CN111931210A - 一种访问控制方法、装置、设备及计算机存储介质 - Google Patents

Abstract

本发明实施例提供了一种访问控制方法、装置、设备及计算机存储介质，其中方法包括：接收第一访问请求；获取第一访问请求的至少一个上下文参数；根据至少一个上下文参数确定第一访问请求的第一风险评估值；若第一风险评估值满足第一信用评价值，则允许第一访问请求继续访问，第一信用评价值根据上次接收到第二访问请求时，获取到的第二访问请求的至少一个上下文参数信息确定。本发明实施例提供的访问控制方法对于不同用户所发起的访问或操作请求，能够实现灵活管控。

Description

一种访问控制方法、装置、设备及计算机存储介质

技术领域

本发明属于信息安全领域，尤其涉及一种访问控制方法、装置、设备及计算机存储介质。

背景技术

访问控制指防止对任何资源进行未授权的访问，从而使计算机系统在合法的范围内使用。目前，为了简化理员日常维护的工作量，通过设置基于角色访问控制的方法，将角色和相应的用户集合与权限集合绑定在一起，即为角色设置权限，当用户被绑定角色后，用户就可以得到角色所关联的权限。

但是，目前的访问控制方法，在判定访问行为是否需要管控时，仅通过是否有权限作为唯一衡量条件，对不同用户所发起的访问或操作请求，难以实现灵活管控。

发明内容

本发明实施例提供一种访问控制方法、装置、设备及计算机存储介质对于不同用户所发起的访问或操作请求，能够实现灵活管控。

第一方面，本发明实施例提供一种访问控制方法，方法包括：

接收第一访问请求；

获取第一访问请求的至少一个上下文参数；

根据至少一个上下文参数确定第一访问请求的第一风险评估值；

若第一风险评估值满足第一信用评价值，则允许第一访问请求继续访问，第一信用评价值根据上次接收到第二访问请求时，根据第二访问请求的至少一个上下文参数信息确定。

在第一方面的一些可实现方式中，根据至少一个上下文参数确定第一访问请求的第一风险评估值，包括：

根据上下文参数对应的风险值和风险评价标准值，判断第一访问请求是否为风险请求；

当第一访问请求为风险请求时，获取第一访问请求的第一风险评估值；

当第一访问请求为非风险请求时，允许第一访问请求继续访问。

在第一方面的一些可实现方式中，获取第一访问请求的第一风险评估值，包括：

获取第一访问请求的访问参数；

根据访问参数，确定第一访问请求对应的风险评估模型；

根据风险评估模型，对第一访问请求进行风险评估，得到至少一个第二风险评估值；

从至少一个第二风险评估值中获取一个第一风险评估值。

在第一方面的一些可实现方式中，在判断为允许第一访问请求继续访问之后，方法还包括：

根据第一风险评估值和第一信用评价值，确定第一访问请求的信用评价结果；

根据第一信用评价值、信用评价结果和预设评价影响系数，计算第一访问请求的第二信用评价值，第二信用评价值用于在接收到第三访问请求时，判断是否允许第三访问请求继续访问。

在第一方面的一些可实现方式中，根据上下文参数对应的风险值和风险评价标准值，判断第一访问请求是否为风险请求，包括：

获取每个上下文参数的对应的风险值和风险评价标准值；

根据每个风险评价值和风险评价标准值，当至少一个上下文参数满足风险评价条件时，判断第一访问请求为风险请求；

根据风险评价值和风险评价标准值，当至少一个上下文参数不满足风险评价条件时，判断第一访问请求为非风险请求。

在第一方面的一些可实现方式中，根据访问参数，确定第一访问请求对应的风险评估模型，包括：

根据访问参数，确定第一访问请求的访问场景；

根据访问场景，确定第一访问请求对应的风险评估模型。

在第一方面的一些可实现方式中，风险评估模型包括风险评估参数，风险评估参数包括：访问场景的访问价值、访问场景的访问威胁值、访问场景的访问脆弱值、访问场景的发生损坏概率。

第三方面，本发明提供一种访问控制装置，装置包括：

接收模块，用于接收第一访问请求；

获取模块，用于获取第一访问请求的至少一个上下文参数；

风险评估模块，用于根据至少一个上下文参数确定第一访问请求的第一风险评估值；

访问控制模块，用于若第一风险评估值满足第一信用评价值，则允许第一访问请求继续访问，第一信用评价值根据上次接收到第二访问请求时，获取到的第二访问请求的至少一个上下文参数信息确定。

第三方面，本发明提供一种访问控制设备，该设备包括：处理器以及存储有计算机程序指令的存储器；处理器执行计算机程序指令时实现第一方面或者第一方面任一可实现方式中所述的访问控制方法。

第四方面，本发明提供一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序指令，计算机程序指令被处理器执行时实现第一方面或者第一方面任一可实现方式中所述的访问控制方法。

本发明实施例提供了一种访问控制方法，在接收到访问主体的第一访问请求之后，获取第一访问请求的至少一个第一上下文参数，基于第一上下文参数确定访问主体针对访问客体的访问行为是否存在风险，当访问行为存在风险时，通过计算第一访问请求的第一风险评估值，以及上次风险评估计算得到第一信用评价条件，进行判断是否允许第一访问请求，实现对访问控制的实现灵活管控。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单的介绍，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种访问控制方法的流程示意图；

图2是本发明实施例提供的另一种访问控制方法的流程示意图；

图3是本发明实施例提供的一种访问控制装置的结构示意图；

图4是本发明实施例提供的一种访问控制设备的结构示意图。

具体实施方式

下面将详细描述本发明的各个方面的特征和示例性实施例，为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及具体实施例，对本发明进行进一步详细描述。应理解，此处所描述的具体实施例仅被配置为解释本发明，并不被配置为限定本发明。对于本领域技术人员来说，本发明可以在不需要这些具体细节中的一些细节的情况下实施。下面对实施例的描述仅仅是为了通过示出本发明的示例来提供对本发明更好的理解。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。

访问控制指防止对任何资源进行未授权的访问，从而使计算机系统在合法的范围内使用。

针对访问控制实现的核心思想是系统给访问主体标记凭证。凭证包括两部分内容：管理对象特征描述，管理手段。当主体对客体发起访问或操作请求时，系统判断主体是否拥有凭证。如果无凭证，则直接拦截。有凭证时，根据凭证完成放行或者拦截。

凭证的一种落地方式是权限。其只包含了凭证中的对象特征，默认管理策略是允许放行。例如菜单权限，操作权限，数据权限等。代表实现方法就是基于角色访问控制，不将权限直接授予用户。将角色和相应的用户集合与权限集合绑定在一起，即为角色设置权限，当用户被绑定角色后，用户就可以得到角色所关联的权限。

通过这种实现方式，一方面，不需要在每位用户(即访问主体)新增时，都进行一次权限分配操作，只需将用户和角色绑定。另一方面，当具体权限出现新增、修改、删除时，也无需为每个相关用户进行权限变更操作，而只需通过角色进行权限变更操作。

但是，目前的访问控制方法，在判定访问行为是否需要管控时，对于不同用户所发起的访问或操作请求，仅将是否有权限作为唯一衡量条件，难以实现灵活管控，尤其是未将行为人或操作用户的自身可信度因素作为参考在安全上存在威胁。

针对于此，本发明实施例提供了一种访问控制方法、装置、设备和计算机可读存储介质，基于用户应用访问的上下文，实现行为风险和用户信用持续性的权衡，基于权衡结果，动态决定针对当前用户行为是拦截还是放行，并对于用户信用评价同步进行联动调整。

在介绍本发明的具体实施方式之前，首先介绍描述本发明实施方式时用到的技术术语。

上下文，包含访问行为本身及访问操作相互联系，相关内容会成为风险评估依据。访问行为包括访问动作、访问对象、访问内容、访问发起端信息、网络接入信息、访问时间信息、访问发生端信息等。其中，相互关系指当前访问行为与会话中其他行为的关系，包括时间顺序关系、对象转换关系、数量与频次关系等。

风险，指用户访问应用系统所可能导致的安全代价的不确定性。

信任，指系统对于用户访问应用系统所可能导致的安全代价的最大承受度。

可持续性，指对于风险和信任权衡过程在每次操作发起与操作结果产生之间都被执行。

通过可持续性的风险信任权衡方法，可以更加精准得实现访问控制，提升网络应用系统及所含数据的安全性。

下面结合附图对本发明实施例所提供的访问控制方法进行介绍。

图1示出了本发明一个实施例提供的访问控制方法的流程示意图。如图1所示，该方法可以包括以下步骤：

S110、接收第一访问请求。

在本发明实施例S110中，可以通过定义能够感知用户(即访问主体)访问行为的插件，在用户访问时，能够实时感知用户的第一访问请求，完成实时高效的访问请求感知和拦截。

主流浏览器例如IE、Firefox、Chrome、Safari等，均提供了开发扩展支持。以Chrome举例，通过调用相关APIs能够高效实时的实现与其内核间数据获取、消息通讯、指令传递，在确保管控手段准确实现的同时最大程度降低对于业务连续性的影响。

接下来执行S120。

S120、获取第一访问请求的至少一个上下文参数。

在本发明实施例S120中，响应于用户上的第一访问请求，第一访问请求的至少一个上下文参数可以包含访问行为本身及访问操作相互联系，并将相关内容作为风险评估依据。

在一些实施例中，至少一个上下文参数可以包括一个上下文参数的集合(ContextParaSet)。其中，ContextParaSet＝{ContextPara1，ContextPara2，ContextPara3，…，ContextParan}，n≥1，n为整数。

其中，ContextPara指上下文参数，表示与访问控制相关的安全属性。上下文参数(ContextPara)包括参数名称(ParaName)和参数类型(ParaType)。

参数名称(ParaName)是指涉及风险与信任可持续性权衡的上下文参数名。

参数类型(ParaType)是指涉及风险与信任可持续性权衡的上下文参数类型。

在一些实施例中，对于一个上下文参数的集合(ContextParaSet)中，对于

j，i≠j，ContextParai≠ContextParaj，其中，0<i<n，0<j<n。也就是说，为了提高计算效率可以将上下文参数中重复的上下文剔除，相同的上下文参数可以只保留一个。

在本发明实施例S120中，在采集到上下文参数进行处理时，由于全程在本地处理，不存在网络传输，可以有效避免利用网络侧篡改导致的管控被欺骗。

在获得对应第一访问请求的上下文参数后，接下来执行S130。

S130、根据至少一个上下文参数确定第一访问请求的第一风险评估值。

在一些实施例中，根据至少一个上下文参数确定第一访问请求的第一风险评估值，可以根据上下文参数对应的风险值和风险评价标准值，判断第一访问请求是否为风险请求；当第一访问请求为风险请求时，获取第一访问请求的第一风险评估值；当第一访问请求为非风险请求时，允许第一访问请求继续访问。

在一些实施例中，根据上下文参数对应的风险值和风险评价标准值，判断第一访问请求是否为风险请求，可以获取每个上下文参数的对应的风险值和风险评价标准值；根据每个风险评价值和风险评价标准值，当至少一个上下文参数满足风险评价条件时，判断第一访问请求为风险请求；根据风险评价值和风险评价标准值，当至少一个上下文参数不满足风险评价条件时，判断第一访问请求为非风险请求。

示例性的，每个上下文参数对应的风险值时，可以根据访问函数getValue()，提取ContexPara中的当前值。每个上下文参数对应的风险评价标准值，可以预先在系统内设置。

可选的，根据每个风险评价值和风险评价标准值，根据风险评价条件ContextAssertion＝<ContextPara><OP><value>对第一访问请求进行判断。

其中，ContextAssertion定义为上下文断言，指对当前上下文参数的一个判断结果，判断结果可以设置为用布尔型值表示，即ContextAssertion∈(true，false)，当值为ture时，认为第一访问请求存在风险，需要进一步做风险评估，当值为false时，认为第一访问请求不存在风险，即非风险请求，并允许第一方请求继续访问。

<value>指每个上下文参数对应的风险评价标准值

<OP>指操作符，OP∈{＝,≠,<,≤,>,≥,…}，在对第一访问请求进行判断时，包括获取预先设置的每个上下文参数对应的操作符。

在确定第一访问请求存在风险，可以根据第一访问请求的风险评估模型确定第一访问请求的第一风险评估值。

在获得第一访问请求的风险评估值后，接下来可以执行S140。

S140、若第一风险评估值满足第一信用评价值，则允许第一访问请求继续访问。

第一信用评价值根据上次接收到第二访问请求时，根据第二访问请求的至少一个上下文参数信息确定。

其中，第二访问请求是在第一方请求之前在访问主体对系统进行访问时，计算获得的。

在本发明实施例S140中，根据第一信用评价值T1对第一访问请求的第一风险评估值R1进行风险评估，判断是否允许第一访问请求继续访问。

示例性的，若第一风险评估值R1<第一信用评价值T1，则说明第一访问请求的第一风险评估值R1满足第一信用评价值T1，对第一访问请求的判断结果为信任，记为J＝1，允许第一访问请求继续访问。

若第一风险评估值R1≥第一信用评价值T1，则说明第一访问请求满足第一信用评价值存在风险，记为J＝0，判断对第一访问请求的判断结果为不信任，并阻止第一访问请求继续访问。

通过本发明实施例提供的访问控制方法，在接收到访问主体的第一访问请求之后，获取第一访问请求的至少一个第一上下文参数，基于第一上下文参数确定访问主体针对访问客体的访问行为是否存在风险，当访问行为存在风险时，通过计算第一访问请求的第一风险评估值，以及上次风险评估计算得到第一信用评价条件，进行判断是否允许第一访问请求，实现对访问控制的实现灵活管控。

为了更好的实现可持续性的对访问请求进行风险评估，在判断为允许第一访问请求继续访问之后，还可以包括以下步骤：根据第一风险评估值和第一信用评价值，确定第一访问请求的信用评价结果；根据第一信用评价值、信用评价结果和预设评价影响系数，计算第一访问请求的第二信用评价值，第二信用评价值用于在接收到第三访问请求时，判断是否允许第三访问请求继续访问。

基于第一风险评估值和第一信用评价值，确定第一访问请求的信用评价结果J，根据公式(1)计算得到第一访问请求的第二信用评价值T2。

T2＝T1*(1-a(1-J)) (1)

其中，a为预设评价影响系数，T1为第二访问请求的信用评价值，J为第一访问请求的信用评价结果J。

示例性的，若信用评价值a赋值为10％，根据公式(1)，当第一访问请求为非风险请求(J＝1)，则第二信用评价值T2＝T1*(1-10％(1-1))＝T1，因此，对于访问主体对系统的第一访问请求并不会引起信用评价值的降低。

根据公式(1)，当第一访问请求为风险请求(J＝0)，则第二信用评价值T2＝T1*(1-10％(1-0))＝0.9T1。因此，由于第一访问请求存在风险，所以，对于访问主体对系统的第一访问请求会导致信用评价值的降低。该访问主体的对系统再次访问时，访问权限会受到限缩，实现灵活管理对于不同访问主体的访问权限。

可以理解的是，信用评价是指系统基于当前上下文对于访问主体通过经验进行的可信度评价，其量化结果记为信用评价值T。在访问主体首次进行访问之前，可以由管理人员对于可能访问主体进行预先设置信用评价值，作为访问主体在首次访问时的风险评价依据。

通过本发明实施例提供的访问控制方法，实现可持续性的对访问请求进行风险评估，同时，将持续操作产生的风险计入权衡因素，实现针对复杂会话的进行灵活的访问控制，而不仅仅是单一权限进行控制，可以为访问场景提供安全控制与业务连续的最佳平衡点。

图2示出了本发明一个实施例提供的另一访问控制方法的流程示意图。如图2所示，该方法可以包括以下步骤：

S210、接收第一访问请求。

作为一个具体的实例，通过定义能够感知用户访问行为的插件，在用户(即访问主体)访问时，能够实时感知访问主体的第一访问请求，完成实时高效的访问请求感知和拦截。主流浏览器例如IE、Firefox、Chrome、Safari等，均提供了开发扩展支持。

示例性，在定义插件时，插件至少需要包括网络请求监听能力和网络请求阻塞放行。

以Chrome举例，具体对应为：Chrome.webRequest

通过对其申明，借以获取对其本身的使用权限以及一定的主机权限，具体如下：

webRequest API中可以定义一组遵循web请求生命周期的事件。通过使用这些事件可以观察和分析流量。其中部分同步事件允许对于请求进行拦截、阻止或修改请求。

示例性的，对事件的定义可以如表1所示。

表1

基于上述事件被触发，获知访问主体的第一访问请求，接下来执行S220。

S220、获取第一访问请求的至少一个上下文参数。

其中，S220与图1所示的访问控制方法的流程中S120一致，在此不再赘述。

S231、获取第一访问请求的访问参数。

访问参数可以包括当前访问用户(即访问主体)、访问统一资源定位系统(UniformResource Locator，URL)、客户端网际互连协议(Internet Protocol，IP)和访问时间等。

S232、根据访问参数，确定第一访问请求对应的风险评估模型。

在本发明实施例S232中，根据访问参数，可以确定第一访问请求的访问场景；根据访问场景，确定第一访问请求对应的风险评估模型。

结合第一访问请求的访问参数，可以确定访问主体当前访问行为所涉及的具体业务，对应该业务获取评估第一访问请求的风险评估模型。

风险评估模型包括风险评估参数，风险评估参数包括：访问场景的访问价值、访问场景的访问威胁值、访问场景的访问脆弱值、访问场景的发生损坏概率。

其中，风险评估模型可以由管理人员对于具体业务可能受到的威胁，针对不同威胁，根据实际情况确定出发生概率。同时，对于具体业务的重要性、漏洞、威胁、发生概率按照级别进行划分，并根据不同级别赋以不同的数值，建立风险评估模型，为后续量化计算获得第一风险评估值提供依据。

示例性的，当访问主体的第一访问请求，第一访问请求的访问参数，确定第一访问请求对应的风险评估模型可以包括：

访问场景的访问价值b(Business)可以从高到低分为三个等级，高、中、低，赋值为3、2、1。

访问场景的访问威胁值t(Threaten)可以从高到低分为三个等级，高、中、低，赋值为3、2、1。

访问场景的访问脆弱值v(Leak)可以从高到低分为三个等级，高、中、低，赋值为3、2、1。

访问场景的发生损坏概率p(Probability)可以从高到低分为10个等级，从1-10。分别对应0％-9％，10％-19％，20％-29％，30％-39％，40％-49％，50％-59％，60％-69％，70％-79％，80-89％，90-100％。

S233、根据风险评估模型，对第一访问请求进行风险评估，得到至少一个第二风险评估值。

获得至少一个第二风险评估值可以包括以下步骤：

首先，根据访问威胁值t和访问脆弱值v计算获得访问场景的潜在损坏度C(Compromise Rating)，可以根据公式C＝f1(t，v)＝(t+v)-1计算获得。

具体计算数值如表2所示。

表2

在本发明实施例中，当发生损坏时，产生的影响I(Influence)即取决于潜在损坏度C，也取决于访问价值b，可以根据公式I＝f2(C，b)＝C*b计算获得。

根据表2可知，第一访问请求所访问的访问场景，潜在损坏度C可以记为C∈{1，2，3，4，5}。

其中，在计算影响I时，损坏度根据当前损坏度与最大损坏度的比进行体现，例如：具体包括：0.2(1)，0.4(2)，0.6(3)，0.8(4)，1(5)。

接下来，计算影响I，具体计算数值如表3示。

表3

根据表3可知，第一访问请求所访问的访问场景，发生损坏时的影响I量化结果可以记为I∈{0.2，0.4，0.6，0.8，1，1.6，2，2.4，3}。

最后，由于风险评估值，即取决于产生的影响I，也取决于发生的概率P。可以根据公式R＝f3(I，p)＝I*P计算获得。

风险评估值的具体计算数值如表4所示。

表4

结合表4所示，根据第一访问请对应的风险评估模型可以计算获得多个第二风险评估值。

S234、从至少一个第二风险评估值中获取一个第一风险评估值。

在本发明实施例在S234中，可以从多个第二风险评估值中选择最大的风险评估值作为第一访问请的第一风险评估值。

在获得风险评估值以后，可以执行S240。

S240、若第一风险评估值满足第一信用评价值，则允许第一访问请求继续访问。

第一信用评价值根据上次接收到第二访问请求时，根据第二访问请求的至少一个上下文参数信息确定。

其中，S240与图1所示的访问控制方法的流程中S140一致，在此不再赘述。

通过本发明实施例提供的访问控制方法，在接收到访问主体的第一访问请求之后，还包括获取第一访问请求的访问参数，根据访问参数确定第一访问请求的风险评估模型，通过计算第一访问请求的第一风险评估值，实现对于访问主体的第一访问请求的访问行为的全方位风险评价。进一步的，结合上次风险评估计算得到第一信用评价条件，进行判断是否允许第一访问请求，实现对访问控制的灵活管控。

图3是本发明实施例提供的一种访问控制装置的结构示意图，如图3所示，该访问控制装置300可以包括：接收模块310、获取模块320、风险评估模块330、访问控制模块340。

接收模块310，用于接收第一访问请求。

获取模块320，用于获取第一访问请求的至少一个上下文参数。

风险评估模块330，用于根据至少一个上下文参数确定第一访问请求的第一风险评估值。

访问控制模块340，用于若第一风险评估值满足第一信用评价值，则允许第一访问请求继续访问，第一信用评价值根据上次接收到第二访问请求时，获取到的第二访问请求的至少一个上下文参数信息确定。

在一些实施例中，风险评估模块330，还用于根据上下文参数对应的风险值和风险评价标准值，判断第一访问请求是否为风险请求；当第一访问请求为风险请求时，获取第一访问请求的第一风险评估值；当第一访问请求为非风险请求时，允许第一访问请求继续访问。

在一些实施例中，风险评估模块330，还用于获取第一访问请求的访问参数；根据访问参数，确定第一访问请求对应的风险评估模型；根据风险评估模型，对第一访问请求进行风险评估，得到至少一个第二风险评估值；从至少一个第二风险评估值中获取一个第一风险评估值。

在一些实施例中，该访问控制装置300还可以包括可以持续评估模块，用于根据第一风险评估值和第一信用评价值，确定第一访问请求的信用评价结果；根据第一信用评价值、信用评价结果和预设评价影响系数，计算第一访问请求的第二信用评价值，第二信用评价值用于在接收到第三访问请求时，判断是否允许第三访问请求继续访问。

在一些实施例中，风险评估模块330，还用于获取每个上下文参数的对应的风险值和风险评价标准值；根据每个风险评价值和风险评价标准值，当至少一个上下文参数满足风险评价条件时，判断第一访问请求为风险请求；根据风险评价值和风险评价标准值，当至少一个上下文参数不满足风险评价条件时，判断第一访问请求为非风险请求。

在一些实施例中，风险评估模块330，还用于根据访问参数，确定第一访问请求的访问场景；根据访问场景，确定第一访问请求对应的风险评估模型。

在一些实施例中，风险评估模型包括风险评估参数，风险评估参数包括：访问场景的访问价值、访问场景的访问威胁值、访问场景的访问脆弱值、访问场景的发生损坏概率。

可以理解的是，本发明实施例的访问控制装置300，可以对应于本发明实施例所描述的访问控制方法的执行主体，访问控制装置300的各个模块/单元的操作和/或功能的具体细节可以参见上述本发明实施例所提供的访问控制方法中的相应部分的描述，为了简洁，在此不再赘述。

本发明实施例的访问控制装置，在接收到访问主体的第一访问请求之后，获取第一访问请求的至少一个第一上下文参数，基于第一上下文参数确定访问主体针对访问客体的访问行为是否存在风险，当访问行为存在风险时，通过计算第一访问请求的第一风险评估值，以及上次风险评估计算得到第一信用评价条件，进行判断是否允许第一访问请求，实现对访问控制的实现灵活管控。

本发明实施例的访问控制装置，在接收到访问主体的第一访问请求之后，还包括获得第一访问请求的访问参数，根据访问参数确定第一访问请求的风险评估模型，通过计算第一访问请求的第一风险评估值，实现对于访问主体的第一访问请求的访问行为的全方位风险评价。进一步的，结合上次风险评估计算得到第一信用评价条件，进行判断是否允许第一访问请求，实现对访问控制的实现灵活管控。

本发明实施例的访问控制装置，实现了可持续性的对访问请求进行风险评估，同时，将持续操作产生的风险计入权衡因素，实现针对复杂会话的进行灵活的访问控制，而不仅仅是单一权限进行控制，可以为访问场景提供安全控制与业务连续的最佳平衡点。

图4是本发明实施例提供的一种访问控制设备的硬件结构示意图。

如图4所示，本实施例中的访问控制设备400包括输入设备401、输入接口402、中央处理器403、存储器404、输出接口405、以及输出设备406。其中，输入接口402、中央处理器403、存储器404、以及输出接口405通过总线410相互连接，输入设备401和输出设备406分别通过输入接口402和输出接口405与总线410连接，进而与访问控制设备400的其他组件连接。

具体地，输入设备401接收来自外部的输入信息，并通过输入接口402将输入信息传送到中央处理器403；中央处理器403基于存储器404中存储的计算机可执行指令对输入信息进行处理以生成输出信息，将输出信息临时或者永久地存储在存储器404中，然后通过输出接口405将输出信息传送到输出设备406；输出设备406将输出信息输出到访问控制设备400的外部供用户使用。

也就是说，图4所示的访问控制设备也可以被实现为包括：存储有计算机可执行指令的存储器；以及处理器，该处理器在执行计算机可执行指令时可以实现结合本发明实施例描述的访问控制方法。

在一个实施例中，图4所示的访问控制设备400包括：存储器404，用于存储程序；处理器403，用于运行存储器中存储的程序，以执行本发明实施例描述的访问控制方法。

本发明实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序指令；该计算机程序指令被处理器执行时实现本发明实施例描述的访问控制方法。

需要明确的是，本发明并不局限于上文所描述并在图中示出的特定配置和处理。为了简明起见，这里省略了对已知方法的详细描述。在上述实施例中，描述和示出了若干具体的步骤作为示例。但是，本发明的方法过程并不限于所描述和示出的具体步骤，本领域的技术人员可以在领会本发明的精神后，做出各种改变、修改和添加，或者改变步骤之间的顺序。

以上所述的结构框图中所示的功能块可以实现为硬件、软件、固件或者它们的组合。当以硬件方式实现时，其可以例如是电子电路、专用集成电路(Application SpecificIntegrated Circuit，ASIC)、适当的固件、插件、功能卡等等。当以软件方式实现时，本发明的元素是被用于执行所需任务的程序或者代码段。程序或者代码段可以存储在机器可读介质中，或者通过载波中携带的数据信号在传输介质或者通信链路上传送。“机器可读介质”可以包括能够存储或传输信息的任何介质。机器可读介质的例子包括电子电路、半导体存储器设备、只读存储器(Read-Only Memory，ROM)、闪存、可擦除ROM(EROM)、软盘、CD-ROM、光盘、硬盘、光纤介质、射频(Radio Frequency，RF)链路，等等。代码段可以经由诸如因特网、内联网等的计算机网络被下载。

还需要说明的是，本发明中提及的示例性实施例，基于一系列的步骤或者装置描述一些方法或系统。但是，本发明不局限于上述步骤的顺序，也就是说，可以按照实施例中提及的顺序执行步骤，也可以不同于实施例中的顺序，或者若干步骤同时执行。

上面参考根据本公开的实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本公开的各方面。应当理解，流程图和/或框图中的每个方框以及流程图和/或框图中各方框的组合可以由计算机程序指令实现。这些计算机程序指令可被提供给通用计算机、专用计算机、或其它可编程数据处理装置的处理器，以产生一种机器，使得经由计算机或其它可编程数据处理装置的处理器执行的这些指令使能对流程图和/或框图的一个或多个方框中指定的功能/动作的实现。这种处理器可以是但不限于是通用处理器、专用处理器、特殊应用处理器或者现场可编程逻辑电路。还可理解，框图和/或流程图中的每个方框以及框图和/或流程图中的方框的组合，也可以由执行指定的功能或动作的专用硬件来实现，或可由专用硬件和计算机指令的组合来实现。

以上所述，仅为本发明的具体实施方式，所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的系统、模块和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。应理解，本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种访问控制方法，其特征在于，包括：

接收第一访问请求；

获取所述第一访问请求的至少一个上下文参数；

根据所述至少一个上下文参数确定所述第一访问请求的第一风险评估值；

若所述第一风险评估值满足第一信用评价值，则允许所述第一访问请求继续访问，所述第一信用评价值根据上次接收到第二访问请求时，根据所述第二访问请求的至少一个上下文参数信息确定。

2.根据权利要求1所述的方法，其特征在于，根据所述至少一个上下文参数确定所述第一访问请求的第一风险评估值，包括：

根据所述上下文参数对应的风险值和风险评价标准值，判断所述第一访问请求是否为风险请求；

当所述第一访问请求为风险请求时，获取所述第一访问请求的第一风险评估值；

当所述第一访问请求为非风险请求时，允许所述第一访问请求继续访问。

3.根据权利要求2所述的方法，其特征在于，所述获取所述第一访问请求的第一风险评估值，包括：

获取所述第一访问请求的访问参数；

根据所述访问参数，确定所述第一访问请求对应的风险评估模型；

根据所述风险评估模型，对所述第一访问请求进行风险评估，得到至少一个第二风险评估值；

从所述至少一个第二风险评估值中获取一个第一风险评估值。

4.根据权利要求1所述的方法，其特征在于，在所述判断为允许所述第一访问请求继续访问之后，所述方法还包括：

根据所述第一风险评估值和第一信用评价值，确定所述第一访问请求的信用评价结果；

根据所述第一信用评价值、信用评价结果和预设评价影响系数，计算所述第一访问请求的第二信用评价值，所述第二信用评价值用于在接收到第三访问请求时，判断是否允许所述第三访问请求继续访问。

5.根据权利要求2所述的方法，其特征在于，所述根据所述上下文参数对应的风险值和风险评价标准值，判断所述第一访问请求是否为风险请求，包括：

获取每个所述上下文参数的对应的风险值和风险评价标准值；

根据每个所述风险评价值和所述风险评价标准值，当至少一个所述上下文参数满足风险评价条件时，判断所述第一访问请求为风险请求；

根据所述风险评价值和所述风险评价标准值，当所述至少一个上下文参数不满足风险评价条件时，判断所述第一访问请求为非风险请求。

6.根据权利要求3所述的方法，其特征在于，所述根据所述访问参数，确定所述第一访问请求对应的风险评估模型，包括：

根据所述访问参数，确定所述第一访问请求的访问场景；

根据所述访问场景，确定所述第一访问请求对应的风险评估模型。

7.根据权利要求6所述的方法，其特征在于，所述风险评估模型包括风险评估参数，所述风险评估参数包括：所述访问场景的访问价值、所述访问场景的访问威胁值、所述访问场景的访问脆弱值、所述访问场景的发生损坏概率。

8.一种访问控制装置，其特征在于，所述装置包括：

接收模块，用于接收第一访问请求；

获取模块，用于获取所述第一访问请求的至少一个上下文参数；

风险评估模块，用于根据所述至少一个上下文参数确定所述第一访问请求的第一风险评估值；

访问控制模块，用于若所述第一风险评估值满足第一信用评价值，则允许所述第一访问请求继续访问，所述第一信用评价值根据上次接收到第二访问请求时，获取到的所述第二访问请求的至少一个上下文参数信息确定。

9.一种访问控制设备，其特征在于，所述设备包括：处理器，以及存储有计算机程序指令的存储器；

所述处理器读取并执行所述计算机程序指令，以实现如权利要求1-7任意一项所述的访问控制方法。

10.一种计算机存储介质，其特征在于，所述计算机存储介质上存储有计算机程序指令，所述计算机程序指令被处理器执行时实现如权利要求1-7任意一项所述的访问控制方法。

Images