CN114239034A - 一种保护敏感资源的日志记录系统及事故取证方法 - Google Patents

一种保护敏感资源的日志记录系统及事故取证方法 Download PDF

Info

Publication number
CN114239034A
CN114239034A CN202111587390.3A CN202111587390A CN114239034A CN 114239034 A CN114239034 A CN 114239034A CN 202111587390 A CN202111587390 A CN 202111587390A CN 114239034 A CN114239034 A CN 114239034A
Authority
CN
China
Prior art keywords
access
user
resources
log
sensitive
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202111587390.3A
Other languages
English (en)
Inventor
倪伟
黄晓炜
张冠华
曾新华
蒋林华
胡兴
宋梁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Guanghua Zhichuang Network Technology Co ltd
Original Assignee
Shanghai Guanghua Zhichuang Network Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Guanghua Zhichuang Network Technology Co ltd filed Critical Shanghai Guanghua Zhichuang Network Technology Co ltd
Priority to CN202111587390.3A priority Critical patent/CN114239034A/zh
Publication of CN114239034A publication Critical patent/CN114239034A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Databases & Information Systems (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本发明公开了一种保护敏感资源的日志记录系统及事故取证方法，所述日志记录系统包括权限管理器、云计算系统和日志数据库，所述云计算系统使用基于RBAC(基于角色的访问控制)访问控制模型的访问控制系统，所述日志记录系统与云计算系统的访问控制系统相结合。本发明提供的日志记录系统可以帮助云计算系统维护人员标记和监视云计算系统中敏感资源，通过该日志记录方法对云计算系统中的访问控制系统状态转移进行记录，同时基于用户主动标注的敏感资源，可以在安全事件(如敏感资源被违规访问)发生时可以高效帮助安全人员进行取证分析，研判出进行违规访问的用户主体。

Description

一种保护敏感资源的日志记录系统及事故取证方法
技术领域
本发明涉及信息安全技术领域，特别是一种保护敏感资源的日志记录系统及事故取证方法。
背景技术
目前云计算系统得到了广泛的应用，云计算通过互联网按需提供IT资源。企业不再需要自建IT基础设施，而是可以选择按需购买云计算平台提供的计算、存储、数据库、网络等资源。越来越多的软件厂商选择在云计算平台上部署和交付软件应用。阿里云、腾讯云、Amazon Web Services等云计算平台提供商得到了企业的信任。然而，使用云计算平台意味着将软件的运行和存储部署在了云计算平台提供的计算设施上，用户往往无法直接控制云计算平台提供的计算设施，而只能使用云计算平台划分出来的计算资源，也就意味着云计算平台上的用户数据实际脱离了用户的掌控。部署在云计算平台上的数据具有安全隐患，未经许可的访问可能导致企业重要资产的流失，造成大量经济损失。
日志系统通过记录系统中发生的事件来监视系统中各项组件的工作情况。目前大多数云计算平台通过使用访问控制系统结合日志系统实现对系统中资源的调度和监视。一般普遍认为访问日志可能被视为一种安全事件发生时用来取证和溯源的手段，然而在云计算平台中事实并非如此。在云计算平台中，由于平台的复杂性，日志系统往往要记录平台所有组件的相关信息。当安全事件发生时，系统中可能存在的日志数量可能过多(达到PB级别)，导致安全人员无法有效率的分析所有日志。同时，云计算平台中的日志系统是以监视整个系统的工作情况为目标，不能保证日志一定会记录敏感资源的访问情况，在安全事件发生时，不能保证现有的日志一定能为取证分析提供帮助。
因此，基于上述考虑有必要设计合理的安全措施，防止云计算平台中的敏感数据被非法访问。同时，在敏感资源被盗取或非法访问时，也需要有合理的取证方法，使安全人员在数据泄露发生时可以迅速找到访问者，锁定事件嫌疑人。
发明内容
本发明的目的是为了解决上述问题，设计了一种保护敏感资源的日志记录系统及事故取证方法。
实现上述目的本发明的技术方案为，一种保护敏感资源的日志记录系统及事故取证方法，所述日志记录系统包括权限管理器、云计算系统和日志数据库，所述云计算系统使用基于RBAC(基于角色的访问控制)访问控制模型的访问控制系统，所述日志记录系统与云计算系统的访问控制系统相结合；
所述日志记录系统会在云计算系统的不同工作阶段介入，会根据RBAC模型的要求，管理员在部署应用程序前，根据访问不同资源的需要，可以建立不同权限的角色，不同的角色可以分别访问不同的资源，应用程序在访问日志数据库中的资源时，作为用户向权限管理器申请访问资源，权限管理器参考访问控制系统存储的权限状态，判断用户所具有的权限是否具有访问资源的资格，从而做出批准或者拒绝的决定。
作为本发明的进一步补充，所述日志记录系统在管理员创建角色时介入，记录管理员建立角色以及分配权限的过程，从而记录访问控制系统的状态改变，存储为管理日志。
作为本发明的进一步补充，所述日志记录系统会记录用户请求访问资源的事件，存储为访问日志。
作为本发明的进一步补充，当开发人员部署应用程序时，所述日志记录系统会在开发人员上传资源时介入，此时所述日志记录系统会与开发人员交互，使其指定上传资源里的敏感资源，其中，敏感资源包括计算、文件、数据库等资源。
作为本发明的进一步补充，所述日志记录系统会根据用户手动标注的敏感资源，分析出访问控制系统中对敏感资源有访问权限的用户主体，每当开发者更改访问控制系统中的用户时，所述日志记录系统都会记录下当前状态，同时分析出基于该状态有哪些用户对于敏感资源具有访问权限。
作为本发明的进一步补充，所述事故取证方法包括:
当安全事故发生时，为了追踪违规访问资源的用户主体，安全人员通过分析事故情况，生成取证问题，并且通过分析已有证据回答取证问题，所述取证问题包括以下类型：
第一类：某用户是否有可能有权限访问某一资源；
第二类：某用户是否有权限访问某一资源；
第三类：某用户是否访问过某一资源；
在进行取证分析时，对于敏感文件被违规访问的情形，所述日志记录系统通过检索日志数据库，先确定该文件是否属于用户标注的敏感文件，对于敏感文件，安全人员基于对时间的分析，提出上述三类取证问题。
作为本发明的进一步补充，对于所述第三类取证问题，需要分析系统存储的访问日志，当默认访问日志不足时，可以借助本系统记录的权限系统日志对问题进行推断。
作为本发明的进一步补充，对于所述第一类取证问题和所述第二类取证问题，所述日志记录系统可以在线性时间内遍历日志数据库中涉及该文件的权限变化，可以确定在事故发生时间段内，某一用户是否对该文件有访问权限。
其有益效果在于，本发明旨在保护云计算平台中存储的敏感资源，在部署应用到云计算平台中，安全人员可以主动标注出应用中存在的敏感资源，本发明设计的日志记录系统会基于访问控制系统状态的变化记录对资源拥有访问权限的用户主体，可以帮助云计算系统维护人员标记和监视云计算系统中敏感资源，通过该日志记录方法对云计算系统中的访问控制系统状态转移进行记录，同时基于用户主动标注的敏感资源，在安全事故发生时，本发明所使用的日志系统可以帮助安全人员有效进行取证分析，检索出具有访问敏感资源的用户主体，从而进行进一步的事故分析，研判出进行违规访问的用户主体。
附图说明
图1是云计算系统得访问平台工作流程图；
图2是用户上传资源至云计算系统时本发明的工作流程图；
图3是管理员更改访问控制系统中角色权限时本发明的工作流程图；
图4是安全人员基于本发明的日志记录系统进行取证分析的工作流程图。
具体实施方式
首先说明一下本发明的研发初衷，目前大部分云计算平台使用访问控制系统(Access Control System)来保护用户存储在平台上的数据。访问控制系统可以限制用户对资源的访问，使只有经过授权的用户有资格访问特定数据，然而访问控制系统并不能完全防止数据泄露事件的发生。攻击者通过攻击手段伪造授权用户的登录信息，可以以被授权用户的身份访问用户存储在平台上的数据，从而盗取数据，一旦安全事件发生，如果没有良好的取证手段，那么将无法追溯被攻击者，现有的取证分析不能良好的工作于云计算平台，帮助安全人员分析事故起因、经过，锁定嫌疑人。
对于计算机系统，目前已有的安全分析技术需要对于发生安全事件的计算机系统有完整的访问权限，以便于恢复硬盘数据、创建内存转储文件，分析网络流量等。然而云计算系统的特性使以上技术在对云计算系统中的安全事件取证分析是不能有效发挥作用，其原因在安全人员在绝大多是时间对云计算平台中的底层硬件没有访问权限。为了解决上述问题，本发明提供了一种保护敏感资源的日志记录系统及事故取证方法。
本发明的创新之处在于设计了一种无需访问云计算平台底层硬件设备的取证分析系统，计算系统中数据泄露事故的取证分析是安全研究界重点关注的问题。本发明关注了该限制，提出了一种全新的用于在云计算平台中进行取证分析的思路，从平台提供的日志记录系统入手，对日志内容加以改进，设计新的日志思路，从而确保在安全事件发生时，系统提供的日志内容可以帮助安全人员对于事件进行取证分析。通过使用本发明提出的日志记录系统，在安全事故发生时，系统记录的日志可以帮助安全人员分析事故原因，追踪非法访问受限资源的嫌疑人。
下面结合附图对本发明进行具体描述，如图1-图4所示，本发明实质就是一种日志记录系统和安全分析算法，其主要包括权限管理器、云计算系统和日志数据库，本发明提供的日志记录系统与云计算系统的访问控制系统相结合，主流的云计算平台(阿里云、腾讯云、Amazon Web Services)使用基于RBAC(基于角色的访问控制)访问控制模型的访问控制系统，本发明也是如此。
该日志记录系统会在云计算系统的不同工作阶段介入。云计算平台的访问控制系统工作流程图如图1所示，根据RBAC模型的要求，管理员在部署应用程序前，根据访问不同资源的需要，可以建立不同权限的角色，不同的角色可以分别访问不同的资源，应用程序在访问资源时，作为用户向权限管理器申请访问资源，权限管理器参考访问控制系统存储的权限状态，判断用户所具有的权限是否具有访问资源的资格，从而做出批准或者拒绝的决定。本系统在管理员创建角色时介入，记录管理员建立角色以及分配权限的过程，从而记录访问控制系统的状态改变，存储为管理日志；日志记录系统同时会记录用户请求访问资源的事件，存储为访问日志。
当开发人员部署应用程序时，云计算平台的工作流程如图2所示，本系统会在开发人员上传资源时介入，此时本系统会与开发人员交互，使其指定上传资源里的敏感资源，其中，敏感资源可以是计算、文件、数据库等资源。本日志记录系统会根据用户手动标注的敏感资源，分析出访问控制系统中对敏感资源有访问权限的用户主体。如图3所示，每当开发者更改访问控制系统中的用户时，日志记录系统都会记录下当前状态，同时分析出基于该状态有哪些用户对于敏感资源具有访问权限。在敏感资源被访问时，本日志记录系统不会对访问事件做出记录，其原因是记录资源访问事件会生成及大量的日志信息，而这些信息对于取证分析往往是冗余的，甚至会干扰安全人员在分析事故时做出的判断。如果云计算系统的默认日志记录系统记录了访问事件日志，本系统可以在取证分析时使用访问事件回答取证问题。
当安全事件发生时，为了追踪违规访问资源的用户主体，安全人员应该通过分析事故情况，生成取证问题，并且通过分析已有证据回答取证问题。
该取证问题具有三种类型：
1：某用户是否有可能有权限访问某一资源
2：某用户是否有权限访问某一资源
3：某用户是否访问过某一资源
其中，取证问题3的答案相比于取证问题2、1可以为安全人员提供更为确切的证据以追踪违规访问者。但是，在取证难度上，取证问题3需要的证据量会多于取证问题2，取证问题2所需的证据量则多于取证问题1，同时取证问题2、1并非对安全人员分析事件无帮助。取证问题1的否定结果可以推论出取证问题2的否定结果，从而推论出取证问题3的否定结果。例如，用户A没有可能有权限访问文件F(取证问题1的回答)可以推论出用户A没有权限访问文件F(取证问题2的回答)，从而进一步推论出用户A没有访问文件F(取证问题3的回答)。
本发明通过记录访问控制系统状态的变化，帮助安全人员回答某用户在某一时间段是否有权限访问某一资源，从而分析出RBAC模型中可能访问文件的用户主体。
在进行取证分析时，本日志记录系统的工作流程如图4所示，对于敏感文件被违规访问的情形，本系统通过检索日志数据库，先确定该文件是否属于用户标注的敏感文件。对于敏感文件，安全人员基于对时间的分析，可以提出如上述三类不同的取证问题。对于第三类取证问题，需要分析系统存储的访问日志，当默认访问日志不足时，可以借助本系统记录的权限系统日志对问题进行推断。对于第一、第二类取证问题，本系统可以在线性时间内遍历日志数据库中涉及该文件的权限变化，可以确定在事故发生时间段内，某一用户是否对该文件有访问权限，由于访问控制系统的状态变化是线性的，且本系统记录了自用户使用系统后根据RBAC模型创建的所有角色的变化，本系统可以确保回答第一、第二类取证问题，为安全人员追踪肇事的用户主体提供帮助。
上述技术方案仅体现了本发明技术方案的优选技术方案，本技术领域的技术人员对其中某些部分所可能做出的一些变动均体现了本发明的原理，属于本发明的保护范围之内。

Claims (8)

1.一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，所述日志记录系统包括权限管理器、云计算系统和日志数据库，
所述云计算系统使用基于RBAC(基于角色的访问控制)访问控制模型的访问控制系统，所述日志记录系统与云计算系统的访问控制系统相结合；
所述日志记录系统会在云计算系统的不同工作阶段介入，会根据RBAC模型的要求，管理员在部署应用程序前，根据访问不同资源的需要，可以建立不同权限的角色，不同的角色可以分别访问不同的资源，应用程序在访问日志数据库中的资源时，作为用户向权限管理器申请访问资源，权限管理器参考访问控制系统存储的权限状态，判断用户所具有的权限是否具有访问资源的资格，从而做出批准或者拒绝的决定。
2.根据权利要求1所述的一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，所述日志记录系统在管理员创建角色时介入，记录管理员建立角色以及分配权限的过程，从而记录访问控制系统的状态改变，存储为管理日志。
3.根据权利要求1所述的一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，所述日志记录系统会记录用户请求访问资源的事件，存储为访问日志。
4.根据权利要求1所述的一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，当开发人员部署应用程序时，所述日志记录系统会在开发人员上传资源时介入，此时所述日志记录系统会与开发人员交互，使其指定上传资源里的敏感资源，其中，敏感资源包括计算、文件、数据库等资源。
5.根据权利要求1所述的一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，所述日志记录系统会根据用户手动标注的敏感资源，分析出访问控制系统中对敏感资源有访问权限的用户主体，每当开发者更改访问控制系统中的用户时，所述日志记录系统都会记录下当前状态，同时分析出基于该状态有哪些用户对于敏感资源具有访问权限。
6.根据权利要求1-5任一所述的一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，所述事故取证方法包括:
当安全事故发生时，为了追踪违规访问资源的用户主体，安全人员通过分析事故情况，生成取证问题，并且通过分析已有证据回答取证问题，所述取证问题包括以下类型：
第一类：某用户是否有可能有权限访问某一资源；
第二类：某用户是否有权限访问某一资源；
第三类：某用户是否访问过某一资源；
在进行取证分析时，对于敏感文件被违规访问的情形，所述日志记录系统通过检索日志数据库，先确定该文件是否属于用户标注的敏感文件，对于敏感文件，安全人员基于对时间的分析，提出上述三类取证问题。
7.根据权利要求6所述的一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，对于所述第三类取证问题，需要分析系统存储的访问日志，当默认访问日志不足时，可以借助本系统记录的权限系统日志对问题进行推断。
8.根据权利要求6所述的一种保护敏感资源的日志记录系统及事故取证方法，其特征在于，对于所述第一类取证问题和所述第二类取证问题，所述日志记录系统可以在线性时间内遍历日志数据库中涉及该文件的权限变化，可以确定在事故发生时间段内，某一用户是否对该文件有访问权限。
CN202111587390.3A 2021-12-23 2021-12-23 一种保护敏感资源的日志记录系统及事故取证方法 Pending CN114239034A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111587390.3A CN114239034A (zh) 2021-12-23 2021-12-23 一种保护敏感资源的日志记录系统及事故取证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111587390.3A CN114239034A (zh) 2021-12-23 2021-12-23 一种保护敏感资源的日志记录系统及事故取证方法

Publications (1)

Publication Number Publication Date
CN114239034A true CN114239034A (zh) 2022-03-25

Family

ID=80761902

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111587390.3A Pending CN114239034A (zh) 2021-12-23 2021-12-23 一种保护敏感资源的日志记录系统及事故取证方法

Country Status (1)

Country Link
CN (1) CN114239034A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116614314A (zh) * 2023-07-19 2023-08-18 北京鸿迪鑫业科技有限公司 一种基于网络安全的用户分级方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116614314A (zh) * 2023-07-19 2023-08-18 北京鸿迪鑫业科技有限公司 一种基于网络安全的用户分级方法
CN116614314B (zh) * 2023-07-19 2023-09-22 北京鸿迪鑫业科技有限公司 一种基于网络安全的用户分级方法

Similar Documents

Publication Publication Date Title
US7814021B2 (en) Managed distribution of digital assets
CN101512490B (zh) 在网络化环境中保护数据安全
CN103632080B (zh) 一种基于USBKey的移动数据应用安全保护方法
US11182499B2 (en) Method of integrating an organizational security system
Boiko et al. System integration and security of information systems
CN103413088A (zh) 一种计算机文档操作安全审计系统
CN117521091A (zh) 基于数据分类分级的安全策略矩阵的访问控制方法及系统
Jain et al. A relative study on different database security threats and their security techniques
CN114239034A (zh) 一种保护敏感资源的日志记录系统及事故取证方法
CN117118729A (zh) 一种管理云服务器系统
Al-Fedaghi et al. Events classification in log audit
CN109726187B (zh) 一种面向Hadoop的自适应权限控制方法及装置
CN108600178A (zh) 一种征信数据的安全保障方法及系统、征信平台
US10116438B1 (en) Managing use of security keys
Chang et al. Design of inside information leakage prevention system in ubiquitous computing environment
Georgiou et al. A security policy for cloud providers
Liu et al. User behavior control method for HPC system
Li et al. A Dynamic Adaptive Access Control Scheme for Hadoop Platform
KR102488337B1 (ko) 디지털포렌식을 이용한 디지털정보 관리 방법 및 그 장치
Yan et al. Risk analysis of cyber security in nuclear power plant
Sun et al. Construction of situation assessment indicator system based on latitude and longitude lines of information security
Meher Threat Handling using the NIST Framework in a Recruitment Environment
Tărchilă Protection of Personal Data for Individuals on the Territory of the Union of Europe
Szleszynski The Method of Evaluation Degree of Changes Confidentiality Attribute of Information Asset Inside ICT System/Metoda Oceny Stopnia Zmian Atrybutu Poufnosci Zasobu Informacyjnego w Systemie Teleinformatycznym
Koshkin et al. Security system integration in information systems for IT projects

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication