CN111371738A - 一种访问控制方法、装置、设备及可读存储介质 - Google Patents

一种访问控制方法、装置、设备及可读存储介质 Download PDF

Info

Publication number
CN111371738A
CN111371738A CN202010084673.5A CN202010084673A CN111371738A CN 111371738 A CN111371738 A CN 111371738A CN 202010084673 A CN202010084673 A CN 202010084673A CN 111371738 A CN111371738 A CN 111371738A
Authority
CN
China
Prior art keywords
access
access request
service system
determining
target information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN202010084673.5A
Other languages
English (en)
Inventor
汪时灿
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sangfor Technologies Co Ltd
Original Assignee
Sangfor Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sangfor Technologies Co Ltd filed Critical Sangfor Technologies Co Ltd
Priority to CN202010084673.5A priority Critical patent/CN111371738A/zh
Publication of CN111371738A publication Critical patent/CN111371738A/zh
Priority to CN202110090647.8A priority patent/CN112653714A/zh
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

本申请公开了一种访问控制方法、装置、设备及可读存储介质。本申请公开的方法应用于网络安全设备，包括：接收用户发送的访问请求；确定访问请求要访问的业务系统；判断访问请求对应的目标信息是否符合业务系统的访问条件；目标信息包括：用户的认证信息和发送访问请求的设备所处的网络环境信息；若是，则将访问请求传输至业务系统，以便访问请求访问业务系统，从而在网络安全设备处实现对于多个业务系统的访问控制。本申请提高了业务系统的访问安全性，控制效率更高也易于实现，为后续运维工作也提供了诸多便利。相应地，本申请公开的一种访问控制装置、设备及可读存储介质，也同样具有上述技术效果。

Description

一种访问控制方法、装置、设备及可读存储介质
技术领域
本申请涉及计算机技术领域，特别涉及一种访问控制方法、装置、设备及可读存储介质。
背景技术
目前，访问业务系统的权限都是基于账号和密码来设定，一般在用户登录业务系统后，不再进行其他权限校验。若用户登录业务系统后，登录业务系统的电脑被黑客恶意攻击，或者感染了恶意病毒，那么就有可能导致已登录的用户信息被窃取或破坏，业务系统也有可能被越权访问或恶意扫描，从而降低了业务系统的安全性。
因此，如何提高业务系统的访问安全性，是本领域技术人员需要解决的问题。
发明内容
有鉴于此，本申请的目的在于提供一种访问控制方法、装置、设备及可读存储介质，以提高业务系统的访问安全性。其具体方案如下：
第一方面，本申请提供了一种访问控制方法，应用于网络安全设备，包括：
接收用户发送的访问请求；
确定所述访问请求要访问的业务系统；
判断所述访问请求对应的目标信息是否符合所述业务系统的访问条件；所述目标信息包括：所述用户的认证信息和发送所述访问请求的设备所处的网络环境信息；
若是，则将所述访问请求传输至所述业务系统，以便所述访问请求访问所述业务系统。
优选地，所述判断所述访问请求对应的目标信息是否符合所述业务系统的访问条件，包括：
查询所述目标信息，并确定所述目标信息所属的信任等级；
判断所述信任等级是否符合所述访问条件；
若是，则确定所述目标信息符合所述访问条件；
若否，则确定所述目标信息不符合所述访问条件。
优选地，还包括：
在所述访问请求访问所述业务系统的过程中，实时记录访问行为至审计日志。
优选地，还包括：
在所述访问请求访问所述业务系统的过程中，实时检测访问行为，并判断所述访问行为是否异常；
若是，则确定所述访问行为的异常等级，并根据所述异常等级执行相应的操作。
优选地，所述确定所述访问行为的异常等级，并根据所述异常等级执行相应的操作，包括：
若所述访问行为为端口扫描，则确定所述异常等级为告警等级，那么生成并提示相应的告警消息，并在预设时间段内锁定所述访问行为；
若所述访问行为为修改URL参数或账号爆破，则确定所述异常等级为危险等级，那么生成并提示相应的告警消息，并禁止所述访问行为。
优选地，所述确定所述访问请求要访问的业务系统，包括：
根据所述访问请求携带的目的地址确定所述业务系统。
优选地，还包括：
若所述目标信息不符合所述访问条件，则提示用户修改所述认证信息和/或所述网络环境信息。
第二方面，本申请提供了一种访问控制装置，应用于网络安全设备，包括：
接收模块，用于接收用户发送的访问请求；
确定模块，用于确定所述访问请求要访问的业务系统；
判断模块，用于判断所述访问请求对应的目标信息是否符合所述业务系统的访问条件；所述目标信息包括：所述用户的认证信息和发送所述访问请求的设备所处的网络环境信息；
执行模块，用于若是，则将所述访问请求传输至所述业务系统，以便所述访问请求访问所述业务系统。
第三方面，本申请提供了一种访问控制设备，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序，以实现前述公开的访问控制方法。
第四方面，本申请提供了一种可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述公开的访问控制方法。
通过以上方案可知，本申请提供了一种访问控制方法，应用于网络安全设备，包括：接收用户发送的访问请求；确定所述访问请求要访问的业务系统；判断所述访问请求对应的目标信息是否符合所述业务系统的访问条件；所述目标信息包括：所述用户的认证信息和发送所述访问请求的设备所处的网络环境信息；若是，则将所述访问请求传输至所述业务系统，以便所述访问请求访问所述业务系统。
可见，本申请在接收到用户发送的访问请求后，首先确定访问请求要访问的业务系统，进而判断访问请求对应的目标信息是否符合业务系统的访问条件；若符合业务系统的访问条件，则将访问请求传输至业务系统，以便访问请求访问业务系统，从而在网络安全设备处实现对于多个业务系统的访问控制。其中，目标信息包括：用户的认证信息和发送访问请求的设备所处的网络环境信息，因此本申请在正常访问过程中，综合考虑了发送访问请求的设备所处的网络环境信息，以及发送访问请求的用户的认证信息，在正常访问过程中进行了安全校验，因此访问安全性更高。并且，当访问请求对应的目标信息符合业务系统的访问条件时，才允许访问请求进行访问，从而进一步提高了业务系统的访问安全性。同时，本申请在网络安全设备处对多个业务系统进行访问控制，控制效率更高，也易于实现，为后续运维工作也提供了诸多便利。
相应地，本申请提供的一种访问控制装置、设备及可读存储介质，也同样具有上述技术效果。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请公开的一种访问控制方法流程图；
图2为图1中S103步骤的细化流程图；
图3为本申请公开的一种访问控制系统示意图；
图4为本申请公开的一种访问控制装置示意图；
图5为本申请公开的一种访问控制设备示意图；
图6为本申请公开的另一种访问控制设备示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
目前，业务系统有可能被越权访问或恶意扫描，访问的安全性较低。为此，本申请提供了一种访问控制方案，能够提高业务系统的访问安全性。
参见图1所示，本申请实施例公开了一种访问控制方法，应用于网络安全设备，包括：
S101、接收用户发送的访问请求。
S102、确定访问请求要访问的业务系统。
网络安全设备如网关设备等。需要说明的是，网络安全设备连接的业务系统一般有多个，因此在网络安全设备处实现访问请求的控制，控制效率更高，也易于实现。目前，一个企业中使用的业务系统众多，逐个改造每个业务系统不太现实，因此实施难度比较大。若在网络安全设备处实现访问请求的控制，实施难度将显著降低。
在一种具体实施方式中，确定访问请求要访问的业务系统，包括：根据访问请求携带的目的地址确定业务系统。访问请求中一般携带有源地址和目标地址，源地址即发送访问请求的设备的地址，目标地址即访问请求要访问的业务系统的地址，因此可从访问请求中提取目的地址，从而确定当前访问请求要访问的业务系统。
在一种具体实施方式中，确定访问请求要访问的业务系统，包括：根据访问请求携带的IP端口确定要访问的业务系统。具体的，网络安全设备中配置有各个业务系统的IP端口，因此可以根据访问请求携带的IP端口确定要访问的业务系统。
S103、判断访问请求对应的目标信息是否符合业务系统的访问条件；若是，则执行S104；若否，则执行S105。
其中，目标信息包括：用户的认证信息和发送访问请求的设备所处的网络环境信息。其中，用户的认证信息可以包括：利用账号和密码进行认证的认证信息，利用短信验证码进行认证的认证信息，利用人脸、指纹、虹膜等生物特征进行认证的认证信息等。设备所处的网络环境信息包括：设备所处的地理位置、内网还是外网、设备安装的操作系统环境、设备是否感染病毒等。目标信息可看作用户信息，当用户完成相关认证后，目标信息便存储在业务系统的服务端，那么网络安全设备可以从服务端获取相关目标信息。
具体的，可以给各个业务系统设置相同或不同的访问条件。假设网络安全设备连接有3个业务系统：第一业务系统、第二业务系统、第三业务系统。其中，第一业务系统的访问条件包括：利用账号和密码进行认证的认证信息。第二业务系统的访问条件包括：利用账号和密码进行认证的认证信息，利用短信验证码进行认证的认证信息。第三业务系统的访问条件包括：利用账号和密码进行认证的认证信息、利用人脸生物特征进行认证的认证信息。如此这3个业务系统便有了不同的访问条件。
若当前访问请求想要访问第二业务系统，那么只有当访问请求对应的目标信息中包括利用账号和密码进行认证的认证信息，利用短信验证码进行认证的认证信息时，才认为目标信息符合第二业务系统的访问条件。其中，若当前访问请求对应的目标信息中还包括利用人脸生物特征进行认证的认证信息，当然也认为目标信息符合第二业务系统的访问条件。也就是目标信息中包括的信息可以多，但不能少于当前要访问的业务系统的访问条件。
S104、将访问请求传输至业务系统，以便访问请求访问业务系统。
S105、提示用户修改认证信息和/或网络环境信息。
具体的，若目标信息符合业务系统的访问条件，则认为当前访问请求正常，因此网络设备将访问请求传输至业务系统，以便访问请求访问业务系统。若目标信息不符合业务系统的访问条件，则认为当前访问请求异常，此时可能是目标信息不全面导致的，因此网络安全设备提示用户修改认证信息和/或网络环境信息。
请参见图2，图2为图1中S103步骤的细化流程图。图1中的S103的具体实现步骤包括：
S201、查询目标信息，并确定目标信息所属的信任等级。
具体的，可以根据当前要访问的业务系统的访问条件查询目标信息。例如：当前要访问的系统为第一业务系统，而第一业务系统的访问条件包括：利用账号和密码进行认证的认证信息。那么查询第一业务系统的访问条件后，先查询目标信息是否包括利用账号和密码进行认证的认证信息；若包括，则直接可以确定当前请求符合第一业务系统的访问条件。
当然，还可以在确定目标信息包括利用账号和密码进行认证的认证信息后，确定利用账号和密码进行认证的认证信息所属的信任等级，并进一步判断该信任等级是否和第一业务系统的访问条件的信任等级一致；若一致，则可以确定当前请求符合第一业务系统的访问条件；否则，可以确定当前请求不符合第一业务系统的访问条件。
其中，可以给包含不同信息的目标信息设置不同的信任等级。如：若目标信息包括：利用账号和密码进行认证的认证信息，那么信任等级设置为低。若目标信息包括：利用账号和密码进行认证的认证信息和利用短信验证码进行认证的认证信息，那么信任等级设置为中。若目标信息包括：利用账号和密码进行认证的认证信息和利用人脸生物特征进行认证的认证信息，那么信任等级设置为高。如此一来，上述示例的第一业务系统、第二业务系统、第三业务系统分别对应的访问条件便可设定为低信任等级、中信任等级、高信任等级。
S202、判断信任等级是否符合访问条件；若是，则执行S203；若否，则执行S204。
S203、确定目标信息符合访问条件。
S204、确定目标信息不符合访问条件。
在一种具体实施方式中，为了实时保障业务系统的访问安全性，本实施例还包括：在访问请求访问业务系统的过程中，实时记录访问行为至审计日志，以便后续查询审计日志，及时发现问题。
在一种具体实施方式中，为了实时保障业务系统的访问安全性，本实施例还包括：在访问请求访问业务系统的过程中，实时检测访问行为，并判断访问行为是否异常；若是，则确定访问行为的异常等级，并根据异常等级执行相应的操作。其中，确定访问行为的异常等级，并根据异常等级执行相应的操作，包括：若访问行为为端口扫描，则确定异常等级为告警等级，那么生成并提示相应的告警消息，并在预设时间段内锁定访问行为(如10分钟不再允许访问)；若访问行为为修改URL参数或账号爆破，则确定异常等级为危险等级，那么生成并提示相应的告警消息，并禁止访问行为。
具体的，告警等级的访问行为还可以是其他，如爬虫操作等。当然，危险等级的访问行为还可以是其他，如：越权访问、访问系统的设备所处的网络环境信息出现异常等。
可见，本申请实施例在接收到用户发送的访问请求后，首先确定访问请求要访问的业务系统，进而判断访问请求对应的目标信息是否符合业务系统的访问条件；若符合业务系统的访问条件，则将访问请求传输至业务系统，以便访问请求访问业务系统，从而在网络安全设备处实现对于多个业务系统的访问控制。其中，目标信息包括：用户的认证信息和发送访问请求的设备所处的网络环境信息，因此本申请在正常访问过程中，综合考虑了发送访问请求的设备所处的网络环境信息，以及发送访问请求的用户的认证信息，在正常访问过程中进行了安全校验，因此访问安全性更高。并且，当访问请求对应的目标信息符合业务系统的访问条件时，才允许访问请求进行访问，从而进一步提高了业务系统的访问安全性。同时，本申请在网络安全设备处对多个业务系统进行访问控制，控制效率更高，也易于实现，为后续运维工作也提供了诸多便利。
参见图3所示，本申请实施例公开了一种访问控制系统，包括：客户端(即发送访问请求的设备)，网络安全设备和多个业务系统。其中，客户端可以为电脑、移动终端等设备。具体的，在网络安全设备中实现图1提供的方法。本实施例提供的系统的具体实现过程可以包括：定义信任等级，定义各个业务系统的访问条件，访问过程中访问行为的检测。
定义信任等级具体包括：根据认证信息定义信任等级。信任等级越高要求越严格的认证。比如：账号和密码认证为低信任等级。账号和密码认证加上短信验证码认证为中信任等级。账号和密码认证、短信验证码认证、再加上人脸生物特征认证是高信任等级。
当然，还可以根据认证信息和网络环境信息定义信任等级。比如：账号和密码认证，加上外网位置(即发送访问请求的设备处于外网)为低信任等级。账号和密码认证加上内网位置(即发送访问请求的设备处于内网)为中信任等级。账号和密码认证、短信验证码认证、再加上内网位置是高信任等级。其中，若发送访问请求的设备和其要访问的业务系统处于同一局域网，则该设备处于内网位置；反之，该设备处于外网位置。
定义各个业务系统的访问条件具体包括：根据业务系统的安全要求和敏感程度，为每个业务系统设置最低要求的访问条件。低于此信任等级则不允许访问该业务系统，访问者必须想办法提升自己的信任等级才能访问。当不允许访问该业务系统时，可以告知用户如何提高信任等级。比如增加人脸识别认证、清除系统感染的病毒木马、停止恶意扫描行为卸载扫描工具等。
其中，当业务系统为论坛类系统时，其安全要求相对较低，因此其访问条件可设置的相对较低，一般满足低信任等级即可。当业务系统为客户资料系统时，该系统可能涉及商业机密，因此其安全要求相对较高，其访问条件可设置的较高，一般需要满足高信任等级。
访问过程中访问行为的检测具体包括：在访问过程中，持续检测用户访问行为。若检测到端口扫描、越权访问、访问系统的设备所处的网络环境信息出现异常等异常情况，则根据异常情况的危险程度确定异常等级，并根据异常等级执行相应的操作。如：禁止访问、锁定10分钟、提示告警信息等。
可见，本实施例利用网络安全设备实时控制客户端对于业务系统的访问，实现了访问的动态控制，提高了业务系统的访问安全性，控制效率更高也易于实现，为后续运维工作也提供了诸多便利。
下面对本申请实施例提供的一种访问控制装置进行介绍，下文描述的一种访问控制装置与上文描述的一种访问控制方法可以相互参照。
参见图4所示，本申请实施例公开了一种访问控制装置，应用于网络安全设备，包括：
接收模块401，用于接收用户发送的访问请求；
确定模块402，用于确定访问请求要访问的业务系统；
判断模块403，用于判断访问请求对应的目标信息是否符合业务系统的访问条件；目标信息包括：用户的认证信息和发送访问请求的设备所处的网络环境信息；
执行模块404，用于若是，则将访问请求传输至业务系统，以便访问请求访问业务系统。
在一种具体实施方式中，判断模块包括：
查询单元，用于查询目标信息，并确定目标信息所属的信任等级；
判断单元，用于判断信任等级是否符合访问条件；
第一确定单元，用于若信任等级符合访问条件，则确定目标信息符合访问条件；
第二确定单元，用于若信任等级不符合访问条件，则确定目标信息不符合访问条件。
在一种具体实施方式中，还包括：
记录模块，用于在访问请求访问业务系统的过程中，实时记录访问行为至审计日志。
在一种具体实施方式中，还包括：
检测模块，用于在访问请求访问业务系统的过程中，实时检测访问行为，并判断访问行为是否异常；
异常行为确定模块，用于若访问行为异常，则确定访问行为的异常等级，并根据异常等级执行相应的操作。
在一种具体实施方式中，异常行为确定模块包括：
第一执行单元，用于若访问行为为端口扫描，则确定异常等级为告警等级，那么生成并提示相应的告警消息，并在预设时间段内锁定访问行为；
第二执行单元，用于若访问行为为修改URL参数或账号爆破，则确定异常等级为危险等级，那么生成并提示相应的告警消息，并禁止访问行为。
在一种具体实施方式中，确定模块具体用于：
根据访问请求携带的目的地址确定业务系统。
在一种具体实施方式中，还包括：
提示模块，用于若所述目标信息不符合所述访问条件，则提示用户修改所述认证信息和/或所述网络环境信息。
其中，关于本实施例中各个模块、单元更加具体的工作过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。
可见，本实施例提供了一种访问控制装置，该装置提高了业务系统的访问安全性，控制效率更高也易于实现，为后续运维工作也提供了诸多便利。
下面对本申请实施例提供的一种访问控制设备进行介绍，下文描述的一种访问控制设备与上文描述的一种访问控制方法及装置可以相互参照。
参见图5所示，本申请实施例公开了一种访问控制设备，包括：
存储器501，用于保存计算机程序；
处理器502，用于执行所述计算机程序，以实现上述任意实施例公开的方法。
请参考图6，图6为本实施例提供的另一种访问控制设备示意图，该访问控制设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上处理器(centralprocessing units，CPU)322(例如，一个或一个以上处理器)和存储器332，一个或一个以上存储应用程序342或数据344的存储介质330(例如一个或一个以上海量存储设备)。其中，存储器332和存储介质330可以是短暂存储或持久存储。存储在存储介质330的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对数据处理设备中的一系列指令操作。更进一步地，中央处理器322可以设置为与存储介质330通信，在访问控制设备301上执行存储介质330中的一系列指令操作。
访问控制设备301还可以包括一个或一个以上电源326，一个或一个以上有线或无线网络接口350，一个或一个以上输入输出接口358，和/或，一个或一个以上操作系统341。例如，Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等。
在图6中，应用程序342可以是执行访问控制方法的程序，数据344可以是执行访问控制方法所需的或产生的数据。
上文所描述的访问控制方法中的步骤可以由访问控制设备的结构实现。
下面对本申请实施例提供的一种可读存储介质进行介绍，下文描述的一种可读存储介质与上文描述的一种访问控制方法、装置及设备可以相互参照。
一种可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述实施例公开的访问控制方法。关于该方法的具体步骤可以参考前述实施例中公开的相应内容，在此不再进行赘述。
本申请涉及的“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法或设备固有的其它步骤或单元。
需要说明的是，在本申请中涉及“第一”、“第二”等的描述仅用于描述目的，而不能理解为指示或暗示其相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合不存在，也不在本申请要求的保护范围之内。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的可读存储介质中。
本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种访问控制方法，其特征在于，应用于网络安全设备，包括：
接收用户发送的访问请求；
确定所述访问请求要访问的业务系统；
判断所述访问请求对应的目标信息是否符合所述业务系统的访问条件；所述目标信息包括：所述用户的认证信息和发送所述访问请求的设备所处的网络环境信息；
若是，则将所述访问请求传输至所述业务系统，以便所述访问请求访问所述业务系统。
2.根据权利要求1所述的访问控制方法，其特征在于，所述判断所述访问请求对应的目标信息是否符合所述业务系统的访问条件，包括：
查询所述目标信息，并确定所述目标信息所属的信任等级；
判断所述信任等级是否符合所述访问条件；
若是，则确定所述目标信息符合所述访问条件；
若否，则确定所述目标信息不符合所述访问条件。
3.根据权利要求2所述的访问控制方法，其特征在于，还包括：
在所述访问请求访问所述业务系统的过程中，实时记录访问行为至审计日志。
4.根据权利要求2所述的访问控制方法，其特征在于，还包括：
在所述访问请求访问所述业务系统的过程中，实时检测访问行为，并判断所述访问行为是否异常；
若是，则确定所述访问行为的异常等级，并根据所述异常等级执行相应的操作。
5.根据权利要求4所述的访问控制方法，其特征在于，所述确定所述访问行为的异常等级，并根据所述异常等级执行相应的操作，包括：
若所述访问行为为端口扫描，则确定所述异常等级为告警等级，那么生成并提示相应的告警消息，并在预设时间段内锁定所述访问行为；
若所述访问行为为修改URL参数或账号爆破，则确定所述异常等级为危险等级，那么生成并提示相应的告警消息，并禁止所述访问行为。
6.根据权利要求1所述的访问控制方法，其特征在于，所述确定所述访问请求要访问的业务系统，包括：
根据所述访问请求携带的目的地址确定所述业务系统。
7.根据权利要求1至6任一项所述的访问控制方法，其特征在于，还包括：
若所述目标信息不符合所述访问条件，则提示用户修改所述认证信息和/或所述网络环境信息。
8.一种访问控制装置，其特征在于，应用于网络安全设备，包括：
接收模块，用于接收用户发送的访问请求；
确定模块，用于确定所述访问请求要访问的业务系统；
判断模块，用于判断所述访问请求对应的目标信息是否符合所述业务系统的访问条件；所述目标信息包括：所述用户的认证信息和发送所述访问请求的设备所处的网络环境信息；
执行模块，用于若是，则将所述访问请求传输至所述业务系统，以便所述访问请求访问所述业务系统。
9.一种访问控制设备，其特征在于，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所述的访问控制方法。
10.一种可读存储介质，其特征在于，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的访问控制方法。
CN202010084673.5A 2020-02-10 2020-02-10 一种访问控制方法、装置、设备及可读存储介质 Withdrawn CN111371738A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202010084673.5A CN111371738A (zh) 2020-02-10 2020-02-10 一种访问控制方法、装置、设备及可读存储介质
CN202110090647.8A CN112653714A (zh) 2020-02-10 2021-01-22 一种访问控制方法、装置、设备及可读存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010084673.5A CN111371738A (zh) 2020-02-10 2020-02-10 一种访问控制方法、装置、设备及可读存储介质

Publications (1)

Publication Number Publication Date
CN111371738A true CN111371738A (zh) 2020-07-03

Family

ID=71211422

Family Applications (2)

Application Number Title Priority Date Filing Date
CN202010084673.5A Withdrawn CN111371738A (zh) 2020-02-10 2020-02-10 一种访问控制方法、装置、设备及可读存储介质
CN202110090647.8A Pending CN112653714A (zh) 2020-02-10 2021-01-22 一种访问控制方法、装置、设备及可读存储介质

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN202110090647.8A Pending CN112653714A (zh) 2020-02-10 2021-01-22 一种访问控制方法、装置、设备及可读存储介质

Country Status (1)

Country Link
CN (2) CN111371738A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112115484A (zh) * 2020-09-27 2020-12-22 中国工商银行股份有限公司 应用程序的访问控制方法、装置、系统及介质
CN112351005A (zh) * 2020-10-23 2021-02-09 杭州安恒信息技术股份有限公司 物联网通信方法、装置、可读存储介质及计算机设备
CN114615055A (zh) * 2022-03-10 2022-06-10 中国建设银行股份有限公司 访问请求的处理方法、数据上传方法和装置
CN115801472A (zh) * 2023-02-10 2023-03-14 武汉市幸运坐标信息技术有限公司 一种基于鉴权网关的权限管理方法及系统

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114244583A (zh) * 2021-11-30 2022-03-25 珠海大横琴科技发展有限公司 一种基于移动客户端的数据处理的方法和装置
CN114465759A (zh) * 2021-12-21 2022-05-10 奇安信科技集团股份有限公司 一种信任等级评估方法、装置、电子设备与存储介质
CN114268494A (zh) * 2021-12-22 2022-04-01 赛尔网络有限公司 安全访问方法、系统、设备及介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102264070A (zh) * 2010-05-25 2011-11-30 中国移动通信集团设计院有限公司 一种提供业务数据及执行访问业务的方法及设备
CN104506510A (zh) * 2014-12-15 2015-04-08 百度在线网络技术（北京）有限公司 用于设备认证的方法、装置及认证服务系统
US20160105417A1 (en) * 2013-08-28 2016-04-14 Chung Jong Lee Computer network security management system and method
CN109165516A (zh) * 2018-08-14 2019-01-08 中国银联股份有限公司 一种访问控制方法和装置
CN109525537A (zh) * 2017-09-19 2019-03-26 中兴通讯股份有限公司 一种访问智能家居系统的控制方法及装置
CN110300124A (zh) * 2019-02-02 2019-10-01 奇安信科技集团股份有限公司 一种访问控制方法、系统、电子设备及可读介质

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107147627A (zh) * 2017-04-25 2017-09-08 广东青年职业学院 一种基于大数据平台的网络安全防护方法及系统
CN110505262B (zh) * 2018-05-18 2022-04-29 深信服科技股份有限公司 云环境下的动态微分段方法、系统、云服务器及存储介质
CN109067749A (zh) * 2018-08-13 2018-12-21 深信服科技股份有限公司 一种信息处理方法、设备及计算机可读存储介质

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102264070A (zh) * 2010-05-25 2011-11-30 中国移动通信集团设计院有限公司 一种提供业务数据及执行访问业务的方法及设备
US20160105417A1 (en) * 2013-08-28 2016-04-14 Chung Jong Lee Computer network security management system and method
CN104506510A (zh) * 2014-12-15 2015-04-08 百度在线网络技术（北京）有限公司 用于设备认证的方法、装置及认证服务系统
CN109525537A (zh) * 2017-09-19 2019-03-26 中兴通讯股份有限公司 一种访问智能家居系统的控制方法及装置
CN109165516A (zh) * 2018-08-14 2019-01-08 中国银联股份有限公司 一种访问控制方法和装置
CN110300124A (zh) * 2019-02-02 2019-10-01 奇安信科技集团股份有限公司 一种访问控制方法、系统、电子设备及可读介质

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112115484A (zh) * 2020-09-27 2020-12-22 中国工商银行股份有限公司 应用程序的访问控制方法、装置、系统及介质
CN112115484B (zh) * 2020-09-27 2023-11-21 中国工商银行股份有限公司 应用程序的访问控制方法、装置、系统及介质
CN112351005A (zh) * 2020-10-23 2021-02-09 杭州安恒信息技术股份有限公司 物联网通信方法、装置、可读存储介质及计算机设备
CN112351005B (zh) * 2020-10-23 2022-11-15 杭州安恒信息技术股份有限公司 物联网通信方法、装置、可读存储介质及计算机设备
CN114615055A (zh) * 2022-03-10 2022-06-10 中国建设银行股份有限公司 访问请求的处理方法、数据上传方法和装置
CN115801472A (zh) * 2023-02-10 2023-03-14 武汉市幸运坐标信息技术有限公司 一种基于鉴权网关的权限管理方法及系统

Also Published As

Publication number Publication date
CN112653714A (zh) 2021-04-13

Similar Documents

Publication Publication Date Title
CN111371738A (zh) 一种访问控制方法、装置、设备及可读存储介质
CN102377756B (zh) 业务访问、鉴权方法及对应的系统、客户端、鉴权服务器
US20110185408A1 (en) Security based on network environment
CN113660224B (zh) 基于网络漏洞扫描的态势感知防御方法、装置及系统
US8458789B1 (en) System, method and computer program product for identifying unwanted code associated with network communications
CN111143808B (zh) 系统安全认证方法、装置及计算设备、存储介质
CN114065162A (zh) 业务系统的风险管控方法、装置和计算可读存储介质
CN113472789A (zh) 一种攻击检测方法、攻击检测系统、存储介质和电子设备
CN113411297A (zh) 基于属性访问控制的态势感知防御方法及系统
CN115883170A (zh) 网络流量数据监测分析方法、装置及电子设备及存储介质
CN115189937A (zh) 一种用于客户端数据的安全防护方法及装置
CN112231679B (zh) 一种终端设备验证方法、装置及存储介质
CN118300814A (zh) 一种跨平台登录方法及系统
CN113660222A (zh) 基于强制访问控制的态势感知防御方法及系统
CN109495436B (zh) 一种可信云平台度量系统及方法
JP6890559B2 (ja) アクセス分析システム及びアクセス分析方法
KR20130053008A (ko) 고유식별자 기반 인증 관제 시스템 및 방법
CN111064731B (zh) 一种浏览器请求的访问权限的识别方法、识别装置及终端
US11126713B2 (en) Detecting directory reconnaissance in a directory service
CN117353989B (zh) 基于安全信任评估的访问准入身份认证系统
CN116451269B (zh) 数据保护方法、装置、电子设备和可读存储介质
CN112395604B (zh) 系统监控登录防护方法、客户端、服务端、及存储介质
KR102517982B1 (ko) 애플리케이션 검사 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
US20240250962A1 (en) Arrangement and a method of threat detection in a computing device or a computer network
CN116032497A (zh) 一种数据处理方法、设备及计算机可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication

Application publication date: 20200703

WW01 Invention patent application withdrawn after publication