CN103236928B - 网络资源安全控制的方法和系统 - Google Patents

网络资源安全控制的方法和系统 Download PDF

Info

Publication number
CN103236928B
CN103236928B CN201310140678.5A CN201310140678A CN103236928B CN 103236928 B CN103236928 B CN 103236928B CN 201310140678 A CN201310140678 A CN 201310140678A CN 103236928 B CN103236928 B CN 103236928B
Authority
CN
China
Prior art keywords
access request
request end
confidence level
described access
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201310140678.5A
Other languages
English (en)
Other versions
CN103236928A (zh
Inventor
梁智强
梁志宏
陈炯聪
胡朝辉
江泽鑫
黄曙
余南华
苏扬
周强峰
林丹生
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Electric Power Research Institute of Guangdong Power Grid Co Ltd
Original Assignee
Electric Power Research Institute of Guangdong Power Grid Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Electric Power Research Institute of Guangdong Power Grid Co Ltd filed Critical Electric Power Research Institute of Guangdong Power Grid Co Ltd
Priority to CN201310140678.5A priority Critical patent/CN103236928B/zh
Publication of CN103236928A publication Critical patent/CN103236928A/zh
Application granted granted Critical
Publication of CN103236928B publication Critical patent/CN103236928B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Abstract

一种网络资源安全控制的方法和系统，通过对接收的访问请求进行可信等级度量，确定访问请求端的可信等级，根据不同的可信等级匹配相应的访问网络资源，进一步验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。利用可信等级来对网络资源进行划分，不具备相应的等级则不能访问相应的网络资源，这样对网络资源的划分使得网络资源的层次划分更为清晰，便于系统控制，且进一步讲网络资源和可信度绑定联系在一起，避免出现网络资源混淆的现象，防止不可信的访问请求端对网络进行破坏。

Description

网络资源安全控制的方法和系统
技术领域
本发明涉及网络连接资源安全领域，特别是涉及一种网络资源安全控制的方法和系统。
背景技术
随着电子信息化时代的到来，人们对于信息的保密不再局限于书本记载，对于资源信息的安全保护措施也越来越科技化。可信计算理论研究在TCG（TrustedComputingGroup,可信计算组织）成立以后得到快速发展。TCG陆续制定了一系列的可信技术规范，包括TPM(TrustedPlatformModule,可信赖平台模块)平台主规范、TPM接口规范、可信软件栈规范、可信PC(personalcomputer，个人计算机)规范、可信服务器规范、可信PDA(PersonalDigitalAssistant，个人数字助理)规范和可信网络连接规范等，而且不断地对这些技术规范进行修改完善和版本升级。
一般的可信网络资源安全控制通过将信任先分类，再根据一些算法获取总的信任值，再根据信任值确定获取对应的访问权限，这样的控制方法较松散，且较为单一，可信网络连接中各种网络资源与信任值容易出现混淆，不方便网络资源的系统化控制。
发明内容
基于此，有必要针对可信网络连接中各种网络资源容易出现混淆的问题，提供一种较为系统且安全的网络资源安全控制的方法和系统。
一种网络资源安全控制的方法，包括步骤：
根据访问请求端的访问请求收集所述访问请求端的身份认证信息和完整性信息，确认访问请求端的可信等级；
验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。
一种网络资源安全控制的系统，包括：策略执行单元、策略决策单元和验证判断单元；
所述策略执行单元用于接收访问请求端的访问要求，发送度量所述访问请求端可信等级的命令；
所述策略决策单元用于接收度量所述访问请求端可信等级的命令，收集所述访问请求端的身份认证信息和完整性信息，确认访问请求端的可信等级；
所述验证判断单元用于验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。
上述网络资源安全控制的方法和系统，通过对接收的访问请求进行可信等级度量，确定访问请求端的可信等级，根据不同的可信等级匹配相应的访问网络资源，进一步验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。利用可信等级来对网络资源进行划分，不具备相应的等级则不能访问相应的网络资源，这样对网络资源的划分使得网络资源的层次划分更为清晰，便于系统控制，且进一步讲网络资源和可信度绑定联系在一起，避免出现网络资源混淆的现象，防止不可信的访问请求端对网络进行破坏。
附图说明
图1为网络资源安全控制的方法其中一种实施例的方法流程图；
图2为网络资源安全控制的系统其中一种实施例模块连接图；
图3为网络资源安全控制的系统其中另一种实施例模块连接图；
图4为网络资源安全控制的系统其中另一种具体实施例模块连接图。
具体实施方式
如图1所示，一种网络资源安全控制的方法，包括步骤：
步骤S110，根据访问请求端的访问请求收集所述访问请求端的身份认证信息和完整性信息，确认访问请求端的可信等级；在本实施例中，系统在对所述访问请求端可信等级进行度量时，可以通过IMVs（IntegrityMeasurementVerifiers,完整性度量验证端）和访问请求端的IMCs（IntergrityMeasurementCollectors,完整性度量收集器）进行通信，来收集访问请求端的身份认证信息和完整性信息，具体可以包括：可信链的完整性、内核版本、系统版本、内核补丁和防火墙软件的签名信息等信息。系统通过访问请求端的身份认证信息和完整性信息对访问请求端的可信等级进行评定，确定访问请求端的可信等级。
步骤S120，验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。在本实施例中，系统内部可以划分可信等级，对应的可信等级匹配对应的网络资源，如果访问请求端访问要求的网络资源与所述访问请求端的可信等级相匹配，则系统可以接受访问请求端的访问请求，如果访问请求端访问要求的网络资源与所述访问请求端的可信等级不相相匹配，则系统不接受访问请求端的访问请求，保证访问请求端在可允许的权限内得到相应的网络资源，可以有效的避免访问请求端对网络进行破坏。
上述网络资源安全控制的方法，通过对接收的访问请求进行可信等级度量，确定访问请求端的可信等级，根据不同的可信等级匹配相应的访问网络资源，进一步验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。利用可信等级来对网络资源进行划分，不具备相应的等级则不能访问相应的网络资源，这样对网络资源的划分使得网络资源的层次划分更为清晰，便于系统控制，且进一步讲网络资源和可信度绑定联系在一起，避免出现网络资源混淆的现象，防止不可信的访问请求端对网络进行破坏。
在其中一种实施例中，所述的网络资源安全控制的方法，所述步骤S110，具体包括步骤：
通过完整性度量验证端与所述访问请求端的完整性度量收集器的信息交流，获取所述访问请求端的身份认证信息和完整性信息；
根据度量所述访问请求端可信等级的命令对所述访问请求端的身份认证信息和完整性信息是否符合预定满足额度进行认证：
若所述访问请求端的身份认证信息和完整性信息符合第一预定满足额度，则所述访问请求端可信等级为完全可信；
若所述访问请求端的身份认证信息和完整性信息符合第二预定满足额度，则所述访问请求端可信等级为非常可信；
若所述访问请求端的身份认证信息和完整性信息符合第三预定满足额度，则所述访问请求端可信等级为基本可信；
若所述访问请求端的身份认证信息和完整性信息符合第四预定满足额度，则所述访问请求端可信等级为非可信。
在本实施例中，在本实施例中，系统在对所述访问请求端可信等级进行度量时，可以通过IMVs（IntegrityMeasurementVerifiers,完整性度量验证端）和访问请求端的IMCs（IntergrityMeasurementCollectors,完整性度量收集器）进行通信，来收集访问请求端的身份认证信息和完整性信息，具体可以包括：可信链的完整性、内核版本、系统版本、内核补丁和防火墙软件的签名信息等信息。系统可以预先划分四个可信等级，在访问请求端满足预定条件时，访问请求端属于预先划分四个可信等级中的其中一个等级，在验证访问请求端可信链的完整性、内核版本、系统版本、内核补丁和防火墙软件的签名信息等信息时，若所述访问请求端的身份认证信息和完整性信息符合第一预定满足额度，则所述访问请求端可信等级为完全可信，可以设定为A等级；若所述访问请求端的身份认证信息和完整性信息符合第二预定满足额度，则所述访问请求端可信等级为非常可信，可以设定为B等级；若所述访问请求端的身份认证信息和完整性信息符合第三预定满足额度，则所述访问请求端可信等级为基本可信，可以设定为C等级；若所述访问请求端的身份认证信息和完整性信息符合第四预定满足额度，则所述访问请求端可信等级为非可信，可以设定为D等级。系统可以根据不同的可信等级匹配相应的网络资源信息：当AR可信等级处于D等级，即非可信等级时，访问请求端不能够得到任何网络资源，防止此时不可信的访问请求端做任何网络破坏；当处于C等级时，只允许访问请求端进行浏览普通网页，浏览邮件，P2P下载等网络服务；当处于B等级时，访问请求端不仅可以访问C等级的网络资源，同时也可以访问一些安全性的网页，使用高安全的邮件服务，甚至是使用VPN等；当可信等级处于A时，说明访问请求端是完全可信的，这时允许访问请求端访问任何网络资源。
在其中一种实施例中，所述的网络资源安全控制的方法，还包括步骤：当拒绝访问请求端的访问要求时，同时发送不具备访问权限的警告信息到所述访问请求端。在本实施例中，还可以当拒绝访问请求端的访问要求时，同时发送不具备访问权限的警告信息到所述访问请求端，警告信息可以是以弹出页面的形式对访问请求端对访问请求端进行提醒和警告，可以给与访问请求端以警示。
在其中一种实施例中，所述的网络资源安全控制的方法，还包括步骤：当拒绝所述访问请求端的访问要求的次数大于预定数值时，禁止接收访问请求端的访问要求。在本实施例中，可以设定当拒绝所述访问请求端的访问要求的次数大于三次时，禁止接收访问请求端的访问要求，可以有效防止此时不可信的访问请求端通过其他途径对网络进行破坏。
如图2所示，在其中一种实施例中，一种网络资源安全控制的系统，包括：策略执行单元210、策略决策单元220和验证判断单元230；
所述策略执行单元210用于接收访问请求端的访问要求，发送度量所述访问请求端可信等级的命令；
所述策略决策单元220用于接收度量所述访问请求端可信等级的命令，收集所述访问请求端的身份认证信息和完整性信息，确认访问请求端的可信等级；
所述验证判断单元230用于验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。
上述网络资源安全控制的方法和系统，通过对接收的访问请求进行可信等级度量，确定访问请求端的可信等级，根据不同的可信等级匹配相应的访问网络资源，进一步验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求。利用可信等级来对网络资源进行划分，不具备相应的等级则不能访问相应的网络资源，这样对网络资源的划分使得网络资源的层次划分更为清晰，便于系统控制，且进一步讲网络资源和可信度绑定联系在一起，避免出现网络资源混淆的现象，防止不可信的访问请求端对网络进行破坏。
如图3所示，在其中一种实施例中，所述网络资源安全控制的系统，所述策略决策单元包括命令接收单元222、判断信息获取单元224和可信等级划分单元226；
所述命令接收单元222用于接收度量所述访问请求端可信等级的命令；
所述判断信息获取单元224用于通过完整性度量验证端与所述访问请求端的完整性度量收集器的信息交流，获取所述访问请求端的身份认证信息和完整性信息；
所述可信等级划分单元226用于对所述访问请求端的身份认证信息和完整性信息是否符合预定满足额度进行认证：
若所述访问请求端的身份认证信息和完整性信息符合第一预定满足额度，则所述访问请求端可信等级为完全可信；
若所述访问请求端的身份认证信息和完整性信息符合第二预定满足额度，则所述访问请求端可信等级为非常可信；
若所述访问请求端的身份认证信息和完整性信息符合第三预定满足额度，则所述访问请求端可信等级为基本可信；
若所述访问请求端的身份认证信息和完整性信息符合第四预定满足额度，则所述访问请求端可信等级为非可信。
如图4所示，在其中一种实施例中，所述网络资源安全控制的系统，还包括警告信息发送单元240，所述警告信息发送单元240用于当拒绝访问请求端的访问要求时，同时发送不具备访问权限的警告信息到所述访问请求端。
如图4所示，在其中一种实施例中，所述网络资源安全控制的系统，还包括接收控制单元250，所述接收控制单元250用于当拒绝所述访问请求端的访问要求的次数大于预定数值时，禁止接收访问请求端的访问要求。
由于所述网络资源安全控制的系统其他部分技术特征与上述方法相同，在此不予赘述。
以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (4)

1.一种网络资源安全控制的方法，其特征在于，包括步骤：
根据访问请求端的访问请求收集所述访问请求端的身份认证信息和完整性信息，确认访问请求端的可信等级；其中，所述身份认证信息和完整性信息具体包括可信链的完整性、内核版本、系统版本、内核补丁和防火墙软件的签名信息；
验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求；
所述根据访问请求端的访问请求收集所述访问请求端的身份认证信息和完整性信息，确认访问请求端的可信等级的步骤，具体包括步骤：
通过完整性度量验证端与所述访问请求端的完整性度量收集器的信息交流，获取所述访问请求端的身份认证信息和完整性信息；
根据度量所述访问请求端可信等级的命令对所述访问请求端的身份认证信息和完整性信息是否符合预定满足额度进行认证：
若所述访问请求端的身份认证信息和完整性信息符合第一预定满足额度，则所述访问请求端可信等级为完全可信；
若所述访问请求端的身份认证信息和完整性信息符合第二预定满足额度，则所述访问请求端可信等级为非常可信；
若所述访问请求端的身份认证信息和完整性信息符合第三预定满足额度，则所述访问请求端可信等级为基本可信；
若所述访问请求端的身份认证信息和完整性信息符合第四预定满足额度，则所述访问请求端可信等级为非可信；
所述网络资源安全控制的方法还包括步骤：
当拒绝访问请求端的访问要求时，同时发送不具备访问权限的警告信息到所述访问请求端。
2.根据权利要求1所述的网络资源安全控制的方法，其特征在于，还包括步骤：当拒绝所述访问请求端的访问要求的次数大于预定数值时，禁止接收访问请求端的访问要求。
3.一种网络资源安全控制的系统，其特征在于，包括：策略执行单元、策略决策单元和验证判断单元；
所述策略执行单元用于接收访问请求端的访问要求，发送度量所述访问请求端可信等级的命令；
所述策略决策单元用于接收度量所述访问请求端可信等级的命令，收集所述访问请求端的身份认证信息和完整性信息，确认访问请求端的可信等级；其中，所述身份认证信息和完整性信息具体包括可信链的完整性、内核版本、系统版本、内核补丁和防火墙软件的签名信息；
所述验证判断单元用于验证访问请求端访问要求的网络资源是否与所述访问请求端的可信等级相匹配，若匹配，则同意访问请求端的访问请求，若不匹配，则拒绝访问请求端的访问要求；
所述策略决策单元包括命令接收单元、判断信息获取单元和可信等级划分单元；
所述命令接收单元用于接收度量所述访问请求端可信等级的命令；
所述判断信息获取单元用于通过完整性度量验证端与所述访问请求端的完整性度量收集器的信息交流，获取所述访问请求端的身份认证信息和完整性信息；
所述可信等级划分单元用于对所述访问请求端的身份认证信息和完整性信息是否符合预定满足额度进行认证：
若所述访问请求端的身份认证信息和完整性信息符合第一预定满足额度，则所述访问请求端可信等级为完全可信；
若所述访问请求端的身份认证信息和完整性信息符合第二预定满足额度，则所述访问请求端可信等级为非常可信；
若所述访问请求端的身份认证信息和完整性信息符合第三预定满足额度，则所述访问请求端可信等级为基本可信；
若所述访问请求端的身份认证信息和完整性信息符合第四预定满足额度，则所述访问请求端可信等级为非可信；
所述网络资源安全控制的系统还包括警告信息发送单元，所述警告信息发送单元用于当拒绝访问请求端的访问要求时，同时发送不具备访问权限的警告信息到所述访问请求端。
4.根据权利要求3所述的网络资源安全控制的系统，其特征在于，还包括接收控制单元，所述接收控制单元用于当拒绝所述访问请求端的访问要求的次数大于预定数值时，禁止接收访问请求端的访问要求。
CN201310140678.5A 2013-04-22 2013-04-22 网络资源安全控制的方法和系统 Active CN103236928B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201310140678.5A CN103236928B (zh) 2013-04-22 2013-04-22 网络资源安全控制的方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201310140678.5A CN103236928B (zh) 2013-04-22 2013-04-22 网络资源安全控制的方法和系统

Publications (2)

Publication Number Publication Date
CN103236928A CN103236928A (zh) 2013-08-07
CN103236928B true CN103236928B (zh) 2015-11-25

Family

ID=48884946

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201310140678.5A Active CN103236928B (zh) 2013-04-22 2013-04-22 网络资源安全控制的方法和系统

Country Status (1)

Country Link
CN (1) CN103236928B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9449187B2 (en) * 2014-08-11 2016-09-20 Document Dynamics, Llc Environment-aware security tokens
CN106169054A (zh) * 2016-07-13 2016-11-30 浪潮电子信息产业股份有限公司 一种基于可信状态的访问控制方法
CN108197444A (zh) 2018-01-23 2018-06-22 北京百度网讯科技有限公司 一种分布式环境下的权限管理方法、装置及服务器
CN109063480A (zh) * 2018-07-25 2018-12-21 郑州云海信息技术有限公司 一种自签名的可执行文件启动控制方法与系统
CN113040729A (zh) * 2020-12-28 2021-06-29 中共黔南自治州纪律检查委员会 一种用于无人看护的生命体征监测装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101257386A (zh) * 2008-03-11 2008-09-03 南京邮电大学 基于信任模型的动态访问控制方法
CN101621437A (zh) * 2008-06-30 2010-01-06 华为技术有限公司 一种通信系统、加载控制装置及软件加载方法
CN103036869A (zh) * 2011-10-08 2013-04-10 美国博通公司 社交网络中的社交设备安全

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101257386A (zh) * 2008-03-11 2008-09-03 南京邮电大学 基于信任模型的动态访问控制方法
CN101621437A (zh) * 2008-06-30 2010-01-06 华为技术有限公司 一种通信系统、加载控制装置及软件加载方法
CN103036869A (zh) * 2011-10-08 2013-04-10 美国博通公司 社交网络中的社交设备安全

Also Published As

Publication number Publication date
CN103236928A (zh) 2013-08-07

Similar Documents

Publication Publication Date Title
CN103236928B (zh) 网络资源安全控制的方法和系统
CN101778099B (zh) 可容忍非信任组件的可信网络接入架构及其接入方法
CN102523197B (zh) 企业社交信息交互方法、服务器及企业社交网络系统
US20120303827A1 (en) Location Based Access Control
CN103581203A (zh) 基于可信计算的可信网络连接方法
Metere et al. Securing the electric vehicle charging infrastructure
CN105933245A (zh) 一种软件定义网络中安全的可信接入方法
CN103780580A (zh) 提供能力访问策略的方法、服务器和系统
AbdAllah et al. Towards defending connected vehicles against attacks
CN103780584A (zh) 一种基于云计算的融合身份认证方法
CN108364232A (zh) 一种基于区块链技术的电子合约签署与监督执行系统
CN113596009A (zh) 零信任访问方法、系统、零信任安全代理、终端及介质
Dellios et al. Information security compliance over intelligent transport systems: Is it possible?
CN103152350B (zh) 一种保护终端配置隐私的可信网络接入方法及系统
CN112866998B (zh) 基于可信计算的5g切片配置数据安全保护方法
CN103069767B (zh) 交付认证方法
CN114499919A (zh) 一种工程机械通信安全网络威胁建模的方法及系统
Wang Full‐scene network security protection system based on ubiquitous power Internet of things
Wrona et al. Designing medium assurance XML-labelling guards for NATO
CN111131273A (zh) 一种网络工程用互联网接入控制系统
CN106817385A (zh) 基于高速可信硬件模块的云终端网络接入系统
CN105790935A (zh) 基于自主软硬件技术的可信认证服务器
Ulltveit-Moe et al. Mobile security with location-aware role-based access control
CN107707531A (zh) 一种安全云计算系统
CN104580997A (zh) 一种视频监控管理系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C53 Correction of patent for invention or patent application
CB02 Change of applicant information

Address after: 510080 Dongfeng East Road, Dongfeng, Guangdong, Guangzhou, Zhejiang Province, No. 8

Applicant after: ELECTRIC POWER RESEARCH INSTITUTE, GUANGDONG POWER GRID CO., LTD.

Address before: 510080 Dongfeng East Road, Dongfeng, Guangdong, Guangzhou, Zhejiang Province, No. 8

Applicant before: Electrical Power Research Institute of Guangdong Power Grid Corporation

COR Change of bibliographic data

Free format text: CORRECT: APPLICANT; FROM: ELECTRICAL POWER RESEARCH INSTITUTE OF GUANGDONG POWER GRID CORPORATION TO: ELECTRIC POWER RESEARCH INSTITUTE OF GUANGDONG POWER GRID CO., LTD.

C14 Grant of patent or utility model
GR01 Patent grant