CN112039867A - 基于abac属性补全的安全策略冲突检测与消除方法 - Google Patents

基于abac属性补全的安全策略冲突检测与消除方法 Download PDF

Info

Publication number
CN112039867A
CN112039867A CN202010871558.2A CN202010871558A CN112039867A CN 112039867 A CN112039867 A CN 112039867A CN 202010871558 A CN202010871558 A CN 202010871558A CN 112039867 A CN112039867 A CN 112039867A
Authority
CN
China
Prior art keywords
attribute
conflict
security
security policies
executing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010871558.2A
Other languages
English (en)
Inventor
刘刚
裴文贤
田玉敏
吴震平
刘晨
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xidian University
Original Assignee
Xidian University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xidian University filed Critical Xidian University
Priority to CN202010871558.2A priority Critical patent/CN112039867A/zh
Publication of CN112039867A publication Critical patent/CN112039867A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00Network architectures or network communication protocols for network security
    • H04L63/20Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开一种基于ABAC属性补全的安全策略冲突检测与消除方法,旨在对访问控制系统中ABAC安全策略的冲突进行检测并消除,一定程度上减少策略冲突对访问控制系统的维护和访问带来的影响。本发明的具体步骤为:在对所选两条安全策略中缺失的属性进行补全的基础上,通过对安全策略的操作、决策及属性类型的属性值域的判断检测冲突,计算两两安全策略之间的冲突概率,最后由安全管理员修改安全策略,消除冲突。本发明克服了现有技术构造策略树时消耗大量计算资源和静态冲突检测的范围较小的不足,使得本发明无需消耗大量资源,扩大了冲突检测的范围。

Description

基于ABAC属性补全的安全策略冲突检测与消除方法
技术领域
本发明属于计算机技术领域,更进一步涉及计算机网络安全技术领域中的一种基于属性访问控制模型ABAC(Attribute Based Access Control)属性补全的安全策略冲突检测与消除方法。本发明可用于对访问控制系统中ABAC安全策略的冲突进行检测,系统管理员根据检测结果对策略进行修改,消除冲突策略,一定程度上减少策略冲突对访问控制系统的维护和访问带来的影响。
背景技术
访问控制技术是信息系统中对资源进行保护的一种方式,是信息安全技术的重要组成部分。访问控制通过预先定义的访问控制策略决定是否授予主体对资源的访问权限,其本质是校验主体对信息资源访问的合法性,阻止非法的主体对系统中资源的访问。针对开放,共享的分布式系统,ABAC模型使用属性对访问控制中主体、资源、环境、授权等相关实体进行统一描述,通过不同属性的组合描述更加复杂的访问控制策略,使策略具有强大的表达能力。然而,对于策略集规模庞大的系统,安全策略定义的属性值区间容易产生重合的属性值域,因此安全策略之间的冲突频繁发生,系统无法对访问请求进行正确授权,系统安全将受到威胁。对安全策略进行冲突检测分为两类:动态检测和静态检测。动态检测方法依赖访问请求,在运行时进行冲突检测,会造成较大的系统开销。而静态检测方法不依赖于请求的生成,系统管理员能够预先检测系统中的策略冲突,对安全策略进行修改,从而降低对访问控制系统访问的影响。对于安全策略进行静态冲突检测有如下方法:
R.A.Shaikh和K.Adi在其发表的论文“A data classification method forinconsistency and incompleteness detection in access control policy sets”(《International Journal of Information Security》,2017,91-113)中提出了一种基于数据分类算法的不一致性和不完整性访问控制策略的检测方法。该方法的具体步骤是:第一,对策略数据集进行解析,将策略中的属性值按照主体、客体、操作、权限的顺序进行排序。第二,基于改进的C4.5算法对每个属性计算信息增益率,划分最低增益率的属性,构造策略树。第三,根据第二步中的策略树进行异常检测。若策略树中的叶子节点包含一个以上的权限属性,说明同一条请求产生了不一致的决策;若策略树中的叶子节点不包含任何一个权限属性,说明策略集不完整。该方法存在的不足之处是:由于该方法需要通过构造策略树来进行冲突检测,对于安全策略规模庞大的访问控制系统消耗大量的计算资源;由于该方法中策略中只定义了一个主体的属性,因此难以适用于具有多种属性主体的策略冲突检测。
电子科技大学和中国工程物理研究院计算机应用研究所在其共同申请的专利文献“基于Hicuts算法的安全策略冲突检测及消除方法”(专利申请号201610989694.5,授权公告号CN 106453387 B)中公开了一种基于Hicuts算法的安全策略冲突检测及消除方法。该方法的具体步骤是:该方法检测的安全策略的规则包括五元组和动作,使用Hicuts算法的分类方式,对安全策略的规则进行分类,生成一颗关于规则的分类决策树;对分类决策树的同一叶子节点的规则进行修改,消除冲突。该方法存在的不足之处是:该方法检测的安全策略的规则包括五元组和动作,是属于具有完全相同的属性并且相同的属性类型的值域有交集的特殊规则对,因此该方法静态冲突检测范围小,仅适用于检测具有完全相同的属性并且相同的属性类型的值域有交集的一对策略之间的冲突。然而,由于ABAC安全策略的灵活性,访问控制系统策略中的属性并不完全相同,因此,该方法不适用于具有不同的属性的安全策略的冲突检测。另外该方法没有计算两两安全策略之间的冲突概率,无法量化安全策略发生冲突的可能性。
综上所述,目前的现有技术一是依赖访问请求在系统运行时进行动态冲突检测,但该类方法消耗系统运行资源,降低系统效率,影响用户对系统的安全访问。二是系统管理员预先利用不同技术对系统安全策略库进行冲突检测,通过冲突检测结果消除冲突策略。然而基于分类的静态冲突检测方法在构造策略树时消耗大量计算资源,使冲突检测效率受到影响;基于Hicuts算法的安全策略冲突检测及消除方法只针对于特定的策略,静态冲突检测的范围较小,系统中仍存在大量的冲突策略无法被检测,仍然会造成访问控制系统安全问题。
发明内容
本发明的目的在于针对上述现有技术的不足,提出一种基于ABAC属性补全的安全策略冲突检测与消除方法,用于解决冲突检测方法中检测的范围较小的问题,并且提出一种计算两两安全策略之间的冲突概率的方式。
实现本发明目的的技术思路是,相同的属性类型的属性值域具有交集,导致一条访问请求同时匹配两条安全策略,对于相同的操作却执行不同的决策,这是安全策略发生冲突的原因,计算所选两条安全策略中所有的属性值域有交集的属性类型的重合率,从而达到计算冲突概率的目的。另外,ABAC安全策略高度灵活的原因在于可以使用任意数量的属性对主体、客体和环境进行表示,对于没有安全策略中没有表示的属性,意味着具有该属性的属性值域集合中任意属性值的请求都可以匹配这条安全策略,因此,对于安全策略中属性不完全相同的策略,属性补全不会改变原有安全策略语义,并且可以使安全策略中的属性完全相同,从而扩大了检测的冲突的范围。
实现本发明的具体步骤如下:
(1)从待检测的安全策略的集合中随机选取两条未选过的安全策略,每个安全策略均包括主体属性集合、客体属性集合、环境属性集合、操作和决策;
(2)判断所选两条安全策略中的主体属性集合、客体属性集合、环境属性集合中的属性类型是否完全相同,若是,则执行步骤(3);否则,执行步骤(8);
(3)判断所选两条安全策略是否操作相同但决策相反,若是,则判定所选两条安全策略之间可能存在冲突后执行步骤(4);否则,判定所选两条安全策略之间没有冲突后执行步骤(7);
(4)判断相同属性类型的两条安全策略的属性值域是否有交集,若是,则判定所选两条安全策略之间存在冲突后执行步骤(5);否则,判定所选两条安全策略之间没有冲突后执行步骤(7);
(5)按照下式,计算所选两条安全策略之间的冲突概率;
Figure BDA0002651251750000031
其中,P表示所选两条安全策略之间的冲突概率,m表示所选两条安全策略中属性值域有交集的属性类型的总数,∏表示连乘符号,val1表示所选第1条的安全策略中第i个属性类型的属性值域,∩表示交集符号,val2表示所选第2条的安全策略中第i个属性类型的属性值域,A表示第i个属性类型的属性值域集合;
(6)消除冲突:
将检测出的冲突策略和冲突概率交付给安全管理员,由安全管理员对冲突检测结果中存在冲突的安全策略进行修改,消除冲突;
(7)判断是否选取完安全策略的集合中的所有安全策略,若是,则执行步骤(9);否则,执行步骤(1);
(8)对缺失的属性进行补全:
将缺失的属性类型的属性值域设置为该属性类型的属性值域集合,若缺失的属性类型为主体属性类型,将该属性加入到该安全策略的主体属性集合中,若缺失的属性类型为客体属性类型,将该属性加入到该安全策略的客体属性集合中;若缺失的属性类型为环境属性类型,将该属性加入到该安全策略的环境属性集合中之后执行步骤(3);
(9)结束整个冲突检测和消除过程。
本发明与现有技术相比较具有如下优点:
第一,本发明计算两两安全策略之间的冲突概率,为管理员修改存在冲突的安全策略提供参考,修改冲突概率大的安全策略,使安全策略约束范围变小,克服了现有技术无法量化安全策略发生冲突的可能性的不足,使得本发明降低与其它安全策略发生冲突的概率。
第二,本发明将属性不完全相同的两条安全策略进行属性补全,扩大了冲突检测的范围,克服了现有技术构造策略树时消耗大量计算资源和静态冲突检测的范围较小的不足,使得本发明无需消耗大量资源,实现了对属性不完全相同的两条安全策略的冲突检测。
附图说明
图1是本发明的流程图。
具体实施方式
下面结合附图1对本发明做进一步描述。
步骤1,从待检测的安全策略的集合中随机选取两条未选过的安全策略,每个安全策略均包括主体属性集合、客体属性集合、环境属性集合、操作和决策。
安全策略表达形式如下:
R=(S,O,E,op,d)
其中,R表示安全策略,S表示主体属性集合,O表示客体属性集合,E表示环境属性集合,op表示操作,d表示决策。
所述属性集合指的是安全策略中执行操作,做出决策所需要的属性的集合,其表达形式如下:
Figure BDA0002651251750000051
D=<AT><OP><VALUE>
其中,F表示属性集合,x表示属性的个数,Di表示第i个属性,∩表示逻辑与符号,D表示属性,<AT>表示属性类型,<OP>表示{≤,≥,<,>,=,!=}集合中的一个逻辑运算符,该集合可由用户添加自定义逻辑运算符,<VALUE>表示属性值,由<OP><VALUE>定义的范围的集合表示属性值域。
若属性集合中的属性类型均为主体属性类型,则将该属性集合称为主体属性集合,若属性集合中的属性类型均为客体属性类型,则将该属性集合称为客体属性集合,若属性集合中的属性类型均为环境属性类型,则将该属性约束称为环境属性集合。
步骤2,判断所选两条安全策略中的主体属性集合、客体属性集合、环境属性集合中的属性类型是否完全相同,若是,则执行步骤3;否则,执行步骤8。
步骤3,判断所选两条安全策略是否操作相同但决策相反,若是,则判定所选两条安全策略之间可能存在冲突后执行步骤4;否则,判定所选两条安全策略之间没有冲突后执行步骤7。
步骤4,判断相同属性类型的两条安全策略的属性值域是否有交集,若是,则判定所选两条安全策略之间存在冲突后执行步骤5;否则,判定所选两条安全策略之间没有冲突后执行步骤7。
步骤5,按照下式,计算所选两条安全策略之间的冲突概率;
Figure BDA0002651251750000052
其中,P表示所选两条安全策略之间的冲突概率,m表示所选两条安全策略中属性值域有交集的属性类型的总数,Π表示连乘符号,val1表示所选第1条的安全策略中第i个属性类型的属性值域,∩表示交集符号,val2表示所选第2条的安全策略中第i个属性类型的属性值域,A表示第i个属性类型的属性值域集合。
步骤6,消除冲突:
将检测出的冲突策略和冲突概率交付给安全管理员,由安全管理员对冲突检测结果中存在冲突的安全策略进行修改,消除冲突。
步骤7,判断是否选取完安全策略的集合中的所有安全策略,若是,则执行步骤9;否则,执行步骤1。
步骤8,对缺失的属性进行补全:
将缺失的属性类型的属性值域设置为该属性类型的属性值域集合,若缺失的属性类型为主体属性类型,将该属性加入到该安全策略的主体属性集合中,若缺失的属性类型为客体属性类型,将该属性加入到该安全策略的客体属性集合中;若缺失的属性类型为环境属性类型,将该属性加入到该安全策略的环境属性集合中之后执行步骤3。
属性补全的具体定义如下:
一条给定的安全策略R=(S,O,E,op,d),其中S表示主体属性集合,O表示客体属性集合,E表示环境属性集合,op表示操作,d表示决策;对于安全策略R缺失的主体属性Sa,令S'=S∩(Sa="#"),其中S'表示属性补全后的主体属性集合,∩表示逻辑与符号,#表示属性Sa的属性值域集合,生成新安全策略R'=(S',O,E,op,d);R与R'是语义等价的策略;同理,该定义可以适用于客体属性和环境属性。
步骤9,结束整个冲突检测和消除过程。

Claims (2)

1.一种基于ABAC属性补全的安全策略冲突检测与消除方法,其特征是,计算两两安全策略之间的冲突概率,将属性不完全相同的两条安全策略进行属性补全;该方法的具体步骤如下:
(1)从待检测的安全策略的集合中随机选取两条未选过的安全策略,每个安全策略均包括主体属性集合、客体属性集合、环境属性集合、操作和决策;
(2)判断所选两条安全策略中的主体属性集合、客体属性集合、环境属性集合中的属性类型是否完全相同,若是,则执行步骤(3);否则,执行步骤(8);
(3)判断所选两条安全策略是否操作相同但决策相反,若是,则判定所选两条安全策略之间可能存在冲突后执行步骤(4);否则,判定所选两条安全策略之间没有冲突后执行步骤(7);
(4)判断相同属性类型的两条安全策略的属性值域是否有交集,若是,则判定所选两条安全策略之间存在冲突后执行步骤(5);否则,判定所选两条安全策略之间没有冲突后执行步骤(7);
(5)按照下式,计算所选两条安全策略之间的冲突概率;
Figure FDA0002651251740000011
其中,P表示所选两条安全策略之间的冲突概率,m表示所选两条安全策略中属性值域有交集的属性类型的总数,Π表示连乘符号,val1表示所选第1条的安全策略中第i个属性类型的属性值域,∩表示交集符号,val2表示所选第2条的安全策略中第i个属性类型的属性值域,A表示第i个属性类型的属性值域集合;
(6)消除冲突:
将检测出的冲突策略和冲突概率交付给安全管理员,由安全管理员对冲突检测结果中存在冲突的安全策略进行修改,消除冲突;
(7)判断是否选取完安全策略的集合中的所有安全策略,若是,则执行步骤(9);否则,执行步骤(1);
(8)对缺失的属性进行补全:
将缺失的属性类型的属性值域设置为该属性类型的属性值域集合,若缺失的属性类型为主体属性类型,将该属性加入到该安全策略的主体属性集合中,若缺失的属性类型为客体属性类型,将该属性加入到该安全策略的客体属性集合中;若缺失的属性类型为环境属性类型,将该属性加入到该安全策略的环境属性集合中之后执行步骤(3);
(9)结束整个冲突检测和消除过程。
2.根据权利要求1所述的基于ABAC属性补全的安全策略冲突检测与消除方法,其特征在于,步骤(1)中所述的属性集合指的是安全策略中执行操作,做出决策所需要的属性的集合,其表达形式如下:
Figure FDA0002651251740000021
D=<AT><OP><VALUE>
其中,F表示属性集合,x表示属性的个数,Di表示第i个属性,∩表示逻辑与符号,D表示属性,<AT>表示属性类型,<OP>表示{≤,≥,<,>,=,!=}集合中的一个逻辑运算符,该集合可由用户添加自定义逻辑运算符,<VALUE>表示属性值,由<OP><VALUE>定义的范围的集合表示属性值域;
若属性集合中的属性类型均为主体属性类型,则将该属性集合称为主体属性集合,若属性集合中的属性类型均为客体属性类型,则将该属性集合称为客体属性集合,若属性集合中的属性类型均为环境属性类型,则将该属性约束称为环境属性集合。
CN202010871558.2A 2020-08-26 2020-08-26 基于abac属性补全的安全策略冲突检测与消除方法 Pending CN112039867A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010871558.2A CN112039867A (zh) 2020-08-26 2020-08-26 基于abac属性补全的安全策略冲突检测与消除方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010871558.2A CN112039867A (zh) 2020-08-26 2020-08-26 基于abac属性补全的安全策略冲突检测与消除方法

Publications (1)

Publication Number Publication Date
CN112039867A true CN112039867A (zh) 2020-12-04

Family

ID=73581563

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010871558.2A Pending CN112039867A (zh) 2020-08-26 2020-08-26 基于abac属性补全的安全策略冲突检测与消除方法

Country Status (1)

Country Link
CN (1) CN112039867A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112887316A (zh) * 2021-01-29 2021-06-01 深圳市风云实业有限公司 一种基于分类的访问控制列表冲突检测系统及方法
CN113259137A (zh) * 2021-07-15 2021-08-13 广东电网有限责任公司江门供电局 一种基于用户属性的电网访问控制方法、系统和存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101339591A (zh) * 2008-08-29 2009-01-07 中国科学院软件研究所 一种xacml策略规则检测方法
US20180375899A1 (en) * 2017-06-21 2018-12-27 Honeywell International Inc. Automated security policy information point content generation
US20190258811A1 (en) * 2018-02-20 2019-08-22 Government Of The United States Of America, As Represented By The Secretary Of Commerce Access control system and process for managing and enforcing an attribute based access control policy

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101339591A (zh) * 2008-08-29 2009-01-07 中国科学院软件研究所 一种xacml策略规则检测方法
US20180375899A1 (en) * 2017-06-21 2018-12-27 Honeywell International Inc. Automated security policy information point content generation
US20190258811A1 (en) * 2018-02-20 2019-08-22 Government Of The United States Of America, As Represented By The Secretary Of Commerce Access control system and process for managing and enforcing an attribute based access control policy

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
刘晨: "ABAC安全策略的冲突检测与消解方法研究", 《中国优秀硕士学位论文全文数据库》 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112887316A (zh) * 2021-01-29 2021-06-01 深圳市风云实业有限公司 一种基于分类的访问控制列表冲突检测系统及方法
CN113259137A (zh) * 2021-07-15 2021-08-13 广东电网有限责任公司江门供电局 一种基于用户属性的电网访问控制方法、系统和存储介质

Similar Documents

Publication Publication Date Title
CN109922069B (zh) 高级持续性威胁的多维关联分析方法及系统
US20060271596A1 (en) File access management system
Doynikova et al. CVSS-based probabilistic risk assessment for cyber situational awareness and countermeasure selection
US8997256B1 (en) Systems and methods for detecting copied computer code using fingerprints
Parkinson et al. Auditing file system permissions using association rule mining
US20230214500A1 (en) Flexible risk assessment and management system for integrated risk and value analysis
EP4049433B1 (en) User impact potential for security alert management
CN112039867A (zh) 基于abac属性补全的安全策略冲突检测与消除方法
CN110619231B (zh) 一种基于MapReduce的差分可辨性k原型聚类方法
CN105653725A (zh) 基于条件随机场的mysql数据库强制访问控制自适应优化方法
CN117056951A (zh) 一种数字平台的数据安全管理方法
CN113408558A (zh) 用于模型验证的方法、装置、设备和介质
CN116418568A (zh) 一种基于动态信任评估的数据安全访问控制方法、系统及存储介质
Park et al. A cost-optimization scheme using security vulnerability measurement for efficient security enhancement
Dreyling et al. Cyber security risk analysis for a virtual assistant G2C digital service using FAIR model
Haque et al. Ereba: Black-box energy testing of adaptive neural networks
Wei Application of Bayesian algorithm in risk quantification for network security
CN116305103A (zh) 一种基于置信度差异的神经网络模型后门检测方法
CN117057445A (zh) 基于联邦学习框架的模型优化方法、系统和装置
Savenkov et al. Methods of machine learning in system abnormal behavior detection
CN107046522B (zh) 安全访问控制方法及装置
Senthilkumar et al. An Efficient Investigation of Cloud Computing Security with Machine Learning Algorithm
Duraz et al. Explainability-based Metrics to Help Cyber Operators Find and Correct Misclassified Cyberattacks
US20240340306A1 (en) Dynamic intelligent cyber playbooks
CN118316699B (zh) 面向加密联邦学习的恶意客户端检测方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20201204

WD01 Invention patent application deemed withdrawn after publication