CN105844176B - 安全策略生成方法及设备 - Google Patents

Abstract

本发明的目的是提供一种安全策略生成方法及设备，本申请提出一种自动建模方法，在实施初期，通过对实际业务操作的学习和分析，自动生成安全策略，然后本实施例还可以不断重复进行，即在业务系统运行过程中继续不断的学习和分析，自动识别出业务变化，动态更新安全策略。本申请可以适用于大多数基于安全策略机制的安全防护系统，从而精准的实现安全策略自动生成和自动演进，提升安全防护能力，减少维护成本，降低实施难度。

Description

安全策略生成方法及设备

技术领域

本发明涉及计算机领域，尤其涉及一种安全策略生成方法及设备。

背景技术

随着计算机系统应用越来越广泛，大量的关键数据及关键业务采用计算机系统进行管理和支撑，计算机系统安全问题日益严重和复杂化。

现有的计算机安全系统保护机制，一般都是由管理员人工定义安全策略，人工判定哪些业务操作是合法的，予以放行，哪些是不合法的，予以阻断或告警。然后随着计算机系统本身以及其所支撑的业务系统日趋复杂，完全依靠人工判定的方法建立安全策略已经越来越困难，体现在：

1.业务量巨大，管理员难以判断业务合法性，难以建立准确和细粒度的安全策略；

2.业务系统在不断演进，旧的业务不断废弃，新的业务不断增加，原有安全策略会很快失效；

3.大量的安全策略需要维护导致实施困难。

发明内容

本发明的一个目的是提供一种安全策略生成方法及设备，能够解决现有的人工判定的方法建立安全策略困难的问题。

根据本发明的一个方面，提供了一种安全策略生成方法，该方法包括：

抓取业务系统中的数据形成原始业务数据；

对所述原始业务数据进行预处理，形成规范化业务数据；

对所述规范化业务数据进行分析和学习，以抽取出有效要素值，并将所述有效要素值汇集成安全策略。

进一步的，上述方法中，抓取业务系统中的数据的方式包括：直接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合。

进一步的，上述方法中，对所述原始业务数据进行预处理的步骤之前，还包括：

为每一个安全主体创建一个安全模型，在每个安全模型中为每一个安全要素创建一张统计表，表中每一行表示某个安全要素的某个实际取值及该实际取值实际发生的统计次数，统计次数初始化为零。

进一步的，上述方法中，对所述原始业务数据进行预处理，形成规范化业务数据，包括：

根据所述安全模型抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，形成规范化业务数据。

进一步的，上述方法中，对所述规范化业务数据进行分析和学习，包括：

根据所述规范化业务数据中的安全主体的安全要素及安全要素的实际取值，更新安全模型中相应的实际取值的统计次数，每个安全主体的安全要素的实际取值发生一次，则该安全主体的安全要素的实际取值的统计次数加一。

进一步的，上述方法中，抽取出有效要素值，并将所述有效要素值汇集成安全策略，包括：

扫描每个安全主体的安全模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的实际取值标记为安全，将标记为安全的实际取值添加为安全策略，将统计次数的较低的实际取值标记为可疑。

根据本发明的另一方面，还提供了一种安全策略生成设备，该设备包括：

数据抓取模块，用于抓取业务系统中的数据形成原始业务数据；

数据预处理模块，对所述原始业务数据进行预处理，形成规范化业务数据；

学习和分析模块，对所述规范化业务数据进行分析和学习，以抽取出有效要素值，并将所述有效要素值汇集成安全策略。

进一步的，上述设备中，所述数据抓取模块抓取业务系统中的数据的方式包括：直接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合。

进一步的，上述设备中，所述设备还包括：

创建模块，用于为每一个安全主体创建一个安全模型，在每个安全模型中为每一个安全要素创建一张统计表，表中每一行表示某个安全要素的某个实际取值及该实际取值实际发生的统计次数，统计次数初始化为零。

进一步的，上述设备中，所述数据预处理模块包括：

根据所述安全模型抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，形成规范化业务数据。

进一步的，上述设备中，所述学习和分析模块，用于根据所述规范化业务数据中的安全主体的安全要素及安全要素的实际取值，更新安全模型中相应的实际取值的统计次数，每个安全主体的安全要素的实际取值发生一次，则该安全主体的安全要素的实际取值的统计次数加一。

进一步的，上述设备中，所述学习和分析模块，用于扫描每个安全主体的安全模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的实际取值标记为安全，将标记为安全的实际取值添加为安全策略，将统计次数的较低的实际取值标记为可疑。

与现有技术相比，本申请提出一种自动建模方法，在实施初期，通过对实际业务操作的学习和分析，自动生成安全策略，然后本实施例还可以不断重复进行，即在业务系统运行过程中继续不断的学习和分析，自动识别出业务变化，动态更新安全策略。本申请可以适用于大多数基于安全策略机制的安全防护系统，从而精准的实现安全策略自动生成和自动演进，提升安全防护能力，减少维护成本，降低实施难度。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1示出本发明一实施例的安全模型示意图；

图2示出本发明一具体的应用实例的流程图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本发明作进一步详细描述。

在本申请一个典型的配置中，终端、服务网络的设备和可信方均包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

本申请提供一种安全策略生成方法，该方法包括：

抓取业务系统中的数据形成原始业务数据；在此，原始业务数据记为RAW_BIZ；

对所述原始业务数据进行预处理，形成规范化业务数据；

对所述规范化业务数据进行分析和学习，以抽取出有效要素值，并将所述有效要素值汇集成安全策略。本实施例提出一种自动建模方法，在实施初期，通过对实际业务操作的学习和分析，自动生成安全策略，然后本实施例还可以不断重复进行，即在业务系统运行过程中继续不断的学习和分析，自动识别出业务变化，动态更新安全策略。本申请可以适用于大多数基于安全策略机制的安全防护系统，从而精准的实现安全策略自动生成和自动演进，提升安全防护能力，减少维护成本，降低实施难度。

本申请的安全策略生成方法一优选的实施例中，抓取业务系统中的数据的方式包括：直接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合。具体的，通过合适的方式，如接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合，可以更高效地抓取业务系统中的数据，得到原始业务数据RAW_BIZ。

本申请的安全策略生成方法一优选的实施例中，对所述原始业务数据进行预处理的步骤之前，还包括：

为每一个安全主体创建一个安全模型，在每个安全模型中为每一个安全要素创建一张统计表，表中每一行表示某个安全要素的某个实际取值及该实际取值实际发生的统计次数，统计次数初始化为零。具体的，如图1所示，假设安全主体集合为USERS＝{安全主体1,安全主体2}；假设安全策略中需要控制的安全要素集合为SECURITY_POINT＝{安全要素A,安全要素B,安全要素C}，三个安全要素的可能取值为：安全要素A＝{0,1,2},安全要素B＝{1,2},安全要素C＝{3，5}；假设对于每一个安全主体，上述安全要素的可能取值仅有部分为许可，其他则视为风险；用户选择一个合适的学习时间段或环境，这个时间段或环境内要求尽可能没有风险操作，以确保学习结果的准确性。本实施例通过先建立安全模型，便于后续根据所述安全模型准确地抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，高效地形成规范化业务数据。

本申请的安全策略生成方法一优选的实施例中，对所述原始业务数据进行预处理，形成规范化业务数据，包括：

根据所述安全模型抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，形成规范化业务数据。在此，读入RAW_BIZ，然后按照其具体的业务领域知识将RAW_BIZ进行分解处理，抽取出业务数据所涉及到的安全要素，得到规范化业务数据NOR_BIZ。根据所述安全模型准确地抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，高效地形成规范化业务数据。

本申请的安全策略生成方法一优选的实施例中，对所述规范化业务数据进行分析和学习，包括：

根据所述规范化业务数据中的安全主体的安全要素及安全要素的实际取值，更新安全模型中相应的实际取值的统计次数，每个安全主体的安全要素的实际取值发生一次，则该安全主体的安全要素的实际取值的统计次数加一。具体的，学习和分析模块读入NOR_BIZ，提取其中的安全主体、安全要素及安全要素的实际取值，根据安全主体和安全要素更新安全模型中相应的安全要素的实际取值的统计次数，每发生一次统计次数加一。在此，通过记录实际取值地统计次数，便于后续生成精确的安全策略。

本申请的安全策略生成方法一优选的实施例中，抽取出有效要素值，并将所述有效要素值汇集成安全策略，包括：

扫描每个安全主体的安全模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的实际取值标记为安全，将标记为安全的实际取值添加为安全策略，将统计次数的较低的实际取值标记为可疑。具体的，学习期结束后，扫描每个安全主体的模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的标记为安全，自动或由用户确认后添加为安全策略，较低的标记为可疑。在此，通过将统计次数较高的实际取值作为安全策略，保证了安全策略的可靠性。

根据本申请的另一面还提供一种安全策略生成设备，该设备包括：

数据抓取模块，用于抓取业务系统中的数据形成原始业务数据；

数据预处理模块，对所述原始业务数据进行预处理，形成规范化业务数据；

学习和分析模块，对所述规范化业务数据进行分析和学习，以抽取出有效要素值，并将所述有效要素值汇集成安全策略。本实施例提出一种自动建模方法，在实施初期，通过对实际业务操作的学习和分析，自动生成安全策略，然后本实施例还可以不断重复进行，即在业务系统运行过程中继续不断的学习和分析，自动识别出业务变化，动态更新安全策略。本申请可以适用于大多数基于安全策略机制的安全防护系统，从而精准的实现安全策略自动生成和自动演进，提升安全防护能力，减少维护成本，降低实施难度。

本申请的安全策略生成设备一优选的实施例中，所述数据抓取模块抓取业务系统中的数据的方式包括：直接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合。具体的，通过合适的方式，如接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合，可以更高效地抓取业务系统中的数据，得到原始业务数据RAW_BIZ。

本申请的安全策略生成方法一优选的实施例中，所述设备还包括：

创建模块，用于为每一个安全主体创建一个安全模型，在每个安全模型中为每一个安全要素创建一张统计表，表中每一行表示某个安全要素的某个实际取值及该实际取值实际发生的统计次数，统计次数初始化为零。具体的，如图1所示，假设安全主体集合为USERS＝{安全主体1,安全主体2}；假设安全策略中需要控制的安全要素集合为SECURITY_POINT＝{安全要素A,安全要素B,安全要素C}，三个安全要素的可能取值为：安全要素A＝{0,1,2},安全要素B＝{1,2},安全要素C＝{3，5}；假设对于每一个安全主体，上述安全要素的可能取值仅有部分为许可，其他则视为风险；用户选择一个合适的学习时间段或环境，这个时间段或环境内要求尽可能没有风险操作，以确保学习结果的准确性。本实施例通过先建立安全模型，便于后续根据所述安全模型准确地抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，高效地形成规范化业务数据。

本申请的安全策略生成方法一优选的实施例中，所述数据预处理模块包括：

根据所述安全模型抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，形成规范化业务数据。在此，读入RAW_BIZ，然后按照其具体的业务领域知识将RAW_BIZ进行分解处理，抽取出业务数据所涉及到的安全要素，得到规范化业务数据NOR_BIZ。根据所述安全模型准确地抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，高效地形成规范化业务数据。

本申请的安全策略生成方法一优选的实施例中，所述学习和分析模块，用于根据所述规范化业务数据中的安全主体的安全要素及安全要素的实际取值，更新安全模型中相应的实际取值的统计次数，每个安全主体的安全要素的实际取值发生一次，则该安全主体的安全要素的实际取值的统计次数加一。具体的，学习和分析模块读入NOR_BIZ，提取其中的安全主体、安全要素及安全要素的实际取值，根据安全主体和安全要素更新安全模型中相应的安全要素的实际取值的统计次数，每发生一次统计次数加一。在此，通过记录实际取值地统计次数，便于后续生成精确的安全策略。

本申请的安全策略生成方法一优选的实施例中，所述学习和分析模块，用于扫描每个安全主体的安全模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的实际取值标记为安全，将标记为安全的实际取值添加为安全策略，将统计次数的较低的实际取值标记为可疑。具体的，学习期结束后，扫描每个安全主体的模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的标记为安全，自动或由用户确认后添加为安全策略，较低的标记为可疑。在此，通过将统计次数较高的实际取值作为安全策略，保证了安全策略的可靠性。

详细的，如图2所示，本申请一具体的应用实例包括如下步骤：

步骤S1，为每一个安全主体创建一个安全模型，在模型中为每一个安全要素创建一张统计表，表中每一行表示一个可能取值及其实际发生的统计次数，统计次数初始化为零；

步骤S2，用户按照正常的操作规程及日常的使用习惯使用业务系统；

步骤S3，数据抓取模块通过合适的方式(包括但不限于直接读取、旁路监听、串行截取、模块注入等)抓取业务数据，得到原始业务数据RAW_BIZ。

步骤S4，数据预处理模块读入RAW_BIZ，然后按照其具体的业务领域知识将RAW_BIZ进行分解处理，抽取出业务所涉及到的安全要素，得到规范化业务数据NOR_BIZ。

步骤S5，学习和分析模块读入NOR_BIZ，提取其中的安全主体、安全要素及其实际值，根据安全主体和安全要素更新安全模型中相应的要素值的统计次数，每发生一次统计次数加一；

步骤S6，重复步骤S3～步骤S5，直到学习结束；

步骤S7，学习期结束后，学习和分析模块扫描每个安全主体的模型，按照每个安全要素的每个实际取值的统计次数从高到低进行排序，其中统计次数较高的标记为安全，自动或由用户确认后添加为安全策略，较低的标记为可疑；

步骤S8，经过初期学习之后形成的安全模型，随着时间的推移需要不断的演进，可以通过不断的重复步骤S1～步骤S7，生成新的安全策略。

综上所述，本申请提出一种自动建模方法，在实施初期，通过对实际业务操作的学习和分析，自动生成安全策略，然后本实施例还可以不断重复进行，即在业务系统运行过程中继续不断的学习和分析，自动识别出业务变化，动态更新安全策略。本申请可以适用于大多数基于安全策略机制的安全防护系统，从而精准的实现安全策略自动生成和自动演进，提升安全防护能力，减少维护成本，降低实施难度。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

需要注意的是，本发明可在软件和/或软件与硬件的组合体中被实施，例如，可采用专用集成电路(ASIC)、通用目的计算机或任何其他类似硬件设备来实现。在一个实施例中，本发明的软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，本发明的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。另外，本发明的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。

另外，本发明的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本发明的方法和/或技术方案。而调用本发明的方法的程序指令，可能被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据所述程序指令运行的计算机设备的工作存储器中。在此，根据本发明的一个实施例包括一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述根据本发明的多个实施例的方法和/或技术方案。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。装置权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (8)

1.一种安全策略生成方法，其中，该方法包括：

抓取业务系统中的数据形成原始业务数据，抓取业务系统中的数据的方式包括：直接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合；

对所述原始业务数据进行预处理，形成规范化业务数据；

对所述规范化业务数据进行分析和学习，以抽取出有效要素值，并将所述有效要素值汇集成安全策略；

对所述原始业务数据进行预处理的步骤之前，还包括：

为每一个安全主体创建一个安全模型，在每个安全模型中为每一个安全要素创建一张统计表，表中每一行表示某个安全要素的某个实际取值及该实际取值实际发生的统计次数，统计次数初始化为零。

2.根据权利要求1所述的方法，其中，对所述原始业务数据进行预处理，形成规范化业务数据，包括：

根据所述安全模型抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，形成规范化业务数据。

3.根据权利要求2所述的方法，其中，对所述规范化业务数据进行分析和学习，包括：

根据所述规范化业务数据中的安全主体的安全要素及安全要素的实际取值，更新安全模型中相应的实际取值的统计次数，每个安全主体的安全要素的实际取值发生一次，则该安全主体的安全要素的实际取值的统计次数加一。

4.根据权利要求3所述的方法，其中，抽取出有效要素值，并将所述有效要素值汇集成安全策略，包括：

扫描每个安全主体的安全模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的实际取值标记为安全，将标记为安全的实际取值添加为安全策略，将统计次数的较低的实际取值标记为可疑。

5.一种安全策略生成设备，其中，该设备包括：

数据抓取模块，用于抓取业务系统中的数据形成原始业务数据，其中，所述数据抓取模块抓取业务系统中的数据的方式包括：直接读取、旁路监听、串行截取、模块注入的方式中的一种或任意组合；

数据预处理模块，对所述原始业务数据进行预处理，形成规范化业务数据；

学习和分析模块，对所述规范化业务数据进行分析和学习，以抽取出有效要素值，并将所述有效要素值汇集成安全策略；

所述设备还包括：

创建模块，用于为每一个安全主体创建一个安全模型，在每个安全模型中为每一个安全要素创建一张统计表，表中每一行表示某个安全要素的某个实际取值及该实际取值实际发生的统计次数，统计次数初始化为零。

6.根据权利要求5所述的设备，其中，所述数据预处理模块包括：

根据所述安全模型抽取出所述原始业务数据中所涉及到的安全主体的安全要素及安全要素的实际取值，形成规范化业务数据。

7.根据权利要求6所述的设备，其中，所述学习和分析模块，用于根据所述规范化业务数据中的安全主体的安全要素及安全要素的实际取值，更新安全模型中相应的实际取值的统计次数，每个安全主体的安全要素的实际取值发生一次，则该安全主体的安全要素的实际取值的统计次数加一。

8.根据权利要求7所述的设备，其中，所述学习和分析模块，用于扫描每个安全主体的安全模型，按照每个实际取值的统计次数从高到低进行排序，其中统计次数较高的实际取值标记为安全，将标记为安全的实际取值添加为安全策略，将统计次数的较低的实际取值标记为可疑。