CN106790032B - 一种基于rbac的策略融合及敏感度计算方法及系统 - Google Patents

一种基于rbac的策略融合及敏感度计算方法及系统 Download PDF

Info

Publication number
CN106790032B
CN106790032B CN201611160438.1A CN201611160438A CN106790032B CN 106790032 B CN106790032 B CN 106790032B CN 201611160438 A CN201611160438 A CN 201611160438A CN 106790032 B CN106790032 B CN 106790032B
Authority
CN
China
Prior art keywords
fusion
access
database
strategy
merging
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201611160438.1A
Other languages
English (en)
Other versions
CN106790032A (zh
Inventor
赵淦森
谭昊翔
王欣明
廖智锐
庄序填
吴杰超
任雪琦
朱佳
杨晋吉
汤庸
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
South China Normal University
Original Assignee
South China Normal University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by South China Normal University filed Critical South China Normal University
Priority to CN201611160438.1A priority Critical patent/CN106790032B/zh
Publication of CN106790032A publication Critical patent/CN106790032A/zh
Application granted granted Critical
Publication of CN106790032B publication Critical patent/CN106790032B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本发明公开了一种基于RBAC的策略融合及敏感度计算方法及系统，该方法包括有以下步骤：A、将不同数据源进行集成融合形成融合数据库，并存储数据融合的元数据信息；B、将不同数据源的安全策略进行合并得到全局安全策略，并根据元数据信息对融合数据集进行敏感度计算；C、根据上述敏感度计算结果对用户访问融合数据库的权限进行控制。本发明采用基于角色访问模型，将不同数据源的安全策略进行合并，有效地对策略之间的冲突进行处理，并重新计算融合数据的敏感度，避免数据库被越权访问，保证融合数据库的安全性。本发明作为一种基于RBAC的策略融合及敏感度计算方法及系统可广泛应用于信息安全领域。

Description

一种基于RBAC的策略融合及敏感度计算方法及系统
技术领域
本发明涉及信息安全领域，尤其是一种基于RBAC的策略融合及敏感度计算方法及系统。
背景技术
随着数据产生方式不断扩展和数据规模日益增长，数据呈现出关联、交叉和融合的趋势。为了能够使得数据价值的最大化，往往需要把多个来源的数据进行集成融合，形成更高质量数据集合，从而支持更加复杂、精确的数据分析和决策。然而，基于数据融合的应用为了能够对不同来源的数据进行处理和共享，往往把这些数据集中到统一的系统平台进行管理。这种形式会带来了严重的安全问题，因为每个数据来源来自于不同的机构或组织，有着自治的安全策略，如果没有统一的安全策略保障数据安全，将会导致数据可能在共享和处理过程中发生泄漏。针对这个问题，需要在多个安全策略的基础上重构全局安全策略，从而对融合数据资源进行访问管控。另一方面，不同来源的数据通过数据融合进行组合、关联，从而产生新的数据，这将引起数据敏感度发生变化。例如给定用户允许访问数据集DA，不允许访问数据集DB。当DA和DB进行融合产生DC，用户由于不允许访问DB，也应该不能访问DC，否则将会产生信息泄露。因此，数据融合安全还需要考虑数据敏感度变化的问题。
现有关于访问策略融合的研究工作中，Basit等针对多个来自不同安全域的数据访问问题，采用基于角色访问模型（Role-based Access Control，简称RBAC）建模，提出一种策略融合方法。Rao使用逻辑代数表示安全策略，并提出一种基于代数运算的方法生成融合策略。但由于数理逻辑运算极有可能返回未知的结果，导致系统决策的不确定性，影响到系统的可用性。Hu使用基于语义的安全策略，通过本体映射和合并，将查询语句重写成实体和属性名称，并映射到本地查询。Cruz将本地策略存储在RDF中，并在融合过程将本地RDF转换成一个全局RDF。Eneyaz等认为在数据融合应用中需要解决不同安全策略的冲突，因此提出了在融合数据共享系统中增加一个SPICR组件，该组件用于解决在运行时解决策略的冲突以及冲突策略间的仲裁。针对不同类型的策略，Liu Xin等提出一种支持支持RBAC、MAC、DAC等访问控制策略融合的APT模型。
在现有的策略融合方法中，针对存在多个安全策略的系统，提出相应的策略建模方法以及策略融合方法，但是数据融合系统中，访问对象是融合数据，由不同来源的数据共同构成，为了能做出正确的数据决策，需要对融合数据的来源进行分析，从而确定数据所需的访问权限，也即是对数据的敏感度进行重新计算，因此现有的方法无法适应数据融合系统的应用场景。
术语解释
数据融合：将不同来源、割裂、异构的数据集成融合在统一的系统平台，并提供一致的数据访问接口。
融合搜索：数据融合的典型应用形式，搜索引擎为不同来源的数据创建索引，用户通过提供关键词从系统检索数据。
基于角色访问控制：基于角色访问控制（Role-based Access Control，RBAC）是目前互联网及各种机构广泛应用的访问控制方式，它的基本思想是将系统权限赋予角色，访问主体通过分配角色获得系统的访问权限。
策略融合：不同数据源从属于不同的机构或组织，由不同的安全策略管控数据，数据融合在集成这些数据的同时，还需要将不同数据源安全策略进行重构，形成全局安全策略。
数据敏感度：敏感数据是指需要提供安全防护的数据，不同等级数据发生泄漏或被破坏所带来的影响程度各不相同，也即是数据敏感度。
发明内容
为了解决上述技术问题，本发明的目的是：提供一种基于RBAC实现避免融合数据越权访问的策略融合及敏感度计算方法。
为了解决上述技术问题，本发明的另一目的是：提供一种基于RBAC实现避免融合数据越权访问的的策略融合及敏感度计算系统。
本发明所采用的技术方案是：一种基于RBAC的策略融合及敏感度计算方法，包括有以下步骤：
A、将不同数据源进行集成融合形成融合数据库，并存储数据融合的元数据信息；
B、将不同数据源的安全策略进行合并得到全局安全策略，并根据元数据信息对融合数据集进行敏感度计算；
C、根据上述敏感度计算结果对用户访问融合数据库的权限进行控制。
进一步，所述步骤B具体包括：
B1、采用有向图对不同数据源的RBAC策略分别进行建模，并通过迭代合并角色层次图实现访问策略的合并；
B2、在上述合并的访问策略的基础上，根据元数据信息对敏感度进行重新计算。
进一步，所述步骤B1中合并角色层次图的步骤为：
B11、计算两个数据源的RBAC策略之间的角色映射关系，将两个图通过关系边连接；
B12、删除图中存在冲突的边；
B13、移除图中的冗余线段并合并相应的结点。
进一步，所述步骤B2具体为：根据合并的访问策略的偏序特性以及元数据信息，在合并的访问策略中找到可访问融合数据库所有来源的角色并赋予其融合数据库的访问权限。
本发明所采用的另一技术方案是：一种基于RBAC的策略融合及敏感度计算系统，包括有：
数据融合模块，用于将不同数据源进行集成融合形成融合数据库；
元数据库，用于存储数据融合的元数据信息；
策略融合模块，用于将不同数据源的安全策略进行合并得到全局安全策略，并根据元数据信息对融合数据集进行敏感度计算；
策略数据库，用于存储不同数据源的安全策略以及由策略模块生成的全局安全策略；
访问控制模块，用于根据策略数据库内容回应用户访问请求。
进一步，包括有：
策略合并子模块，用于采用有向图对不同数据源的RBAC策略分别进行建模，并通过迭代合并角色层次图实现访问策略的合并；
敏感度更新子模块，用于在上述策略合并子模块合并的访问策略的基础上，根据元数据信息对敏感度进行重新计算。
进一步，所述敏感度更新子模块中对敏感度进行重新计算过程为：根据合并的访问策略的偏序特性以及元数据信息，在合并的访问策略中找到可访问融合数据库所有来源的角色并赋予其融合数据库的访问权限。
进一步，所述访问控制模块用于根据策略数据库内容回应用户访问请求，若策略数据库中包括用户的融合数据集访问权限则接受请求，否则拒绝请求。
本发明的有益效果是：本发明方法采用基于角色访问模型，将不同数据源的安全策略进行合并，有效地对策略之间的冲突进行处理，并重新计算融合数据的敏感度，避免数据库被越权访问，保证融合数据库的安全性。
本发明的另一有益效果是：本发明系统的策略融合模块采用基于角色访问模型，将不同数据源的安全策略进行合并，有效地对策略之间的冲突进行处理，并重新计算融合数据的敏感度存入策略数据库，根据策略数据库内容进行访问控制，避免数据库被越权访问，保证融合数据库的安全性。
附图说明
图1为本发明方法的步骤流程图；
图2为本发明方法进一步实施的步骤流程图；
图3为本发明系统的结构示意图。
具体实施方式
下面结合附图对本发明的具体实施方式作进一步说明：
参照图1，一种基于RBAC的策略融合及敏感度计算方法，包括有以下步骤：
A、将不同数据源进行集成融合形成融合数据库，并存储数据融合的元数据信息；
首先需要将不同数据源的数据导入，按照已设定的配置文件对不同数据源进行集成融合形成融合数据库；元数据信息用于表示数据来源。
B、将不同数据源的安全策略进行合并得到全局安全策略，并根据元数据信息对融合数据集进行敏感度计算；
C、根据上述敏感度计算结果对用户访问融合数据库的权限进行控制。
参照图2，进一步作为优选的实施例，所述步骤B具体包括：
B1、采用有向图对不同数据源的RBAC策略分别进行建模，并通过迭代合并角色层次图实现访问策略的合并；
B2、在上述合并的访问策略的基础上，根据元数据信息对敏感度进行重新计算。
进一步作为优选的实施例，所述访问策略的合并通过迭代完成，其中步骤B1中每一次合并角色层次图的步骤具体为：
B11、初始化阶段：计算两个数据源的RBAC策略之间的角色映射关系，将两个图通过关系边连接；
B12、冲突解决阶段：删除图中存在冲突的边；
B13、简化阶段：移除图中的冗余线段并合并相应的结点。
进一步作为优选的实施例，所述步骤B2具体为：根据合并的访问策略的偏序特性以及元数据信息，在合并的访问策略中找到可访问融合数据库所有来源的角色并赋予其融合数据库的访问权限。
由于每一个融合数据集都由若干个原始数据集融合生成的，可以通过元数据信息分析其数据来源。上述步骤B1中生成的角色层次关系满足偏序关系，因此可以结合策略偏序特性以及数据来源信息，在合并的访问策略中找到能够访问融合数据所有来源的角色，并赋予其融合数据库的相应访问权限。
参照图3，一种基于RBAC的策略融合及敏感度计算系统，包括有：
数据融合模块，用于将不同数据源进行集成融合形成融合数据库；
元数据库，用于存储数据融合的元数据信息；
策略融合模块，用于将不同数据源的安全策略进行合并得到全局安全策略，并根据元数据信息对融合数据集进行敏感度计算；
策略数据库，用于存储不同数据源的安全策略以及由策略模块生成的全局安全策略；
访问控制模块，用于根据策略数据库内容回应用户访问请求。
进一步作为优选的实施例，包括有：
策略合并子模块，用于采用有向图对不同数据源的RBAC策略分别进行建模，并通过迭代合并角色层次图实现访问策略的合并；
敏感度更新子模块，用于在上述策略合并子模块合并的访问策略的基础上，根据元数据信息对敏感度进行重新计算。
进一步作为优选的实施例，所述敏感度更新子模块中对敏感度进行重新计算过程为：根据合并的访问策略的偏序特性以及元数据信息，在合并的访问策略中找到可访问融合数据库所有来源的角色并赋予其融合数据库的访问权限，即敏感度的重新计算过程。
进一步作为优选的实施例，所述访问控制模块用于根据策略数据库内容回应用户访问请求，若策略数据库中包括用户的融合数据集访问权限则接受请求，否则拒绝请求。
如图3所示，例如用户在客户端发出查询请求，则访问控制模块读取策略数据库内容并根据请求内容进行访问决策：若用户具有融合数据集的访问权限，则通知搜索引擎进行检索并将获得的数据返回客户端，反之则拒绝请求。其中搜索引擎负责对融合数据库的数据进行检索，返回相应的结果；融合数据库相当于搜索引擎的索引，存储着融合数据。
以上是对本发明的较佳实施进行了具体说明，但本发明创造并不限于所述实施例，熟悉本领域的技术人员在不违背本发明精神的前提下还可以作出种种的等同变换或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (2)

1.一种基于RBAC的策略融合及敏感度计算方法，其特征在于，包括有以下步骤：
A、将不同数据源进行集成融合形成融合数据库，并存储数据融合的元数据信息；
B、将不同数据源的安全策略进行合并得到全局安全策略，并根据元数据信息对融合数据集进行敏感度计算；
C、根据上述敏感度计算结果对用户访问融合数据库的权限进行控制；所述步骤B具体包括：
B1、采用有向图对不同数据源的RBAC策略分别进行建模，并通过迭代合并角色层次图实现访问策略的合并；
B2、在上述合并的访问策略的基础上，根据元数据信息对敏感度进行重新计算；
所述步骤B1中合并角色层次图的步骤为：
B11、计算两个数据源的RBAC策略之间的角色映射关系，将两个图通过关系边连接；
B12、删除图中存在冲突的边；
B13、移除图中的冗余线段并合并相应的结点；
所述步骤B2具体为：根据合并的访问策略的偏序特性以及元数据信息，在合并的访问策略中找到可访问融合数据库所有来源的角色并赋予其融合数据库的访问权限。
2.一种基于RBAC的策略融合及敏感度计算系统，其特征在于，包括有：
数据融合模块，用于将不同数据源进行集成融合形成融合数据库；
元数据库，用于存储数据融合的元数据信息；
策略融合模块，用于将不同数据源的安全策略进行合并得到全局安全策略，并根据元数据信息对融合数据集进行敏感度计算；
策略数据库，用于存储不同数据源的安全策略以及由策略模块生成的全局安全策略；
访问控制模块，用于根据策略数据库内容回应用户访问请求；
包括有：
策略合并子模块，用于采用有向图对不同数据源的RBAC策略分别进行建模，并通过迭代合并角色层次图实现访问策略的合并；
敏感度更新子模块，用于在上述策略合并子模块合并的访问策略的基础上，根据元数据信息对敏感度进行重新计算；
所述策略合并子模块中合并角色层次图的步骤为：
计算两个数据源的RBAC策略之间的角色映射关系，将两个图通过关系边连接；
删除图中存在冲突的边；
移除图中的冗余线段并合并相应的结点；
所述敏感度更新子模块中对敏感度进行重新计算过程为：根据合并的访问策略的偏序特性以及元数据信息，在合并的访问策略中找到可访问融合数据库所有来源的角色并赋予其融合数据库的访问权限；
所述访问控制模块用于根据策略数据库内容回应用户访问请求，若策略数据库中包括用户的融合数据集访问权限则接受请求，否则拒绝请求。
CN201611160438.1A 2016-12-15 2016-12-15 一种基于rbac的策略融合及敏感度计算方法及系统 Active CN106790032B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201611160438.1A CN106790032B (zh) 2016-12-15 2016-12-15 一种基于rbac的策略融合及敏感度计算方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201611160438.1A CN106790032B (zh) 2016-12-15 2016-12-15 一种基于rbac的策略融合及敏感度计算方法及系统

Publications (2)

Publication Number Publication Date
CN106790032A CN106790032A (zh) 2017-05-31
CN106790032B true CN106790032B (zh) 2020-04-21

Family

ID=58887595

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201611160438.1A Active CN106790032B (zh) 2016-12-15 2016-12-15 一种基于rbac的策略融合及敏感度计算方法及系统

Country Status (1)

Country Link
CN (1) CN106790032B (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109472152B (zh) * 2017-09-07 2020-11-06 中国移动通信集团广东有限公司 一种数据敏感性的检测方法及服务器
CN107770173A (zh) * 2017-10-20 2018-03-06 国信嘉宁数据技术有限公司 用户管理系统、相关身份信息创建方法和请求校验方法
CN111669349B (zh) * 2019-03-05 2022-08-05 中国环境监测总站 一种基于控制驱动管理的数据访问安全控制方法及装置
CN110096896B (zh) * 2019-04-09 2021-06-11 中国航天系统科学与工程研究院 适于大数据融合与共享结果数据集敏感性评估方法及系统
CN110929280B (zh) * 2019-11-25 2023-03-28 普元信息技术股份有限公司 大数据环境下基于元数据实现数据权限控制的系统及其方法
CN110879806A (zh) * 2019-11-25 2020-03-13 北京优奥创思科技发展有限公司 一种数据融合的方法、装置、设备和存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104008135A (zh) * 2014-05-07 2014-08-27 南京邮电大学 一种多源异构数据库融合系统及其数据查询方法
CN104112089A (zh) * 2014-07-17 2014-10-22 中国人民解放军国防科学技术大学 基于多策略融合的强制访问控制方法
CN104484617A (zh) * 2014-12-05 2015-04-01 中国航空工业集团公司第六三一研究所 一种基于多策略融合的数据库访问控制方法
CN105871577A (zh) * 2015-01-22 2016-08-17 阿里巴巴集团控股有限公司 资源权限管理方法及装置
CN105893526A (zh) * 2016-03-30 2016-08-24 上海坤士合生信息科技有限公司 多源数据融合系统和方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104008135A (zh) * 2014-05-07 2014-08-27 南京邮电大学 一种多源异构数据库融合系统及其数据查询方法
CN104112089A (zh) * 2014-07-17 2014-10-22 中国人民解放军国防科学技术大学 基于多策略融合的强制访问控制方法
CN104484617A (zh) * 2014-12-05 2015-04-01 中国航空工业集团公司第六三一研究所 一种基于多策略融合的数据库访问控制方法
CN105871577A (zh) * 2015-01-22 2016-08-17 阿里巴巴集团控股有限公司 资源权限管理方法及装置
CN105893526A (zh) * 2016-03-30 2016-08-24 上海坤士合生信息科技有限公司 多源数据融合系统和方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"An Integrated Access Control Model of Distributed Database Systems";Xin Liu.et;《First International Conference on Innovative Computing,Information and Control》;20061016;全文 *
"大数据治理的数据模式与安全";马朝辉等;《大数据》;20160520;第2节-第4节 *

Also Published As

Publication number Publication date
CN106790032A (zh) 2017-05-31

Similar Documents

Publication Publication Date Title
CN106790032B (zh) 一种基于rbac的策略融合及敏感度计算方法及系统
US7146635B2 (en) Apparatus and method for using a directory service for authentication and authorization to access resources outside of the directory service
US9189524B2 (en) Obtaining partial results from a database query
US11556666B2 (en) Data access policy management
US11042662B2 (en) Data aggregation system for enabling query operations on restricted data that originates from multiple independent multiple sources
US11556534B2 (en) Subquery predicate generation to reduce processing in a multi-table join
US9298829B2 (en) Performing a function on rows of data determined from transitive relationships between columns
US11379598B2 (en) Knowledge graph access limitation by discovery restrictions
WO2017058876A1 (en) Architecture to facilitate organizational data sharing and consumption while maintaining data governance
US20140101129A1 (en) High performance secure data access in a parallel processing system
US20210073219A1 (en) Database query data redundancy nullification
JPH07210442A (ja) ディレクトリサービスのファイルシステムサービスとの統一
US11886431B2 (en) Real-time analytical queries of a document store
US11704114B2 (en) Data structures for managing configuration versions of cloud-based applications
US11966732B2 (en) Data structures for managing configuration versions of cloud-based applications
US10936640B2 (en) Intelligent visualization of unstructured data in column-oriented data tables
US20240037264A1 (en) Systems and methods for providing network-based permissioning using security node hash identifiers
EP2958306B1 (en) Aggregation of separate domain data
Bender et al. Fine-grained disclosure control for app ecosystems
US20120216240A1 (en) Providing data security through declarative modeling of queries
Bellini et al. Rights enforcement and licensing understanding for RDF stores aggregating open and private data sets
US20240241909A1 (en) Embed graph database as saas in another database saas
US20240171586A1 (en) Secure roles for data sharing
WO2024112412A1 (en) System and method for role based access control for data
WO2016068883A1 (en) Entity anonymization for a query directed to a multiplex graph

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant