CN104378328B - 一种安全访问方法及系统 - Google Patents

Abstract

本发明公开了一种安全访问方法及系统，涉及计算机网络信息安全技术领域。服务端接收到访问请求后，判断是否为针对敏感操作的访问请求，是则触发手机短信验证方式，向协同审批人员手机端发送包括审批内容的短信；接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求。可以在保障重要业务系统安全性的情况下规范操作人员的操作行为，通过通讯设备转发合法性许可意见的方式对高权限的使用进行监督和控制，降低人为操作风险与信息安全风险，减少人力浪费，提高工作效率。

Description

一种安全访问方法及系统

技术领域

本发明涉及计算机网络信息安全技术领域，特别涉及一种安全访问方法及系统。

背景技术

当前众多网络安全生产域内涉及具备特殊信息的网络设备及业务系统，为保障重要业务系统的安全性，规范操作人员的操作行为，防止部分操作人员违规获取、篡改相关信息，避免由于系统高权限账户被滥用引起高危操作，降低人为操作风险与信息安全风险，技术上要保证一个人不可能独自完成高敏感操作，以实现过程中的实时控制。

现有的针对多人制衡安全访问方案，要求在操作人员使用账户登录系统或触发敏感操作的现场必须要求包含两人及以上有相应权限的员工共同协作完成，基本包含以下几个步骤：

1)操作人员打开高风险业务系统登录界面或进入特殊网络设备维护界面；

2)操作人员输入登录账户或设备敏感指令字符串；

3)具备相应权限的协同操作人员在现场监督操作人员的输入过程；

4)操作人员点击确定登录或点击回车键，进入业务系统或设备执行操作命令。

现有的针对合法性许可的安全访问技术，在技术控制上几乎为零，而且业务系统访问者及网络设备维护者数量很多，采用多人现场监督付出的人力成本过大，工作效率低。

发明内容

鉴于上述问题，本发明实施例提供一种安全访问方法及系统，采用通讯设备转发操作人的操作申请给协同操作人，协同操作人核实操作可行后再通过通讯设备转发许可口令，以减少现场监督造成的人力浪费及效率降低问题，达到对敏感内容进行安全访问的目的。

本发明实施例采用了如下技术方案：

本发明一个实施例提供了一种安全访问方法，所述方法包括：

服务端接收到访问请求；

判断所述访问请求是否为针对敏感操作的访问请求，否则正常访问，是则：

触发手机短信验证方式，向协同审批人员手机端发送包括审批内容的短信；

接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求。

所述触发手机短信验证方式之后还包括：

触发合法性许可申请入口，用于接收本次访问的限制条件；所述限制条件包括本次访问所需时间及访问事由；

所述审批内容具体为：本次访问所需时间及访问事由。

所述协同审批人员手机端，设置有合法性许可服务插件，接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则合法性许可服务插件生成许可口令，并通过短信网关转发至服务端。

所述合法性许可服务插件与服务端分别预置有许可口令生成方式及对应的验证方式，

所述协同审批人员审批通过后回复的许可口令具体为：协同审批人员审批通过后根据所述预置的许可口令生成方式生成许可口令；

所述验证所述许可口令的正确性具体为：服务端根据预置的验证方式验证所述许可口令的正确性。

当协同审批人员为多人时，所述接收协同审批人员审批通过后回复的许可口令具体为：

接收到多个协同审批人员中审批通过后最先回复的许可口令。

所述接收协同审批人员审批通过后回复的许可口令之后还包括：

若所述许可口令丢失，则再次触发手机短信验证方式，执行所述向协同审批人员发送包括审批内容的短信步骤，重新获取许可口令。

所述判断所述访问请求是否为针对敏感操作的访问请求具体为：

将访问请求与预置敏感操作模板相匹配，若匹配成功，则本次访问请求为针对敏感操作的访问请求。

另外，本发明实施例还提供了一种安全访问系统，所述系统包括服务端和协同审批端：

所述服务端包括：

访问请求接收模块，用于接收到访问请求；

访问控制模块，用于判断所述访问请求是否为针对敏感操作的访问请求，否则正常访问，是则触发审批模块；

审批模块，用于触发手机短信验证方式，向所述协同审批端发送包括审批内容的短信；

高级访问模块，用于接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求；

所述协同审批端具体为协同审批人员手机端，用于接收包括审批内容的短信，根据审批通过的审批结果回复许可口令至所述服务端。

所述协同审批端设置有合法性许可服务插件，用于接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则合法性许可服务插件生成许可口令，并通过短信网关转发至服务端。

所述合法性许可服务插件与服务端分别预置有许可口令生成方式及对应的验证方式，

所述协同审批端的合法性许可服务插件，具体用于接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则根据所述预置的许可口令生成方式生成许可口令，并通过短信网关转发至服务端；

所述高级访问模块，具体用于接收协同审批人员审批通过后回复的许可口令，并根据预置的验证方式验证所述许可口令的正确性，正确则允许本次访问请求。

可见，本发明实施例提供一种安全访问方法和系统，可以在保障重要业务系统安全性的情况下规范操作人员的操作行为，通过通讯设备转发合法性许可意见的方式对高权限的使用进行监督和控制，降低人为操作风险与信息安全风险，减少人力浪费，提高工作效率。

附图说明

图1为本发明实施例提供的一种安全访问方法流程图；

图2为本发明实施例提供的安全访问方法的一个具体实例流程示意图；

图3为本发明实施例提供的一种安全访问系统结构框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

本发明实施例要解决的技术问题是：采用通讯设备转发操作人的操作申请给协同操作人，协同操作人核实操作可行后再通过通讯设备转发许可口令，减少现场监督造成的人力浪费及效率降低问题。

本发明实施例整体思路：业务系统的操作人员触发敏感操作的请求后，合法性许可服务根据高风险业务场景的配置将申请短信发送给相应的操作协同人。操作人员收到许可口令后，在认证等待页面将验证码输入到敏感操作许可口令验证框中，提交验证，判断后反馈给业务系统鉴权结果。

参见图1，本发明实施例提供一种安全访问方法，具体包括如下步骤：

S101：服务端接收到访问请求。

S102：判断所述访问请求是否为针对敏感操作的访问请求，否则执行步骤S105，是则执行步骤S103。

具体的，所述判断所述访问请求是否为针对敏感操作的访问请求具体为：

将访问请求与预置敏感操作模板相匹配，若匹配成功，则本次访问请求为针对敏感操作的访问请求。

S103：触发手机短信验证方式，向协同审批人员手机端发送包括审批内容的短信。

进一步的，所述触发手机短信验证方式之后还包括：

触发合法性许可申请入口，用于接收本次访问的限制条件；所述限制条件包括本次访问所需时间及访问事由。

相应的，所述审批内容具体为：本次访问所需时间及访问事由。

需要说明的是，作为优选方案，本发明实施例中，一次申请，多次操作。具体的，业务操作人员在自设置的申请时间段内（即本次访问所需时间）触发敏感操作时不需要重复发起申请，一次生成的合法性许可口令在所申请时间段内均有效。

S104：接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求，结束。

需要说明的是，所述协同审批人员手机端，设置有合法性许可服务插件，接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则合法性许可服务插件生成许可口令，并通过短信网关转发至服务端。

进一步的，所述合法性许可服务插件与服务端分别预置有许可口令生成方式及对应的验证方式。也就是说，对于许可口令生成方式及对应的验证方式，服务端和合法性许可服务插件中按照预定规则进行约定。

则，所述协同审批人员审批通过后回复的许可口令具体为：协同审批人员审批通过后根据所述预置的许可口令生成方式生成许可口令。

所述验证所述许可口令的正确性具体为：服务端根据预置的验证方式验证所述许可口令的正确性。

优选的，当协同审批人员为多人时，所述接收协同审批人员审批通过后回复的许可口令具体为：

接收到多个协同审批人员中审批通过后最先回复的许可口令。

具体而言，本发明实施例采用一对多申请发送方式。即，采用通讯设备转发合法性许可意见，可以选择一操作人对一协同操作人或一操作人对多协同操作人的申请发送方式，以第一个回复合法性许可口令的协同操作人审批意见为准。一对多方式发送申请可以有效保证申请审批率，降低漏审率和审批超时率，减少由于未能及时审批给操作人员工作上带来的影响。

另外，所述接收协同审批人员审批通过后回复的许可口令之后还包括：

若所述许可口令丢失，则再次触发手机短信验证方式，执行所述向协同审批人员发送包括审批内容的短信步骤，重新获取许可口令。

也就是说，本发明实施例支持重新获取口令。即业务操作人员发出的申请在被协同操作人审批通过后，如果不小心丢失合法性许可口令，本方案提供了合法性许可口令重新获取功能。

S105：正常访问，结束。

可见，本发明实施例提供一种安全访问方法，服务端接收到访问请求后，判断是否为针对敏感操作的访问请求，是则触发手机短信验证方式，向协同审批人员手机端发送包括审批内容的短信；接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求。可以在保障重要业务系统安全性的情况下规范操作人员的操作行为，通过通讯设备转发合法性许可意见的方式对高权限的使用进行监督和控制，降低人为操作风险与信息安全风险，减少人力浪费，提高工作效率。

参见图2，举例具体说明本发明实施例提供的安全访问方法。

处理步骤具体为：

1)业务操作人员进入业务系统后触发敏感业务操作；

2)合法性许可服务根据操作人申请请求中的信息，与事先梳理过的高风险操作与特定信息系统的高风险业务场景关联的对照表进行比对，判断该业务操作请求所涉及的敏感场景、策略是否有效；

3)若为高风险业务场景，触发合法性许可申请页面；若不是高风险业务场景，跳转至第10步；

4)在申请页面选择短信手机验证方式；

5)业务操作人员在申请页面输入申请时长、申请原因等申请信息，并提交；

6)业务操作人员等待审批结果；

7)协同操作人员审批，审批通过，合法性许可服务生成许可口令，并通过短信网关转发；

8)业务操作人员接收短信，在审批等待页面输入许可口令；

9)合法性许可服务验证许可口令正确性，若许可口令正确，跳转至第10步；否则，跳转至11步；

10)业务操作人员继续业务操作；

11)阻断业务操作。

另外，参见图3，本发明实施例提供了一种安全访问系统，所述系统具体包括服务端300和协同审批端400：

所述服务端300包括：

访问请求接收模块301，用于接收到访问请求；

访问控制模块302，用于判断所述访问请求是否为针对敏感操作的访问请求，否则正常访问，是则触发审批模块303；

审批模块303，用于触发手机短信验证方式，向所述协同审批端发送包括审批内容的短信；

高级访问模块304，用于接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求；

所述协同审批端400具体为协同审批人员手机端，用于接收包括审批内容的短信，根据审批通过的审批结果回复许可口令至所述服务端。

优选的，所述协同审批端400设置有合法性许可服务插件401，用于接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则合法性许可服务插件生成许可口令，并通过短信网关转发至服务端。

具体的，所述合法性许可服务插件与服务端分别预置有许可口令生成方式及对应的验证方式。

相应的，所述协同审批端的合法性许可服务插件，具体用于接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则根据所述预置的许可口令生成方式生成许可口令，并通过短信网关转发至服务端。

所述高级访问模块，具体用于接收协同审批人员审批通过后回复的许可口令，并根据预置的验证方式验证所述许可口令的正确性，正确则允许本次访问请求。

需要说明的是，本发明系统实施例中的各个模块或者子模块的工作原理和处理过程可以参见上述图1及图2所示方法实施例中的相关描述，此处不再赘述。

可见，本发明实施例提供一种安全访问系统，服务端接收到访问请求后，判断是否为针对敏感操作的访问请求，是则触发手机短信验证方式，向协同审批人员手机端发送包括审批内容的短信；接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求。可以在保障重要业务系统安全性的情况下规范操作人员的操作行为，通过通讯设备转发合法性许可意见的方式对高权限的使用进行监督和控制，降低人为操作风险与信息安全风险，减少人力浪费，提高工作效率。

为了便于清楚描述本发明实施例的技术方案，在发明的实施例中，采用了“第一”、“第二”等字样对功能和作用基本相同的相同项或相似项进行区分，本领域技术人员可以理解“第一”、“第二”等字样并不对数量和执行次序进行限定。

本领域普通技术人员可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，包括如下步骤：（方法的步骤），所述的存储介质，如：ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (5)

1.一种安全访问方法，其特征在于，所述方法包括：

服务端接收到访问请求；

判断所述访问请求是否为针对敏感操作的访问请求，否则正常访问，是则：

触发手机短信验证方式，向协同审批人员手机端发送包括审批内容的短信；

接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求；

所述触发手机短信验证方式之后还包括：

触发合法性许可申请入口，用于接收本次访问的限制条件；所述限制条件包括本次访问所需时间及访问事由；

所述审批内容具体为：本次访问所需时间及访问事由；

其中，在自设置的本次访问所需时间内触发敏感操作时不需要重复发起申请，一次生成的合法性许可口令在所申请时间段内均有效；

所述协同审批人员手机端，设置有合法性许可服务插件，接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则合法性许可服务插件生成许可口令，并通过短信网关转发至服务端；

所述合法性许可服务插件与服务端分别预置有许可口令生成方式及对应的验证方式，

所述协同审批人员审批通过后回复的许可口令具体为：协同审批人员审批通过后根据所述预置的许可口令生成方式生成许可口令；

所述验证所述许可口令的正确性具体为：服务端根据预置的验证方式验证所述许可口令的正确性。

2.根据权利要求1所述的方法，其特征在于，当协同审批人员为多人时，所述接收协同审批人员审批通过后回复的许可口令具体为：

接收到多个协同审批人员中审批通过后最先回复的许可口令。

3.根据权利要求1所述的方法，其特征在于，所述接收协同审批人员审批通过后回复的许可口令之后还包括：

若所述许可口令丢失，则再次触发手机短信验证方式，执行所述向协同审批人员发送包括审批内容的短信步骤，重新获取许可口令。

4.根据权利要求1所述的方法，其特征在于，所述判断所述访问请求是否为针对敏感操作的访问请求具体为：

将访问请求与预置敏感操作模板相匹配，若匹配成功，则本次访问请求为针对敏感操作的访问请求。

5.一种安全访问系统，其特征在于，所述系统包括服务端和协同审批端：

所述服务端包括：

访问请求接收模块，用于接收到访问请求；

访问控制模块，用于判断所述访问请求是否为针对敏感操作的访问请求，否则正常访问，是则触发审批模块；

审批模块，用于触发手机短信验证方式，向所述协同审批端发送包括审批内容的短信；

高级访问模块，用于接收协同审批人员审批通过后回复的许可口令，并验证所述许可口令的正确性，正确则允许本次访问请求；

所述协同审批端具体为协同审批人员手机端，用于接收包括审批内容的短信，根据审批通过的审批结果回复许可口令至所述服务端；

高级访问模块还用于：触发合法性许可申请入口，用于接收本次访问的限制条件；所述限制条件包括本次访问所需时间及访问事由；其中，所述审批内容具体为：本次访问所需时间及访问事由；在自设置的本次访问所需时间内触发敏感操作时不需要重复发起申请，一次生成的合法性许可口令在所申请时间段内均有效；

所述协同审批端设置有合法性许可服务插件，用于接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则合法性许可服务插件生成许可口令，并通过短信网关转发至服务端；

所述合法性许可服务插件与服务端分别预置有许可口令生成方式及对应的验证方式，

所述协同审批端的合法性许可服务插件，具体用于接收根据包括审批内容的短信做出的审批结果，若审批结果为通过，则根据所述预置的许可口令生成方式生成许可口令，并通过短信网关转发至服务端；

所述高级访问模块，具体用于接收协同审批人员审批通过后回复的许可口令，并根据预置的验证方式验证所述许可口令的正确性，正确则允许本次访问请求。