，会得到多个y的值，此时取其中的正值作为结果，设为b，如果曲线方程无实数解，或者曲线方程没有取值为正的结果，则取b=0。在推荐曲线方程中，b的计算公式为

。

步骤4.取不大于β的整数作为用户的最新级别。

Claims (6)

1.一种基于访问历史的强制访问控制系统，其特征在于：包括：

身份认证模块：用于负责完成对用户的身份的验证，

与身份认证模块相连接的访问控制模块：用于负责对用户访问的裁决，

与访问控制模块相连接的用户级别调整模块：用于负责对用户的级别进行动态调整，

分别与访问控制模块和用户级别调整模块相连接的访问控制数据库：用于存放用户、资源的级别信息及用户的访问历史信息，访问控制模块更新用户历史访问信息，而用户级别调整模块读取分析该历史访问信息，

与访问控制数据库相连接的WEB管理模块：用于为管理员提供基于WEB的管理界面，能够使管理员对用户和资源信息进行配置。

2.一种基于访问历史的强制访问控制方法，其特征在于：其步骤如下：

步骤一、采用身份鉴别机制验证用户身份的合法性，用户身份通过用户名口令、数字证书或硬件令牌方法表示；

步骤二、提取用户和其访问资源的安全级别，根据系统的强制访问控制策略对用户的访问进行决策，如果用户访问符合策略要求，则允许其访问相应的资源，否则拒绝其访问；

步骤三、记录用户此次访问的相关信息到该用户的历史访问信息库中，这些信息包括访问控制的用户、资源、结果、时间以及其它一些附加信息；

步骤四、根据用户的历史访问信息，采用用户级别调整算法对用户的级别进行调整，并使之在下一个用户访问过程中生效。

3.根据权利要求1所述的基于访问历史的强制访问控制方法，其特征在于：在步骤一中，如果用户身份鉴别失败，则拒绝其访问系统的所有资源。

4.根据权利要求1所述的基于访问历史的强制访问控制方法，其特征在于：在步骤二中，用户的安全级别和资源的安全级别是由系统管理员事先指定的，其安全级别范围一般根据系统的实际使用场景指定。

5.根据权利要求1所述的基于访问历史的强制访问控制方法，其特征在于：在步骤三中，为了减轻数据库存储和运算的负担，用户的访问历史信息只保存一定时间范围内的，对于超过一定期限的数据进行放到备份数据库中，并且放到备份数据库中的数据在工作数据库中只记录其统计数据。

6.根据权利要求1所述的基于访问历史的强制访问控制方法，其特征在于：在步骤四中，采用用户级别调整算法对用户的级别进行调整，其步骤如下：

步骤1.制定用户级别调整曲线，该曲线所在坐标的x轴为用户访问失败次数，y轴为用户级别，一个推荐的曲线方程为：                                                

，此时用户的级别范围为0至4；

步骤2.统计用户访问历史库中最近连续失败的次数a，实现时采用一个计数器对某个用户历史访问信息进行统计，计数器的初值为0，按照时间的由近到远的顺序遍历用户历史访问信息，当某条信息访问结果为拒绝时，则计数器加1，当某条信息访问结果为允许时，则计数器停止遍历，将此时计数器的结果赋值为a；

步骤3.将a代入x，根据曲线方程，计算得到y的值，对于高次曲线方程，会得到多个y的值，此时取其中的正值作为结果，设为b，如果曲线方程无实数解，或者曲线方程没有取值为正的结果，则取b=0,在推荐曲线方程中，b的计算公式为

；

步骤4.取不大于b的整数作为用户的最新级别。

Images