CN103281330A - 一种基于反馈环的自适应访问控制方法 - Google Patents

Abstract

本发明公开了一种基于反馈环的自适应访问控制方法。本方法为：1)云服务器根据访问主体的历史访问行为计算访问属性之间的属性关联度，建立一访问控制知识库表；2)云服务器从访问控制知识库表中选取若干历史访问行为的属性关联度，计算欧几里德几何距离d_i并取平均值d作为访问控制的门限值；3)访问主体向云服务器发送访问请求；4)云服务器计算该访问请求的访问属性之间的属性关联度，然后计算该访问请求的属性关联度与访问控制知识库表中属性关联度的欧几里德几何距离D，如果D≤d，则同意该次访问请求；如果D＞d且记录数大于门限值时，则拒绝该访问请求，否则将其发送给策略信息点PIP进行决策。本发明决策时间快、效率高，准确性和智能性明显。

Description

一种基于反馈环的自适应访问控制方法

技术领域

本发明属于信息安全中的访问控制领域，具体涉及一种基于反馈环的自适应访问控制方法。

背景技术

自适应能力是指系统能够自动适应系统的物理拓扑的变化以及在系统上运行的应用程序的变化，进而具备动态响应系统环境中的变化和用户的请求变化的能力。自适应可以应用于多种系统，例如自愈系统可以自动发现，诊断和纠正系统中的错误；自我优化系统可以自动监测和适应资源的使用情况。自适应系统中需要监视环境的变化并据此调整自己的行为。

一些企业组织、科研单位和个人已对自适应系统做出了研究。Dobson等提出在自适应软件系统的设计中，反馈回路是一种重要的设计理念(S.Dobson et al.A survey of autonomiccommunications.TAAS，1(2)：223-259，2006)。IBM公司提出MAPE模型(J.O.Kephart andD.M.Chess.The vision of autonomic computing.Computer，36(1)：41-50，2003)，该模型描述了自适应系统所包含四个不同阶段，即监视(Moniter)-分析(Analyze)-计划(Plan)-执行(Execute)，这些模块共享一个知识库(Knowledge base)。

在云计算应用场景中，各种用户所需的服务和数据都集中在“云”端存储，由服务提供商的数据中心负责存储过去一直保存在最终用户个人计算机上或企业自己数据中心的信息，用户通过互联网远程访问这些应用程序和数据，这种特性使得访问控制成为影响云计算安全性的重要因素。在云计算环境中，由于用户身份的不确定性，传统的基于身份或角色的访问控制方法已不能满足安全性要求，同时，云计算所提供服务的特异性对访问控制机制的粒度提出不同的要求。基于此，一些研究人员将自适应系统应用于访问控制，提出了不同的方案。C.Bailey提出了一种自适应授权框架，该框架依赖于一个能够监视目标授权基础设施决定的反馈回路，能够管理任何基于RBAC/ABAC授权基础设施的策略(C.Bailey，D.W.Chadwickand R.de Lemos，“Self-Adaptive Authorization Framework for Policy Based RBAC/ABACModels，”Proc.9th Internationl Conference on Dependable，Autonomic and SecureComputing，(DASC11)，2011，pp.37-44)；J.Choi和D.H.Kang设计了一种基于传统RBAC模型的自适应访问控制方案，该方案能根据上下文的变化，保证动态用户和权限的分配(J.Choi and D.H.Kang，Adaptive Access Control Scheme Utilizing Context Awarenessin Pervasive Computing Environments.IPCCC2008：491-498)。以上这些方案中虽然提到了访问控制的自适应性，但是都没有考虑自适应访问控制系统的智能决策，将会为访问决策带来动态适应性差、访问效率低、决策不准确等问题。

发明内容

在本发明中，我们提出一种基于反馈回路的自适应访问控制方法，所采用的反馈环机制源自IBM的MAPE-K机制，该机制包含5个部分：其中，监视模块抽取访问请求的访问属性和访问行为，并将该次访问请求存储到历史记录中，以供其它模块参考；分析模块分析从监视模块监视获得访问行为以决定是否更新知识库，同时选择历史记录作为知识库更新的数据源；计划模块计算分析模块提供的历史记录样本的访问属性之间的关联度，以升级知识库为访问控制提供决策依据；执行模块基于访问控制知识库对新访问请求做出访问授权决定。另外，我们也给出一种访问控制知识库访问属性关联度的计算算法。与以往方案不同的是，我们给出了新的构建访问控制知识库的方法。当访问主体发起的访问请求被PEP(策略执行点)截获转交给PDP(策略决策点)后，PDP向该知识库请求访问控制策略(判定知识)，若知识库存在相应的判定知识，进而由执行模块做出访问授权决定转发给PDP，PDP最终决定对该访问请求的授权(允许或拒绝)；如果知识库中没有相应的判定知识，PDP则向PIP(策略信息点)请求属性信息，进而做出访问授权决定。

1、访问控制知识库构建与管理

访问控制知识库是基于访问控制的基本信息构建而成，它的构建和管理对于增强访问控制系统的自适应智能决策有重要意义，即通过存储和管理先验知识，实现对未来访问控制提供决策。访问控制知识库由访问属性之间的关联度组成，访问属性通常包括访问主体、访问客体、访问时间、访问地点、反馈结果等。简要概括该知识库的构建方法：根据访问请求与反馈信息，进行属性间关联度自我修复和改进，逐步形成访问控制知识库。访问控制知识库通常以一个“二维表格”形式进行存储和管理，每一个数值代表相应的属性之间的属性关联度，属性关联度在[0，1]之间取值。假设访问记录包含N个属性，则该访问控制知识库如表1所示。

表1访问控制知识库表

	属性1	属性2	…	属性N
					属性1	关联度11	关联度12	…	关联度1N
属性2	关联度21	关联度22	…	关联度2N
					……	……	……	…	...
属性N	关联度N1	关联度N2	…	关联度NN

1).访问属性关联度算法

通过分析访问主体的历史访问行为，可以计算出访问属性之间的属性关联度，然后利用所得的关联度进行新的访问控制决策。

访问属性关联度算法具体描述如下：

(1)假设访问行为包含N个基本属性，那么选取M条的最新历史访问记录作为信息分析样本，即知识源，将该M次访问的所有属性存储于二维数组A[N，M]中；M条历史记录包括访问行为和反馈结果；

(2)样本数据标准化处理： $A[i,j]=\frac{A[i,j]}{\left(\frac{1}{M}\underset{j=0}{\overset{M-1}{\mathrm{\Σ}}}A\right[i,j\left]\right)};$

(3)选择数组A中第k行作为参考数列，求取其它各行数列与该行的绝对差，存储在二维数组B[N-1，M]中，其中B[i，j]＝|A[i，j]-A[k，j]|，i≠k；

(4)分别求取二维数组B中的最小值min(B)和最大值max(B)；

(5)依据随机函数选取关联系数ρ∈(0，1)；

(6)计算数组A中第k行与其它行之间的属性关联度：

(7)将每一属性作为一次参考属性，计算其余属性与参考属性之间的属性关联度，将上一步求得的第i行中的每一属性值取平均值：

得到第i行访问行为的访问属性的属性关联度。

2.基于反馈环的自适应访问控制模型

该模型如图2所示，其中，反馈环中各部分功能描述如下：

监视模块：对访问请求集合R＝{r₁，r₂，...，r_n}中的每一次访问请求r_i，监视模块抽取其访问属性a_i，其中包括访问主体s_i，访问客体o_i，访问时间t_i，访问位置l_i，访问反馈值feedback_i(访问请求没有处理前，该值为空值；访问请求处理后，获得一个访问反馈值，取值范围为0～1)，即a_i＝[s_i，o_i，t_i，l_i，feedback_i]。此外，监视模块还抽取r_i的访问行为b_i。如果请求r_i得到许可，访问完成后返回一个访问反馈值feedback，并且该次访问成为一条历史记录h_i。如果该次访问行为异常，则该次访问行为的feedback为异常值。分析模块：该模块主要功能是对监视模块检测到的访问行为进行统计分析，判定是否更新知识库；并选取一定量的历史记录，作为访问控制知识库更新的数据源。

当访问反馈值feedback异常或达到一定的时间间隔t时，进行对该知识库更新的操作。即选取历史记录样本h_i，并将其存储在Record[i]中，也就是说向历史样本集Record[X][Y](该数组表示有Y条历史访问记录，每次访问有X个基本属性)中插入一条记录Record[i]，将h_i添加到Record[i]中。

分析监视模块观测到的访问行为r_i，如果r_i未得到许可或得到许可但访问行为异常，即相应的h_i反馈一个异常值，则对访问控制知识库进行升级；如果在升级时间间隔t内未出现反馈异常值，则间隔t结束时，对访问控制知识库进行升级，此时hi是最近的一组历史访问行为。

计划模块：该模块功能是对分析模块得到的样本历史记录，进行关联度计算，更新访问控制知识库，为访问控制提供决策支持。求取历史样本数据中各属性的平均值，随机选取关联系数。

依据属性间关联度算法进行更新，其更新步骤如下：

(1)对历史样本集Record[X][Y]中的任意元素Record[i][j]进行标准化处理：例如每一次访问有4个属性(分别为Time，IP，ResourceA，Feedback)，选取6个历史访问记录，历史访问记录如表2所示。

表2历史访问记录表

	Record1	Record2	Record3	Record4	Record5	Record6
							Time	0.444	0.572	0.369	0.341	0.564	0.776
IP	0.893	0.291	0.567	0.232	0.762	0.943
							ResourceA	0.624	0.478	0.594	0.518	0.887	0.652
Feedback	0.697	0.381	0.498	0.245	0.924	0.72

进行标准化后得到标准化结果如表3所示。

表3标准化数据结果

	Record1	Record2	Record3	Record4	Record5	Record6
							Time	0.869	1.119	0.722	0.667	1.104	1.519
IP	1.454	0.474	0.923	0.378	1.241	1.536
							ResourceA	0.997	0.764	0.949	0.872	1.417	1.042
Feedback	1.206	0.659	0.862	0.424	1.599	1.246

(2)选取数组Record[X][Y]中第K行作为参考数列，求取其它各行数列与该行的差的绝对值，存储于二维数组Record′[X-1][Y]中，其中Record′[i][j]＝|Record[i][j]-Record[k][j]|(i≠k)；

在该例中，例如选取Feedback行作为参考，计算出其余各行与Feedback行差的绝对值，结果如表4所示。

表4各行与Feedback行的差的绝对值

	Record1	Record2	Record3	Record4	Record5	Record6
							Time	0.337	0.46	0.14	0.243	0.495	0.273
IP	0.248	0.185	0.061	0.046	0.358	0.29
							ResourceA	0.209	0.015	0.087	0.403	0.182	0.204

(3)利用随机函数选取相关系数P＝Random()，求取Record′[X-1][Y]数组中的最大值和最小值分别为max(Record′)和min(Record′)；选取P＝0.6，表4中的最大值为0.495，最小值为0.046

(4)计算第K行与其余各行的关联度：

$\mathrm{Recored}[i,j]=\frac{\min \left({\mathrm{Record}}^{\′}\right)+\max \left({\mathrm{Record}}^{\′}\right)\·P}{\mathrm{Record}[i,j]+\max \left({\mathrm{Record}}^{\′}\right)\·P};$

该例的计算结果如表5所示。

表5Feedback属性与其余各属性间的关联度

	Record1	Record2	Record3	Record4	Record5	Record6
							Time	0.5410195	0.4531044	0.784897205	0.653185185	0.4330808	0.469811
IP	0.6293578	0.7116183	0.958100559	1	0.5236641	0.417954
							ResourceA	0.6778656	0.8532338	0.893229167	0.49	0.7106752	0.338573

(5)属性与属性自身之间的关联度为1，求取其余各个属性与第K个属性的关联度， $\mathrm{Relation}\left[i\right]=\frac{1}{Y}\underset{j=0}{\overset{Y-1}{\mathrm{\Σ}}}\mathrm{Record}[i,j](i\≠k),$

有X个属性，所以Relation是一个包含X个元素的一维数组。

在该例中，Time和Feedback的关联度为：(0.5410095+0.4531044+0.784897025+0.635185185+0.4330808+0.469811)/6＝0.552848；IP和Feedback的关联度为：0.706782；ResourceA和feedback的关联度为：0.661496；Feedback与自身的关联度为1，所以各属性与Feedback的关联度组成了一个包含4个元素的一维数组Relation_Feedback[4]＝(0.552848，0.706782，0.661496，1)

(6)将Record[X][Y]中剩余X-1都选取作参考，重复以上(2)--(5)步骤后，则得到X-1个包含X个元素的一维数组，将(1)-(6)生成的数组合并成的矩阵Relation[X][X]，即为新的访问控制知识库。易得该矩阵是一个对角线元素全为1的对称矩阵。在该例中，分别求出各属性与Time、IP、Resource的关联度

Relation_Time[4]＝(1，0.487654，0.672513，0.552848)，

Relation_IP[4]＝(0.487654，1，0.672513，0.552848)，

Relation_ResourceA[4]＝(0.672513，0.596417，1，0.661496)，以上求出的4个一维数组组成矩阵，如表6所示。

表6访问控制知识库

	Time	IP	ResourceA	Feedback
					Time	1	0.487654	0.672513	0.552848
IP	0.487654	1	0.596417	0.706782
					ResourceA	0.672513	0.596417	1	0.661496
Feedback	0.552848	0.706782	0.661496	1

该矩阵即为访问控制知识库，矩阵的每一个数值表格代表相应的属性之间的关联度。

执行模块：对于当前访问请求，执行模块使用计划模块产生的新的知识库进行访问请求决策。执行模块计算当前访问请求任意两个属性之间的属性关联度Relation_ij，然后计算当前访问请求属性关联度与访问控制知识库表中所有属性间的欧几里得几何距离 $D=\sqrt{\underset{i=1}{\overset{X}{\mathrm{\Σ}}}\underset{j=1}{\overset{X}{\mathrm{\Σ}}}{({\mathrm{Relation}}_{\mathrm{ij}}-{\mathrm{Relation}}_{i(j+1)})}^2}.$

在历史记录中，选取诚信历史访问记录，对每一次这样的诚信访问记录

，计算其属性关联度的欧几里得几何距离d_i，然后计算出d_i的平均值d，将d作为访问控制的门限值，如果D≤d，则同意该次访问请求；D＞d且记录数大于门限值时(该门限值为访问控制知识库已丰富的条件，可设为10^5)，则拒绝该访问请求，否则将其发送给PIP进行决策。

与现有技术相比，本发明提出的自适应访问控制方法具有以下特性：

(1)访问控制策略的自适应性

通过构建访问控制知识库，改变了传统的由客体依据某些决策策略对主体进行授权的方式，依据访问控制知识库，把主体、客体和访问权限等作为访问行为的统一整体，进行智能决策和判定。

(2)访问控制策略的动态自优化性

访问控制知识库的构建是访问控制知识的识别、丰富和优化的动态开放过程，根据访问控制自反馈的数据，进行知识表示与抽取，优化访问控制知识库，使其具有更强的智能决策能力。

(3)访问控制的高效性

随着系统运行时间的增加，知识库不断丰富与完善，访问控制的决策效率也逐渐提高，即对一次访问行为的判定时间成本就越少。在开始阶段，知识库初始化主要由一些基本规则组成，几乎没有判定知识；运行一段时间后，知识库出现了少量已被识别的判定知识，但又不足以独立完成访问行为的决策，这一阶段的决策判定一部分依据知识，又不能完全离开基本规则，因此，判定成本比单独依据规则的开销稍大，但是准确性和智能性增加；随着系统运行时间的增加，知识不断地被识别积累，依据知识就可以单独进行智能判定，几乎不用初始化时的基本规则，这时决策时间大大降低，决策的高效性能、准确性和智能性也就越明显。

附图说明

图1访问控制知识库构建过程图示；

图2基于反馈环的自适应访问控制模型。

具体实施方式

为了本发明的目的、优点及技术方案更加清楚明白，以下通过具体实施，并结合附图1，对本发明进一步详细说明。

1.主体发起访问请求，被PEP(策略执行点)截获该访问；

2.PEP将截获的访问请求转交给PDP(策略决策点)，进行授权判定。PDP向访问控制知识库发送访问控制策略请求，该知识库根据已有的判定知识对该访问请求进行匹配判定，若知识库存在匹配的判定知识，进而由执行模块做出访问授权决定转发给PDP，PDP最终决定对该访问请求的授权(允许或拒绝)；若匹配不成功，PDP则向PIP(策略信息点)请求属性信息(PDP在处理访问控制决策的时候可能需要其他的一些条件，如主体的属性、资源的属性及环境的属性)，PIP将相关请求属性信息发送给PDP，进而PDP做出访问授权决定。

3.自适应反馈环的监测模块监视访问请求，抽取其访问属性和访问行为，并将该访问请求作为历史记录存储于该知识库中作为分析模块的数据源，以供以后参考；

4.分析模块分析统计监视模块得到的访问请求历史数据，如果该访问请求的反馈值异常或者到达一定时间间隔时，产生对该知识库更新操作命令。同时还会选取一定量的历史记录作为访问控制知识库更新的数据源；

5.计划模块依据第4步骤分析模块的知识库更新命令，决定对知识库是否进行更新，若知识库需要更新，则通过属性问关联度算法，完成对该知识库的更新操作；

6.对于PDP发送的访问控制策略请求，执行模块查阅访问控制知识库(如果该知识库更新，则使用新访问控制知识库)进行访问请求决策，即对访问请求中获得任意两个属性之间的关联度，计算所有属性间的欧几里德几何距离。

在历史记录中，选取诚信历史访问记录(可信主体产生的可信历史访问信息；可信主体为在历史访问记录中访问反馈值最高的若干个主体为可信主体。)，对每一次这样的诚信访问记录

，计算其属性关联度的欧几里得几何距离d_i，然后计算出d_i的平均值d，将d作为访问控制的门限值，如果D≤d，则同意该次访问请求；若D＞d且记录数大于门限值时(该门限值为访问控制知识库已丰富的条件，可设为10^5)，则拒绝该访问请求，否则将其发送给PIP进行决策。

Claims (7)

1.一种基于反馈环的自适应访问控制方法，其步骤为： 

1)云服务器根据访问主体的历史访问行为计算访问属性之间的属性关联度，建立一访问控制知识库表； 

2)云服务器从所述访问控制知识库表中选取若干历史访问行为的属性关联度，计算每一所选历史访问行为的属性关联度的欧几里德几何距离d_i，然后取dx的平均值d作为访问控制的门限值； 

3)访问主体向云服务器发送访问请求； 

4)云服务器计算该访问请求的访问属性之间的属性关联度，然后计算该访问请求的属性关联度与所述访问控制知识库表中属性关联度的欧几里德几何距离D，如果D≤d，则同意该次访问请求；如果D＞d且记录数大于门限值时，则拒绝该访问请求，否则将其发送给云服务器的策略信息点PIP进行决策。 

2.如权利要求1所述的方法，其特征在于建立所述访问控制知识库表的方法为： 

21)选取M条历史访问行为记录，每一历史访问行为记录包括N个基本属性，建立一二维数组A[N，M]； 

22)对每一历史访问行为记录进行标准化处理：

23)选择数组A中第k行作为参考数列，求取数组A中其它各行数列与该行的绝对差，存储在二维数组B[N-1，M]中，其中B[i，j]＝|A[i，j]-A[k，j]|，i≠k； 

24)分别求取二维数组B中的最小值min(B)和最大值max(B)； 

25)依据随机函数选取关联系数ρ∈(0，1)； 

26)计算数组A中第k行与其它行之间的属性关联度：

27)将每一属性作为一次参考属性，计算其余属性与参考属性之间的属性关联度 得到第i行历史访问行为的访问属性之间的属性关联度。 

3.如权利要求2所述的方法，其特征在于如果该访问请求的反馈结果为反馈异常，则将该访问请求的访问行为作为一条记录添加到历史访问行为记录集Record[X][Y]中，并更新所述访问控制知识表；如果到达更新时间t，则云服务器将过去时间t内的访问行为添加到历史访问行为记录集Record[X][Y]中，周期性更新所述访问控制知识表。 

4.如权利要求3所述的方法，其特征在于更新所述访问控制知识表的方法为： 

41)Record[i][j]为Record[X][Y]中任意一元素；对其进行标准化处理： 

42)选取数组Record[X][Y]中第K行作为参考数列，求取其它各行数列与该行的差的绝对值，存储于二维数组Record′[X-1][Y]中，其中Record′[i][j]＝|Record[i][j]-Record[k][j]|(i≠k)； 

43)利用随机函数选取相关系数P＝Random()，求取Record′[X-1][Y]数组中的最大值和最小值分别为max(Record′)和min(Record′)； 

44)计算数组Record[X][Y]中第K行与其余各行的属性关联度： 

45)求取其余各个属性与第K个属性的关联度：

将求的所有关联度存储于数组Relation[]中，Relation是一个包含X个元素的一维数组； 

46)将Record[X][Y]中剩余X-1属性分别作为一次参考属性，重复以上42)～45)，得到X-1个包含X个元素的一维数组Relation[]，将得到的X个数组Relation[]合并成矩阵Relation[X][X]，即为更新后的访问控制知识库表。 

5.如权利要求1或2或3或4所述的方法，其特征在于所述访问属性包括：访问主体、访问客体、访问时间、访问地点、反馈结果。 

6.如权利要求1或2或3或4所述的方法，其特征在于所述访问控制知识库表为二维表格形式，每一个关联度数值代表相应的属性之间的关联度。 

7.如权利要求1所述的方法，其特征在于选取的若干所述历史访问行为是可信主体产生的可信历史访问行为。 

Images