CN112039867A - 基于abac属性补全的安全策略冲突检测与消除方法 - Google Patents

Abstract

本发明公开一种基于ABAC属性补全的安全策略冲突检测与消除方法，旨在对访问控制系统中ABAC安全策略的冲突进行检测并消除，一定程度上减少策略冲突对访问控制系统的维护和访问带来的影响。本发明的具体步骤为：在对所选两条安全策略中缺失的属性进行补全的基础上，通过对安全策略的操作、决策及属性类型的属性值域的判断检测冲突，计算两两安全策略之间的冲突概率，最后由安全管理员修改安全策略，消除冲突。本发明克服了现有技术构造策略树时消耗大量计算资源和静态冲突检测的范围较小的不足，使得本发明无需消耗大量资源，扩大了冲突检测的范围。

Description

基于ABAC属性补全的安全策略冲突检测与消除方法

技术领域

本发明属于计算机技术领域，更进一步涉及计算机网络安全技术领域中的一种基于属性访问控制模型ABAC(Attribute Based Access Control)属性补全的安全策略冲突检测与消除方法。本发明可用于对访问控制系统中ABAC安全策略的冲突进行检测，系统管理员根据检测结果对策略进行修改，消除冲突策略，一定程度上减少策略冲突对访问控制系统的维护和访问带来的影响。

背景技术

访问控制技术是信息系统中对资源进行保护的一种方式，是信息安全技术的重要组成部分。访问控制通过预先定义的访问控制策略决定是否授予主体对资源的访问权限，其本质是校验主体对信息资源访问的合法性，阻止非法的主体对系统中资源的访问。针对开放，共享的分布式系统，ABAC模型使用属性对访问控制中主体、资源、环境、授权等相关实体进行统一描述，通过不同属性的组合描述更加复杂的访问控制策略，使策略具有强大的表达能力。然而，对于策略集规模庞大的系统，安全策略定义的属性值区间容易产生重合的属性值域，因此安全策略之间的冲突频繁发生，系统无法对访问请求进行正确授权，系统安全将受到威胁。对安全策略进行冲突检测分为两类：动态检测和静态检测。动态检测方法依赖访问请求，在运行时进行冲突检测，会造成较大的系统开销。而静态检测方法不依赖于请求的生成，系统管理员能够预先检测系统中的策略冲突，对安全策略进行修改，从而降低对访问控制系统访问的影响。对于安全策略进行静态冲突检测有如下方法：

R.A.Shaikh和K.Adi在其发表的论文“A data classification method forinconsistency and incompleteness detection in access control policy sets”(《International Journal of Information Security》，2017，91-113)中提出了一种基于数据分类算法的不一致性和不完整性访问控制策略的检测方法。该方法的具体步骤是：第一，对策略数据集进行解析，将策略中的属性值按照主体、客体、操作、权限的顺序进行排序。第二，基于改进的C4.5算法对每个属性计算信息增益率，划分最低增益率的属性，构造策略树。第三，根据第二步中的策略树进行异常检测。若策略树中的叶子节点包含一个以上的权限属性，说明同一条请求产生了不一致的决策；若策略树中的叶子节点不包含任何一个权限属性，说明策略集不完整。该方法存在的不足之处是：由于该方法需要通过构造策略树来进行冲突检测，对于安全策略规模庞大的访问控制系统消耗大量的计算资源；由于该方法中策略中只定义了一个主体的属性，因此难以适用于具有多种属性主体的策略冲突检测。

电子科技大学和中国工程物理研究院计算机应用研究所在其共同申请的专利文献“基于Hicuts算法的安全策略冲突检测及消除方法”(专利申请号201610989694.5，授权公告号CN 106453387 B)中公开了一种基于Hicuts算法的安全策略冲突检测及消除方法。该方法的具体步骤是：该方法检测的安全策略的规则包括五元组和动作，使用Hicuts算法的分类方式，对安全策略的规则进行分类，生成一颗关于规则的分类决策树；对分类决策树的同一叶子节点的规则进行修改，消除冲突。该方法存在的不足之处是：该方法检测的安全策略的规则包括五元组和动作，是属于具有完全相同的属性并且相同的属性类型的值域有交集的特殊规则对，因此该方法静态冲突检测范围小，仅适用于检测具有完全相同的属性并且相同的属性类型的值域有交集的一对策略之间的冲突。然而，由于ABAC安全策略的灵活性，访问控制系统策略中的属性并不完全相同，因此，该方法不适用于具有不同的属性的安全策略的冲突检测。另外该方法没有计算两两安全策略之间的冲突概率，无法量化安全策略发生冲突的可能性。

综上所述，目前的现有技术一是依赖访问请求在系统运行时进行动态冲突检测，但该类方法消耗系统运行资源，降低系统效率，影响用户对系统的安全访问。二是系统管理员预先利用不同技术对系统安全策略库进行冲突检测，通过冲突检测结果消除冲突策略。然而基于分类的静态冲突检测方法在构造策略树时消耗大量计算资源，使冲突检测效率受到影响；基于Hicuts算法的安全策略冲突检测及消除方法只针对于特定的策略，静态冲突检测的范围较小，系统中仍存在大量的冲突策略无法被检测，仍然会造成访问控制系统安全问题。

发明内容

本发明的目的在于针对上述现有技术的不足，提出一种基于ABAC属性补全的安全策略冲突检测与消除方法，用于解决冲突检测方法中检测的范围较小的问题，并且提出一种计算两两安全策略之间的冲突概率的方式。

实现本发明目的的技术思路是，相同的属性类型的属性值域具有交集，导致一条访问请求同时匹配两条安全策略，对于相同的操作却执行不同的决策，这是安全策略发生冲突的原因，计算所选两条安全策略中所有的属性值域有交集的属性类型的重合率，从而达到计算冲突概率的目的。另外，ABAC安全策略高度灵活的原因在于可以使用任意数量的属性对主体、客体和环境进行表示，对于没有安全策略中没有表示的属性，意味着具有该属性的属性值域集合中任意属性值的请求都可以匹配这条安全策略，因此，对于安全策略中属性不完全相同的策略，属性补全不会改变原有安全策略语义，并且可以使安全策略中的属性完全相同，从而扩大了检测的冲突的范围。

实现本发明的具体步骤如下：

(1)从待检测的安全策略的集合中随机选取两条未选过的安全策略，每个安全策略均包括主体属性集合、客体属性集合、环境属性集合、操作和决策；

(2)判断所选两条安全策略中的主体属性集合、客体属性集合、环境属性集合中的属性类型是否完全相同，若是，则执行步骤(3)；否则，执行步骤(8)；

(3)判断所选两条安全策略是否操作相同但决策相反，若是，则判定所选两条安全策略之间可能存在冲突后执行步骤(4)；否则，判定所选两条安全策略之间没有冲突后执行步骤(7)；

(4)判断相同属性类型的两条安全策略的属性值域是否有交集，若是，则判定所选两条安全策略之间存在冲突后执行步骤(5)；否则，判定所选两条安全策略之间没有冲突后执行步骤(7)；

(5)按照下式，计算所选两条安全策略之间的冲突概率；

其中，P表示所选两条安全策略之间的冲突概率，m表示所选两条安全策略中属性值域有交集的属性类型的总数，∏表示连乘符号，val₁表示所选第1条的安全策略中第i个属性类型的属性值域，∩表示交集符号，val₂表示所选第2条的安全策略中第i个属性类型的属性值域，A表示第i个属性类型的属性值域集合；

(6)消除冲突：

将检测出的冲突策略和冲突概率交付给安全管理员，由安全管理员对冲突检测结果中存在冲突的安全策略进行修改，消除冲突；

(7)判断是否选取完安全策略的集合中的所有安全策略，若是，则执行步骤(9)；否则，执行步骤(1)；

(8)对缺失的属性进行补全：

将缺失的属性类型的属性值域设置为该属性类型的属性值域集合，若缺失的属性类型为主体属性类型，将该属性加入到该安全策略的主体属性集合中，若缺失的属性类型为客体属性类型，将该属性加入到该安全策略的客体属性集合中；若缺失的属性类型为环境属性类型，将该属性加入到该安全策略的环境属性集合中之后执行步骤(3)；

(9)结束整个冲突检测和消除过程。

本发明与现有技术相比较具有如下优点：

第一，本发明计算两两安全策略之间的冲突概率，为管理员修改存在冲突的安全策略提供参考，修改冲突概率大的安全策略，使安全策略约束范围变小，克服了现有技术无法量化安全策略发生冲突的可能性的不足，使得本发明降低与其它安全策略发生冲突的概率。

第二，本发明将属性不完全相同的两条安全策略进行属性补全，扩大了冲突检测的范围，克服了现有技术构造策略树时消耗大量计算资源和静态冲突检测的范围较小的不足，使得本发明无需消耗大量资源，实现了对属性不完全相同的两条安全策略的冲突检测。

附图说明

图1是本发明的流程图。

具体实施方式

下面结合附图1对本发明做进一步描述。

步骤1，从待检测的安全策略的集合中随机选取两条未选过的安全策略，每个安全策略均包括主体属性集合、客体属性集合、环境属性集合、操作和决策。

安全策略表达形式如下：

R＝(S，O，E，op，d)

其中，R表示安全策略，S表示主体属性集合，O表示客体属性集合，E表示环境属性集合，op表示操作，d表示决策。

所述属性集合指的是安全策略中执行操作，做出决策所需要的属性的集合，其表达形式如下：

D＝＜AT＞＜OP＞＜VALUE＞

其中，F表示属性集合，x表示属性的个数，D_i表示第i个属性，∩表示逻辑与符号，D表示属性，＜AT＞表示属性类型，＜OP＞表示{≤,≥,＜,＞,＝,！＝}集合中的一个逻辑运算符，该集合可由用户添加自定义逻辑运算符，＜VALUE＞表示属性值，由＜OP＞＜VALUE＞定义的范围的集合表示属性值域。

若属性集合中的属性类型均为主体属性类型，则将该属性集合称为主体属性集合，若属性集合中的属性类型均为客体属性类型，则将该属性集合称为客体属性集合，若属性集合中的属性类型均为环境属性类型，则将该属性约束称为环境属性集合。

步骤2，判断所选两条安全策略中的主体属性集合、客体属性集合、环境属性集合中的属性类型是否完全相同，若是，则执行步骤3；否则，执行步骤8。

步骤3，判断所选两条安全策略是否操作相同但决策相反，若是，则判定所选两条安全策略之间可能存在冲突后执行步骤4；否则，判定所选两条安全策略之间没有冲突后执行步骤7。

步骤4，判断相同属性类型的两条安全策略的属性值域是否有交集，若是，则判定所选两条安全策略之间存在冲突后执行步骤5；否则，判定所选两条安全策略之间没有冲突后执行步骤7。

步骤5，按照下式，计算所选两条安全策略之间的冲突概率；

其中，P表示所选两条安全策略之间的冲突概率，m表示所选两条安全策略中属性值域有交集的属性类型的总数，Π表示连乘符号，val₁表示所选第1条的安全策略中第i个属性类型的属性值域，∩表示交集符号，val₂表示所选第2条的安全策略中第i个属性类型的属性值域，A表示第i个属性类型的属性值域集合。

步骤6，消除冲突：

将检测出的冲突策略和冲突概率交付给安全管理员，由安全管理员对冲突检测结果中存在冲突的安全策略进行修改，消除冲突。

步骤7，判断是否选取完安全策略的集合中的所有安全策略，若是，则执行步骤9；否则，执行步骤1。

步骤8，对缺失的属性进行补全：

将缺失的属性类型的属性值域设置为该属性类型的属性值域集合，若缺失的属性类型为主体属性类型，将该属性加入到该安全策略的主体属性集合中，若缺失的属性类型为客体属性类型，将该属性加入到该安全策略的客体属性集合中；若缺失的属性类型为环境属性类型，将该属性加入到该安全策略的环境属性集合中之后执行步骤3。

属性补全的具体定义如下：

一条给定的安全策略R＝(S，O，E，op，d)，其中S表示主体属性集合，O表示客体属性集合，E表示环境属性集合，op表示操作，d表示决策；对于安全策略R缺失的主体属性S_a，令S'＝S∩(S_a＝"#")，其中S'表示属性补全后的主体属性集合，∩表示逻辑与符号，#表示属性S_a的属性值域集合，生成新安全策略R'＝(S'，O，E，op，d)；R与R'是语义等价的策略；同理，该定义可以适用于客体属性和环境属性。

步骤9，结束整个冲突检测和消除过程。

Claims (2)

1.一种基于ABAC属性补全的安全策略冲突检测与消除方法，其特征是，计算两两安全策略之间的冲突概率，将属性不完全相同的两条安全策略进行属性补全；该方法的具体步骤如下：

(1)从待检测的安全策略的集合中随机选取两条未选过的安全策略，每个安全策略均包括主体属性集合、客体属性集合、环境属性集合、操作和决策；

(2)判断所选两条安全策略中的主体属性集合、客体属性集合、环境属性集合中的属性类型是否完全相同，若是，则执行步骤(3)；否则，执行步骤(8)；

(3)判断所选两条安全策略是否操作相同但决策相反，若是，则判定所选两条安全策略之间可能存在冲突后执行步骤(4)；否则，判定所选两条安全策略之间没有冲突后执行步骤(7)；

(4)判断相同属性类型的两条安全策略的属性值域是否有交集，若是，则判定所选两条安全策略之间存在冲突后执行步骤(5)；否则，判定所选两条安全策略之间没有冲突后执行步骤(7)；

(5)按照下式，计算所选两条安全策略之间的冲突概率；

其中，P表示所选两条安全策略之间的冲突概率，m表示所选两条安全策略中属性值域有交集的属性类型的总数，Π表示连乘符号，val₁表示所选第1条的安全策略中第i个属性类型的属性值域，∩表示交集符号，val₂表示所选第2条的安全策略中第i个属性类型的属性值域，A表示第i个属性类型的属性值域集合；

(6)消除冲突：

将检测出的冲突策略和冲突概率交付给安全管理员，由安全管理员对冲突检测结果中存在冲突的安全策略进行修改，消除冲突；

(7)判断是否选取完安全策略的集合中的所有安全策略，若是，则执行步骤(9)；否则，执行步骤(1)；

(8)对缺失的属性进行补全：

将缺失的属性类型的属性值域设置为该属性类型的属性值域集合，若缺失的属性类型为主体属性类型，将该属性加入到该安全策略的主体属性集合中，若缺失的属性类型为客体属性类型，将该属性加入到该安全策略的客体属性集合中；若缺失的属性类型为环境属性类型，将该属性加入到该安全策略的环境属性集合中之后执行步骤(3)；

(9)结束整个冲突检测和消除过程。

2.根据权利要求1所述的基于ABAC属性补全的安全策略冲突检测与消除方法，其特征在于，步骤(1)中所述的属性集合指的是安全策略中执行操作，做出决策所需要的属性的集合，其表达形式如下：

D＝＜AT＞＜OP＞＜VALUE＞

其中，F表示属性集合，x表示属性的个数，D_i表示第i个属性，∩表示逻辑与符号，D表示属性，＜AT＞表示属性类型，＜OP＞表示{≤,≥,＜,＞,＝,！＝}集合中的一个逻辑运算符，该集合可由用户添加自定义逻辑运算符，＜VALUE＞表示属性值，由＜OP＞＜VALUE＞定义的范围的集合表示属性值域；

若属性集合中的属性类型均为主体属性类型，则将该属性集合称为主体属性集合，若属性集合中的属性类型均为客体属性类型，则将该属性集合称为客体属性集合，若属性集合中的属性类型均为环境属性类型，则将该属性约束称为环境属性集合。

Images