CN116418568A - 一种基于动态信任评估的数据安全访问控制方法、系统及存储介质 - Google Patents
一种基于动态信任评估的数据安全访问控制方法、系统及存储介质 Download PDFInfo
- Publication number
- CN116418568A CN116418568A CN202310260640.5A CN202310260640A CN116418568A CN 116418568 A CN116418568 A CN 116418568A CN 202310260640 A CN202310260640 A CN 202310260640A CN 116418568 A CN116418568 A CN 116418568A
- Authority
- CN
- China
- Prior art keywords
- access
- user
- data
- risk
- value
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000011156 evaluation Methods 0.000 title claims abstract description 41
- 238000000034 method Methods 0.000 title claims abstract description 34
- 238000003860 storage Methods 0.000 title claims abstract description 9
- 238000012502 risk assessment Methods 0.000 claims abstract description 36
- 230000008569 process Effects 0.000 claims abstract description 9
- 238000013475 authorization Methods 0.000 claims description 17
- 230000035945 sensitivity Effects 0.000 claims description 11
- 238000005259 measurement Methods 0.000 claims description 7
- 238000007476 Maximum Likelihood Methods 0.000 claims description 6
- 238000009826 distribution Methods 0.000 claims description 6
- 238000012544 monitoring process Methods 0.000 claims description 6
- 238000002474 experimental method Methods 0.000 claims description 3
- 238000005516 engineering process Methods 0.000 abstract description 3
- 230000009466 transformation Effects 0.000 abstract description 2
- 238000004590 computer program Methods 0.000 description 7
- 230000006399 behavior Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 6
- 230000006870 function Effects 0.000 description 6
- 238000012545 processing Methods 0.000 description 5
- 238000004422 calculation algorithm Methods 0.000 description 4
- 238000004458 analytical method Methods 0.000 description 2
- 238000004364 calculation method Methods 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000013528 artificial neural network Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000011217 control strategy Methods 0.000 description 1
- 230000003111 delayed effect Effects 0.000 description 1
- 230000007613 environmental effect Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000013508 migration Methods 0.000 description 1
- 230000005012 migration Effects 0.000 description 1
- 230000035772 mutation Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000005457 optimization Methods 0.000 description 1
- 230000008447 perception Effects 0.000 description 1
- 230000037081 physical activity Effects 0.000 description 1
- 238000012954 risk control Methods 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/101—Access control lists [ACL]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/105—Multiple levels of security
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开了一种基于动态信任评估的数据安全访问控制方法、系统及存储介质，方法包括以下步骤：步骤一.用户发起访问申请，如访问控制系统中无相应用户访问记录表则生成访问记录表；步骤二.访问控制系统采集访问主体、客体信息，生成访问记录信息；步骤四.访问控制系统判断本次访问是否属于白名单访问；步骤五.根据访问记录表中的信息，计算用户访问风险安全基线值，对用户访问风险进行动态评估；步骤六.如风险评估值高于或等于访问风险安全基线值则拒绝访问并结束流程，如风险评估值低于安全基线值则对用户进行授权。本发明利用白名单访问方式建立用户风险安全基线，有效降低了系统改造难度，可结合UEBA等现有技术进行内部访问控制。
Description
技术领域
本发明涉及一种网络数据安全访问控制方法，属于企业网络数据安全技术领域。
背景技术
零信任架构是一种基于零信任原则建立的企业网络安全架构，遵循“永不信任，始终认证”的原则，网络中所有设备、用户和流量都应经过认证和授权，旨在防止企业内部数据泄露，限制内部攻击者横向移动和攻击破坏。零信任架构的本质是在访问主体(用户)和客体(数据)之间构建动态访问控制体系，对默认不可信的所有数据访问请求进行加密、认证和强制授权，对访问主体进行持续信任评估，并根据信任评估结果对访问权限进行动态调整，最终在访问主体和访问客体之间建立一种动态的信任关系。如图1所示，策略引擎组件负责最终决策授予给定主体对客体的访问权限。策略引擎使用企业策略和外部输入数据作为信任算法的输入来授予、拒绝或撤销主体对客体的访问权，主要包括以下几类数据：
1)主体信息：表明谁在请求访问资源。包括用户的基本信息、活动信息、权限、历史用户行为等，以及常用位置、登录失败次数等设备使用信息。
2)访问请求：访问主体发起的实际请求。包含有关请求主体的信息和要请求的信息。
3)资产状态：该记录将现有资产的位置和状态(请求的位置、补丁级别等)与数据库的资产状态进行比较，以确定对资源的访问是通过还是拒绝。
4)资源访问要求：定义策略的最低要求，包括资源敏感级别、访问者级别、IP黑白名单等，快速排除完全不符合要求的访问者。
5)风险威胁：指当前系统中可能存在的威胁和恶意软件的信息，如恶意信息源或恶意软件命令。
动态访问控制是策略引擎的功能核心，实现基于持续信任评估的分级业务访问。在零信任架构中，访问主体的信任评估是对身份信任在当前访问上下文中的动态调整，和认证强度、风险状态和环境因素等相关，当访问上下文和环境存在风险时，需要对访问权限进行实时干预。信任评估模块持续接收来自CDM系统的企业资产状态信息和活动日志信息，结合身份和权限数据，基于用户行为树和神经网络等技术，对用户进行持续画像，对访问行为进行持续分析，对信任进行持续评估，最终生成信任评估结果，为动态访问控制提供决策依据。
如上所述，零信任动态访问控制方案需要采集大量相关数据作为信任评估因素，信任评估结果准确与否很大程度取决于对相关数据的收集、分析与处理能力，依赖于主体活动日志、资产状态和威胁情报等信息。由于数据来源分散，评估数据的准确性、完整性、时效性等已成为零信任实际应用的主要问题，特别是零信任策略引擎的中心化部署极易造成数据迁移时延，对策略引擎的算法和性能要求非常高，现有技术方案缺乏快速有效的信任评估能力。
针对数据安全访问的客体，需要根据数据的重要性、敏感性、风险性等安全指标对数据进行分类分级，识别出敏感数据，并对业务流程进行梳理，分析数据全生命周期可能存在的风险。现有数据分级方案通常将数据分为一般数据、重要数据和核心数据，通过数据打标等方式设置固定的数据安全级别，无法适应细粒度的动态访问控制，缺乏对数据资产安全态势的实时感知能力。
现有的信任评估方案多采用静态的信任值计算方法，信任值的更新滞后于主体行为的变化，难以及时应对行为突变的失陷终端威胁。现有信任值计算方法主要基于信息系统风险评估和UEBA等技术，访问控制主要基于硬性的角色或属性匹配，在主体信任评估和客体安全分级之间未建立定量的关联规则。
发明内容
本发明所要解决的技术问题：在网络数据安全访问过程中，
本发明采用的技术方案：
一种基于动态信任评估的数据安全访问控制方法，包括以下步骤：
步骤一.用户发起访问申请，如访问控制系统中无相应用户访问记录表则生成访问记录表，根据身份管理系统和预先定义的白名单信息对访问记录表进行初始化；
步骤二.访问控制系统采集访问主体、客体信息，生成访问记录信息，所述主体、客体信息包括用户风险值、数据资产ID、数据级别、白名单访问、风险系数等关键信息；
步骤三.根据访问记录信息生成数据级别；
步骤四.访问控制系统判断本次访问是否属于白名单访问，如果是白名单访问则直接进行动态访问授权，否则执行动态风险评估操作；
步骤五.根据访问记录表中的信息，计算用户访问风险安全基线值，对用户访问风险进行动态评估，判断用户风险评估值是否越过安全基线值；
步骤六.如风险评估值高于或等于访问风险安全基线值则拒绝访问并结束流程，如风险评估值低于安全基线值则对用户进行授权。
前述的一种基于动态信任评估的数据安全访问控制方法，还包括：
步骤七.访问客体资源，并更新访问记录表。
前述的一种基于动态信任评估的数据安全访问控制方法，在步骤一中，所述访问记录表结构包括：会话ID：业务系统访问会话的全局唯一ID；
起始时间TS：访问开始时间；
访问间隔：本次访问与上次访问时间间隔；
用户ID：本次访问主体用户的全局唯一ID；
用户风险值R：本次访问主体用户的风险度量值，初始值为R0，每次访问申请时重新计算并在访问操作结束前锁死；
数据资产ID：本次访问客体数据资产全局唯一ID；
数据级别S：本次访问客体的数据级别，初始值为1，每次访问后重新计算并在访问操作结束前锁死；
白名单访问：本次访问客体是否属于主体白名单，是用户完全合法合规访问的资产样板名单，仅用于建立用户访问的参考安全基线，当用户风险评估低于安全基线值时，认为用户本次访问安全风险低并动态授权，如果用户曾经申请高于安全基线访问或越权访问，则判定用户访问安全风险高，拒绝动态授权并发起告警；
风险系数：本次访问客体的越权访问风险系数，根据对应敏感度级别设置；
数据操作：本次访问主体对客体的具体数据操作描述。
前述的一种基于动态信任评估的数据安全访问控制方法，在步骤三中，利用数据自信息量公式估算数据级别
S(data)表示数据级别，若访问数据资产的用户主体集合为U＝{u1,u2，...，un}，Ri表示第i个访问主体风险度量，Ti表示第i个访问主体的平均访问时间间隔，Tall表示所有访问主体平均访问时间间隔，ci表示第i个访问主体访问次数，无访问记录情况下数据级别缺省设置为1，n表示共有n个用户访问数据资产。
前述的一种基于动态信任评估的数据安全访问控制方法，在步骤五中，用户访问风险安全基线值计算如下：
1)利用访问记录表计算用户信任额度，根据最小权限原则创建用户合规访问的数据资产白名单，若白名单中包含数据资产集合为WD＝{wd1,wd2,...,wd m}，m表示白名单中数据资产数量，wsi表示符合用户访问权限的白名单数据对应的数据级别，设定单位时间内数据资产wdi访问次数概率和全部数据资产访问次数概率均满足泊松分布：
其中，P(X＝k)为在n次独立实验中出现随机事件的次数X恰好为k的概率，λ为P的数学期望，！表示阶乘；
2)通过查询实际访问记录，得到数据资产wdi访问次数值xi＝{x1,x2,...,xn}，则λ最大似然函数为：
λ最大似然估计值为X均值，则数据资产wdi访问概率Pi为：
参考泊松分布公式中，E(Xi)＝λi为数据资产wdi访问次数的数学期望，E(Xall)＝λall为全部资产访问次数数学期望；
3)利用式(5)计算用户访问风险安全基线值R0：
当用户风险评估值低于访问风险安全基线值时，系统允许访问。
前述的一种基于动态信任评估的数据安全访问控制方法，在步骤五中，任意用户访问非本用户白名单数据资产，均代表提高系统数据泄露风险，若访问记录中数据资产集合为D＝{d1,d2,...,dm}，Sj表示数据资产dj数据级别，w j为dj越权访问风险系数，根据数据敏感度分级和业务系统安全需求进行设置，则用户动态访问风险值R(user)为：
如果用户动态风险评估值高于或等于安全基线值，代表用户访问为高危操作，拒绝访问并将用户列为监控对象，并更新访问记录表；如低于安全基线值则执行动态授权操作。
前述的一种基于动态信任评估的数据安全访问控制方法，在步骤七中，对网络访问主体赋予动态风险值R，为数据赋予级别值S，如果某主体正常合规访问，则R值保持不变；如果多次尝试越权访问，动态风险值R根据访问目标数据级别不断增加，此时相应主体将被访问控制系统列为优先监控主体，对访问权限进行限制；待一定时间间隔后如果没有出现其他危险操作，用户动态风险值R恢复至安全基线状态，数据级别根据用户访问次数和用户风险值动态更新，即高风险用户频繁访问的目标数据级别也会随之增高。
一种基于动态信任评估的数据安全访问控制系统，包括以下模块：
访问记录表生成模块：用户发起访问申请，如访问控制系统中无相应用户访问记录表则生成访问记录表，根据身份管理系统和预先定义的白名单信息对访问记录表进行初始化；
访问记录信息生成模块：访问控制系统采集访问主体、客体信息，生成访问记录信息，所述主体、客体信息包括用户风险值、数据资产ID、数据级别、白名单访问、风险系数等关键信息；
数据级别生成模块：根据访问记录信息生成数据级别；
白名单访问判别模块：访问控制系统判断本次访问是否属于白名单访问，如果是白名单访问则直接进行动态访问授权，否则执行动态风险评估操作；
风险评估模块：根据访问记录表中的信息，计算用户访问风险安全基线值，对用户访问风险进行动态评估，判断用户风险评估值是否越过安全基线值；
授权模块：如风险评估值高于或等于访问风险安全基线值则拒绝访问并结束流程，如风险评估值低于安全基线值则对用户进行授权。
前述的基于动态信任评估的数据安全访问控制系统，在访问记录表生成模块中，所述访问记录表结构包括：
会话ID：业务系统访问会话的全局唯一ID；
起始时间TS：访问开始时间；
访问间隔：本次访问与上次访问时间间隔；
用户ID：本次访问主体用户的全局唯一ID；
用户风险值R：本次访问主体用户的风险度量值，初始值为R0，每次访问申请时重新计算并在访问操作结束前锁死；
数据资产ID：本次访问客体数据资产全局唯一ID；
数据级别S：本次访问客体的数据级别，初始值为1，每次访问后重新计算并在访问操作结束前锁死；
白名单访问：本次访问客体是否属于主体白名单，是用户完全合法合规访问的资产样板名单，仅用于建立用户访问的参考安全基线，当用户风险评估低于安全基线值时，认为用户本次访问安全风险低并动态授权，如果用户曾经申请高于安全基线访问或越权访问，则判定用户访问安全风险高，拒绝动态授权并发起告警；
风险系数：本次访问客体的越权访问风险系数，根据对应敏感度级别设置；数据操作：本次访问主体对客体的具体数据操作描述。
前述的基于动态信任评估的数据安全访问控制系统，在数据级别生成模块中，利用数据自信息量公式估算数据级别
S(data)表示数据级别，若访问数据资产的用户主体集合为U＝{u1,u2，...，un}，Ri表示第i个访问主体风险度量，Ti表示第i个访问主体的平均访问时间间隔，Tall表示所有访问主体平均访问时间间隔，ci表示第i个访问主体访问次数，无访问记录情况下数据级别缺省设置为1，n表示共有n个用户访问数据资产。
一种计算机可读存储介质，用于存储上述的基于动态信任评估的数据安全访问控制系统的模块。
本发明所达到的有益效果：本发明利用访问记录表、数据级别和用户动态风险度量实现数据安全风险控制，可作为数据安全访问控制的优化实现方案，利用数据自信息量公式估算数据实际流转使用过程的重要性级别，同时基于高风险用户、高频访问和多次越权访问等安全因素实时估算数据的级别，避免硬性规定敏感度级别，造成数据安全防护与实际工作脱节。用户动态风险度量算法可实现对用户越权访问风险的实时跟踪，算法只依赖于访问记录表数据，避免了访问控制策略引擎的性能瓶颈，可实现快速有效的风险评估。建立的风险评估与数据级别的定量关联规则，高危用户访问、越权访问、高频访问均对数据级别造成实时影响；同时越权访问高敏感度数据会显著提高用户风险，本发明利用白名单访问方式建立用户风险安全基线，有效降低了系统改造难度，可方便结合UEBA等现有技术进行内部访问控制。
附图说明
图1为本发明的数据安全访问控制方法的流程图。
具体实施方式
下面结合附图对本发明做进一步详细的说明。
一种基于动态信任评估的数据安全访问控制方法，包括以下步骤：
步骤一.用户发起访问申请，如访问控制系统中无相应用户访问记录表则生成访问记录表，根据身份管理系统和预先定义的白名单信息对访问记录表进行初始化；
步骤二.访问控制系统采集访问主体、客体信息，生成访问记录信息，所述主体、客体信息包括用户风险值、数据资产ID、数据级别、白名单访问、风险系数等关键信息；
步骤三.策略引擎模块根据访问记录信息生成数据级别；
步骤四.访问控制系统判断本次访问是否属于白名单访问，如果是白名单访问则直接进行动态访问授权，否则执行动态风险评估操作；
步骤五.根据访问记录表中的信息，计算用户访问风险安全基线值，对用户访问风险进行动态评估，判断用户风险评估值是否越过安全基线值；
步骤六.如风险评估值高于或等于访问风险安全基线值则拒绝访问并结束流程，如风险评估值低于安全基线值则对用户进行授权；
步骤七.访问客体资源，并更新访问记录表。
在步骤一中，所述访问记录表结构如下所示：
表1访问记录表结构
会话ID：业务系统访问会话的全局唯一ID；
起始时间TS：访问开始时间；
访问间隔I：本次访问与上次访问时间间隔；
用户ID：本次访问主体用户的全局唯一ID；
用户风险值R：本次访问主体用户的风险度量值，初始值为R0，即用户访问风险安全基线值，每次访问申请时重新计算并在访问操作结束前锁死；
数据资产ID：本次访问客体数据资产全局唯一ID；
数据级别S：本次访问客体的数据级别，初始值为1，每次访问后重新计算并在访问操作结束前锁死；
白名单访问：本次访问客体是否属于主体白名单，白名单与用户权限无关，是用户可以完全合法合规访问的资产样板名单，仅用于建立用户访问的参考安全基线，当用户风险评估低于安全基线值时，认为用户本次访问安全风险低并动态授权，如果用户曾经申请高于安全基线访问或越权访问，则判定用户访问安全风险高，拒绝动态授权并发起告警；
风险系数：本次访问客体的越权访问风险系数，根据对应敏感度级别设置；
数据操作：本次访问主体对客体的具体数据操作描述，用于用户行为分析等。
在步骤三中，利用数据自信息量公式估算数据级别
S(data)表示数据级别，若访问数据资产的用户主体集合为U＝{u1,u2，...，un}，Ri表示第i个访问主体风险度量，Ti表示第i个访问主体的平均访问时间间隔，Tall表示所有访问主体平均访问时间间隔，ci表示第i个访问主体访问次数，无访问记录情况下数据级别缺省设置为1，或根据企业安全策略设定，n表示共有n个用户访问数据资产。
在步骤五中，用户访问风险安全基线值计算如下：
1)利用访问记录表计算用户信任额度，根据最小权限原则创建用户合规访问的数据资产白名单，若白名单中包含数据资产集合为WD＝{wd1,wd2,...,wd m}，m表示白名单中数据资产数量，wsi表示符合用户访问权限的白名单数据对应的数据级别，设定单位时间内数据资产wdi访问次数概率和全部数据资产访问次数概率均满足泊松分布：
上式P(X＝k)即为在n次独立实验中出现随机事件的次数X恰好为k的概率，λ为P的数学期望，！表示阶乘；
2)通过查询实际访问记录，得到数据资产wdi访问次数值xi＝{x1,x2,...,xn}，则λ最大似然函数为：
λ最大似然估计值为X均值，则数据资产wdi访问概率Pi为：
参考泊松分布公式中，E(Xi)＝λi为数据资产wdi访问次数的数学期望，E(Xall)＝λall为全部资产访问次数数学期望；
3)利用式(5)计算用户访问风险安全基线值R0：
当用户风险评估值低于访问风险安全基线值时，系统允许访问。
在步骤五中，任意用户访问非本用户白名单数据资产，均代表提高系统数据泄露风险，若访问记录中数据资产集合为D＝{d1,d2,...,dm}，S j表示数据资产dj数据级别，w j为d j越权访问风险系数，根据数据敏感度分级和业务系统安全需求进行设置，则用户动态访问风险值R(user)为：
如果用户动态风险评估值高于或等于安全基线值，代表用户访问为高危操作，拒绝访问并将用户列为监控对象，并更新访问记录表；如低于安全基线值则执行动态授权操作。
在步骤七中，对网络访问主体赋予动态风险值R，为数据赋予级别值S，如果某主体正常合规访问，则R值保持不变；如果多次尝试越权访问，动态风险值R根据访问目标数据级别不断增加，此时相应主体将被访问控制系统列为优先监控主体，对访问权限进行限制；待一定时间间隔后如果没有出现其他危险操作，用户动态风险值R恢复至安全基线状态，数据级别根据用户访问次数和用户风险值动态更新，即高风险用户频繁访问的目标数据级别也会随之增高。
一种基于动态信任评估的数据安全访问控制系统，包括以下模块：
访问记录表生成模块：用户发起访问申请，如访问控制系统中无相应用户访问记录表则生成访问记录表，根据身份管理系统和预先定义的白名单信息对访问记录表进行初始化；
访问记录信息生成模块：访问控制系统采集访问主体、客体信息，生成访问记录信息，所述主体、客体信息包括用户风险值、数据资产ID、数据级别、白名单访问、风险系数等关键信息；
数据级别生成模块：根据访问记录信息生成数据级别；
白名单访问判别模块：访问控制系统判断本次访问是否属于白名单访问，如果是白名单访问则直接进行动态访问授权，否则执行动态风险评估操作；
风险评估模块：根据访问记录表中的信息，计算用户访问风险安全基线值，对用户访问风险进行动态评估，判断用户风险评估值是否越过安全基线值；
授权模块：如风险评估值高于或等于访问风险安全基线值则拒绝访问并结束流程，如风险评估值低于安全基线值则对用户进行授权。
数据更新模块：访问客体资源，并更新访问记录表。
一种计算机可读存储介质，用于存储上述的基于动态信任评估的数据安全访问控制系统的模块。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。
Claims (10)
1.一种基于动态信任评估的数据安全访问控制方法，其特征在于，包括以下步骤：
步骤一.用户发起访问申请，如访问控制系统中无相应用户访问记录表则生成访问记录表，根据身份管理系统和预先定义的白名单信息对访问记录表进行初始化；
步骤二.访问控制系统采集访问主体、客体信息，生成访问记录信息，所述主体、客体信息包括用户风险值、数据资产ID、数据级别、白名单访问、风险系数等关键信息；
步骤三.根据访问记录信息生成数据级别；
步骤四.访问控制系统判断本次访问是否属于白名单访问，如果是白名单访问则直接进行动态访问授权，否则执行动态风险评估操作；
步骤五.根据访问记录表中的信息，计算用户访问风险安全基线值，对用户访问风险进行动态评估，判断用户风险评估值是否越过安全基线值；
步骤六.如风险评估值高于或等于访问风险安全基线值则拒绝访问并结束流程，如风险评估值低于安全基线值则对用户进行授权。
前述的一种基于动态信任评估的数据安全访问控制方法，还包括：
步骤七.访问客体资源，并更新访问记录表。
2.根据权利要求1所述的一种基于动态信任评估的数据安全访问控制方法，其特征在于，在步骤一中，所述访问记录表结构包括：会话ID：业务系统访问会话的全局唯一ID；
起始时间TS：访问开始时间；
访问间隔：本次访问与上次访问时间间隔；
用户ID：本次访问主体用户的全局唯一ID；
用户风险值R：本次访问主体用户的风险度量值，初始值为R0，每次访问申请时重新计算并在访问操作结束前锁死；
数据资产ID：本次访问客体数据资产全局唯一ID；
数据级别S：本次访问客体的数据级别，初始值为1，每次访问后重新计算并在访问操作结束前锁死；
白名单访问：本次访问客体是否属于主体白名单，是用户完全合法合规访问的资产样板名单，仅用于建立用户访问的参考安全基线，当用户风险评估低于安全基线值时，认为用户本次访问安全风险低并动态授权，如果用户曾经申请高于安全基线访问或越权访问，则判定用户访问安全风险高，拒绝动态授权并发起告警；
风险系数：本次访问客体的越权访问风险系数，根据对应敏感度级别设置；
数据操作：本次访问主体对客体的具体数据操作描述。
3.根据权利要求1所述的一种基于动态信任评估的数据安全访问控制方法，其特征在于，在步骤三中，利用数据自信息量公式估算数据级别
S(data)表示数据级别，若访问数据资产的用户主体集合为U＝{u1,u2，...，un}，Ri表示第i个访问主体风险度量，Ti表示第i个访问主体的平均访问时间间隔，Tall表示所有访问主体平均访问时间间隔，ci表示第i个访问主体访问次数，无访问记录情况下数据级别缺省设置为1，n表示共有n个用户访问数据资产。
4.根据权利要求1所述的一种基于动态信任评估的数据安全访问控制方法，在步骤五中，用户访问风险安全基线值计算如下：
1)利用访问记录表计算用户信任额度，根据最小权限原则创建用户合规访问的数据资产白名单，若白名单中包含数据资产集合为WD＝{wd1,wd2,...,wd m}，m表示白名单中数据资产数量，wsi表示符合用户访问权限的白名单数据对应的数据级别，设定单位时间内数据资产wdi访问次数概率和全部数据资产访问次数概率均满足泊松分布：
其中，P(X＝k)为在n次独立实验中出现随机事件的次数X恰好为k的概率，λ为P的数学期望，！表示阶乘；
2)通过查询实际访问记录，得到数据资产wdi访问次数值xi＝{x1,x2,...,xn}，则λ最大似然函数为：
λ最大似然估计值为X均值，则数据资产wdi访问概率Pi为：
参考泊松分布公式中，E(Xi)＝λi为数据资产wdi访问次数的数学期望，E(Xall)＝λall为全部资产访问次数数学期望；
3)利用式(5)计算用户访问风险安全基线值R0：
当用户风险评估值低于访问风险安全基线值时，系统允许访问。
5.根据权利要求4所述的一种基于动态信任评估的数据安全访问控制方法，其特征在于，在步骤五中，任意用户访问非本用户白名单数据资产，均代表提高系统数据泄露风险，若访问记录中数据资产集合为D＝{d1,d2,...,dm}，Sj表示数据资产dj数据级别，wj为dj越权访问风险系数，根据数据敏感度分级和业务系统安全需求进行设置，则用户动态访问风险值R(user)为：
如果用户动态风险评估值高于或等于安全基线值，代表用户访问为高危操作，拒绝访问并将用户列为监控对象，并更新访问记录表；如低于安全基线值则执行动态授权操作。
6.根据权利要求1所述的一种基于动态信任评估的数据安全访问控制方法，其特征在于，在步骤七中，对网络访问主体赋予动态风险值R，为数据赋予级别值S，如果某主体正常合规访问，则R值保持不变；如果多次尝试越权访问，动态风险值R根据访问目标数据级别不断增加，此时相应主体将被访问控制系统列为优先监控主体，对访问权限进行限制；待一定时间间隔后如果没有出现其他危险操作，用户动态风险值R恢复至安全基线状态，数据级别根据用户访问次数和用户风险值动态更新，即高风险用户频繁访问的目标数据级别也会随之增高。
7.一种基于动态信任评估的数据安全访问控制系统，包括以下模块：
访问记录表生成模块：用户发起访问申请，如访问控制系统中无相应用户访问记录表则生成访问记录表，根据身份管理系统和预先定义的白名单信息对访问记录表进行初始化；
访问记录信息生成模块：访问控制系统采集访问主体、客体信息，生成访问记录信息，所述主体、客体信息包括用户风险值、数据资产ID、数据级别、白名单访问、风险系数等关键信息；
数据级别生成模块：根据访问记录信息生成数据级别；
白名单访问判别模块：访问控制系统判断本次访问是否属于白名单访问，如果是白名单访问则直接进行动态访问授权，否则执行动态风险评估操作；
风险评估模块：根据访问记录表中的信息，计算用户访问风险安全基线值，对用户访问风险进行动态评估，判断用户风险评估值是否越过安全基线值；
授权模块：如风险评估值高于或等于访问风险安全基线值则拒绝访问并结束流程，如风险评估值低于安全基线值则对用户进行授权。
8.根据权利要求7所述的基于动态信任评估的数据安全访问控制系统，在访问记录表生成模块中，所述访问记录表结构包括：
会话ID：业务系统访问会话的全局唯一ID；
起始时间TS：访问开始时间；
访问间隔：本次访问与上次访问时间间隔；
用户ID：本次访问主体用户的全局唯一ID；
用户风险值R：本次访问主体用户的风险度量值，初始值为R0，每次访问申请时重新计算并在访问操作结束前锁死；
数据资产ID：本次访问客体数据资产全局唯一ID；
数据级别S：本次访问客体的数据级别，初始值为1，每次访问后重新计算并在访问操作结束前锁死；
白名单访问：本次访问客体是否属于主体白名单，是用户完全合法合规访问的资产样板名单，仅用于建立用户访问的参考安全基线，当用户风险评估低于安全基线值时，认为用户本次访问安全风险低并动态授权，如果用户曾经申请高于安全基线访问或越权访问，则判定用户访问安全风险高，拒绝动态授权并发起告警；
风险系数：本次访问客体的越权访问风险系数，根据对应敏感度级别设置；数据操作：本次访问主体对客体的具体数据操作描述。
9.根据权利要求7所述的基于动态信任评估的数据安全访问控制系统，在数据级别生成模块中，利用数据自信息量公式估算数据级别
S(data)表示数据级别，若访问数据资产的用户主体集合为U＝{u1,u2，...，un}，Ri表示第i个访问主体风险度量，Ti表示第i个访问主体的平均访问时间间隔，Tall表示所有访问主体平均访问时间间隔，ci表示第i个访问主体访问次数，无访问记录情况下数据级别缺省设置为1，n表示共有n个用户访问数据资产。
10.一种计算机可读存储介质，用于存储权利要求7-9任一项所述的基于动态信任评估的数据安全访问控制系统的模块。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310260640.5A CN116418568A (zh) | 2023-03-17 | 2023-03-17 | 一种基于动态信任评估的数据安全访问控制方法、系统及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310260640.5A CN116418568A (zh) | 2023-03-17 | 2023-03-17 | 一种基于动态信任评估的数据安全访问控制方法、系统及存储介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN116418568A true CN116418568A (zh) | 2023-07-11 |
Family
ID=87052467
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202310260640.5A Pending CN116418568A (zh) | 2023-03-17 | 2023-03-17 | 一种基于动态信任评估的数据安全访问控制方法、系统及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116418568A (zh) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116962091A (zh) * | 2023-09-21 | 2023-10-27 | 华能信息技术有限公司 | 一种精准访问的动态授权方法及系统 |
| CN117640262A (zh) * | 2024-01-26 | 2024-03-01 | 杭州美创科技股份有限公司 | 数据资产隔离方法、装置、计算机设备及存储介质 |
-
2023
- 2023-03-17 CN CN202310260640.5A patent/CN116418568A/zh active Pending
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116962091A (zh) * | 2023-09-21 | 2023-10-27 | 华能信息技术有限公司 | 一种精准访问的动态授权方法及系统 |
| CN116962091B (zh) * | 2023-09-21 | 2024-02-27 | 华能信息技术有限公司 | 一种精准访问的动态授权方法及系统 |
| CN117640262A (zh) * | 2024-01-26 | 2024-03-01 | 杭州美创科技股份有限公司 | 数据资产隔离方法、装置、计算机设备及存储介质 |
| CN117640262B (zh) * | 2024-01-26 | 2024-04-09 | 杭州美创科技股份有限公司 | 数据资产隔离方法、装置、计算机设备及存储介质 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN116545731A (zh) | 一种基于时间窗动态切换的零信任网络访问控制方法及系统 | |
| US9148433B2 (en) | Retrospective policy safety net | |
| CN116418568A (zh) | 一种基于动态信任评估的数据安全访问控制方法、系统及存储介质 | |
| CN111064718B (zh) | 一种基于用户上下文及策略的动态授权方法和系统 | |
| CN111131176B (zh) | 资源访问控制方法、装置、设备及存储介质 | |
| CN116708037B (zh) | 云平台访问权限控制方法及系统 | |
| CN105827645B (zh) | 一种用于访问控制的方法、设备与系统 | |
| CN115168888A (zh) | 一种业务自适应的数据治理方法、装置及设备 | |
| CN117131534B (zh) | 一种基于区块链的涉密文档安全管控方法 | |
| CN109495474B (zh) | 面向内部攻击的动态访问控制方法 | |
| CN115118465B (zh) | 一种基于可信标签的云边端协同零信任访问控制方法及系统 | |
| CN116089970A (zh) | 基于身份管理的配电运维用户动态访问控制系统与方法 | |
| CN114297639A (zh) | 一种接口调用行为的监测方法、装置、电子设备及介质 | |
| CN117978556B (zh) | 一种数据访问控制方法、网络交换子系统及智能计算平台 | |
| Zhang et al. | Data security dynamic access control framework based on zero-trust | |
| Bin et al. | Research of fine grit access control based on time in cloud computing | |
| Wu et al. | Research on Trust-Role Access Control Model in Cloud Computing | |
| CN116506229B (zh) | 一种数据访问方法、装置及电子设备 | |
| Yuan et al. | A fine-grained access control method based on role permission management | |
| US9774446B1 (en) | Managing use of security keys | |
| CN115883140A (zh) | 一种数据安全模型架构、数据安全系统 | |
| Li | Access control strategy based on trust under cloud computing platform | |
| CN116566691A (zh) | 基于pbac和风险评估的通用访问控制方法及系统 | |
| CN117494154A (zh) | 一种基于零信任的电力大数据安全管理方法及系统 | |
| CN117371007A (zh) | 一种基于属性信任的访问控制策略自适应方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |