CN111800392A - 动态最小化特权访问控制方法及装置 - Google Patents

Abstract

本发明公开了一种动态最小化特权访问控制方法及装置，方法包括：将不同特权访问规则分配到相应特权访问用户上；用户登录后只能看到自己对应特权访问规则范围内的特权账号，只能对特权账号进行特权访问规则范围内的特权访问；在进行特权访问过程中所进行的命令或操作及看到的数据都被动态权限执行模块判断是否符合特权访问规则；不符合时，用户的特权访问操作被拦截，或者显示的数据被遮蔽；当产生与使用轨迹不相符的活动记录时，特权行为分析模块定义活动记录为威胁，由动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截。本发明能确保相关人员只能进行与自己相匹配的最小权限的特权访问，有效避免人员越权操作。

Description

动态最小化特权访问控制方法及装置

技术领域

本发明涉及特权访问安全控制领域，特别涉及一种动态最小化特权访问控制方法及装置。

背景技术

特权访问是指对具有高风险(如可以启停设备的管理员账号)或具有高价值(如可以读取业务敏感数据的应用账号)的特权账号进行使用/访问的过程，但并不是所有特权访问都需要用到特权账号的所有权限或功能。近几年发生的重大安全事件(删库/数据泄露)往往都是由于需要进行特权访问的人员所拥有特权账号的权限范围远远大于自身所需使用的权限，从而使该人员可以“合法”的进行非法操作。因此，动态的对拥有特权账号的相关人员的特权访问进行颗粒度的控制，就显得尤为重要。然而，目前还没有能避免出现越权访问的有效方法。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种能确保相关人员只能进行与自己相匹配的最小权限的特权访问，有效避免人员越权操作的动态最小化特权访问控制方法及装置。

本发明解决其技术问题所采用的技术方案是：构造一种动态最小化特权访问控制方法，包括如下步骤：

A)采用特权信息收集模块对用户及目标的特权访问信息进行收集及整理，构建成一个信息库，并不定期更新；

B)采用动态权限执行模块对收集好的特权账号及特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则；

C)采用动态权限执行模块将所述特权访问规则应用到特权访问门户模块上，并与所述特权访问门户模块结合，将不同特权访问规则分配到相应特权访问用户上；

D)需要进行特权访问的用户通过所述特权访问门户模块进行登录，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问；

E)用户在进行特权访问过程中所进行的命令或操作以及所看到的数据都被所述动态权限执行模块判断是否符合特权访问规则，如是，执行步骤G)；否则，执行步骤F)；

F)用户的特权访问操作被拦截，或者显示的数据被遮蔽；

G)正常进行特权访问，执行步骤H)；

H)特权行为分析模块对用户在所述特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹；

I)判断是否产生与所述使用轨迹不相符的活动记录，如是，执行步骤J)；否则，执行步骤K)；

J)所述特权行为分析模块定义所述活动记录为威胁，并将告警发送至所述动态权限执行模块，由所述动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截；

K)正常进行特权访问。

在本发明所述的动态最小化特权访问控制方法中，所述特权信息收集模块负责对需要进行特权访问的人员所需的特权访问信息进行收集，所述特权访问信息至少包括使用命令和浏览数据。

在本发明所述的动态最小化特权访问控制方法中，所述动态权限执行模块负责对收集好的特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则，并将所述特权访问规则应用到所述特权访问门户模块上。

在本发明所述的动态最小化特权访问控制方法中，所述特权访问门户模块负责提供统一的门户网站，通过智能身份分析方法和微隔离方法，与所述动态权限执行模块结合，将不同特权访问规则分配到相应的用户上，用户登录所述特权访问门户模块进行特权访问。

在本发明所述的动态最小化特权访问控制方法中，所述特权行为分析模块负责对用户在所述特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹，当用户产生与所述使用轨迹不相符的活动记录时，所述特权行为分析模块将告警发送至所述动态权限执行模块，由所述动态权限执行模块根据所述特权访问规则对当前特权访问操作进行判断是否需要拦截。

本发明还涉及一种实现上述动态最小化特权访问控制方法的装置，包括：

信息库构建单元：用于采用特权信息收集模块对用户及目标的特权访问信息进行收集及整理，构建成一个信息库，并不定期更新；

特权访问规则计算单元：用于采用动态权限执行模块对收集好的特权账号及特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则；

特权访问规则分配单元：用于采用动态权限执行模块将所述特权访问规则应用到特权访问门户模块上，并与所述特权访问门户模块结合，将不同特权访问规则分配到相应特权访问用户上；

登录单元：用于需要进行特权访问的用户通过所述特权访问门户模块进行登录，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问；

特权访问规则判断单元：用于用户在进行特权访问过程中所进行的命令或操作以及所看到的数据都被所述动态权限执行模块判断是否符合特权访问规则；

操作拦截遮蔽单元：用于用户的特权访问操作被拦截，或者显示的数据被遮蔽；

特权访问单元：用于正常进行特权访问；

分析建模单元：用于特权行为分析模块对用户在所述特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹；

活动记录单元：用于判断是否产生与所述使用轨迹不相符的活动记录；

拦截判断单元：用于所述特权行为分析模块定义所述活动记录为威胁，并将告警发送至所述动态权限执行模块，由所述动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截；

正常访问单元：用于正常进行特权访问。

实施本发明的动态最小化特权访问控制方法及装置，具有以下有益效果：由于可以将不同特权访问规则分配到相应特权访问用户上，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问；当不符合特权访问规则时，用户的特权访问操作被拦截，或者显示的数据被遮蔽；当产生与使用轨迹不相符的活动记录时，特权行为分析模块定义活动记录为威胁，并将告警发送至动态权限执行模块，由动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截；因此本发明能确保相关人员只能进行与自己相匹配的最小权限的特权访问，有效避免人员越权操作。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明动态最小化特权访问控制方法及装置一个实施例中的方法的流程图；

图2为所述实施例中动态最小化特权访问控制方法的流程框图；

图3为所述实施例中装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明动态最小化特权访问控制方法及装置实施例中，其动态最小化特权访问控制方法的流程图如图1所示，该动态最小化特权访问控制方法的流程框图如图2所示。图1中，该动态最小化特权访问控制方法包括如下步骤：

步骤S01采用特权信息收集模块对用户及目标的特权访问信息进行收集及整理，构建成一个信息库，并不定期更新：本步骤中，采用特权信息收集模块对用户及目标的特权访问信息进行收集及整理，构建成一个信息库，可以不定期进行更新。

步骤S02采用动态权限执行模块对收集好的特权账号及特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则：本步骤中，采用动态权限执行模块对收集好的特权账号及特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则，该特权访问规则是可以随时更改的。

步骤S03采用动态权限执行模块将特权访问规则应用到特权访问门户模块上，并与特权访问门户模块结合，将不同特权访问规则分配到相应特权访问用户上：本步骤中，采用动态权限执行模块将计算好的特权访问规则应用到特权访问门户模块上，并与特权访问门户模块结合，将不同的特权访问规则分配到相应特权访问用户上。

步骤S04需要进行特权访问的用户通过特权访问门户模块进行登录，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问：本步骤中，需要进行特权访问的用户通过特权访问门户模块进行登录，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问。

步骤S05用户在进行特权访问过程中所进行的命令或操作以及所看到的数据都被动态权限执行模块判断是否符合特权访问规则：本步骤中，用户在进行特权访问过程中所进行的命令或操作以及所看到的数据都被动态权限执行模块判断是否符合特权访问规则，如果判断的结果为是，则执行步骤S07；否则，执行步骤S06。

步骤S06用户的特权访问操作被拦截，或者显示的数据被遮蔽：如果上述步骤S05的判断结果为否，即不符合特权访问规则，则执行本步骤。本步骤中，用户的特权访问操作被拦截，或者显示的数据会被遮蔽。

步骤S07正常进行特权访问：如果上述步骤S05的判断结果为是，即符合特权访问规则，则执行本步骤。本步骤中，正常进行特权访问。执行完本步骤，执行步骤S08。

步骤S08特权行为分析模块对用户在特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹：本步骤中，特权行为分析模块对用户在特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹。

步骤S09判断是否产生与使用轨迹不相符的活动记录：本步骤中，判断用户是否产生与使用轨迹不相符的活动记录，如果判断的结果为是，则执行步骤S10；否则，执行步骤S11。

步骤S10特权行为分析模块定义活动记录为威胁，并将告警发送至动态权限执行模块，由动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截：如果上述步骤S09的判断结果为是，则执行本步骤。本步骤中，特权行为分析模块定义活动记录为威胁，并将告警发送至动态权限执行模块，由动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截。

步骤S11正常进行特权访问：如果上述步骤S09的判断结果为否，则执行本步骤。本步骤中，正常进行特权访问。对比传统的特权账号保护，本发明的动态最小化特权访问控制方法可对特权账号进行颗粒度化的管控，使得对特权的保护更为精细，将对特权账号的使用精确到具体的特权访问控制，使得相关人员即使拥有高权限的特权账号也只能进行与自己相匹配的最小权限的特权访问，有效避免使用人员出现越权访问。

值得一提的是，本实施例中，特权信息收集模块负责对需要进行特权访问的人员所需的特权访问信息进行收集，特权访问信息至少包括使用命令和浏览数据等与特权访问相关的信息。

动态权限执行模块负责对收集好的特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则，并将特权访问规则应用到特权访问门户模块上。

特权访问门户模块负责提供统一的门户网站，通过智能身份分析方法和微隔离方法，与动态权限执行模块结合，将不同特权访问规则分配到相应的用户上，用户登录特权访问门户模块进行特权访问。

特权行为分析模块负责对用户在特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹，当用户产生与使用轨迹不相符的活动记录时，特权行为分析模块将告警发送至动态权限执行模块，由动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截。

本实施例还涉及一种实现上述动态最小化特权访问控制方法的装置，该装置的结构示意图如图3所示。图3中，该装置包括信息库构建单元1、特权访问规则计算单元2、特权访问规则分配单元3、登录单元4、特权访问规则判断单元5、操作拦截遮蔽单元6、特权访问单元7、分析建模单元8、活动记录单元9、拦截判断单元10和正常访问单元11；其中，信息库构建单元1用于采用特权信息收集模块对用户及目标的特权访问信息进行收集及整理，构建成一个信息库，并不定期更新；特权访问规则计算单元2用于采用动态权限执行模块对收集好的特权账号及特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则；特权访问规则分配单元3用于采用动态权限执行模块将特权访问规则应用到特权访问门户模块上，并与特权访问门户模块结合，将不同特权访问规则分配到相应特权访问用户上；登录单元4用于需要进行特权访问的用户通过特权访问门户模块进行登录，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问；特权访问规则判断单元5用于用户在进行特权访问过程中所进行的命令或操作以及所看到的数据都被动态权限执行模块判断是否符合特权访问规则；操作拦截遮蔽单元6用于用户的特权访问操作被拦截，或者显示的数据被遮蔽；特权访问单元7用于正常进行特权访问；分析建模单元8用于特权行为分析模块对用户在特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹；活动记录单元9用于判断是否产生与使用轨迹不相符的活动记录；拦截判断单元10用于特权行为分析模块定义活动记录为威胁，并将告警发送至动态权限执行模块，由动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截；正常访问单元11用于正常进行特权访问。

对比传统的特权账号保护，本发明的装置可对特权账号进行颗粒度化的管控，使得对特权的保护更为精细，将对特权账号的使用精确到具体的特权访问控制，使得相关人员即使拥有高权限的特权账号也只能进行与自己相匹配的最小权限的特权访问，有效避免使用人员出现越权访问。

总之，本发明通过技术手段对特权账号进行更为精细灵活的权限分配，使得相关人员即使拥有特权账号也只能进行与自己相匹配的最小权限的特权访问，避免出现越权访问。本发明可动态控制特权账号的权限/价值颗粒度，并将对应逻辑关联到需要进行特权访问的人员上，确保相关人员只能进行与自己相匹配的最小权限的特权访问，有效避免人员越权操作。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种动态最小化特权访问控制方法，其特征在于，包括如下步骤：

A)采用特权信息收集模块对用户及目标的特权访问信息进行收集及整理，构建成一个信息库，并不定期更新；

B)采用动态权限执行模块对收集好的特权账号及特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则；

C)采用动态权限执行模块将所述特权访问规则应用到特权访问门户模块上，并与所述特权访问门户模块结合，将不同特权访问规则分配到相应特权访问用户上；

D)需要进行特权访问的用户通过所述特权访问门户模块进行登录，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问；

E)用户在进行特权访问过程中所进行的命令或操作以及所看到的数据都被所述动态权限执行模块判断是否符合特权访问规则，如是，执行步骤G)；否则，执行步骤F)；

F)用户的特权访问操作被拦截，或者显示的数据被遮蔽；

G)正常进行特权访问，执行步骤H)；

H)特权行为分析模块对用户在所述特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹；

I)判断是否产生与所述使用轨迹不相符的活动记录，如是，执行步骤J)；否则，执行步骤K)；

J)所述特权行为分析模块定义所述活动记录为威胁，并将告警发送至所述动态权限执行模块，由所述动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截；

K)正常进行特权访问。

2.根据权利要求1所述的动态最小化特权访问控制方法，其特征在于，所述特权信息收集模块负责对需要进行特权访问的人员所需的特权访问信息进行收集，所述特权访问信息至少包括使用命令和浏览数据。

3.根据权利要求2所述的动态最小化特权访问控制方法，其特征在于，所述动态权限执行模块负责对收集好的特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则，并将所述特权访问规则应用到所述特权访问门户模块上。

4.根据权利要求3所述的动态最小化特权访问控制方法，其特征在于，所述特权访问门户模块负责提供统一的门户网站，通过智能身份分析方法和微隔离方法，与所述动态权限执行模块结合，将不同特权访问规则分配到相应的用户上，用户登录所述特权访问门户模块进行特权访问。

5.根据权利要求4所述的动态最小化特权访问控制方法，其特征在于，所述特权行为分析模块负责对用户在所述特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹，当用户产生与所述使用轨迹不相符的活动记录时，所述特权行为分析模块将告警发送至所述动态权限执行模块，由所述动态权限执行模块根据所述特权访问规则对当前特权访问操作进行判断是否需要拦截。

6.一种实现如权利要求1所述的动态最小化特权访问控制方法的装置，其特征在于，包括：

信息库构建单元：用于采用特权信息收集模块对用户及目标的特权访问信息进行收集及整理，构建成一个信息库，并不定期更新；

特权访问规则计算单元：用于采用动态权限执行模块对收集好的特权账号及特权访问信息进行逻辑归类，通过动态最小化特权访问控制算法计算出最小化后的特权访问规则；

特权访问规则分配单元：用于采用动态权限执行模块将所述特权访问规则应用到特权访问门户模块上，并与所述特权访问门户模块结合，将不同特权访问规则分配到相应特权访问用户上；

登录单元：用于需要进行特权访问的用户通过所述特权访问门户模块进行登录，不同用户登录后只能看到自己对应特权访问规则范围内的特权账号，也只能对特权账号进行特权访问规则范围内的特权访问；

特权访问规则判断单元：用于用户在进行特权访问过程中所进行的命令或操作以及所看到的数据都被所述动态权限执行模块判断是否符合特权访问规则；

操作拦截遮蔽单元：用于用户的特权访问操作被拦截，或者显示的数据被遮蔽；

特权访问单元：用于正常进行特权访问；

分析建模单元：用于特权行为分析模块对用户在所述特权访问门户模块上产生的活动记录进行分析与建模，得出用户使用轨迹；

活动记录单元：用于判断是否产生与所述使用轨迹不相符的活动记录；

拦截判断单元：用于所述特权行为分析模块定义所述活动记录为威胁，并将告警发送至所述动态权限执行模块，由所述动态权限执行模块根据特权访问规则对当前特权访问操作进行判断是否需要拦截；

正常访问单元：用于正常进行特权访问。

Images