CN107547549B - 一种访问控制策略优化方法 - Google Patents

Abstract

本发明公开了一种访问控制策略优化方法，属于网络安全领域。主要包括：定义规则冲突、冗余，在规则发现前，对XACML规则的冲突进行新的定义；规则的多属性拆分，将规则的粒度降到最低的级别；基于XACML三元组哈希的规则冲突和冗余集合发现，将主体，资源和行为三个规则元素字符串进行拼接组成新的三元组规则信息字符串，然后对此规则信息字符串进行哈希值计算，如果不同的字符串哈希值冲突，那么这就是一个冲突或冗余集合；基于规则最大匹配次数的规则冲突、冗余选择性删除，通过计算冲突、冗余消除后对规则引擎性能代价的计算，来进行规则的选择性删除；将原拆分后的规则进行反向压缩。

Description

一种访问控制策略优化方法

技术领域

本发明涉及一种访问控制策略优化方法，属于网络安全领域。

背景技术

2016年文献《基于冗余消除和属性数值化的XACML策略优化方法》中戚湧，陈俊等人受到文献《An Algorithm for Compression of XACML Access Control Policy Setsby Recursive Subsumption》规则压缩的启发首次提出了细颗粒度的规则冗余分析方法，但是此方法没有考虑到规则的拆分合并前后最大匹配次数的变化，如果匹配次数变大这将直接影响到规则引擎的性能。本文在规则冲突、冗余消除阶段对这一问题进行深入分析，提出了选择优化的方案。

其次，文献《基于冗余消除和属性数值化的XACML策略优化方法》在规则发现阶段的定义仍较多的采用了文献《一种XACML规则冲突及冗余分析方法》的定义，未能从规则拆分后规则特性的变化来考虑规则的冲突、冗余问题。而且现有文献中对于规则根据组合算法的调整是单独的为了提升性能而提出的，如在文献《基于多层次优化技术的XACML策略评估引擎》提出了基于组合算法重排序的规则精化方法，但是这篇论文的规则冲突是基于规则级别的冲突，所有未能进一步根据重排序的结果去发现规则的冲突。而规则的冲突和冗余一般是基于组合算法和规则的包含性以及交叉性来定义。本文在规则冲突、冗余阶段将规则组合算法考虑在内，进行了规则的重排序，这样一方面提出了一种更为贴切的对于单属性规则的冲突、冗余定义，另一方面也提高了后续规则引擎的性能。文献《一种XACML规则冲突及冗余分析方法》明确的提出了一种规则冲突和冗余集合的发现算法，但是由于多属性规则的复杂性，这种算法在时间复杂度上的代价相对较高，本文根据单属性规则的特性采用字符串哈希算法来对规则的冲突、冗余集合进行发现，有效的缩减了发现算法的时间复杂度。

发明内容

本发明的目的是这样实现的：

一种访问控制策略优化方法，其特征在于，包含以下步骤：

步骤一 定义冲突、冗余：

拒绝覆盖算法重排序；定义R_s：{R₁,R₂,...,R_n}，一个包含n条规则的策略集，且合并算法为拒绝覆盖，将所有的效用为Deny的规则置于所有的Permit规则前面，变为R_S’：{[R^D,R^D,...,R^D],[R^P,R^P,...R^P]}，其中R^D表示RS中所有效用为Deny的规则，R^P表示R_S中所有效用为Permit的规则；

允许覆盖算法重排序；我们定义R_S：{R₁,R₂,...,R_n}，一个包含n条规则的策略集，且合并算法为允许覆盖，将所有的效用为Permit的规则置于所有的Deny规则前面，变为R_S’：{[R^P,R^P,...R^P],[R^D,R^D,...,R^D]}，其中R^D表示R_S中所有效用为Deny的规则，R^P表示R_S中所有效用为Permit的规则；

策略内单属性规则冗余；定义R₁，R₂∈RS，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action且R₁位于R₂的前面，则定义R₂为冗余规则，R₁为被冗余规则；

策略间单属性规则冲突；定义R₁∈RS1，R₂∈RS2，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effect≠R₂.effect，则需要查找这两个规则最近的公共组合算法；若组合算法为拒绝覆盖，则定义效用为允许的规则为冲突规则；若组合算法为允许覆盖，则效用为拒绝的规则为冲突规则；

策略间单属性规则冗余；定义R₁∈RS1，R₂∈RS2，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effect＝R₂.effect，则不考虑他们的公共组合算法，定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则；若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effectR₂.effect且组合算法为唯一适用算法，则定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则；

步骤二 对规则进行多属性拆分：

A、选定主体和资源中的第一个属性，然后列举行为中的所有属性，完成第一次拆分；

B、将资源的属性向后遍历一个，然后在列举行为中的所有属性继续拆分；

C、当资源中的属性全部都遍历完了之后，我们将主体中的属性向后遍历一个，然后重复A和B的遍历过程进行拆分；

D、继续执行C中的遍历，直到主体中的属性都被遍历拆分完毕；对于一条规则r，它的主体包含有N_S个属性，资源包含N_R个属性，行为包含有N_A个属性，则它可以拆分为N_S*N_R*N_A条单属性规则；

步骤三 定义规则哈希结构，采用链地址法对哈希冲突进行解决，HASH_TABLE表示为哈希表的散列值分布数组，CON_SET_i表示为哈希函数的冲突处理，每一个CON_SET下面挂着相同的三元组组成的冲突和冗余集合；

将主体、资源和行为三个规则元素字符串进行拼接组成新的三元组规则信息字符串，InfoString＝(Subjecti+Resourcei+Actioni)，然后对此规则信息字符串进行哈希值计算；

采用经典的字符串哈希算法SDBMHash来对字符串进行哈希，将规则的三元素新组成的信息串采用SDBMHash(InfoString)函数进行哈希值计算，放入相应的CON_SET中去，当CON_SET中的元素大于一个，那么我们就定义这是一个冲突，冗余集合；

步骤四 计算主体元素中的属性个数，属性个数就是第一层的最大匹配次数n₁；然后计算资源元素中的属性个数，属性个数就是第二层的最大匹配次数n₂；接下来计算行为元素中的属性个数，属性个数就是第三层的最大匹配次数n₃；最后将这三层的最大匹配次数进行加和操作就是该条规则的最大匹配次数：

Nsum＝n₁+n₂+n₃ (1)

对于消除冗余后的匹配最大匹配次数增加的规则，不进行冗余优化，但是对于策略集之间的Only-one-Applicable组合算法须进行消除；

步骤五压缩：

A、我们对于每N_A条子规则进行一次合并；如果在这N_A条规则中有被删除的属性则不合并删除的属性，如果该NA＝1则无需合并；如果在每次的N_A条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作；如果本层无压缩操作，则压缩结束；

B、对于A中合并后的规则，我们再对每NR条规则进行一次合并；如果这NR条规则中有被删除的属性则不合并删除的属性，如果该N_R＝1则无需合并；如果每次的NA条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作；如果本层无压缩行为，则压缩结束；

C、对于B中合并后的规则，再对每N_S条规则进行一次合并；如果在这N_R条规则中有被删除的属性则不合并删除的属性，如果该N_S＝1，则无需合并；如果本次N_A条规则中，资源、属性和行为只有一个元素不同，则将其进行压缩操作；至此规则压缩完成。

附图说明

图1是XACML规则哈希表结构图。

具体实施方式

下面结合附图举例对本发明做详细的描述：

1)定义冲突、冗余。

定义4.1拒绝覆盖算法重排序：我们定义RS：{R₁,R₂,...,R_n}一个包含n条规则的策略集，且合并算法为拒绝覆盖，那么我们将所有的效用为Deny的规则置于所有的Permit规则前面，变为：RS’：{[R^D,R^D,...R^D],[R^P,R^P,...,R^P]}，其中RD表示RS中所有效用为Deny的规则，RP表示RS中所有效用为Permit的规则。

定义4.2允许覆盖算法重排序：我们定义RS：{R₁,R₂,...,R_n}一个包含n条规则的策略集，且合并算法为允许覆盖，那么我们将所有的效用为Permit的规则置于所有的Deny规则前面，变为：RS’：{[R^P,R^P,...R^P],[R^D,R^D,...,R^D]}，其中R^D表示RS中所有效用为Deny的规则，RP表示RS中所有效用为Permit的规则。

定义4.3策略内单属性规则冗余：我们定义R₁，R₂∈RS，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action且R₁位于R₂的前面，那么我们就定义R₂为冗余规则，R₁为被冗余规则。

定义4.4策略间单属性规则冲突：我们定义R₁∈RS₁，R₂∈RS₂，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R1.effect≠R₂.effect，那么我们需要查找这两个规则最近的公共组合算法。若组合算法为拒绝覆盖，那么我们定义效用为允许的规则为冲突规则；若组合算法为允许覆盖，那么我们定义效用为拒绝的规则为冲突规则。

定义4.5策略间单属性规则冗余：我们定义R₁∈RS1，R₂∈RS2，若R1.subject＝R2.subject∧R1.source＝R2.source∧R1.action＝R2.action，R1.effect＝R2.effect，那么我们不考虑他们的公共组合算法，定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则。若R1.subject＝R2.subject∧R1.source＝R2.source∧R1.action＝R2.action，R1.effect≠R2.effect且组合算法为唯一适用算法，那么我们定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则。

2)规则的多属性拆分。

2.1)我们选定主体和资源中的第一个属性，然后列举行为中的所有属性，完成第一次拆分；

2.2)将资源的属性向后遍历一个，然后在列举行为中的所有属性继续拆分；

2.3)当资源中的属性全部都遍历完了之后，我们将主体中的属性向后遍历一个，然后重复步骤2.1)和步骤2.2)的遍历过程进行拆分；

2.4)继续执行步骤2.3)中的遍历，直到主体中的属性都被遍历拆分完毕。那么对于一条规则r，它的主体包含有N_S个属性，资源包含N_R个属性，行为包含有N_A个属性，则它可以拆分为N_S*N_R*N_A条单属性规则。

3)基于XACML三元组哈希的规则冲突和冗余集合发现。

3.1)定义如图1中的规则哈希结构，我们采用链地址法对哈希冲突进行解决，哈希结构图中HASH_TABLE表示为哈希表的散列值分布数组，右侧CON_SET_i表示为哈希函数的冲突处理，每一个CON_SET下面挂着相同的三元组组成的冲突和冗余集合；

3.2)我们将主体，资源和行为三个规则元素字符串进行拼接组成新的三元组规则信息字符串，InfoString＝(Subject_i+Resource_i+Action_i)，然后对此规则信息字符串进行哈希值计算。

3.3)采用经典的字符串哈希算法SDBMHash来对字符串进行哈希，将规则的三元素新组成的信息串采用SDBMHash(InfoString)函数进行哈希值计算，放入相应的CON_SET中去，当CON_SET中的元素大于一个，那么我们就定义这是一个冲突，冗余集合。

4)计算主体元素中的属性个数，属性个数就是第一层的最大匹配次数n₁；然后计算资源元素中的属性个数，属性个数就是第二层的最大匹配次数n₂；接下来计算行为元素中的属性个数，属性个数就是第三层的最大匹配次数n₃；最后我们将这三层的最大匹配次数进行加和操作就是该条规则的最大匹配次数：

N_sum＝n₁+n₂+n₃ (1)

对于消除冗余后的匹配最大匹配次数增加的规则，不进行冗余优化。因为我们已经进行过规则顺序调整，后续冗余规则不进行删除操作是不会对前面的规则造成实际防火墙行为的影响，没有必要增加无谓的比较次数。但是我们需要特别指出的是对于策略集之间的Only-one-Applicable组合算法必须进行消除，因为在这种组合算法的情况下，如果两条冲突规则会同时匹配到请求，那么最后都不会生效。这样就使得两条规则都成为了无效规则，只会增加规则引擎的匹配代价，而且对服务器也会造成潜在的威胁。

5)压缩。

5.1)我们对于每NA条子规则进行一次合并。如果在这NA条规则中有被删除的属性则不合并删除的属性，如果该NA＝1则无需合并；如果在每次的NA条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作。如果本层无压缩操作，则压缩结束；

5.2)对于步骤5.1)合并后的规则，我们再对每N_R条规则进行一次合并。如果这N_R条规则中有被删除的属性则不合并删除的属性，如果该N_R＝1则无需合并。如果每次的N_A条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作。如果本层无压缩行为，则压缩结束；

5.3)对于步骤5.2)合并后的规则，我们再对每N_S条规则进行一次合并。如果在这N_R条规则中有被删除的属性则不合并删除的属性，如果该N_S＝1则无需合并；如果本次N_A条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作。至此规则压缩完成。

本冲突和冗余发现消除方法不仅能够大幅度的降低冲突、冗余集合发现的时间复杂度，而且重排序能够有效地提高规则引擎的性能。在规则冲突和冗余消除方面，我们发现基于多属性拆分的规则冲突和冗余消除，需要根据多属性拆分前后规则的最大匹配次数来进行细颗粒度的冗余消除，这样才能进一步的在保证规则有效性的前提下提高规则引擎的性能。由规则SUN XACML规则引擎的实现原理我们可知，规则引擎的性能与规则的最大匹配次数息息相关。因此我们有效的降低规则的最大匹配次数，可以提高规则引擎的性能。下面我们对于冲突和冗余集合的发现方法在发现速度上的提高进行证明：

(1)在本章节的规则冲突和冗余集合发现的方法找出所有冲突集的时间复杂度为：

O(N+n) (2)

其中N表示规则资源属性节点的个数，n表示为哈希冲突链的最大长度。而在文献《一种XACML规则冲突及冗余分析方法》中给出了一种规则冲突检测算法，此方法为对于每一个资源属性节点node遍历其策略表示列表，并检测其中每一个策略。若rule^P中有该资源属性性节点node，则通过node的祖先节点找到其他的包含该属性节点node的rule^D。若rule^P和rule^D存在属性分量的交集，则将其加入冲突集。找出所有冲突集的条件下，此判定方法的时间复杂度为：

其中N表示节点node的个数，节点Node表示的策略列表中，需要进行匹配的Permit规则集表示为：

与之相对应的需要进行匹配的Deny规则集表示为：

可见，本文提出的基于字符串哈希算法的XACML规则的冲突和冗余发现具有更小的时间复杂度，因此，不仅能进一步发现单属性之间的冗余，而且能大大降低冲突和冗余发现的时间复杂度。

Claims (1)

1.一种访问控制策略优化方法，其特征在于，包含以下步骤：

步骤一 定义冲突、冗余：

拒绝覆盖算法重排序；定义R_s：{R₁,R₂,...,R_n}，一个包含n条规则的策略集，且合并算法为拒绝覆盖，将所有的效用为Deny的规则置于所有的Permit规则前面，变为R_S’：{[R^D,R^D,...R^D],[R^P,R^P,...,R^P]}，其中R^D表示R_S中所有效用为Deny的规则，R^P表示R_S中所有效用为Permit的规则；

允许覆盖算法重排序；我们定义R_S：{R₁,R₂,...,R_n}，一个包含n条规则的策略集，且合并算法为允许覆盖，将所有的效用为Permit的规则置于所有的Deny规则前面，变为R_S’：{[R^P,R^P,...,R^P],[R^D,R^D,...R^D]}，其中R^D表示R_S中所有效用为Deny的规则，R^P表示R_S中所有效用为Permit的规则；

策略内单属性规则冗余；定义R₁，R₂∈R_S，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action且R₁位于R₂的前面，则定义R₂为冗余规则，R₁为被冗余规则；

策略间单属性规则冲突；定义R₁∈R_S1，R₂∈R_S2，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effect≠R₂.effect，则需要查找这两个规则最近的公共组合算法；若组合算法为拒绝覆盖，则定义效用为Permit的规则为冲突规则；若组合算法为允许覆盖，则效用为Deny的规则为冲突规则；

策略间单属性规则冗余；定义R₁∈R_S1，R₂∈R_S2，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effect＝R₂.effect，则不考虑他们的公共组合算法，定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则；若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effectR₂.effect且组合算法为唯一适用算法，则定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则；subject、source和effect分别为主体、资源和行为三个规则元素字符串；

步骤二 对规则进行多属性拆分：

A、选定主体和资源中的第一个属性，然后列举行为中的所有属性，完成第一次拆分；

B、将资源的属性向后遍历一个，然后在列举行为中的所有属性继续拆分；

C、当资源中的属性全部都遍历完了之后，我们将主体中的属性向后遍历一个，然后重复A和B的遍历过程进行拆分；

D、继续执行C中的遍历，直到主体中的属性都被遍历拆分完毕；对于一条规则r，它的主体包含有N_S个属性，资源包含N_R个属性，行为包含有N_A个属性，则它可以拆分为N_S*N_R*N_A条单属性规则；

步骤三 定义规则哈希结构，采用链地址法对哈希冲突进行解决，HASH_TABLE表示为哈希表的散列值分布数组，CON_SET_i表示为哈希函数的冲突处理，每一个CON_SET下面挂着相同的三元组组成的冲突和冗余集合；

将主体、资源和行为三个规则元素字符串进行拼接组成新的三元组规则信息字符串，InfoString＝(subjecti+resourcei+actioni)，然后对此规则信息字符串进行哈希值计算；

采用经典的字符串哈希算法SDBMHash来对字符串进行哈希，将规则的三元素新组成的信息串采用SDBMHash函数对新的三元组规则信息字符串进行哈希值计算，放入相应的CON_SET中去，当CON_SET中的元素大于一个，那么我们就定义这是一个冲突，冗余集合；

步骤四 计算主体元素中的属性个数，属性个数就是第一层的最大匹配次数n₁；然后计算资源元素中的属性个数，属性个数就是第二层的最大匹配次数n₂；接下来计算行为元素中的属性个数，属性个数就是第三层的最大匹配次数n₃；最后将这三层的最大匹配次数进行加和操作就是该条规则的最大匹配次数：

Nsum＝n₁+n₂+n₃ (1)

对于消除冗余后用于匹配最大匹配次数而增加的规则，不进行冗余优化，但是对于策略集之间的唯一适用算法须进行消除；

步骤五 压缩：

A1、我们对于每N_A条子规则进行一次合并；如果在这N_A条规则中有被删除的属性则不合并删除的属性，如果该N_A＝1则无需合并；如果在每次的N_A条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作；如果本层无压缩操作，则压缩结束；

B1、对于A1中合并后的规则，我们再对每N_R条规则进行一次合并；如果这N_R条规则中有被删除的属性则不合并删除的属性，如果该N_R＝1则无需合并；如果每次的N_A条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作；如果本层无压缩行为，则压缩结束；

C1、对于B1中合并后的规则，再对每N_S条规则进行一次合并；如果在这N_R条规则中有被删除的属性则不合并删除的属性，如果该N_S＝1，则无需合并；如果本次N_A条规则中，资源、属性和行为只有一个元素不同，则将其进行压缩操作；至此规则压缩完成。

Images