CN105827645A - 一种用于访问控制的方法、设备与系统 - Google Patents
一种用于访问控制的方法、设备与系统 Download PDFInfo
- Publication number
- CN105827645A CN105827645A CN201610327330.0A CN201610327330A CN105827645A CN 105827645 A CN105827645 A CN 105827645A CN 201610327330 A CN201610327330 A CN 201610327330A CN 105827645 A CN105827645 A CN 105827645A
- Authority
- CN
- China
- Prior art keywords
- main body
- equipment
- safe class
- role type
- described main
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/101—Access control lists [ACL]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/102—Entity profiles
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/104—Grouping of entities
Landscapes
- Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
Abstract
本发明的目的是提供一种用于访问控制的方法、设备与系统。本发明通过基于访问请求中主体与客体的安全角色类型以及安全等级，来确定与该访问请求相对应的操作信息。与现有技术相比，本发明通过实施基于角色的多等级模型，在基于角色的强制访问控制的基础上增加分等级角色，解决了当同一角色用户过多时，仅基于角色的强制访问控制无法满足要求的问题，有效地同时保证保密性和完整性，相比较传统的BLP、RBAC模型更适应现代社会多元化的要求。
Description
技术领域
本发明涉及信息安全技术领域，尤其涉及一种用于访问控制的技术。
背景技术
随着计算机技术和网络的飞速发展，人们对计算机的使用也愈加频繁、使用范围愈加广泛，如通过计算机进行交流、娱乐、休闲等。然而，对计算机的依赖也为使用者的信息安全带来了威胁。
访问控制，就是控制主体对系统中资源的访问。访问控制三个要素：主体(Subject)，指一个提出请求或要求的实体，是访问操作的主动发起者；客体(Object)，接受其他实体访问的被动实体；控制策略，是指主体对客体的操作行为集和约束条件集。
信息安全的三元组：保密性(Confidentiality)，是指确保信息在存储、使用、传输过程中不会泄漏给非授权用户或实体；可用性(Availability)，确保授权用户或实体对信息及资源的正常使用不被异常拒绝，允许其可靠而及时地访问信息；完整性(Integrity)，确保信息在存储、使用、传输过程中不会被非授权用户篡改，同时还要防止授权用户对系统及信息进行不恰当的篡改，保持信息内、外部表示的一致性。
强制访问控制中，信息分成等级和类，主体与客体都被标记了固定的安全属性(即安全标记)。系统中所有对象必须遵循强制访问控制，在每次访问发生时，系统检测安全属性以确定主体是否有权访问客体，保证每个用户只能访问被标明可以访问的信息系统。
常见的强制访问控制模型一般包括以下两类：
Bell-Lapadula模型(BLP模型)，主要用于保证信息的保密性，防止保密信息被未授权的主体访问。依照信息的保密性设置级别(绝密，机密，秘密等)。特征是“下读上写”，即主体可以读安全级别比他低或相等的客体，可以写安全级别比他高或相等的客体。
Biba模型，用于解决应用程序数据的完整性问题。依照信息的完整性设置级别(高完整性、中完整性、低完整性)。特征与BLP相反，为“上读下写”，即主体可以读安全级别高于他的客体，可以写安全级别低于他的客体。
Bell-Lapadula和Biba模型虽然适用于不同的领域，但Bell-Lapadula模型和Biba模型在实际的运用中都存在一定的局限性，保证完整性就不能保证保密性，而保证了保密性完整性又可能遭到破坏，因此两者均无法兼具保密性与完整性。
发明内容
本发明的目的是提供一种用于访问控制的方法、设备与系统。
根据本发明的一个方面，提供了一种在第一设备端用于访问控制的方法，其中，该方法包括以下步骤：
x获取与系统内的各类对象相对应的安全角色类型以及安全等级；
其中，该方法还包括以下步骤：
a获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象；
b根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
优选地，所述步骤b包括：
-基于所述客体所对应的类别，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
优选地，所述步骤b包括：
-确定所述主体与所述客体所对应的安全角色类型是否相同；
-若所述主体与所述客体所对应的安全角色类型相同，则基于所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
优选地，所述确定与所述访问请求相对应的操作信息的步骤包括以下至少任一项：
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体与所述客体所对应的安全等级相同，则所述主体对所述客体可执行任意操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级高于所述客体所对应的安全等级，则所述主体对所述客体可执行只读操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级低于所述客体所对应的安全等级，则所述主体对所述客体不可执行任何操作。
优选地，该方法还包括以下步骤：
-根据系统内的各类对象的历史记录信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
更优选地，所述历史记录信息包括以下至少任一项：
-所述主体的操作历史记录；
-所述客体的被操作历史记录。
优选地，该方法还包括以下步骤：
-获取第二设备端所发送的访问控制设置规则；
其中，所述步骤x包括：
-根据所述访问控制设置规则，确定与系统内的各类对象相对应的安全角色类型以及安全等级。
更优选地，所述步骤b包括：
-根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于所述访问控制设置规则，确定与所述访问请求相对应的操作信息。
根据本发明的另一方面，还提供了一种用于访问控制的第一设备，其中，该设备包括：
安全获取装置，用于获取与系统内的各类对象相对应的安全角色类型以及安全等级；
其中，该设备还包括：
请求获取装置，用于获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象；
确定装置，用于根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
优选地，所述确定装置用于：
-基于所述客体所对应的类别，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
优选地，所述确定装置包括：
类型确定单元，用于确定所述主体与所述客体所对应的安全角色类型是否相同；
确定单元，用于若所述主体与所述客体所对应的安全角色类型相同，则基于所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
优选地，所述确定单元用于以下至少任一项：
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体与所述客体所对应的安全等级相同，则所述主体对所述客体可执行任意操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级高于所述客体所对应的安全等级，则所述主体对所述客体可执行只读操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级低于所述客体所对应的安全等级，则所述主体对所述客体不可执行任何操作。
优选地，该设备还包括：
调整装置，用于根据系统内的各类对象的历史记录信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
更优选地，所述历史记录信息包括以下至少任一项：
-所述主体的操作历史记录；
-所述客体的被操作历史记录。
优选地，该设备还包括：
规则获取装置，用于获取第二设备端所发送的访问控制设置规则；
其中，所述安全获取装置用于：
-根据所述访问控制设置规则，确定与系统内的各类对象相对应的安全角色类型以及安全等级。
更优选地，所述确定装置用于：
-根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于所述访问控制设置规则，确定与所述访问请求相对应的操作信息。
根据本发明的再一方面，还提供了一种用于访问控制的系统，其中，所述系统包括如上述所述的第一设备，以及第二设备，其中，所述第二设备将访问控制设置规则发送至所述第一设备。
与现有技术相比，本发明通过基于访问请求中主体与客体的安全角色类型以及安全等级，来确定与该访问请求相对应的操作信息，从而通过实施基于角色的多等级模型，在基于角色的强制访问控制的基础上增加分等级角色，解决了当同一角色用户过多时，仅基于角色的强制访问控制无法满足要求的问题，有效地同时保证保密性和完整性，相比较传统的BLP、RBAC模型更适应现代社会多元化的要求。
而且，本发明还可以基于所述客体所对应的类别，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息；从而对不同类型的客体所能执行的操作进行限制，同时保证了保密性和完整性。
而且，本发明还可以根据系统内的各类对象的历史记录信息，确定或调整与所述对象相对应的安全角色类型以及安全等级；从而实时地和/或自动地调整与所述对象相对应的安全角色类型以及安全等级，在降低用户设置操作的基础上，实时保证系统内访问控制的安全性，从而有效地同时保证保密性和完整性。
而且，本发明还可以从第二设备处获取访问控制设置规则，根据所述访问控制设置规则，确定与系统内的各类对象相对应的安全角色类型以及安全等级；进一步地，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于所述访问控制设置规则，确定与所述访问请求相对应的操作信息；从而由第二设备端对一个或多个第一设备端的访问控制设置规则进行统一控制，便于访问控制系统的管理。
附图说明
通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：
图1示出根据本发明的一个优选实施例的一种系统逻辑架构示意图；
图2示出根据本发明一个方面的一种用于访问控制的第一设备示意图；
图3示出根据本发明另一个方面的一种用于访问控制的方法流程图；
图4示出利用现有强制访问控制模型的访问控制示意图；
图5示出根据本发明一个优选实施例的一种利用本发明的访问控制模型的访问控制示意图。
附图中相同或相似的附图标记代表相同或相似的部件。
具体实施方式
在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。
在上下文中所称“第一设备”和/或“第二设备”，均可包括以下所述的“计算机设备”。所述计算机设备，也称为“电脑”，是指可以通过运行预定程序或指令来执行数值计算和/或逻辑计算等预定处理过程的智能电子设备，其可以包括处理器与存储器，由处理器执行在存储器中预存的存续指令来执行预定处理过程，或是由ASIC、FPGA、DSP等硬件执行预定处理过程，或是由上述二者组合来实现。计算机设备包括但不限于服务器、个人电脑、笔记本电脑、平板电脑、智能手机等。
所述计算机设备包括用户设备与网络设备。其中，所述用户设备包括但不限于电脑、智能手机、PDA等；所述网络设备包括但不限于单个网络服务器、多个网络服务器组成的服务器组或基于云计算(CloudComputing)的由大量计算机或网络服务器构成的云，其中，云计算是分布式计算的一种，由一群松散耦合的计算机集组成的一个超级虚拟计算机。其中，所述计算机设备可单独运行来实现本发明，也可接入网络并通过与网络中的其他计算机设备的交互操作来实现本发明。其中，所述计算机设备所处的网络包括但不限于互联网、广域网、城域网、局域网、VPN网络等。
需要说明的是，所述用户设备、网络设备和网络等仅为举例，其他现有的或今后可能出现的计算机设备或网络如可适用于本发明，也应包含在本发明保护范围以内，并以引用方式包含于此。
这里所公开的具体结构和功能细节仅仅是代表性的，并且是用于描述本发明的示例性实施例的目的。但是本发明可以通过许多替换形式来具体实现，并且不应当被解释成仅仅受限于这里所阐述的实施例。
应当理解的是，虽然在这里可能使用了术语“第一”、“第二”等等来描述各个单元，但是这些单元不应当受这些术语限制。使用这些术语仅仅是为了将一个单元与另一个单元进行区分。举例来说，在不背离示例性实施例的范围的情况下，第一单元可以被称为第二单元，并且类似地第二单元可以被称为第一单元。这里所使用的术语“和/或”包括其中一个或更多所列出的相关联项目的任意和所有组合。
这里所使用的术语仅仅是为了描述具体实施例而不意图限制示例性实施例。除非上下文明确地另有所指，否则这里所使用的单数形式“一个”、“一项”还意图包括复数。还应当理解的是，这里所使用的术语“包括”和/或“包含”规定所陈述的特征、整数、步骤、操作、单元和/或组件的存在，而不排除存在或添加一个或更多其他特征、整数、步骤、操作、单元、组件和/或其组合。
还应当提到的是，在一些替换实现方式中，所提到的功能/动作可以按照不同于附图中标示的顺序发生。举例来说，取决于所涉及的功能/动作，相继示出的两幅图实际上可以基本上同时执行或者有时可以按照相反的顺序来执行。
下面结合附图对本发明作进一步详细描述。
图1示出根据本发明的一个优选实施例的一种系统逻辑架构示意图。
其中，该系统可包括一个或多个第一设备以及一个或多个第二设备。为简便描述，在此，图1以三个第一设备与一个第二设备为例进行说明。本领域技术人员应能理解，包含其他的设备数量的系统逻辑架构同样适用于本发明，并包含在本发明的保护范围中。
其中，所述第一设备为用于执行访问控制的客户端设备，或称代理端设备；所述第一设备可以直接是被保护的电脑，也可以与被保护的电脑通过各类连接方式相连接，以对被保护的电脑实行访问控制，从而进行保护。所述第一设备可接受所述第二设备的各种命令，以实施系统信息的权限分配，如对系统内各类对象相对应的安全角色类型和/或安全等级的权限分配等。
在此，本领域技术人员应能理解，所述第一设备可以通过与所述第二设备相交互的方式，来获取系统信息的权限分配；也可以直接自行确定系统信息的权限分配。当所述第一设备自行确定系统信息的权限分配时，该系统逻辑架构中可以不包含第二设备。
所述第二设备与一个或多个第一设备通过各类方式相连接，如物理连接或无线连接等，以向所述第一设备发送各类命令。
所述第一设备可以包含一个或多个数据库，或与其他外部数据库相连接，以在所述数据库中保存该系统内各类对象相对应的安全角色类型和/或安全等级的权限分配等信息。在此，本领域技术人员应能理解，图1所示的数据库为外部数据库，而所述第一设备可以直接包含数据库，从而不再与其他外部数据库相相连接，图1中所示的方式仅为示例，并非对本发明的限制。
图2示出根据本发明一个方面的一种用于访问控制的第一设备示意图。
其中，所述第一设备包括安全获取装置1、请求获取装置2、确定装置3。具体地，所述安全获取装置1获取与系统内的各类对象相对应的安全角色类型以及安全等级；所述请求获取装置2获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象；所述确定装置3根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
所述安全获取装置1获取与系统内的各类对象相对应的安全角色类型以及安全等级。
具体地，所述安全获取装置1可直接基于所述第一设备自行设置的安全角色类型和/或安全等级，通过内部交互以获取与系统内的各类对象相对应的安全角色类型以及安全等级；或者，所述安全获取装置1与其他设备，如第二设备相交互，以获取其他设备所发送的系统内的各类对象相对应的安全角色类型以及安全等级。
其中，所述系统包括但不限于由所述第一设备、所述第一设备相关联的其他设备(如第二设备等)、或其他系统内的设备中的至少任一项所组成的系统。该系统与所述第一设备的访问控制相关联。
所述对象包括但不限于系统中的用户、文件、进程等。本领域技术人员应能理解，其他系统对象如能适用于本发明，同样包含在本发明的保护范围内。
其中，所述安全角色类型即将系统内的对象分为不同类型来管理信息，对于不同的角色类型，所对应的权限不同。所述安全角色类型可基于所述访问控制系统的设置而进行设置，本领域技术人员应能理解，不同的访问控制系统中所设置的安全角色类型可能不同。
所述安全等级即将系统内的对象分为不同的安全等级来管理信息，对于不同的安全等级，所对应的权项不同。所述安全等级可基于所述访问控制系统的设置而进行设置，本领域技术人员应能理解，不同的访问控制系统中所设置的安全等级设置可能不同。
例如，所述安全角色类型可以包括：安全管理员SO、系统管理员SA、安全用户MU、一般用户UX等。所述安全等级可以划分为N个等级，以标识不同的安全级别，如划分为7个等级，安全等级7的级别最高，安全等级1的级别最低等。
其中，以Linux系统为例，安全管理员SO是指以安全管理员账户登录以后su–root成功后的状态；安全管理员可以进行安全策略的配置管理，安全管理员SO7级为最高安全等级，可以具有所有权限，例如，仅SO7级用户可以卸载软件；
系统管理员SA，是指系统管理员SA在账户登录以后su–root成功后的状态。系统管理员仅能做系统管理操作，例如增删改用户等。
安全用户MU，是指可以进行普通安全信息分发操作的用户。
一般用户UX，是指未设置安全属性的普通用户。
本领域技术人员应能理解，其他的安全角色类型和/或安全等级划分方式同样适用于本发明，在此不再赘述，并包含在本发明的保护范围内。
优选地，所述第一设备还包括规则获取装置(未示出)，其中，所述规则获取装置获取第二设备端所发送的访问控制设置规则；所述安全获取装置1根据所述访问控制设置规则，确定与系统内的各类对象相对应的安全角色类型以及安全等级。
具体地，所述规则获取装置通过根据各类通信协议，基于预定的API，与所述第二设备相交互，以获取所述第二设备端所发送的访问控制设置规则。其中，所述获取可以是依据事件触发的，如当所述第二设备或所述第一设备满足预定的事件条件、或基于用户的主动操作而获取；或者，所述获取也可以是依据时间触发的，如周期性地或在预定时间从所述第二设备端处获取。
当基于触发来获取时，所述触发可以是所读第二设备触发，然后直接将所述访问控制设置规则发送给所述第一设备；也可以是所述第一设备触发，然后所述第一设备向所述第二设备发送规则获取请求，所述第二设备基于该请求来发送所述访问控制设置规则。例如，所述第二设备可以周期性地主动发送所述访问控制设置规则至所述第一设备，所述第一设备也可以周期性地向所述第二设备发送规则获取请求，所述第二设备基于该请求以发送最新的访问控制设置规则至所述第一设备。
其中，所述访问控制设置规则中包括但不限于对系统内各个对象的安全角色类型和/或安全等级的设置规则(如满足何种条件则将该对象设置为何种安全角色类型和/或安全等级)、各个对象的安全角色类型和/或安全等级的更改规则(如满足何种条件下则调整该对象的安全角色类型和/或安全等级)等；优选地，所述访问控制规则中还可以包括安全角色类型和/或安全等级与对应的操作信息的对应关系的设置规则等。
例如，所述访问控制设置规则可以包括根据不同的对象类型、创建操作者、创建时间、修改时间、存储路径、其他属性信息等中的一项或多项来确定所述对象所对应的安全角色类型和/或安全等级。
然后，所述安全获取装置1根据所述访问控制设置规则，对系统内的各个对象进行分析，当某个对象的相应条件(如各类属性)与该访问控制设置规则相匹配时，则基于该访问控制设置规则，将该对象设置为对应的安全角色类型以及安全等级。
所述请求获取装置2获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象。
具体地，所述请求获取装置2通过基于该设备自身的输入设备，获取主体对客体的访问请求；或者，基于各类传输协议，通过预定的API，与其他设备相交互，以获取从其他设备处所发送的主体对客体的访问请求。
其中，所述主体与客体属于所述系统内的对象；一般地，所述主体即为该系统的用户或可将所述主体视作该系统中的用户，所述客体即为该系统内的文件或进程等。在此，所述文件为广义上的文件概念，即一切皆为文件，如命令、网络、端口等；所述进程同样为广义上的进程概念，即为服务等。
所述访问请求包括但不限于对客体的各类操作请求，如读、写、执行、删除、修改等。
所述确定装置3根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
具体地，所述确定装置3根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于预定的访问控制规则，确定上述安全角色类型与安全等级下，与所述访问请求相对应的操作信息。
在此，本领域技术人员应能理解，所述确定装置3可以基于所述安全角色类型或所述安全等级与操作信息的映射，来直接确定与所述访问请求相对应的操作信息；例如，当所述主体的安全角色类型为系统管理员SA、安全类型为7级，且所述客体的安全角色类型为一般用户UX、安全等级为任意级别时，则所述主体对所述客体拥有读、写、删除、执行、进程操作等操作权利。
或者，所述确定装置3可通过对主体与客体所对应的安全角色类型或所述安全等级进行比较，基于比较结果，来确定与所述访问请求相对应的操作信息；例如，当所述主体的安全角色类型为系统管理员SA、安全类型为7级，且所述客体的安全角色类型为安全用户SA、安全等级为1级时，由于所述主体的安全等级大于所述客体的安全等级，则所述主体对所述客体拥有读、执行等操作权利。
优选地，当所述第一设备获取第二设备端所发送的访问控制设置规则时，所述确定装置3根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于所述访问控制设置规则，确定与所述访问请求相对应的操作信息。
具体地，所述访问控制设置规则中还包括安全角色类型和/或安全等级与对应的操作信息的对应关系的设置规则等，因此，所述确定装置3可基于所述访问控制设置规则中所预设的映射关系，确定与所述访问请求相对应的操作信息。
其中，由于所述第二设备可以同时向所述多个第一设备发送所述访问控制设置规则，从而对所述访问控制设置规则进行更新，因此，能够对多个所述第一设备进行统一管理与设置。
优选地，所述确定装置3可以基于所述客体所对应的类别，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
具体地，所述客体的类别包括但不限于文件或进程等。在此，所述文件为广义上的文件概念，即一切皆为文件，如命令、网络、端口等；所述进程同样为广义上的进程概念，即为服务等。
当所述客体所对应的类别不同时，即使所述主体与所述客体所对应的安全角色类型、以及所述主体与所述客体所对应的安全等级均相同，所确定的与所述访问请求相对应的操作信息也不相同。
例如，当所述客体是文件时，候选操作信息可以是对文件的读、写、删除、执行等；当所述客体是进程时，候选操作信息可以是进程的执行或操作等。
优选地，所述确定装置3包括类型确定单元(未示出)以及确定单元(未示出)；其中，所述类型确定单元确定所述主体与所述客体所对应的安全角色类型是否相同；若所述主体与所述客体所对应的安全角色类型相同，则所述确定单元基于所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
具体地，所述类型确定单元首先确定所述主体与所述客体所对应的安全角色类型是否相同，若所述主体与所述客体所对应的安全角色类型不同，则可拒绝所述主体对所述客体的访问；或优选地，若所述主体与所述客体所对应的安全角色类型不同，所述确定装置3可基于其他规则来继续判断所述访问请求所对应的操作信息；例如，仅当所述主体与所述客体所对应的安全角色类型满足预定的条件(如所述主体为安全管理员SO或所述客体为一般用户UX)时，才继续比较所述主体与所述客体的安全等级，否则，则拒绝所述主体对所述客体的访问。
而若当所述主体与所述客体所对应的安全角色类型相同时，则所述确定单元则继续判断所述主体与所述客体所对应的安全等级，基于所述安全等级的不同，来确定与所述访问请求相对应的操作信息。
更优选地，所述确定单元用于以下至少任一项：
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体与所述客体所对应的安全等级相同，则所述主体对所述客体可执行任意操作：例如，当所述客体是文件时，则允许对文件的读，写，执行，删除等，当所述客体是进程时，则允许进程操作。
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级高于所述客体所对应的安全等级，则所述主体对所述客体可执行只读操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级低于所述客体所对应的安全等级，则所述主体对所述客体不可执行任何操作。
优选地，所述第一设备还包括调整装置(未示出)，其中，所述调整装置根据系统内的各类对象的历史记录信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
具体地，所述调整装置可通过获取系统记录，如log文件，来获取系统内各类对象的历史记录信息；优选地，所述历史记录信息中包括所述主体的操作历史记录(即该主体对客体的操作历史记录)和/或所述客体的被操作历史记录(即该客体被某主体所操作的被操作历史记录)，所述操作历史记录和/或所述被操作历史记录中还包括了如主体与客体的相关信息(类别、安全角色类型、安全等级)、操作时间、操作结果、操作来源等信息。
所述调整装置基于所述历史记录信息，基于预制的规则或基于机器学习所获取的规则，判断所述对象的操作历史记录或被操作历史记录是否符合安全要求或是否存在安全风险，然后基于上述判定信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
例如，若某对象的历史记录信息显示，该对象作为客体时，被某安全等级小于该对象的主体连续频繁的请求访问多次，则可调高该客体的安全等级。
优选地，所述第一设备可以发出提示信息，以使得用户针对该历史记录信息来重新调整系统的控制设置规则等。
图3示出根据本发明另一个方面的一种用于访问控制的方法流程图。
具体地，在步骤S1中，所述第一设备获取与系统内的各类对象相对应的安全角色类型以及安全等级；在步骤S2中，所述第一设备获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象；在步骤S3中，所述第一设备根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
在步骤S1中，所述第一设备获取与系统内的各类对象相对应的安全角色类型以及安全等级。
具体地，在步骤S1中，所述第一设备可直接基于所述第一设备自行设置的安全角色类型和/或安全等级，通过内部交互以获取与系统内的各类对象相对应的安全角色类型以及安全等级；或者，在步骤S1中，所述第一设备与其他设备，如第二设备相交互，以获取其他设备所发送的系统内的各类对象相对应的安全角色类型以及安全等级。
其中，所述系统包括但不限于由所述第一设备、所述第一设备相关联的其他设备(如第二设备等)、或其他系统内的设备中的至少任一项所组成的系统。该系统与所述第一设备的访问控制相关联。
所述对象包括但不限于系统中的用户、文件、进程等。本领域技术人员应能理解，其他系统对象如能适用于本发明，同样包含在本发明的保护范围内。
其中，所述安全角色类型即将系统内的对象分为不同类型来管理信息，对于不同的角色类型，所对应的权限不同。所述安全角色类型可基于所述访问控制系统的设置而进行设置，本领域技术人员应能理解，不同的访问控制系统中所设置的安全角色类型可能不同。
所述安全等级即将系统内的对象分为不同的安全等级来管理信息，对于不同的安全等级，所对应的权项不同。所述安全等级可基于所述访问控制系统的设置而进行设置，本领域技术人员应能理解，不同的访问控制系统中所设置的安全等级设置可能不同。
例如，所述安全角色类型可以包括：安全管理员SO、系统管理员SA、安全用户MU、一般用户UX等。所述安全等级可以划分为N个等级，以标识不同的安全级别，如划分为7个等级，安全等级7的级别最高，安全等级1的级别最低等。
其中，以Linux系统为例，安全管理员SO是指以安全管理员账户登录以后su–root成功后的状态；安全管理员可以进行安全策略的配置管理，安全管理员SO7级为最高安全等级，可以具有所有权限，例如，仅SO7级用户可以卸载软件；
系统管理员SA，是指系统管理员SA在账户登录以后su–root成功后的状态。系统管理员仅能做系统管理操作，例如增删改用户等。
安全用户MU，是指可以进行普通安全信息分发操作的用户。
一般用户UX，是指未设置安全属性的普通用户。
本领域技术人员应能理解，其他的安全角色类型和/或安全等级划分方式同样适用于本发明，在此不再赘述，并包含在本发明的保护范围内。
优选地，所述方法还包括步骤S4(未示出)，其中，在步骤S4中，所述第一设备获取第二设备端所发送的访问控制设置规则；在步骤S1中，所述第一设备根据所述访问控制设置规则，确定与系统内的各类对象相对应的安全角色类型以及安全等级。
具体地，在步骤S4中，所述第一设备通过根据各类通信协议，基于预定的API，与所述第二设备相交互，以获取所述第二设备端所发送的访问控制设置规则。其中，所述获取可以是依据事件触发的，如当所述第二设备或所述第一设备满足预定的事件条件、或基于用户的主动操作而获取；或者，所述获取也可以是依据时间触发的，如周期性地或在预定时间从所述第二设备端处获取。
当基于触发来获取时，所述触发可以是所读第二设备触发，然后直接将所述访问控制设置规则发送给所述第一设备；也可以是所述第一设备触发，然后所述第一设备向所述第二设备发送规则获取请求，所述第二设备基于该请求来发送所述访问控制设置规则。例如，所述第二设备可以周期性地主动发送所述访问控制设置规则至所述第一设备，所述第一设备也可以周期性地向所述第二设备发送规则获取请求，所述第二设备基于该请求以发送最新的访问控制设置规则至所述第一设备。
其中，所述访问控制设置规则中包括但不限于对系统内各个对象的安全角色类型和/或安全等级的设置规则(如满足何种条件则将该对象设置为何种安全角色类型和/或安全等级)、各个对象的安全角色类型和/或安全等级的更改规则(如满足何种条件下则调整该对象的安全角色类型和/或安全等级)等；优选地，所述访问控制规则中还可以包括安全角色类型和/或安全等级与对应的操作信息的对应关系的设置规则等。
例如，所述访问控制设置规则可以包括根据不同的对象类型、创建操作者、创建时间、修改时间、存储路径、其他属性信息等中的一项或多项来确定所述对象所对应的安全角色类型和/或安全等级。
然后，在步骤S1中，所述第一设备根据所述访问控制设置规则，对系统内的各个对象进行分析，当某个对象的相应条件(如各类属性)与该访问控制设置规则相匹配时，则基于该访问控制设置规则，将该对象设置为对应的安全角色类型以及安全等级。
在步骤S2中，所述第一设备获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象。
具体地，在步骤S2中，所述第一设备通过基于该设备自身的输入设备，获取主体对客体的访问请求；或者，基于各类传输协议，通过预定的API，与其他设备相交互，以获取从其他设备处所发送的主体对客体的访问请求。
其中，所述主体与客体属于所述系统内的对象；一般地，所述主体即为该系统的用户或可将所述主体视作该系统中的用户，所述客体即为该系统内的文件或进程等。在此，所述文件为广义上的文件概念，即一切皆为文件，如命令、网络、端口等；所述进程同样为广义上的进程概念，即为服务等。
所述访问请求包括但不限于对客体的各类操作请求，如读、写、执行、删除、修改等。
在步骤S3中，所述第一设备根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
具体地，在步骤S3中，所述第一设备根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于预定的访问控制规则，确定上述安全角色类型与安全等级下，与所述访问请求相对应的操作信息。
在此，本领域技术人员应能理解，在步骤S3中，所述第一设备可以基于所述安全角色类型或所述安全等级与操作信息的映射，来直接确定与所述访问请求相对应的操作信息；例如，当所述主体的安全角色类型为系统管理员SA、安全类型为7级，且所述客体的安全角色类型为一般用户UX、安全等级为任意级别时，则所述主体对所述客体拥有读、写、删除、执行、进程操作等操作权利。
或者，在步骤S3中，所述第一设备可通过对主体与客体所对应的安全角色类型或所述安全等级进行比较，基于比较结果，来确定与所述访问请求相对应的操作信息；例如，当所述主体的安全角色类型为系统管理员SA、安全类型为7级，且所述客体的安全角色类型为安全用户SA、安全等级为1级时，由于所述主体的安全等级大于所述客体的安全等级，则所述主体对所述客体拥有读、执行等操作权利。
优选地，当所述第一设备获取第二设备端所发送的访问控制设置规则时，在步骤S3中，所述第一设备根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于所述访问控制设置规则，确定与所述访问请求相对应的操作信息。
具体地，所述访问控制设置规则中还包括安全角色类型和/或安全等级与对应的操作信息的对应关系的设置规则等，因此，在步骤S3中，所述第一设备可基于所述访问控制设置规则中所预设的映射关系，确定与所述访问请求相对应的操作信息。
其中，由于所述第二设备可以同时向所述多个第一设备发送所述访问控制设置规则，从而对所述访问控制设置规则进行更新，因此，能够对多个所述第一设备进行统一管理与设置。
优选地，在步骤S3中，所述第一设备可以基于所述客体所对应的类别，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
具体地，所述客体的类别包括但不限于文件或进程等。在此，所述文件为广义上的文件概念，即一切皆为文件，如命令、网络、端口等；所述进程同样为广义上的进程概念，即为服务等。
当所述客体所对应的类别不同时，即使所述主体与所述客体所对应的安全角色类型、以及所述主体与所述客体所对应的安全等级均相同，所确定的与所述访问请求相对应的操作信息也不相同。
例如，当所述客体是文件时，候选操作信息可以是对文件的读、写、删除、执行等；当所述客体是进程时，候选操作信息可以是进程的执行或操作等。
优选地，所述步骤S3包括步骤S31(未示出)以及步骤S32(未示出)；其中，在步骤S31中，所述第一设备确定所述主体与所述客体所对应的安全角色类型是否相同；若所述主体与所述客体所对应的安全角色类型相同，则在步骤S32中，所述第一设备基于所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
具体地，在步骤S31中，所述第一设备首先确定所述主体与所述客体所对应的安全角色类型是否相同，若所述主体与所述客体所对应的安全角色类型不同，则可拒绝所述主体对所述客体的访问；或优选地，若所述主体与所述客体所对应的安全角色类型不同，在步骤S3中，所述第一设备可基于其他规则来继续判断所述访问请求所对应的操作信息；例如，仅当所述主体与所述客体所对应的安全角色类型满足预定的条件(如所述主体为安全管理员SO或所述客体为一般用户UX)时，才继续比较所述主体与所述客体的安全等级，否则，则拒绝所述主体对所述客体的访问。
而若当所述主体与所述客体所对应的安全角色类型相同时，则在步骤S32中，所述第一设备则继续判断所述主体与所述客体所对应的安全等级，基于所述安全等级的不同，来确定与所述访问请求相对应的操作信息。
更优选地，在步骤S32中，所述第一设备可执行以下至少任一项：
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体与所述客体所对应的安全等级相同，则所述主体对所述客体可执行任意操作：例如，当所述客体是文件时，则允许对文件的读，写，执行，删除等，当所述客体是进程时，则允许进程操作。
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级高于所述客体所对应的安全等级，则所述主体对所述客体可执行只读操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级低于所述客体所对应的安全等级，则所述主体对所述客体不可执行任何操作。
优选地，所述方法还包括步骤S5(未示出)，其中，在步骤S5中，所述第一设备根据系统内的各类对象的历史记录信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
具体地，在步骤S5中，所述第一设备可通过获取系统记录，如log文件，来获取系统内各类对象的历史记录信息；优选地，所述历史记录信息中包括所述主体的操作历史记录(即该主体对客体的操作历史记录)和/或所述客体的被操作历史记录(即该客体被某主体所操作的被操作历史记录)，所述操作历史记录和/或所述被操作历史记录中还包括了如主体与客体的相关信息(类别、安全角色类型、安全等级)、操作时间、操作结果、操作来源等信息。
在步骤S5中，所述第一设备基于所述历史记录信息，基于预制的规则或基于机器学习所获取的规则，判断所述对象的操作历史记录或被操作历史记录是否符合安全要求或是否存在安全风险，然后基于上述判定信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
例如，若某对象的历史记录信息显示，该对象作为客体时，被某安全等级小于该对象的主体连续频繁的请求访问多次，则可调高该客体的安全等级。
优选地，所述第一设备可以发出提示信息，以使得用户针对该历史记录信息来重新调整系统的控制设置规则等。
图4示出利用现有强制访问控制模型的访问控制示意图。
具体地，用户发出操作或命令，经过系统访问后，在内核级进行相应的控制操作，所述控制操作包括文件系统、进程控制、内存控制、硬件界面等。
图5示出根据本发明一个优选实施例的一种利用本发明的访问控制模型的访问控制示意图。
其中，图5中的MAC，即为MandatoryAccessControl，强制访问控制；DAC，即为DiscretionaryAccessControl，自主访问控制。
具体地，用户级首先进行数字签名及认证，然后，用户发出操作或命令，并进行访问控制。在所述访问控制中，通过安全内核进行访问控制的策略检查；若检查通过，则执行系统访问；若未通过，则直接返回错误。
与图4相比，若采用图5以及本发明所述的访问控制方法，则仅拥有如系统管理员等角色权限，或系统自定义有访问权限的访问角色，并不能够访问该系统内的全部文件；而是需要当安全角色类型以及安全等级两种条件均满足后，才能够执行相应的访问，因此，保证了访问控制的安全性与完整性。
需要注意的是，本发明可在软件和/或软件与硬件的组合体中被实施，例如，可采用专用集成电路(ASIC)、通用目的计算机或任何其他类似硬件设备来实现。在一个实施例中，本发明的软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，本发明的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。另外，本发明的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。
另外，本发明的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本发明的方法和/或技术方案。而调用本发明的方法的程序指令，可能被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据所述程序指令运行的计算机设备的工作存储器中。在此，根据本发明的一个实施例包括一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述根据本发明的多个实施例的方法和/或技术方案。
对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。装置权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。
Claims (17)
1.一种在第一设备端用于访问控制的方法，其中，该方法包括以下步骤：
x获取与系统内的各类对象相对应的安全角色类型以及安全等级；
其中，该方法还包括以下步骤：
a获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象；
b根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
2.根据权利要求1所述的方法，其中，所述步骤b包括：
-基于所述客体所对应的类别，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
3.根据权利要求1或2所述的方法，其中，所述步骤b包括：
-确定所述主体与所述客体所对应的安全角色类型是否相同；
-若所述主体与所述客体所对应的安全角色类型相同，则基于所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
4.根据权利要求3所述的方法，其中，所述确定与所述访问请求相对应的操作信息的步骤包括以下至少任一项：
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体与所述客体所对应的安全等级相同，则所述主体对所述客体可执行任意操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级高于所述客体所对应的安全等级，则所述主体对所述客体可执行只读操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级低于所述客体所对应的安全等级，则所述主体对所述客体不可执行任何操作。
5.根据权利要求1至4中任一项所述的方法，其中，该方法还包括以下步骤：
-根据系统内的各类对象的历史记录信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
6.根据权利要求5所述的方法，其中，所述历史记录信息包括以下至少任一项：
-所述主体的操作历史记录；
-所述客体的被操作历史记录。
7.根据权利要求1至6中任一项所述的方法，其中，该方法还包括以下步骤：
-获取第二设备端所发送的访问控制设置规则；
其中，所述步骤x包括：
-根据所述访问控制设置规则，确定与系统内的各类对象相对应的安全角色类型以及安全等级。
8.根据权利要求7所述的方法，其中，所述步骤b包括：
-根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于所述访问控制设置规则，确定与所述访问请求相对应的操作信息。
9.一种用于访问控制的第一设备，其中，该设备包括：
安全获取装置，用于获取与系统内的各类对象相对应的安全角色类型以及安全等级；
其中，该设备还包括：
请求获取装置，用于获取主体对客体的访问请求，其中，所述主体与客体属于所述系统内的对象；
确定装置，用于根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
10.根据权利要求9所述的第一设备，其中，所述确定装置用于：
-基于所述客体所对应的类别，根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
11.根据权利要求9或10所述的第一设备，其中，所述确定装置包括：
类型确定单元，用于确定所述主体与所述客体所对应的安全角色类型是否相同；
确定单元，用于若所述主体与所述客体所对应的安全角色类型相同，则基于所述主体与所述客体所对应的安全等级，确定与所述访问请求相对应的操作信息。
12.根据权利要求11所述的第一设备，其中，所述确定单元用于以下至少任一项：
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体与所述客体所对应的安全等级相同，则所述主体对所述客体可执行任意操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级高于所述客体所对应的安全等级，则所述主体对所述客体可执行只读操作；
-若所述主体与所述客体所对应的安全角色类型相同，且所述主体的安全等级低于所述客体所对应的安全等级，则所述主体对所述客体不可执行任何操作。
13.根据权利要求9至12中任一项所述的第一设备，其中，该设备还包括：
调整装置，用于根据系统内的各类对象的历史记录信息，确定或调整与所述对象相对应的安全角色类型以及安全等级。
14.根据权利要求13所述的第一设备，其中，所述历史记录信息包括以下至少任一项：
-所述主体的操作历史记录；
-所述客体的被操作历史记录。
15.根据权利要求9至14中任一项所述的第一设备，其中，该设备还包括：
规则获取装置，用于获取第二设备端所发送的访问控制设置规则；
其中，所述安全获取装置用于：
-根据所述访问控制设置规则，确定与系统内的各类对象相对应的安全角色类型以及安全等级。
16.根据权利要求15所述的第一设备，其中，所述确定装置用于：
-根据所述主体与所述客体所对应的安全角色类型，结合所述主体与所述客体所对应的安全等级，基于所述访问控制设置规则，确定与所述访问请求相对应的操作信息。
17.一种用于访问控制的系统，其中，所述系统包括如权利要求9至16中任一项所述的第一设备，以及第二设备，其中，所述第二设备将访问控制设置规则发送至所述第一设备。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610327330.0A CN105827645B (zh) | 2016-05-17 | 2016-05-17 | 一种用于访问控制的方法、设备与系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610327330.0A CN105827645B (zh) | 2016-05-17 | 2016-05-17 | 一种用于访问控制的方法、设备与系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN105827645A true CN105827645A (zh) | 2016-08-03 |
| CN105827645B CN105827645B (zh) | 2020-09-22 |
Family
ID=56529907
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201610327330.0A Active CN105827645B (zh) | 2016-05-17 | 2016-05-17 | 一种用于访问控制的方法、设备与系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN105827645B (zh) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107612939A (zh) * | 2017-10-30 | 2018-01-19 | 北京众铖科技有限公司 | 自助服务终端的安全防护方法及装置 |
| CN109033882A (zh) * | 2018-08-20 | 2018-12-18 | 北京广成同泰科技有限公司 | 一种可追溯的大数据安全发布方法及系统 |
| CN110266666A (zh) * | 2019-06-05 | 2019-09-20 | 瀚云科技有限公司 | 一种基于工业互联网的安全管理方法及系统 |
| CN111274595A (zh) * | 2020-01-20 | 2020-06-12 | 北京合信力科技有限公司 | 一种资源访问的控制方法及装置 |
| CN113411295A (zh) * | 2021-05-07 | 2021-09-17 | 上海纽盾科技股份有限公司 | 基于角色的访问控制态势感知防御方法及系统 |
| CN114564727A (zh) * | 2022-04-28 | 2022-05-31 | 深圳市永达电子信息股份有限公司 | 一种卡尔曼滤波的强制访问控制方法及装置 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20090276840A1 (en) * | 2008-04-30 | 2009-11-05 | Bao Hua Cao | Unified access control system and method for composed services in a distributed environment |
| US20100287598A1 (en) * | 2009-05-08 | 2010-11-11 | Samsung Electronics Co., Ltd. | Method and system for providing security policy for linux-based security operating system |
| CN102222191A (zh) * | 2011-06-16 | 2011-10-19 | 中国人民解放军国防科学技术大学 | 一种松散耦合角色授权的类型实施访问控制方法及其系统 |
| CN102413198A (zh) * | 2011-09-30 | 2012-04-11 | 山东中创软件工程股份有限公司 | 一种基于安全标记的访问控制方法和相关系统 |
| CN102495988A (zh) * | 2011-12-19 | 2012-06-13 | 北京诺思恒信科技有限公司 | 一种基于域的访问控制方法及系统 |
| US20120303968A1 (en) * | 2011-05-26 | 2012-11-29 | Helen Balinsky | Method and system for business workflow cycle of a composite document |
-
2016
- 2016-05-17 CN CN201610327330.0A patent/CN105827645B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20090276840A1 (en) * | 2008-04-30 | 2009-11-05 | Bao Hua Cao | Unified access control system and method for composed services in a distributed environment |
| US20100287598A1 (en) * | 2009-05-08 | 2010-11-11 | Samsung Electronics Co., Ltd. | Method and system for providing security policy for linux-based security operating system |
| US20120303968A1 (en) * | 2011-05-26 | 2012-11-29 | Helen Balinsky | Method and system for business workflow cycle of a composite document |
| CN102222191A (zh) * | 2011-06-16 | 2011-10-19 | 中国人民解放军国防科学技术大学 | 一种松散耦合角色授权的类型实施访问控制方法及其系统 |
| CN102413198A (zh) * | 2011-09-30 | 2012-04-11 | 山东中创软件工程股份有限公司 | 一种基于安全标记的访问控制方法和相关系统 |
| CN102495988A (zh) * | 2011-12-19 | 2012-06-13 | 北京诺思恒信科技有限公司 | 一种基于域的访问控制方法及系统 |
Non-Patent Citations (1)
| Title |
|---|
| 唐为民等: ""一种基于角色的强制访问控制模型"", 《北京交通大学学报》 * |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107612939A (zh) * | 2017-10-30 | 2018-01-19 | 北京众铖科技有限公司 | 自助服务终端的安全防护方法及装置 |
| CN109033882A (zh) * | 2018-08-20 | 2018-12-18 | 北京广成同泰科技有限公司 | 一种可追溯的大数据安全发布方法及系统 |
| CN110266666A (zh) * | 2019-06-05 | 2019-09-20 | 瀚云科技有限公司 | 一种基于工业互联网的安全管理方法及系统 |
| CN111274595A (zh) * | 2020-01-20 | 2020-06-12 | 北京合信力科技有限公司 | 一种资源访问的控制方法及装置 |
| CN113411295A (zh) * | 2021-05-07 | 2021-09-17 | 上海纽盾科技股份有限公司 | 基于角色的访问控制态势感知防御方法及系统 |
| CN114564727A (zh) * | 2022-04-28 | 2022-05-31 | 深圳市永达电子信息股份有限公司 | 一种卡尔曼滤波的强制访问控制方法及装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN105827645B (zh) | 2020-09-22 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN105827645A (zh) | 一种用于访问控制的方法、设备与系统 | |
| CN110298188B (zh) | 动态访问权限的控制方法及系统 | |
| US7565685B2 (en) | Operating system independent data management | |
| JP4537022B2 (ja) | データ配置に制限を設けるデータ処理方法、記憶領域制御方法、および、データ処理システム。 | |
| US8555403B1 (en) | Privileged access to managed content | |
| US20100325159A1 (en) | Model-based implied authorization | |
| US8196197B2 (en) | Preventing trivial character combinations | |
| CN112182619A (zh) | 基于用户权限的业务处理方法、系统及电子设备和介质 | |
| US6678682B1 (en) | Method, system, and software for enterprise access management control | |
| US20080141334A1 (en) | Method and Apparatus for Dissociating Binding Information from Objects to Enable Proper Rights Management | |
| CN106878325B (zh) | 一种确定用户访问权限的方法及装置 | |
| US11580206B2 (en) | Project-based permission system | |
| US20210117561A1 (en) | Controlling access to cloud resources in data using cloud-enabled data tagging and a dynamic access control policy engine | |
| CN104657193A (zh) | 一种访问物理资源的方法和装置 | |
| CN104462982A (zh) | 跨应用共享的授权策略对象、目标定义和决策合并算法 | |
| US7788706B2 (en) | Dynamical dual permissions-based data capturing and logging | |
| CN106997440A (zh) | 一种角色访问控制方法 | |
| CN114422197A (zh) | 一种基于策略管理的权限访问控制方法及系统 | |
| TWI716385B (zh) | 鑒權方法及鑒權裝置 | |
| JP2013242860A (ja) | コンピュータシステムの構成要素間の相互作用を制御するためのセキュリティシステムおよびセキュリティ方法 | |
| KR101747670B1 (ko) | 보안 정책 위반 탐지 방법 | |
| Graubart et al. | A Preliminary Neval Surveillance OBMS Sacurity | |
| CN106257482B (zh) | 数据分析结果的管控放置 | |
| CN116628681A (zh) | 一种基于上位机监测控制软件的权限管理方法及系统 | |
| CN115277228A (zh) | 一种分层网络中的数据访问防御方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |