CN115314405A - 零信任网关用户动态评分方法及装置 - Google Patents

零信任网关用户动态评分方法及装置 Download PDF

Info

Publication number
CN115314405A
CN115314405A CN202210594985.XA CN202210594985A CN115314405A CN 115314405 A CN115314405 A CN 115314405A CN 202210594985 A CN202210594985 A CN 202210594985A CN 115314405 A CN115314405 A CN 115314405A
Authority
CN
China
Prior art keywords
user
trust
data
trust score
scoring
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210594985.XA
Other languages
English (en)
Inventor
于新宇
张翼
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jiangsu Anji Technology Co ltd
Original Assignee
Jiangsu Anji Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jiangsu Anji Technology Co ltd filed Critical Jiangsu Anji Technology Co ltd
Priority to CN202210594985.XA priority Critical patent/CN115314405A/zh
Publication of CN115314405A publication Critical patent/CN115314405A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Mining & Analysis (AREA)
  • Environmental & Geological Engineering (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本申请涉及一种零信任网关用户动态评分方法及装置，属于计算机技术领域，该方法包括：基于信任评分项进行数据收集，得到用户数据；根据用户数据和设定的评分规则产生用户信任评分；基于用户信任评分执行对应的处置策略和告警；可以解决RBAC模型权限不能动态收缩的问题、以及ABAC模型无法直观地关联用户与资源之间的关系的问题；根据评分对应的权限处置方式(如强制下线，决绝访问，增强认证)动态的收缩权限，可以实现PBAC模型的动态权限收缩；根据资源的访问分数和用户获得的信任评分进行匹配来实现用户和资源的关联，可以简化繁琐的策略配置，提高资源和用户、评分的对应关系的配置效率。

Description

零信任网关用户动态评分方法及装置
【技术领域】
本申请涉及一种零信任网关用户动态评分方法及装置，属于计算机技术领域。
【背景技术】
访问控制是所有系统都需要的一种技术，访问控制是按照用户的身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用。访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。
最常见的访问控制是基于角色的访问控制(Role-Based Access Control，RBAC)和基于属性的访问控制(Attribute-Based Access Control，ABAC)。基于RBAC模型进行设计的权限管理功能，通过将权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。基于ABAC设计的权限管理模型，通过用户的主体属性(如岗位、部门、年龄等)、资源对象属性(被访问文件格式、目录、标签等)、访问环境属性(如时间、地点、设备类型等)以及操作属性(如读写等)是否满足某种条件来进行授权判断(可以编写简单的逻辑)。
然而，基于RBAC模型设计的权限管理，当用户的网络环境，硬件环境等发生变化，存在安全风险的时候，用户的权限并不能灵活的进行收缩，导致系统存在安全风险。基于ABAC的访问控制，在理论上能够实现灵活的权限控制，也可以解决RBAC的权限收缩问题。但是由于用户属性的多样性，定义用户与资源之间的关系不能直观地看出来，同时权限设计复杂，或者设计混乱，对于系统的维护和问题的追查会非常困难，业务团队运营困难。
【发明内容】
本申请提供了一种零信任网关用户动态评分方法及装置，可以解决RBAC模型权限不能动态收缩的问题、以及ABAC模型无法直观地关联用户与资源之间的关系的问题。本申请提供如下技术方案：
一方面，一种零信任网关用户动态评分方法，所述方法包括：
基于信任评分项进行数据收集，得到用户数据；
根据所述用户数据和设定的评分规则产生用户信任评分；
基于所述用户信任评分执行对应的处置策略和告警。
可选地，所述基于信任评分项进行数据收集，得到用户数据，包括：
通过日志文件采集工具filebeat配置需要采集的文件和输出的位置，得到配置信息；
获取基于所述配置信息采集的用户的日志信息；
将所述日志信息收集起来发送到数据过滤工具Logstash，以使所述logstash过滤日志文件中的数据，并将过滤后的数据通过插件存储到mysql数据库中。
可选地，所述日志信息包括用户访问过程中的http请求协议中的user-agent内容的解析日志、用户的访问接口和用户访问对应的接口的返回状态、用户的请求IP地址的日志。
可选地，所述基于信任评分项进行数据收集，得到用户数据，包括：
接收各个系统的restful的日志输出接口，将日志打印到日志文件，通过日志文件的方式收集所述用户数据。
可选地，所述根据所述用户数据和设定的评分规则产生用户信任评分，包括：
基于规则引擎Drools进行用户的评分，得到所述用户信任评分。
可选地，所述基于规则引擎Drools进行用户的评分，包括：
获取mysql数据库中的用户评分项；
获取基于所述用户评分项编写的规则文件；
运行所述规则文件得到所述用户信任评分。
可选地，所述基于所述用户信任评分执行对应的处置策略和告警，包括：
在RBAC模型系统中，根据所述用户信任评分对应的权限处置方式动态地收缩权限；
在ABAC模型系统中，根据资源的访问分数和所述用户信任评分进行匹配，以实现用户和资源的关联，得到资源、用户和用户信任评分之间的对应关系。
可选地，所述用户信任评分对应的权限处置方式，包括：强制下线、决绝访问和/或增强认证。
可选地，所述基于所述用户信任评分执行对应的处置策略和告警，包括：
向用户邮箱和管理员邮箱发送所述用户信任评分的详细数据。
另一方面，提供一种零信任网关用户动态评分装置，所述装置包括：
数据收集模块，用于基于信任评分项进行数据收集，得到用户数据；
用户信任评分模块，用于根据所述用户数据和设定的评分规则产生用户信任评分；
实时处置策略模块，用于基于所述用户信任评分执行对应的处置策略和告警。
本申请的有益效果至少包括：通过基于信任评分项进行数据收集，得到用户数据；根据用户数据和设定的评分规则产生用户信任评分；基于用户信任评分执行对应的处置策略和告警；可以解决RBAC模型权限不能动态收缩的问题、以及ABAC模型无法直观地关联用户与资源之间的关系的问题；根据评分对应的权限处置方式(如强制下线，决绝访问，增强认证)动态的收缩权限，可以实现PBAC模型的动态权限收缩；根据资源的访问分数和用户获得的信任评分进行匹配来实现用户和资源的关联，可以简化繁琐的策略配置，提高资源和用户、评分的对应关系的配置效率。
上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，并可依照说明书的内容予以实施，以下以本申请的较佳实施例并配合附图详细说明如后。
【附图说明】
图1是本申请一个实施例提供的零信任网关用户动态评分方法的流程图；
图2是本申请一个实施例提供的零信任网关用户动态评分系统架构的示意图；
图3是本申请一个实施例提供的零信任网关用户动态评分装置的框图。
【具体实施方式】
下面结合附图和实施例，对本申请的具体实施方式做进一步详细描述。以下实施例用于说明本申请，但不用来限制本申请的范围。
图1是本申请一个实施例提供的零信任网关用户动态评分方法的流程图，该方法至少包括：
步骤101，基于信任评分项进行数据收集，得到用户数据。
示意性地，本实施例中，基于用户属性、终端属性和/或网络环境等信任评分项的数据收集。
可选地，数据收集方式包括通过日志文件收集和接口收集，下面对这种方式分别进行介绍。
第一种，通过日志文件收集，包括：通过日志文件采集工具filebeat配置需要采集的文件和输出的位置，得到配置信息；获取基于配置信息采集的用户的日志信息；将日志信息收集起来发送到数据过滤工具Logstash，以使logstash过滤日志文件中的数据，并将过滤后的数据通过插件存储到mysql数据库中。
可选地，日志信息包括用户访问过程中的http请求协议中的user-agent内容的解析日志、用户的访问接口和用户访问对应的接口的返回状态、用户的请求IP地址的日志。
比如：日志收集字段如下：
网卡读写字节数时间ip地址网络流量ip地址；
网络连接/断开时间连接/断开状态源地址ip源端口目标地址ip目标端口；
服务器端口开/闭时间戳ip地址监听地址：占用端口tcp/udp；
服务器资源时间ip地址cpu使用率内存使用率硬盘使用率；
文件操作监控时间操作类型操作文件进程被操作文件。
第二种，通过接口收集，包括：接收各个系统的restful的日志输出接口，将日志打印到日志文件，通过日志文件的方式收集用户数据。作为扩展可以补充用户评分的属性项。
步骤102，根据用户数据和设定的评分规则产生用户信任评分。
本实施例中，主要是对手机的用户评分项数据进行计算和分析获得用户评分。具体地，可以基于规则引擎Drools进行用户的评分，得到用户信任评分。
其中，基于规则引擎Drools进行用户的评分，包括：获取mysql数据库中的用户评分项；获取基于用户评分项编写的规则文件；运行规则文件得到用户信任评分。
本实施例中，通过使用drools规则引擎可以通过编写的规则文件，快速的，灵活的变更评分的方法，提高用户信任评分的生成效率。
步骤103，基于用户信任评分执行对应的处置策略和告警。
本实施例中，基于用户信任评分执行对应的处置策略和告警可以补足RBAC和ABAC权限模型系统中的安全风险。通过用户信任评分实时地去衡量当前的用户和用户所处的安全环境好用户行为的安全风险值，通过处置策略和告警，能让用户和系统管理员，实时的发现系统中的危险用户和危险操作。通过对用户进行各种不同的处置策略，增强整个系统的安全性。
例如：当用户在非工作时间，或者非常用IP的地方进行登录访问，系统会更具设置的用户评分减分规则，降低当前的用户评分，当用户评分降低时，就可以设置策略，用户当前可能不能登陆或者用户需要进行增强验证后才能登陆，排除系统的安全风险。
示意性地，基于用户信任评分执行对应的处置策略和告警，包括：在RBAC模型系统中，根据用户信任评分对应的权限处置方式动态地收缩权限；在ABAC模型系统中，根据资源的访问分数和用户信任评分进行匹配，以实现用户和资源的关联，得到资源、用户和用户信任评分之间的对应关系。
其中，用户信任评分对应的权限处置方式，包括：强制下线、决绝访问和/或增强认证。
基于用户信任评分执行对应的处置策略和告警，还包括：向用户邮箱和管理员邮箱发送用户信任评分的详细数据。
本实施例中的处理策略和告警主要是实时的根据用户计算出来的用户信任评分设置不同的处理方式，集成邮件发送功能，将用户评分的明细发送给相关用户。例如：当用户评分过低，将用户踢下线并重新登录，或者强制增强认证等等不同的策略，同时向用户的邮箱和管理员邮箱发送用户评分的详细数据，管理员和用户能够发现自身系统的危险和风险。
具体地，本实施例提供的用户动态评分的系统架构参考图2，根据图2可知，该系统支持终端分析、环境感知、安全审计和安全分析，得到用户数据；之后，通过信任评分大脑可以得到用户信任评分；基于该用户信任评分可以得到对应的处理策略，从而实现资源访问、以及用户的认证管理、身份管理、基础安全管理和资源管理。
综上所述，本实施例提供的零信任网关用户动态评分方法，通过基于信任评分项进行数据收集，得到用户数据；根据用户数据和设定的评分规则产生用户信任评分；基于用户信任评分执行对应的处置策略和告警；可以解决RBAC模型权限不能动态收缩的问题、以及ABAC模型无法直观地关联用户与资源之间的关系的问题；根据评分对应的权限处置方式(如强制下线，决绝访问，增强认证)动态的收缩权限，可以实现PBAC模型的动态权限收缩；根据资源的访问分数和用户获得的信任评分进行匹配来实现用户和资源的关联，可以简化繁琐的策略配置，提高资源和用户、评分的对应关系的配置效率。
本实施例提供一种零信任网关用户动态评分装置，如图3所示。该装置包括至少以下几个模块：数据收集模块310、用户信任评分模块320和实时处置策略模块330。
数据收集模块310，用于基于信任评分项进行数据收集，得到用户数据；
用户信任评分模块320，用于根据所述用户数据和设定的评分规则产生用户信任评分；
实时处置策略模块330，用于基于所述用户信任评分执行对应的处置策略和告警。
相关细节参考上述方法实施例。
需要说明的是：上述实施例中提供的零信任网关用户动态评分装置在进行零信任网关用户动态评分时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将零信任网关用户动态评分装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的零信任网关用户动态评分装置与零信任网关用户动态评分方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。
可选地，本申请还提供有一种计算机可读存储介质，计算机可读存储介质中存储有程序，程序由处理器加载并执行以实现上述方法实施例的零信任网关用户动态评分方法。
可选地，本申请还提供有一种计算机产品，该计算机产品包括计算机可读存储介质，计算机可读存储介质中存储有程序，程序由处理器加载并执行以实现上述方法实施例的零信任网关用户动态评分方法。
以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种零信任网关用户动态评分方法，其特征在于，所述方法包括：
基于信任评分项进行数据收集，得到用户数据；
根据所述用户数据和设定的评分规则产生用户信任评分；
基于所述用户信任评分执行对应的处置策略和告警。
2.根据权利要求1所述的方法，其特征在于，所述基于信任评分项进行数据收集，得到用户数据，包括：
通过日志文件采集工具filebeat配置需要采集的文件和输出的位置，得到配置信息；
获取基于所述配置信息采集的用户的日志信息；
将所述日志信息收集起来发送到数据过滤工具Logstash，以使所述logstash过滤日志文件中的数据，并将过滤后的数据通过插件存储到mysql数据库中。
3.根据权利要求2所述的方法，其特征在于，所述日志信息包括用户访问过程中的http请求协议中的user-agent内容的解析日志、用户的访问接口和用户访问对应的接口的返回状态、用户的请求IP地址的日志。
4.根据权利要求1所述的方法，其特征在于，所述基于信任评分项进行数据收集，得到用户数据，包括：
接收各个系统的restful的日志输出接口，将日志打印到日志文件，通过日志文件的方式收集所述用户数据。
5.根据权利要求1所述的方法，其特征在于，所述根据所述用户数据和设定的评分规则产生用户信任评分，包括：
基于规则引擎Drools进行用户的评分，得到所述用户信任评分。
6.根据权利要求5所述的方法，其特征在于，所述基于规则引擎Drools进行用户的评分，包括：
获取mysql数据库中的用户评分项；
获取基于所述用户评分项编写的规则文件；
运行所述规则文件得到所述用户信任评分。
7.根据权利要求1所述的方法，其特征在于，所述基于所述用户信任评分执行对应的处置策略和告警，包括：
在RBAC模型系统中，根据所述用户信任评分对应的权限处置方式动态地收缩权限；
在ABAC模型系统中，根据资源的访问分数和所述用户信任评分进行匹配，以实现用户和资源的关联，得到资源、用户和用户信任评分之间的对应关系。
8.根据权利要求7所述的方法，其特征在于，所述用户信任评分对应的权限处置方式，包括：强制下线、决绝访问和/或增强认证。
9.根据权利要求1所述的方法，其特征在于，所述基于所述用户信任评分执行对应的处置策略和告警，包括：
向用户邮箱和管理员邮箱发送所述用户信任评分的详细数据。
10.一种零信任网关用户动态评分装置，其特征在于，所述装置包括：
数据收集模块，用于基于信任评分项进行数据收集，得到用户数据；
用户信任评分模块，用于根据所述用户数据和设定的评分规则产生用户信任评分；
实时处置策略模块，用于基于所述用户信任评分执行对应的处置策略和告警。
CN202210594985.XA 2022-05-28 2022-05-28 零信任网关用户动态评分方法及装置 Pending CN115314405A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210594985.XA CN115314405A (zh) 2022-05-28 2022-05-28 零信任网关用户动态评分方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210594985.XA CN115314405A (zh) 2022-05-28 2022-05-28 零信任网关用户动态评分方法及装置

Publications (1)

Publication Number Publication Date
CN115314405A true CN115314405A (zh) 2022-11-08

Family

ID=83854907

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210594985.XA Pending CN115314405A (zh) 2022-05-28 2022-05-28 零信任网关用户动态评分方法及装置

Country Status (1)

Country Link
CN (1) CN115314405A (zh)

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103338190A (zh) * 2013-06-13 2013-10-02 国家电网公司 基于用户行为可信的非结构化数据安全交换方法
CN111917714A (zh) * 2020-06-18 2020-11-10 云南电网有限责任公司信息中心 一种零信任架构系统及其使用方法
CN113542214A (zh) * 2021-05-31 2021-10-22 新华三信息安全技术有限公司 一种访问控制方法、装置、设备及机器可读存储介质
CN114268494A (zh) * 2021-12-22 2022-04-01 赛尔网络有限公司 安全访问方法、系统、设备及介质
CN114285664A (zh) * 2021-12-29 2022-04-05 赛尔网络有限公司 异常用户识别方法、系统、设备及介质
CN114465807A (zh) * 2022-02-24 2022-05-10 重庆邮电大学 一种基于机器学习的零信任api网关动态信任评估与访问控制方法及系统
US20220166788A1 (en) * 2020-11-23 2022-05-26 Juniper Networks, Inc. Trust scoring of network entities in networks

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103338190A (zh) * 2013-06-13 2013-10-02 国家电网公司 基于用户行为可信的非结构化数据安全交换方法
CN111917714A (zh) * 2020-06-18 2020-11-10 云南电网有限责任公司信息中心 一种零信任架构系统及其使用方法
US20220166788A1 (en) * 2020-11-23 2022-05-26 Juniper Networks, Inc. Trust scoring of network entities in networks
CN113542214A (zh) * 2021-05-31 2021-10-22 新华三信息安全技术有限公司 一种访问控制方法、装置、设备及机器可读存储介质
CN114268494A (zh) * 2021-12-22 2022-04-01 赛尔网络有限公司 安全访问方法、系统、设备及介质
CN114285664A (zh) * 2021-12-29 2022-04-05 赛尔网络有限公司 异常用户识别方法、系统、设备及介质
CN114465807A (zh) * 2022-02-24 2022-05-10 重庆邮电大学 一种基于机器学习的零信任api网关动态信任评估与访问控制方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
张宇;张妍;: "零信任研究综述", 信息安全研究, no. 07 *

Similar Documents

Publication Publication Date Title
CN106713332B (zh) 网络数据的处理方法、装置和系统
CN103152352B (zh) 一种基于云计算环境的全信息安全取证监听方法和系统
CN107395570B (zh) 基于大数据管理分析的云平台审计系统
CN107733863B (zh) 一种分布式hadoop环境下的日志调试方法和装置
US20050071643A1 (en) Method of and system for enterprise information asset protection through insider attack specification, monitoring and mitigation
US20050071642A1 (en) Real-time mitigation of data access insider intrusions
WO2004066082A2 (en) Digital asset usage accountability via event journaling
US8239880B1 (en) Orchestrating flow of event information to several event handling components
CN103684922A (zh) 基于sdn网络的出口信息保密检查检测平台系统及检测方法
CN103124226A (zh) 一种家庭宽带上网监控系统及方法
CN104504014A (zh) 基于大数据平台的数据处理方法和装置
CN111526156A (zh) 基于大数据的安全云平台系统
CN111046415A (zh) 一种涉密文件的智能分级预警系统及其方法
CN103457802A (zh) 一种信息传输系统及方法
CN111177480A (zh) 一种区块链目录档案系统
CN111680900A (zh) 一种工单发布方法、装置、电子设备及存储介质
CN111131170A (zh) 主机审计系统的客户端策略处理方法
CN114244568B (zh) 基于终端访问行为的安全接入控制方法、装置和设备
US20080270483A1 (en) Storage Management System
US8667509B1 (en) Providing context information for events to an event handling component
CN115314405A (zh) 零信任网关用户动态评分方法及装置
CN112307441A (zh) 一种计算机软件保护系统
CN115208689B (zh) 基于零信任的访问控制方法、装置及设备
CN111740973A (zh) 一种区块链服务与应用的智能防御系统及方法
US8763015B1 (en) Efficient multi-node system for providing event information to event handling components

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination