CN113536258A - 终端访问的控制方法及装置、存储介质及电子设备 - Google Patents

Abstract

本发明提供一种终端访问的控制方法及装置、存储介质及电子设备，该方法包括：在用户请求访问业务系统的情况下，获取用户所使用的终端的设备评估信息、业务系统的访问日志以及用户的风险数据；基于设备评估信息、访问日志和风险数据，对用户进行动态授权，得到用户的访问权限信息；基于用户的访问权限信息，更新与用户对应的访问控制规则，并基于更新后的访问控制规则控制用户对业务系统的访问。基于用户多方面的数据对用户进行动态授权处理，可以提高授权的可靠性和可信度，根据基于访问权限信息更新后的访问控制规则控制终端对业务系统的访问，有效的控制对业务系统的访问，规避存在风险的用户的访问，进而提高业务系统的访问的安全性。

Description

终端访问的控制方法及装置、存储介质及电子设备

技术领域

本发明涉及通信技术领域，特别涉及一种终端访问的控制方法及装置、存储介质及电子设备。

背景技术

随着互联网技术的普及，互联网应用在生活中的各个方面中。人们通过互联网技术不仅可以进行购物，还可以远程访问业务系统办理业务，而不少的业务人员还可以通过移动办公环境远程访问办公系统，从而远程进行办公。

随着人们对数据安全的重视，控制业务系统的访问是提高业务系统的安全性的其中一种手段。传统的访问控制方法中，通过对用户的身份进行认证，在用户的身份通过认证之后允许用户的终端访问业务系统，这种控制方式仅对用户的身份进行认证，认证方式单一，使得业务系统的访问存在安全风险。

发明内容

有鉴于此，本发明实施例提供一种终端访问的控制方法及装置、存储介质及电子设备，通过对方数据的分析，对用户进行动态授权，并基于根据访问权限信息更新后的访问控制规则控制终端对业务系统的访问，提高授权的可靠性以及提高访问的安全性，进而降低业务系统的风险。

为实现上述目的，本发明实施例提供如下技术方案：

本申请第一方面公开了一种终端访问的控制方法，应用于控制系统，包括：

在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据；

基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息；

基于所述用户的访问权限信息，更新与所述用户对应的访问控制规则，并基于更新后的访问控制规则控制所述终端对所述业务系统的访问。

上述的方法，可选的，所述基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息，包括：

基于所述设备评估信息中的用户信息和所述风险数据，对所述用户的身份进行验证；

若所述用户的身份验证通过，则基于所述设备评估信息中的设备环境信息，判断所述终端的设备环境是否安全；

若所述终端的设备环境安全，则基于所述用户信息确定所述用户类型，并基于所述用户类型、所述设备环境的环境安全等级、所述风险数据以及所述访问日志，生成所述用户的应用授权列表，并将所述应用授权列表作为访问授权信息。

上述的方法，可选的，所述基于所述设备评估信息中的用户信息和所述风险数据，对所述用户的身份进行验证，包括：

基于所述风险数据，确定所述用户的风险等级，并基于所述风险等级确定所述用户的验证模式；

若所述用户的验证模式为普通模式，则基于所述用户信息对所述用户的身份进行验证；

若所述用户的验证模式为多重模式，则向所述用户展示预设的验证信息输入界面，以获取所述用户输入的身份验证信息，基于所述身份验证信息和所述用户信息对所述用户的身份进行验证。

上述的方法，可选的，所述基于所述设备评估信息中的设备环境信息，判断所述终端的设备环境是否安全，包括：

获取所述设备环境信息中的系统状态信息、病毒库更新信息以及用户安全等级信息；

对所述系统状态信息、所述病毒库更新信息以及所述用户安全等级信息进行分析，得到所述终端的环境安全等级，并基于所述环境安全等级判断所述终端的设备环境是否安全。

上述的方法，可选的，所述基于更新后的访问控制规则控制所述终端对所述业务系统的访问，包括：

基于所述访问控制规则中的访问授权列表，确定所述用户是否具有访问所述业务系统的权限；

若所述用户具有访问所述业务系统的权限，则允许所述终端对所述业务系统进行访问；

若所述用户不具有访问所述业务系统的权限，则不允许所述终端对所述业务系统进行访问。

上述的方法，可选的，还包括：

实时统计所述业务系统的访问流量；

基于所述访问流量和预设的流量阈值进行对比，并在所述访问流量大于所述流量阈值时，对所述业务系统进行限流操作。

上述的方法，可选的，还包括：

生成所述用户对所述业务系统的访问日志，并将所述访问日志保存在日志数据库中，以便基于所述日志数据库中的访问日志对所述业务系统进行安全审计。

本申请第二方面公开了一种终端访问的控制装置，应用于控制系统，包括：

获取单元，用于在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据；

动态授权单元，用于基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息；

控制单元，用于基于所述用户的访问权限信息，更新与所述用户对应的访问控制规则，并基于更新后的访问控制规则控制所述终端对所述业务系统的访问。

上述的装置，可选的，所述动态授权单元，包括：

验证子单元，用于基于所述设备评估信息中的用户信息和所述风险数据，对所述用户的身份进行验证；

判断子单元，用于若所述用户的身份验证通过，则基于所述设备评估信息中的设备环境信息，判断所述终端的设备环境是否安全；

生成子单元，用于若所述终端的设备环境安全，则基于所述用户信息确定所述用户类型，并基于所述用户类型、所述设备环境的环境安全等级、所述风险数据以及所述访问日志，生成所述用户的应用授权列表，并将所述应用授权列表作为访问授权信息。

上述的装置，可选的，所述验证子单元，包括：

确定模块，用于基于所述风险数据，确定所述用户的风险等级，并基于所述风险等级确定所述用户的验证模式；

第一验证模块，用于若所述用户的验证模式为普通模式，则基于所述用户信息对所述用户的身份进行验证；

第二验证模块，用于若所述用户的验证模式为多重模式，则向所述用户展示预设的验证信息输入界面，以获取所述用户输入的身份验证信息，基于所述身份验证信息和所述用户信息对所述用户的身份进行验证。

上述的装置，可选的，所述判断子单元，包括：

获取模块，用于获取所述设备环境信息中的系统状态信息、病毒库更新信息以及用户安全等级信息；

分析模块，用于对所述系统状态信息、所述病毒库更新信息以及所述用户安全等级信息进行分析，得到所述终端的环境安全等级，并基于所述环境安全等级判断所述终端的设备环境是否安全。

上述的装置，可选的，所述控制单元，包括：

确定子单元，用于基于所述访问控制规则中的访问授权列表，确定所述用户是否具有访问所述业务系统的权限；

控制子单元，用于若所述用户具有访问所述业务系统的权限，则允许所述终端对所述业务系统进行访问；若所述用户不具有访问所述业务系统的权限，则不允许所述终端对所述业务系统进行访问。

上述的装置，可选的，还包括：

统计单元，用于实时统计所述业务系统的访问流量；

对比单元，用于基于所述访问流量和预设的流量阈值进行对比，并在所述访问流量大于所述流量阈值时，对所述业务系统进行限流操作。

上述的装置，可选的，还包括：

生成单元，用于生成所述用户对所述业务系统的访问日志，并将所述访问日志保存在日志数据库中，以便基于所述日志数据库中的访问日志对所述业务系统进行安全审计。

一种存储介质，其特征在于，所述存储介质包括存储的指令，其中，在所述指令运行时控制所述存储介质所在的设备执行如上所述的终端访问的控制方法。

一种电子设备，其特征在于，包括存储器，以及一个或者一个以上的指令，其中一个或者一个以上指令存储于存储器中，且经配置以由一个或者一个以上处理器执行如上所述的终端访问的控制方法。

与现有技术相比，本发明具有以下优点：

本发明提供一种终端访问的控制方法及装置、存储介质及电子设备，该方法包括：在用户请求访问业务系统的情况下，获取用户所使用的终端的设备评估信息、业务系统的访问日志以及用户的风险数据；基于设备评估信息、访问日志和风险数据，对用户进行动态授权，得到用户的访问权限信息；基于用户的访问权限信息，更新与用户对应的访问控制规则，并基于更新后的访问控制规则控制用户对业务系统的访问。基于用户多方面的数据对用户进行动态授权处理，可以提高授权的可靠性和可信度，根据基于访问权限信息更新后的访问控制规则控制终端对业务系统的访问，有效的控制对业务系统的访问，规避存在风险的用户的访问，进而提高业务系统的访问的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种终端访问的控制方法的方法流程图；

图2为本发明实施例提供的一种得到用户的访问权限信息的方法流程图；

图3为本发明实施例提供的一种对用户的身份进行验证的方法流程图；

图4为本发明实施例提供的一种判断终端的设备环境是否安全的方法流图；

图5为本发明实施例提供的一种终端访问的控制装置的结构示意图；

图6为本发明实施例体用的一种电子设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本申请中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

由背景技术可知，现有技术控制终端的访问方式是在用户的身份认证通过后即允许用户的终端访问业务系统，而传统的控制方法仅对用户的身份进行认证，认证的方式单一，使得业务系统的访问环境存在安全风险。为了提高访问业务系统的安全性，本发明提供了一种终端访问的控制方法及装置、存储介质及电子设备。本发明可用于众多通用或专用的计算装置环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器装置、包括以上任何装置或设备的分布式计算环境等等。

本发明提供一种终端访问的控制方法，该方法可应用于控制系统，其中，控制系统由安全访问控制模块和安全接入代理模块组成，进一步的，安全访问控制模块和安全接入代理模块可由计算机终端或是服务器组成。

参照图1，为本发明实施例提供的一种终端访问的控制方法的方法流程图，具体说明如下所述：

S101、在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据。

用户通过终端向控制系统发送访问请求，以请求访问业务系统，进一步的，用户通过在浏览器中输入所要访问的业务系统的网址或是对应的应用信息；控制系统中的安全接入代理模块在接收到访问请求时，安全接入代理模块通过SSL协议将访问请求发送至安全访问控制模块，使得安全访问控制模块获取用户所使用的终端的设备评估信息、业务系统的访问日志以及用户的风险数据。

本发明的终端中设置可信环境感知代理，可信环境感知代理用于采集终端的设备环境信息，其中，设备评估信息中包含设备环境信息。业务系统的访问日志包含业务系统当前的访问流量、用户对业务系统进行访问的流量数据以及用户对业务系统进行访问时的用户行为等信息。用户的风险数据从风险分析平台获得，风险分析平台用于对用户进行信任评估，风险数据中包含用户的风险评级、用户的访问记录以及审计记录等数据。

S102、基于设备评估信息、访问日志以及风险数据，对用户进行动态授权处理，得到用户的访问权限信息。

控制系统中的安全访问控制模块对设备评估信息、访问日志以及风险数据进行处理，以便对用户进行动态授权处理，从而生成用户的访问权限信息。进一步的，在安全访问控制模块生成访问权限信息后，将访问权限信息发送至安全接入代理模块。

在对用户进行动态授权处理时，通过设备评估信息、访问日志以及风险数据从多方面进行分析，进而对用户进行动态授权，以得到用户的访问权限信息，其中，访问权限信息中包含对用户授予访问权限的应用的信息，即用户可访问的应用的信息。进一步的，安全访问控制模块采用RBAC(Role-based Access Control)和ABAC(Attribute Based AccessControl)的方式对用户进行动态授权处理，进一步的，RBAC执行基于用户角色的静态权限分配；ABAC执行基于用户身份各种安全属性的动态授权判定，从而实现了用户权限的灵活分配，授权的实时更新，以及粗粒度与细粒度的授权控制。

可选的，本发明实施例提供的另一方法中，步骤S102中得到用户的访问权限信息的方法流程图具体可参照图2，具体说明如下所述：

S201、基于设备评估信息中的用户信息和风险数据，对用户的身份进行验证，并确定用户的身份是否通过验证；若用户的身份验证通过，则执行S202；若用户的身份验证未通过，则执行S204。

用户信息包含用户的身份信息、注册信息以及登录信息等等，此处不做限定。

可选的，本发明实施例提供的另一方法中，参照图3，为本发明实施例提供的一种对用户的身份进行验证的方法流程图，具体说明如下所述：

S301、基于风险数据，确定用户的风险等级，并基于风险等级确定用户的验证模式；若用户的验证模式为普通模式，则执行S302；若用户的验证模式为多重模式，则执行S303。

可选的，可根据风险数据中的风险评级直接确定用户的风险等级，还可以对风险数据中的用户的访问记录以及审计记录进行分析，得到用户的风险等级，进一步的，风险等级越高，表示用户越不安全。

将用户的风险等级与预设的安全评估等级进行对比，以确定风险等级是否大于安全评估等级，若用户的风险等级大于安全评估等级，则确定用户的验证模式为多重模式；若用户的风险等级不大于安全评估等级，则确定用户的验证模式为普通模式。

安全评估等级相当于确定用户是否存在安全风险的界限，在用户的风险等级大于安全评估等级时，可确定用户存在安全风险；在用户的风险等级不大于安全评估等级时，可确定用户不存在安全风险。

S302、基于用户信息对用户的身份进行验证。

根据用户信息对用户的身份进行验证时，可调用用户数据库中用户预留的登录信息，将用户信息中的登录信息与用户数据库中用户预留的登录信息进行比较，两者一致时，确定用户的身份验证通过；两者不一致时，确定用户的身份验证不通过。

S303、向用户展示预设的验证信息输入界面，以获取用户输入的身份验证信息，基于身份验证信息和用户信息对用户的身份进行验证。

验证信息输入界面可以为采集用户的面部信息的界面，还可以是用户输入验证问题答案的界面，还可以是其他形式的信息的采集界面，本发明实施例提供的方法中的验证信息输入界面可以是一种类型的界面，也可以由多种类型的界面组成；因此，身份验证信息具体包含与验证信息输入界面的类型相关的数据，具体如用户的面部信息、用户输入的问题的答案的文本等等。

在基于身份验证信息和用户信息对用户的身份进行验证时，调用用户数据库中预留的用户验证信息和预留的登录信息；将用户验证信息和身份验证信息进行比对，以及将预留的登录信息和用户信息中的登录信息进行比对，在用户验证信息和身份验证信息一致且预留的登录信息和用户信息中的登录信息一致时，确定用户的身份验证通过，否则确定用户的身份验证不通过。

本发明实施例提供的方法中，基于风险数据确定对用户的验证模式，在用户的风险等级高时，提供了多重验证的方式，由此可以进一步确定用户身份的合法性，从而提高业务系统的访问的安全性，基于用户不同的风险等级提供不同的验证方式，满足不同的验证需求，更加准确的确定用户身份的合法性。

S202、基于设备评估信息中的设备环境信息，判断终端的设备环境是否安全；若终端的设备环境安全，则执行S203；若终端的设备环境不安全，则执行S204。

根据设备评估信息中的设备环境信息，可对用户所使用的终端的设备环境的进行分析，以确定终端的设备环境是否安全。终端的设备环境可以为终端的移动办公环境。

可选的，本发明实施例提供的另一方法中，参照图4，为判断终端的设备环境是否安全的方法流程图，具体说明如下所述：

S401、获取所述设备环境信息中的系统状态信息、病毒库更新信息以及用户安全等级信息。

系统状态信息可包含终端所使用的系统的当前状态的信息，具体如系统的各项运行是否正常、系统注册表是否存在非法修改的情况以及系统是否存在非法程序入侵的情况。

病毒库更新信息中包含终端的安全程序所识别出的对终端的系统进行攻击的病毒的信息，具体包含病毒的攻击时间、是否攻击成功以及是否已经清除等信息。

用户安全等级信息具体可根据用户信息的完善程度确定，具体如在用户信息的完善程度为100％，则用户安全等级信息为表征用户的安全等级为最高级的信息。

S402、对所述系统状态信息、所述病毒库更新信息以及所述用户安全等级信息进行分析，得到所述终端的环境安全等级，并基于所述环境安全等级判断所述终端的设备环境是否安全。

本发明实施例提供的方法中，对系统状态信息、病毒库更新信息以及用户安全等级信息进行分析时，可使用预设的分析模型进行分析，从而得到终端的环境安全等级，其中，环境安全等级越高，表示终端的设备环境越安全。

在基于安全等级判断终端设备是否安全时，可将环境安全等级与环境预设等级进行对比，以确定环境安全等级是否大于环境预设等级，在环境安全等级大于环境预设等级时，确定终端的设备环境安全；在环境安全等级不大于环境预设等级时，确定终端的设备环境不安全。

本发明实施例提供的方法中，基于系统状态信息、病毒库更新信息以及用户安全等级信息对终端的设备环境进行分析，由此可以有效避免终端的设备环境不安全时访问业务系统的情况，进而防止导致恶意程序以该终端为跳板，将自身植入与该终端相连接的业务系统，使得该业务系统的安全性降低的情况，提高对业务系统的访问的安全性，防止业务系统被植入恶意程序。

S203、基于用户信息确定所述用户类型，并基于用户类型、设备环境的环境安全等级、风险数据以及访问日志，生成用户的应用授权列表，并将应用授权列表作为访问授权信息。

用户类型包括但不限于游客、会员、非会员以及管理员等，根据用户类型、设备环境的环境安全等级、风险数据以及访问日志，生成用户的应用授权列表，应用授权列表中包含用户有权限访问的各个应用。

在生成用户的应用授权列表时，具体的，根据用户类型、设备环境的安全等级、风险数据以及访问数据在应用集合中逐一进行筛选，确定用户可访问的各个应用，并基于用户可访问的各个应用生成应用授权列表。进一步的，风险数据以及访问日志可确定用户的访问等级，将满足用户类型、设备环境的安全等级以及用户的访问等级的应用确定为用户可访问的应用。

S204、将用户确定为风险用户，并生成禁止访问信息，将所述禁止访问信息作为访问授权信息。

禁止访问信息表示用户没有权限访问业务系统，具体的，还可以表示拒绝该用户对业务系统的访问请求。

本发明实施例提供的方法中，通过对用户的身份进行验证，以及判断终端的设备环境的安全性，进而生成用户的访问授权信息；本发明不仅对用户的身份进行验证，还对终端的设备环境进行分析，由此可以在终端的设备环境处于安全的状态下才允许终端访问业务系统，由此避免业务系统被不安全的终端接入，导致业务系统遭到攻击的情况，提高了业务系统的安全性，也为用户提供更加优质的服务，提高用户的操作体验。

S103、基于用户的访问权限信息，更新与用户对应的访问控制规则，并基于更新后的访问控制规则控制终端对所述业务系统的访问。

控制系统中的安全接入代理模块在接收到安全访问控制模块发送的访问权限信息后，基于该访问权限信息，更新与用户对应的访问控制规则，并根据更新后的访问控制规则控制用户对业务系统的访问。访问控制规则包含用户可访问的应用所对应的业务系统的信息，在访问控制规则中包含用户所请求访问的业务系统的信息时，允许用户所使用的终端访问业务系统；在访问控制规则中不包含用户所请求访问的业务系统的信息时，不允许用户所使用的终端访问业务系统。

在基于更新后的访问控制规则控制终端对业务的访问的具体过程如下所示：

基于访问控制规则中的访问授权列表，确定用户是否具有访问所述业务系统的权限；

若用户具有访问业务系统的权限，则允许终端对业务系统进行访问；

若用户不具有访问业务系统的权限，则不允许终端对业务系统进行访问。

本发明实施例提供的方法中，访问授权列表中包含对用户授权访问的各个业务系统的信息，可通过访问授权列表确定用户是否具有访问业务系统的权限。通过使用访问控制规则可以更加准确的控制用户对业务系统的访问，可以在用户不具有访问权限的情况下拒绝用户的访问，提高业务系统的访问的安全性。

本发明实施例提供的方法中，在用户请求访问业务系统的情况下，获取用户所使用的终端的设备评估信息、业务系统的访问日志以及用户的风险数据；基于设备评估信息、访问日志和风险数据，对用户进行动态授权，得到用户的访问权限信息；基于用户的访问权限信息，更新与用户对应的访问控制规则，并基于更新后的访问控制规则控制用户对业务系统的访问。通过使用设备评估信息、访问日志和风险数据进行多方面和多维度的分析，进而对用户进行动态授权处理，得到用户的访问权限信息；基于访问权限信息更新用户的访问控制规则，并根据访问控制规则控制终端的访问。基于多方面的数据对用户进行动态授权处理，可以分析用户多方面的信息，基于用户各个方面的信息对用户进行授权，提高授权的可靠性和可信度，并根据基于访问权限信息更新后的访问控制规则控制终端对业务系统的访问，有效的控制对业务系统的访问，规避存在风险的用户的访问，进而提高业务系统的访问的安全性。

可选的，本发明实施例提供的另一方法中，控制系统还可以对业务系统的访问流量进行控制，具体的过程如：实时统计所述业务系统的访问流量；基于所述访问流量和预设的流量阈值进行对比，并在所述访问流量大于所述流量阈值时，对所述业务系统进行限流操作；在访问流量不大于所述流量阈值时，不对所述业务系统进行限流操作。在业务系统的访问流量大于预设的流量阈值时，需要对访问业务系统的流量进行限流操作，以防止出现因访问业务系统的流量过多，导致业务系统崩溃的情况，有效控制业务系统的访问，使得业务系统可以保持正常的工作、稳定的提供服务。

可选的，本发明实施例提供的另一方法中，控制系统在基于更新后的访问控制规则控制终端对业务系统的访问后，生成所述用户对所述业务系统的访问日志，并将所述访问日志保存在日志数据库中，以便基于所述日志数据库中的访问日志对所述业务系统进行安全审计。访问日志具体包含访问的用户信息、终端信息、访问时间、访问的应用状态以及流量大小的信息，具体的，不论用户是否成功访问业务系统，均生成访问日志。访问日志可为后期提供详实、不可抵赖的安全审计，在发生安全时间时，可及时进行预警以及迅速定位事件起因和源头。

本发明实施例提供的方法中，控制系统由安全访问控制模块和安全接入代理模块组成，这两个模块的功能有所不同。

安全访问控制模块具有以下功能：

1、风险感知

安全访问控制模块可与移动办公环境中的终端中的可信环境感知代理进行联动，对终端访问应用系统过程中的设备环境风险进行感知。可信环境感知代理可将访问用户的设备环境安全属性同步至安全访问控制模块，安全访问控制模块对终端的安全性进行实时评估，并结合会话状态和权限列表，对终端的访问权限进行动态授权，并将更新后的规则下放到安全接入代理模块，以实现风险会话的实时阻断。

安全访问控制模块也可与业务系统上报的日志进行用户行为的风险评估，或者接收其他外部风险分析平台的风险数据如用户日志或审计记录等，进行持续的信任评估，支撑安全访问控制模块实现动态可信的权限判定。

2、访问审计

安全访问控制模块对用户认证、用户授权、应用系统访问行为等提供详细的日志记录以进行访问审计，包括访问的用户身份，终端信息、访问时间、访问的目标应用、认证及授权结果，风险及异常信息等。通过日志记录可以提供详实、不可抵赖的安全审计功能，当安全事件发生时，可及时预警以及迅速定位事件起因与产生源头。

3、统一配置管理

安全访问控制模块为各个子模块的统一配置点，管理员可在安全访问控制模块完成终端、用户、应用、认证、授权、系统设置等配置后，可将配置信息直接同步到安全接入代理模块中，实现对安全接入代理模块的集中自动配置。通过此功能，安全访问控制模块还可实现对安全接入代理模块的统一升级维护及故障修复。

4、WEB应用集中管理

安全访问控制模块可实现所有WEB应用的集中管理及发布。WEB应用可以通过安全访问控制模块进行注册，经过其向用户进行统一发布；同时，在安全访问控制模块的用户门户网页中，可根据登录用户身份统一展示用户可访问的应用列表。

5、用户统一认证

安全访问控制模块可执行用户身份认证。当安全访问控制模块收到访问请求后，将对访问者的身份信息进行认证，包括访问者的用户身份、应用身份，以实现应用的访问控制。在完成用户身份认证后，安全访问控制模块将获取该用户的权限来执行对应的访问控制措施。安全访问控制模块支持多种认证方式，并可以将其中任意方式组合使用，也可配合硬件特征绑定策略组合使用，满足特定应用场景的强身份认证需求。安全访问控制模块还可实现多个应用的单点登录功能。

6、用户授权

安全访问控制模块可以对认证通过的用户执行授权。当用户通过身份认证后，安全访问控制模块获取认证用户对应的应用权限列表，此后安全访问控制模块将根据用户的权限列表为用户访问进行授权，并将用户权限落地为具体的执行规则以控制安全接入代理模块执行预期的动作。

安全访问控制模块可将用户权限的变化实时下发给安全接入代理模块，实现用户访问控制的实时更新。

安全接入代理模块具有以下功能：

1、一站式应用管理

安全接入代理模块可实现应用的一站式管理及发布。应用可以通过安全接入代理模块和安全访问控制模块进行注册，向用户进行统一发布和管理；同时，安全接入代理模块可以结合安全访问控制模块，根据用户的身份以门户页面的形式进行统一展示用户可访问的应用列表。

2、认证通过的流量转发

安全接入代理模块可根据配置将用户请求转发给安全访问控制模块以进行授权判断，此后可对授权通过的请求进行流量转发，并实现用户身份及权限信息的传递。当用户通过应用授权后，后续的应用业务数据也由安全接入代理模块统一转发。

3、动态访问控制

安全接入代理模块具备细粒度的访问控制执行功能。当安全接入代理模块接管访问请求后，还可通过与安全访问控制模块联动进行访问控制策略判定，并根据判定结果执行访问控制措施。当访问用户的主体环境发生变化时，安全接入代理模块可接收安全访问控制模块的策略更新通知并执行，例如终止当前的应用访问会话。

4、安全传输

安全接入代理模块将集中代理用户与所有应用之间的访问请求与应答，传输数据的安全性需得到保障。在数据传输的过程中，安全接入代理模块可为数据传输提供数据加密服务，其支持单向TLS协议、双向TLS协议、国密TLS协议。通过对代理应用的全流量加密，安全接入代理模块可统一快速地实现应用数据的安全传输，即使应用本身并未采用安全的数据安全方式。

5、流量管控

安全接入代理模块通过访问代理，将处理应用的访问请求与应答，为保障代理模块的稳定工作，以及为后端业务应用建立安全防护，安全接入代理模块可对应用请求信息进行合法性检测，可支持基于请求内容长度、请求频度、请求连接数、访问时段等进行流量控制，当超过设置条件阈值时，安全接入代理模块可自动执行流量管控措施。

6、二次认证

当安全访问控制模块对当前访问请求判定为安全认证强度不足时，安全接入代理模块将对当前访问进行强制的二次认证，并且该二次认证所使用的认证机制可支持配置。

7、访问审计

安全接入代理模块将对应用访问行为、控制策略执行、网络流量统计提供详细的日志记录以进行访问审计，包括访问的用户身份，终端信息、访问时间、访问的应用状态、流量大小等。安全接入代理模块通过日志记录可为应用提供详实、不可抵赖的安全审计功能，当安全事件可能发生时，可及时预警以及迅速定位事件起因与产生源头。

本发明实施例提供的控制系统中的安全访问控制模块主要针对移动办公环境下的多种终端的访问控制需求，采用风险感知、动态授权、身份认证等技术，提供风险感知、应用审计、访问控制统一配置管理、WEB应用集中管理、用户统一认证与授权等功能。同时，安全访问控制模块也是基于终端环境动态信任评级的终端准入控制方法中的核心组成部分，是联动各个子模块的控制中心，而安全接入代理模块主要针对应用的访问控制需求，采用了流量控制、身份安全等技术，提供了认证通过的流量转发、一站式应用管理等能力。安全接入代理模块也是基于终端环境动态信任评级的终端准入控制方法中的重要组成部分。通过控制系统中的安全访问控制模块和安全接入代理模块之间的联动，实现了对终端访问业务系统的控制，通过对多方面的数据进行分析，对用户进行动态授权处理，并根据基于访问授权信息更新的访问控制规则控制对业务系统的访问，从而有效的提高业务系统的访问的安全性。

与图1所示的方法相对应的，本发明实施例还提供一种终端访问的控制装置，该装置应用于控制系统，用于支持图1所示的方法在现实生活中的应用，该装置的结构示意图如图5所示，具体说明如下所示：

获取单元501，用于在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据；

动态授权单元502，用于基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息；

控制单元503，用于基于所述用户的访问权限信息，更新与所述用户对应的访问控制规则，并基于更新后的访问控制规则控制所述终端对所述业务系统的访问。

本发明实施例提供的装置中，在用户请求访问业务系统的情况下，获取用户所使用的终端的设备评估信息、业务系统的访问日志以及用户的风险数据；基于设备评估信息、访问日志和风险数据，对用户进行动态授权，得到用户的访问权限信息；基于用户的访问权限信息，更新与用户对应的访问控制规则，并基于更新后的访问控制规则控制用户对业务系统的访问。通过使用设备评估信息、访问日志和风险数据进行多方面和多维度的分析，进而对用户进行动态授权处理，得到用户的访问权限信息；基于访问权限信息更新用户的访问控制规则，并根据访问控制规则控制终端的访问。基于多方面的数据对用户进行动态授权处理，可以分析用户多方面的信息，基于用户各个方面的信息对用户进行授权，提高授权的可靠性和可信度，并根据基于访问权限信息更新后的访问控制规则控制终端对业务系统的访问，有效的控制对业务系统的访问，规避存在风险的用户的访问，进而提高业务系统的访问的安全性。

本发明实施例提供的装置中，所述动态授权单元502，可以配置为：

验证子单元，用于基于所述设备评估信息中的用户信息和所述风险数据，对所述用户的身份进行验证；

判断子单元，用于若所述用户的身份验证通过，则基于所述设备评估信息中的设备环境信息，判断所述终端的设备环境是否安全；

生成子单元，用于若所述终端的设备环境安全，则基于所述用户信息确定所述用户类型，并基于所述用户类型、所述设备环境的环境安全等级、所述风险数据以及所述访问日志，生成所述用户的应用授权列表，并将所述应用授权列表作为访问授权信息。

本发明实施例提供的装置中，所述验证子单元，可以配置为：

确定模块，用于基于所述风险数据，确定所述用户的风险等级，并基于所述风险等级确定所述用户的验证模式；

第一验证模块，用于若所述用户的验证模式为普通模式，则基于所述用户信息对所述用户的身份进行验证；

第二验证模块，用于若所述用户的验证模式为多重模式，则向所述用户展示预设的验证信息输入界面，以获取所述用户输入的身份验证信息，基于所述身份验证信息和所述用户信息对所述用户的身份进行验证。

本发明实施例提供的装置中，所述判断子单元，可以配置为：

获取模块，用于获取所述设备环境信息中的系统状态信息、病毒库更新信息以及用户安全等级信息；

分析模块，用于对所述系统状态信息、所述病毒库更新信息以及所述用户安全等级信息进行分析，得到所述终端的环境安全等级，并基于所述环境安全等级判断所述终端的设备环境是否安全。

本发明实施例提供的装置中，所述控制单元503，可以配置为：

确定子单元，用于基于所述访问控制规则中的访问授权列表，确定所述用户是否具有访问所述业务系统的权限；

控制子单元，用于若所述用户具有访问所述业务系统的权限，则允许所述终端对所述业务系统进行访问；若所述用户不具有访问所述业务系统的权限，则不允许所述终端对所述业务系统进行访问。

本发明实施例提供的装置中，还可以配置为：

统计单元，用于实时统计所述业务系统的访问流量；

对比单元，用于基于所述访问流量和预设的流量阈值进行对比，并在所述访问流量大于所述流量阈值时，对所述业务系统进行限流操作。

本发明实施例提供的装置中，还可以配置为：

生成单元，用于生成所述用户对所述业务系统的访问日志，并将所述访问日志保存在日志数据库中，以便基于所述日志数据库中的访问日志对所述业务系统进行安全审计。

本发明实施例还提供了一种存储介质，所述存储介质包括存储的指令，其中，在所述指令运行时控制所述存储介质所在的设备执行以下操作：

在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据；

基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息；

基于所述用户的访问权限信息，更新与所述用户对应的访问控制规则，并基于更新后的访问控制规则控制所述终端对所述业务系统的访问。

本发明实施例还提供了一种电子设备，其结构示意图如图6所示，具体包括存储器601，以及一个或者一个以上的指令602，其中一个或者一个以上指令602存储于存储器601中，且经配置以由一个或者一个以上处理器603执行所述一个或者一个以上指令602进行以下操作：

在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据；

基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息；

基于所述用户的访问权限信息，更新与所述用户对应的访问控制规则，并基于更新后的访问控制规则控制所述终端对所述业务系统的访问。

上述各个实施例的具体实施过程及其衍生方式，均在本发明的保护范围之内。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种终端访问的控制方法，其特征在于，应用于控制系统，包括：

在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据；

基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息；

基于所述用户的访问权限信息，更新与所述用户对应的访问控制规则，并基于更新后的访问控制规则控制所述终端对所述业务系统的访问。

2.根据权利要求1所述的方法，其特征在于，所述基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息，包括：

基于所述设备评估信息中的用户信息和所述风险数据，对所述用户的身份进行验证；

若所述用户的身份验证通过，则基于所述设备评估信息中的设备环境信息，判断所述终端的设备环境是否安全；

若所述终端的设备环境安全，则基于所述用户信息确定所述用户类型，并基于所述用户类型、所述设备环境的环境安全等级、所述风险数据以及所述访问日志，生成所述用户的应用授权列表，并将所述应用授权列表作为访问授权信息。

3.根据权利要求2所述的方法，其特征在于，所述基于所述设备评估信息中的用户信息和所述风险数据，对所述用户的身份进行验证，包括：

基于所述风险数据，确定所述用户的风险等级，并基于所述风险等级确定所述用户的验证模式；

若所述用户的验证模式为普通模式，则基于所述用户信息对所述用户的身份进行验证；

若所述用户的验证模式为多重模式，则向所述用户展示预设的验证信息输入界面，以获取所述用户输入的身份验证信息，基于所述身份验证信息和所述用户信息对所述用户的身份进行验证。

4.根据权利要求2所述的方法，其特征在于，所述基于所述设备评估信息中的设备环境信息，判断所述终端的设备环境是否安全，包括：

获取所述设备环境信息中的系统状态信息、病毒库更新信息以及用户安全等级信息；

对所述系统状态信息、所述病毒库更新信息以及所述用户安全等级信息进行分析，得到所述终端的环境安全等级，并基于所述环境安全等级判断所述终端的设备环境是否安全。

5.根据权利要求1所述的方法，其特征在于，所述基于更新后的访问控制规则控制所述终端对所述业务系统的访问，包括：

基于所述访问控制规则中的访问授权列表，确定所述用户是否具有访问所述业务系统的权限；

若所述用户具有访问所述业务系统的权限，则允许所述终端对所述业务系统进行访问；

若所述用户不具有访问所述业务系统的权限，则不允许所述终端对所述业务系统进行访问。

6.根据权利要求1所述的方法，其特征在于，还包括：

实时统计所述业务系统的访问流量；

基于所述访问流量和预设的流量阈值进行对比，并在所述访问流量大于所述流量阈值时，对所述业务系统进行限流操作。

7.根据权利要求1所述的方法，其特征在于，还包括：

生成所述用户对所述业务系统的访问日志，并将所述访问日志保存在日志数据库中，以便基于所述日志数据库中的访问日志对所述业务系统进行安全审计。

8.一种终端访问的控制装置，其特征在于，应用于控制系统，包括：

获取单元，用于在用户请求访问业务系统的情况下，获取所述用户所使用的终端的设备评估信息、所述业务系统的访问日志以及所述用户的风险数据；

动态授权单元，用于基于所述设备评估信息、所述访问日志以及所述风险数据，对所述用户进行动态授权处理，得到所述用户的访问权限信息；

控制单元，用于基于所述用户的访问权限信息，更新与所述用户对应的访问控制规则，并基于更新后的访问控制规则控制所述终端对所述业务系统的访问。

9.一种存储介质，其特征在于，所述存储介质包括存储的指令，其中，在所述指令运行时控制所述存储介质所在的设备执行如权利要求1～7任意一项所述的终端访问的控制方法。

10.一种电子设备，其特征在于，包括存储器，以及一个或者一个以上的指令，其中一个或者一个以上指令存储于存储器中，且经配置以由一个或者一个以上处理器执行如权利要求1～7任意一项所述的终端访问的控制方法。

Images